Ultimo aggiornamento: 27 ottobre 2026
La presente informativa descrive come l'applicazione Gestai (disponibile su Google Play e sul web all'indirizzo app.gestai.me) raccoglie, utilizza e protegge i dati personali degli utenti, ai sensi del Regolamento (UE) 2016/679 ("GDPR").
Titolare del trattamento
Fabio Scaglione — P. IVA 03183120843 — sede: Contrada Gulfi snc, 92024 Canicattì (AG), Italia — contatto per la privacy: [email protected]
Natura del servizio
Gestai è un gestionale B2B per aziende, anche del settore ristorazione e catering. Questa informativa riguarda la gestione degli account, i contatti commerciali, l'assistenza e la sicurezza del servizio.
Per i dati di clienti, ospiti, collaboratori e fornitori inseriti dall'azienda, l'azienda decide finalità e modalità di utilizzo ed è il titolare del trattamento; Gestai tratta tali dati per suo conto, secondo le istruzioni e l'accordo sul trattamento dei dati. L'azienda deve fornire la propria informativa agli interessati. Le richieste relative a questi dati vanno rivolte all'azienda; Gestai presta assistenza nella loro gestione.
Dati raccolti
- Dati dell'account: nome, cognome, indirizzo email, nome utente, numero di telefono se fornito e credenziali. La password è conservata come hash, non in chiaro.
- Contenuti caricati dall'utente: foto e video caricati volontariamente nell'app (es. foto profilo, foto di piatti, prodotti o attività) e altri file allegati.
- Dati operativi e tecnici: registrazioni delle attività svolte nell'app, accessi, indirizzo IP e informazioni tecniche necessarie a far funzionare e proteggere il servizio. Le segnalazioni di problemi possono includere descrizione e log tecnici pertinenti.
- Contatti e richieste: nome, azienda, email, telefono se fornito e messaggio inviato per richiedere una demo, assistenza o l'esercizio di un diritto.
- Accettazione dei contratti: azienda, identità e email del referente autorizzato, data, versione e copia dei documenti accettati e dichiarazioni rese. Questi dati documentano il rapporto contrattuale.
- Coordinate geografiche: la funzione facoltativa di acquisizione della posizione, avviata dall'utente e soggetta al permesso del dispositivo, può inserire le coordinate nell'anagrafica del cliente. Non si tratta di un tracciamento continuo degli spostamenti.
- Assistente e voce: messaggi, risposte, feedback e dati aziendali necessari alla richiesta; se si usa la funzione vocale, anche l'audio inviato per ottenere la trascrizione. Foto e documenti possono essere elaborati quando si usano le relative funzioni di riconoscimento.
- Notifiche e canali collegati: identificativi di dispositivo e di recapito necessari alle notifiche, oppure identificativi e messaggi dei canali Telegram o WhatsApp collegati dall'utente o dall'azienda.
Nell'app non è presente pubblicità e i dati inseriti nel servizio non sono usati per la profilazione pubblicitaria. Inserisci soltanto dati necessari al lavoro; in particolare, limita le informazioni sulla salute degli ospiti alle esigenze effettive del servizio.
Finalità e base giuridica
- Gestione del servizio, dell'account, dell'assistenza e delle comunicazioni operative: esecuzione del contratto per chi ne è parte; legittimo interesse a erogare il servizio all'azienda per i suoi utenti autorizzati.
- Risposta alle richieste di demo e di informazioni: misure precontrattuali richieste dall'interessato o legittimo interesse a rispondere al referente aziendale.
- Sicurezza, prevenzione degli abusi e tracciamento delle operazioni: legittimo interesse a proteggere il servizio e le aziende utilizzatrici.
- Adempimenti fiscali e gestione dei diritti in materia di dati personali: obbligo legale.
I dati necessari alla gestione dell'account e all'autenticazione sono richiesti per accedere al servizio. L'uso di voce, posizione e canali di messaggistica è facoltativo. Il permesso del dispositivo abilita la funzione tecnica e non sostituisce gli obblighi privacy dell'azienda sui dati che inserisce.
