Accordo sul trattamento dei dati personali (DPA, art. 28 GDPR)

Bozza da revisione legale — versione del 15/10/2026. Descrive le misure e i fornitori realmente in uso alla data indicata. Le parti tra parentesi quadre sono da completare o verificare.

1. Parti

Titolare del trattamento: l'azienda cliente che ha sottoscritto l'abbonamento a Pot Workspace — [ragione sociale, sede, P.IVA, legale rappresentante] ("Cliente").

Responsabile del trattamento: Pot-Ato Tech Labs — [ragione sociale completa, forma giuridica, sede legale, P.IVA/C.F.] ("Fornitore"). Contatto: francesco.maccione@pot-ato.dev

Questo accordo fa parte del contratto di servizio (Termini e condizioni) e prevale su di esso per tutto ciò che riguarda il trattamento dei dati personali.

2. Oggetto e durata

Il Fornitore tratta i dati personali per conto del Cliente al solo scopo di erogare la piattaforma Pot Workspace (web e app mobile) e i moduli attivati dal Cliente, per la durata del contratto e per il periodo successivo necessario alla restituzione e cancellazione dei dati (punto 12).

3. Natura e finalità del trattamento

Raccolta, registrazione, conservazione, consultazione, elaborazione (calcolo di ore, presenze, costi, scadenze), lettura automatica di documenti su richiesta dell'utente (solo con il modulo "Lettura documenti AI" attivo), risposte in sola lettura a domande scritte o vocali degli utenti sui dati del Cliente (solo con il modulo "Assistente AI" attivo), estrazione ed esportazione su richiesta del Cliente, cancellazione. Finalità: gestione degli adempimenti HACCP, del personale (turni, presenze, assenze, documenti del lavoro, note spese, benefit, comunicazioni), dei fornitori, della produzione, del magazzino e della gestione commerciale del Cliente (catalogo, clienti, listini, ordini e loro passaggio in produzione, documenti di vendita, incassi, chiusure di cassa e report interni calcolati da questi).

4. Categorie di interessati

dipendenti, collaboratori, apprendisti, lavoratori a chiamata e stagionali del Cliente;
titolari, amministratori e utenti del Cliente;
consulenti del Cliente che accedono alla piattaforma;
fornitori del Cliente (inclusi referenti e ditte individuali).
clienti del Cliente (privati, ditte individuali e referenti di aziende).

