Accordo sul trattamento dei dati

1. Parti, incorporazione e finalità

Questo Accordo sul trattamento dei dati (DPA) disciplina il trattamento effettuato da World Travel Club s.r.o., numero identificativo (IČO) 07214073, con sede in Ostrčilovo náměstí 462/4, Nusle, 128 00 Praha 2, Repubblica Ceca (Società o MenuAI), per il cliente aziendale identificato nell’ordine di abbonamento o contratto applicabile (Cliente). Contatto per la protezione dei dati: team@menuai.pro.

Il DPA è parte del contratto MenuAI quando validamente incorporato e accettato da rappresentanti autorizzati delle parti, anche tramite un processo elettronico concordato. Identità del Cliente, servizi e prova di accettazione devono essere determinabili. La pubblicazione o la visita di un ospite non conclude da sola un accordo per ogni locale.

Lo scopo è stabilire condizioni vincolanti del trattamento per il Cliente secondo l’articolo 28 del regolamento (UE) 2016/679 (GDPR) e la normativa applicabile. Gli allegati sono parte del DPA. Dettagli del servizio e registro riservato dell’allegato 3 lo integrano senza eliminare protezioni obbligatorie.

Il Cliente garantisce che chi accetta sia autorizzato per l’impresa e il trattamento interessati. Un’entità distinta non è automaticamente vincolata da appartenenza al gruppo o marchio comune. Altre entità richiedono accordi validi e istruzioni necessarie.

2. Definizioni

I termini definiti dalla normativa mantengono il significato legale. Le espressioni seguenti delimitano il DPA; un’etichetta contrattuale non modifica i ruoli effettivi.

• Contratto indica ordine di abbonamento, accordo di servizio e condizioni validamente incorporate e accettate che disciplinano l’uso di MenuAI.
• Dati Personali del Cliente indica i dati trattati dalla Società per suo conto nei servizi e nelle istruzioni lecite. Non comprende automaticamente ogni registro per cui la Società è titolare autonomo.
• Titolare è chi determina finalità e mezzi essenziali. Responsabile è una persona o organizzazione distinta che tratta per conto di un titolare.
• Trattamento comprende le operazioni definite dalla legge, quali raccolta, registrazione, organizzazione, conservazione, reperimento, consultazione, uso, trasmissione, limitazione, restituzione e cancellazione.
• Interessato è la persona fisica identificata o identificabile cui si riferiscono i dati, compresi ospiti o altre persone nell’ambito concordato.
• Istruzioni documentate indica direttive lecite nel Contratto, DPA, impostazioni concordate o altre comunicazioni scritte o elettroniche attribuibili a un rappresentante autorizzato.
• Sub-responsabile è un ulteriore responsabile incaricato dalla Società per attività specifiche del Cliente. Un titolare indipendente o servizio direttamente contrattualizzato dal Cliente non è automaticamente sub-responsabile della Società.
• Violazione dei dati personali è una violazione di sicurezza con distruzione, perdita, modifica, divulgazione o accesso non autorizzati, accidentali o illeciti, ai dati trattati secondo il DPA.
• Normativa applicabile indica GDPR e altre disposizioni vincolanti dell’Unione o Stati membri pertinenti; requisiti locali obbligatori aggiuntivi si applicano se ne ricorrono le condizioni.

3. Ruoli e separazione delle finalità

Per l’allegato 1, il Cliente è titolare e la Società responsabile. Se il Cliente è lecitamente responsabile per altro titolare, la Società è suo sub-responsabile; il Cliente ottiene l’autorità a monte e trasmette istruzioni lecite. Gli obblighi verso quel titolare restano dovuti.

Le attività proprie della Società come titolare, ad esempio abbonamento e relazione commerciale, contabilità e richieste proprie, seguono legge e Informativa privacy. I registri di sicurezza o uso sono assegnati secondo il fine reale; non ogni informazione da interazioni degli ospiti appartiene automaticamente a un ruolo.

La Società non userà i dati per pubblicità estranea, vendita, riutilizzo tra locali o addestramento di modelli generici. Le informazioni affidate servono il locale e l’ospite pertinenti secondo istruzioni lecite. Una licenza sui Contenuti del Cliente o una dichiarazione di miglioramento non amplia i fini.