Richieste di contatto tramite inserzioni Meta
Se compili un modulo di contatto in una nostra inserzione su Facebook o Instagram, riceviamo i dati che inserisci: nome e cognome, telefono, email, nome dell'azienda e le risposte alle domande del modulo. Il titolare è indicato sopra.
- Finalità: ricontattarti per rispondere alla tua richiesta e organizzare una demo di Gestai.
- Base giuridica: misure precontrattuali adottate su tua richiesta (art. 6, par. 1, lett. b GDPR).
- Conservazione: fino a 12 mesi dalla richiesta; se diventi cliente, i dati passano al rapporto contrattuale.
- Destinatari: i dati non sono ceduti a terzi. Il modulo è fornito da Meta Platforms Ireland Limited, che tratta i dati raccolti tramite le sue piattaforme secondo la propria informativa. Se scegli di scriverci su WhatsApp dalla schermata finale, la conversazione avviene con l'app WhatsApp Business.
Puoi chiedere in qualsiasi momento accesso, rettifica o cancellazione di questi dati scrivendo al contatto privacy indicato sopra.
Dati degli ospiti e allergie
Le note associate a un ospite possono contenere informazioni sulla salute, come allergie o intolleranze. L'azienda deve individuare un presupposto valido ai sensi dell'art. 9 GDPR, fornire l'informativa e, quando necessario, raccogliere e documentare il consenso esplicito. Deve inoltre assegnare gli accessi solo alle persone che ne hanno necessità e limitare diffusione, stampe e conservazione delle note. Chi riceve un link per compilare i dati dell'evento deve usarlo solo per tale finalità e custodirlo con attenzione.
Condivisione dei dati
I dati non vengono venduti né condivisi con terze parti per finalità di marketing. Per erogare il servizio ci avvaliamo dei seguenti fornitori, nei limiti delle funzioni configurate e utilizzate:
- Hosting dell'applicazione e del database: attualmente Hetzner Online GmbH, con server in Germania (Unione europea).
- Rete, protezione e archiviazione dei file: Cloudflare, che instrada e protegge le connessioni all'app, fornisce la verifica anti-abuso mostrata al login dopo alcuni tentativi errati (Turnstile) e conserva immagini, file e backup cifrati in archivi con giurisdizione UE.
- Assistente, trascrizione e riconoscimento: OpenAI, per elaborare le richieste e i contenuti necessari alla funzione utilizzata.
- Email di servizio: Resend, per verifica dell'account, assistenza e notifiche.
- Posta commerciale: Aruba S.p.A. (Italia), per la corrispondenza con aziende interessate e clienti.
- Notifiche push: Google Firebase Cloud Messaging (Google LLC), quando configurato; riceve token e identificativi del dispositivo, contenuto della notifica e dati tecnici necessari.
- Diagnostica: Sentry (Functional Software, Inc.), quando attivato, per errori e metadati tecnici, riducendo i dati personali trasmessi. I dati sono archiviati nella regione UE; restano possibili trattamenti internazionali secondo il DPA.
- WhatsApp: il canale opzionale usa WhatsApp Business Platform/Meta Cloud API. Per il servizio nel SEE la controparte WhatsApp è WhatsApp Ireland Limited; per la Cloud API fornita al gestore italiano è Meta Platforms Ireland Limited. Il trattamento per conto dell'azienda segue i termini Cloud API e le relative condizioni sul trattamento; le finalità autonome della piattaforma, comprese sicurezza e integrità, rimangono distinte.
Telegram è un servizio esterno distinto: Telegram Messenger Inc. gestisce la propria piattaforma come titolare autonomo secondo la sua informativa. Se scegli di collegare il bot Gestia, Telegram tratta profilo, identificativi, messaggi e allegati secondo le proprie condizioni. I dati acquisiti dal bot per l'azienda rimangono soggetti alle istruzioni dell'azienda. Il collegamento è facoltativo; evita di inviare sui canali di messaggistica dati sulla salute o altri contenuti particolarmente delicati.
L'ubicazione europea dell'applicazione, del database e dei file non implica che tutti i servizi accessori elaborino i dati esclusivamente nello Spazio economico europeo. La rete Cloudflare, Resend, OpenAI, Google, Sentry e i canali esterni possono comportare trattamenti internazionali; non è promessa una residenza esclusivamente UE per questi servizi. I fornitori possono cambiare nel tempo: l'elenco aggiornato è riportato in questa pagina.
