Accordo sul trattamento dei dati con i fornitori

1. Chi sono le parti e a cosa serve questo Accordo

Questo Accordo è tra il fornitore, che è il titolare del trattamento dei dati («tu»), e inOrdine, cioè Roberto Nazzaro, che è il responsabile del trattamento («noi»). Serve a rispettare l'art. 28 del GDPR, che chiede un contratto scritto tra chi decide sui dati e chi li tratta per suo conto.

Responsabile del trattamento: Roberto Nazzaro
Indirizzo: Via Benedetto Cariteo 59, 80125 Napoli
Email: privacy@inordine.app

Chi accetta questo Accordo nel pannello dichiara di poterlo fare per conto del fornitore, cioè di avere i poteri per impegnare l'azienda.

Si accetta nel pannello, con una casella, prima di entrare. L'accettazione resta registrata con la versione del testo e la data. Se ci scrivi, ti mandiamo il testo che hai accettato.

Questo Accordo vale per i dati che inserisci in inOrdine e di cui sei tu il titolare del trattamento. Non riguarda i dati di cui è titolare inOrdine, come l'account e l'accesso: per quelli vale l'informativa sulla privacy. Si aggiunge ai Termini. Per i dati personali, se c'è una differenza, vale questo Accordo.

2. Oggetto

L'oggetto di questo Accordo è il trattamento dei dati personali che il fornitore inserisce in inOrdine e che noi trattiamo per suo conto. L'Accordo riguarda questi dati:

il catalogo e i listini, per la parte legata ai singoli clienti (chi vede cosa e a quale prezzo);
i suoi clienti, cioè l'anagrafica dei locali e delle persone di riferimento;
i giri di consegna;
gli ordini e gli abbuoni, con i prezzi e le quantità;
i documenti di trasporto (DDT) dei tuoi giorni di consegna;
la tua azienda nell'app: dipendenti, turni, inventario, carico del camion, consegne ed etichette;
l'assistente WhatsApp, se lo attivi: i numeri dei tuoi collaboratori per gli avvisi e le conversazioni con i tuoi clienti;

L'ordine che un locale manda al fornitore passa da un titolare all'altro: da quel momento il locale e il fornitore sono ciascuno titolare per sé dei dati dell'ordine. Per entrambi inOrdine è responsabile del trattamento.

Mentre usi inOrdine i DDT non si cancellano e non si modificano: un DDT cambiato prende un numero nuovo e il vecchio resta in archivio come «Sostituito», così la numerazione resta senza buchi.

3. Durata

L'Accordo vale dal momento in cui lo accetti e per tutto il tempo in cui usi inOrdine. Non ha una scadenza da rinnovare. Finisce quando smetti di usare inOrdine o quando il servizio chiude, dopo che i dati sono stati restituiti o cancellati (sezione 16).

Continuano anche dopo la fine gli obblighi che per loro natura restano: la riservatezza e la cancellazione dei dati.

4. Natura e finalità del trattamento

Natura del trattamento: per tuo conto, noi facciamo queste cose:

conservare e organizzare i dati nel database;
mostrarli alle persone che il fornitore abilita, in base ai loro ruoli;
calcolare prezzi, totali, orari limite e date di consegna;
preparare e numerare i DDT quando confermi un giorno di consegna, e rifarli con un numero nuovo quando cambia la merce;
inviare, quando ci saranno, email e notifiche di servizio sugli ordini;
far rispondere l'assistente WhatsApp ai tuoi clienti: il testo della conversazione e i dati che servono a rispondere (per esempio catalogo, prezzi e ultimi ordini del locale che scrive) vanno ad Anthropic, e ti avvisiamo quando serve;
fare copie di sicurezza e, alla fine, cancellare o restituire i dati.

Finalità: far funzionare per te le funzioni di inOrdine che usi, e nient'altro (salvo quanto detto in «Dati d'uso per inOrdine»). Non facciamo profilazione né decisioni automatiche sulle persone.

