Informativa privacy

Versione 2026-11-04

Questa informativa spiega quali dati personali tratta MenuOlà, perché, a chi li comunica, per quanto tempo li conserva e quali diritti hai. È resa ai sensi degli articoli 13 e 14 del Regolamento (UE) 2016/679 (“GDPR”) e del D.Lgs. 196/2003. Riguarda chi usa il pannello (ristoratori e collaboratori) e chi visita il sito o apre un menu.

1. Titolare del trattamento

Calvaresi Matteo (ditta individuale), P.IVA 02520780442. Per ogni richiesta sulla privacy: info@menuola.com. Non abbiamo nominato un Responsabile della protezione dei dati: per la natura e la dimensione del trattamento non è obbligatorio (art. 37 GDPR).

2. Quali dati trattiamo

Account: nome, cognome, email, password (solo in forma cifrata non reversibile), data dell’ultimo accesso, data e versione dell’accettazione di questa informativa e dei termini.
Accesso con Google, se lo scegli: da Google riceviamo nome, cognome, email e l’identificativo del tuo account Google, che salviamo per riconoscerti, con la data in cui l’hai collegato. Non riceviamo la tua password Google né la foto o altri dati del profilo.
Collaboratori invitati: email e, se si registrano, nome e cognome. Ce li comunica il titolare del locale che li invita.
Dati del locale e contenuti: nome, indirizzo, contatti e profili social del locale, logo, colori, menu, foto e i file che carichi per farci preparare il menu (PDF o foto), con le note che ci scrivi. Di solito non sono dati personali, ma possono esserlo per esempio se il locale porta il tuo nome o se un file contiene dati di una persona: ti chiediamo di caricare solo ciò che serve al menu.
Pagamenti: piano, scadenza, importi, date ed esito dei pagamenti, gli identificativi di cliente, abbonamento e fattura assegnati da Stripe e i codici promozionali usati. Non vediamo né conserviamo i dati della carta.
Registro delle attività e dell’assistenza: quando accedi, ti registri, confermi l’email, cambi la password o modifichi il menu teniamo il tipo di azione, la data e chi l’ha fatta (mai i contenuti). Teniamo anche quali email automatiche ti abbiamo mandato e se sono partite (non il testo).
Dati tecnici: per farti restare collegato usiamo un codice di sessione. Per i limiti ai tentativi di accesso usiamo l’indirizzo IP solo in forma non riconducibile (hash con sale). Il controllo anti-abuso di Cloudflare Turnstile, sui moduli dove serve, tratta IP e dati del browser.
Comunicazioni con noi: il contenuto delle email che ci scrivi e le risposte.

Non trattiamo categorie particolari di dati (salute, opinioni, origine etnica e simili) e ti chiediamo di non inserirle. Gli allergeni del menu riguardano i piatti, non le persone.

3. Perché li trattiamo e su quale base giuridica

Fornirti il servizio: account, team, preparazione e pubblicazione del menu, QR, statistiche, email di servizio (conferma dell’indirizzo, recupero password, menu pronto, promemoria di rinnovo, pagamento non riuscito). Base: esecuzione del contratto (art. 6.1.b GDPR).
Gestire pagamenti e rinnovi in base a ciò che ci comunica Stripe. Base: esecuzione del contratto (art. 6.1.b).
Dare accesso ai collaboratori invitati dal titolare del locale. Base: esecuzione del contratto con il locale e legittimo interesse a far funzionare il team (art. 6.1.b e 6.1.f).
Proteggere account e servizio, dare assistenza e capire cosa è successo in caso di problemi: registro delle attività, limiti anti-abuso, copie di backup. Base: legittimo interesse alla sicurezza e al buon funzionamento (art. 6.1.f).
Capire come viene usato il sito, solo con conteggi aggregati. Base: legittimo interesse (art. 6.1.f).
Dimostrare cosa hai accettato e pagato e difendere i nostri diritti in caso di contestazioni. Base: legittimo interesse (art. 6.1.f).
Adempiere a obblighi di legge, anche fiscali, o a richieste dell’autorità. Base: obbligo di legge (art. 6.1.c).

Non usiamo i tuoi dati per pubblicità o profilazione, non li vendiamo e non mandiamo newsletter. Non prendiamo decisioni basate unicamente su trattamenti automatizzati che producano effetti giuridici su di te (art. 22 GDPR).

4. Cosa succede se non ci dai i dati

Nome, cognome ed email sono necessari per creare l’account, insieme alla password se non usi Google: senza non è possibile registrarsi. Senza il materiale del menu non possiamo prepararlo. I dati tecnici sono una condizione per usare il servizio.

5. A chi li comunichiamo

I dati sono trattati dal titolare e da questi fornitori, che li trattano per nostro conto come responsabili (art. 28 GDPR):

Cloudflare: hosting, database e file (conservati nell’Unione europea), rete, copie di backup, statistiche del sito, controllo anti-abuso e accesso all’area di amministrazione.
Brevo (Francia): invio delle email di servizio.

Trattano invece i dati in autonomia, con proprie informative:

Stripe (società del gruppo Stripe, tramite il servizio Link): vende il servizio come rivenditore (merchant of record), raccoglie direttamente i dati di pagamento e di fatturazione e gestisce ricevute, fatture e rimborsi. Gli comunichiamo la tua email e l’identificativo del locale. Informativa di Link, informativa di Stripe.
Google (Google Ireland Ltd.), solo se scegli di accedere con Google. Informativa di Google.