Per i trasferimenti affidati ai nostri responsabili e subresponsabili utilizziamo decisioni di adeguatezza applicabili oppure le clausole contrattuali tipo della Commissione europea, con il modulo pertinente e le eventuali misure supplementari necessarie. Un eventuale ricorso al Data Privacy Framework richiede che sia valido e applicabile al destinatario. Puoi ottenere informazioni sui destinatari e copia delle garanzie pertinenti scrivendo al contatto privacy. Per Telegram e per le finalità autonome delle altre piattaforme si applicano le loro informative e garanzie.
L'assistente è un sistema di intelligenza artificiale e può produrre risposte inesatte. L'azienda verifica le informazioni prima di usarle, in particolare per allergeni, sicurezza alimentare e decisioni operative.
Sicurezza
Tutte le comunicazioni tra l'app e i server avvengono su connessioni cifrate (HTTPS/TLS). L'accesso ai dati è protetto da autenticazione, i dati di ciascuna azienda sono isolati a livello di database e i backup sono cifrati.
Conservazione
I dati dell'account sono conservati durante l'utilizzo del servizio; la cancellazione segue la procedura indicata nella pagina di eliminazione dell'account, fatti salvi obblighi di legge e dati che l'azienda deve legittimamente mantenere.
- Il registro delle operazioni aziendali è attualmente soggetto a pulizia dopo 365 giorni.
- Le conversazioni dell'assistente inattive da oltre 180 giorni vengono eliminate dalla pulizia periodica, salvo conversazioni con feedback o con operazioni ancora aperte. Queste eccezioni richiedono una gestione specifica e possono essere oggetto di richiesta di cancellazione.
- L'audio inviato alla funzione di trascrizione viene elaborato per ottenere il testo; quella funzione non lo archivia come allegato nel gestionale. Il testo può entrare nella conversazione. La conservazione presso i fornitori dipende dalle condizioni applicabili al servizio utilizzato.
- I backup del database sono cifrati e conservati secondo cicli di rotazione: le copie dei dati rimossi escono dai backup con la normale rotazione, di regola entro 90 giorni. Restano isolate dall'uso ordinario; in caso di ripristino vengono riapplicate le cancellazioni documentate.
- Le copie tecniche presso i fornitori (email, notifiche, assistente, diagnostica, canali di messaggistica) seguono le condizioni di conservazione dei rispettivi servizi.
- Le prove dell'accettazione dei contratti sono conservate con accesso riservato per documentare il rapporto e tutelare i diritti nei termini di prescrizione applicabili, tenendo conto di eventuali controversie in corso. Questo non comporta la conservazione dell'intero archivio aziendale.
- I dati delle richieste di contatto e assistenza sono utilizzati per gestire il rapporto; quelli delle richieste privacy anche per documentarne la lavorazione. Per i dati caricati dall'azienda, durata e cancellazione dipendono dalle sue istruzioni e dagli obblighi applicabili.
Il passaggio dell'intero servizio aziendale, l'esportazione e la chiusura sono descritti nella pagina portabilità e passaggio dei dati. Quella procedura è distinta dall'esercizio dei diritti individuali previsti dal GDPR.
Memorizzazione sul dispositivo
L'app usa memoria locale e strumenti tecnici per autenticazione, preferenze e funzionamento. Queste funzioni non sono destinate alla profilazione pubblicitaria.
Diritti dell'interessato
Ai sensi degli artt. 15-22 GDPR puoi richiedere accesso, rettifica, cancellazione, limitazione, portabilità dei tuoi dati e opporti al trattamento, scrivendo a [email protected]. Hai inoltre diritto di proporre reclamo al Garante per la protezione dei dati personali.
Eliminazione dell'account
Puoi richiedere in qualsiasi momento l'eliminazione del tuo account e dei dati associati seguendo le istruzioni alla pagina app.gestai.me/account-deletion.html.
Modifiche
Eventuali modifiche a questa informativa saranno pubblicate su questa pagina con aggiornamento della data.