Informativa sul trattamento dei dati personali

Bozza da revisione legale — versione del 15/10/2026. Testo preparato a partire da come la piattaforma funziona oggi, non ancora verificato da un avvocato. Le parti tra parentesi quadre sono da completare.

Questa informativa è resa ai sensi degli articoli 13 e 14 del Regolamento (UE) 2016/679 ("GDPR") e del D.Lgs. 196/2003 come modificato dal D.Lgs. 101/2018. Riguarda la piattaforma Pot Workspace (sito web e app mobile), con i prodotti HACCP, HR e Gestionale e i prodotti futuri (tesoreria).

La piattaforma tratta due tipi di dati molto diversi, con ruoli diversi:

Parte A — i dati di chi usa la piattaforma come cliente o utente (account, accessi, sicurezza, assistenza, fatturazione): qui il titolare del trattamento è Pot-Ato Tech Labs.
Parte B — i dati che le aziende clienti inseriscono nella piattaforma sui propri dipendenti, collaboratori e fornitori (turni, timbrature, buste paga, certificati di malattia, registri HACCP e così via): qui il titolare è l'azienda cliente e Pot-Ato Tech Labs agisce solo come responsabile del trattamento per suo conto.

Parte A — Dati trattati da Pot-Ato Tech Labs come titolare

1. Chi è il titolare

Pot-Ato Tech Labs — [ragione sociale completa, forma giuridica, sede legale, P.IVA/C.F., da completare: il soggetto giuridico che firma i contratti è ancora da definire].
Contatto per la privacy: francesco.maccione@pot-ato.dev
Responsabile della protezione dei dati (DPO): [non nominato — da valutare con il legale se la nomina è obbligatoria, vedi art. 37 GDPR].

2. A chi si rivolge questa parte

titolari e amministratori delle aziende clienti che hanno un account;
dipendenti e collaboratori delle aziende clienti a cui l'azienda ha creato un account (web o app);
consulenti (HACCP, sicurezza, del lavoro) che usano la piattaforma per seguire i propri clienti;
persone che scrivono all'assistenza.

3. Quali dati trattiamo e perché

Dati dell'account: nome e cognome, email, ruolo (titolare, operatore, consulente), azienda di appartenenza, eventuale collegamento alla scheda dipendente, permessi assegnati. La password non viene mai salvata in chiaro: si conserva solo un'impronta cifrata (hash bcrypt).
Finalità: creare e gestire l'account, permettere l'accesso, applicare i permessi decisi dall'azienda.
Base giuridica: esecuzione del contratto con l'azienda cliente (art. 6.1.b) per il titolare dell'account; legittimo interesse dell'azienda cliente e nostro a far funzionare il servizio richiesto (art. 6.1.f) per gli utenti creati dall'azienda.

Dati di accesso e sessione: al login viene creato un gettone di sessione firmato valido 30 giorni (cookie tecnico sul web, gettone salvato in modo protetto sul telefono nell'app); il gettone contiene un'impronta della password e un numero di versione della sessione, così un cambio o un recupero della password, la disattivazione dell'account, un cambio dei ruoli o il comando "Esci da tutti i dispositivi" chiudono subito le sessioni aperte. Ogni accesso riuscito viene scritto nel registro azioni dell'azienda (chi, quando, da web o da app), come ogni modifica agli account (creazione, invito, cambio di email o password, ruoli, disattivazione).
Finalità: sicurezza, tracciabilità degli accessi, prova di chi ha fatto cosa.
Base giuridica: legittimo interesse alla sicurezza del servizio (art. 6.1.f) e obbligo di adottare misure di sicurezza adeguate (art. 32 GDPR).

Tentativi di accesso falliti: per ogni login fallito si salvano l'email digitata, l'azienda (se l'email esiste), la data/ora, se è avvenuto da web o da app e l'indirizzo IP di provenienza. I nuovi tentativi vengono respinti per qualche minuto dopo 5 tentativi falliti sulla stessa email dallo stesso indirizzo IP, 30 sulla stessa email da indirizzi IP diversi, o 20 dallo stesso indirizzo IP verso email diverse, sempre in 15 minuti; un cambio di password riuscito azzera subito i tentativi falliti registrati su quell'email. Pot-Ato riceve un avviso quando una email supera la soglia. I tentativi si cancellano dopo 30 giorni.
Finalità: riconoscere e fermare tentativi di intrusione.

Recupero della password ("Password dimenticata"): per ogni richiesta si salvano l'email digitata, l'indirizzo IP, la data/ora e, se l'email corrisponde a un account attivo, l'impronta del codice monouso inviato per email (valido 30 minuti; il codice in chiaro non viene conservato). La risposta alla richiesta è sempre la stessa, anche se l'email non esiste. Le richieste si cancellano dopo 7 giorni. Il cambio della password viene scritto nel registro azioni dell'azienda e confermato via email.
Finalità: permettere di recuperare l'accesso in modo sicuro, limitare gli abusi (massimo 3 richieste all'ora per email e 10 per indirizzo IP).
Base giuridica: legittimo interesse alla sicurezza (art. 6.1.f).

Registro azioni (log di sicurezza): ogni modifica ai dati (creazione, modifica, eliminazione, approvazione, esportazione, accesso), compresi i registri HACCP e le anagrafiche, dal web e dall'app, viene registrata con data/ora, persona, dispositivo o postazione di provenienza, funzione usata e, quando disponibile, i valori prima e dopo la modifica. Le esportazioni in massa ripetute (3 in 10 minuti per la stessa azienda) generano un avviso a Pot-Ato. Il registro si cancella automaticamente dopo 24 mesi.
Finalità: sicurezza, prova delle registrazioni, individuazione di usi anomali.
Base giuridica: legittimo interesse (art. 6.1.f); per la parte relativa ai dati dell'azienda cliente, istruzioni del titolare (vedi Parte B).

Assistenza (ticket): oggetto, messaggi, allegati che l'utente decide di inviare, stato della richiesta, chi l'ha aperta.
Finalità: rispondere alle richieste di assistenza tecnica o del consulente. Il consulente vede i ticket di un'azienda solo se il titolare gli ha dato l'accesso ai dati nelle impostazioni. I ticket chiusi si cancellano automaticamente, con messaggi e allegati, 24 mesi dopo la chiusura.
Base giuridica: esecuzione del contratto (art. 6.1.b) e legittimo interesse (art. 6.1.f).

Accettazione di Termini e condizioni e DPA: quando il titolare dell'azienda accetta i Termini e l'accordo sul trattamento dei dati (all'attivazione dell'account o al primo accesso dopo un cambio di versione) salviamo nome ed email dell'account, azienda, versioni accettate, data e ora e un'impronta cifrata (HMAC) dell'indirizzo IP, mai l'indirizzo in chiaro.
Finalità: provare la conclusione del contratto e l'accettazione di ogni versione.
Base giuridica: esecuzione del contratto (art. 6.1.b) e legittimo interesse a provarne la conclusione (art. 6.1.f).

Dati di fatturazione e abbonamento: ragione sociale, P.IVA, indirizzo, email, PEC, telefono dell'azienda cliente; pacchetto e moduli attivi, date di prova e di rinnovo, importi dovuti e incassati, metodo di pagamento dichiarato (bonifico, carta, PayPal, contanti), riferimento della fattura. Oggi la piattaforma non incassa pagamenti online: gli incassi vengono registrati a mano. Non trattiamo numeri di carta.
Finalità: gestione del contratto, fatturazione, adempimenti fiscali e contabili.
Base giuridica: esecuzione del contratto (art. 6.1.b) e obbligo di legge (art. 6.1.c).

Contatori d'uso per azienda: per controllare costi e abusi contiamo, per ogni azienda e per giorno, quante letture automatiche vengono fatte, quanti "gettoni" consuma il servizio di intelligenza artificiale, quante letture falliscono o superano il limite giornaliero. Sono solo numeri: nessun contenuto dei documenti, nessun dato delle persone. Li vede solo l'amministrazione della piattaforma, in un'area del database separata e non raggiungibile dall'app dei clienti. Si cancellano dopo 25 mesi. Ogni notte gli stessi numeri si riassumono in un riepilogo mensile per azienda (canone, importi incassati, stato dell'abbonamento e pacchetto, sedi fatturate, letture automatiche e domande all'Assistente AI, gettoni e loro costo stimato, email di servizio se contate, spazio occupato dai file calcolato dalle dimensioni già registrate e numero di file): solo totali, mai nomi di file, contenuti o dati delle persone; conservazione 25 mesi.
Finalità: controllo dei costi del servizio, limiti d'uso, individuazione di usi anomali.
Base giuridica: legittimo interesse (art. 6.1.f).

Avvisi interni dell'amministrazione: la piattaforma segnala all'amministrazione, con regole fisse (senza intelligenza artificiale), cose da controllare: prove in scadenza, uso anomalo o limiti delle letture automatiche, costi oltre il budget, addebiti non incassati, allarmi di sicurezza (esportazioni di dati, tentativi di accesso falliti). Gli avvisi contengono il tipo, il nome dell'azienda, importi e conteggi; per gli allarmi di sicurezza solo il tipo e l'ora, mentre i dettagli (ad esempio l'email usata nei tentativi) restano nella notifica, con la sua conservazione. Li vede solo l'amministrazione, nell'area riservata. Si cancellano 12 mesi dopo l'ultima comparsa; quelli sui tentativi di accesso falliti dopo 30 giorni.
Finalità: controllo del servizio, dei costi, degli incassi e della sicurezza.
Base giuridica: legittimo interesse (art. 6.1.f).

Note interne sul rapporto commerciale: l'amministrazione della piattaforma può annotare, per ogni azienda cliente, chiamate, email, accordi e promemoria (ad esempio "richiamare il titolare per il rinnovo"), con autore e data. Le note possono contenere il nome della persona di riferimento dell'azienda; non vi inseriamo dati sanitari né altri dati non necessari. Le vede solo l'amministrazione, nella stessa area riservata dei contatori; il cliente non le vede nell'app. Si cancellano automaticamente dopo 36 mesi.
Finalità: gestione del rapporto commerciale e dell'assistenza.
Base giuridica: esecuzione del contratto e misure precontrattuali (art. 6.1.b) e legittimo interesse (art. 6.1.f).

Accessi dell'assistenza della piattaforma: quando una persona di Pot-Ato entra nei dati di un'azienda per assistenza tecnica (solo se il titolare l'ha autorizzata nelle impostazioni), l'entrata viene registrata con persona, azienda e data/ora in un registro riservato dell'amministrazione, insieme alle modifiche fatte ai dati di abbonamento, incassi e listino. Conservazione 24 mesi.
Finalità: sicurezza e prova degli accessi.
Base giuridica: legittimo interesse (art. 6.1.f).

