Trasparenza sui dati

Questa pagina parla del sistema, non di una persona: per leggerla non serve dire chi sei.

Che cosa viene raccolto

• Nome — identificare l’ordine alla consegna e in cucina (ordini.cliente_nome)
• Telefono — contattare il cliente per l’ordine e la consegna (ordini.cliente_telefono)
• Indirizzo e CAP — consegnare l’ordine e calcolare la zona di consegna (ordini.indirizzo, ordini.indirizzo_normalizzato, ordini.cap)
• Note sull’ordine — istruzioni fornite dal cliente (citofono, allergie indicate) (ordini.note_cliente)
• Email (facoltativa) — inviare la conferma dell’ordine con il riepilogo e il link di tracciamento (ordini.cliente_email, clienti.email)

Per quanto resta

I dati che identificano direttamente un cliente vengono anonimizzati 12 mesi dal più recente ordine del cliente. È una decisione del titolare presa il 2026-09-17, non un minimo né un massimo imposto dalla legge. I documenti contabili e fiscali seguono la propria conservazione obbligatoria.

Chi li riceve

• Stripe — elaborazione dei pagamenti con carta; i dati della carta non transitano dai nostri sistemi
• Supabase — database e infrastruttura applicativa (regione eu-west-1, Unione Europea)
• Vercel — hosting ed erogazione dell’applicazione web
• Twilio — possibile fornitore per l’invio dei messaggi WhatsApp relativi all’ordine
• Spoki — possibile fornitore per l’invio dei messaggi WhatsApp relativi all’ordine
• Resend Inc. — invio delle email transazionali relative all’ordine (conferma, riepilogo, link di tracciamento)
• Meta Platforms Ireland Ltd. — gestione della piattaforma WhatsApp per i messaggi inviati tramite i fornitori indicati; il gruppo Meta può trattare i dati anche fuori dall’Unione Europea
• Mapbox, Inc. — verifica dell’indirizzo di consegna (geocodifica): riceve il testo dell’indirizzo digitato per ricavarne CAP, zona e coordinate; società con sede negli Stati Uniti, i dati possono essere trattati fuori dall’Unione Europea con le garanzie previste dagli artt. 44–49 GDPR

Che cosa succede davvero quando chiedi la cancellazione

Quasi tutte le pagine come questa si fermano a «i tuoi dati vengono cancellati». Qui sotto c’è l’elenco, tabella per tabella, di che cosa sparisce e di che cosa resta — con il motivo per cui resta.

Sparisce, o perde ogni riferimento a te

• attese_riassortimento
• casi_reclamo
• cestini
• clienti
• eventi_log
• indirizzi_salvati
• ordini
• preferenze_cliente
• promemoria_consensi
• push_abbonamenti
• sessioni_gruppo

