Informativa sul trattamento dei dati personali
Versione 2026.08 — in vigore dal 1° settembre 2026
Informativa resa ai sensi degli artt. 13 e 14 del Regolamento (UE) 2016/679 (GDPR).
1. Titolare del trattamento
Markai Studio di Carlos Ortega Via Marco Emilio Lepido 2, 42122 Reggio Emilia (RE), Italia P.IVA 03133020358 E-mail: privacy@tavoloai.it PEC: carlos@ionospec.it
Il Titolare non ha nominato un Responsabile della protezione dei dati (DPO), non ricorrendo i presupposti di cui all'art. 37 GDPR.
2. A chi si rivolge questa informativa
La presente informativa riguarda:
- i Clienti del servizio TavoloAI, ossia i ristoratori e gli esercenti che sottoscrivono il servizio, e le persone fisiche che operano per loro conto;
- i visitatori del sito tavoloai.it;
- i Consumatori finali che consultano un menù digitale pubblicato tramite TavoloAI, limitatamente ai dati tecnici di navigazione.
Per i dati che il Cliente immette nel servizio riferiti a terzi — ad esempio i dati dei propri collaboratori — il Cliente agisce in qualità di titolare del trattamento e Markai Studio in qualità di responsabile ai sensi dell'art. 28 GDPR.
3. Dati trattati, finalità e basi giuridiche
3.1 Dati di registrazione e gestione dell'account
Dati: nome, cognome, denominazione dell'esercizio, indirizzo e-mail, password in forma cifrata, eventuale immagine del profilo, identificativo dell'account Google in caso di accesso tramite tale servizio. Finalità: creazione e gestione dell'account, autenticazione, erogazione del servizio, assistenza. Base giuridica: esecuzione del contratto — art. 6, par. 1, lett. b) GDPR.
3.2 Dati di fatturazione
Dati: ragione sociale, indirizzo, partita IVA, codice fiscale, codice destinatario, PEC, dati relativi alle transazioni. Finalità: fatturazione, adempimenti fiscali e contabili. Base giuridica: esecuzione del contratto e adempimento di obblighi di legge — art. 6, par. 1, lett. b) e c) GDPR.
3.3 Contenuti immessi nel servizio
Dati: denominazioni e descrizioni dei piatti, ingredienti, allergeni, prezzi, immagini, logo, informazioni sull'esercizio, ed eventuali dati personali che il Cliente scelga di immettere negli strumenti organizzativi. Finalità: erogazione delle funzionalità del servizio e pubblicazione del menù digitale. Base giuridica: esecuzione del contratto — art. 6, par. 1, lett. b) GDPR.
3.4 Contenuti sottoposti alle funzioni di intelligenza artificiale
Dati: testi immessi, richieste rivolte all'assistente, comandi vocali, immagini caricate. Finalità: erogazione delle funzionalità di generazione e modifica di testi e immagini richieste dal Cliente. Base giuridica: esecuzione del contratto — art. 6, par. 1, lett. b) GDPR. Precisazioni: tali contenuti non sono utilizzati per l'addestramento di modelli di intelligenza artificiale. I comandi vocali sono trattati esclusivamente ai fini della trascrizione in testo e non sono conservati oltre il tempo necessario a tale operazione. Il Cliente è invitato a non immettere dati personali non necessari nelle richieste rivolte all'assistente.
3.5 Dati tecnici e di navigazione
Dati: indirizzo IP, tipo di dispositivo e browser, pagine consultate, data e ora di accesso, log applicativi. Finalità: funzionamento e sicurezza della piattaforma, diagnostica, prevenzione di abusi. Base giuridica: legittimo interesse del Titolare alla sicurezza e alla continuità del servizio — art. 6, par. 1, lett. f) GDPR.
3.6 Dati statistici e di misurazione
Dati: dati di utilizzo aggregati raccolti tramite strumenti di analisi. Finalità: misurazione dell'utilizzo e miglioramento del servizio. Base giuridica: consenso — art. 6, par. 1, lett. a) GDPR, prestato tramite il banner cookie e revocabile in qualsiasi momento.