Notifiche ed email di servizio: notifiche nell'app (campanella) ed email automatiche (inviti, recupero e conferma del cambio password, promemoria scadenze, avvisi di sicurezza). Non inviamo email promozionali e non tracciamo aperture o clic delle email. Le notifiche lette si cancellano dopo 90 giorni, quelle mai lette dopo 12 mesi; le email non vengono salvate nella piattaforma.

Avvisi automatici: ogni mattina la piattaforma controlla con regole fisse (senza intelligenza artificiale), per conto dell'azienda cliente, alcuni dati dei registri, del magazzino e del personale e crea avvisi nella campanella per chi deve occuparsene, secondo il ruolo e i permessi (ad esempio un frigo senza temperature al responsabile della sede, una richiesta di ferie in attesa a chi la approva). Il titolare dell'azienda sceglie quali avvisi attivare. Ogni persona può ricevere anche un'email di riepilogo al giorno con i suoi avvisi nuovi, inviata tramite il fornitore di email (Resend, invio dall'Irlanda): contiene i titoli e i testi degli avvisi, che possono includere nomi di colleghi. Il riepilogo si spegne da Impostazioni personali → Avvisi via email; la scelta si conserva finché esiste l'account. Gli avvisi seguono la stessa conservazione delle altre notifiche.
Base giuridica: esecuzione del contratto (art. 6.1.b).

Viste affiancate salvate: chi usa due schede affiancate può salvare una coppia di pagine con un nome. Conserviamo il nome scelto e l'indirizzo delle due pagine con il solo giorno e la sede scelti (senza ricerche né i dati che mostrano), visibili solo a quella persona, finché non li elimina o finché esiste l'account. Base giuridica: esecuzione del contratto (art. 6.1.b).

Dati tecnici: il fornitore di hosting registra per ragioni tecniche e di sicurezza i dati delle richieste al server (indirizzo IP, data/ora, pagina richiesta) nei propri log. La piattaforma non usa strumenti di analisi statistica, pubblicità o profilazione.

4. Obbligatorietà dei dati

I dati dell'account sono necessari per usare la piattaforma. I dati dell'assistenza sono facoltativi (servono solo se si chiede aiuto). I dati di fatturazione sono necessari per il contratto.

5. Processi automatizzati e intelligenza artificiale

La piattaforma non prende decisioni automatizzate che producono effetti giuridici sulle persone (art. 22 GDPR). Le letture automatiche di documenti (vedi Parte B) sono proposte che una persona deve controllare e confermare. L'Assistente AI (vedi Parte B) risponde solo in lettura e non decide nulla.

6. A chi comunichiamo i dati

I dati non vengono venduti né ceduti. Sono trattati dal personale autorizzato di Pot-Ato Tech Labs e dai fornitori tecnici che ci aiutano a erogare il servizio, nominati responsabili del trattamento:

Vercel Inc. — hosting dell'applicazione web e delle API; le funzioni server sono configurate nella regione di Francoforte (fra1). Società statunitense.
Supabase Inc. — database PostgreSQL, archivio file di riserva e canale in tempo reale della postazione di timbratura; progetto nella regione eu-central-1 (Francoforte). Società statunitense.
Cloudflare Inc. — archivio dei file (R2); bucket previsto con giurisdizione UE [da verificare nella console Cloudflare]. Società statunitense. [Funzione predisposta, non ancora attiva: il browser o l'app caricano e aprono i file direttamente dall'archivio con un collegamento firmato per un solo file e a tempo (60 secondi per buste paga, CU, F24, certificati di malattia e referti, fino a 15 minuti per gli altri documenti, fino a 2 ore per le immagini pubbliche del portale), che la piattaforma rilascia solo dopo aver verificato chi può vedere il file. Se attivata, Cloudflare riceve anche l'indirizzo IP e i dati tecnici della richiesta di chi carica o apre il file, e i file caricati e mai salvati e gli archivi delle esportazioni dati si cancellano da soli dopo un giorno.]
Resend Inc. — invio delle email di servizio, dominio mittente mail.pot-ato.dev configurato nella regione eu-west-1 (Irlanda). Società statunitense.
Google Cloud (Vertex AI) — lettura automatica di documenti e foto (vedi Parte B), solo se il modulo "Lettura documenti AI" è attivo per l'azienda, e comprensione delle domande all'Assistente AI (vedi Parte B), solo se il modulo "Assistente AI" è attivo per l'azienda; sempre e solo in regione europea (europe-west4, Paesi Bassi).
Expo (650 Industries Inc.) — distribuzione degli aggiornamenti dell'app mobile; riceve solo dati tecnici della richiesta di aggiornamento, non i dati inseriti nell'app. Società statunitense.

Ad alcuni di questi fornitori, pur con dati conservati in UE, può applicarsi la normativa statunitense. Il trasferimento o il possibile accesso da paesi extra UE è coperto dalle garanzie previste dal GDPR (Data Privacy Framework UE-USA dove il fornitore è certificato, clausole contrattuali standard) [da verificare fornitore per fornitore].

I dati di fatturazione (ragione sociale, importi, date, metodo di pagamento, riferimenti delle fatture) e i costi della piattaforma possono essere esportati e trasmessi al commercialista di Pot-Ato Tech Labs per la contabilità e gli adempimenti fiscali; ogni esportazione viene registrata nel registro riservato dell'amministrazione.

I dati possono essere comunicati ad autorità pubbliche quando la legge lo impone.

7. Per quanto tempo conserviamo i dati

Account: per tutta la durata del contratto con l'azienda cliente; dopo la chiusura, per il tempo indicato nella Parte B e nel contratto [periodo da definire].
Tentativi di accesso falliti: 30 giorni, poi cancellati automaticamente.
Richieste di recupero password: 7 giorni, poi cancellate automaticamente.
Registro azioni: 24 mesi, poi cancellato automaticamente.
Contatori d'uso per azienda (numero di letture automatiche, gettoni AI, errori, limiti raggiunti) e loro riepiloghi mensili: 25 mesi.
Registro riservato degli accessi dell'assistenza e delle azioni dell'amministrazione: 24 mesi.
Note interne dell'amministrazione sul rapporto con l'azienda cliente: 36 mesi.
Avvisi interni dell'amministrazione: 12 mesi dall'ultima comparsa; quelli sui tentativi di accesso falliti 30 giorni.
Notifiche nell'app (campanella): quelle lette si cancellano dopo 90 giorni, quelle mai lette dopo 12 mesi.
«Non ora» sui suggerimenti degli eventi del personale (azienda, persona, tipo ed evento): cancellati alla chiusura o all'annullamento dell'evento e, per i residui, dalla pulizia giornaliera quando l'evento non è più in programma.
Ticket di assistenza chiusi, con i messaggi e gli allegati: cancellati automaticamente 24 mesi dopo la chiusura; quelli ancora aperti restano finché non si chiudono.
Inviti via email (nome ed email della persona invitata): cancellati 12 mesi dopo l'invio, accettati o no.
Accettazioni di Termini e DPA: per tutta la durata del contratto e poi 10 anni, come prova del contratto; non si modificano né si cancellano dall'applicazione.
Dati di fatturazione: 10 anni, come richiesto dalla normativa fiscale (art. 2220 c.c.).
Log tecnici del fornitore di hosting: secondo le impostazioni del fornitore [da verificare].
Copie di sicurezza (backup) del database: gestite dal fornitore del database [durata da verificare nella console].

8. Sicurezza

Connessioni cifrate (HTTPS), password conservate solo come hash, sessioni firmate, permessi per ruolo e per persona, registro delle modifiche, isolamento dei dati tra aziende diverse controllato a ogni lettura, archivio file non pubblico e raggiungibile solo attraverso l'applicazione dopo il controllo dei permessi, chiavi di accesso ai servizi conservate solo lato server, credenziali dei collegamenti a software terzi cifrate (AES-256-GCM). L'elenco completo è nell'accordo sul trattamento dei dati (DPA).

9. I tuoi diritti

Puoi chiedere in qualsiasi momento l'accesso ai tuoi dati, la rettifica, la cancellazione, la limitazione del trattamento, la portabilità, e opporti ai trattamenti basati sul legittimo interesse (artt. 15-22 GDPR), scrivendo a francesco.maccione@pot-ato.dev. Rispondiamo entro un mese.

Se sei un dipendente di un'azienda cliente e la richiesta riguarda i dati che l'azienda ha inserito su di te (turni, presenze, buste paga, ecc.), rivolgiti prima alla tua azienda, che è il titolare: noi la aiuteremo a risponderti (vedi Parte B). Se hai un account collegato alla tua scheda dipendente, puoi scaricare tu stesso una copia dei tuoi dati da Impostazioni personali → I tuoi dati.

Hai inoltre diritto di proporre reclamo al Garante per la protezione dei dati personali (www.garanteprivacy.it).

Parte B — Dati inseriti dalle aziende clienti: Pot-Ato Tech Labs è responsabile del trattamento

10. Chi decide su questi dati

Quando un'azienda usa Pot Workspace per gestire il proprio personale, i fornitori, i registri HACCP, i clienti, gli ordini o le vendite, l'azienda cliente è il titolare del trattamento: decide quali dati inserire, per quali scopi, chi può vederli e per quanto tempo tenerli. Pot-Ato Tech Labs tratta questi dati solo come responsabile del trattamento (art. 28 GDPR), seguendo le istruzioni dell'azienda e l'accordo sul trattamento dei dati (DPA) che fa parte del contratto.

Ogni azienda cliente deve dare ai propri dipendenti e collaboratori la propria informativa. Mettiamo a disposizione un modello di informativa per i dipendenti da adattare.