Il DPA non stabilisce da solo contitolarità. Se le parti determinano insieme finalità e mezzi essenziali, valutano e documentano l’accordo legale richiesto. Una finalità autonoma non può nascondersi in un’istruzione o imporsi modificando un avviso privacy.

4. Istruzioni documentate e direttive illecite

La Società tratta i Dati Personali del Cliente soltanto su istruzioni documentate, comprese quelle relative a trasferimenti verso un paese terzo o un’organizzazione internazionale, salvo che il diritto dell’Unione o di uno Stato membro applicabile alla Società imponga altrimenti. In tal caso informa il Cliente del requisito legale prima del trattamento, salvo che tale diritto vieti l’informazione per rilevanti motivi di interesse pubblico.

Le istruzioni iniziali sono fornire funzioni contrattate, gestire interazioni autorizzate e svolgere l’allegato 1 secondo il DPA. Scegliere una funzione consente solo il trattamento ragionevole nel fine e ambito comunicati, non raccolta illimitata, destinatari nascosti o nuovi fini.

Un rappresentante autorizzato può inviare altre istruzioni tramite account o supporto concordati. Le parti registrano cambi di ambito, sicurezza, trasferimenti, conservazione e costi. Richieste lecite obbligatorie non sono ritardate solo per un formato diverso da un percorso facoltativo.

La Società informa immediatamente se ritiene l’istruzione contraria al GDPR o alle norme dell’Unione o Stati membri. Può sospenderla per chiarire con minimo disturbo compatibile con legge e diritti. Non esegue consapevolmente istruzioni illecite né sostituisce tacitamente finalità proprie estranee.

Se non realizzabile nel servizio, la Società spiega il problema e si considera un’alternativa lecita o modifica. Gli obblighi già applicabili restano. Istruzioni e variazioni rimangono disponibili per dimostrare l’autorità di trattamento.

5. Responsabilità e diritti del Cliente

Il Cliente risponde della liceità di finalità, dati e istruzioni. Stabilisce basi giuridiche, informa gli interessati, rispetta consenso e accesso ai dispositivi e tiene registri e politiche richiesti.

Limita i dati alle funzioni contrattate, ne mantiene ragionevole esattezza e istruisce conservazione lecita. Assegna accessi autorizzati, aggiorna contatti e riferimenti d’incidente e segnala tempestivamente compromissioni o errori d’istruzione pertinenti.

Valuta ulteriori condizioni per categorie particolari, minori o alto rischio. La sola necessità contrattuale non soddisfa una condizione di categoria particolare. La Società può chiedere chiarimenti o rifiutare usi non concordati non fornibili lecitamente con tutele adeguate.

Il Cliente mantiene diritti a istruzioni lecite, informazioni per valutare il responsabile, opposizione ai sub-responsabili secondo il DPA, assistenza e audit leciti. Attribuirgli doveri da titolare non comporta la rinuncia a tali diritti né elimina gli obblighi propri della Società.

6. Oggetto, durata e limiti

L’oggetto è il trattamento per funzioni MenuAI ordinate per locale e rapporti con gli ospiti. L’allegato 1 indica natura, finalità, persone e dati. Servizi attivi e istruzioni lecite restringono la descrizione; non si richiede ogni categoria per ogni ospite.

Il trattamento dura il servizio e successivamente solo restituzione, cancellazione o conservazione lecita prevista. La fine dell’accesso pagato non prova l’eliminazione di ogni copia; istruzioni irrisolte non giustificano conservazione indefinita.

La Società non amplia a fini incompatibili o categorie sostanzialmente diverse perché ha spazio disponibile. Una variazione importante si documenta e valuta prima per basi giuridiche, sicurezza, trasferimenti e accordi necessari.

Le istruzioni di anonimizzazione definiscono fine lecito e metodo. Togliere un identificativo diretto o sostituirlo con un codice non equivale necessariamente ad anonimizzare. Il DPA continua a proteggere finché i dati non sono realmente anonimi secondo la legge.

7. Riservatezza e personale autorizzato

La Società vincola gli autorizzati con doveri contrattuali o legali di riservatezza adeguati. L’accesso si limita alle persone e finalità necessarie a servizio, protezione o obblighi leciti.

