Informativa sul trattamento dei dati personali

Il titolare del trattamento è Bragagna Adv S.r.l., con sede in Via Ventotto Luglio n°187, 47893 Borgo Maggiore, Repubblica di San Marino, Codice Operatore Economico 30047, nella persona del legale rappresentante Matteo Bragagna.

Per qualsiasi questione riguardante i tuoi dati puoi scrivere a info@margixo.com.

Non abbiamo nominato un responsabile della protezione dei dati, il cosiddetto DPO: non è obbligatorio nel nostro caso, perché non trattiamo dati su larga scala né categorie particolari di dati, e non facciamo monitoraggio sistematico delle persone (art. 37 GDPR). Per qualsiasi domanda sui tuoi dati rispondiamo direttamente all'indirizzo qui sopra.

Vale per tre situazioni diverse. La prima: sei un cliente o stai provando Margixo, quindi hai un account e carichi i tuoi documenti. La seconda: stai solo visitando le pagine pubbliche di questo sito, senza account, e in questo caso trattiamo unicamente i dati tecnici indicati al punto 3. La terza: hai ricevuto una nostra email pur non avendoci mai contattato, e allora il punto che ti riguarda è il 6.

• Dati dell'account: indirizzo email e password. La password è conservata solo in forma cifrata: non la vediamo e non possiamo recuperarla. Registriamo anche la data di creazione dell'account e degli accessi.
• Dati del locale: il nome del ristorante e le impostazioni che scegli dentro il programma.
• Documenti che carichi: le fatture elettroniche dei tuoi fornitori (file XML ed eventuali PDF) con tutto il loro contenuto: ragione sociale e partita IVA del fornitore, numero e data del documento, righe, quantità, prezzi unitari, aliquote e importi.
• Dati che inserisci tu: prodotti, ricette, quantità sprecate, incassi settimanali, note e ogni altra informazione che scrivi nei campi liberi.
• Dati tecnici: indirizzo IP, data e ora delle richieste, tipo di dispositivo e di browser, pagine richieste. Servono a far funzionare il servizio, a tenerlo sicuro e a capire gli errori.
• Dati di pagamento: l'abbonamento passa da PayPal. Il numero della carta e le credenziali del conto PayPal non passano mai dai nostri server: li raccoglie e li conserva PayPal. A noi tornano l'identificativo dell'abbonamento, il piano scelto, lo stato dei pagamenti, la data del prossimo rinnovo e l'indirizzo email del conto pagante, che conserviamo per riconoscere il tuo abbonamento e per la contabilità.

Non ti chiediamo e non vogliamo dati che rivelino convinzioni, salute o altre categorie particolari previste dall'articolo 9 del GDPR. Se li inserisci nei campi liberi lo fai di tua iniziativa.

Creare l'account e farti usare il programma

Esecuzione del contratto (art. 6, par. 1, lett. b GDPR)

Leggere le fatture che carichi, confrontare i prezzi e produrre riepiloghi

Esecuzione del contratto (art. 6, par. 1, lett. b GDPR)

Inviarti le email di servizio: conferma dell'indirizzo, reimpostazione della password, avvisi sul funzionamento

Esecuzione del contratto (art. 6, par. 1, lett. b GDPR)

Tenere il servizio sicuro, prevenire abusi, individuare e correggere gli errori

Nostro legittimo interesse a offrire un servizio funzionante e sicuro (art. 6, par. 1, lett. f GDPR)

Gestire pagamenti, fatturazione e adempimenti contabili e fiscali

Obbligo di legge (art. 6, par. 1, lett. c GDPR)

Inviare comunicazioni commerciali su Margixo a chi ha già un account

Tuo consenso, che puoi revocare in qualsiasi momento senza conseguenze sul servizio (art. 6, par. 1, lett. a GDPR)

Scrivere per la prima volta a ristoranti e bar all'indirizzo che hanno pubblicato, per presentare Margixo (vedi il punto 6)

Nostro legittimo interesse a farci conoscere da possibili clienti professionali, con opposizione sempre possibile e un clic per fermarci (art. 6, par. 1, lett. f GDPR)

Capire quali annunci su Facebook e Instagram portano davvero qualcuno a iscriversi, tramite il cookie di misurazione di Meta

Tuo consenso, chiesto in un riquadro alla prima visita e revocabile in qualsiasi momento dalla pagina cookie (art. 6, par. 1, lett. a GDPR)

Far valere o difendere un diritto in sede giudiziaria

Nostro legittimo interesse (art. 6, par. 1, lett. f GDPR)

Indirizzo email e password sono necessari: senza non è possibile creare l'account. Tutto il resto lo decidi tu, ma senza le fatture il programma non ha nulla da leggere.