11. Quali dati possono essere inseriti

In base ai moduli attivati dall'azienda, la piattaforma può contenere:

anagrafica del personale: nome e cognome, mansione, sede e reparto, tipo di contratto e ore settimanali, data di assunzione, codice fiscale (facoltativo, serve ad abbinare buste paga e CU e a compilare le chiamate del lavoro intermittente), per i contratti a chiamata il codice della comunicazione obbligatoria di assunzione (UNILAV), note;
attestati, visite e documenti del dipendente con scadenza (attestati HACCP, formazione sicurezza generale e specifica, primo soccorso, antincendio, visite mediche) e relativi allegati, con la precisione della data di rilascio (giorno, solo mese e anno, solo anno), dispositivi di protezione consegnati, corsi di formazione e eventi del personale fissati dal titolare (corsi di gruppo e visite mediche: tipo, data, luogo, elenco dei partecipanti e loro presenza; chiudendo l'evento la piattaforma scrive il relativo documento nella scheda di chi era presente, senza mai registrare l'esito di una visita; la visita medica fissata ha la stessa riservatezza del referto, quindi non la vedono colleghi, responsabili né l'assistenza tecnica; il giorno prima di un evento la piattaforma manda, con una regola fissa e senza decisioni automatiche, un promemoria nella campanella (e, per gli eventi che non sono visite mediche, nell'email di riepilogo giornaliero) al titolare, con il titolo dell'evento e il numero degli invitati, e a ciascun invitato che ha un account, solo per il proprio invito; il dipendente vede nell'app e nel sito soltanto gli eventi a cui è invitato, con tipo, data, luogo e il proprio stato, mai gli altri partecipanti, e per la visita medica solo il proprio appuntamento, senza titolo libero; il consulente, se autorizzato dall'azienda, vede in sola lettura gli eventi aziendali nella sua agenda (titolo, data, luogo e numero dei partecipanti, mai i nomi), e le visite mediche solo con la stessa autorizzazione che copre i referti, mai l'assistenza tecnica; aprendo la pagina degli eventi il titolare vede dei suggerimenti, cioè promemoria calcolati con regole fisse (senza intelligenza artificiale) sui documenti già presenti, per aggiungere a un evento già fissato chi ha un documento mancante, scaduto o in scadenza: non c'è nessuna decisione automatica, la persona la aggiunge soltanto il titolare, e chi non può vedere le visite mediche non riceve nemmeno i suggerimenti sulle visite; se il titolare sceglie «Non ora» si conservano solo azienda, persona, tipo ed evento, per non riproporre lo stesso suggerimento, e la riga si cancella alla chiusura o all'annullamento dell'evento; gli eventi e i partecipanti restano nella scheda del personale finché l'azienda li conserva e non hanno una cancellazione automatica [periodo da decidere con il cliente]; i promemoria di una visita medica non vengono mai inclusi nell'email di riepilogo e seguono la conservazione delle notifiche); la designazione come addetto al primo soccorso o antincendio e, se indicata dall'azienda, la periodicità della visita medica decisa dal medico competente (solo il numero di mesi, mai il motivo). Sulla base dei documenti obbligatori impostati dall'azienda la piattaforma calcola per ogni dipendente uno stato ("in regola", "in scadenza", "scaduto", "manca") e manda al titolare un avviso riassuntivo nell'app (senza email) per i documenti scaduti o che scadono entro 30 giorni; la periodicità della visita è visibile solo al titolare e al consulente autorizzato, mai all'assistenza tecnica: è solo un promemoria per l'azienda, nessuna decisione sulla persona viene presa in automatico;
turni e pianificazione, richieste di ferie, permessi (anche a ore) e scambi o cessioni di ferie e turni tra colleghi (con chi propone, chi accetta e chi approva); saldi di ferie e permessi calcolati dai ratei della busta paga (o da un saldo iniziale inserito dall'azienda) meno le richieste approvate dopo, con le ferie contate sui giorni di turno pianificati; i permessi e i recuperi a ore approvati entrano nelle presenze e nel riepilogo mensile per il consulente del lavoro; le proposte di cambio turno chiuse (accettate, rifiutate, annullate o scadute) si cancellano automaticamente dopo 24 mesi, mentre lo spostamento del turno che ne è derivato resta nel registro azioni;
malattia: date di assenza, numero di protocollo del certificato ed eventuale giustificativo allegato. Si tratta di dati relativi alla salute (categoria particolare, art. 9 GDPR);
timbrature e presenze: ora di entrata e di uscita (sempre quella del server), modalità (postazione con QR, PIN o badge, telefono, correzione manuale con motivo), esito delle verifiche di presenza in sede, correzioni, approvazioni mensili; se l'azienda usa la banca ore, i movimenti delle ore (entrate all'approvazione delle presenze, recuperi, ore pagate in busta o scadute, correzioni), conservati come le presenze;
posizione al momento della timbratura (solo se l'azienda la attiva per una sede, spenta di default): il telefono rileva la posizione solo nell'istante in cui si preme il bottone, mai in background. Le coordinate non vengono salvate: si salvano solo la distanza dalla sede in metri e l'indicazione "dentro/fuori raggio";
rete della sede: per verificare che una timbratura da telefono avvenga dalla rete della sede, la piattaforma conserva gli indirizzi IP pubblici visti dalla postazione di timbratura della sede (non quelli dei telefoni dei dipendenti). Questi indirizzi vengono cancellati dopo 30 giorni in cui non vengono più visti. L'IP del telefono al momento della timbratura non viene salvato;
PIN di timbratura: conservato solo come hash; dopo 5 tentativi errati il PIN si blocca per 15 minuti;
badge di timbratura (solo se l'azienda li attiva per una sede, spenti di default; lettore di badge NFC o RFID collegato al tablet della postazione): il codice del badge non viene salvato in chiaro, né nei registri né nel registro azioni; si conservano solo impronte irreversibili (HMAC con una chiave segreta del server, calcolate in modo diverso per ogni azienda cliente; più impronte dello stesso codice, una per ogni forma in cui i lettori più diffusi possono scriverlo, così il badge si riconosce con lettori diversi) e la data di associazione, un badge per dipendente. Le impronte si cancellano quando il badge viene tolto o sostituito e quando il dipendente viene disattivato. Nel registro azioni restano solo l'associazione e la rimozione del badge (chi, quando, per quale dipendente). Dopo 20 badge non riconosciuti in 10 minuti la postazione sospende i badge per 15 minuti;
buste paga, CU e F24: i documenti caricati dall'azienda o dal suo consulente del lavoro e i dati letti (periodo, lordo, netto, contributi, IRPEF, TFR, ratei ferie/permessi). Le buste paga possono contenere indirettamente dati sulla salute (giorni di malattia): sono visibili solo al titolare e al dipendente interessato, e ogni scaricamento viene registrato;
note spese e rimborsi chilometrici con ricevute allegate;
benefit e welfare (fringe benefit, buoni pasto, rimborsi) e la dichiarazione annuale sì/no di avere figli fiscalmente a carico (mai i codici fiscali dei figli);
comunicazioni e documenti aziendali con la conferma "Ho letto e compreso" di ogni dipendente, o la firma su carta registrata dal titolare;
onboarding e offboarding del dipendente (liste di ingresso e uscita): quali adempimenti sono stati fatti all'assunzione e alla cessazione (contratto, comunicazioni del consulente, visita medica, formazione, consegna e restituzione di divisa, DPI e chiavi, account), con data, chi li ha segnati, note ed eventuali allegati caricati dall'azienda (ad esempio il contratto firmato). Alcune voci si spuntano da sole leggendo dati già presenti (attestati e visite nella scheda, account e PIN, conferme di lettura dei documenti). L'allegato della voce "visita medica", e di ogni altra voce marcata "dato sanitario", può essere un dato relativo alla salute: lo apre solo il titolare. Le liste le vedono solo il titolare e chi ha il permesso di impostazione sui turni; una lista completata (e i suoi allegati) si cancella automaticamente 24 mesi dopo il completamento, quella ancora aperta resta finché non si completa o l'azienda la cancella prima;
chiamate del lavoro intermittente (dipendenti con contratto a chiamata): dai turni pianificati la piattaforma prepara il modulo ministeriale UNI-Intermittenti (codice fiscale e e-mail dell'azienda; codice fiscale, codice comunicazione e date di lavoro di ogni lavoratore; eventuale annullamento) e il testo della mail per il Ministero del Lavoro. La piattaforma non invia nulla: la mail la spedisce l'azienda dal proprio programma di posta, e il Ministero la riceve dall'azienda, non da noi. Restano in archivio il PDF del modulo, il testo della mail, chi l'ha preparata e quando, e quando l'azienda ha segnato di averla inviata: è la prova dell'adempimento, perché il Ministero non manda ricevuta. Le vede e le prepara solo il titolare dell'azienda;
firme apposte sui registri HACCP (immagine della firma);
registri HACCP: temperature, pulizie, abbattimento, pastorizzazione, produzioni, lotti, non conformità, con il nome di chi ha registrato;
inventari del Magazzino HACCP (funzione «Inventari e trasferimenti», attivata per singola azienda): le conte dei prodotti e dei lotti di una sede e le correzioni dei lotti alla chiusura, con l'identificativo di chi ha aperto, contato e chiuso l'inventario e quando (il nome lo vedono solo il titolare e chi gestisce l'azienda);
trasferimenti del Magazzino HACCP tra sedi (funzione «Inventari e trasferimenti», attivata per singola azienda): i lotti spostati da una sede all'altra della stessa azienda, con l'identificativo di chi ha creato, inviato, ricevuto o annullato il trasferimento e quando (il nome lo vedono solo il titolare e chi gestisce l'azienda);
compiti di turno: cose da fare assegnate a un dipendente o a chi è di turno (titolo, voci da fare, giorno e ora entro cui farle, sede e reparto), con chi li ha segnati fatti e quando (anche per ogni singola voce spuntata), la nota scritta, il motivo di un "non riesco" ed eventuali foto del lavoro fatto (ad esempio il banco pulito o lo scontrino di chiusura cassa) scattate dal dipendente. Le foto vengono ridotte (lato lungo 1600 punti) e ne viene conservata anche una piccola anteprima per gli elenchi, con la stessa durata della foto. Le foto riguardano il lavoro, non la persona: l'azienda dovrebbe chiedere di non inquadrare persone. Un compito può essere collegato a un oggetto di un altro prodotto (una produzione pianificata, un'attività di pulizia): in quel caso si chiude da solo quando l'oggetto viene completato. I compiti nascono anche in automatico dalle ricorrenze decise dall'azienda, solo nei giorni in cui la persona o il gruppo è di turno; nessuna decisione sul dipendente viene presa in automatico. Li vedono il dipendente a cui toccano, il titolare e chi ha il permesso sui compiti nella sua sede o reparto; compiti, note e foto si cancellano automaticamente 24 mesi dopo il giorno del compito;
fornitori e documenti commerciali: dati dei fornitori (che possono essere ditte individuali), fatture e DDT fotografati, schede tecniche ed etichette di prodotti;
clienti dell'azienda: se l'azienda usa il Gestionale, l'anagrafica dei suoi clienti privati e aziende (nome o ragione sociale, codice fiscale, partita IVA, codice destinatario e PEC per la fattura elettronica, telefono, email, indirizzo, azienda di appartenenza, listino e modalità di vendita, note). Non chiediamo data di nascita, sesso, coordinate bancarie né codice lotteria dei clienti. Un cliente si può archiviare oppure, se non ha ordini né persone collegate, eliminare definitivamente; nel registro azioni restano solo chi ha fatto la modifica, quando e il nome del cliente nel riassunto, fino alla cancellazione automatica del registro dopo 24 mesi. Un cliente che ha ordini non si elimina: si archivia (resta in anagrafica ma non si sceglie più). Esportazione e importazione da file: chi può modificare i clienti (funzione Clienti con il permesso di modifica, non la sola consultazione) può esportare in un file CSV i clienti o le aziende che vede (con i filtri scelti, al massimo 5.000 righe: nome, partita IVA, codice fiscale, codice destinatario, PEC, telefono, email, indirizzo, note, azienda di appartenenza); il file si crea al momento dai dati salvati e la piattaforma non lo conserva; ogni esportazione resta nel registro azioni (chi, quando, quante righe, mai il contenuto) e conta per l'allarme sulle esportazioni ripetute; il file scaricato esce dalla piattaforma e da quel momento lo custodisce l'azienda. Chi può modificare i clienti può anche importarli da un file CSV preparato dall'azienda (importazione guidata, al massimo 5.000 righe, anche il file di un altro gestionale come Cassa in Cloud): il file viene letto nel browser di chi importa e alla piattaforma arrivano solo le colonne scelte, che vengono controllate al momento; il file non viene conservato; si importano solo le colonne elencate sopra (sesso, data di nascita, sconti, coordinate bancarie e IBAN eventualmente presenti nel file vengono riconosciuti, ignorati e mai salvati); ogni riga viene abbinata solo alle anagrafiche della stessa azienda (codice, partita IVA, codice fiscale, email o nome con telefono), le anagrafiche simili non vengono mai unite in automatico e un'azienda indicata nel file non viene mai creata; nel registro azioni restano chi ha importato, quando, il nome dell'anagrafica nel riassunto e quali campi sono cambiati, mai i valori. Ogni importazione confermata resta nella pagina Importazioni con data, chi l'ha fatta (id utente), nome del file e quante schede ha creato o aggiornato (mai il contenuto), per 12 mesi; per poterla annullare entro 24 ore la piattaforma tiene anche i valori di prima dei soli campi cambiati delle schede aggiornate (per esempio il telefono o l'email precedenti), che si cancellano all'annullamento o, passate le 24 ore, con la manutenzione notturna (o alla prima importazione successiva dell'azienda, se viene prima). Per gli indirizzi (clienti, aziende e consegne degli ordini) la piattaforma suggerisce comune, provincia e CAP da elenchi pubblici (comuni ISTAT e codici postali GeoNames, licenza CC BY 4.0) conservati sul proprio server: quello che si scrive non viene mandato a servizi di mappe né ad altri fornitori. I dati dei clienti restano nell'Unione Europea, sugli stessi fornitori del punto 6 (nessun fornitore nuovo), e si conservano finché l'azienda è cliente;
