Privacy Policy
Utenti della Piattaforma Gusteo (Operatori del Settore Alimentare — B2B)
Versione 2.1 — Luglio 2026 · Ai sensi degli artt. 13-14 Reg. (UE) 2016/679 (GDPR)
1. Titolare del Trattamento
Il Titolare del Trattamento dei dati personali raccolti attraverso la piattaforma Gusteo è:
Sicilean S.r.l.
Via Roma n. 95 — 91021 Campobello di Mazara (TP), Italia
P.IVA e C.F.: 02898760810 | REA: TP - 204826
Iscritta al Registro delle Imprese di Trapani in data 08/05/2024
PEC: sicilean@pec.it
E-mail privacy: privacy@sicilean.tech
Rif. normativi: Artt. 13-14 GDPR · D.Lgs. 196/2003
2. Doppio Ruolo di Sicilean
Sicilean riveste un doppio ruolo rispetto ai dati personali nel contesto di Gusteo:
- Titolare del Trattamento per i dati da Lei forniti nell'ambito della relazione contrattuale (dati di registrazione, profilo, fatturazione, utilizzo della piattaforma). La presente informativa riguarda esclusivamente questo ruolo.
- Responsabile del Trattamento (art. 28 GDPR) per i dati personali di terzi (dipendenti, collaboratori, avventori) eventualmente presenti nei contenuti caricati. In tal caso si applica il DPA allegato ai Termini e Condizioni.
3. Dati Trattati, Finalità e Basi Giuridiche
Rif. normativi: Art. 6 GDPR · Art. 5 GDPR
3.1 Registrazione e autenticazione
Base giuridica: Art. 6(1)(b) GDPR — contratto
Nome, cognome, e-mail, password (cifrata). In caso di OAuth: dati forniti da Google/Facebook/Apple. Necessari per creare e gestire l'account.
3.2 Autenticazione OAuth (Google, Facebook, Apple)
Base giuridica: Art. 6(1)(b) GDPR
Sicilean non riceve né conserva le password dei provider OAuth. I token sono gestiti da Supabase Auth.
3.3 Onboarding — Profilo personale
Base giuridica: Art. 6(1)(b) GDPR
Nome, cognome, telefono (facoltativo).
3.4 Onboarding — Profilo aziendale
Base giuridica: Art. 6(1)(b) GDPR
Ragione sociale, nome brand, categoria, descrizione (facoltativa), sito web (facoltativo).
3.5 Dati di fatturazione e fiscali
Base giuridica: Art. 6(1)(b) + 6(1)(c) GDPR — contratto + obbligo legale
P.IVA, indirizzo di fatturazione, SDI/PEC. Le fatture elettroniche sono trasmesse al SDI tramite Aruba S.p.A. (intermediario abilitato, Italia). Rif.: D.Lgs. 127/2015.
3.6 Gestione abbonamento e pagamenti
Base giuridica: Art. 6(1)(b) + 6(1)(c) GDPR
I dati della carta non transitano da Sicilean — gestiti esclusivamente da Stripe Inc. (PCI-DSS L1).
3.7 Contenuti caricati (menu, piatti, immagini, sedi)
Base giuridica: Art. 6(1)(b) GDPR
I menu in stato "pubblicato" sono accessibili pubblicamente tramite /menu/[shortLink]. L'OSA è il solo responsabile dei contenuti pubblicati.
3.8 Analytics PostHog (solo previo consenso)
Base giuridica: Art. 6(1)(a) GDPR + Art. 122 D.Lgs. 196/2003 — consenso
Pagine visitate, interazioni UI, dati sessione. Tutti i form sono mascherati. Server EU (eu.i.posthog.com) — nessun trasferimento extra-SEE.
3.9 Statistiche visualizzazioni menu (aggregate interne)
Base giuridica: Art. 6(1)(b) GDPR
Contatore aggregato per data — nessun dato identificativo del visitatore.