Le fatture che carichi contengono dati di altri soggetti: i tuoi fornitori e, a volte, persone fisiche che lavorano per loro. Rispetto a questi dati il titolare del trattamento sei tu. Noi li trattiamo soltanto per tuo conto e secondo le tue istruzioni, nel ruolo di responsabile del trattamento previsto dall'articolo 28 del GDPR.

L'accordo che ci nomina responsabile del trattamento ai sensi dell'articolo 28 te lo mandiamo firmato su richiesta: scrivi a info@margixo.com.

Non usiamo il contenuto delle tue fatture per finalità nostre, non lo cediamo a terzi, non lo rendiamo pubblico e non lo usiamo per addestrare sistemi automatici.

Questa parte riguarda te se ti abbiamo scritto per presentarti Margixo e tu non ci avevi mai contattato. I tuoi dati non ce li hai dati tu, quindi l'articolo 14 del GDPR ci impone di dirti che cosa abbiamo, da dove arriva e come farlo smettere.

Da dove abbiamo preso il tuo indirizzo

Dalle informazioni che la tua attività ha reso pubbliche per essere contattata: la scheda su OpenStreetMap, la scheda su PagineGialle, oppure il sito della tua attività, quando l'indirizzo email è scritto lì. Non compriamo elenchi di indirizzi da nessuno. Non usiamo caselle di posta personali né indirizzi di posta elettronica certificata: se ne incontriamo li scartiamo prima ancora di guardarli.

Quali dati trattiamo

Il nome dell'attività, l'indirizzo email e, quando sono pubblicati insieme, il numero di telefono, il sito, il comune, l'indirizzo e il tipo di attività. Sono dati riferiti a un'impresa: diventano dati personali solo quando l'attività è una ditta individuale o quando l'indirizzo contiene un nome di persona. Trattiamo quel caso come se fosse sempre il tuo.

Perché ti scriviamo, e con quale base

Per proporti un prodotto rivolto a chi fa il tuo mestiere. La base giuridica è il nostro legittimo interesse a farci conoscere da possibili clienti professionali (art. 6, par. 1, lett. f GDPR). Prima di appoggiarci a quella base abbiamo pesato il tuo interesse contro il nostro: ti scriviamo a un indirizzo che la tua attività ha pubblicato proprio per ricevere contatti, il messaggio riguarda il lavoro che fai e non la tua vita privata, ti scriviamo al massimo due volte, e ogni email porta un modo per fermarci che funziona con un clic solo.

Come farci smettere

In fondo a ogni nostra email c'è il collegamento Non voglio più ricevere email. Basta aprirlo: non devi spiegare niente, non devi registrarti e non ti chiediamo conferma. Ha effetto subito. Puoi anche opporti scrivendo a info@margixo.com, ai sensi dell'articolo 21 del GDPR, e a quel punto smettiamo e basta: contro un'opposizione al marketing diretto non esistono motivi da opporti.

Per quanto teniamo i dati

Se non rispondi, i dati di contatto restano diciotto mesi, poi vengono cancellati da soli, senza che nessuno debba ricordarsene. Se ti disiscrivi cancelliamo tutto il resto e conserviamo soltanto il tuo indirizzo email, in un elenco che serve a una cosa sola: impedire che il sistema ti riscriva per sbaglio. È il motivo per cui quel dato non lo possiamo cancellare senza rendere inutile la tua stessa richiesta.

Prima di scriverti verifichiamo che la casella esista davvero, per non spedire messaggi destinati a rimbalzare: quella verifica passa da un fornitore indicato al punto 7. Un programma automatico assegna inoltre un punteggio per capire se l'attività rientra fra i ristoranti e i bar a cui Margixo si rivolge. Serve a scartare chi non c'entra, non produce effetti giuridici su di te e non decide nulla di più che scriverti o non scriverti.