ordini dei clienti dell'azienda: se l'azienda usa gli Ordini del Gestionale, per ogni ordine il cliente (l'azienda e la persona scelte dall'anagrafica, oppure solo nome e telefono), la sede, una o più consegne (al massimo 20 per ordine: giorno e ora di ritiro oppure indirizzo di consegna o spedizione, nota della consegna, stato; per una consegna consegnata anche come è stata chiusa: il tipo, il numero e la data dello scontrino o della fattura emessi in Cassa in Cloud, che qui si registrano soltanto come promemoria, chi l'ha registrato e quando, e una nota breve facoltativa, che l'anonimizzazione dell'anagrafica cancella come la nota della consegna; oppure il collegamento al DDT che l'ha chiusa, oppure il collegamento a un conto chiuso: un documento di gestione non fiscale, con numero progressivo, righe, pagamenti non elettronici (metodo e importo, anche la parte ancora da incassare e gli acconti dell'ordine), il nome del cliente copiato dall'ordine e la stessa nota breve, che non si modifica e si conserva come gli altri documenti di vendita; nessuna categoria di dati nuova), il canale da cui è arrivato (gestionale web, app mobile con il canale «Telefono» o file importato, in futuro anche il sito; negli ordini più vecchi anche banco, telefono, WhatsApp…), le righe (articoli, quantità, personalizzazioni come la scritta su una torta, prezzi, sconti, IVA, e se il prodotto si prende dalla vetrina o dalla produzione), il totale, gli eventuali acconti (anche più di uno: importo, metodo di pagamento, giorno, tipo e riferimento del documento emesso, per esempio “Scontrino 701-25”, e una nota breve; sono dati dell'ordine trattati per conto dell'azienda e solo un promemoria: la piattaforma non incassa e non conserva dati di carte di pagamento), le note per il cliente e per il laboratorio, lo stato e il motivo di un annullamento. Nessuna categoria di dati nuova e nessun fornitore nuovo rispetto al punto 6. Ordini presi dall'app mobile (modalità «Gestionale» dell'app): l'ordine si salva con le stesse regole e gli stessi controlli del sito (permessi, punto vendita, prezzi e totali calcolati dal server). Sul telefono restano due cose: una copia del catalogo articoli della sede (nomi, codici e codici a barre degli articoli, senza prezzi d'acquisto né dati di persone), che serve a cercare e scansionare gli articoli anche con poca rete, e la bozza dell'ordine non ancora inviato, compresi il nome e il telefono del cliente se scritti senza anagrafica. Stanno solo nella memoria dell'app sul telefono, non vengono inviati finché chi lavora non preme «Salva come bozza» o «Conferma ordine», si cancellano quando l'ordine parte o la bozza viene scartata e comunque all'uscita dall'account; nessuna categoria di dati nuova e nessun fornitore nuovo. Chi prende gli ordini può cercare il cliente nell'anagrafica per nome o telefono (un'azienda anche per partita IVA) anche senza la funzione Clienti; la ricerca per codice fiscale o email è solo per chi ha la funzione Clienti. Due o più ordini dello stesso cliente si possono unire in uno: consegne, righe, acconti e note passano nell'ordine principale, gli altri ordini numerati restano, annullati con il motivo, e le bozze unite vengono eliminate. Quando una consegna con prodotti presi dalla vetrina viene segnata consegnata e l'azienda usa il Magazzino di HACCP, la piattaforma registra da sola un'uscita di magazzino (prodotti, lotti, quantità, riferimento come “Ordine ORD-12/26 · consegna 2” e, solo se l'ordine è intestato a un'azienda, la sua ragione sociale): il nome di un cliente privato non viene mai copiato nel magazzino. La parte non coperta dai lotti (o tutta, senza il Magazzino di HACCP) esce dalla giacenza degli articoli del Gestionale con un movimento «Venduto» che porta lo stesso riferimento e nessun nome di cliente. La giacenza degli articoli si scrive anche a mano dalla scheda dell'articolo (carico, scarico, giacenza impostata, per sede e per variante): per ogni movimento restano chi l'ha registrato, quando e una nota libera facoltativa (al massimo 300 caratteri), finché esiste l'articolo; nessuna categoria di dati nuova e nessun fornitore nuovo. Per gli inventari di una sede, i trasferimenti di merce tra sedi, le soglie minime di giacenza e i fornitori di un articolo restano solo l'identificativo di chi li ha creati, contati, chiusi, inviati, ricevuti, annullati o aggiornati (e di chi deve contare una riga, se gli è assegnata), con quando e una nota breve facoltativa: gli inventari e i trasferimenti si conservano come i movimenti che generano, finché l'azienda è cliente; nessuna categoria di dati nuova e nessun fornitore nuovo. Nella pagina Magazzino → Movimenti chi ha la funzione Articoli vede i movimenti delle sedi che può vedere; il nome di chi ha registrato ogni movimento lo vedono solo chi gestisce l'azienda (il titolare e il consulente) e chi ha «Report e cassa», anche nel file CSV esportato (poiché riguarda i dipendenti, rientra nell'informativa al personale che l'azienda deve dare, come per l'operatore delle vendite); ogni esportazione resta nel registro azioni (chi, quando, quante righe, mai il contenuto) e conta per l'allarme sulle esportazioni ripetute. Le pagine Magazzino → Giacenze e Magazzino → Valorizzazione (quest'ultima solo per chi gestisce l'azienda) mostrano ed esportano solo articoli, quantità, soglie, costi e valori, senza nomi di persone; della soglia minima cambiata resta l'identificativo di chi l'ha cambiata, nel registro azioni. Chi vede il nome nei Movimenti vede anche, nella pagina di un inventario e nel suo file CSV, il nome di chi ha contato ogni riga (con giorno e ora) e di chi deve contarla, e nel documento di un trasferimento chi l'ha creato, inviato, ricevuto o annullato; gli altri vedono solo i numeri. La conta dal telefono salva solo la quantità, chi e quando (nessuna posizione, nessuna foto); il foglio di accompagnamento stampato di un trasferimento riporta solo le sedi, gli articoli e le quantità, mai nomi di persone. Il valore delle differenze d'inventario (con il costo del fornitore dell'articolo) lo vede solo chi gestisce l'azienda. Un ordine confermato riceve un numero e non si cancella: si annulla con un motivo; una bozza si può eliminare. Gli articoli da produrre entrano nel piano di produzione dell'azienda e, a fine produzione, sulle etichette piccole da applicare al prodotto, che riportano solo il nome del cliente (per un privato il nome e l’iniziale del cognome, per un'azienda il nome accorciato a 28 caratteri), il giorno e l'ora di ritiro, la personalizzazione, il lotto, la scadenza e gli allergeni, mai importi; le pagine di produzione e le etichette non mostrano prezzi. Nel registro azioni restano chi ha fatto cosa e quando, con codici, stati e importi, senza nome e telefono del cliente, personalizzazioni, note e testo del motivo di annullamento. Le personalizzazioni e le note sono testo libero: se l'azienda vi scrive un'allergia (ad esempio “senza noci”), quel testo può essere un dato sulla salute del cliente; alle persone dell'azienda chiediamo di scrivere solo ciò che serve alla produzione, senza dettagli medici [da valutare con il legale: allergie indicate nelle personalizzazioni dell’ordine = possibili dati sulla salute (art. 9 GDPR)]. Gli ordini restano nell'Unione Europea sugli stessi fornitori del punto 6 e si conservano finché l'azienda è cliente: un ordine confermato non si cancella mai (si annulla con un motivo), una bozza si può eliminare dall'azienda, e il cliente di un ordine non si elimina ma si archivia. Allegati degli ordini (solo se l'azienda ha attivato la funzione "Allegati degli ordini"): all'ordine si possono attaccare fino a 10 foto o PDF, per esempio la foto di una torta mandata dal cliente su WhatsApp, con una nota breve («colore rosa, scritta Auguri»). Le foto possono ritrarre persone: chiediamo alle persone dell'azienda di caricare solo ciò che serve a preparare l'ordine. Le foto vengono ridotte nel telefono e poi ricodificate dalla piattaforma (lato lungo 1600 punti) togliendo i dati nascosti dello scatto, compresa la posizione GPS, con una piccola anteprima per gli elenchi; un PDF (al massimo 8 MB) si salva com'è. I file stanno nell'archivio dei file della piattaforma (lo stesso fornitore del punto 6, in Unione Europea), mai nel database, e si aprono solo con un collegamento firmato a tempo rilasciato dopo aver verificato che chi guarda abbia accesso agli Ordini di quel punto vendita. Restano chi li ha caricati e quando; nel registro azioni solo che un allegato è stato aggiunto o tolto, mai il nome del file o la nota. Ogni azienda ha uno spazio massimo per gli allegati (1 GB salvo diverso accordo). Gli allegati si cancellano: quando chi lavora li toglie; insieme alla bozza eliminata; quando l'azienda anonimizza il cliente o l'azienda dell'ordine; e in automatico dopo un numero di giorni dalla consegna o dall'annullamento dell'ordine scelto dall'azienda (180 giorni se non lo cambia, oppure mai). Nessuna categoria di fornitori nuova rispetto al punto 6. Stampa, PDF ed esportazione: chi ha accesso agli Ordini può stampare un ordine o scaricarlo in PDF (anche senza prezzi, e la pro forma, che non è un documento fiscale) ed esportare in un file CSV gli ordini o le righe degli ordini dei propri punti vendita (con nomi, telefoni, indirizzi di consegna, importi e note); codice fiscale e PEC di un cliente privato compaiono nella pro forma e nel PDF solo per chi ha anche la funzione Clienti; il documento e il file si creano al momento dai dati salvati e la piattaforma non li conserva; ogni stampa o PDF di un ordine resta nel registro azioni (chi, quando, quale ordine e quale documento, mai il contenuto); ogni esportazione resta nel registro azioni (chi, quando, quante righe, mai il contenuto) e conta per l'allarme sulle esportazioni ripetute. Il file scaricato esce dalla piattaforma: da quel momento lo custodisce l'azienda. Importazione da file: l'azienda può caricare un file CSV di ordini preparato da lei (al massimo 1 MB); il file viene letto e controllato al momento e non viene conservato; gli ordini nascono in bozza e il cliente viene abbinato solo con le anagrafiche della stessa azienda (partita IVA, telefono o nome), mai creato in automatico; dell'import resta solo un'impronta del file (SHA-256) nel codice di ciascun ordine importato, che serve a non importare due volte lo stesso file, e la voce del registro azioni di ogni ordine creato;
preventivi ai clienti dell'azienda (Vendite → Preventivi, con la funzione Ordini del Gestionale): per ogni preventivo il cliente (l'azienda e la persona scelte dall'anagrafica, oppure solo nome e telefono), la sede, la data e la validità, la proposta facoltativa di ritiro, consegna o spedizione (giorno, ora, indirizzo), le righe (articoli, quantità, aggiunte, personalizzazioni, prezzi, sconti, IVA), il totale, l'acconto proposto (solo una cifra da chiedere: nessun incasso), le note per il cliente e quelle interne, lo stato (bozza, inviato, accettato, rifiutato, trasformato in ordine) e il numero dell'ordine creato. Restano l'identificativo di chi l'ha creato e quando; nel registro azioni chi ha fatto cosa e quando, con numeri, stati e importi, senza nome e telefono del cliente né note. Il PDF del preventivo (con le condizioni scritte dall'azienda in Impostazioni → Ordini) e il file CSV esportato si creano al momento dai dati salvati e la piattaforma non li conserva; ogni stampa e ogni esportazione restano nel registro azioni (chi, quando, mai il contenuto) e le esportazioni contano per l'allarme sulle esportazioni ripetute. In questa versione la piattaforma non manda il preventivo al cliente: lo stampa o lo scarica chi lavora, che poi lo segna come inviato. «Trasforma in ordine» crea un ordine con le stesse righe (vale da lì quanto scritto per gli ordini). I preventivi restano nell'Unione Europea sugli stessi fornitori del punto 6 e si conservano come gli ordini, finché l'azienda è cliente: una bozza si può eliminare, un preventivo inviato no (si segna rifiutato); «Anonimizza» di un cliente o di un'azienda cancella nome libero, telefono, indirizzo della consegna proposta e note anche dai suoi preventivi. Nessuna categoria di dati nuova e nessun fornitore nuovo rispetto al punto 6;