3.10 Comunicazioni contrattuali e supporto
Base giuridica: Art. 6(1)(b) + 6(1)(f) GDPR
E-mail e comunicazioni relative al contratto, avvisi tecnici, assistenza.
3.11 Sicurezza e prevenzione frodi
Base giuridica: Art. 6(1)(f) GDPR — legittimo interesse
Log di autenticazione, log infrastrutturali Vercel (IP, URL, timestamp). Conservazione max 90 giorni.
3.12 Programma referral (se attivato)
Base giuridica: Art. 6(1)(b) GDPR
Codice referral univoco, contatore utilizzi, stato.
3.13 Comunicazioni di marketing
Base giuridica: Art. 6(1)(a) GDPR + Art. 130 D.Lgs. 196/2003 — consenso (se introdotte)
Sicilean non invia attualmente comunicazioni marketing. Se introdotte, solo previo consenso esplicito opt-in.
3.14 Google Analytics (solo previo consenso)
Base giuridica: Art. 6(1)(a) GDPR + Art. 122 D.Lgs. 196/2003 — consenso
Analytics avanzate web. IP anonimizzato. Google LLC certificata DPF. Attivo solo se consenso tramite banner cookie.
3.15 Funzionalità AI — @sicilean/ai-sdk (quando attivate)
Base giuridica: Art. 6(1)(b) GDPR (feature contrattuale) / Art. 6(1)(a) GDPR (feature opzionali)
Prompt anonimizzati trasmessi via gateway @sicilean/ai-sdk a OpenRouter Inc. (USA, SCC). Log max 90 giorni. Feature in sviluppo progressivo.
4. Destinatari e Sub-responsabili
Rif. normativi: Art. 28 GDPR
| Fornitore | Ruolo | Sede | Garanzia |
|---|---|---|---|
| Supabase Inc. | Database, auth, storage | USA (EU region dispo.) | SCC |
| Stripe Inc. | Pagamenti e abbonamenti | USA | DPF + SCC |
| Vercel Inc. | Hosting, CDN, edge | USA | SCC |
| PostHog Inc. | Analytics (solo con consenso) | USA/UK — server EU | Nessun trasf. extra-SEE |
| Google LLC | OAuth + Analytics (con consenso) | USA | DPF + SCC |
| Meta Platforms Inc. | OAuth Facebook | USA | SCC |
| Apple Inc. | OAuth Apple | USA | SCC |
| OpenRouter Inc. | Gateway AI (quando attivo) | USA | SCC |
| Aruba S.p.A. | Intermediario SDI fatturazione | Italia | Nessun trasf. extra-SEE |
Per l'elenco completo con dettagli e garanzie: sezione Sub-responsabili o scrivere a privacy@sicilean.tech.
5. Trasferimento Dati Extra-SEE
Rif. normativi: Artt. 44-49 GDPR · Decisione SCC 2021/914/UE · Decisione DPF 2023/1795/UE
I trasferimenti verso fornitori USA avvengono tramite:
- Clausole Contrattuali Standard (SCC) — Decisione 2021/914/UE per Supabase, Vercel, Meta, Apple, OpenRouter e Google (ove non DPF).
- Data Privacy Framework UE-USA (DPF) — per Google LLC e Stripe Inc. (certificazioni verificabili su dataprivacyframework.gov).
- PostHog elabora dati solo su server EU (
eu.i.posthog.com) — nessun trasferimento extra-SEE. - Aruba S.p.A. opera esclusivamente in Italia — nessun trasferimento extra-SEE.
