Informativa sul trattamento dei dati personali
Ai sensi degli artt. 12, 13 e 14 del Regolamento (UE) 2016/679 (di seguito "GDPR"), il presente documento fornisce le informazioni relative al trattamento dei dati personali degli utenti del sito e dei clienti dei locali a marchio Say CHEESE Bistrot.
1. Titolare del trattamento
Titolare del trattamento, ai sensi dell'art. 4, n. 7 del GDPR, è:
Foody Solutions Milano S.r.l.
Viale Andrea Doria, 44 — 20124 Milano (MI), Italia
P. IVA / C.F. 10611730960 — REA MI-2545057
E-mail per l'esercizio dei diritti: info@saycheesebistrot.com
PEC: foody.solutions.milano@pec.it
2. Responsabile della protezione dei dati (DPO)
Il Titolare non è tenuto alla nomina di un Responsabile della protezione dei dati ai sensi dell'art. 37 del GDPR e non ha proceduto a tale designazione. Ogni richiesta relativa al trattamento dei dati personali può essere rivolta direttamente al Titolare ai recapiti indicati al punto 1.
3. Categorie di dati trattati
A seconda del servizio utilizzato, il Titolare tratta le seguenti categorie di dati:
- Dati anagrafici e di contatto: nome, cognome, indirizzo e-mail, numero di telefono cellulare, eventuale ragione sociale e indirizzo, data di nascita e genere (se forniti volontariamente).
- Dati di account: identificativo utente, credenziali di accesso gestite tramite provider di autenticazione, immagine del profilo (se fornita), preferenze di lingua.
- Dati relativi alle prenotazioni: data, orario, numero di ospiti, locale prescelto, servizi e menù selezionati, note e richieste particolari, eventuali preferenze o intolleranze alimentari comunicate dall'interessato, storico delle prenotazioni ed eventuali mancate presentazioni.
- Dati di pagamento: importo, esito e identificativo della transazione. Il Titolare non raccoglie né conserva i dati completi delle carte di pagamento, trattati direttamente dal fornitore del servizio di pagamento (punto 9).
- Dati relativi al pagamento del conto al tavolo: contenuto del conto (consumazioni, quantità, prezzi, sconti), locale, tavolo e numero di coperti, quota o consumazioni prese in carico da ciascun pagatore, nome di battesimo o etichetta visualizzata agli altri commensali, importi e stato dei pagamenti, riferimenti del documento commerciale emesso, registrazioni tecniche della sessione. Si veda il punto 6.
- Dati relativi al programma fedeltà: numero identificativo della tessera, programmi ai quali l'interessato è iscritto, saldo punti, registro dei movimenti (accrediti, riscatti, rettifiche, scadenze) con data, locale e causale, ed eventuale riferimento ai prodotti acquistati quando previsto dalle regole del programma. Si veda il punto 5.
- Dati relativi a coupon e promozioni: buoni emessi, stato di utilizzo, campagna di provenienza.
- Dati di navigazione e cookie: indirizzo IP, tipo di browser e dispositivo, pagine visitate, secondo quanto indicato nella Cookie Policy (punto 14).
- Immagini e riprese video effettuate all'interno dei locali, esclusivamente previo consenso e per la finalità indicata al punto 4.
Il Titolare non tratta consapevolmente categorie particolari di dati ai sensi dell'art. 9 del GDPR. Le informazioni su intolleranze o preferenze alimentari eventualmente comunicate dall'interessato sono trattate al solo fine di erogare il servizio richiesto e non sono utilizzate per altre finalità.
