Privacy policy
Informativa ai sensi dell'art. 13 del Regolamento UE 2016/679 (GDPR). Ultimo aggiornamento: 3 giugno 2026.
01Titolare del trattamento
Il titolare del trattamento dei dati personali raccolti tramite winebase è:
[DA COMPLETARE — Ragione sociale]
P.IVA: [DA COMPLETARE]
Sede legale: [DA COMPLETARE] — Alba (CN), Piemonte, Italia
Email privacy: privacy@winebase.app
Non è obbligatoria la nomina di un DPO (Data Protection Officer) per organizzazioni di questa dimensione, ma puoi contattarci per qualsiasi questione relativa ai tuoi dati all'indirizzo sopra.
02Dati trattati, finalità e basi giuridiche
La tabella seguente riassume ogni categoria di dati personali che trattiamo, perché e su quale base giuridica.
| Dati | Finalità | Base giuridica |
|---|---|---|
| Email, nome ristorante, comune | Creazione account, invio magic link, setup spazio cantina | Art. 6(1)(b) — contratto |
| Ruolo, stima referenze (onboarding) | Personalizzazione esperienza (facoltativi) | Art. 6(1)(b) — contratto |
| Dati cantina (vini, prezzi, note, vendite) | Gestione cantina, carta digitale, KPI. Dati aziendali, non personali nel senso GDPR — ma tutelati come patrimonio dell'utente. | Art. 6(1)(b) — contratto |
| Foto bolla di consegna | Riconoscimento automatico articoli via OCR (Anthropic Claude). Trattamento in tempo reale: l'immagine non viene conservata (vedi § 3). | Art. 6(1)(b) — contratto |
| Dati di vendita (aggregati, anonimi) | Statistiche di settore per i produttori vitivinicoli. Il ristorante non è mai identificato individualmente (vedi § 8). | Art. 6(1)(f) — legittimo interesse |
| Cookie di sessione Supabase | Autenticazione passwordless (magic link). Tecnici e necessari. | Art. 6(1)(b) — contratto |
| Record di accettazione termini | Prova documentale dell'accettazione della policy al momento della registrazione (versione + timestamp). | Art. 6(1)(c) — obbligo legale |
03Tempi di conservazione
- Foto bolle di consegna: Nessuna conservazione. L'immagine viene compressa nel browser, inviata ad Anthropic per l'elaborazione OCR, e immediatamente scartata. Non è salvata su alcun database o storage persistente. Durata effettiva: il tempo della singola richiesta HTTP (secondi).
- Email, nome ristorante, comune, dati onboarding: Per tutta la durata dell'account attivo. Alla cancellazione dell'account: entro 30 giorni, salvo obblighi di conservazione legale.
- Dati cantina (vini, vendite, note): Per tutta la durata dell'account. Esportabili in qualsiasi momento. Cancellati entro 30 giorni dalla chiusura account.
- Pending signups (dati pre-login): Eliminati automaticamente al completamento del primo accesso.
- Record di consenso (tenant_consents): Conservato per tutta la durata dell'account e per il periodo di prescrizione degli obblighi di accountability GDPR (5 anni), come prova documentale.
- Cookie di sessione: Scadono alla chiusura del browser o entro 7 giorni (configurazione Supabase Auth).
- Log di sistema (Vercel, Supabase): Secondo le policy dei rispettivi provider (tipicamente 30–90 giorni). Non contengono dati personali oltre all'IP di origine delle richieste.
04Responsabili esterni del trattamento
I seguenti fornitori tecnici trattano dati personali per nostro conto ai sensi dell'art. 28 GDPR. Ognuno è nominato responsabile del trattamento con contratto scritto (DPA o clausole contrattuali standard).
Supabase Inc.
San Francisco, CA — USA
Database (dati account, cantina, vendite), autenticazione (Auth / magic link), storage.
Infrastruttura AWS. Regione: [DA VERIFICARE in Supabase Dashboard → Settings → General. Se eu-central-1 (Frankfurt), i dati sono in UE. Se us-east-1, vedi §5]
Anthropic PBC
San Francisco, CA — USA
Elaborazione OCR delle foto bolle e generazione note degustazione tramite il modello Claude. Anthropic processa l'immagine e il testo solo per rispondere alla richiesta: non addestra modelli su dati utente in via predefinita (vedi Usage Policy Anthropic).
Vercel Inc.
San Francisco, CA — USA
Hosting dell'applicazione web (winebase.app). Le server functions girano in [DA VERIFICARE in Vercel Dashboard → Settings → Functions. Di default us-east-1; configurabile su eu-central-1].