5.1 Trasferimento extra-UE dei dati di autenticazione (Clerk)
Per la gestione dell'autenticazione degli account e delle sessioni utilizziamo Clerk, Inc. (San Francisco, California, USA) quale responsabile del trattamento. I dati trattati da Clerk comprendono: indirizzo email, identificativi dell'account, credenziali (in forma cifrata/hash), eventuale numero di telefono, metadati di sessione e di appartenenza alle organizzazioni. Tali dati sono trasferiti e trattati negli Stati Uniti, su infrastrutture Google Cloud e Cloudflare. Il trasferimento si fonda sulla certificazione di Clerk al EU-U.S. Data Privacy Framework e, in via subordinata, sulle Clausole Contrattuali Standard (SCC) ai sensi dell'art. 46 GDPR, con Data Processing Addendum sottoscritto. L'elenco aggiornato dei sub-responsabili di Clerk è disponibile presso il Trust Center di Clerk (clerk.com/legal/subprocessors).
6. Periodo di Conservazione
Rif. normativi: Art. 5(1)(e) GDPR · D.P.R. 633/1972
| Categoria dati | Periodo |
|---|---|
| Dati account e profilo | Durata contratto + 30 giorni |
| Dati operativi (menu, piatti, immagini) | Durata contratto + 30 giorni |
| Dati di fatturazione e fiscali | 10 anni (obbligo legale) |
| Dati transazionali Stripe | 10 anni (obbligo legale) |
| Fatture Aruba SDI | 10 anni (conservazione sostitutiva) |
| Log sicurezza | 90 giorni (operativi) / 12 mesi (incidenti) |
| Analytics PostHog (se consenso) | Max 12 mesi o revoca consenso |
| Analytics Google Analytics (se consenso) | Max 14 mesi o revoca consenso |
| Log AI/prompt | Max 90 giorni, poi anonimizzazione |
7. I Suoi Diritti
Rif. normativi: Artt. 15-22 GDPR · Art. 77 GDPR
Esercitabili in qualsiasi momento scrivendo a privacy@sicilean.tech o via PEC sicilean@pec.it. Risposta entro 30 giorni.
- Art. 15 — Accesso: Ottenere copia dei dati personali trattati.
- Art. 16 — Rettifica: Correggere dati inesatti o completare dati incompleti.
- Art. 17 — Cancellazione: Ottenere la cancellazione dei dati (salvo obblighi di legge per i dati fiscali — 10 anni).
- Art. 18 — Limitazione: Richiedere la sospensione del trattamento.
- Art. 20 — Portabilità: Ricevere i dati in formato strutturato (CSV/JSON).
- Art. 21 — Opposizione: Opporsi al trattamento su base di legittimo interesse.
- Art. 7(3) — Revoca consenso: Revocare il consenso agli analytics tramite il link «Gestisci preferenze cookie» nel footer.
- Art. 77 — Reclamo al Garante: www.garanteprivacy.it — urp@gpdp.it
8. Cookie e Tracciamento
Per informazioni complete si rinvia alla Cookie Policy. I cookie analytics (PostHog, Google Analytics) sono attivati solo previo consenso esplicito.
9. Sicurezza dei Dati
Rif. normativi: Art. 32 GDPR
- Cifratura in transito TLS/HTTPS e a riposo AES-256
- Hashing bcrypt delle password (Supabase Auth)
- Row Level Security (RLS) su PostgreSQL — isolamento multi-tenant
- RBAC con JWT firmati
- Mascheramento input nelle registrazioni di sessione
- Data breach: notifica Garante entro 72 ore (art. 33 GDPR) + notifica agli interessati se rischio elevato (art. 34 GDPR)
10. Minori
I servizi Gusteo sono destinati esclusivamente a professionisti ≥ 18 anni. Sicilean non raccoglie dati di minori. Segnalazioni: privacy@sicilean.tech.
11. Decisioni Automatizzate e Profilazione
Sicilean non adotta decisioni basate esclusivamente sul trattamento automatizzato con effetti giuridici o significativi sull'interessato (art. 22 GDPR). Le funzionalità AI generano suggerimenti ma non producono decisioni vincolanti.
