Informativa sulla privacy

Il titolare del trattamento è Mindblast S.r.l., Via Alberto Sordi 16, Frosinone (FR), P. IVA IT03275040602.

Per qualsiasi questione relativa ai dati personali puoi scrivere a info@mindblast.it. Non è stato nominato un responsabile della protezione dei dati (DPO): il servizio non rientra nei casi in cui la nomina è obbligatoria.

Il servizio ha due piani diversi e conviene tenerli separati, perché cambiano gli obblighi e l'interlocutore a cui rivolgersi.

• Mindblast è titolare per i dati di chi apre un account su Menù Stress: registrazione, autenticazione, gestione del rapporto, assistenza, sicurezza della piattaforma.
• Mindblast è responsabile del trattamento (art. 28 GDPR) per i dati che il gestore inserisce nella piattaforma e di cui è lui il titolare: i numeri di telefono degli operatori WhatsApp che abilita, i contenuti dei menu e le fotografie che carica. Su questi dati agiamo secondo le sue istruzioni.

In pratica: se sei un collaboratore il cui numero è stato abilitato da un locale, puoi rivolgerti sia a noi sia al locale che ti ha inserito. Noi inoltriamo comunque la richiesta al gestore quando la decisione spetta a lui.

Trattiamo solo quanto serve a far funzionare il servizio. Non acquistiamo dati da terzi e non facciamo profilazione né pubblicità.

È il trattamento meno intuitivo, quindi lo descriviamo passo per passo. Quando un operatore abilitato scrive al numero WhatsApp del servizio succede questo:

• Meta consegna il messaggio a un nostro endpoint tramite la WhatsApp Business Cloud API. La richiesta è firmata: se la firma non è valida viene rifiutata senza essere elaborata.
• Registriamo l'identificativo tecnico del messaggio con l'istante di ricezione. Serve solo a riconoscere i rinvii di Meta ed evitare di applicare due volte la stessa modifica: di quel registro non fa parte il contenuto del messaggio.
• Verifichiamo che il numero mittente corrisponda a un operatore attivo. In caso contrario la lavorazione si ferma qui.
• Il testo del messaggio, insieme all'elenco dei menu, delle categorie, dei prodotti e dei prezzi del locale, viene inviato a un modello linguistico di OpenAI, che lo traduce in una singola operazione sul menu. Il numero di telefono non viene inviato al modello.
• Se il messaggio contiene una fotografia, la scarichiamo dai server di Meta — i loro indirizzi scadono dopo poco — e la archiviamo nello storage del nostro database, per poterla associare al piatto.
• La proposta di modifica resta in attesa finché non arriva una conferma esplicita. Nel frattempo conserviamo, per quel numero, lo stato della conversazione e l'ultimo messaggio, che servono a interpretare la risposta successiva.
• La risposta viene inviata al numero attraverso Meta. Non inviamo messaggi promozionali e non usiamo il numero per contattarti al di fuori della conversazione che hai iniziato tu.

Il cliente che inquadra il QR al tavolo non deve registrarsi, non deve installare niente e non gli chiediamo alcun dato. La pagina del menu non usa cookie, non carica strumenti di statistica o di tracciamento e non profila chi la visita.

Restano i soli dati tecnici inevitabili per consegnare una pagina web: indirizzo IP e informazioni sulla richiesta, trattati dai nostri fornitori di hosting e di database nei log descritti sopra e conservati secondo i loro cicli di rotazione.

Usiamo esclusivamente cookie tecnici, quelli necessari a tenere aperta la sessione di chi accede al pannello. Sono impostati da Clerk sulle pagine di accesso, registrazione e sul pannello stesso.

Non usiamo cookie di profilazione, cookie pubblicitari, pixel di terze parti o strumenti di analytics. Per questo non trovi un banner di consenso: i cookie tecnici non lo richiedono.

Per erogare il servizio ci appoggiamo ai fornitori qui sotto, che trattano i dati come responsabili o sub-responsabili, sulla base di appositi accordi.