4. Finalità del trattamento, basi giuridiche e periodi di conservazione
| # | Finalità | Base giuridica | Conservazione |
|---|---|---|---|
| a | Gestione delle prenotazioni, dei servizi richiesti e delle relative comunicazioni di servizio | Esecuzione di un contratto o di misure precontrattuali — art. 6(1)(b) | 24 mesi dall'ultima prenotazione; i documenti con rilevanza contabile 10 anni (art. 2220 c.c.) |
| b | Creazione e gestione dell'account utente | Esecuzione del contratto — art. 6(1)(b) | Per tutta la durata dell'account e 30 giorni dalla sua cancellazione, salvo obblighi di legge |
| c | Gestione dei pagamenti, emissione di ricevute e fatture, adempimenti fiscali e contabili | Obbligo legale — art. 6(1)(c) | 10 anni (art. 2220 c.c. e normativa fiscale) |
| d | Riscontro a richieste di informazioni e assistenza | Esecuzione di misure precontrattuali / legittimo interesse — art. 6(1)(b) e (f) | 24 mesi dall'ultimo contatto |
| e | Programma fedeltà: iscrizione, attribuzione della tessera, accumulo e riscatto dei punti, comunicazioni relative al programma (benvenuto, saldo, scadenza punti) | Consenso — art. 6(1)(a) | Anagrafica: fino a revoca del consenso o cessazione del programma, e successivi 24 mesi. Registro movimenti: 10 anni per finalità contabili |
| f | Invio di newsletter, comunicazioni promozionali, inviti a eventi e offerte, tramite e-mail e messaggistica (incluso WhatsApp) | Consenso — art. 6(1)(a) | 24 mesi dall'ultimo contatto o dall'ultima interazione, salvo revoca anticipata |
| g | Pubblicazione di riprese fotografiche e video effettuate nei locali sui canali social e istituzionali | Consenso — art. 6(1)(a) | Fino a revoca del consenso |
| h | Emissione e gestione di coupon e buoni promozionali | Esecuzione del contratto — art. 6(1)(b) | 24 mesi dalla scadenza del coupon |
| i | Sicurezza del sito, prevenzione di abusi e utilizzi fraudolenti dei servizi | Legittimo interesse — art. 6(1)(f) | 12 mesi |
| j | Statistiche di utilizzo del sito in forma aggregata e cookie | Consenso, ove richiesto — si veda la Cookie Policy | Si veda la Cookie Policy |
| k | Accertamento, esercizio o difesa di un diritto in sede giudiziaria | Legittimo interesse — art. 6(1)(f) | Per la durata del contenzioso e fino ai termini di prescrizione |
| l | Pagamento del conto al tavolo: consultazione del conto, suddivisione tra i commensali, esecuzione del pagamento ed emissione del documento commerciale a ciascun pagatore | Esecuzione di un contratto — art. 6(1)(b); per l'emissione del documento fiscale, obbligo legale — art. 6(1)(c) | Importi, esito e riferimenti del documento fiscale: 10 anni (art. 2220 c.c.). Dettaglio della sessione (contenuto del conto, suddivisione, log tecnici): 12 mesi |
| m | Profilazione: analisi dello storico degli ordini, delle prenotazioni e dei movimenti del programma fedeltà, al fine di formulare offerte e comunicazioni personalizzate | Consenso — art. 6(1)(a) | 12 mesi dall'ultima interazione o dalla revoca del consenso |
Decorsi i termini indicati, i dati sono cancellati o resi anonimi in forma irreversibile.
5. Programma fedeltà — informazioni specifiche
5.1 Come funziona
L'adesione al programma fedeltà è facoltativa e avviene su richiesta dell'interessato, tramite il sito o presso i locali. All'atto dell'adesione viene assegnato un numero identificativo di tessera a 13 cifre, che non contiene informazioni personali e non è derivato da dati anagrafici, e resta associato al suo account.
Il Titolare registra i punti accumulati e riscattati in un registro dei movimenti, che riporta per ciascuna operazione data, locale, causale, punti e — quando la regola del programma lo prevede (ad esempio promozioni legate a specifici prodotti) — il riferimento ai prodotti acquistati.
5.2 Cosa non viene fatto
Il Titolare non utilizza i dati del programma fedeltà per profilare le abitudini di acquisto dell'interessato né per costruire profili individuali a fini di marketing personalizzato, salvo che l'interessato abbia prestato l'ulteriore e separato consenso alla profilazione di cui al punto 4, lettera m, e al punto 12. In assenza di tale consenso, i dati del programma fedeltà restano utilizzati esclusivamente per le finalità di cui al punto 4, lettera e.
L'adesione al programma fedeltà non comporta l'iscrizione a newsletter o comunicazioni promozionali, che restano soggette a un consenso distinto (punto 4, lettera f).
5.3 Programmi riservati a partner e convenzioni
Alcuni programmi fedeltà possono essere riservati a specifiche categorie di clienti, ad esempio dipendenti di aziende convenzionate. Il Titolare non comunica all'azienda convenzionata i dati individuali di adesione, di saldo punti o di acquisto; eventuali comunicazioni avvengono esclusivamente in forma aggregata e anonima.
5.4 Revoca
Il consenso al programma fedeltà è revocabile in qualsiasi momento (punto 13). La revoca comporta la cessazione dell'accumulo di punti e la perdita del saldo residuo. Il registro dei movimenti già effettuati è conservato per il periodo indicato al punto 4, lettera e, in quanto documenta operazioni con rilevanza contabile.