Il personale riceve istruzioni adeguate su dati, credenziali e sospetti incidenti. Le autorizzazioni si rivedono al cambio di responsabilità e si revocano quando ingiustificate. La riservatezza continua dopo l’accesso secondo natura e legge.

Non si divulgano dati solo perché il destinatario è partner di segnalazione, potenziale cliente o richiede una dimostrazione. Supporto e verifica non chiedono dati sensibili inutili né usano registri reali per fini estranei.

La riservatezza protegge anche informazioni non pubbliche di conformità e sicurezza. Non impedisce divulgazioni lecite a interessati, revisori indipendenti, consulenti o autorità quando richieste o permesse con garanzie. Non può occultare violazioni né negare diritti obbligatori.

8. Obblighi tecnici e organizzativi di sicurezza

La Società attua e mantiene misure tecniche e organizzative adeguate per i Dati Personali del Cliente conformemente all’articolo 32 GDPR. Le misure tengono conto dello stato dell’arte, dei costi di attuazione, della natura, dell’ambito, del contesto e delle finalità del trattamento, nonché della probabilità e gravità dei rischi per le persone fisiche. L’allegato 2 stabilisce i requisiti contrattuali di controllo per i servizi interessati.

Le misure coprono riservatezza, integrità, disponibilità e resilienza, protezione durante trasmissione e conservazione, ripristino dell’accesso e valutazioni periodiche. Cifratura e pseudonimizzazione si applicano secondo rischio, senza garanzie generali su una particolare implementazione per tutti i dati.

Prima dell’affidamento il Cliente riceve informazioni ragionevolmente necessarie per valutare garanzie e requisiti specifici concordati. Prove dettagliate possono essere fornite riservatamente per canale protetto. Un riepilogo non è certificato, parere d’audit indipendente né garanzia contro ogni incidente immaginabile.

La Società può aggiornare secondo rischi e cambi senza ridurre sostanzialmente la protezione. Cambi importanti per la valutazione si comunicano secondo Contratto e legge. Il Cliente resta responsabile di dispositivi, accessi e misure sotto il suo controllo.

9. Autorizzazione generale scritta dei sub-responsabili

Fatte salve questa sezione e la procedura di modifica, il Cliente autorizza generalmente per iscritto i sub-responsabili identificati nel registro riservato attuale fornito prima del trattamento pertinente. Il registro appartiene all’allegato 3. L’autorizzazione nasce da valida accettazione con informazioni disponibili, non approva fornitori ignoti.

Il registro identifica entità, compito, luoghi inclusi accessi remoti e regime di trasferimento necessario. La Società fornisce informazioni sufficienti alla valutazione. Una categoria generica di fornitore non sostituisce l’identità richiesta per autorizzare.

Prima di dare accesso a un sub-responsabile, la Società ne valuta le garanzie sufficienti e lo vincola mediante un accordo scritto che impone gli stessi obblighi pertinenti di protezione dei dati previsti dal DPA, inclusi sicurezza adeguata, riservatezza, assistenza, cancellazione e cooperazione negli audit. La Società resta pienamente responsabile verso il Cliente dell’adempimento di tali obblighi da parte del sub-responsabile, come richiesto dall’articolo 28(4) GDPR.

Il registro può essere consegnato per canale aziendale protetto invece che pubblicato. Il segreto commerciale non prevale sul diritto del Cliente, sui diritti individuali o sui poteri delle autorità. Sono richieste autorizzazioni e obblighi equivalenti anche per subaffidamenti successivi.

10. Cambiamenti, preavviso e obiezioni ai sub-responsabili

La Società notifica attivamente per iscritto aggiunte o sostituzioni almeno 30 giorni di calendario prima del nuovo trattamento, indicando entità, compito, luoghi, avvio e garanzie per una valutazione significativa. Modificare un registro senza avviso non basta.

Il Cliente può opporsi nel preavviso per ragioni ragionevoli di protezione dei dati adeguatamente spiegate. Le parti cercano in buona fede garanzie aggiuntive o alternative praticabili. La Società non inizia il trattamento contestato per quel Cliente prima della soluzione concordata o altro accordo lecito.

In mancanza di soluzione soddisfacente lecita, si affrontano servizio interessato, sospensione o fine necessarie e conguaglio dei prepagati e conseguenze secondo Contratto e norme imperative. Non si forza il Cliente ad accettare trasferimenti illeciti o responsabili nascosti per ottenere restituzione o cancellazione.