5. Categorie di dati

dati anagrafici e di contatto; codice fiscale (facoltativo);
dati del rapporto di lavoro: mansione, contratto, ore, sede, reparto, turni, ferie e permessi;
timbrature (ora del server, modalità, esito delle verifiche), correzioni con motivo, approvazioni;
esito della verifica di posizione (distanza in metri e dentro/fuori raggio, solo se attivata dal Cliente; le coordinate non vengono salvate); indirizzi IP pubblici della postazione di sede (non dei telefoni);
buste paga, CU, F24 e importi retributivi e contributivi; note spese e ricevute; benefit;
conferme di lettura di comunicazioni e documenti; firme grafiche sui registri;
compiti di turno: cosa è assegnato a chi, quando è stato fatto e da chi (anche per ogni voce della lista), note, motivo del "non riesco" e foto del lavoro fatto (ridotta, con una piccola anteprima conservata e cancellata insieme alla foto);
attestati, visite mediche (date e scadenze, periodicità in mesi indicata dall'azienda), designazione come addetto al primo soccorso o antincendio, DPI, corsi; stato dei documenti obbligatori calcolato dalle regole impostate dal Cliente (solo promemoria, nessuna decisione automatizzata);
avvisi automatici giornalieri calcolati con regole fisse, senza intelligenza artificiale, che il Cliente può spegnere una per una (Impostazioni → Avvisi): anomalie di presenza del giorno prima, richieste e note spese in attesa, compiti in sospeso, giorni di lavoro a chiamata da comunicare, ferie residue sopra una soglia scelta dal Cliente (spento di serie), oltre agli avvisi sui registri HACCP e sul magazzino; sono notifiche nella piattaforma per il titolare e per chi ha un permesso di responsabile nell'ambito del dipendente, conservate come le altre notifiche (90 giorni se lette, 12 mesi se non lette); nessuna decisione automatizzata;
categorie particolari (art. 9 GDPR): dati relativi alla salute contenuti in richieste di malattia (date, numero di protocollo del certificato, giustificativo allegato), nelle buste paga (giorni di malattia) e negli allegati delle visite mediche;
anagrafica dei clienti del Cliente: nome o ragione sociale, codice fiscale, partita IVA, codice destinatario, PEC, contatti, indirizzo, azienda di appartenenza, condizioni di prezzo, note libere [da valutare con il legale: note libere che possono contenere dati sulla salute]; importabile da un file CSV preparato dal Cliente (letto al momento e non conservato) ed esportabile in CSV da chi ha la funzione Clienti con il permesso di modifica (non con la sola consultazione); comune, provincia e CAP degli indirizzi sono suggeriti da elenchi pubblici (ISTAT, GeoNames) conservati sul server della piattaforma, senza inviare nulla a terzi;
ordini dei clienti del Cliente: cliente o nome e telefono, sede, una o più consegne (giorno e ora di ritiro o indirizzo di consegna, nota, stato), canale, righe (articoli, quantità, personalizzazioni, prezzi, sconti, IVA, vetrina o produzione), totale, acconti (importo, metodo, giorno, tipo e riferimento del documento, nota: promemoria, nessun incasso e nessun dato di carte di pagamento), note, stato, motivo dell'annullamento; importabili da un file CSV del Cliente (in bozza, file non conservato) ed esportabili in CSV o PDF (codice fiscale e PEC di un cliente privato nel PDF solo per chi ha anche la funzione Clienti; ogni stampa o PDF registrata nel registro azioni senza il contenuto); con la funzione «Allegati degli ordini» (attivata per singola azienda), fino a 10 foto o PDF per ordine con una nota breve (foto mandate dai clienti, che possono ritrarre persone; ricodificate senza dati dello scatto né posizione GPS, PDF al massimo 8 MB; file nell'archivio dei file in UE, spazio massimo per azienda); alla chiusura di una consegna, a scelta, il collegamento a un DDT, a un conto chiuso (documento di gestione non fiscale con righe, pagamenti non elettronici, anche la parte ancora da incassare, acconti dell'ordine e nome del cliente copiato dall'ordine; immutabile, conservato come i documenti di vendita) o i dati di un documento fiscale emesso altrove; alla consegna dei prodotti presi dalla vetrina, un'uscita nel magazzino HACCP del Cliente con riferimento all'ordine e, solo per un ordine intestato a un'azienda, la sua ragione sociale (mai il nome di un privato); le etichette di produzione che riportano il nome del cliente (per un privato il nome e l’iniziale del cognome, per un'azienda il nome accorciato a 28 caratteri), il giorno e l'ora di ritiro e la personalizzazione, senza importi; la pagina «Da produrre» mostra il nome completo del cliente alle persone con la funzione Produzione [da valutare con il legale: allergie indicate nelle personalizzazioni dell’ordine e nelle note libere = possibili dati sulla salute (art. 9 GDPR)];
preventivi ai clienti del Cliente (con la funzione Ordini): cliente o nome e telefono, sede, data e validità, proposta facoltativa di ritiro o consegna (giorno, ora, indirizzo), righe (articoli, quantità, aggiunte, personalizzazioni, prezzi, sconti, IVA), totale, acconto proposto (nessun incasso), note per il cliente e interne, stato e numero dell'ordine creato con «Trasforma in ordine»; identificativo di chi l'ha creato; PDF e CSV creati al momento e non conservati, con una riga nel registro azioni per ogni stampa ed esportazione (mai il contenuto); nessun invio al cliente da parte della piattaforma; conservati come gli ordini, finché il Cliente è cliente (bozza eliminabile, inviato no), con nome, telefono, indirizzo e note cancellati dall'anonimizzazione del cliente o dell'azienda;
ordini a fornitore e ingressi merce del Gestionale (con la funzione Articoli e l'anagrafica Fornitori): fornitore, sede, date, riferimento e condizioni di pagamento, note per il fornitore e interne, righe con codici del fornitore, quantità ordinate e arrivate e costi d'acquisto (visibili solo a chi gestisce l'azienda); ingressi con documento del fornitore (tipo, numero, data), giorno di arrivo, nota, righe con nota di lotto o scadenza facoltativa; identificativo di chi ha creato, inviato, chiuso o annullato l'ordine e di chi ha registrato l'ingresso (nome visibile solo a chi gestisce l'azienda e a chi ha «Report e cassa»); abbinamento automatico, con regole fisse, dei carichi di HACCP Ingressi merce agli ordini aperti dello stesso fornitore e sede, con il riferimento del carico; PDF e CSV creati al momento e non conservati, con una riga nel registro azioni per ogni stampa ed esportazione; nessun invio al fornitore da parte della piattaforma; conservati finché il Cliente è cliente (non si cancellano); percorso del documento scansionato e lettura grezza predisposti e vuoti fino alla funzione di lettura dei documenti;
inventari del Magazzino HACCP (funzione «Inventari e trasferimenti», attivata per singola azienda): per ogni inventario sede, titolo, nota, filtri, numero, stato, prodotti da contare (nome, tipo, unità, giacenza attesa, quantità contata, anche per lotto) con l'identificativo di chi lo ha aperto, contato (o deve contare), chiuso o annullato e quando; alla chiusura le correzioni dei lotti, le uscite «Scaduto» e i lotti da inventario con il riferimento all'inventario; il nome di chi ha aperto, contato o chiuso e il valore delle differenze solo a chi gestisce l'azienda; esportabile in CSV (ogni esportazione nel registro azioni, mai il contenuto); conservati finché il Cliente è cliente;
trasferimenti del Magazzino HACCP tra le sedi della stessa azienda (funzione «Inventari e trasferimenti», attivata per singola azienda): per ogni trasferimento sedi di partenza e di arrivo, numero, stato, nota, lotti (prodotto, codice lotto, quantità inviata e ricevuta, lotto nato all'arrivo) con l'identificativo di chi lo ha creato, inviato, ricevuto o annullato e quando; il nome di chi ha creato, inviato, ricevuto o annullato e il costo dei lotti solo a chi gestisce l'azienda; la nota scritta da chi riceve; esportabile in CSV (ogni esportazione nel registro azioni, mai il contenuto); conservati finché il Cliente è cliente;
magazzino del Gestionale: movimenti della giacenza degli articoli (carichi, scarichi, giacenza impostata, venduto alle consegne, rettifiche degli inventari, uscite ed entrate dei trasferimenti tra sedi) con l'identificativo di chi li ha registrati e una nota breve facoltativa; inventari, trasferimenti, soglie minime e fornitori degli articoli con l'identificativo di chi li ha creati, contati (o deve contarli), chiusi, inviati, ricevuti, annullati o aggiornati; conservati finché il Cliente è cliente (i movimenti finché esiste l'articolo); il registro dei movimenti si consulta ed esporta in CSV dalla pagina Movimenti (nome di chi ha registrato il movimento visibile solo a chi gestisce l'azienda e a chi ha «Report e cassa»; ogni esportazione nel registro azioni); con la stessa regola il nome di chi ha contato o deve contare una riga d'inventario (pagina dell'inventario ed esportazione CSV, una riga nel registro azioni per ogni esportazione) e di chi ha creato, inviato, ricevuto o annullato un trasferimento; il valore delle differenze d'inventario solo a chi gestisce l'azienda; il foglio stampabile del trasferimento senza nomi di persone; le pagine Giacenze (giacenza, impegnato dagli ordini aperti, disponibile e soglia minima per articolo e sede) e Valorizzazione (valore della merce a una data, riservato a chi gestisce l'azienda) mostrano ed esportano in CSV solo articoli, quantità, costi e valori, senza nomi di persone (ogni esportazione nel registro azioni; della soglia minima resta l'identificativo di chi l'ha cambiata);
