Accordo sul trattamento dei dati personali (DPA)
Nomina a responsabile del trattamento ai sensi dell'art. 28 del Regolamento UE 2016/679 (“GDPR”).
Allegato alle Condizioni generali di servizio del servizio SaaS “Food Cost Intelligence & Menu Engineering”.
Versione 1.0 — in vigore dal 13 settembre 2026
1. Perché questo documento esiste
Usando Food Cost Intelligence il Cliente inserisce nella piattaforma dati personali di persone che non sono né lui né ChiBri: i nominativi dei propri dipendenti nei registri HACCP, i referenti dei fornitori, i dati delle comande dei clienti finali. Rispetto a quei dati il Cliente è titolare del trattamento e ChiBri è responsabile del trattamento: li tratta soltanto perché e nei limiti in cui il Cliente glielo chiede, per far funzionare il servizio.
L'art. 28.3 GDPR impone che questo rapporto sia regolato da un contratto scritto. È questo documento. Si applica automaticamente a ogni Cliente che attiva un abbonamento e costituisce parte integrante delle Condizioni generali di servizio; in caso di contrasto fra i due testi, su ciò che riguarda i dati personali prevale il presente accordo.
Per i dati che riguardano il Cliente stesso e i suoi referenti (contatti, account, fatturazione) ChiBri è invece titolare autonomo: si applica l'Informativa privacy, non questo accordo.
2. Le parti
- Titolare del trattamento: il Cliente, come identificato nei dati di attivazione dell'abbonamento.
- Responsabile del trattamento: ChiBri S.r.l.s., Via Dietro le Mura, 26 — 83054 Sant'Angelo dei Lombardi (AV), Italia, P.IVA e C.F. 02957050640, R.E.A. AV - 195135 — info@chibri.it, PEC chibri.srls@pec.it.
3. Oggetto, durata, natura e finalità del trattamento
- Oggetto: l'erogazione del servizio Food Cost Intelligence secondo le Condizioni generali di servizio.
- Durata: per tutta la durata dell'abbonamento, e successivamente per il solo tempo necessario alle operazioni di restituzione o cancellazione previste al § 10.
- Natura delle operazioni: raccolta, registrazione, organizzazione, strutturazione, conservazione, consultazione, estrazione, uso, comunicazione mediante trasmissione, raffronto, limitazione, cancellazione e distruzione, effettuate con strumenti elettronici.
- Finalità: esclusivamente la messa a disposizione, la manutenzione e l'assistenza della piattaforma. ChiBri non utilizza i dati del Cliente per finalità proprie, non li cede, non li usa per addestrare sistemi di intelligenza artificiale e non li impiega per analisi o statistiche che non siano quelle restituite al Cliente stesso dentro la piattaforma.
4. Tipi di dati e categorie di interessati
Il dettaglio è all'Allegato A. In sintesi, il Cliente non deve inserire nella piattaforma categorie particolari di dati ai sensi dell'art. 9 GDPR (dati sulla salute, convinzioni religiose, appartenenza sindacale e simili) né dati giudiziari ai sensi dell'art. 10: la piattaforma non è progettata per trattarli e ChiBri non prevede per essi misure specifiche. Se il Cliente li inserisce comunque, lo fa sotto la propria esclusiva responsabilità.
5. Istruzioni del titolare
- ChiBri tratta i dati personali soltanto su istruzione documentata del Cliente. Costituiscono istruzioni documentate: le presenti condizioni, il presente accordo, le funzioni che il Cliente attiva e utilizza nella piattaforma, e le richieste che il Cliente invia per iscritto a info@chibri.it.
- Se ChiBri è obbligata a un trattamento da una norma dell'Unione o dello Stato membro, ne informa preventivamente il Cliente, salvo che la norma stessa lo vieti per rilevanti motivi di interesse pubblico.
- ChiBri informa immediatamente il Cliente qualora, a suo parere, un'istruzione ricevuta violi il GDPR o altre disposizioni sulla protezione dei dati.
6. Riservatezza
ChiBri garantisce che le persone autorizzate al trattamento — dipendenti, collaboratori, amministratori di sistema — sono state istruite ai sensi dell'art. 29 GDPR, si sono impegnate alla riservatezza o sono soggette a un obbligo legale di segretezza, e accedono ai dati soltanto nella misura necessaria a svolgere il proprio compito.