5. Tipi di dati e categorie di persone

Tipi di dati personali trattati:

dati dei clienti del fornitore: nome o ragione sociale, indirizzo di consegna, email, telefono, codice cliente;
dati delle persone di riferimento dei clienti: nome, ruolo, email, telefono;
dati degli ordini: chi ha ordinato, cosa, quando, quantità, prezzi, note, abbuoni e loro motivo;
dati dei DDT: numero e data, destinatario e indirizzo di consegna, merce e quantità, camion e, se lo scegli, i prezzi;
dati dei giri di consegna: giorni, orari, ordine delle tappe;
dati dei collaboratori del fornitore che usano il pannello: nome, email, ruolo;
dati di chi lavora per te nell'app: nome, email, ruolo, turni; chi ha caricato, consegnato o stampato e a che ora;
le note che scrivi per un cliente;
dati dell'assistente WhatsApp: nome e numero dei tuoi collaboratori che ricevono gli avvisi; nome e numero delle persone dei locali che scrivono all'assistente; testo e ora dei messaggi, che si conservano 30 giorni e poi si cancellano.

Categorie di persone a cui i dati si riferiscono:

i clienti del fornitore, quando sono ditte individuali o persone fisiche;
le persone di riferimento dei clienti e chi, nel locale, fa gli ordini;
i collaboratori e i dipendenti del fornitore che usano il pannello;
i dipendenti del fornitore che usano l'app, per esempio chi carica il camion o consegna;
le persone dei locali che scrivono all'assistente WhatsApp.

Non servono dati particolari: salute, appartenenza sindacale, convinzioni religiose o politiche. Non scriverli nelle note o in altri campi liberi.

6. I dipendenti e i loro dati

Sei il datore di lavoro di chi carica e consegna: devi informarlo, anche con il Modello di informativa per i dipendenti. inOrdine registra chi ha caricato o consegnato e a che ora per seguire la merce, non per controllare il lavoro: niente localizzazione, niente punteggi. Se usi altri strumenti di controllo, chiedi al tuo consulente.

7. Solo su tue istruzioni

Trattiamo i dati solo su tue istruzioni documentate. Sono tue istruzioni: questo Accordo e i Termini, quello che fai usando le funzioni di inOrdine e le richieste che ci mandi per iscritto via email, purché siano in linea con questo Accordo.

Se una legge dell'Unione europea o italiana ci obbliga a trattare i dati in modo diverso, ti avvisiamo prima, salvo che la legge lo vieti. Se pensiamo che una tua istruzione violi il GDPR o altre norme sulla protezione dei dati, te lo diciamo subito.

8. Nessun altro uso dei dati per scopi di inOrdine

Salvo quanto detto in «Dati d'uso per inOrdine», non usiamo i tuoi dati per scopi nostri. Niente statistiche o confronti tra più clienti, niente marketing, niente «miglioramento del prodotto» fatto con dati reali. Non li vendiamo e non li cediamo.

Non mostriamo mai i tuoi dati, i tuoi prezzi o i tuoi clienti ad altri fornitori o ad altri clienti.

Se decidessimo noi perché e come usare questi dati, diventeremmo titolari per quella parte, con le responsabilità che ne seguono (art. 28 par. 10 del GDPR).

9. Dati d'uso per inOrdine

Per ciascun locale cliente, inOrdine può usare per sé il numero di ordini ricevuti negli ultimi 30 giorni e con quale canale (app, WhatsApp, creati dal fornitore), per dare assistenza e proporre i propri servizi ai locali. Non usa il contenuto degli ordini e non dà questi numeri a nessuno. inOrdine può proporre i suoi servizi, come il registro HACCP, alle persone dei locali clienti che hanno dato il consenso.

10. Riservatezza

Chi può trattare i tuoi dati (oggi Roberto Nazzaro, e chi in futuro lavorerà con noi) è vincolato alla riservatezza, con un impegno scritto o per obbligo di legge. Si entra nei tuoi dati solo se serve: per assistenza che ci hai chiesto, per far funzionare il servizio o per un obbligo di legge (salvo quanto detto in «Dati d'uso per inOrdine»).