ordini a fornitore e ingressi merce dell'azienda (Magazzino → Ordini a fornitore e Ingressi ordini fornitore, con la funzione Articoli del Gestionale e l'anagrafica Fornitori): per ogni ordine il fornitore (dall'anagrafica Fornitori: dati di un'impresa, con i recapiti che l'azienda ha scritto), la sede di consegna, le date, il riferimento del fornitore, le condizioni di pagamento, le note per il fornitore e quelle interne, le righe (articoli, codici del fornitore, quantità ordinate e arrivate, costi d'acquisto visibili solo a chi gestisce l'azienda); per ogni ingresso merce (con o senza ordine) il fornitore, la sede, il giorno di arrivo, il tipo, il numero e la data del documento del fornitore, una nota breve, le righe arrivate con una nota di lotto o scadenza facoltativa. Restano l'identificativo di chi ha creato, inviato, chiuso o annullato l'ordine e di chi ha registrato l'ingresso, con quando (il nome lo vedono solo chi gestisce l'azienda e chi ha «Report e cassa», come per i movimenti di magazzino); i carichi in magazzino di un ingresso seguono quanto scritto per i movimenti. Se l'azienda usa anche HACCP Ingressi merce, un carico registrato lì viene abbinato in automatico (con regole fisse, nessuna intelligenza artificiale) alle righe degli ordini aperti dello stesso fornitore e della stessa sede, conservando il riferimento del carico HACCP; cambiato o cancellato il carico, l'abbinamento si rifà. Il PDF dell'ordine e il file CSV dell'elenco si creano al momento dai dati salvati e la piattaforma non li conserva; ogni stampa ed esportazione resta nel registro azioni (chi, quando, mai il contenuto) e le esportazioni contano per l'allarme sulle esportazioni ripetute. In questa versione la piattaforma non manda l'ordine al fornitore: lo stampa o lo scarica chi lavora. Ordini e ingressi restano nell'Unione Europea sugli stessi fornitori del punto 6 e si conservano finché l'azienda è cliente (non si cancellano: un ordine si annulla). Per la lettura automatica dei documenti dei fornitori (lotto successivo) sono già previsti, vuoti, il percorso del documento scansionato e la lettura grezza: questa informativa si aggiornerà quando la funzione sarà attiva. Nessuna categoria di dati nuova e nessun fornitore nuovo rispetto al punto 6;
vendite e incassi (funzione «Report e cassa» del Gestionale): i documenti di vendita dell'azienda (scontrini, ricevute, conti, fatture, note di credito e annulli) con le loro righe (articolo, descrizione, quantità, prezzo e prezzo di listino, sconti, IVA e costo unitario fissato alla vendita), i pagamenti (nome, tipo e riscossione del metodo copiati sul documento, importo, contanti dati e resto: nessun dato di carte di pagamento), le chiusure di cassa (cassa, giorno, numero di documenti, totali, fondo iniziale e finale, contanti attesi, contati e differenza, nota) e, se presenti, i riferimenti dei documenti importati (numero, azzeramento) copiati come testo. Sul documento possono esserci: il nome dell'operatore che ha battuto la vendita o chiuso la cassa, copiato come testo; il nome del cliente o dell'azienda e, sulle fatture, la sua intestazione fiscale (partita IVA, codice fiscale, codice destinatario, PEC, indirizzo) come era al momento del documento. Il nome dell'operatore lo vede chi ha «Report e cassa»: nell'elenco, nell'anteprima e nell'esportazione dei Documenti di vendita (anche come filtro), nel Venduto per operatore (anche come filtro su tutte le viste del Venduto), nell'Incasso e pagamenti (come filtro) e come «Chiusa da» nelle chiusure di cassa (anche come filtro). I filtri e le viste per operatore mostrano quindi vendite e incassi per singola persona. Quando si filtra per operatore, il nome scritto nel filtro compare anche nell'indirizzo della pagina (come parametro di ricerca) e quindi nei log tecnici del fornitore di hosting [periodo di conservazione di quei log da verificare con il fornitore]; non viene salvato nel database e non entra mai nella cache dei report. Poiché questi dati riguardano anche i dipendenti, l'azienda cliente deve informarne il proprio personale (art. 13 GDPR e art. 4 della Legge 300/1970, Statuto dei lavoratori) prima di usare queste funzioni, compresi i report per operatore (Venduto, Incasso e pagamenti, «Chiusa da» delle chiusure); nel modello di informativa per i dipendenti c'è la voce da completare. I nomi dei clienti, la loro intestazione fiscale e le note libere scritte sui documenti (per esempio il motivo di un reso, che può contenere un nome) li vede solo chi ha anche la funzione Clienti. La nota libera della chiusura di cassa (scritta da chi chiude: può contenere nomi o altre informazioni) è invece visibile a chiunque abbia «Report e cassa», anche senza la funzione Clienti, nel dettaglio della chiusura, nella stampa e nell'esportazione. Il numero dell'ordine da cui arriva un documento lo vede solo chi vede quell'ordine (funzione Ordini sul suo punto vendita), e il numero del documento corretto da una nota di credito o da un annullo solo chi vede il punto vendita di quel documento. I documenti e le chiusure arrivano da fuori: dall'importazione dello storico di Cassa in Cloud da un file Excel (o CSV) di esportazione «Documenti», che il titolare o l'amministratore sceglie dal proprio dispositivo (il file viene letto dal browser: non viene caricato né conservato, arrivano al server solo i documenti riconosciuti, a blocchi, che la piattaforma ricontrolla prima di scriverli), e in futuro dall'app di cassa. L'importazione dello storico è una copia dei documenti fiscali emessi da Cassa in Cloud, che la piattaforma non emette: si copiano solo i dati necessari al documento (numero e serie come testo, data e ora, righe, importi, IVA, pagamenti, resto, nome dell'operatore come testo e, su fatture e note di credito, l'intestazione fiscale con nome e partita IVA). Non si importano mai le note libere di riga (che possono contenere dati di persone), il nome e l'indirizzo email del cliente dello scontrino, le descrizioni estese dei prodotti, il tavolo, e del testo libero di descrizione e causale del documento resta solo la parola riconosciuta (scontrino, fattura, nota di credito…), né si creano clienti o aziende: l'intestatario di una fattura si collega a un'azienda già presente solo se la partita IVA coincide esattamente, altrimenti resta il nome copiato sul documento. I documenti importati non muovono il magazzino. Un'importazione si può annullare entro 24 ore dal titolare; il registro dell'importazione (data, chi l'ha fatta, nome del file, impronta sha-256 del contenuto, conteggi) si conserva 12 mesi, le righe tecniche del lotto 24 ore, i documenti importati come tutti i documenti di vendita (copia di registri fiscali: nessuna cancellazione automatica); le scelte di abbinamento ricordate per le importazioni successive (etichette di prodotti, categorie, reparti, modalità e pagamenti, mai nomi di persone) restano finché esiste l'azienda. La piattaforma crea poi solo le fatture differite dai DDT con la funzione «DDT e fatture» (vedi sotto), e i documenti registrati non si modificano né si cancellano, nemmeno dal database (le correzioni sono nuovi documenti: nota di credito o annullo; l'unica eccezione è l'annullamento di un'importazione dello storico entro 24 ore, con una funzione dedicata del database che controlla azienda, lotto e tempo e non tocca nient'altro). La piattaforma non trasmette dati fiscali: nessun registratore telematico, nessun invio al Sistema di Interscambio né all'Agenzia delle Entrate (con la funzione «DDT e fatture» prepara i file delle fatture elettroniche, ma non li invia: vedi sotto); i report (Corrispettivi, Venduto, Incasso e pagamenti, Marginalità, Note di credito e resi, Chiusure di cassa) sono prospetti interni calcolati dai documenti. La Marginalità (costi, margini, break-even e acquisti) la vede solo chi gestisce l'azienda (il titolare), come il food cost del ricettario; mostra quantità e costi d'acquisto dei lotti di HACCP collegati agli articoli solo a chi ha anche Ingressi merce (giorno italiano del carico) e la sola quantità in giacenza a chi ha anche Magazzino; i costi fissi che si scrivono per il break-even restano nell'indirizzo della pagina e non vengono salvati nel database. Esportazioni: da ogni report si scarica un file CSV (dai Corrispettivi anche un PDF) creato al momento dai dati salvati e non conservato dalla piattaforma; ogni esportazione resta nel registro azioni (chi, quando, quale report e quale periodo, mai il contenuto) e conta per l'allarme sulle esportazioni ripetute; anche ogni stampa di una chiusura di cassa resta nel registro azioni (chi, quando, quale chiusura, mai il contenuto), senza contare per quell'allarme. Cache dei report: sui periodi di almeno 93 giorni, i risultati del Venduto per prodotto, categoria, reparto, aliquota, tipo di documento, modalità di vendita e per mesi, giorni e orari, e quelli di Incasso e pagamenti, si conservano già calcolati nella cache dei dati del fornitore di hosting (Vercel, regione delle funzioni fra1 [da confermare nel pannello del fornitore]) per 10 minuti se il periodo arriva a oggi e per un'ora se è chiuso, separati per azienda: sono solo totali per voce, senza nomi di persone (il Venduto per operatore, azienda e cliente si calcola sempre al momento e non va mai in cache). Le vendite restano nell'Unione Europea sugli stessi fornitori del punto 6 (nessun fornitore nuovo);
DDT e fatture elettroniche (funzione «DDT e fatture» del Gestionale, attivata per singola azienda): i dati fiscali dell'azienda che emette (ragione sociale o, per una ditta individuale, nome, cognome e codice fiscale del titolare; partita IVA, regime fiscale, sede, iscrizione al registro imprese, telefono ed email facoltativi, IBAN e banca per i bonifici, giorni di pagamento), scritti in Impostazioni, Dati fiscali da chi ha le impostazioni della funzione su tutta l'azienda; i DDT (documenti di trasporto) creati dagli ordini, con numero, data, destinatario e luogo di consegna copiati dall'anagrafica (nome, partita IVA o codice fiscale, indirizzo: il DDT stampato non cambia se poi cambia la scheda), causale, chi trasporta e il vettore (nome, partita IVA, indirizzo), il luogo di destinazione scelto (nome del luogo, indirizzo, referente e orari, copiati come testo), inizio del trasporto, colli, pesi, aspetto dei beni, porto, riferimenti, note e, per ogni riga, articolo, quantità, prezzo, IVA, lotto e scadenza (proposti dalle produzioni collegate all'ordine); le fatture elettroniche (formato FatturaPA dell'Agenzia delle Entrate) preparate da una fattura o nota di credito del Gestionale o dai DDT di un cliente (fattura differita): il file contiene i dati fiscali dell'azienda e del cliente (nome o ragione sociale, e per un privato nome e cognome separati se scritti nella sua scheda, partita IVA o codice fiscale, indirizzo, codice destinatario o PEC), le righe, l'IVA e il pagamento; accanto al file si salva la copia di cortesia in PDF, con gli stessi numeri. I file XML e PDF stanno nell'archivio dei file della piattaforma (lo stesso fornitore del punto 6, in Unione Europea), mai nel database, con un nome che non contiene dati del cliente e un'impronta (SHA-256) del contenuto; si scaricano solo con un collegamento firmato di breve durata, rilasciato dopo aver verificato che chi scarica abbia accesso a «DDT e fatture» per quel punto vendita. Invio al Sistema di Interscambio: oggi nessun intermediario è collegato, quindi le fatture non vengono inviate né all'Agenzia delle Entrate né al cliente (stato «Generata, non inviata»); quando l'intermediario sarà scelto (un fornitore accreditato, in Unione Europea) lo aggiungeremo a questa informativa e all'elenco dei sub-responsabili prima di attivarlo. Fatture, passaggi di stato e DDT non si modificano né si cancellano dall'applicazione (bloccato anche nel database: dei file e dei numeri non si cambia nulla; una fattura da correggere prima dell'invio, o scartata, si rigenera con un file nuovo e la vecchia resta come storico) e si conservano 10 anni come documenti fiscali (art. 2220 c.c.) [durata e conservazione a norma da confermare con il commercialista e il legale]. Nel registro azioni restano chi ha creato un DDT o generato, rigenerato, scaricato o stampato una fattura, quando, il numero e il nome del file, mai i dati del cliente. Il prospetto dei corrispettivi del giorno, se l'azienda lo usa, si calcola al momento dai documenti di vendita e non si salva né si trasmette. Per compilare in fretta i DDT l'azienda può tenere due rubriche, in Impostazioni, scritte da chi ha le impostazioni della funzione su tutta l'azienda (o, per i luoghi, salvate dal modulo del DDT): i vettori (interni, corrieri, servizi di consegna: nome, telefono, email, partita IVA, indirizzo, indirizzo di tracciamento, note: sono recapiti di aziende di trasporto, o di un collaboratore se il vettore è interno) e i luoghi di consegna frequenti, un elenco unico dell'azienda valido per qualunque cliente (nome del luogo, indirizzo, referente e telefono del referente, orari: possono essere dati di persone fisiche, per esempio il titolare di un locale), fino a 50 vettori e 200 luoghi per azienda. Non si cancellano dall'applicazione (si disattivano e restano finché l'azienda è cliente); i luoghi non sono legati ai clienti, quindi eliminare o anonimizzare un cliente non li tocca: referente e telefono di un luogo restano finché l'azienda non li toglie (modificando il luogo) o non cessa il contratto, e chi ne è titolare può chiederne la cancellazione all'azienda cliente. I DDT già fatti tengono il testo copiato e non cambiano. Nessuna categoria di dati nuova e nessun fornitore nuovo rispetto al punto 6;