Con autorizzazione generale scritta e nessuna obiezione nel periodo notificato, l’incarico può iniziare entro tale autorizzazione e altri requisiti. Non è consenso dell’interessato né rinuncia a obiezioni legali fondate successive. Anticipare richiede autorizzazione scritta specifica o altro vincolo legale che lo consenta; l’urgenza non elimina tacitamente la regola dei 30 giorni.

Il Cliente mantiene aggiornato il contatto per gli avvisi. La Società conserva notifica, autorizzazione, obiezione e soluzione e rende disponibile il registro corrente su richiesta.

11. Luoghi e trasferimenti internazionali

La Società tratta nei luoghi documentati per servizio e sub-responsabili autorizzati. Si considera l’accesso da altri paesi; indicare solo lo spazio di conservazione non è una valutazione completa. Il DPA non promette che tutto rimanga nello Spazio economico europeo.

Un trasferimento del capo V GDPR richiede istruzioni documentate lecite e base applicabile: decisione di adeguatezza o garanzie appropriate, incluse clausole contrattuali tipo corrette della Commissione europea, valutazioni e misure supplementari.

Se servono clausole tipo o strumenti locali aggiuntivi, parti, modulo, informazioni degli allegati e garanzie vanno completati e incorporati validamente prima. Pubblicare il DPA non esegue tutti gli strumenti, non è valutazione d’impatto del trasferimento né deroga generale.

La Società fornisce dati ragionevolmente necessari alla valutazione del Cliente e informa di cambi legali o del destinatario che impediscono le garanzie. Il trasferimento va sospeso o corretto quando richiesto; l’autorizzazione generale non prevale.

Clausole imperative di trasferimento prevalgono in conflitto. Le informazioni possono viaggiare protette con oscuramenti leciti, senza impedire valutazione reale o diritti obbligatori.

12. Assistenza per i diritti degli interessati

Secondo la natura, la Società assiste con misure tecniche e organizzative appropriate, ove possibile, nelle richieste del capo III GDPR. Include aiuto per individuare, accedere, rettificare, limitare, restituire, cancellare e fornire portabilità alle condizioni legali.

Se riceve una richiesta relativa al trattamento per conto del Cliente, la Società la inoltra al Cliente senza ingiustificato ritardo e non decide la risposta nel merito per suo conto, salvo autorizzazione mediante istruzioni documentate o obbligo di legge. Se la richiesta riguarda anche attività della Società come titolare autonomo, essa gestisce tale parte secondo i propri obblighi legali.

Il Cliente valuta, verifica l’autorità quando occorre e istruisce risposte lecite. La Società comunica limiti di assistenza e fornisce informazioni disponibili in tempo utile. La cooperazione non prolunga automaticamente i termini.

Verifica e risposta proteggono interessati e terzi. Si evitano prove d’identità inutili, registri completi a richiedenti non verificati e interpretazioni di cancellazione come permesso di eliminare dati estranei. Rifiuti leciti, eccezioni di conservazione e limitazioni si spiegano secondo legge.

13. Violazioni dei dati e cooperazione negli incidenti

La Società notifica senza ingiustificato ritardo dopo conoscenza della violazione dei dati del Cliente. L’avviso va al contatto designato e a un canale urgente concordato se disponibile. Non attende un’indagine completa per dare informazioni già disponibili.

Descrive per quanto noto natura, categorie e numeri approssimativi di persone e registri, conseguenze probabili, misure adottate o proposte e contatto successivo. I dettagli mancanti seguono per fasi senza ulteriori ritardi, separando fatti accertati e indagini aperte.

La Società contiene ragionevolmente la violazione, protegge dati, preserva prove e coopera con valutazione, notifiche e rimedi del Cliente. Mantiene un registro e aggiornamenti, senza esporre inutilmente altri clienti o compromettere indagini lecite.

Il Cliente decide le notifiche ad autorità o persone salvo obbligo diretto della Società. Il termine del titolare, incluso il quadro pertinente di 72 ore del GDPR, non consente al responsabile di attendere altrettanto. Non è implicito un livello di servizio orario fisso non concordato.