6. Pagamento del conto al tavolo — informazioni specifiche
Le informazioni che seguono si applicano qualora l'interessato scelga di utilizzare il servizio di pagamento del conto dal sito. L'utilizzo del servizio è facoltativo: il conto può sempre essere saldato in cassa con le modalità ordinarie.
6.1 Come funziona
Il servizio consente di consultare il conto del tavolo e di pagarlo, in tutto o in parte, tramite un codice numerico temporaneo fornito dal personale di sala. La consultazione del conto non richiede l'accesso all'account; l'accesso è richiesto solo per procedere al pagamento, necessario per riferire il pagamento a una persona e per l'intestazione del documento fiscale.
6.2 Dati visibili agli altri commensali
Quando più persone dello stesso tavolo pagano separatamente, ciascun partecipante alla sessione vede, per le quote o consumazioni ancora da pagare, il nome di battesimo (o l'etichetta) e l'importo di chi le sta pagando.
6.3 Documento fiscale
A ciascun pagamento corrisponde l'emissione di un documento commerciale da parte del registratore telematico del locale, per il tramite del sistema di cassa (punto 9). L'emissione non richiede dati identificativi: al sistema di cassa è trasmesso il solo nome di battesimo dell'interessato, per riferire il documento a chi ha pagato. L'invio della copia di cortesia via e-mail è preselezionato nel flusso di pagamento e può essere disattivato prima di pagare: se resta attivo, al sistema di cassa sono trasmessi anche l'indirizzo e-mail e i dati necessari a registrare l'interessato come cliente.
6.4 Misure tecniche
A fini di sicurezza, il Titolare associa i tentativi di accesso al conto a un valore derivato in modo non reversibile dall'indirizzo IP (punto 4, lettera i) e registra le operazioni della sessione in un log tecnico a fini di sicurezza e di prova dell'operazione.
6.5 Cosa non viene fatto
Il dettaglio delle consumazioni pagate non è utilizzato per profilare le abitudini di consumo dell'interessato né per costruire profili individuali (punto 12). È trattato in quanto contenuto del conto e del documento fiscale e conservato per i periodi indicati al punto 4, lettera l.
7. Natura del conferimento dei dati
Il conferimento dei dati indicati alle lettere a, b, c, h ed l del punto 4 è necessario: in mancanza, non è possibile dare corso alla prenotazione, gestire l'account o eseguire il pagamento.
Il conferimento dei dati per le finalità di cui alle lettere e, f, g e m è facoltativo. Il rifiuto o la successiva revoca non comportano alcuna conseguenza sulla possibilità di fruire dei servizi di ristorazione e prenotazione, salva l'impossibilità di partecipare al programma fedeltà, di ricevere comunicazioni promozionali, di comparire nei contenuti pubblicati o di ricevere offerte personalizzate, rispettivamente.
I consensi sono raccolti separatamente per ciascuna finalità e sono revocabili in ogni momento e indipendentemente l'uno dall'altro, dall'area personale del sito o scrivendo ai recapiti indicati al punto 1.
8. Modalità del trattamento
Per trattamento di dati personali si intende la loro raccolta, registrazione, organizzazione, conservazione, elaborazione, modificazione, selezione, estrazione, raffronto, utilizzo, interconnessione, blocco, comunicazione, diffusione, cancellazione e distruzione, ovvero la combinazione di due o più di tali operazioni, anche attraverso strumenti automatizzati atti a memorizzare, gestire e trasmettere i dati stessi, utilizzando strumenti idonei a garantire la sicurezza e la riservatezza.
La banca dati è accessibile solo da parte del personale autorizzato dal Titolare e opportunamente istruito. Il trattamento avviene attraverso mezzi elettronici o automatizzati e attraverso mezzi non automatizzati (archivi cartacei), entrambi dotati di misure di sicurezza tecniche e organizzative adeguate ai sensi dell'art. 32 del GDPR, tra cui il controllo degli accessi basato su ruoli, la cifratura delle comunicazioni e la registrazione delle operazioni effettuate dal personale. I dati raccolti non sono utilizzati per finalità diverse da quelle indicate al punto 4.
