Informativa sulla privacy

L'azienda indicata sopra è responsabile (titolare del trattamento) del trattamento dei tuoi dati su questo sito, nel nostro servizio di ordini online e nei servizi qui descritti. Per qualsiasi domanda sulla protezione dei dati puoi contattarci a questi recapiti.

Trattiamo i dati personali solo nella misura in cui ci servono per lo scopo in questione. Per ogni scopo, le sezioni seguenti indicano quali dati trattiamo, su quale base giuridica, chi li riceve e per quanto tempo li conserviamo. Alla fine trovi una panoramica di tutti i periodi di conservazione e di tutti i destinatari al di fuori dell'UE.

Per un ordine, una prenotazione o una candidatura ci servono i campi contrassegnati come obbligatori; senza di essi non possiamo concludere il contratto né gestire la richiesta. Tutto il resto è facoltativo. Non prendiamo decisioni basate unicamente su un trattamento automatizzato ai sensi dell'art. 22 GDPR.

Questo sito è distribuito tramite Firebase Hosting di Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irlanda. A ogni richiesta il fornitore tratta i dati tecnicamente necessari: indirizzo IP, data e ora, l'indirizzo richiesto, quantità di dati trasferiti, referrer e identificativo del browser (user agent). Lo scopo è distribuire il sito in modo sicuro e affidabile; la base giuridica è l'art. 6, par. 1, lett. f GDPR. Google può anche trasferire dati a Google LLC negli USA (vedi “Destinatari al di fuori dell'UE”).

Conservazione dei log del server: 30 giorni.

Ordini, account cliente, prenotazioni, richieste e tutti gli altri dati che ci invii tramite il sito sono archiviati e trattati presso Supabase Inc. (USA) in qualità di nostro responsabile del trattamento (art. 28 GDPR). Supabase fornisce il database, l'accesso, l'archiviazione dei file e le funzioni server; anche lì vengono generati log tecnici con indirizzi IP. Ubicazione del server della nostra istanza: Francoforte sul Meno, Germania (regione AWS eu-central-1). I trasferimenti verso gli USA sono coperti dalle clausole contrattuali tipo dell'UE nell'accordo sul trattamento dei dati di Supabase.

Per far funzionare il sito conserviamo alcune informazioni nel tuo browser (cookie, local storage, session storage): la tua lingua, la tua scelta sui cookie, il tuo carrello e i dati di consegna o ritiro, l'identificativo di un ordine in corso con la relativa chiave di accesso, l'identificativo di una chat, gli eventuali filtri allergeni impostati e, solo con il tuo consenso alle “Preferenze”, la combinazione di colori. Queste informazioni restano nel tuo browser; vengono inviate solo quando usi la funzione in questione.

La memorizzazione strettamente necessaria avviene senza consenso (§ 25, comma 2, n. 2 TDDDG, art. 6, par. 1, lett. b e f GDPR). Tutto ciò che va oltre, in particolare Google Analytics, avviene solo con il tuo consenso tramite il banner dei cookie (§ 25, comma 1 TDDDG, art. 6, par. 1, lett. a GDPR). Puoi modificare o revocare la tua scelta in qualsiasi momento con effetto per il futuro:

Se nel banner dei cookie consenti “Analisi”, utilizziamo Google Analytics 4 di Google Ireland Limited (indirizzo sopra). Google Analytics imposta cookie (_ga, _ga_*) che contengono un identificativo generato casualmente per il tuo browser (client ID) e comunica a Google visualizzazioni di pagina ed eventi: le pagine che apri (senza parametri di query né chiavi di accesso), l'ora, il referrer, l'impostazione della lingua, le dimensioni dello schermo, il tipo di dispositivo e di browser e la posizione approssimativa che Google ricava dal tuo indirizzo IP. I dati sono pseudonimi, non anonimi: il client ID permette di collegare tra loro le tue visite.

Lo scopo è capire come vengono usate le nostre pagine e migliorarle. La base giuridica è il tuo consenso (§ 25, comma 1 TDDDG, art. 6, par. 1, lett. a GDPR). Il destinatario è Google; i dati possono essere trasferiti a Google LLC negli USA, certificata secondo l'EU-U.S. Data Privacy Framework. I cookie scadono dopo un massimo di 2 anni; Google conserva i dati sugli eventi per 2 mesi.