vendite e incassi del Cliente (funzione «Report e cassa»): documenti di vendita (scontrini, ricevute, conti, fatture, note di credito, annulli) con righe (articolo, descrizione, quantità, prezzi, sconti, IVA, costo unitario fissato alla vendita), pagamenti (metodo copiato, importo, contanti dati e resto; nessun dato di carte di pagamento), chiusure di cassa (totali, fondo cassa, contanti attesi, contati e differenza, nota libera, visibile a chi ha Report e cassa anche senza la funzione Clienti); su documenti e chiusure il nome dell'operatore copiato come testo (visibile a chi ha Report e cassa: nei Documenti di vendita, anche come filtro, nel Venduto per operatore e come filtro, nell'Incasso e pagamenti come filtro e come «Chiusa da» nelle chiusure, anche come filtro; quando si filtra per operatore il nome compare anche nell'indirizzo della pagina e quindi nei log tecnici del fornitore di hosting, non nel database né nella cache dei report) e il nome del cliente con, sulle fatture, l'intestazione fiscale copiata (partita IVA, codice fiscale, codice destinatario, PEC, indirizzo), visibili solo con la funzione Clienti. I documenti e le chiusure sono immutabili anche nel database (all'utente applicativo sono revocate modifica e cancellazione: le correzioni sono nuovi documenti; l'unica eccezione è l'annullamento di un'importazione dello storico entro 24 ore, con una funzione dedicata del database che controlla azienda, lotto e tempo). Arrivano da fuori: dall'importazione dello storico di Cassa in Cloud da un file Excel o CSV scelto dal titolare o dall'amministratore del Cliente (letto dal browser, non caricato né conservato dal Fornitore; si copiano solo i dati necessari al documento: mai note libere di riga, nome ed email del cliente dello scontrino, descrizioni estese, tavolo; del testo libero di descrizione e causale solo la parola riconosciuta; nessun cliente o azienda creati; intestatario delle fatture collegato solo per partita IVA esatta), trattata per conto del Cliente, e in futuro dall'app di cassa. Conservazione: registro dell'importazione (data, utente, nome e impronta del file, conteggi) 12 mesi, righe tecniche del lotto 24 ore, documenti importati come i documenti di vendita (nessuna cancellazione automatica), scelte di abbinamento ricordate finché esiste l'azienda; la piattaforma non genera dati fiscali (nessun registratore telematico, nessun invio al Sistema di Interscambio o all'Agenzia delle Entrate). Report interni (Corrispettivi, Venduto, Incasso e pagamenti, Marginalità, Note di credito e resi, Chiusure di cassa) calcolati dai documenti, esportabili in CSV (Corrispettivi anche in PDF) con una riga nel registro azioni per ogni esportazione (chi, quando, quale report, mai il contenuto); la Marginalità (costi, margini e break-even) è riservata a chi gestisce l'azienda, come il food cost del ricettario, e legge quantità e costi dei lotti HACCP collegati agli articoli solo per chi ha Ingressi merce (i costi d'acquisto), le sole quantità in giacenza dei lotti per chi ha Magazzino e il saldo dei movimenti del magazzino del Gestionale per chi ha Articoli;
DDT e fatture elettroniche del Cliente (funzione «DDT e fatture»): dati fiscali dell'azienda (per una ditta individuale nome, cognome e codice fiscale del titolare; IBAN e banca); DDT con destinatario, luogo di consegna e vettore copiati, trasporto, rubrica dei vettori (nome, telefono, email, partita IVA, indirizzo, indirizzo di tracciamento, note) e dei luoghi di consegna frequenti (elenco unico, non legato ai clienti: nome, indirizzo, referente e telefono del referente, orari; fino a 50 vettori e 200 luoghi), righe con prezzi, IVA, lotto e scadenza; fatture elettroniche FatturaPA (file XML e copia di cortesia PDF nell'archivio dei file in UE, mai nel database, con impronta SHA-256; nome del file senza dati del cliente) con i dati fiscali del cliente (anche nome e cognome separati di un privato, facoltativi nella sua scheda), passaggi di stato e messaggi; nessun invio al Sistema di Interscambio finché non è collegato un intermediario [da aggiungere ai sub-responsabili prima dell'attivazione]; fatture, eventi e DDT immutabili e non cancellabili dall'utente applicativo (permessi per colonna nel database), conservati 10 anni [da confermare con il commercialista];
riepilogo venduto del conto vendita (documento non fiscale per accordo e periodo: consegnato, venduto contato, venduto dichiarato dal supermercato nell'estratto CSV scelto dal Cliente, quantità da fatturare con il motivo, prezzo di cessione e IVA copiati alla conferma, note scritte a mano, utente che ha creato e confermato, numero e data della fattura emessa dal Cliente su un software di terzi come semplice riferimento): il file dell'estratto è letto nel browser e non viene archiviato, il server riceve solo le colonne scelte e conserva soltanto le righe riconosciute come prodotti del Cliente; il riepilogo confermato non si modifica né si cancella dall'applicazione (si cancella solo la bozza);
conto vendita e comodati del Cliente (funzione «Conto vendita e comodati»): accordi di conto deposito con un cliente per un luogo di consegna (numero, cliente e luogo scelti dalle rubriche, sede, date, stato, note scritte a mano, costo della visita visibile solo al titolare), prezzi di cessione per articolo, legame con i DDT di conto deposito e le operazioni di conta al rifornimento e di ritiro di merce scaduta o resa (per ogni operazione: numero progressivo per accordo, data, utente che l'ha registrata, destinazione della merce ritirata, nota scritta a mano facoltativa e movimenti per articolo e lotto: contato, venduto, ritirato, rettifica), che non si modificano né si cancellano dall'applicazione e il cui autore compare nello storico della scheda frigo; la scheda frigo si calcola ogni volta dai DDT legati e non si salva; accordi che non si cancellano dall'utente applicativo (si chiudono, in modo definitivo) né si cambiano nel cliente, nel luogo e nel numero (permessi per colonna nel database); attrezzature in comodato del Cliente (frigoriferi, espositori, strutture promozionali: tipo, marca, modello, matricola, fornitore, fattura e DDT del fornitore, note, stato; prezzo di acquisto e trasporto visibili e modificabili solo dal titolare), storico delle consegne in comodato e dei rientri con i DDT, costi dell'accordo (solo titolare) e archivio dei documenti caricati dal Cliente (contratti, fatture XML o PDF e DDT del fornitore, foto, verbali) su archivio cloud in UE; import della fattura elettronica d'acquisto letta dal server senza intelligenza artificiale né terzi; i beni non si cancellano dall'utente applicativo (si dismettono); modelli di documento del Cliente (contratto di comodato, verbale di consegna, promemoria: testi con soli segnaposto, versioni numerate e non modificabili, nome libero e data di revisione del professionista esterno indicato dal Cliente, copia di riferimento in PDF) e documenti generati da essi (PDF compilati con i dati già presenti nell'accordo e nelle anagrafiche del Cliente, generati sui nostri server senza intelligenza artificiale né terzi, archiviati su archivio cloud in UE, con modello e versione usati, utente che li ha generati, data, impronta dei dati e copia firmata caricata dal Cliente; nessuna cancellazione dall'utente applicativo); redditività dell'accordo (27/10, solo per il titolare e gli amministratori dell'azienda, mai per il consulente): totali, margini e stime di pareggio e andamento calcolati in sola lettura dai dati già descritti, senza salvare dati nuovi, senza intelligenza artificiale né terzi; esportazioni PDF e CSV con riga nel registro azioni senza importi;
documenti in arrivo e chiavi API del Cliente (funzione «Documenti in arrivo» degli Ingressi merce): chiavi API (nome scelto dal Cliente, prefisso, impronta SHA-256 del segreto, sede predefinita, chi l'ha creata, ultimo uso, revoca; il segreto non è conservato) e documenti ricevuti con la chiave da uno scanner o da un'altra app collegata dal Cliente (file PDF, JPEG o PNG nell'archivio dei file in UE, nome del file, dimensione, impronta SHA-256, nota facoltativa, stato, chi l'ha trattato e il motivo dell'eventuale scarto); un documento può contenere dati di fornitori e, se il Cliente li inserisce nel documento, altri dati personali. Nessuna lettura automatica e nessun carico alla ricezione: avvengono solo su azione di una persona del Cliente. Le richieste arrivano da un collegamento scelto e gestito dal Cliente (il Cliente risponde del software o del flusso che usa la chiave);
registri HACCP con nome di chi ha registrato; fatture, DDT e foto caricate.