12. Modifiche all'Informativa
Rif. normativi: Art. 13(3) GDPR
In caso di modifiche sostanziali (nuove finalità, nuovi sub-responsabili), Sicilean notifica via e-mail con preavviso minimo di 15 giorni. Modifiche pianificate: integrazione progressiva Google Analytics e funzionalità AI — l'informativa sarà aggiornata prima dell'attivazione.
13. Contatti
E-mail: privacy@sicilean.tech
PEC: sicilean@pec.it
Posta: Sicilean S.r.l. — Via Roma n. 95 — 91021 Campobello di Mazara (TP)
Oggetto raccomandata: «Esercizio diritti GDPR — Gusteo»
Contratto per il Trattamento dei Dati (DPA)
Art. 28 Reg. (UE) 2016/679 — Versione 1.0 — Marzo 2026
Rif. normativi: Art. 28 GDPR
Art. 1 — Oggetto
Il presente DPA disciplina i diritti e obblighi di Sicilean come Responsabile del Trattamento per i dati personali di terzi (dipendenti, avventori, ecc.) inseriti dal Cliente sulla piattaforma Gusteo.
Art. 2 — Istruzioni del Titolare
Sicilean tratta i dati solo su istruzione del Cliente: memorizzazione sicura, pubblicazione menu, backup, assistenza tecnica, obblighi di legge.
Art. 3 — Riservatezza del personale
Solo personale strettamente necessario è autorizzato; tutti vincolati a obblighi di riservatezza contrattuali e di legge.
Art. 4 — Misure di sicurezza
TLS 1.2/1.3 in transito, AES-256 a riposo, RLS su PostgreSQL, JWT firmati, backup giornalieri Supabase, MFA per accesso infrastruttura.
Art. 5 — Sub-responsabili
Il Cliente autorizza espressamente i sub-responsabili elencati nell'Allegato A. Sicilean notifica l'aggiunta o sostituzione con preavviso di 30 giorni. Il Cliente può opporsi entro 30 giorni.
Art. 6 — Assistenza diritti degli interessati
Sicilean assiste il Cliente per artt. 15-22 GDPR. Risposta entro 5 giorni lavorativi. La piattaforma offre funzionalità di export (CSV/JSON) e cancellazione.
Art. 7 — Data Breach
Sicilean notifica il Cliente entro 48 ore dalla conoscenza. Il Cliente notifica il Garante entro 72 ore (art. 33 GDPR). Sicilean assiste per DPIA (art. 35 GDPR) entro 15 gg lavorativi.
Art. 8 — Audit
Il Cliente può verificare tramite certificazioni sub-responsabili, ispezione diretta (preavviso 30 gg) o questionari standard (risposta 20 gg).
Art. 9 — Trasferimenti extra-SEE
I trasferimenti avvengono tramite SCC e DPF come indicato nell'Allegato A. In caso di invalidazione, Sicilean adotta misure alternative entro il termine normativo.
Art. 10 — Cancellazione e restituzione
Dopo la cessazione: 30 gg per esportare i dati, poi cancellazione definitiva (inclusi backup entro 90 gg aggiuntivi). Dati fiscali conservati 10 anni per obbligo legale. Attestazione scritta su richiesta entro 15 gg.
Art. 12 — Legge applicabile
GDPR e legge italiana. Foro competente: Campobello di Mazara (TP).
Allegato B — Dettagli del Trattamento (art. 28(3) GDPR)
- Oggetto:
- Erogazione servizio SaaS Gusteo — creazione, gestione, pubblicazione menu digitali con allergeni.
- Durata:
- Durata del contratto + 30 giorni esportazione (eccetto dati fiscali: 10 anni).
- Tipo di dati:
- Nomi dipendenti/collaboratori in contenuti caricati; dati di contatto sedi; immagini con persone fisiche (sconsigliato).
- Categorie di interessati:
- Dipendenti/collaboratori dell'OSA; avventori con allergie registrate manualmente; terze parti i cui dati siano inseriti dal Cliente.
