Sufra è una piattaforma operativa per ristoranti gestita in Egitto da Labidzs Appalti Generali (denominazione legale in Egitto: لابيدزس للمقاولات العامة). Il servizio può includere menu, ordini, cassa, magazzino, amministrazione, contabilità, messaggistica, integrazioni e strumenti assistiti dall'AI. Questa informativa descrive quali dati trattiamo, perché, chi può riceverli e quali diritti possono applicarsi.
1. Ruoli nel trattamento dei dati
Per i dati degli account Sufra, la sicurezza della piattaforma, la fatturazione, la prevenzione delle frodi, le comunicazioni di servizio e i registri operativi propri di Sufra, Labidzs Appalti Generali tratta i dati necessari a gestire il servizio. Per i dati dei clienti del ristorante inseriti o raccolti dal ristorante tramite Sufra, il ristorante normalmente decide finalità e rapporto con il cliente, mentre Sufra opera come fornitore tecnologico o responsabile del trattamento secondo le istruzioni del ristorante, salvo gli obblighi di sicurezza, legali e di piattaforma che Sufra deve gestire in proprio.
2. Dati che possiamo trattare
- Dati del ristorante: nome, filiali, Paese, valuta, fuso orario, impostazioni, dati fiscali e di fatturazione e configurazione delle integrazioni.
- Dati di utenti e personale: nome, telefono o e-mail quando usati, ruolo, permessi, stato account, registri di accesso e sessione.
- Dati di clienti e ordini: telefono quando necessario, ordini, articoli, quantità, importi, tavolo o modalità di ritiro/consegna, orari, stato del pagamento, loyalty e consenso marketing dove usati.
- Dati operativi: magazzino, acquisti, report, vendite, prenotazioni, cucina e supporto.
- Dati tecnici e dispositivo: indirizzo IP, browser o dispositivo, errori applicativi, informazioni di sicurezza, identificatori di sessione e dati di push se attivati.
- Dati di audit: chi ha eseguito un'azione, quando e con quale risultato, nella misura necessaria per sicurezza, indagini e conformità.
3. Perché utilizziamo i dati
Usiamo i dati per fornire ed eseguire il servizio, autenticare utenti e permessi, gestire ordini e fatturazione, fornire assistenza, migliorare l'affidabilità, prevenire abusi e frodi, proteggere gli account, eseguire integrazioni attivate dagli utenti autorizzati, rispettare obblighi legali e promuovere i nostri servizi quando esiste una base giuridica o il consenso richiesto. Possiamo usare informazioni aggregate o de-identificate per analisi e miglioramento del prodotto senza tentare di re-identificare le persone.
4. Basi giuridiche
In base al dato e al mercato, il trattamento può fondarsi sull'esecuzione di un contratto, obblighi legali, interessi legittimi a gestire e proteggere il servizio e prevenire frodi, oppure consenso quando richiesto. In Egitto si applicano le leggi egiziane pertinenti, incluso il Personal Data Protection Law n. 151/2020 ove applicabile. Negli altri mercati restano valide le norme imperative locali, incluse quelle europee quando applicabili.
5. Dati sensibili e informazioni non necessarie
Sufra non chiede ai ristoranti di inserire dati sensibili non necessari. Note su ordini o allergie possono rivelare informazioni sanitarie; il ristorante deve raccogliere solo ciò che è necessario e avere una base giuridica adeguata. Password, PIN, chiavi API e dati completi della carta non devono essere inseriti in menu, note ordine o messaggi di supporto.
6. Dati di pagamento
Sufra non conserva i dati completi della carta. Inserimento e trattamento della carta sono gestiti dal provider di pagamento pertinente. Sufra può ricevere riferimento transazione, stato, importo, valuta e dati necessari a riconciliazione e contabilità. Il provider è soggetto anche alle proprie condizioni e privacy policy.
7. AI e collegamento a ChatGPT
Collegare Sufra a ChatGPT o a un altro flusso AI approvato è facoltativo e controllato da permessi. Sufra usa OAuth e misure di autenticazione adeguate per confermare account e ruolo. L'URL MCP pubblico non è un segreto e da solo non identifica né concede accesso a un ristorante.
- Sufra ricontrolla ruolo e stato account lato server prima di eseguire uno strumento.
- Al provider AI vengono inviati solo i dati necessari allo strumento o risultato richiesto entro lo scope autorizzato.
- I log di audit possono registrare strumento, ruolo, ora, risultato e alcuni parametri, oscurando campi che sembrano segreti come token, PIN, password o key.
- Le conversazioni dell'utente dentro ChatGPT seguono impostazioni e policy OpenAI; Sufra registra le richieste strumento e i risultati necessari a far funzionare l'integrazione.
8. WhatsApp, SMS, e-mail e notifiche push
Sufra può usare provider WhatsApp, SMS, e-mail o push per codici di accesso, stato ordini, ricevute, notifiche di servizio o marketing consentito. Il provider riceve il minimo necessario per instradamento e contenuto del messaggio. L'opt-out marketing non blocca messaggi transazionali necessari a un ordine attivo o alla sicurezza dell'account.
9. Storage locale, cookie e dati dispositivo
Sito e app possono usare local storage, cookie o tecnologie simili per sessioni, carrello, lingua, preferenze, uso offline e sicurezza. Alcune sono necessarie per fornire il servizio. Se introduciamo tecnologie non essenziali che richiedono consenso in un mercato, lo richiederemo dove previsto dalla legge.