Per far funzionare Margixo ci appoggiamo ad alcune aziende che trattano dati per nostro conto, ciascuna solo per la parte che le compete:

• Supabase: banca dati, gestione degli accessi e archiviazione dei file delle fatture. Supabase Pte. Ltd, 65 Chulia Street #38-02/03, OCBC Centre, Singapore 049513. I server che contengono i tuoi dati si trovano in Svezia, nell'Unione Europea (regione eu-north-1, Stoccolma): le fatture che carichi e tutto quello che ne ricaviamo non escono dall'Unione.
• Vercel: pubblicazione e funzionamento del sito e del programma. Vercel Inc., 440 N Barranca Ave #4133, Covina, CA 91723, Stati Uniti.
• Resend: invio delle email, sia quelle di servizio sia quelle con cui ci presentiamo a ristoranti e bar. Plus Five Five, Inc., 2261 Market Street #5039, San Francisco, CA 94114, Stati Uniti. Le email partono da server in Irlanda.
• Emailable: verifica che un indirizzo email esista prima che ci scriviamo, per non spedire messaggi destinati a rimbalzare. Riguarda solo il punto 6. Emailable, LLC, 400 Rella Blvd, Montebello, NY 10901, Stati Uniti.
• PayPal: incasso dell'abbonamento e gestione dei rimborsi. PayPal (Europe) S.à r.l. et Cie, S.C.A., 22-24 Boulevard Royal, L-2449 Lussemburgo. Sui dati di pagamento PayPal è titolare autonomo, non nostro responsabile: applica la propria informativa.
• Meta: misurazione delle inserzioni su Facebook e Instagram, e solo se hai acconsentito. Meta Platforms Ireland Limited, Merrion Road, Dublino 4, D04 X2K5, Irlanda. Riceve che qualcuno ha visitato il sito, si è iscritto, ha aperto il pagamento o ha pagato l'abbonamento, insieme all'identificativo che il suo stesso cookie ha scritto nel tuo browser e all'indirizzo IP. L'indirizzo email, quando c'è, parte già trasformato in una sigla irreversibile. Non riceve mai le fatture, i fornitori, i prezzi o gli incassi del tuo locale. Su questi dati Meta agisce come contitolare del trattamento insieme a noi, secondo le condizioni che pubblica per gli strumenti di misurazione. Se rifiuti o revochi, non gli arriva nulla.

Con ciascuno di questi fornitori deve essere in essere un accordo che li nomina responsabili del trattamento ai sensi dell'articolo 28 del GDPR e che vieta usi diversi da quelli necessari a fornirci il servizio. Con ognuno di quelli elencati qui sopra l'accordo è sottoscritto.

I dati possono inoltre essere comunicati a consulenti contabili e legali, e alle autorità, quando lo impone la legge. Non vendiamo i tuoi dati a nessuno.

Alcuni dei fornitori indicati al punto 6 hanno sede negli Stati Uniti o possono trattare dati fuori dallo Spazio economico europeo. In questi casi il trasferimento avviene solo in presenza di una delle garanzie previste dagli articoli 44 e seguenti del GDPR: una decisione di adeguatezza della Commissione europea, come quella relativa agli Stati Uniti per le aziende aderenti al Data Privacy Framework, oppure le clausole contrattuali tipo approvate dalla Commissione europea con decisione 2021/914, accompagnate dalle misure aggiuntive eventualmente necessarie.

Nel concreto: i dati di Supabase restano su server svedesi e le email di Resendpartono dall'Irlanda, quindi l'archiviazione non esce dall'Unione. Per l'accesso da parte di quelle società, e per Vercel ed Emailable, valgono le clausole contrattuali tipo previste dai rispettivi accordi, a cui Resend affianca l'adesione al Data Privacy Framework fra Unione europea e Stati Uniti. PayPalè la società lussemburghese, quindi non c'è nessun trasferimento.

Meta è la società irlandese, ma i dati sulle inserzioni possono essere trattati anche negli Stati Uniti: Meta aderisce al Data Privacy Framework fra Unione europea e Stati Uniti e applica le clausole contrattuali tipo. Questo trasferimento riguarda solo chi ha acconsentito alla misurazione: se rifiuti, o se revochi dalla pagina cookie, a Meta non arriva niente e non c'è nessun trasferimento.