7. Misure di sicurezza (art. 32)
ChiBri adotta le misure tecniche e organizzative descritte all'Allegato B, adeguate al rischio. Le misure possono essere aggiornate nel tempo, purché il livello di sicurezza complessivo non diminuisca.
8. Sub-responsabili
- Il Cliente autorizza in via generale ChiBri ad avvalersi di sub-responsabili per l'erogazione del servizio.
- Sub-responsabili attualmente nominati:
| Sub-responsabile | Attività | Luogo del trattamento |
|---|---|---|
| Aruba S.p.A. Via San Clemente 53, 24036 Ponte San Pietro (BG) |
Hosting, server virtuale e copie di sicurezza | Italia — nessun trasferimento fuori dall'Unione europea |
| Stripe Payments Europe, Ltd. Dublino, Irlanda (gruppo con sede negli Stati Uniti) |
Incasso dei canoni di abbonamento | Irlanda, con trasferimenti verso gli Stati Uniti coperti da Clausole Contrattuali Standard |
| Resend, Inc. | Invio delle e-mail di servizio e delle notifiche | Stati Uniti, con trasferimenti coperti da Clausole Contrattuali Standard |
- ChiBri comunica al Cliente ogni variazione dell'elenco — aggiunta o sostituzione di un sub-responsabile — con almeno 30 giorni di preavviso via e-mail. Entro lo stesso termine il Cliente può opporsi per motivi ragionevoli e documentati legati alla protezione dei dati; in tal caso, se ChiBri non è in grado di erogare il servizio senza quel sub-responsabile, il Cliente può recedere senza penali con effetto dalla data del cambiamento, con rimborso della quota di canone non goduta.
- ChiBri impone a ciascun sub-responsabile, mediante contratto, obblighi di protezione dei dati equivalenti a quelli del presente accordo, e risponde verso il Cliente dell'operato dei propri sub-responsabili come del proprio.
9. Assistenza al titolare
- Diritti degli interessati. Tenuto conto della natura del trattamento, ChiBri assiste il Cliente con misure tecniche e organizzative adeguate a dare riscontro alle richieste di esercizio dei diritti (artt. 15-22 GDPR). La piattaforma consente al Cliente di consultare, correggere, esportare e cancellare autonomamente i dati che ha inserito: quella è la prima via. Se un interessato si rivolge direttamente a ChiBri, ChiBri non risponde nel merito e inoltra la richiesta al Cliente senza ingiustificato ritardo.
- Adempimenti artt. 32-36. ChiBri assiste il Cliente nel garantire la sicurezza del trattamento, nella gestione delle violazioni, nella valutazione d'impatto e nella eventuale consultazione preventiva, tenendo conto delle informazioni di cui dispone.
10. Violazione dei dati personali
Venuta a conoscenza di una violazione dei dati personali che riguarda i dati trattati per conto del Cliente, ChiBri ne informa il Cliente senza ingiustificato ritardo e comunque, ove possibile, entro 48 ore, fornendo le informazioni di cui all'art. 33.3 GDPR nella misura in cui siano disponibili: natura della violazione, categorie e numero approssimativo di interessati e di registrazioni coinvolte, probabili conseguenze, misure adottate o proposte. La notifica all'autorità di controllo e la comunicazione agli interessati restano in capo al Cliente, in quanto titolare.
11. Restituzione e cancellazione a fine rapporto
Alla cessazione del contratto, il Cliente può esportare autonomamente i propri dati dalla piattaforma per 30 giorni dalla disattivazione, come previsto dal § 11 delle Condizioni di servizio. Trascorso tale termine ChiBri cancella definitivamente i dati dai sistemi di produzione; le copie presenti nei backup sono eliminate con la normale rotazione degli stessi. Restano salvi i dati che ChiBri è tenuta a conservare per obbligo di legge, in particolare la documentazione contabile e fiscale, che è però trattata da ChiBri in qualità di titolare.