11. Misure di sicurezza

Applichiamo misure di sicurezza adeguate al rischio (art. 32 del GDPR) e le teniamo aggiornate. In sintesi:

isolamento dei dati: ogni fornitore e ogni locale vede solo i propri dati, con regole di accesso nel database che lo garantiscono, non con semplici filtri nell'app;
accessi con autenticazione: per entrare serve un account personale, con password, codice inviato per email o accesso con Google o Apple, e ognuno vede solo quello che il suo ruolo permette;
comunicazioni protette da cifratura tra app, pannello e servizi;
copie di sicurezza dei dati, a rotazione, conservate al massimo 7 giorni;
chiavi e codici di accesso ai servizi tenuti segreti, fuori dal codice delle app e a disposizione solo di chi ne ha bisogno;
fornitori tecnici scelti con garanzie di sicurezza e di protezione dei dati (sezione 12).

12. Fornitori tecnici (altri responsabili)

Per far funzionare inOrdine ci appoggiamo ad altri fornitori, che trattano dati per nostro conto. Questo è l'elenco di oggi. Con questo Accordo ci autorizzi in via generale a usarli (art. 28 par. 2 del GDPR):

Supabase: Database, accesso degli utenti e archivio dei file. Dove: Unione europea (Francoforte; il servizio di prova a Dublino). Garanzia: Clausole contrattuali tipo (la società è Supabase Pte. Ltd., Singapore).
Vercel: Pannello web per i fornitori. Dove: Funzioni a Francoforte; società negli Stati Uniti. Garanzia: Data Privacy Framework e clausole contrattuali tipo.
Resend: Invio delle email di servizio. Dove: Stati Uniti. Garanzia: Data Privacy Framework e clausole contrattuali tipo.
Expo: Invio delle notifiche push e degli aggiornamenti dell'app. Dove: Stati Uniti. Garanzia: Data Privacy Framework e clausole contrattuali tipo.
Apple: Consegna delle notifiche push sui telefoni Apple (APNs). Dove: Stati Uniti. Garanzia: Clausole contrattuali tipo.
Google: Consegna delle notifiche push sui telefoni Android (Firebase Cloud Messaging) e lettore dei QR sui telefoni Android (ML Kit, solo dati tecnici). Dove: Stati Uniti. Garanzia: Data Privacy Framework e clausole contrattuali tipo.
Anthropic: Lettura dei messaggi WhatsApp per rispondere ai clienti (assistente). Dove: Stati Uniti. Garanzia: Clausole contrattuali tipo, nell'accordo sul trattamento dei dati di Anthropic.

Apple e Google compaiono qui perché consegnano le notifiche push; Google anche per il lettore dei QR sui telefoni Android, che legge il codice sul telefono e manda a Google solo dati tecnici. Se accedi con Google o Apple, per quell'accesso loro sono titolari autonomi: non sono nostri fornitori tecnici.

Anthropic compare qui perché legge i messaggi che arrivano all'assistente WhatsApp, per preparare la risposta. WhatsApp invece è un servizio di Meta: lo sceglie il fornitore e lo collega con il proprio account, alle condizioni di Meta che accetta lui. Meta non è un nostro fornitore tecnico.

Con ognuno di loro abbiamo un contratto, o ne abbiamo accettato le condizioni sulla protezione dei dati, con gli stessi obblighi di questo Accordo. Verso di te restiamo responsabili del loro lavoro (art. 28 par. 4).

Se decidiamo noi di aggiungere o sostituire un fornitore tecnico, ti avvisiamo almeno 14 giorni prima, per email e nel pannello. Se invece il cambiamento lo decide un nostro fornitore tecnico, ti avvisiamo appena lo veniamo a sapere. In tutti e due i casi puoi esercitare il diritto di opporsi al cambio, per motivi ragionevoli legati alla protezione dei dati, scrivendo a privacy@inordine.app. Se non troviamo insieme una soluzione, puoi lasciare inOrdine e riavere i tuoi dati senza penali.

13. Trasferimenti fuori dall'Unione europea

Il database sta nell'Unione europea. Alcuni fornitori tecnici (Vercel, Resend, Expo, Apple, Google e Anthropic) hanno sede o società negli Stati Uniti. I dati escono dall'Unione europea solo con una garanzia: il Data Privacy Framework oppure le clausole contrattuali tipo approvate dalla Commissione europea. Non li mandiamo in altri Paesi senza averti avvisato come per un nuovo fornitore tecnico. Se ce lo chiedi, ti mandiamo una copia di queste garanzie.