Il trattamento non riguarda dati biometrici: la timbratura avviene con QR, PIN o account, non con impronte o riconoscimento del volto.

6. Obblighi del Fornitore

Il Fornitore:

tratta i dati solo su istruzione documentata del Cliente: le istruzioni sono questo accordo, il contratto e le impostazioni che il Cliente sceglie nella piattaforma (moduli attivi, ruoli e permessi, consenso all'accesso di consulente e assistenza, attivazione della posizione alla timbratura);
informa il Cliente se ritiene che un'istruzione violi la normativa;
garantisce che le persone autorizzate al trattamento siano vincolate alla riservatezza [impegni di riservatezza scritti da predisporre];
adotta le misure di sicurezza del punto 9;
ricorre ad altri responsabili solo alle condizioni del punto 8;
assiste il Cliente nel rispondere alle richieste degli interessati (punto 10);
assiste il Cliente negli obblighi degli articoli 32-36 GDPR (sicurezza, notifica delle violazioni, valutazione d'impatto, consultazione preventiva), per quanto di sua competenza;
a fine contratto restituisce e cancella i dati (punto 12);
mette a disposizione del Cliente le informazioni necessarie a dimostrare il rispetto di questo accordo e consente verifiche (punto 13).

7. Obblighi del Cliente

Il Cliente:

individua la base giuridica dei trattamenti e dà l'informativa ai propri dipendenti e agli altri interessati (è disponibile un modello di informativa per i dipendenti);
rispetta l'art. 4 della Legge 300/1970 (Statuto dei lavoratori) e l'art. 114 del Codice privacy per gli strumenti che possono consentire un controllo a distanza, in particolare prima di attivare la verifica di posizione alla timbratura;
informa il proprio personale, prima di usare Report e cassa, che il suo nome compare sui documenti di vendita e sulle chiusure di cassa e che le vendite e gli incassi si possono consultare e filtrare per operatore (Venduto, Incasso e pagamenti, «Chiusa da» delle chiusure) (art. 13 GDPR e art. 4 della Legge 300/1970), con la voce prevista nel modello di informativa per i dipendenti;
valuta se serve una valutazione d'impatto (DPIA), in particolare per timbrature con verifica di posizione e dati sanitari;
inserisce solo i dati necessari e ne verifica la correttezza, in particolare prima di confermare i dati proposti dalle letture automatiche;
assegna ruoli e permessi alle persone giuste e revoca gli account di chi non lavora più con lui;
custodisce le chiavi API create per il proprio collegamento (scanner, n8n, altre app), le revoca se si sospetta che siano state esposte o quando non servono più, e risponde del software o del flusso che le usa;
decide i tempi di conservazione dei propri dati nel rispetto degli obblighi di legge.

8. Sub-responsabili

Il Cliente autorizza in via generale il Fornitore ad avvalersi dei seguenti sub-responsabili, in uso alla data di questo accordo:

Vercel Inc. (USA) — hosting dell'applicazione web e delle API, esecuzione delle funzioni server, attività pianificate. Funzioni configurate nella regione fra1 (Francoforte, Germania), come da file di configurazione del progetto. I contenuti statici sono distribuiti dalla rete globale del fornitore. Dati: tutti i dati in transito durante l'uso, log tecnici delle richieste (compreso l'indirizzo della pagina richiesta, che per i report filtrati per operatore contiene il nome dell'operatore); inoltre, nella cache dei dati del fornitore (nella regione delle funzioni, fra1 [da confermare nel pannello del fornitore]), i risultati già calcolati di alcuni report di vendita sui periodi di almeno 93 giorni (Venduto per prodotto, categoria, reparto, aliquota, tipo di documento, modalità di vendita e per mesi, giorni e orari; Incasso e pagamenti), separati per azienda, per 10 minuti se il periodo arriva a oggi e per un'ora se è chiuso: solo totali per voce, senza nomi di persone (il Venduto per operatore, azienda e cliente non va mai in cache).
Supabase Inc. (USA) — database PostgreSQL con tutti i dati della piattaforma; archivio file (usato come riserva e per i file caricati prima del passaggio all'archivio principale); canale in tempo reale che invia alla postazione di timbratura solo il nome di battesimo, entrata/uscita e l'ora. Regione del progetto: eu-central-1 (Francoforte, Germania), verificata.
Cloudflare Inc. (USA) — archivio dei file (R2): allegati, documenti, buste paga, giustificativi, ricevute, foto, firme, file delle fatture elettroniche (XML e copie di cortesia PDF). Bucket non pubblico: le chiavi restano solo sul server, e oggi i file passano solo dal server. [Funzione predisposta, non ancora attiva: caricamento e apertura diretti dal browser e dall'app con collegamenti firmati, ciascuno per un solo file e valido per un tempo limitato (caricamento: 5 minuti, tipo e dimensione vincolati; apertura: 60 secondi per buste paga, CU, F24, certificati di malattia, referti e voci sanitarie, fino a 15 minuti per gli altri documenti, fino a 2 ore per le immagini pubbliche del portale), rilasciati dal server solo dopo il controllo di azienda, funzione, ambito e proprietario e riutilizzabili da chi li ha fino alla scadenza. Se attivata, il fornitore riceve anche l'indirizzo IP e i dati tecnici di quelle richieste, e i file caricati e mai confermati e gli archivi ZIP delle esportazioni oltre i 4 MB si cancellano dopo 1 giorno con la regola di ciclo di vita del bucket, verificata prima dell'attivazione.] Giurisdizione UE prevista dalla procedura di configurazione del progetto [da verificare sul bucket di produzione].
Google Cloud (Google Ireland Ltd / Google LLC) — Vertex AI, modelli Gemini, per la lettura automatica di fatture, DDT, etichette, display di temperatura, buste paga, CU, F24, schede tecniche e scontrini/ricevute delle note spese, solo se il modulo "Lettura documenti AI" è attivo per il Cliente, e per la comprensione delle domande all'Assistente AI, solo se il modulo "Assistente AI" è attivo per il Cliente (senza nessuno dei due moduli nessun dato viene inviato a questo sub-responsabile). Regione europe-west4 (Paesi Bassi); il codice blocca la lettura di fatture, etichette, temperature, documenti del lavoro e scontrini delle note spese se la regione configurata non è europea. Nessun uso dei dati per addestramento secondo le condizioni del fornitore. Restano da chiudere: la conservazione dei prompt per il monitoraggio degli abusi (fino a 90 giorni solo se segnalati dai sistemi automatici del fornitore, eliminabile con richiesta di esenzione) e la memoria temporanea di 24 ore nella regione del progetto (disattivabile) [azioni da completare sul progetto Google Cloud].
Assistente AI [funzione in prova]: solo se il modulo "Assistente AI" è attivo per il Cliente, una sola chiamata per domanda a Vertex AI (Gemini Flash, europe-west4, stesso blocco se la regione non è europea) con il testo della domanda (massimo 500 caratteri) o l'audio (massimo 20 secondi, trascritto nella stessa chiamata), la data, i nomi delle sedi visibili all'utente e l'elenco degli strumenti di sola lettura. Il modello sceglie solo uno strumento e i suoi parametri (sede, data, numero di giorni), che la piattaforma valida; i dati sono letti dalla piattaforma con i permessi e l'ambito dell'utente e la risposta è scritta dalla piattaforma: i dati dei registri (temperature, lotti, turni, richieste…) non vengono inviati al modello. Nessuna scrittura. Non si conservano domande, audio né risposte: solo contatori giornalieri (domande per utente e per azienda, con la conservazione dei contatori OCR; gettoni per azienda nei contatori d'uso per il controllo dei costi, vedi sotto, con la loro conservazione). Limiti: [40] domande al giorno per utente e [200] per azienda.
Lettura degli scontrini delle note spese: su iniziativa del dipendente, una sola chiamata per foto a Vertex AI (Gemini Flash, europe-west4), con immagine ridotta prima dell'invio. Si estraggono solo data, totale, esercente, tipo di spesa e IVA. L'uscita è validata e usata solo per precompilare il modulo; il salvataggio resta un'azione del dipendente. Limiti: 20 letture al giorno per utente e 100 al giorno per azienda; il contatore giornaliero (solo numero di letture per giorno) segue la stessa conservazione dei contatori OCR.
Resend Inc. (USA) — invio delle email di servizio (inviti, promemoria, avvisi). Dominio mittente mail.pot-ato.dev, regione di invio eu-west-1 (Irlanda), tracciamento di aperture e clic disattivato (verificato). Dati: indirizzo email del destinatario, oggetto e testo del messaggio.
Expo / 650 Industries Inc. (USA) — distribuzione degli aggiornamenti dell'app mobile. Riceve solo dati tecnici della richiesta di aggiornamento (indirizzo IP, versione dell'app), non i dati inseriti nella piattaforma. L'app non usa il servizio di notifiche push di Expo: i promemoria dell'app sono notifiche locali del telefono.