La Società non pubblica per conto del Cliente senza autorità salvo legge. Notifica e cooperazione non ammettono da sole responsabilità, senza eliminare obblighi e rimedi individuali. I sospetti si segnalano a team@menuai.pro senza credenziali o materiale sensibile superfluo.

14. Valutazioni di sicurezza, impatto e consultazione

Considerando natura e informazioni disponibili, la Società aiuta il Cliente a rispettare gli articoli 32 a 36 GDPR. Include informazioni pertinenti su trattamento, garanzie, rischi, incidenti, sub-responsabili e trasferimenti.

Se occorre una valutazione d’impatto o consultazione dell’autorità, il Cliente indica attività e informazioni ragionevolmente richieste. La Società fornisce quelle disponibili e coopera senza assumere le decisioni del Cliente o certificare ogni uso proposto.

Un rischio elevato irrisolto va affrontato con misure e consultazioni legali prima dell’attività. Impostazioni o firma del DPA non sostituiscono la valutazione. La Società comunica limiti sostanziali invece di rassicurazioni infondate.

L’assistenza si organizza tramite contatto aziendale con riservatezza e urgenza adeguate. Ogni compenso separato segue la sezione costi e non frustra la cooperazione obbligatoria.

15. Informazioni, audit e ispezioni

La Società rende disponibili tutte le informazioni per dimostrare l’articolo 28 e consente e sostiene audit, incluse ispezioni, del Cliente o revisore incaricato. Le prove includono politiche, registri, controlli, risposte e rapporti indipendenti effettivamente esistenti.

Si considera prima se documenti appropriati rispondano alla richiesta. È un punto di partenza, non sostituisce ispezioni ragionevolmente necessarie o legali. Nessuna certificazione specifica è dichiarata, nessun rapporto inesistente imposto e nessun limite universale di un audit annuo stabilito.

Per ispezioni pianificate si concordano preavviso, ambito, tempi, riservatezza e protezione ragionevoli riducendo disturbi evitabili. Urgenze, autorità o prove di grave non conformità possono giustificare meno preavviso o verifiche aggiuntive. La programmazione non ostacolerà obblighi urgenti.

Il revisore agisce indipendentemente, mantiene riservatezza e accede solo a dati pertinenti. Proteggere altri clienti, credenziali e materiali proprietari estranei può richiedere accesso controllato o oscuramenti, senza impedire verifiche efficaci. Nessun diritto di test intrusivi senza metodo sicuro concordato è concesso.

La Società affronta rilievi fondati e coopera alla documentazione di correzioni proporzionate. Audit e costi non eliminano poteri dell’autorità, diritti personali o informazioni di conformità necessarie.

16. Autorità e divulgazioni obbligatorie

La Società coopera con le autorità competenti secondo legge. Su richiesta vincolante valuta base e ambito, divulga solo quanto richiesto lecitamente e informa il Cliente quando e dove permesso.

Richieste apparentemente illecite o sproporzionate inducono a considerare impugnazioni e protezioni lecite secondo circostanze. Non si promette di disobbedire a ordini vincolanti o impedire ogni richiesta d’accesso.

Il divieto legale di avviso si rispetta solo nel suo ambito. Si conserva documentazione e si informa successivamente quando permesso e richiesto. Accessi governativi e trasferimenti del capo V rispettano anche le clausole vincolanti.

Nessuna parte usa la riservatezza per bloccare reclami leciti, trasparenza obbligatoria o indagini. Anche il Cliente limita la divulgazione delle prove non pubbliche della Società al fine lecito e le protegge opportunamente.

17. Restituzione, cancellazione e conservazione lecita

A scelta del Cliente la Società restituisce o cancella i dati alla fine del servizio ed elimina le copie, salvo obblighi dell’Unione o Stati membri. Ove praticabile, la scelta precede la fine dell’accesso. Istruzioni mancanti o incoerenti richiedono chiarimento, non presunzione di conservazione illimitata.

Si registrano ambito, formato comune appropriato ragionevolmente disponibile, consegna protetta e calendario adatto al servizio e istruzioni. Si esegue senza ritardo ingiustificato; difficoltà operative vanno spiegate e non diventano eccezioni indefinite. Non sono promessi export autonomi non verificati o finestre universali di recupero.