Revoca: apri le impostazioni cookie (pulsante sopra in “Cookie e memoria del browser”, oppure nel footer) e disattiva “Analisi”. Da quel momento non viene più inviato nulla a Google e i cookie di Analytics vengono eliminati. Maggiori informazioni sul trattamento da parte di Google: policies.google.com/privacy.

Separatamente da Google Analytics, contiamo le visualizzazioni di pagina con nostre statistiche senza cookie. Per ogni visualizzazione memorizziamo la pagina, il tipo di dispositivo, un paese ricavato dal fuso orario, la lingua, la pagina di provenienza e un valore di controllo (hash) del tuo indirizzo IP e dell'identificativo del browser, che cambia ogni giorno ed è generato con una chiave segreta. Il valore di controllo serve solo a non contare due volte le visite di una giornata; viene eliminato dopo 2 giorni. Dopo restano solo dati aggregati senza alcun riferimento personale. La base giuridica è il nostro legittimo interesse a una semplice misurazione del pubblico (art. 6, par. 1, lett. f GDPR). I dati sono archiviati su Supabase.

Quando apri uno dei nostri codici QR o link brevi, memorizziamo l'ora, l'identificativo del browser, la pagina di provenienza e un valore di controllo del tuo indirizzo IP che cambia ogni giorno, mai l'indirizzo IP stesso, ed eliminiamo questi dati dopo 90 giorni.

Quando ordini da noi, trattiamo i dati del modulo d'ordine: nome, numero di telefono, indirizzo e-mail (obbligatorio per il pagamento online), per la consegna l'indirizzo, per il ritiro alla tua auto la targa, il colore e il modello, le tue note, i piatti ordinati, le opzioni scelte, la mancia e l'orario richiesto. Lo scopo è eseguire il contratto: preparare, consegnare o servire, fatturare e tenerti aggiornato sull'avanzamento (art. 6, par. 1, lett. b GDPR). Un link segreto ti permette di seguire il tuo ordine in tempo reale.

Pagamento: i pagamenti online sono gestiti da Stripe Payments Europe, Ltd., 1 Grand Canal Street Lower, Dublin 2, Irlanda. Inserisci i dati della carta direttamente presso Stripe; noi non li riceviamo mai. Stripe tratta anche dati del dispositivo e della connessione per prevenire le frodi e può trasferire dati a Stripe, Inc. negli USA (Data Privacy Framework). Quando Stripe verifica i pagamenti sotto la propria responsabilità (ad esempio per la prevenzione delle frodi), si applica l'informativa sulla privacy di Stripe.

Scontrino di cassa: ogni ordine viene firmato come transazione di cassa con un dispositivo tecnico di sicurezza (TSE). A tal fine inviamo i dati della transazione (importi, articoli, orari, nessun dato di contatto) al nostro fornitore TSE fiskaly (con sede nell'UE). La base giuridica è il nostro obbligo legale (§ 146a del codice tributario tedesco (AO), art. 6, par. 1, lett. c GDPR).

Conservazione: anonimizziamo nome, telefono, e-mail, indirizzo, note e dati del veicolo di un ordine come ospite 12 mesi dopo l'ordine, a meno che tu non abbia un account cliente o una carta fedeltà confermata. Conserviamo importi, articoli, scontrini e fatture fino a 10 anni per obblighi fiscali e commerciali (§ 147 AO, § 257 HGB, § 14b UStG).

Se ordini tramite una piattaforma come Wolt o Lieferando, è la piattaforma stessa a essere responsabile dei tuoi dati nel processo d'ordine. L'ordine (piatti, orario e, nella misura in cui la piattaforma li trasmette, nome, telefono e indirizzo di consegna) ci arriva tramite il servizio di interfaccia Mergeport (con sede nell'UE). Lo usiamo solo per preparare e consegnare l'ordine (art. 6, par. 1, lett. b GDPR). Rimuoviamo i dati di contatto dai dati grezzi memorizzati 30 giorni dopo la ricezione; importi e articoli vengono conservati come per qualsiasi ordine.