Non sono sub-responsabili i software terzi che il Cliente decide di collegare (ad esempio Cassa in Cloud, Cooki, WooCommerce): li sceglie il Cliente, che ne risponde; il Fornitore conserva le relative credenziali cifrate.

Nessun dato personale viene inviato a fornitori di intelligenza artificiale extra UE. Il vecchio ripiego verso un fornitore statunitense per le letture automatiche è stato rimosso. Il solo uso residuo di un modello statunitense (Anthropic) riguarda il riepilogo del feed normativo, che lavora su notizie pubbliche (Gazzetta Ufficiale, EFSA) e non riceve dati dei clienti; oggi non è in esecuzione pianificata.

Trasferimenti extra UE: diversi sub-responsabili sono società statunitensi anche quando i dati sono conservati in UE. Le garanzie applicabili (Data Privacy Framework per i fornitori certificati, clausole contrattuali standard allegate ai DPA dei fornitori) sono [da verificare e allegare fornitore per fornitore].

Il Fornitore informa il Cliente di ogni aggiunta o sostituzione di sub-responsabili con almeno [30] giorni di anticipo, tramite [email / avviso nella piattaforma]; il Cliente può opporsi per motivi ragionevoli e, se non si trova una soluzione, recedere dal contratto. Il Fornitore impone ai sub-responsabili obblighi equivalenti a quelli di questo accordo.

9. Misure di sicurezza (art. 32 GDPR)

Misure effettivamente presenti nella piattaforma alla data dell'accordo:

Cifratura in transito: tutte le comunicazioni con la piattaforma avvengono in HTTPS; le connessioni ai fornitori avvengono tramite le loro API cifrate.
Cifratura a riposo: fornita dai sub-responsabili di database e archivio file secondo la loro documentazione [da verificare e citare]. Le credenziali dei collegamenti a software terzi sono cifrate dall'applicazione con AES-256-GCM.
Password: conservate solo come hash bcrypt, lunghezza minima 8 caratteri (stessa regola per invito, cambio e recupero). Recupero self-service ("Password dimenticata"): risposta sempre uguale (non rivela se l'email esiste), al massimo 3 richieste all'ora per email e 10 per indirizzo IP, link monouso valido 30 minuti di cui si conserva solo l'impronta, cambio registrato nel registro azioni e confermato via email, tutte le sessioni chiuse. PIN di timbratura conservati solo come hash, bloccati per 15 minuti dopo 5 errori, con blocco anche per postazione; PIN banali rifiutati.
Sessioni: gettone firmato con durata di 30 giorni, con emittente e destinatario fissi; sul web in cookie httpOnly, secure e sameSite; nell'app nell'archivio protetto del telefono. Il segreto di firma è obbligatorio in produzione (almeno 32 byte, nessun valore di ripiego). Da questo segreto si ricavano chiavi separate per ogni scopo (sessioni, impronta della password, gettoni dei moduli, impronta dell'IP delle accettazioni, badge in assenza di una chiave dedicata), ognuna con un numero di versione salvato accanto a ciò che firma: il segreto si può cambiare senza perdere la verificabilità delle prove già salvate. Il gettone porta un'impronta della password (HMAC, da cui non si ricava la password né il suo hash) e una versione di sessione controllata a ogni richiesta: cambio o recupero della password, cambio dell'email di accesso, disattivazione dell'account, cambio dei ruoli e il comando "Esci da tutti i dispositivi" chiudono subito tutte le sessioni web e app di quell'account. [I gettoni emessi prima del 26/9/2026 restano validi fino al 27/10/2026 al più tardi.]
Accessi falliti: registrati con email, data/ora e indirizzo IP, cancellati dopo 30 giorni. Limite di frequenza sul web e nell'app, in 15 minuti: 5 errori sulla stessa email dallo stesso IP, 30 sulla stessa email da IP diversi (chi conosce un'email nota non la blocca provando da indirizzi diversi), 20 dallo stesso IP verso email diverse; oltre soglia i tentativi vengono respinti per qualche minuto, con lo stesso messaggio di una password sbagliata, e i tempi di risposta non rivelano se un'email è registrata. Un cambio di password riuscito (proprio, dal titolare o da "Password dimenticata") azzera subito i tentativi falliti su quell'email. Un solo avviso a Pot-Ato per finestra di 10 minuti quando un'email supera la soglia. PIN della postazione: il blocco regge anche a tentativi lanciati in parallelo, e i tentativi su un dipendente già bloccato non consumano il blocco della postazione.
Ruoli e permessi: ruoli di sistema (titolare, operatore, consulente, assistenza) e ruoli aziendali configurabili dal Cliente, con livelli (consulta/lavora), ambito (azienda, sede, reparto, solo propri dati), permessi di approvazione e di impostazione, eccezioni per singola persona e regole sui dispositivi. Con più ruoli, la scrittura e l'approvazione valgono solo nell'ambito dei ruoli che le concedono (un ruolo di sola consultazione non le allarga); un ambito "sede" senza una sede nota della persona non dà accesso a nulla. Ogni pagina delle impostazioni e dell'amministrazione verifica il ruolo da sé, non solo il menu che la contiene.
Credenziali e account: email e password di un utente le cambia solo il titolare dell'azienda, e mai quelle di un altro titolare (ognuno cambia le proprie). Un titolare si crea solo con invito via email e la password la sceglie l'invitato: non esiste una registrazione pubblica (quella dal link del consulente è stata disattivata il 26/9/2026). Gli inviti valgono 7 giorni, si usano una volta sola, nel database è conservata solo l'impronta del gettone (il link non compare nelle pagine) e non valgono più se chi ha invitato perde i diritti sull'azienda, se l'azienda è disattivata o se il dipendente a cui erano destinati non è più in forza. Consulente e assistenza possono creare e invitare solo operatori, senza ruoli o eccezioni che tocchino i dati del personale (turni, richieste) o diano poteri di approvazione o configurazione; possono invitare il primo titolare di un'azienda che non ne ha ancora, con l'email che indica chi ha invitato.
Accessi di consulente e assistenza: il Cliente decide con due interruttori nelle impostazioni se il consulente e l'assistenza tecnica del Fornitore possono entrare nei suoi dati. Il consenso è verificato a ogni pagina, API e scaricamento di file, non solo nel menu; senza consenso il consulente non vede nemmeno i ticket di assistenza dell'azienda e non ne riceve gli avvisi: ritirato il consenso, anche i link a file già visti smettono di funzionare. Il consulente non apre, nemmeno come file, le funzioni operative che gli sono escluse (ad esempio ingressi merce, magazzino, registri di temperature e pulizie, turni e richieste). Per le aziende create dal 27/9/2026 entrambi gli accessi partono spenti, salvo quello di chi crea l'azienda per prepararla e invitare il titolare (il consulente che la crea ha acceso il proprio accesso, non quello dell'assistenza; l'assistenza che la crea ha acceso il proprio e quello del consulente solo se ne indica uno). Il titolare conferma o spegne entrambi quando attiva l'account (e, quando sarà richiesta l'accettazione di questo accordo, in quel passaggio), con le caselle impostate sui valori attuali e la spiegazione di cosa permettono; può anche cambiarli in ogni momento nelle impostazioni, indipendentemente da questo accordo. Ogni cambio è registrato nel registro azioni. Le aziende già presenti a quella data mantengono le scelte fatte, e il titolare le rivede quando sarà richiesta l'accettazione di questo accordo.
Registro azioni: ogni scrittura è registrata con persona, dispositivo o postazione, funzione e valori prima/dopo; accessi ed esportazioni inclusi; dal 27/9/2026 anche tutte le scritture sui registri HACCP (temperature, pulizie, firma del giorno, abbattimento, non conformità, produzione, ingressi merce, magazzino, uscite) e sulle anagrafiche (fornitori, ingredienti, ricette, punti di conservazione, sedi e reparti, scadenze, documenti), dal web e dall'app; le registrazioni inviate in blocco dall'app dopo un periodo offline sono riassunte in una riga per invio con i conteggi per tipo di dato; le non conformità aperte in automatico sono registrate come azioni di sistema; se la scrittura della riga di registro fallisce dopo che il dato è già salvato, l'errore viene annotato nei log tecnici (senza i valori) e non annulla l'operazione dell'utente, mentre dove dato e registro sono salvati insieme in un'unica transazione falliscono o riescono insieme; avviso al Fornitore in caso di esportazioni in massa ripetute (3 in 10 minuti). Lo scaricamento di buste paga viene registrato. Sono registrati anche tutti i cambi agli account: creazione, invito, accettazione, rigenerazione e revoca di un invito, cambio di nome, email o password (mai la password stessa), attivazione e disattivazione, eliminazione, ruoli, eccezioni e collegamento a un dipendente. Quando a farli sono il consulente o l'assistenza, i titolari dell'azienda ricevono anche un avviso in app e via email.
Isolamento tra clienti: ogni lettura e scrittura è filtrata per azienda nell'applicazione, con test automatici che controllano il codice; il database è raggiunto da un utente applicativo con permessi ridotti; l'accesso anonimo al database tramite le chiavi pubbliche del fornitore è stato revocato su tutte le tabelle (26/9/2026). Le tabelle del Gestionale hanno in più la separazione per azienda applicata dal database stesso (Row Level Security con il contesto dell'azienda impostato per ogni transazione): una richiesta senza l'azienda giusta non vede né modifica righe di altre aziende. Documenti di vendita, righe, pagamenti e chiusure di cassa sono in più immutabili per l'utente applicativo (modifica e cancellazione revocate nel database); lo stesso per le fatture elettroniche (modificabili solo nelle colonne dello stato d'invio), i loro passaggi di stato e i DDT (modificabili solo nello stato), mai cancellabili. I report di vendita leggono con un tempo massimo di 8 secondi per lettura.
File: archivio non pubblico, nessun indirizzo diretto; ogni file si scarica solo attraverso l'applicazione dopo il controllo di sessione, di appartenenza all'azienda e del permesso sulla funzione a cui il file appartiene; il percorso del file nell'archivio deve appartenere all'azienda del record (un percorso di un'altra azienda non si scarica mai). Certificati di malattia e ricevute delle note spese visibili solo al dipendente e a chi approva nel suo ambito, mai all'assistenza tecnica; referti delle visite mediche solo al titolare e al consulente autorizzato, mai agli operatori né all'assistenza.
File caricati: il formato di ogni file si riconosce dal contenuto (non dal nome né da quanto dichiara il browser) e deve essere tra quelli ammessi per quel punto di caricamento: PDF, foto (JPG, PNG, WebP, HEIC) e, solo per documenti, allegati alle scadenze e schede del personale, anche file Word/Excel/OpenDocument oppure — riconosciuti dall'estensione quando il formato non ha una firma binaria verificabile — XML, TXT, CSV, ZIP, P7M (fatture/PEC firmate), EML/MSG (email). Pagine web, SVG, script ed eseguibili vengono sempre rifiutati. Le firme si conservano solo come immagini PNG/JPEG. Nel browser si aprono direttamente solo PDF e immagini; ogni altro file (compresi questi ultimi formati) si scarica sempre, mai aperto nella pagina, con intestazioni che impediscono al browser di interpretarlo come pagina o script.
Protezioni del browser: politica di sicurezza dei contenuti (CSP) con codice monouso per ogni pagina, divieto di inserire la piattaforma in pagine di altri siti, blocco dell'interpretazione dei tipi di file, riferimenti inviati ad altri siti ridotti al solo dominio, fotocamera e posizione consentite solo alla piattaforma stessa. I link nei testi (guide, procedimenti) sono ammessi solo verso indirizzi web normali o pagine interne.
Collegamenti a software terzi: l'indirizzo di un negozio collegato (es. WooCommerce) deve essere pubblico e in HTTPS; il server non contatta indirizzi interni o privati.
Dati retributivi: buste paga, CU, F24, costo del lavoro e benefit sono visibili solo al titolare dell'azienda (e al dipendente per i propri documenti confermati): non al consulente, non all'assistenza tecnica, non agli operatori con ruoli di responsabile. Food cost e prezzi d'acquisto nel ricettario, e costi e margini della Marginalità dei report, solo a chi gestisce l'azienda. Redditività, costi e valore dell'accordo di conto vendita, prezzo d'acquisto e trasporto delle attrezzature, solo al titolare e agli amministratori (e all'assistenza tecnica, solo con il consenso all'assistenza): non al consulente.
Abbonamento scaduto: oltre la tolleranza la piattaforma passa in sola lettura (consultazione ed esportazione); anche la timbratura, da telefono e da postazione, si sospende.
Minimizzazione: alla timbratura non si salvano né le coordinate né l'IP del telefono, solo l'esito delle verifiche; alla postazione arrivano solo le chiavi dei codici QR del giorno, mai il segreto, che nel database è conservato cifrato (AES-256-GCM, chiave custodita solo sul server); alle letture automatiche si chiedono solo i campi necessari e i recapiti letti da fatture e DDT (email, telefoni) si tengono solo se hanno un formato valido e non vengono mai scritti da soli nell'anagrafica di un fornitore esistente; le esportazioni CSV (presenze, comunicazioni, benefit, registro azioni, esportazioni complete dell'azienda e del dipendente, elenchi del Gestionale) neutralizzano le formule inserite nei testi; nei registri HACCP stampati (temperature, pulizie, abbattimento, produzione, carichi merce, tracciabilità) la colonna "Eseguito da" riporta solo il nome di chi ha fatto la registrazione, mai l'email, e per stamparla si leggono solo le persone presenti in quel registro.
Correzioni tracciate: le timbrature non si cancellano, si annullano con motivo; i giorni di presenza approvati vengono bloccati.
Chiavi e segreti: solo lato server; l'accesso a Google Cloud avviene con federazione di identità senza chiavi di lunga durata.
Backup: backup giornalieri del database forniti dal piano del fornitore del database [conservazione e prove di ripristino da verificare; un backup indipendente esterno è previsto ma non ancora attivo].