Chiudere un account o rimuovere dati dall’interfaccia non prova cancellazione completa. La Società tratta dati attivi e copie nel processo lecito concordato e conferma su richiesta la conclusione indicando eccezioni residue.

Se una copia protetta non è subito modificabile individualmente, spiega ciclo di conservazione e cancellazione, limita l’uso a recupero necessario o finalità legali e riapplica cancellazione o restrizione al ripristino. Non si elude l’eliminazione dovuta né si prolunga oltre il necessario.

Dati conservati per legge restano protetti e trattati solo per quel fine. La Società indica requisito e periodo o criteri nei limiti consentiti. Registri contabili propri da titolare sono distinti dai dati conservati solo per il Cliente.

18. Sospensione e cessazione del trattamento interessato

Chi non può rispettare il DPA informa l’altra parte senza ritardo ingiustificato nei limiti legali. Il trattamento si sospende quando necessario a evitare illiceità o proteggere persone mentre si valuta una soluzione conforme.

Gravi violazioni irrisolte, istruzioni illecite o impossibilità di mantenere garanzie possono giustificare cessazione del trattamento o servizio secondo Contratto e legge. Si considerano fatti, avviso e possibilità di rimedio applicabili. Una disputa commerciale facoltativa non elude obblighi di protezione.

Fine o restrizione non cancellano automaticamente riservatezza, incidenti, assistenza, restituzione e cancellazione. La Società protegge quanto ancora conserva lecitamente e non trattiene risposte o restituzioni obbligatorie solo per imporre nuovi responsabili o condizioni estranee.

Le conseguenze economiche seguono Contratto e legge senza eliminare rimborsi o rimedi già dovuti. La fine non autorizza nuovi fini autonomi per i dati.

19. Costi di assistenza e responsabilità

Ogni parte resta responsabile di obblighi legali e del DPA. La ripartizione commerciale vale solo se lecita e compatibile con norme vincolanti e clausole di trasferimento. Il DPA non crea automatica manleva per colpa propria della Società.

Nessun limite riduce diritti inderogabili, poteri dell’autorità o responsabilità legalmente non limitabile. Compensazione e regresso legali restano soggetti alle relative condizioni. Accettare un sub-responsabile non elimina la responsabilità della Società secondo l’articolo 28(4).

Assistenza ordinaria e informazioni dovute non possono essere rese illusorie da costi nascosti. Per lavoro extra oltre doveri inclusi, prezzo e ambito vanno spiegati e accettati prima. Discutere costi non ritarda notifiche urgenti né ostacola diritti legali.

Le parti cooperano ragionevolmente e riducono lecitamente i danni. Nessuna clausola impone doppio ristoro dello stesso danno, garantisce successo di ogni pretesa o elimina difese inderogabili.

20. Priorità dei documenti e legge applicabile

Per il trattamento affidato il DPA prevale su disposizioni generali incompatibili. Clausole tipo vincolanti e norme imperative prevalgono secondo termini e legge. Marketing o etichette unilaterali di account non modificano gli obblighi.

Si applica la legge della Repubblica Ceca con riserva di norme di conflitto e imperative. I tribunali competenti di Praga hanno giurisdizione per controversie contrattuali nella misura valida e consentita.

Ciò non limita reclami e vie giudiziali individuali, competenza dell’autorità o foro vincolante di strumenti di trasferimento. Discussioni scritte possono risolvere questioni senza bloccare protezione urgente o termini legali.

Gli effetti di invalidità o ineseguibilità sul resto seguono la legge. Riservatezza o limiti ampi non eliminano obblighi di trattamento altrimenti inderogabili.

21. Modifiche e conformità continua

Le modifiche si documentano con processo contrattuale valido e si rendono disponibili al Cliente. Una nuova versione pubblica non autorizza retroattivamente trattamenti, non rimuove istruzioni e non cambia il DPA accettato per il solo uso continuato.

Aggiornare garanzie o rispettare requisiti vincolanti preserva protezione e obblighi di avviso o accettazione. I sub-responsabili seguono la procedura di 30 giorni di calendario; pubblicare una nuova versione non sostituisce l’avviso.

Descrizione, contatti, istruzioni, luoghi e registro si tengono ragionevolmente aggiornati. Nuove attività ad alto rischio si valutano e documentano prima, non si presumono coperte da una descrizione generale.