9. Destinatari dei dati e responsabili del trattamento
I dati personali possono essere comunicati, per le sole finalità indicate al punto 4, ai seguenti soggetti, che agiscono in qualità di responsabili del trattamento ai sensi dell'art. 28 del GDPR o di titolari autonomi:
| Categoria | Finalità | Note |
|---|---|---|
| Fornitore di servizi cloud e di infrastruttura applicativa (Google Ireland Ltd. — Firebase / Google Cloud Platform) | Ospitalità del sito, autenticazione, banca dati, elaborazioni server | Dati ospitati in data center dell'Unione Europea (Belgio e Italia) |
| Fornitore di servizi di pagamento con carta (Stripe Payments Europe Ltd.) | Gestione dei pagamenti online, incluso il pagamento del conto al tavolo | Titolare autonomo per i dati della carta |
| Fornitore di servizi di pagamento tramite applicazione (Satispay Europe S.A. / Satispay S.p.A. Società Benefit) | Pagamento del conto al tavolo tramite l'applicazione Satispay | Titolare autonomo per i dati dell'operazione. Soggetto stabilito nello Spazio Economico Europeo — 【entità contrattuale da confermare all'attivazione】 |
| Fornitori di servizi di invio e-mail (SendGrid / Twilio, servizio SMTP del Titolare) | Comunicazioni di servizio e transazionali | — |
| Piattaforma di e-mail marketing (Intuit Mailchimp) | Invio di newsletter e comunicazioni promozionali | Solo per gli interessati che abbiano prestato il consenso |
| Fornitore del sistema di cassa e gestionale (Tilby / Scloby) | Gestione di comande, conti, emissione dei documenti commerciali — anche a seguito di pagamento dal sito — e programma fedeltà presso i locali | Riceve il nome di battesimo del pagatore per riferirgli il documento commerciale; l'indirizzo e-mail se la copia di cortesia non viene disattivata |
| Fornitore della piattaforma di gestione dei consensi cookie (Cookiebot / Usercentrics) | Raccolta e registrazione delle preferenze sui cookie | — |
| Fornitore di servizi di analisi statistica (Google Analytics, tramite Google Tag Manager) | Statistiche aggregate di utilizzo | Attivato solo previo consenso, si veda la Cookie Policy |
| Servizi di messaggistica (WhatsApp — Meta Platforms Ireland Ltd.) | Comunicazioni di servizio e, previo consenso, promozionali | Titolare autonomo per i dati di traffico della piattaforma |
| Piattaforme di prenotazione di terze parti | Ricezione di prenotazioni effettuate su tali piattaforme | Si veda il punto 11 |
| Consulenti, professionisti e società di servizi (contabilità, assistenza legale, assistenza informatica) | Adempimenti amministrativi, fiscali e legali | — |
I dati possono inoltre essere comunicati ad autorità pubbliche in adempimento di obblighi di legge. I dati non sono oggetto di diffusione, fatta eccezione per le immagini pubblicate previo consenso ai sensi del punto 4, lettera g.
Nell'ambito del pagamento del conto al tavolo, i dati indicati al punto 6.2 sono inoltre visibili agli altri partecipanti alla medesima sessione di pagamento, nei limiti e per le finalità ivi indicati.
L'elenco aggiornato dei responsabili del trattamento è disponibile su richiesta ai recapiti indicati al punto 1.
10. Trasferimento di dati al di fuori dello Spazio Economico Europeo
Alcuni dei fornitori indicati al punto 9 hanno sede o utilizzano infrastrutture negli Stati Uniti d'America. Tali trasferimenti avvengono esclusivamente in presenza di adeguate garanzie ai sensi del Capo V del GDPR, e in particolare:
- sulla base della decisione di adeguatezza della Commissione europea del 10 luglio 2023 relativa al EU–U.S. Data Privacy Framework, per i fornitori che vi abbiano aderito;
- in alternativa, sulla base delle Clausole Contrattuali Standard adottate dalla Commissione europea, integrate ove necessario da misure supplementari.
Copia delle garanzie adottate può essere richiesta ai recapiti indicati al punto 1.
11. Origine dei dati non raccolti presso l'interessato
Il Titolare può ricevere dati personali anche da fonti diverse dall'interessato, e in particolare:
- da piattaforme di prenotazione e portali di terze parti (a titolo esemplificativo TheFork, Quandoo, OpenTable, TripAdvisor, Groupon), quando la prenotazione sia effettuata tramite tali servizi;
- dal sistema di cassa e gestionale dei locali, per le operazioni effettuate in loco, ivi compreso il contenuto del conto del tavolo reso disponibile per il pagamento dal sito (punto 6);
- da provider di autenticazione (Google), limitatamente ai dati di profilo necessari all'accesso, quando l'interessato scelga tale modalità di registrazione.
