Accordo sul trattamento dei dati

Accordo ai sensi dell'articolo 28 del Regolamento (UE) 2016/679 (GDPR) tra il cliente di HACCP Chiaro («il titolare») e Zerolab S.r.l. («il responsabile»). Fa parte delle Condizioni del servizio e si accetta all'iscrizione.

1. Oggetto

Il titolare usa HACCP Chiaro per tenere il registro di autocontrollo della propria attività alimentare. Per farlo, il responsabile tratta per conto del titolare i dati personali che vi sono inseriti, solo per fornire il servizio e secondo le istruzioni documentate del titolare, che sono queste condizioni e le scelte fatte nel portale. Il trattamento consiste in raccolta, conservazione, consultazione, estrazione, stampa e cancellazione dei dati su infrastruttura cloud, oltre alla lettura automatica dei documenti quando il titolare la usa.

Tra le istruzioni del titolare rientra il collegamento di uno studio con il codice: il responsabile dà allo studio la lettura e la stampa del registro delle sedi del titolare finché questi non lo scollega. Lo scollegamento è un'istruzione con effetto immediato.

2. Dati e persone interessate

• Addetti del titolare: nome e cognome, firma tracciata col dito (salvata solo come immagine, senza velocità o pressione del tratto: non è un dato biometrico), PIN (salvato solo in forma cifrata), registrazioni con data, ora e nome di chi le ha fatte, turni, telefoni collegati.
• Titolare, responsabili e consulente indicati dal titolare, compreso lo studio collegato con il codice: nomi, ruoli, email, recapiti scritti nei dati per le stampe, nome dei locali collegati.
• Fornitori del titolare: nomi e dati che compaiono su bolle e fatture fotografate o caricate.

Il servizio non è pensato per categorie particolari di dati (salute, ecc.): il titolare non ve le inserisce.

3. Durata

L'accordo dura quanto il contratto. Alla fine, i dati restano consultabili e scaricabili per 3 mesi e poi vengono cancellati, come al punto 9 delle Condizioni, salvo che la legge imponga al responsabile di conservarne una parte. Durante il contratto le foto delle pulizie si cancellano da sole dopo un anno (Condizioni, punto 9).

Il titolare può scaricare i dati in qualsiasi momento, anche nei 3 mesi finali (restituzione); a cancellazione avvenuta, su richiesta, il responsabile la conferma per iscritto.

4. Obblighi del responsabile

• tratta i dati solo su istruzione del titolare e lo avvisa se un'istruzione gli sembra contraria alla legge;
• fa accedere ai dati solo persone autorizzate e tenute alla riservatezza;
• adotta misure di sicurezza adeguate (art. 32 GDPR): connessioni cifrate, accessi nominali con password e PIN cifrati, registro che non si cancella né si sovrascrive, controlli di accesso sul database, server nell'Unione Europea, copie di sicurezza secondo il piano del fornitore;
• aiuta il titolare a rispondere alle richieste degli interessati e negli adempimenti degli artt. 32–36 GDPR (sicurezza, violazioni dei dati, eventuale valutazione d'impatto), per quanto il responsabile sa del trattamento;
• informa il titolare senza ingiustificato ritardo, e comunque entro 48 ore da quando ne viene a conoscenza, di ogni violazione dei dati che lo riguarda;
• mette a disposizione le informazioni necessarie a dimostrare il rispetto di questo accordo e consente verifiche, con preavviso ragionevole e a spese del titolare.

5. Sub-responsabili

Il titolare autorizza il responsabile ad avvalersi di questi sub-responsabili, vincolati agli stessi obblighi:

• Supabase Pte. Ltd. (Singapore; server in Irlanda su Amazon Web Services): database, accessi e file;
• Hostinger International Ltd. (Cipro): sito e posta elettronica;
• Anthropic Ireland Limited (Irlanda, con la capogruppo Anthropic PBC negli Stati Uniti): solo se il titolare usa la lettura con l'intelligenza artificiale, per le foto e i PDF di bolle, fatture ed etichette.

Per aggiungere o cambiare un sub-responsabile il responsabile avvisa il titolare per email almeno 30 giorni prima: il titolare può opporsi disdicendo prima del cambio, senza costi.

6. Trasferimenti fuori dall'Unione Europea

Quando i dati possono arrivare a Singapore (assistenza tecnica di Supabase) o negli Stati Uniti (lettura con l'intelligenza artificiale di Anthropic), il trasferimento avviene con le clausole contrattuali standard approvate dalla Commissione europea (art. 46 GDPR), contenute negli accordi sul trattamento dei dati sottoscritti con questi fornitori.

7. Obblighi del titolare

Il titolare garantisce di poter trattare i dati che inserisce, informa i propri addetti (il portale ne prepara un modello da stampare), risponde della correttezza dei dati inseriti e delle persone che autorizza, compreso lo studio collegato con il codice, che vincola alla riservatezza.

Versione del 13 ottobre 2026.