Obblighi su dati conservati, riservatezza, assistenza, prove e restituzione o cancellazione sopravvivono finché applicabili. Non esercitare subito un diritto non rinuncia da solo a un dovere inderogabile.

22. Contatti e lingue

Domande DPA, istruzioni, incidenti e richieste di registro riservato vanno a team@menuai.pro. La Società è World Travel Club s.r.o., IČO 07214073, Ostrčilovo náměstí 462/4, Nusle, 128 00 Praha 2, Repubblica Ceca. Nessun responsabile della protezione dei dati separato è nominato; questo contatto gestisce la corrispondenza.

Contatti autorizzati e canali d’incidente sono quelli del Contratto o istruzioni valide successive. Le parti li aggiornano e scelgono canali secondo urgenza e sensibilità. Istruzioni e prove riservate possono richiedere verifica proporzionata dell’autorità.

Le versioni inglese e ucraina esprimono diritti e doveri equivalenti. Non si introduce priorità linguistica superiore. Divergenze si risolvono secondo interpretazione applicabile senza limitare diritti inderogabili.

La disponibilità pubblica del DPA non richiede dettagli proprietari di implementazione. Le prove necessarie e informazioni sui destinatari si danno comunque agli aventi diritto per via lecita. Il segreto commerciale non esenta globalmente da trasparenza, autorizzazione o audit.

Allegato 1. Descrizione del trattamento affidato

Oggetto e fine: funzioni MenuAI ordinate per il locale, incluse interazioni, ordini, prenotazioni, eventi, consegna e fedeltà se comprese. Il trattamento serve locale e ospite secondo istruzioni lecite, senza fine autonomo di addestramento tra locali o pubblicità.

Natura e operazioni: raccolta tramite la funzione; registrazione, organizzazione, conservazione, recupero e visualizzazione autorizzata; esecuzione di istruzioni e richieste; comunicazione necessaria a destinatari autorizzati; correzione, limitazione, restituzione e cancellazione. Si resta nel servizio attivo.

Durata e frequenza: durante il servizio al conferimento di dati e uso delle funzioni, poi solo restituzione, cancellazione o conservazione limitata legale della sezione 17. Istruzioni e tempi specifici sono registrati.

Le categorie valgono solo se il Cliente realmente fornisce o istruisce il trattamento per una funzione ordinata. Non richiedono raccolta completa né account di ogni ospite.

• Persone: ospiti e clienti del locale; chi prenota o partecipa a prenotazioni, eventi o consegne; rappresentati in prenotazioni autorizzate; personale e contatti inseriti nei registri operativi. La gestione autonoma degli account della Società è distinta.
• Identità e contatto: nomi, recapiti, riferimenti di ospiti o clienti del locale e informazioni per comunicare sul servizio richiesto. Indirizzi postali o di consegna solo se necessari.
• Ordini e transazioni: articoli, quantità, importi, stato, dettagli di prenotazioni o eventi, istruzioni di consegna e stato di pagamento o riferimenti autorizzati. Non si istruisce a memorizzare numeri completi di carte o codici di sicurezza in campi ordinari.
• Relazioni e preferenze: visite o fedeltà del locale, punti o premi, lingua, feedback, preferenze e nascita o compleanno lecitamente forniti per fini attivi. Informazioni facoltative soggette a minimizzazione e basi del Cliente.
• Informazioni tecniche: identificativi, accessi, attività e comunicazioni necessarie a fornire, proteggere o assistere, solo se trattati per conto del Cliente. Fini indipendenti della Società richiedono valutazione del ruolo separata.
• Possibili categorie particolari: allergie, dieta e testo libero possono rivelare salute, religione o caratteristiche protette. Servono base dell’articolo 6 e condizione dell’articolo 9 stabilite dal Cliente, istruzioni lecite e garanzie appropriate. Nessun permesso generale per dati sensibili estranei o condanne penali.

Per categorie particolari o minori si minimizzano campi e testo, limitano accessi a chi serve la necessità, evitano divulgazioni superflue e applicano conservazione, correzione e cancellazione appropriate. Il Cliente indica protezioni aggiuntive prima; un campo libero non giustifica alto rischio non sostenuto.