Sub-responsabili e Trasferimenti Extra-SEE
Versione 1.1 — Marzo 2026 — Revisione: ogni 12 mesi o al variare della catena
Rif. normativi: Art. 28 GDPR · SCC 2021/914/UE · DPF 2023/1795/UE
Supabase Inc.
- Ruolo:
- Database PostgreSQL, autenticazione (Supabase Auth), storage immagini
- Paese:
- USA (EU region Frankfurt disponibile)
- Dati:
- Tutti i dati account, profilo, operativi, immagini, log auth
- Garanzia:
- SCC Mod. 2 — Decisione 2021/914/UE
- Nota:
- Configurare EU Region per eliminare il trasferimento extra-SEE.
Stripe Inc.
- Ruolo:
- Pagamenti, abbonamenti, portale billing
- Paese:
- USA + EU (Irlanda)
- Dati:
- Dati billing (nome, indirizzo, P.IVA). Sicilean non riceve dati carta.
- Garanzia:
- DPF + SCC
- Nota:
- PCI-DSS L1.
Vercel Inc.
- Ruolo:
- Hosting Next.js, CDN, edge computing
- Paese:
- USA + edge nodes EU
- Dati:
- Dati in transito, log infrastrutturali (IP, URL, timestamp)
- Garanzia:
- SCC Mod. 2
- Nota:
- Log retention max 90 giorni.
PostHog Inc.
- Ruolo:
- Analytics, session recording, error monitoring (solo con consenso)
- Paese:
- UE — eu.i.posthog.com
- Dati:
- Identificativo PostHog, pagine, interazioni, errori, sessione (maskAllInputs)
- Garanzia:
- Nessun trasferimento extra-SEE
- Nota:
- Solo se consenso esplicito tramite banner cookie.
Google LLC
- Ruolo:
- OAuth + Google Analytics (con consenso)
- Paese:
- USA + datacenter EU
- Dati:
- OAuth: nome, e-mail. Analytics: navigazione aggregata, IP anonimizzato.
- Garanzia:
- DPF + SCC
- Nota:
- Analytics solo se consenso. IP anonimizzato.
Meta Platforms Inc.
- Ruolo:
- OAuth Facebook
- Paese:
- USA (DPC EU: Meta Ireland)
- Dati:
- Nome, e-mail (solo se login con Facebook)
- Garanzia:
- SCC
- Nota:
- Coinvolto solo se si usa "Accedi con Facebook".
Apple Inc.
- Ruolo:
- OAuth Apple
- Paese:
- USA + datacenter EU
- Dati:
- Nome (opz.), e-mail o relay Apple (solo se login con Apple)
- Garanzia:
- SCC
- Nota:
- Apple può generare e-mail relay per proteggere la privacy.
OpenRouter Inc.
- Ruolo:
- Gateway AI — elaborazione prompts LLM (quando feature AI attive)
- Paese:
- USA
- Dati:
- Prompt anonimizzati, risposta generata. Non usati per addestrare modelli.
- Garanzia:
- SCC
- DPA:
- Da stipulare all'attivazione feature AI in produzione
- Nota:
- Attivo solo quando le feature AI sono utilizzate. Log max 90 gg.
Aruba S.p.A.
- Ruolo:
- Intermediario SDI fatturazione elettronica (Aruba Fatturazione Elettronica)
- Paese:
- Italia (Bibbiena AR)
- Dati:
- Ragione sociale, P.IVA, SDI/PEC, indirizzo, importi fatture
- Garanzia:
- Nessun trasferimento extra-SEE
- Nota:
- Conservazione sostitutiva 10 anni per obbligo legale D.Lgs. 127/2015.
Per aggiornamenti, copia delle garanzie (SCC, DPF) o opposizione a nuovi sub-responsabili: scrivere a privacy@sicilean.tech o via PEC sicilean@pec.it. Le modifiche alla catena dei sub-responsabili sono comunicate con preavviso di 30 giorni.