11. Trattamenti e trasferimenti internazionali
Alcuni provider di hosting, messaggistica, pagamento o AI possono trattare dati fuori dal Paese del ristorante. Usiamo provider e misure contrattuali o tecniche adeguate al servizio e al mercato e applichiamo garanzie di trasferimento o autorizzazioni quando richieste. Il supporto a un Paese non implica che ogni provider o funzione sia automaticamente disponibile.
12. Conservazione e cancellazione
Conserviamo i dati per il tempo necessario a fornire il servizio, eseguire i contratti, proteggere gli account, risolvere controversie, prevenire frodi e rispettare obblighi contabili, fiscali e legali. Le durate variano per tipo di registro e mercato. Quando i dati non servono più vengono cancellati o de-identificati ove opportuno, fermo restando che copie temporanee possono restare nei backup fino al normale ciclo di eliminazione. Una richiesta di cancellazione non obbliga a eliminare registri che la legge impone di conservare.
13. Sicurezza
Usiamo controlli basati sui ruoli, isolamento dei tenant, audit, autenticazione, protezione dei segreti, comunicazioni sicure e misure operative adeguate. Nessun servizio internet può garantire rischio zero; gli utenti devono proteggere dispositivi e credenziali e segnalare rapidamente attività sospette.
14. Incidenti sui dati
In caso di incidente di sicurezza rilevante, lavoriamo per contenerlo, analizzarlo e ripristinare il servizio e informiamo ristorante, interessati o autorità competenti quando e nella misura prevista dalla legge applicabile.
15. Diritti degli interessati
Secondo legge e mercato, i diritti possono includere accesso, rettifica, aggiornamento, opposizione, limitazione, revoca del consenso, portabilità o cancellazione quando non esiste un motivo legittimo per conservare i dati. I clienti del ristorante dovrebbero normalmente iniziare dal ristorante, titolare del rapporto diretto, ma possono anche scrivere a support@sufraup.com. Possiamo chiedere informazioni sufficienti a verificare identità e autorità senza richiedere segreti di account.
16. Minori
Gli account amministrativi e operativi sono destinati ad adulti o persone legalmente autorizzate dal ristorante. Sufra non rivolge account amministrativi ai minori. Se un ristorante tratta dati di un minore in un ordine, prenotazione o programma famiglia, il ristorante è responsabile della base giuridica e del consenso necessario, mentre Sufra limita il trattamento a quanto richiesto per il servizio.
17. Decisioni automatizzate
Le funzioni AI Sufra assistono analisi e operazioni e, per impostazione predefinita, non prendono decisioni finali con effetto giuridico su una persona senza intervento dell'utente. Se in futuro verranno introdotte decisioni automatizzate rilevanti, forniremo informazioni e garanzie richieste dalla legge applicabile.
18. Egitto e altri mercati
L'operatore attuale ha sede in Egitto. Il supporto a Italia, Francia, Arabia Saudita o altri mercati non modifica l'operatore salvo specifico avviso legale. Restano efficaci i diritti inderogabili previsti dalla legge del Paese pertinente, inclusi i requisiti europei di protezione dati quando applicabili.
19. Aggiornamenti dell'informativa
Possiamo aggiornare questa Informativa quando cambiano prodotto, provider, requisiti legali o modalità di trattamento. La data aggiornata appare in cima e forniremo ulteriori comunicazioni quando richiesto o quando la modifica è sostanziale.
20. Contatti e reclami
Per assistenza, richieste privacy o segnalazioni di sicurezza: support@sufraup.com. L'interessato può anche rivolgersi all'autorità di controllo competente quando la legge applicabile lo prevede.
Analisi delle visite al sito
Usiamo identificativi casuali di sessione e visitatore per misurare le visite alle pagine Sufra, la provenienza, le campagne e il Paese approssimativo del visitatore. Non richiediamo il GPS e non memorizziamo l'indirizzo IP grezzo in questo registro. Il Paese può essere stimato dal fuso orario o dalla lingua del dispositivo; quando viene richiesta l'apertura di un ristorante, colleghiamo la richiesta alla sessione per misurare la conversione. I registri delle visite vengono eliminati automaticamente dopo 90 giorni.
Contatto tramite WhatsApp
Se avvii una conversazione con Sufra sul numero WhatsApp aziendale, conserviamo il numero di telefono, il contenuto della conversazione e dati di attribuzione come la campagna di provenienza, nella misura necessaria per rispondere, fornire assistenza e seguire la richiesta. Il bot può rispondere automaticamente; puoi chiedere un operatore o interrompere i messaggi in qualsiasi momento. Le conversazioni dei potenziali clienti vengono eliminate automaticamente al termine del periodo operativo di conservazione.
Misurazione del percorso d’ordine
Se scegli di condividere le statistiche dal menu, Misuriamo le fasi dell’ordine con un identificatore di sessione anonimo, la lingua visualizzata e il paese del ristorante. Non includiamo numero di telefono, dettagli dei piatti o dati di pagamento. I record vengono eliminati dopo 30 giorni. Rispettiamo le impostazioni del browser Do Not Track e Global Privacy Control.