• Account, dati del locale, fatture caricate e dati inseriti: per tutto il tempo in cui l'account resta attivo. Puoi cancellare i singoli documenti quando vuoi.
• Dopo la chiusura dell'account: trenta giorni per permetterti di recuperare i dati, poi cancellazione definitiva. È lo stesso termine entro cui la legge ci obbliga a rispondere a una richiesta di cancellazione, quindi non ne serve un altro. Se ci chiedi di cancellare prima, cancelliamo prima.
• Documenti contabili e fiscali che riguardano il rapporto con te (le fatture che ti emettiamo): dieci anni, come previsto dall'articolo 2220 del codice civile e dalla normativa fiscale.
• Registri tecnici degli accessi: non ne teniamo uno nostro. Restano solo i registri che il fornitore dell'infrastruttura produce per far funzionare il servizio, che li conserva per un periodo breve secondo la propria politica e li cancella da sé. Ci accediamo soltanto per capire un guasto, e non li usiamo per seguire quello che fai.
• Contatti di ristoranti e bar a cui ci siamo presentati (punto 6): diciotto mesi, poi cancellazione automatica. Se ti disiscrivi cancelliamo tutto il resto e teniamo il solo indirizzo email, a tempo indeterminato, perché è l'unico modo di garantire che non ti venga scritto di nuovo.

Le password sono conservate solo in forma cifrata. Il collegamento tra il tuo browser e Margixo è cifrato. I dati di ogni locale sono separati nella banca dati e ogni richiesta viene autorizzata sull'account che l'ha fatta: un cliente non può leggere i dati di un altro. I file delle fatture stanno in un'area privata, raggiungibile solo con collegamenti temporanei generati per il tuo account.

Nessuna misura è perfetta. Se si verificasse una violazione dei dati con rischio elevato per i tuoi diritti, te lo comunicheremmo come previsto dall'articolo 34 del GDPR e informeremmo il Garante nei termini dell'articolo 33.

Nei limiti previsti dal GDPR hai diritto di:

• sapere quali dati abbiamo e ottenerne una copia (art. 15);
• far correggere i dati sbagliati o incompleti (art. 16);
• chiedere la cancellazione dei dati quando non sono più necessari (art. 17);
• chiedere di limitarne il trattamento (art. 18);
• ricevere i dati che ci hai fornito in un formato leggibile da un programma e farli trasferire a un altro fornitore (art. 20);
• opporti al trattamento fondato sul nostro legittimo interesse (art. 21);
• revocare in qualsiasi momento il consenso che hai dato, senza che questo tolga validità a quanto fatto prima (art. 7, par. 3).

Per esercitarli scrivi a info@margixo.com. Rispondiamo entro un mese; per richieste complesse il termine può essere prorogato di due mesi, e in quel caso te lo diciamo entro il primo mese (art. 12, par. 3). Non chiediamo nulla per rispondere, salvo il caso di richieste manifestamente infondate o eccessive.

Se ritieni che il trattamento dei tuoi dati violi il GDPR puoi presentare reclamo al Garante per la protezione dei dati personali, in Piazza Venezia 11, 00187 Roma, oppure consultare le istruzioni su garanteprivacy.it. Resta ferma la possibilità di rivolgerti all'autorità giudiziaria.

Non prendiamo decisioni automatizzate che producano effetti giuridici su di te o che ti riguardino in modo analogo, e non facciamo profilazione. I confronti tra prezzi e i calcoli sui margini sono elaborazioni sui dati che carichi tu, e puoi sempre vederne il dettaglio riga per riga. L'unica valutazione fatta da un programma è quella descritta al punto 6, che stabilisce se un'attività rientra fra i ristoranti e i bar a cui ci rivolgiamo: decide se scriverle una email, nient'altro, e non ha effetti giuridici.

Se cambiamo qualcosa di rilevante, per esempio una finalità nuova o un fornitore nuovo, aggiorniamo questa pagina e te lo comunichiamo via email prima che la modifica abbia effetto. La data dell'ultimo aggiornamento è indicata in cima.

Vedi anche i termini di servizio e la pagina sui cookie.