12. Dimostrazione della conformità e audit
ChiBri mette a disposizione del Cliente le informazioni necessarie a dimostrare il rispetto degli obblighi dell'art. 28 e consente e contribuisce ad attività di revisione, comprese ispezioni, realizzate dal Cliente o da un soggetto terzo da lui incaricato e vincolato alla riservatezza. Le verifiche si svolgono previo preavviso scritto di almeno 15 giorni, in orario lavorativo, con modalità che non compromettano la sicurezza degli altri clienti, non più di una volta l'anno salvo che la richiesta segua una violazione dei dati o una specifica richiesta di un'autorità di controllo. I costi dell'attività sono a carico del Cliente, salvo che dalla verifica emerga un inadempimento di ChiBri.
13. Trasferimenti fuori dall'Unione europea
Il database e le copie di sicurezza restano in Italia. I soli trasferimenti verso Paesi terzi sono quelli indicati al § 8, verso gli Stati Uniti, e avvengono sulla base delle Clausole Contrattuali Standard approvate dalla Commissione europea (art. 46.2.c GDPR), unitamente alle misure supplementari ove necessarie. Il Cliente può chiederne copia scrivendo a info@chibri.it.
14. Durata, accettazione e legge applicabile
- Il presente accordo si intende accettato dal Cliente con l'accettazione delle Condizioni generali di servizio e resta in vigore per tutta la durata dell'abbonamento.
- ChiBri può aggiornarlo per esigenze normative, tecniche od organizzative, dandone comunicazione al Cliente con almeno 30 giorni di preavviso; si applica in tal caso il § 15 delle Condizioni di servizio.
- Il presente accordo è regolato dalla legge italiana. Per le controversie si applica il § 16 delle Condizioni generali di servizio.
- Un Cliente che necessiti di un DPA sottoscritto in forma separata, o del proprio modello contrattuale, può richiederlo scrivendo a info@chibri.it.
Allegato A — Dettaglio del trattamento
| Categorie di interessati | Tipi di dati personali | Dove nella piattaforma |
|---|---|---|
| Personale del Cliente (dipendenti e collaboratori) | Nome e cognome, ruolo, indirizzo e-mail, credenziali di accesso, registro delle azioni compiute nella piattaforma | Utenze del gestionale, registri e firme dei controlli HACCP |
| Referenti dei fornitori del Cliente | Nome e cognome, ragione sociale, e-mail, telefono | Anagrafica fornitori, ordini |
| Clienti finali del Cliente (avventori) | Dati della comanda e del tavolo; eventuali note inserite dal personale. Nessun dato di pagamento | Menù digitale, comande da tavolo |
| Referenti del Cliente | Dati di contatto e di fatturazione | Scheda azienda — trattati da ChiBri come titolare, fuori dal presente accordo |
Categorie particolari di dati (art. 9) e dati giudiziari (art. 10): nessuna. La piattaforma non ne prevede il trattamento.
Allegato B — Misure tecniche e organizzative
- Separazione dei dati: ogni cliente ha il proprio ambiente logico; le interrogazioni sono vincolate all'azienda dell'utente autenticato.
- Trasmissione cifrata: tutto il traffico viaggia su HTTPS con certificato valido; le connessioni non cifrate vengono reindirizzate.
- Autenticazione: password conservate solo come impronta crittografica non reversibile; sessioni a scadenza; limitazione automatica dei tentativi di accesso ripetuti.
- Autorizzazioni: ruoli distinti con permessi differenziati; ogni operazione è attribuita all'utenza che l'ha compiuta.
- Isolamento del servizio: il programma gira con un'utenza di sistema dedicata, priva di privilegi amministrativi e senza accesso al resto della macchina.
- Protezione dagli abusi: limitazione di frequenza sulle funzioni pubbliche (accesso, moduli di contatto, comande da tavolo).
- Copie di sicurezza: backup periodici del database, conservati sulla stessa infrastruttura italiana e soggetti a rotazione.
- Aggiornamenti: sistema operativo e componenti applicative mantenuti aggiornati; certificati rinnovati automaticamente.
- Accesso amministrativo: riservato al personale autorizzato di ChiBri, tramite chiave crittografica personale e non tramite password.
- Esportazione autonoma: il Cliente può estrarre i propri dati in formati aperti (CSV/PDF) in qualunque momento, senza doverne fare richiesta.