Per trascrivere il menu possiamo usare strumenti di altri fornitori, anche di intelligenza artificiale, che ricevono solo il materiale che ci mandi per il menu: per questo ti chiediamo di non inserirvi dati di persone che non servono al menu.

I dati possono essere comunicati alle autorità quando la legge lo impone. Sono pubblici solo i dati del locale e del menu che scegli di pubblicare.

6. Trasferimenti fuori dall’Unione europea

Database e file sono conservati nell’Unione europea. Alcuni fornitori, come Cloudflare, Stripe e Google, hanno società negli Stati Uniti e possono trattare dati anche fuori dall’Unione. In questi casi il trasferimento si basa sulla decisione di adeguatezza della Commissione europea per le società aderenti all’EU-US Data Privacy Framework o sulle clausole contrattuali standard approvate dalla Commissione (artt. 45 e 46 GDPR). Puoi chiederci informazioni sulle garanzie all’indirizzo del punto 1.

7. Per quanto tempo li conserviamo

Account e dati del locale: finché il servizio è attivo.
Locali non rinnovati, chiusi o mai attivati: il menu non è pubblico, ma i dati restano perché tu possa riattivarlo senza ricaricare tutto, non oltre 24 mesi dalla fine del servizio o dall’ultimo accesso. Poi li cancelliamo, salvo quanto indicato sotto.
Se chiedi la cancellazione (dalla pagina Account del pannello o per email): account e locali di cui sei l’unico titolare sono eliminati entro 30 giorni. Le copie di backup si sovrascrivono entro i 30 giorni successivi.
Sessione di accesso: 30 giorni dall’ultimo utilizzo.
Dati dei limiti ai tentativi di accesso: al massimo 2 giorni.
Elenco delle email automatiche inviate: 2 anni.
Email scambiate con noi: fino a 2 anni dall’ultima comunicazione.
Storico dei pagamenti e dei codici promozionali usati: fino a 10 anni, anche dopo la chiusura del locale, per gli obblighi contabili e per eventuali contestazioni.
Dati di pagamento e fatturazione raccolti da Stripe: per i tempi indicati nella sua informativa e dagli obblighi fiscali.

8. I tuoi diritti

Puoi chiedere gratuitamente di accedere ai tuoi dati (art. 15 GDPR), correggerli (art. 16), cancellarli (art. 17), limitarne il trattamento (art. 18), riceverli in un formato leggibile da un dispositivo (art. 20) e opporti ai trattamenti basati sul legittimo interesse (art. 21). Scrivi a info@menuola.com dall’email con cui sei registrato: rispondiamo entro un mese, prorogabile di altri due solo per richieste complesse.

Se ritieni che il trattamento violi il GDPR puoi presentare reclamo al Garante per la protezione dei dati personali o all’autorità del paese in cui vivi o lavori (art. 77 GDPR), oppure rivolgerti a un giudice.

9. Il menu pubblico e il sito

Il menu che vedono i clienti del locale non usa cookie, non chiede dati personali e non richiede un account. Contiamo solo quante volte viene aperto, senza salvare indirizzi IP. Come per ogni sito, la richiesta passa dalla rete di Cloudflare, che tratta l’indirizzo IP per consegnare la pagina e proteggerla.

Sul sito usiamo Cloudflare Web Analytics, che non usa cookie né assegna identificativi: vediamo solo totali come visite, pagine e paese.

10. Cookie e memoria del browser

MenuOlà non usa cookie di profilazione, di statistica o pubblicitari, né propri né di terzi. Usa solo strumenti tecnici: per questi la legge non richiede il consenso (art. 122 del Codice privacy e Linee guida del Garante del 10 giugno 2021), per questo non vedi un banner.

Cookie di sessione del pannello: ti tiene collegato, per 30 giorni dall’ultimo uso.
Cookie dell’accesso con Google: lega al tuo browser l’accesso in corso e dura pochi minuti.
Memoria locale del browser: nel pannello ricorda il locale selezionato, le sezioni che hai chiuso e un codice promozionale non ancora usato. Nella demo salva le prove che fai e i passi della guida, solo sul tuo dispositivo.

Se paghi o accedi con Google si apre una pagina di Stripe o di Google, dove valgono i cookie e le regole di quei servizi.

11. Sicurezza

Adottiamo misure adeguate al rischio (art. 32 GDPR): comunicazioni cifrate (HTTPS), password salvate solo come hash, accesso di ogni utente ai soli dati dei propri locali, limiti ai tentativi ripetuti, copie di backup nell’Unione europea e accesso protetto all’area di amministrazione. Se una violazione dei dati comporta un rischio elevato per te, ti avvisiamo senza ritardo (art. 34 GDPR).

12. Minori

Il servizio è per chi gestisce un’attività: per creare un account devi essere maggiorenne. Se scopri che un minore ha creato un account, scrivici e lo cancelliamo.

13. Modifiche

Se cambiamo questa informativa in modo sostanziale te lo comunichiamo via email. La versione in cima indica l’ultimo aggiornamento.