riepilogo venduto del conto vendita (25/10) (stessa funzione «Conto vendita e comodati»): ogni mese l'azienda può fare, per un accordo, un riepilogo venduto — un documento non fiscale — che per periodo e per articolo mette a confronto il consegnato (DDT legati), il venduto contato nelle conte e il venduto dichiarato dal supermercato nel suo estratto, un file CSV scelto dall'azienda. Il file è letto nel browser dell'utente e al server arrivano solo le colonne scelte: il file non viene archiviato; si conservano soltanto le righe riconosciute come prodotti dell'azienda (codice, descrizione, quantità, articolo) e il numero delle righe lette e lasciate fuori, mai le altre righe del supermercato. Il riepilogo tiene le quantità, le note scritte a mano, chi l'ha creato e confermato, il prezzo di cessione e l'IVA copiati al momento della conferma (li vede e li usa solo chi può modificare gli accordi; sono esclusi dai file per gli altri utenti) e, quando l'azienda ha emesso la fattura sulla Cassa in Cloud (software di terzi, non collegato al Gestionale), il numero e la data di quella fattura come semplice riferimento: la fattura fiscale non è generata né conservata dal Gestionale. Sono dati commerciali (codici, descrizioni di prodotti, quantità, importi, date); possono riguardare persone fisiche solo gli autori delle operazioni e le note scritte a mano. Un riepilogo confermato non si modifica né si cancella dall'applicazione (si cancella soltanto la bozza) e si conserva con l'accordo 10 anni dalla sua chiusura [durata e base giuridica da confermare con il legale e il commercialista]; chi vuole può registrare una rettifica della giacenza del frigorifero, che resta come operazione dell'accordo. PDF e CSV del riepilogo (con i prezzi solo per chi modifica gli accordi) lasciano una riga nel registro azioni, mai il contenuto. Nessuna categoria di dati nuova e nessun fornitore nuovo rispetto al punto 6.
conto vendita e comodati (funzione «Conto vendita e comodati» del Gestionale, attivata per singola azienda): quando l'azienda lascia i propri prodotti nel frigorifero di un cliente e la merce resta sua (conto deposito), il Gestionale tiene, per controllare cosa c'è e quando scade e per ritrovare un lotto in caso di richiamo, gli accordi con il cliente (numero progressivo, cliente scelto dall'anagrafica, luogo di consegna scelto dalla rubrica dei luoghi, sede che fornisce la merce, date di inizio e di fine, stato attivo, sospeso o chiuso, le note scritte a mano e, visibile e modificabile solo dal titolare, il costo della visita), i prezzi di cessione per articolo, il legame tra ogni DDT con causale «Conto deposito» e il suo accordo (automatico quando il cliente e il luogo del DDT corrispondono a un solo accordo attivo, altrimenti a mano) e la scheda frigo, che non è un archivio a parte ma si ricalcola ogni volta dai DDT legati (lotti consegnati, scadenze, giacenza teorica) con data di oggi; la scheda si esporta in CSV e in PDF (foglio «documento non fiscale» senza prezzi né costi) e ogni esportazione lascia una riga nel registro azioni, mai il contenuto. Nessuna categoria di dati nuova e nessun fornitore nuovo rispetto al punto 6: sono dati commerciali (id di cliente, di luogo e di sede, codici lotto, quantità, date) e solo le note scritte a mano e, nella rubrica dei luoghi, referente e telefono possono riguardare persone fisiche (per esempio il responsabile del negozio). Gli accordi non si cancellano dall'applicazione: si chiudono, e la chiusura è definitiva (non si riapre); si conservano 10 anni dalla chiusura dell'accordo, insieme ai suoi prezzi e ai legami con i DDT, come documentazione del rapporto commerciale e della tracciabilità della merce (art. 2220 c.c.; art. 18 Reg. CE 178/2002) [durata e base giuridica da confermare con il legale e il commercialista]. Il database impedisce di eliminare un cliente che ha accordi: l'azienda lo anonimizza (punto 16), che cancella i dati personali della scheda e svuota le note degli accordi, ma lascia gli accordi, i prezzi e i DDT legati. A ogni visita l'azienda può contare il frigorifero e ritirare la merce scaduta o resa: il Gestionale registra allora, per ogni conta o ritiro (operazione), un numero progressivo per accordo, la data, chi l'ha registrata (il collegamento all'utente che ha agito; nella scheda frigo compare il suo nome per chi può vedere l'accordo), la destinazione della merce ritirata (distrutta, riportata in laboratorio o ritirata dallo smaltitore), una nota scritta a mano facoltativa e, per ogni articolo e lotto, le quantità contate, vendute, ritirate o rettificate. Il venduto non si registra vendita per vendita: si ricava confrontando la giacenza teorica con quanto trovato nel frigorifero. Sono dati commerciali (codici, lotti, quantità, date); solo l'autore dell'operazione e le note scritte a mano possono riguardare persone fisiche, e dalle note l'azienda deve escludere dati di persone non necessari. Le operazioni non si modificano né si cancellano dall'applicazione, si conservano con l'accordo 10 anni dalla sua chiusura [durata e base giuridica da confermare con il legale e il commercialista] e ogni operazione lascia una riga nel registro azioni (senza note); lo storico si esporta in CSV e nel PDF della scheda frigo. Non vengono raccolte foto né posizione. Nessuna categoria di dati nuova e nessun fornitore nuovo rispetto al punto 6. Attrezzature in comodato, costi e documenti (22/10): la stessa funzione tiene i beni che l'azienda presta ai clienti senza venderli (frigoriferi di marca, espositori, strutture promozionali), perché sappia dove si trova ogni bene e a chi appartiene: per ogni bene il tipo, la marca e il modello, la matricola, il codice articolo del fornitore, il fornitore scelto dall'anagrafica, il numero e la data della fattura e del DDT del fornitore, le note scritte a mano, lo stato e, visibili e modificabili solo dal titolare, il prezzo di acquisto e il trasporto; lo storico delle consegne in comodato e dei rientri (accordo, date, DDT di consegna e di rientro, una nota breve); i costi di un accordo (materiale a perdere, trasporto, altro, con data e importo, solo per il titolare) e un archivio di documenti (contratti firmati, fattura XML o PDF e DDT del fornitore, foto, verbali) che l'azienda carica per ogni bene o accordo. I file stanno nello stesso archivio cloud in UE degli altri allegati (punto 6), le foto vengono ridotte e salvate senza i dati di posizione, e occupano lo stesso spazio allegati degli ordini; ogni apertura di un documento lascia una riga nel registro azioni (mai il contenuto). Con «Importa fattura d'acquisto» il titolare carica la fattura elettronica del fornitore (XML o .p7m): il server la legge per proporre le attrezzature (fornitore, numero, righe con matricola e prezzo), senza intelligenza artificiale e senza inviarla a terzi, e archivia l'XML su ogni attrezzatura creata. Nessuna categoria di dati nuova e nessun fornitore nuovo: sono dati commerciali; possono riguardare persone fisiche solo le note scritte a mano e il contenuto dei documenti caricati (per esempio il firmatario di un contratto o un referente del fornitore). I beni non si cancellano dall'applicazione (si dismettono) e assegnazioni, costi e documenti si conservano 10 anni dall'ultimo rapporto (chiusura dell'accordo, dismissione del bene), senza cancellazione automatica; i documenti li toglie solo il titolare. L'anonimizzazione di un cliente (punto 16) svuota anche le note delle consegne in comodato e dei costi dei suoi accordi; restano le note delle attrezzature (che non appartengono a un cliente), lo storico delle consegne (date, DDT, accordo) e i documenti caricati, che vanno conservati: l'azienda è invitata a non scrivervi nomi di persone [da valutare con il legale se estendere lo svuotamento alle note delle attrezzature]. Modelli di documento e documenti generati (24/10): la stessa funzione offre tre modelli di documento (contratto di comodato d'uso, verbale di consegna e avvio, promemoria per chi consegna) che il Gestionale compila da solo con i dati che l'accordo e le anagrafiche già contengono (ragione sociale, partita IVA e sede dell'azienda e del cliente, nome e indirizzo del luogo di consegna, referente del luogo già presente nella rubrica dei luoghi, tipo, marca, modello e matricola dell'attrezzatura, date dell'accordo, numero e data del DDT di consegna, e il valore dell'attrezzatura solo se chi genera gestisce l'azienda); un PDF che stampa quel valore, e la sua copia firmata, si archiviano riservati a chi gestisce l'azienda (gli altri utenti vedono solo che il documento esiste) e trasforma in PDF. Il PDF si genera sui nostri server, senza intelligenza artificiale e senza inviarlo a terzi, e si archivia nello stesso archivio cloud in UE dei documenti dell'accordo; il testo dei modelli contiene solo segnaposto, mai dati di un cliente. Sono bozze da far verificare a un professionista: per ogni versione del testo il Gestionale può tenere il nome libero del professionista esterno che l'ha rivista (scritto dall'azienda), la data di revisione e, se l'azienda lo allega, il PDF che ha restituito. Per ogni documento generato si registrano il modello e la versione usati, l'accordo o l'attrezzatura, chi l'ha generato e quando, un'impronta (hash) dei dati usati e, quando torna firmata, la copia firmata caricata dall'azienda; ogni generazione lascia una riga nel registro azioni (senza il contenuto) e conta tra le esportazioni controllate dall'allarme sugli export ripetuti. Nessuna categoria di dati nuova e nessun fornitore nuovo rispetto al punto 6: i dati personali nel PDF sono quelli già presenti (per esempio il referente del luogo o il legale rappresentante, scritto a mano quando manca). I documenti generati e le copie firmate non si cancellano dall'applicazione e si conservano 10 anni dall'ultimo rapporto (chiusura dell'accordo, dismissione del bene) come il contratto firmato [durata e base giuridica da confermare con il legale e il commercialista]; l'anonimizzazione di un cliente (punto 16) non li svuota, perché sono documenti commerciali da conservare [da valutare con il legale]. Redditività dell'accordo (27/10): per il titolare e gli amministratori dell'azienda (non il consulente), una pagina e le esportazioni (PDF e CSV) mettono insieme, in sola lettura e senza salvare dati nuovi, quello che l'accordo già contiene (importi dei riepiloghi venduto confermati, costi e valore delle attrezzature, costo della visita e numero delle conte, quantità consegnate, vendute e ritirate) in totali, margini e stime del pareggio e dell'andamento (calcolate sul server con formule matematiche semplici, senza intelligenza artificiale e senza terzi); nessuna categoria di dati e nessun fornitore nuovi; ogni esportazione lascia una riga nel registro azioni, senza gli importi.
documenti in arrivo e chiavi API (funzione «Documenti in arrivo» degli Ingressi merce, attivata per singola azienda): il titolare può creare chiavi API con cui uno scanner di rete (o un'altra app o un flusso n8n collegato dall'azienda) carica fatture e DDT in una coda «In arrivo»: per ogni chiave il nome scelto dal titolare, un prefisso di 8 caratteri, l'impronta SHA-256 del segreto (il segreto non viene conservato e si mostra una sola volta), la sede predefinita, chi l'ha creata e quando, l'ultimo uso (aggiornato al massimo una volta al minuto) e l'eventuale revoca; per ogni documento ricevuto il file (PDF, JPEG o PNG) nell'archivio dei file in UE, il nome del file, la dimensione, l'impronta SHA-256 del file (per non creare due volte lo stesso documento), una nota facoltativa di chi lo manda, la chiave con cui è arrivato e lo stato (in arrivo, verificato, scartato) con chi l'ha trattato, quando e, se scartato, il motivo scritto. Nessun carico parte da solo e nessuna lettura automatica avviene alla ricezione: la lettura con intelligenza artificiale (punto 12, solo con il modulo «Lettura documenti AI») parte solo quando una persona apre il documento, e il documento diventa un ingresso merce solo dopo la sua revisione. Il file di un documento verificato resta come allegato del carico (registro HACCP); un documento scartato si cancella (riga e file) dopo 90 giorni dallo scarto. Un file può contenere dati di fornitori (anche ditte individuali) come qualunque fattura o DDT. Nessun fornitore nuovo rispetto al punto 6;
foto e documenti caricati (allegati, foto di display di temperatura, etichette). Per fatture e DDT, documenti aziendali, buste paga e CU, F24 e ricevute delle note spese la piattaforma salva anche un'impronta del file (SHA-256: un codice di 64 caratteri calcolato dai byte del file, da cui non si può ricostruire il contenuto). Serve solo a riconoscere lo stesso file caricato di nuovo nella stessa azienda e nella stessa sezione e ad avvisare chi lo carica ("già caricato il … da …"); per le note spese il confronto avviene solo con le ricevute dello stesso dipendente. L'impronta resta e si cancella insieme al documento a cui appartiene.