• Clerk, Inc. (Stati Uniti) — autenticazione e gestione degli account. Informativa
• Convex, Inc. (Stati Uniti) — database, archiviazione dei file ed esecuzione delle funzioni applicative. Informativa
• Vercel, Inc. (Stati Uniti) — hosting e distribuzione del sito e del menu pubblico. Informativa
• Meta Platforms Ireland Ltd. / WhatsApp Ireland Ltd. — recapito dei messaggi tramite la WhatsApp Business Cloud API. Condizioni per le aziende
• OpenAI — interpretazione del testo dei messaggi WhatsApp. Informativa

Alcuni di questi fornitori hanno sede o infrastrutture negli Stati Uniti. I trasferimenti avvengono sulla base delle clausole contrattuali tipo approvate dalla Commissione europea e, dove applicabile, dell'adesione del fornitore al Data Privacy Framework UE-USA.

Oltre a questi, i dati possono essere comunicati a consulenti e professionisti vincolati al segreto, e alle autorità quando previsto dalla legge. Non vendiamo dati personali e non li cediamo a terzi per finalità di marketing.

• Account, locali, menu e contenuti: per tutta la durata del rapporto. Alla chiusura dell'account o alla richiesta di cancellazione vengono eliminati entro 30 giorni.
• Elementi rimossi dal menu: restano in forma recuperabile finché esiste il locale, perché la rimozione è annullabile dalla cronologia.
• Numeri degli operatori: finché il gestore li mantiene abilitati. La rimozione dal pannello cancella subito il numero dall'elenco degli operatori.
• Sessione della conversazione WhatsApp: un solo record per numero, che contiene lo stato, l'ultimo messaggio e l'eventuale proposta in attesa. Viene sovrascritto a ogni nuovo messaggio, quindi non si accumula uno storico delle conversazioni.
• Registro anti-duplicato dei webhook: conserviamo l'identificativo tecnico del messaggio assegnato da Meta e l'istante di ricezione, senza il contenuto. Alla data di questa informativa non è attiva una cancellazione automatica programmata di questo registro: i record vengono eliminati insieme agli altri dati del locale quando dai seguito a una richiesta di cancellazione.
• Registro delle modifiche: finché esiste il locale, perché è ciò che rende possibile annullare una modifica e ricostruirne l'origine.
• Log tecnici: per il tempo di rotazione previsto dai fornitori, di norma poche settimane.

• Tutte le comunicazioni avvengono su connessioni cifrate.
• I messaggi in arrivo da Meta sono accettati solo se la firma crittografica della richiesta è valida, verificata con un confronto a tempo costante.
• Ogni operazione sui dati di un locale verifica che chi la richiede ne sia il proprietario o un operatore attivo; l'autorizzazione viene ricontrollata anche al momento della conferma, non solo quando la modifica viene proposta.
• Il modello linguistico può solo proporre: gli identificativi che restituisce vengono validati dal server sullo stato reale del menu prima che qualsiasi cosa venga scritta.
• Le operazioni distruttive richiedono una conferma esplicita e restano annullabili dalla cronologia.

Puoi esercitare in qualsiasi momento i diritti previsti dagli articoli 15-22 del GDPR:

• accesso ai dati che ti riguardano e a una copia degli stessi;
• rettifica dei dati inesatti e integrazione di quelli incompleti;
• cancellazione, nei casi previsti dalla legge;
• limitazione del trattamento;
• portabilità, in formato strutturato e leggibile da un dispositivo automatico;
• opposizione ai trattamenti fondati sul legittimo interesse, per motivi legati alla tua situazione particolare;
• revoca del consenso, dove il trattamento si fondi su di esso, senza effetto su quanto già svolto.

Hai inoltre diritto di proporre reclamo al Garante per la protezione dei dati personali, Piazza Venezia 11, 00187 Roma — garanteprivacy.it.

Non trattiamo dati di minori

Il servizio si rivolge a esercizi commerciali e ai loro collaboratori. Non è pensato per minori di 16 anni e non raccogliamo consapevolmente i loro dati.

La procedura completa, con l'elenco delle informazioni da indicare, i tempi di risposta e ciò che puoi fare da solo dal pannello, è descritta nella pagina Accesso ed eliminazione dei dati.

In sintesi: scrivi a info@mindblast.it indicando chi sei, in quale veste ci scrivi e cosa chiedi. Rispondiamo entro 30 giorni; se la richiesta è complessa possiamo prorogare il termine di ulteriori due mesi, avvisandoti prima della scadenza.

Se cambiamo il funzionamento del servizio in modo che incida sui trattamenti descritti, aggiorniamo questa pagina e la data in cima. Quando la modifica è rilevante avvisiamo i titolari degli account per email prima che diventi efficace.