Supabase Auth (email magic link)
Tramite AWS SES
Invio delle email con magic link per l'autenticazione. Il tuo indirizzo email viene passato ad AWS SES per la consegna del messaggio.
05Trasferimenti extra-UE
I dati possono essere trasferiti e trattati negli Stati Uniti d'America da Supabase, Anthropic e Vercel. Tutti e tre i provider garantiscono il trasferimento tramite Clausole Contrattuali Standard (SCC) approvate dalla Commissione Europea ai sensi dell'art. 46 GDPR.
Per ridurre l'esposizione:
- Foto bolle: non vengono conservate — il trasferimento verso Anthropic (USA) è limitato al tempo della singola elaborazione OCR (secondi) e non lascia traccia persistente.
- Supabase: se il progetto è in regione eu-central-1 (Frankfurt), i dati a riposo rimangono in UE. Verifica e, se necessario, migra il progetto alla regione europea.
Hai il diritto di ottenere una copia delle SCC applicabili scrivendo a privacy@winebase.app.
06Diritti dell'interessato
Ai sensi degli artt. 15–22 del GDPR hai i seguenti diritti, esercitabili in qualsiasi momento scrivendo a privacy@winebase.app. Risponderemo entro 30 giorni (prorogabili di 60 in casi complessi, con avviso).
Accesso (art. 15)
Sapere quali dati trattiamo su di te e ottenerne una copia.
Rettifica (art. 16)
Correggere dati inesatti o incompleti.
Cancellazione (art. 17)
Chiedere la rimozione dei tuoi dati («diritto all'oblio»), salvo obblighi di legge.
Portabilità (art. 20)
Ricevere i tuoi dati in formato strutturato (JSON/CSV). Disponibile anche direttamente da Impostazioni → Esporta.
Limitazione (art. 18)
Sospendere il trattamento mentre è in corso una contestazione.
Opposizione (art. 21)
Opporti al trattamento basato su legittimo interesse (es. statistiche per produttori). Esercitabile dal toggle in Impostazioni → Condivisione dati.
Revoca consenso (art. 7(3))
Dove il trattamento si basa sul consenso, revocarlo senza pregiudizio per il trattamento già avvenuto.
Reclamo (art. 77)
Proporre reclamo al Garante Privacy italiano.
Autorità di controllo competente: Garante per la protezione dei dati personali (Italia).
08Statistiche per i produttori vitivinicoli
Una delle funzioni previste da winebase è fornire ai produttori vitivinicoli statistiche aggregate sui movimenti dei loro vini nelle cantine dei ristoranti aderenti. Questa funzionalità costituisce parte del modello di valore della piattaforma — anche in ragione dell'accesso senza costo per i ristoranti.
Cosa vedono i produttori: dati aggregati per denominazione (es. “Barolo DOCG: 42 bottiglie vendute in 8 ristoranti nella zona di Alba in maggio 2026”). Il nome del tuo ristorante non viene mai comunicato individualmente ai produttori senza un ulteriore consenso esplicito.
Base giuridica: legittimo interesse (art. 6(1)(f) GDPR) — vedi valutazione in § 2.
Come esercitare il diritto di opposizione: vai in Impostazioni → Condivisione dati e disattiva il toggle. La disattivazione è immediata e permanente fino a eventuale riattivazione. Puoi anche scrivere a privacy@winebase.app.
09Portafoglio clienti finali (non ancora attivo)
⚠ Funzionalità non ancora attiva
In una fase futura winebase prevede di offrire ai ristoranti uno strumento per raccogliere e gestire i dati dei propri clienti finali (es. preferenze enologiche, storico ordinazioni). Quando questa funzionalità verrà attivata, questa sezione verrà aggiornata con:
- quali dati dei clienti finali vengono raccolti e per quale finalità;
- il ruolo di winebase (responsabile del trattamento per conto del ristorante) e quello del ristorante (titolare);
- la base giuridica (verosimilmente consenso esplicito del cliente finale);
- i diritti dei clienti finali e come esercitarli verso il ristorante e verso winebase.
I ristoranti che utilizzeranno questa funzionalità dovranno a loro volta fornire ai propri clienti un'informativa privacy completa ai sensi dell'art. 13 GDPR.
10Contatti e reclami
Per esercitare i tuoi diritti o per qualsiasi domanda su questa informativa:
- Email: privacy@winebase.app
- Indirizzo fisico: [DA COMPLETARE] — Alba (CN), Piemonte, Italia
Se ritieni che il trattamento dei tuoi dati violi il GDPR, puoi proporre reclamo al Garante per la protezione dei dati personali (Piazza Venezia 11, 00187 Roma).
Modifiche rilevanti a questa informativa verranno comunicate via email con almeno 15 giorni di anticipo agli utenti registrati.