12. Letture automatiche di documenti (OCR con intelligenza artificiale)

Alcune funzioni leggono in automatico foto e PDF per evitare di ricopiare i dati a mano: fatture e DDT, etichette di prodotti, display dei termometri, buste paga, CU e F24, schede tecniche, scontrini e ricevute delle note spese. Queste letture avvengono solo se il modulo "Lettura documenti AI" è attivo per l'azienda (modulo a parte, acceso anche durante il periodo di prova): se non è attivo, nessuna foto o documento viene inviato al servizio di lettura e i dati si inseriscono a mano; le foto allegate restano solo allegati. La lettura è fatta con il modello Gemini di Google Cloud (Vertex AI) solo in regione europea: se il servizio non è configurato su una regione europea, la lettura non parte. Non c'è nessun ripiego verso fornitori extra UE.

Il risultato è sempre una proposta: la persona deve controllarla e confermarla prima che diventi un dato registrato (ad esempio una busta paga resta "da confermare" e il dipendente la vede solo dopo la conferma del titolare). Al modello si chiedono solo i campi necessari. Secondo le condizioni di Google Cloud, i dati inviati non vengono usati per addestrare i modelli; restano alcuni trattamenti temporanei del fornitore (conservazione per il monitoraggio degli abusi e memoria temporanea) descritti nel DPA [da chiudere con le impostazioni del progetto Google Cloud].

Scontrini delle note spese. Quando un dipendente allega la foto di uno scontrino o di una ricevuta a una nota spese, e il modulo "Lettura documenti AI" è attivo per l'azienda, la foto viene inviata una sola volta al servizio di lettura (Google Cloud Vertex AI, regione europea) per proporre data, importo totale, nome dell'esercente, tipo di spesa e IVA, se stampata. Nient'altro viene chiesto al modello. La proposta compila solo i campi ancora vuoti del modulo: il dipendente la controlla, può correggerla e decide lui se inviare la nota spese; nulla viene salvato in automatico. La foto è ridotta di dimensione prima dell'invio. Ogni dipendente può usare fino a 20 letture al giorno e ogni azienda fino a 100 letture di scontrini al giorno (limite separato da quello delle altre letture); il sistema conserva solo il numero di letture del giorno, non il loro contenuto.

12-bis. Assistente AI (domande scritte o a voce)

[Funzione in prova, non ancora disponibile ai clienti.] Solo se il modulo "Assistente AI" è attivo per l'azienda, chi usa la piattaforma può fare una domanda scritta (al massimo 500 caratteri) o a voce (al massimo 20 secondi) sui dati dell'azienda, ad esempio "com'erano i frigo stamattina?" o "chi è in turno domani?". Se il modulo non è attivo, nessuna domanda viene inviata al servizio.