Il Fornitore può aggiornare queste misure purché il livello di sicurezza complessivo non si riduca.

10. Diritti degli interessati

Il Fornitore assiste il Cliente nel rispondere alle richieste degli interessati. Strumenti già disponibili nella piattaforma: consultazione dei propri dati da parte del dipendente con account; scaricamento dei propri dati da parte del dipendente con account (archivio ZIP con tabelle CSV: scheda, turni, richieste, timbrature, note spese, elenco delle buste paga confermate, benefit, conferme di lettura, compiti di turno); esportazione di tutti i dati di un singolo dipendente, anche non più in forza, da parte del titolare del Cliente (gli stessi dati più liste di ingresso e uscita e le azioni fatte da quel dipendente nel registro azioni); modifica dei dati da parte del Cliente; eliminazione o anonimizzazione di un cliente del Gestionale da parte di chi può modificare i clienti (eliminazione definitiva solo senza ordini né documenti di vendita; altrimenti anonimizzazione: i dati personali della scheda si cancellano e, dagli ordini e dalle loro consegne, telefono, indirizzo di consegna e note; degli ordini restano importi, date, righe, numeri e stato, e i documenti di vendita da conservare restano con i dati scritti al momento; registrata nel registro azioni senza i dati cancellati); esportazioni per registro (presenze in CSV per il consulente, turni, registri HACCP, registro azioni fino a 5.000 righe per esportazione, altri registri in PDF); disattivazione degli account e dei dipendenti. Ogni esportazione è registrata nel registro azioni. I dati del Gestionale (articoli e listini, clienti e aziende, ordini e preventivi con consegne e acconti, ordini a fornitore e ingressi merce, documenti di vendita, fatture elettroniche con i loro dati e il riferimento al file, DDT, giacenze, inventari e trasferimenti, serie di numerazione, metodi di pagamento, casse e chiusure, conto vendita e comodati, importazioni) sono compresi nell’esportazione completa dei dati dell’azienda, in una cartella a parte dell’archivio, con prezzi d’acquisto e costi (solo il titolare la può scaricare). L’esportazione riflette lo stato attuale dei dati: un cliente anonimizzato vi compare senza i dati cancellati, e il valore di prima delle schede toccate da un’importazione (conservato al massimo 24 ore per poterla annullare) non vi è incluso. Restano disponibili anche le esportazioni in CSV dei singoli elenchi. [Oggi non esiste una funzione di cancellazione o anonimizzazione alla cessazione del rapporto: le richieste di cancellazione si gestiscono con l'assistenza del Fornitore.] Se una richiesta arriva direttamente al Fornitore, questo la inoltra al Cliente senza ritardo e non risponde nel merito senza istruzioni.

11. Violazioni dei dati (data breach)

Il Fornitore notifica al Cliente ogni violazione dei dati personali di cui venga a conoscenza senza ingiustificato ritardo e comunque entro [24/48] ore, con le informazioni disponibili: natura della violazione, categorie e numero approssimativo di interessati e di registrazioni, probabili conseguenze, misure adottate o proposte. Le informazioni possono essere fornite in più fasi. Il Cliente, come titolare, valuta e cura la notifica al Garante entro 72 ore (art. 33 GDPR) e l'eventuale comunicazione agli interessati (art. 34). [Procedura interna di gestione delle violazioni e registro delle violazioni da predisporre.]

12. Fine del contratto: restituzione e cancellazione

Alla cessazione del contratto l'abbonamento passa in sola lettura, così il Cliente può ancora consultare ed esportare i propri dati. Il titolare del Cliente può scaricare in qualsiasi momento, anche in sola lettura, tutti i dati dell'azienda in un archivio ZIP con una tabella CSV per ogni registro (anagrafiche, registri HACCP, ricette, produzione, magazzino, personale, ruoli, account senza password, registro azioni degli ultimi 24 mesi, più, se l'azienda li usa, i dati del Gestionale) e un file che ne spiega il contenuto; i file caricati (PDF, foto, allegati) sono elencati per nome e si scaricano dalla piattaforma. I dati del Gestionale (articoli e listini, clienti e aziende, ordini e preventivi, acquisti, documenti di vendita, fatture elettroniche, DDT, giacenze, conto vendita e comodati, importazioni) sono compresi nell’archivio, con prezzi d’acquisto e costi, in una cartella a parte. L'esportazione si può ripetere una volta all'ora ed è registrata nel registro azioni; password, PIN e credenziali non vengono mai esportati. Su richiesta del Cliente, entro [30] giorni dalla cessazione il Fornitore restituisce i dati nello stesso formato, insieme ai file caricati. Decorsi [90] giorni dalla cessazione, il Fornitore cancella i dati dai sistemi attivi, salvo gli obblighi di conservazione previsti dalla legge; le copie nei backup si cancellano alla loro naturale scadenza. [Oggi la cancellazione a fine contratto non è automatizzata: va fatta a mano e documentata.]