Allegato 2. Controlli di sicurezza richiesti

Sono requisiti contrattuali secondo rischio documentato. Descrivono risultati e responsabilità senza esporre implementazione proprietaria. Non attestano certificazioni, audit indipendenti, tempi di recupero o implementazioni specifiche. Il Cliente riceve informazioni di valutazione prima dell’affidamento.

• Governo e riservatezza: assegnare responsabilità, istruire il personale, vincolarlo alla riservatezza e rivedere accessi e necessità di consapevolezza.
• Accesso: identificare autorizzati, proteggere autenticazione e recupero credenziali, attribuire diritti per ruolo e compito e ritirarli quando ingiustificati. Privilegi protetti secondo impatto.
• Separazione dei clienti: limitare accesso al contesto autorizzato di Cliente e locale e impedire accessi ordinari ad altri. Supporto e amministrazione richiedono fine autorizzato e supervisione.
• Trasmissione e memoria: proteggere da accessi o modifiche non autorizzati secondo rischio, incluso cifrare ove opportuno, e impedire divulgazione di credenziali o materiali sensibili di sicurezza.
• Minimizzazione e gestione: limitare raccolta, copie, divulgazione e durata al fine istruito; evitare dati diagnostici inutili e proteggere supporto e verifiche.
• Integrità operativa: gestire configurazioni e cambi, affrontare vulnerabilità con urgenza proporzionata e valutare cambi importanti. Non usare registri dei clienti per test o dimostrazioni estranei.
• Prove e rilevazione: mantenere evidenze proporzionate di accessi di sicurezza e azioni importanti per rilevare, indagare e dimostrare conformità, limitando accesso e contenuti sensibili superflui.
• Disponibilità e ripristino: mantenere resilienza, copie protette necessarie e recupero di disponibilità e accesso secondo servizio e rischi. Valutare e testare periodicamente; nessun obiettivo numerico non concordato nasce.
• Incidenti: ricevere segnalazioni, valutare sospetti, contenere, preservare prove, notificare e aiutare secondo la sezione 13. Il rapporto finale non è condizione dell’avviso iniziale.
• Conservazione e smaltimento: applicare istruzioni lecite di limitazione, restituzione e cancellazione, controllare copie residue e impedire aggiramenti tramite ripristino. Si trattano le copie, non solo etichette visibili.
• Fornitori: valutare sub-responsabili, imporre doveri equivalenti, mantenere autorizzazioni e luoghi e valutare cambi e trasferimenti prima del trattamento.
• Revisione e prove: verificare regolarmente efficacia, registrare rilievi importanti e correzioni e fornire informazioni e audit richiesti. Le certificazioni esigono certificati attuali applicabili, non si deducono da questi requisiti.

Misure specifiche, rischi o tutele aggiuntive si documentano nel registro protetto prima dell’attività. Se un requisito non può essere rispettato, lo si risolve o si evita il trattamento; un riepilogo pubblico non colma la lacuna.

Allegato 3. Registro specifico del Cliente ed elenco riservato

Ordine e registro scritto o elettronico attribuibile identificano Cliente, servizio, accettazione, contatti e istruzioni del DPA. Il registro corrente è disponibile a entrambi; leggere la pagina non lo completa.

Prima di autorizzare un sub-responsabile a trattare i Dati Personali del Cliente, la Società fornisce l’elenco aggiornato attraverso il canale protetto concordato. Esso identifica l’entità giuridica, il servizio o compito, i luoghi pertinenti di trattamento e accesso, le garanzie di trasferimento applicabili e la versione o data dell’elenco. Il registro collega l’autorizzazione del Cliente e ogni limitazione specifica del servizio alla versione pertinente.

Il registro contiene specifiche concordate necessarie di categorie, protezioni speciali, restituzione o cancellazione e prove aggiuntive. Include solo funzioni ordinate e istruzioni lecite. Le lacune importanti si risolvono prima dell’affidamento.

Per cambi si conservano avviso scritto, inizio, obiezione e soluzione e registro aggiornato. La notifica segue la sezione 10, non dipende dalla scoperta periodica di cambi da parte del Cliente.

Elenco dettagliato e prove non devono essere pubblicati, ma forniti al Cliente e destinatari aventi diritto secondo legge con protezione. La riservatezza può tutelarli, non impedire divulgazioni legalmente dovute a persone o autorità.