Dopo un ordine puoi scegliere di ricevere aggiornamenti sul suo avanzamento tramite notifica push. Se lo consenti nel browser, memorizziamo insieme all'ordine l'indirizzo push e le chiavi che il tuo browser crea a questo scopo. I messaggi passano attraverso il servizio push del produttore del tuo browser (ad es. Google, Apple, Mozilla o Microsoft), che può trovarsi al di fuori dell'UE. La base giuridica è il tuo consenso (art. 6, par. 1, lett. a GDPR, § 25, comma 1 TDDDG); lo revochi disattivando le notifiche nel browser. Eliminiamo l'indirizzo push non appena il servizio push lo dichiara non valido; in ogni caso lo cancelliamo dopo 12 mesi di inutilizzo.

Se crei un account cliente, memorizziamo il tuo indirizzo e-mail, nome, numero di telefono, gli indirizzi salvati e i tuoi ordini, così puoi ordinare più velocemente e ritrovare gli ordini precedenti (art. 6, par. 1, lett. b GDPR). L'accesso avviene tramite Supabase. Se accedi con Google o Facebook, il fornitore (Google Ireland Limited o Meta Platforms Ireland Limited) ci comunica il tuo nome, l'indirizzo e-mail e un identificativo; ciò che il fornitore stesso tratta è regolato dalla sua informativa sulla privacy. L'account esiste finché non lo elimini o ci chiedi di eliminarlo; dopodiché conserviamo i dati di ordini e scontrini solo entro i termini di legge.

Solo se al momento dell'ordine spunti la casella della carta fedeltà creiamo una carta fedeltà associata al tuo indirizzo e-mail e ti inviamo un'e-mail per confermarla. Memorizziamo l'indirizzo e-mail, i timbri raccolti con un riferimento a ciascun ordine, l'ora della conferma e gli eventuali buoni emessi. Lo scopo è gestire il programma timbri secondo le nostre condizioni di partecipazione (art. 6, par. 1, lett. b GDPR). La carta fedeltà esiste finché non ci chiedi di eliminarla; una carta che non ha ricevuto alcun timbro per 24 mesi viene cancellata automaticamente.

Per la newsletter ci serve il tuo indirizzo e-mail. Dopo l'iscrizione ti inviamo un'e-mail con un link di conferma (double opt-in); solo dopo ricevi le nostre e-mail. Memorizziamo il tuo indirizzo e-mail, la lingua, gli argomenti scelti, gli orari di iscrizione e conferma, l'identificativo del browser e un valore di controllo (hash) del tuo indirizzo IP, per poter dimostrare il tuo consenso. L'invio avviene tramite Amazon SES (Amazon Web Services, Francoforte, vedi sotto).

Selezione dei destinatari (segmenti): affinché non ogni messaggio arrivi a tutti, selezioniamo i destinatari anche in base alla lingua, agli argomenti scelti e al fatto che, e con quale frequenza, siano stati effettuati ordini con il tuo indirizzo e-mail (periodo, numero, tipo di ordine), a quanti timbri contiene la tua carta fedeltà e al fatto che tu appartenga a uno dei nostri clienti aziendali.

Tracciamento di aperture e clic: le nostre newsletter contengono un pixel di tracciamento invisibile e link reindirizzati tramite Amazon SES. Così sappiamo, per ogni destinatario, se e quando un messaggio è stato aperto e quale link è stato cliccato. In questo modo vediamo quali contenuti funzionano.

La base giuridica per newsletter, selezione e tracciamento è il tuo consenso (art. 6, par. 1, lett. a GDPR, § 7, comma 2, n. 2 UWG, § 25, comma 1 TDDDG). Puoi revocarlo in qualsiasi momento tramite il link di disiscrizione presente in ogni e-mail. Dopo la disiscrizione non inviamo più nulla ed eliminiamo il tuo indirizzo dopo 30 giorni. Per evitare che tu riceva di nuovo e-mail per errore, ad esempio con una nuova importazione, conserviamo in una lista di blocco solo un valore di controllo del tuo indirizzo. È generato con una chiave segreta (HMAC) e senza quella chiave non può essere ricondotto all'indirizzo; la base giuridica è il nostro legittimo interesse a rispettare il tuo no (art. 6, par. 1, lett. f GDPR). Lo stesso vale se ci chiedi di cancellare i tuoi dati. Solo una nuova iscrizione con il link di conferma rimuove il blocco. Conserviamo la prova del tuo consenso (momenti di iscrizione e di conferma) per 3 anni dopo la disiscrizione, per poter dimostrare il consenso (art. 6, par. 1, lett. c e f GDPR).