Resta, e perché

• aggiunte_ordine_operazioni — Registro delle aggiunte a un ordine (audit R1-007): l’hash dell’identificativo d’operazione, l’impronta delle righe e l’esito con numero d’ordine e totali. Nessun nome, telefono o indirizzo: sull’ordine anonimizzato non riconduce a nessuno, e serve a non addebitare due volte.
• carrello_righe_custom — Le pizze personalizzate di un ordine anonimizzato: una ricetta, non una persona.
• checkout_richieste — Tracce tecniche di idempotenza del checkout, agganciate a un ordine anonimizzato.
• comandi_idempotenza — Tracce tecniche di idempotenza dei comandi di sala (IQ-3): una chiave hash e l’esito di una transizione, senza nome, telefono né indirizzo. Scadono da sole dopo sette giorni.
• consegna_milestone — Passaggi di stato di una consegna su un ordine anonimizzato: orari di partenza e arrivo, senza indirizzo né coordinate, che restano l’unica misura di quanto ci mette davvero una consegna (#33, #84).
• credito_negozio — È un saldo. Cancellarlo fa sparire un credito che la persona potrebbe ancora vantare verso il locale, o un debito del locale verso di lei. La decisione su cosa farne — liquidarlo, azzerarlo, lasciarlo — è del titolare e non di questa funzione.
• dispatch_escalations — Escalation operative su un ordine anonimizzato: dicono che qualcuno è intervenuto e quando, non chi aveva ordinato. Restano perché sono la memoria di cosa è andato storto in servizio.
• documenti_commerciali — Fatture e corrispettivi. La conservazione è un obbligo fiscale (D.P.R. 633/1972 e art. 2220 c.c.), e l’art. 17(3)(b) GDPR esclude la cancellazione quando il trattamento è necessario per adempiere un obbligo di legge. Cancellarli sarebbe illecito, non virtuoso.
• fasi_cucina — Tempi di lavorazione di un ordine anonimizzato. Non contengono dati della persona, e togliendoli si perderebbero le misure di produzione.
• impasti_prelievi — Prelievi di impasto per un ordine anonimizzato. Sono tracciabilità alimentare: servono a risalire da una pizza al lotto di impasto, e quella catena non si spezza perché un cliente ha chiesto di sparire.
• inviti — Un codice di invito è stato dato a terzi, che potrebbero averlo già usato. Cancellarlo annullerebbe retroattivamente il credito di persone diverse da quella che ha chiesto la cancellazione (#53).
• inviti_usi — Stessa ragione di `inviti`: la riga racconta cosa è successo a una terza persona, non a chi ha chiesto di sparire.
• movimenti_stock — Consumi di magazzino generati da un ordine anonimizzato. Sono numeri di inventario.
• ordini_impronte — Impronte di deduplicazione degli ordini: servono a non creare due volte lo stesso ordine, e non contengono dati della persona.
• ordini_righe — Cosa conteneva un ordine. L’ordine è anonimizzato — niente nome, niente telefono, niente indirizzo, niente coordinate — quindi le righe non riconducono a nessuno, e servono ai conti e al magazzino.
• pagamenti_intenti — Riferimenti agli intenti di pagamento di un ordine anonimizzato; servono alla riconciliazione contabile.
• pin_consegna — Solo un hash e un sale, su un ordine anonimizzato: non è un dato personale nemmeno prima della cancellazione.
• ponti_contatto — Il numero di ponte è un numero del provider, non della persona, ed è agganciato a un ordine anonimizzato. Ha già una scadenza propria e smette di esistere da solo.
• prenotazioni_capacita — Slot riservati a un ordine anonimizzato. Toglierli falserebbe la domanda osservata per fascia (#85), che è già un dato censurato dal tetto e non sopporta di perdere anche le righe.
• print_jobs — Comande stampate per un ordine anonimizzato. La coda si svuota da sola con la propria ritenzione.
• punti_movimenti — Registro in sola aggiunta dei punti (#48). Le righe sono agganciate al cliente anonimizzato, che non ha più nome né telefono; toglierle sbilancerebbe un saldo senza che nessuno l’abbia deciso.
• segnali_silenziosi — Segnali diagnostici su un ordine anonimizzato. Servono a vedere cosa si guasta senza che nessuno lo segnali, e non contengono niente della persona che aveva ordinato.
• upgrade_regalo — Un upgrade applicato a un ordine anonimizzato (#55): dice che è stato regalato qualcosa su quell’ordine, non a chi. Serve a non regalare due volte la stessa cosa allo stesso ordine.
• verifiche_eta — Registra CHE una verifica è avvenuta su un ordine anonimizzato, non il documento né la data di nascita. È la prova di un adempimento (D.L. 158/2012) e l’operatore che l’ha svolta risponde di quella riga.

Perché non c’è un pulsante «scarica i miei dati»

In questo sistema non esiste nessun account cliente: gli ordini si fanno da ospite. Una pagina che mostrasse i dati a chi inserisce un numero di telefono li mostrerebbe a chiunque conosca quel numero. L’art. 12(6) del GDPR permette di chiedere le informazioni necessarie a confermare l’identità: per questo le richieste passano da una persona.

Per esercitare l’accesso, la portabilità o la cancellazione scrivi a privacy@example.com. Ti verranno chieste le informazioni necessarie a confermare che sei tu: non è un ostacolo, è quello che impedisce a qualcun altro di chiedere i tuoi dati al posto tuo.

Informativa completa · Accessibilità