Cosa viene inviato al modello. Una sola chiamata per domanda al modello Gemini di Google Cloud (Vertex AI), solo in regione europea (se la regione non è europea la domanda non parte): il testo della domanda o l'audio registrato, la data di oggi, i nomi delle sedi che la persona può vedere e l'elenco degli argomenti a cui l'assistente sa rispondere. Il modello serve solo a capire la domanda (e a trascrivere l'audio) e a scegliere quale dato consultare. Al modello non vengono mai inviati i dati dei registri (temperature, lotti, turni, richieste…) né dati di altre aziende.
Come si costruisce la risposta. I dati li legge la piattaforma, con gli stessi permessi e lo stesso ambito delle pagine (sede, reparto, "solo i propri" per il dipendente), e la risposta è scritta dalla piattaforma a partire da quei dati. L'assistente non modifica, non crea e non cancella nulla.
Cosa conserviamo. Né il testo né l'audio delle domande, né le risposte: si conservano solo contatori giornalieri: il numero di domande per persona e per azienda (stessa durata dei contatori delle letture automatiche) e, nei contatori d'uso per azienda (vedi Parte A), i "gettoni" consumati dal servizio AI, sommati a quelli delle letture automatiche. I registri tecnici del server riportano solo quale argomento è stato scelto, i tempi e il numero di elementi elaborati, mai la domanda. Durante le prove, prima del lancio, il personale autorizzato di Pot-Ato Tech Labs prova l'assistente solo sulle proprie aziende di prova, mai sui dati dei clienti; domande e risposte restano nella pagina aperta, senza salvarle.
Addestramento e conservazione del fornitore. Secondo le condizioni di Google Cloud, i dati inviati non vengono usati per addestrare i modelli; restano i trattamenti temporanei del fornitore descritti nel DPA [da chiudere con le impostazioni del progetto Google Cloud].
Voce. L'audio serve solo a trascrivere la domanda nella stessa chiamata: non si usa per riconoscere chi parla e non viene salvato.

13. Chi può vedere questi dati

le persone dell'azienda cliente secondo i ruoli e i permessi decisi dal titolare (per azienda, sede, reparto o solo i propri dati); per il Gestionale, chi ha la funzione Ordini clienti vede negli ordini che può vedere (della propria sede o di tutte, secondo il ruolo) nome e telefono dei clienti e, prendendo un nuovo ordine, può cercarli per nome o telefono (le aziende anche per partita IVA) anche senza la funzione Clienti, che resta necessaria per aprire e modificare l'anagrafica e per cercare per codice fiscale o email; l'esportazione in CSV di clienti e aziende è riservata a chi può modificarli; codice fiscale e PEC di un cliente privato compaiono nella pro forma e nel PDF dell'ordine solo per chi ha anche la funzione Clienti; l'importazione di ordini da file, riservata a chi può modificare gli ordini, abbina cliente e azienda anche per partita IVA (dato pubblico d'impresa), oltre che per telefono o nome; chi lavora in produzione (funzione Produzione) vede, nella pagina «Da produrre» delle sedi che può vedere, il nome completo dei clienti con giorno e ora di ritiro e personalizzazioni (mai prezzi, telefoni, indirizzi o note), mentre sulle etichette stampate compare solo il nome abbreviato;
chi ha la funzione «Report e cassa» vede i documenti di vendita, le chiusure e i report delle sedi che può vedere, con il nome dell'operatore copiato sui documenti e sulle chiusure (anche nel Venduto per operatore e nei filtri per operatore di Venduto, Incasso e pagamenti e chiusure), e la nota libera delle chiusure di cassa; i nomi e l'intestazione fiscale dei clienti, le note libere scritte sui documenti e il Venduto per azienda e cliente solo se ha anche la funzione Clienti; il numero dell'ordine collegato a un documento solo se vede quell'ordine; la Marginalità (costi e margini) solo se gestisce l'azienda, con i costi d'acquisto di HACCP solo con Ingressi merce e le giacenze solo con Magazzino;
ogni dipendente con account vede i propri dati (turni, presenze, buste paga confermate, richieste, comunicazioni);
il consulente dell'azienda, solo se l'azienda ha dato il consenso all'accesso del consulente (all'attivazione dell'account del titolare o dalle impostazioni); non vede buste paga, CU, F24, costo del lavoro, benefit, redditività, costi e valori del conto vendita e delle attrezzature, liste di ingresso e uscita, chiamate del lavoro intermittente, turni, compiti di turno e richieste di assenza, né i dati del Gestionale (clienti, listini, ordini, vendite e report);
il personale di assistenza di Pot-Ato Tech Labs, solo se l'azienda ha attivo il consenso all'assistenza tecnica, e solo per risolvere problemi; per le aziende nuove questo consenso parte spento (salvo che sia l'assistenza a preparare l'azienda) e il titolare lo conferma o lo spegne quando attiva l'account; non vede buste paga, CU, F24, costo del lavoro, benefit, giustificativi di malattia, ricevute delle note spese e referti delle visite mediche;
i fornitori tecnici elencati al punto 6, come sub-responsabili.

La pagina pubblica per i controlli ufficiali (raggiungibile solo con il QR dell'azienda, esclusa dai motori di ricerca, con una scadenza facoltativa scelta dall'azienda) mostra temperature e pulizie degli ultimi 7 giorni e le non conformità aperte o rilevate negli ultimi 12 mesi, senza nomi di persone.

14. Collegamenti con altri software

Se l'azienda collega la piattaforma ad altri programmi che usa (ad esempio cassa, gestionale o negozio online), i dati vengono letti da quei programmi per conto e su istruzione dell'azienda. Quei fornitori sono scelti dall'azienda e rispondono verso di lei. Lo stesso varrà per l'importazione dello storico delle vendite da Cassa in Cloud [funzione non ancora disponibile]: la farà l'azienda con le proprie credenziali (conservate cifrate), e i documenti importati sono trattati per conto dell'azienda come quelli inseriti da lei.

15. Conservazione e cancellazione

I tempi di conservazione di questi dati li decide l'azienda cliente, nel rispetto degli obblighi di legge (ad esempio la documentazione del rapporto di lavoro e i registri HACCP). La piattaforma non cancella da sola registri HACCP (temperature, pulizie, abbattimento, pastorizzazione, tracciabilità, ingressi merce), timbrature e presenze, buste paga, note spese, richieste di assenza, benefit, conferme di lettura, anagrafica dei clienti del Gestionale, documenti di vendita e chiusure di cassa (che non si possono nemmeno modificare o cancellare dall'applicazione: si conservano come documenti contabili [durata da decidere con il legale: per esempio 10 anni, art. 2220 c.c.]), DDT e fatture elettroniche con i loro file (10 anni come documenti fiscali, non modificabili né cancellabili dall'applicazione), accordi di conto deposito con i loro prezzi e legami (10 anni dalla chiusura dell'accordo; non si cancellano dall'applicazione, si chiudono) e chiamate del lavoro intermittente preparate (queste ultime si consiglia di conservarle almeno 5 anni come prova dell'invio; se ne può scartare solo una preparata e non ancora inviata): restano finché l'azienda è cliente e non li cancella, e alla fine del contratto seguono le regole di restituzione e cancellazione del DPA. Fanno eccezione solo i dati di servizio con un termine automatico indicato nel DPA (ad esempio le proposte di cambio turno chiuse, le liste di ingresso e uscita completate e i compiti di turno con le loro foto, dopo 24 mesi) e gli allegati degli ordini consegnati o annullati, cancellati dopo i giorni scelti dall'azienda (180 se non li cambia, oppure mai), e i documenti in arrivo scartati, cancellati con il loro file dopo 90 giorni dallo scarto.

16. Diritti dei dipendenti e degli altri interessati

Le richieste vanno rivolte all'azienda cliente (il datore di lavoro o il committente). Se arrivano a noi, le inoltriamo senza ritardo all'azienda e la aiutiamo a rispondere, per quanto tecnicamente possibile. Per aiutarla, la piattaforma permette al titolare dell'azienda di scaricare tutti i dati di un singolo dipendente e tutti i dati dell'azienda (archivi ZIP con tabelle CSV), e al dipendente con account di scaricare i propri. I dati del Gestionale (articoli e listini, clienti e aziende, ordini e preventivi con consegne e acconti, ordini a fornitore e ingressi merce, documenti di vendita, fatture elettroniche con i loro dati e il riferimento al file, DDT, giacenze, inventari e trasferimenti, serie di numerazione, metodi di pagamento, casse e chiusure, conto vendita e comodati, importazioni) sono compresi nell’esportazione completa dei dati dell’azienda, in una cartella a parte dell’archivio, con prezzi d’acquisto e costi (solo il titolare la può scaricare). L’esportazione riflette lo stato attuale dei dati: un cliente anonimizzato vi compare senza i dati cancellati, e il valore di prima delle schede toccate da un’importazione (conservato al massimo 24 ore per poterla annullare) non vi è incluso. Restano disponibili anche le esportazioni in CSV dei singoli elenchi.

Per la cancellazione di un cliente del Gestionale (privato o azienda), chi può modificare i clienti lo elimina definitivamente se non ha ordini, documenti di vendita né accordi di conto deposito; se ne ha, quei documenti e quegli accordi vanno conservati (per legge o come documentazione del rapporto commerciale: 10 anni) e la scheda non si cancella ma si anonimizza: dalla scheda nome, codice fiscale, partita IVA, codice destinatario, PEC, telefono, email, indirizzo, note, azienda di appartenenza e codici di altri programmi si cancellano per sempre, il nome diventa «Cliente anonimizzato» (o «Azienda anonimizzata») e la scheda viene archiviata; nella stessa operazione si cancellano anche le sue bozze di DDT (non i luoghi di consegna in rubrica, che sono un elenco unico dell'azienda) e si svuotano le note dei suoi accordi di conto deposito (che restano, con i prezzi di cessione e i DDT legati); da tutti gli ordini del cliente o dell'azienda e dalle loro consegne si cancellano telefono, nome scritto a mano, indirizzo di consegna e note (anche interne), e negli ordini e nei loro PDF compaiono il nome segnaposto e, al posto dell'indirizzo di una consegna o spedizione, «Indirizzo cancellato». Degli ordini restano importi, date, righe, numeri, stato e acconti; i documenti di vendita, i DDT e le fatture elettroniche (con i loro file) restano come emessi, con i dati scritti al momento (per esempio il nome e i dati fiscali riportati sul documento), perché vanno conservati per legge; anche nome e cognome separati per la fattura si cancellano dalla scheda. L’operazione resta nel registro azioni senza i dati cancellati. [da verificare con il legale: i riassunti delle azioni registrate prima dell’anonimizzazione riportano ancora il nome dell’anagrafica fino alla cancellazione automatica del registro azioni.]

17. Modifiche

Questa informativa può essere aggiornata quando cambiano le funzioni della piattaforma o i fornitori. La data della versione è indicata in cima.