Per una prenotazione trattiamo il tuo nome, numero di telefono, indirizzo e-mail, data, ora, numero di persone e la tua nota, per riservare il tavolo e contattarti in caso di domande (art. 6, par. 1, lett. b GDPR). Inviamo la conferma via e-mail tramite Amazon SES. 12 mesi dopo la visita anonimizziamo nome, dati di contatto e note.

Per una richiesta di catering trattiamo il tuo nome, indirizzo e-mail, numero di telefono, occasione, data, numero di ospiti, desideri alimentari e dietetici e il tuo messaggio, per farti un preventivo ed eseguire l'ordine (art. 6, par. 1, lett. b GDPR). Per prevenire abusi memorizziamo un valore di controllo (hash) dell'indirizzo IP. Conservazione: preventivi e ordini entro i periodi di conservazione previsti dalla legge; le richieste che non portano a un ordine vengono cancellate dopo 6 mesi.

Se ci scrivi tramite il modulo di contatto o via e-mail, trattiamo il tuo nome, indirizzo e-mail e messaggio per risponderti (art. 6, par. 1, lett. b GDPR, per richieste generali lett. f). Il messaggio ci arriva tramite Amazon SES; per prevenire abusi memorizziamo solo un valore di controllo (hash) dell'indirizzo e-mail.

Puoi lasciare un feedback senza nome né indirizzo e-mail. Se li indichi, li usiamo per rispondere al tuo feedback (art. 6, par. 1, lett. f GDPR). Cancelliamo i feedback dopo 12 mesi.

Nella chat del sito trattiamo il tuo nome, il tuo indirizzo e-mail (se indicato), i tuoi messaggi, la lingua e l'identificativo del browser, per rispondere alle tue domande (art. 6, par. 1, lett. b GDPR, per domande generali lett. f).

I messaggi vocali sono facoltativi. Te ne informiamo prima della prima registrazione; avviando la registrazione acconsenti a che memorizziamo e ascoltiamo la registrazione, cioè la tua voce (art. 6, par. 1, lett. a GDPR). Puoi revocare il consenso in qualsiasi momento; basta dircelo in chat o via e-mail.

Eliminiamo la cronologia della chat e i messaggi vocali 90 giorni dopo l'ultimo messaggio. I dati sono archiviati su Supabase.

Se ti candidi da noi, trattiamo i dati del modulo (nome, e-mail, telefono, messaggio, area e orari preferiti) e i documenti che carichi, per decidere sulla tua candidatura (§ 26 BDSG, art. 6, par. 1, lett. b e art. 88 GDPR). Per prevenire abusi memorizziamo l'identificativo del browser e un valore di controllo (hash) dell'indirizzo IP. Vi hanno accesso solo le persone che decidono sull'assunzione. Eliminiamo la candidatura e i documenti 6 mesi dopo la nostra decisione (offerta o rifiuto) oppure, se non abbiamo deciso, 6 mesi dopo il suo arrivo, per poterci difendere da eventuali pretese ai sensi della legge tedesca generale sulla parità di trattamento (AGG). Se vieni assunto, trasferiamo i dati necessari nel tuo fascicolo personale.

Per la candidatura non ci serve alcun consenso. Solo se nel modulo spunti la casella facoltativa “talent pool”, con il tuo consenso (art. 6, par. 1, lett. a GDPR) prendiamo in considerazione la tua candidatura anche per altre posizioni o per posizioni future. Puoi revocare questo consenso in qualsiasi momento con effetto per il futuro; basta un breve messaggio. Con questo consenso conserviamo la tua candidatura fino a 2 anni dal suo arrivo; senza di esso vale il periodo di 6 mesi.

Clienti aziendali: per un account aziendale trattiamo i dati dell'azienda e nome, e-mail e numero di telefono delle persone di contatto, per eseguire e fatturare il contratto (art. 6, par. 1, lett. b GDPR).