In tali casi le categorie di dati trattati sono quelle indicate al punto 3 e le finalità restano quelle di cui al punto 4.
12. Processi decisionali automatizzati e profilazione
Il Titolare non effettua trattamenti che consistano in processi decisionali automatizzati, ivi compresa la profilazione, che producano effetti giuridici sull'interessato o che incidano in modo analogamente significativo sulla sua persona ai sensi dell'art. 22 del GDPR.
Il calcolo automatico dei punti del programma fedeltà, effettuato in base a regole predeterminate e rese note all'interessato, non costituisce profilazione e non produce gli effetti sopra indicati.
Allo stesso modo, la registrazione delle consumazioni pagate tramite il servizio di pagamento del conto al tavolo (punto 6) risponde all'esecuzione del contratto e all'emissione del documento fiscale, e non è utilizzata per costruire profili individuali né per formulare offerte personalizzate.
Previo consenso specifico e separato (punto 4, lettera m), il Titolare effettua attività di profilazione: l'analisi dello storico degli ordini, delle prenotazioni e dei movimenti del programma fedeltà, allo scopo di formulare offerte e comunicazioni personalizzate. Tale attività non comporta alcuna decisione basata unicamente sul trattamento automatizzato che produca effetti giuridici o incida in modo analogamente significativo sull'interessato: il profilo costruito è utilizzato soltanto per selezionare quali comunicazioni commerciali proporre, non per determinare l'accesso ai servizi, il prezzo praticato o qualsiasi altra condizione contrattuale.
Il consenso alla profilazione è revocabile in qualsiasi momento, autonomamente e indipendentemente dagli altri consensi, dall'area personale del sito (punto 13). I dati utilizzati a questo fine sono conservati per il periodo indicato al punto 4, lettera m.
13. Diritti dell'interessato
L'interessato ha diritto di ottenere dal Titolare, nei casi previsti:
- l'accesso ai propri dati personali (art. 15);
- la rettifica dei dati inesatti o l'integrazione di quelli incompleti (art. 16);
- la cancellazione dei dati, c.d. diritto all'oblio (art. 17);
- la limitazione del trattamento (art. 18);
- la portabilità dei dati, ossia di riceverli in un formato strutturato, di uso comune e leggibile da dispositivo automatico, e di trasmetterli a un altro titolare (art. 20);
- l'opposizione al trattamento (art. 21), compresa in ogni momento e senza necessità di motivazione l'opposizione al trattamento per finalità di marketing diretto;
- di non essere sottoposto a una decisione basata unicamente sul trattamento automatizzato (art. 22).
Ove il trattamento sia fondato sul consenso, l'interessato può revocarlo in qualsiasi momento ai sensi dell'art. 7, par. 3 del GDPR, con la medesima facilità con cui lo ha prestato e senza che ciò pregiudichi la liceità del trattamento effettuato prima della revoca. La revoca può essere esercitata autonomamente dall' area personale del sito, sezione preferenze e consensi, ovvero scrivendo ai recapiti indicati al punto 1. Ogni comunicazione promozionale contiene inoltre un collegamento per la gestione delle preferenze e la disiscrizione.
Le richieste sono evase senza ingiustificato ritardo e comunque entro un mese dal ricevimento, prorogabile di due mesi in caso di particolare complessità.
L'interessato ha altresì diritto di proporre reclamo all'Autorità di controllo (art. 77 del GDPR):
14. Cookie e tecnologie similari
Il sito utilizza cookie e tecnologie similari secondo quanto descritto nella Cookie Policy, consultabile all'indirizzo 【https://saycheesebistrot.com/cookie-policy】, ove sono indicate le singole categorie di cookie, le relative finalità e le modalità per modificare in ogni momento le proprie preferenze.
15. Modifiche alla presente informativa
Il Titolare si riserva di modificare o aggiornare la presente informativa, anche in conseguenza di variazioni della normativa applicabile o dei servizi offerti. La versione aggiornata è pubblicata su questa pagina con indicazione della data di ultimo aggiornamento. In caso di modifiche sostanziali che incidano sui trattamenti fondati sul consenso, il Titolare ne darà comunicazione agli interessati e, ove necessario, richiederà un nuovo consenso.
Versione: v20260810 — ultimo aggiornamento: 10 agosto 2026