14. Assistenza per i diritti delle persone e per gli obblighi di legge

Ti aiutiamo, con le informazioni che abbiamo, a rispettare i tuoi obblighi di titolare, senza costi aggiuntivi per l'assistenza ordinaria:

i diritti delle persone (accesso, rettifica, cancellazione, limitazione, portabilità, opposizione): se una persona ci scrive su dati di cui sei titolare, non rispondiamo nel merito, ma la giriamo a te e ti aiutiamo a esportare, correggere o cancellare i dati: oggi lo facciamo noi, a mano, quando ce lo chiedi;
la sicurezza, le violazioni dei dati, la valutazione d'impatto e la consultazione del Garante (artt. 32-36 del GDPR): ti diamo le informazioni che ti servono a farlo.

15. Violazioni dei dati

Se veniamo a conoscenza di una violazione dei dati, cioè di un accesso, una perdita o una diffusione non autorizzati, ti avvisiamo senza ingiustificato ritardo e, se possibile, entro 48 ore. Ti avvisiamo anche se non siamo ancora sicuri del rischio: decidi tu, come titolare.

Nell'avviso mettiamo, per quanto sappiamo:

cosa è successo;
che dati e quante persone sono coinvolte, circa;
le conseguenze probabili;
cosa stiamo facendo per rimediare e cosa puoi fare tu.

Le informazioni possono arrivare in più riprese. Tu, come titolare, decidi se avvisare il Garante (di norma entro 72 ore da quando lo sai) e le persone: ti aiutiamo a farlo. Teniamo un registro delle violazioni, anche di quelle che non vanno notificate.

16. Cancellazione o restituzione dei dati alla fine

Quando smetti di usare inOrdine, o quando finisce il servizio, ti avvisiamo e hai almeno 30 giorni per chiederci, scrivendo a privacy@inordine.app, la restituzione di una copia dei tuoi dati in un formato che si può leggere e riusare. Poi, a tua scelta, cancelliamo i dati: se preferisci che lo facciamo subito, scrivicelo. Se non scegli, li cancelliamo noi entro 30 giorni dalla fine di quel periodo.

La cancellazione comprende le copie di sicurezza, che si cancellano a rotazione in al massimo 7 giorni. Non teniamo copie dei tuoi dati per i tuoi obblighi di conservazione: per quelli c'è la copia che ti restituiamo. Teniamo solo ciò che una legge obbliga noi a conservare e la prova di aver accettato questo Accordo, che conserviamo per 10 anni, il termine ordinario di prescrizione.

Gli ordini e i DDT fanno parte dei dati che ti restituiamo, i DDT in PDF. Conservarli per i tuoi obblighi contabili e fiscali (per i DDT di norma 10 anni) e per difenderti in giudizio spetta a te: dopo la restituzione li cancelliamo come il resto dei dati.

17. Informazioni e verifiche

Ti mettiamo a disposizione le informazioni che servono a dimostrare che rispettiamo questo Accordo e l'art. 28 del GDPR. Puoi fare verifiche, anche tramite una persona di tua fiducia, con un preavviso ragionevole e in orario di lavoro, senza bloccare il servizio e senza accedere ai dati di altri clienti. Di solito basta che ti rispondiamo per iscritto e ti mostriamo i documenti: se serve di più, ne parliamo.

18. Cambiamenti all'Accordo

Se cambiamo questo Accordo, ti avvisiamo direttamente per email, perché pubblicarlo sul sito non basta. Se il cambiamento è importante, ti chiediamo di accettare la versione nuova prima di continuare a usare inOrdine. Se non sei d'accordo puoi lasciare inOrdine e riavere i tuoi dati senza penali.

19. Responsabilità, legge e giudice

Ciascuna parte risponde secondo il GDPR (art. 82) e il codice civile. Questo Accordo non limita la responsabilità di nessuna delle parti.

Questo Accordo può passare a una società costituita da Roberto Nazzaro o da lui controllata, per gestire inOrdine. Ti avvisiamo per email e nel pannello almeno 30 giorni prima. Il passaggio avviene con una nuova versione dei testi, che cambia solo chi gestisce il servizio. Se non sei d'accordo, puoi smettere di usare inOrdine e chiedere la copia e la cancellazione dei tuoi dati.

Questo Accordo è regolato dalla legge italiana. Per le controversie vale il giudice competente secondo le regole ordinarie.