Dipendenti: affinché i dipendenti di un cliente aziendale possano ordinare a carico dell'azienda o con un contributo aziendale, riceviamo dal loro datore di lavoro o direttamente da loro nome, indirizzo e-mail, eventualmente numero di telefono, numero di matricola e reparto. Usiamo questi dati per assegnare gli ordini, per stampare il numero di matricola sui biglietti per la cucina e sugli scontrini e per fornire al datore di lavoro ordini ed estratti conto (art. 6, par. 1, lett. b e f GDPR). Il cliente aziendale e noi siamo titolari del trattamento autonomi. Tutti i dettagli sono nell'informativa sulla privacy per i dipendenti dei clienti aziendali.

Sul sito mostriamo recensioni che gli ospiti hanno pubblicato su Google: nome o nome visualizzato, stelle, testo e data. Le recuperiamo tramite l'interfaccia di Google e le memorizziamo per presentare il nostro ristorante con voci reali (art. 6, par. 1, lett. f GDPR). Se non vuoi più che la tua recensione appaia qui, scrivici; la recensione stessa la gestisci su Google, nel tuo account Google.

Inviamo conferme d'ordine, e-mail di prenotazione e della carta fedeltà, newsletter e risposte ai moduli tramite Amazon Simple Email Service (Amazon SES) di Amazon Web Services EMEA SARL, 38 Avenue John F. Kennedy, L-1855 Lussemburgo, in qualità di nostro responsabile del trattamento (art. 28 GDPR). AWS tratta l'indirizzo e-mail, il contenuto e le informazioni di consegna, compreso se una newsletter è stata aperta e quale link è stato cliccato. Sede dei server: Francoforte sul Meno, Germania (regione AWS eu-central-1). Non si possono escludere trasferimenti verso Amazon Web Services, Inc. negli USA; sono coperti dall'EU-U.S. Data Privacy Framework, ai sensi del quale Amazon Web Services, Inc. è certificata, e dalle clausole contrattuali tipo dell'UE contenute nell'addendum sul trattamento dei dati di AWS. I caratteri delle nostre e-mail vengono caricati dal nostro server, non da Google.

Forniamo tutti i caratteri di questo sito e delle nostre e-mail dal nostro server. Non viene stabilita alcuna connessione con Google Fonts o con altri fornitori di caratteri.

Non incorporiamo alcuna mappa; rimandiamo a Google Maps con un link. Solo quando clicchi su un tale link lasci il nostro sito, e Google tratta quindi i tuoi dati sotto la propria responsabilità: policies.google.com/privacy.

Se elimini qualcosa prima o ce lo chiedi, lo eliminiamo prima, a meno che non lo impedisca un obbligo legale di conservazione.

Alcuni dei nostri fornitori di servizi hanno sede negli USA o possono trasferirvi dati. Ciò avviene solo su una delle seguenti basi: la decisione di adeguatezza della Commissione europea sull'EU-U.S. Data Privacy Framework (DPF) per le aziende certificate, oppure le clausole contrattuali tipo dell'UE (art. 46, par. 2, lett. c GDPR).

fiskaly (TSE) tratta i dati nell'UE.

Hai diritto di accesso (art. 15 GDPR), rettifica (art. 16), cancellazione (art. 17), limitazione del trattamento (art. 18) e portabilità dei dati (art. 20). Puoi revocare un consenso in qualsiasi momento con effetto per il futuro (art. 7, par. 3); il trattamento effettuato fino alla revoca resta lecito.

Diritto di opposizione (art. 21 GDPR): quando trattiamo dati sulla base del nostro legittimo interesse (art. 6, par. 1, lett. f), puoi opporti in qualsiasi momento per motivi connessi alla tua situazione particolare. Puoi opporti alla pubblicità via e-mail in qualsiasi momento senza indicarne i motivi.

Scrivi semplicemente a info@alsafi-heidelberg.de. Puoi anche presentare reclamo a un'autorità di controllo per la protezione dei dati (art. 77 GDPR), ad esempio quella competente per noi: Der Landesbeauftragte für den Datenschutz und die Informationsfreiheit Baden-Württemberg (Garante per la protezione dei dati e la libertà di informazione del Baden-Württemberg), Lautenschlagerstraße 20, 70173 Stuttgart, Germania.