13. Verifiche

Il Fornitore mette a disposizione, su richiesta scritta e con preavviso ragionevole, le informazioni necessarie a dimostrare il rispetto di questo accordo (descrizione delle misure, elenco aggiornato dei sub-responsabili, certificazioni e rapporti dei sub-responsabili quando disponibili). Le verifiche in loco sono ammesse [a spese del Cliente, non più di una volta l'anno salvo violazioni].

14. Conservazione dei registri tecnici

Tempi di conservazione applicati oggi dal codice della piattaforma:

indirizzi IP pubblici della postazione di sede: cancellati dopo 30 giorni in cui non vengono più visti;
IP del telefono e coordinate alla timbratura: non salvati;
proposte di cambio turno tra colleghi chiuse: cancellate dopo 24 mesi dalla chiusura;
onboarding e offboarding del personale (liste di ingresso e uscita) completati, e i relativi allegati: cancellati dopo 24 mesi dal completamento; quelli ancora aperti non hanno un termine automatico;
compiti di turno, con note e foto: cancellati dopo 24 mesi dal giorno del compito;
vettori e luoghi di consegna in rubrica (funzione «DDT e fatture»): nessuna cancellazione automatica, restano finché l'azienda è cliente; vettori e luoghi non si cancellano dall'applicazione (si disattivano); l'eliminazione o l'anonimizzazione di un cliente non li tocca (le sole bozze di DDT del cliente si cancellano);
DDT, fatture elettroniche, loro file e passaggi di stato (funzione «DDT e fatture»): nessuna cancellazione automatica, conservati come documenti fiscali per 10 anni [da confermare con il commercialista]; mai cancellabili dall'applicazione;
riepiloghi venduto e righe dell'estratto riconosciute (funzione «Conto vendita e comodati»): nessuna cancellazione automatica, conservati 10 anni dalla CHIUSURA dell'accordo [da confermare con il legale e il commercialista]; solo le bozze si cancellano dall'applicazione; il file dell'estratto non viene conservato;
accordi di conto deposito, prezzi di cessione, legami con i DDT, conteggi e ritiri (funzione «Conto vendita e comodati»): nessuna cancellazione automatica, conservati 10 anni dalla CHIUSURA dell'accordo [da confermare con il legale e il commercialista]; mai cancellabili dall'applicazione (gli accordi si chiudono); un cliente con accordi non si elimina, si anonimizza (le note degli accordi si svuotano, gli accordi restano); attrezzature in comodato, storico delle assegnazioni, costi dell'accordo e documenti archiviati: nessuna cancellazione automatica, conservati 10 anni dall'ultimo rapporto (chiusura dell'accordo, dismissione del bene) [da confermare con il legale e il commercialista]; le attrezzature non sono cancellabili dall'applicazione e i documenti li toglie solo il titolare; l'anonimizzazione di un cliente svuota le note delle consegne in comodato e dei costi dei suoi accordi, ma non le note delle attrezzature né i documenti caricati [da valutare con il legale]; modelli di documento, loro versioni e documenti generati con le copie firmate: nessuna cancellazione automatica, documenti generati e copie firmate conservati 10 anni dall'ultimo rapporto [da confermare con il legale e il commercialista], non cancellabili dall'applicazione né svuotati dall'anonimizzazione di un cliente [da valutare con il legale];
documenti in arrivo scartati (funzione «Documenti in arrivo»): riga e file cancellati dopo 90 giorni dallo scarto; i documenti verificati restano come allegato del carico (registro HACCP, nessuna cancellazione automatica) e quelli ancora in arrivo restano finché una persona li tratta; le chiavi API revocate restano (nome e prefisso, nessun segreto) finché l'azienda è cliente;
allegati degli ordini (foto e PDF, funzione «Allegati degli ordini»): cancellati, con i file, dopo i giorni scelti dal Cliente dalla consegna o dall'annullamento dell'ordine (180 se non li cambia; 0 = mai), insieme alla bozza eliminata o all'anonimizzazione del cliente dell'ordine;
registro azioni: cancellato dopo 24 mesi, tranne le righe dei cambi di consenso su consulente e assistenza (chi ha acceso o spento cosa, e quando), che restano come prova finché l'azienda è cliente;
tentativi di accesso falliti: cancellati dopo 30 giorni; richieste di recupero password: dopo 7 giorni;
notifiche nell'app: quelle lette dopo 90 giorni, quelle mai lette dopo 12 mesi;
ticket di assistenza chiusi, con messaggi e allegati: cancellati 24 mesi dopo la chiusura;
inviti via email: cancellati 12 mesi dopo l'invio;
contatore giornaliero delle letture automatiche: 13 mesi;
contatori d'uso per azienda per il controllo dei costi (numero di letture automatiche, gettoni del servizio AI, errori, limiti raggiunti; solo numeri, nessun contenuto): 25 mesi, in un'area del database riservata all'amministrazione del Fornitore e non raggiungibile dall'applicazione dei clienti;
registro degli accessi dell'assistenza tecnica del Fornitore ai dati del Cliente (chi, quando, quale azienda): 24 mesi;
accettazioni di Termini e DPA da parte del titolare (nome, email, versioni, data, impronta dell'IP con la versione della chiave usata): per la durata del contratto e 10 anni dopo;
dati inseriti dal Cliente: conservati finché il Cliente non li cancella o fino alla fine del contratto (punto 12). In particolare la piattaforma non cancella mai da sola registri HACCP (temperature, pulizie, abbattimento, pastorizzazione, tracciabilità, ingressi), timbrature e presenze, buste paga, CU, F24, note spese, richieste, benefit, conferme di lettura, documenti di vendita e chiusure di cassa (immutabili; da conservare come documenti contabili [durata da decidere con il legale: per esempio 10 anni, art. 2220 c.c.]) e chiamate del lavoro intermittente preparate (moduli UNI-Intermittenti e testo della mail, da conservare come prova: indicazione 5 anni; il Fornitore non invia nulla al Ministero, la mail la spedisce il Cliente dalla propria posta), perché su questi il Cliente ha obblighi di conservazione di legge: decide lui i tempi, nel rispetto della normativa.

La pulizia automatica gira una volta al giorno, a blocchi con un tetto per ogni esecuzione: un arretrato grande si smaltisce in più giorni.

15. Responsabilità e legge applicabile

Per la responsabilità si applica l'art. 82 GDPR e quanto previsto dai Termini e condizioni. Legge applicabile: italiana. Foro competente: [da definire con il legale].

Luogo e data: [ ]

Per il Cliente: [ ] — Per il Fornitore: [ ]