3.7 Comunicazioni di servizio e commerciali
Dati: indirizzo e-mail. Finalità: comunicazioni relative al funzionamento del servizio, alle modifiche contrattuali e alla fatturazione (necessarie e non rinunciabili finché il rapporto è in essere); comunicazioni promozionali su servizi analoghi. Base giuridica: esecuzione del contratto per le comunicazioni di servizio; legittimo interesse ovvero consenso per quelle promozionali, con possibilità di opposizione in ogni momento.
4. Natura del conferimento
Il conferimento dei dati di cui ai punti 3.1, 3.2 e 3.3 è necessario per la conclusione e l'esecuzione del contratto: in mancanza non è possibile erogare il servizio. Il conferimento dei dati di cui al punto 3.6 è facoltativo.
5. Responsabili del trattamento e destinatari
Per erogare il servizio il Titolare si avvale dei seguenti fornitori, che operano in qualità di responsabili del trattamento ai sensi dell'art. 28 GDPR:
| Fornitore | Entità giuridica | Finalità | Ubicazione |
|---|---|---|---|
| OpenAI | OpenAI Ireland Ltd. (Irlanda) | Generazione e modifica di testi e immagini, trascrizione vocale | UE, con possibili trasferimenti extra-UE |
| Supabase | Supabase Pte. Ltd (Singapore) | Banca dati e archiviazione dei file | Infrastruttura nell'UE (eu-west-1); entità con sede a Singapore |
| Vercel | Vercel Inc. (Stati Uniti) | Hosting ed erogazione dell'applicazione | Rete distribuita |
| Stripe | Stripe Payments Europe, Ltd. (Irlanda) | Gestione dei pagamenti | UE, con trasferimenti infragruppo |
Ai dati possono inoltre accedere, nei limiti delle rispettive competenze, il consulente fiscale del Titolare e, ove richiesto dalla legge, le autorità competenti.
L'elenco aggiornato dei fornitori è disponibile su richiesta all'indirizzo indicato al punto 1.
6. Trasferimenti verso Paesi terzi
Alcuni dei fornitori indicati al punto 5 hanno sede o trattano dati al di fuori dello Spazio Economico Europeo, in particolare negli Stati Uniti.
In tali casi il trasferimento avviene sulla base delle clausole contrattuali tipo adottate dalla Commissione europea ai sensi dell'art. 46, par. 2, lett. c) GDPR, ovvero di altro strumento idoneo previsto dal Capo V del Regolamento, ivi compresa, ove applicabile, una decisione di adeguatezza ai sensi dell'art. 45 GDPR.
Copia delle garanzie adottate può essere richiesta all'indirizzo indicato al punto 1.
7. Periodo di conservazione
| Categoria | Conservazione |
|---|---|
| Dati dell'account e contenuti | Per tutta la durata del rapporto contrattuale e per i novanta giorni successivi alla cessazione |
| Dati di fatturazione e documenti contabili | Dieci anni dalla registrazione, ai sensi dell'art. 2220 c.c. e della normativa fiscale |
| Log tecnici e di sicurezza | Fino a dodici mesi |
| Dati statistici | Secondo quanto indicato nella cookie policy |
| Comandi vocali | Solo per il tempo tecnico necessario alla trascrizione |
Decorsi tali termini i dati sono cancellati o resi anonimi in modo irreversibile.
8. Processi decisionali automatizzati
Il Titolare non effettua processi decisionali interamente automatizzati che producano effetti giuridici o incidano in modo analogo significativo sull'interessato ai sensi dell'art. 22 GDPR.
I sistemi di intelligenza artificiale integrati nel servizio producono contenuti che costituiscono una proposta e che richiedono in ogni caso la conferma del Cliente prima della pubblicazione.
9. Trasparenza sull'uso dell'intelligenza artificiale
In conformità all'art. 50 del Regolamento (UE) 2024/1689, il Titolare informa che:
- l'assistente presente nel pannello di gestione è un sistema di intelligenza artificiale e non un operatore umano;
- le immagini generate o modificate dal servizio recano una marcatura in formato leggibile dalla macchina che ne segnala l'origine artificiale;
- il servizio conserva traccia interna dei contenuti testuali generati automaticamente, così da poterne ricostruire l'origine.
10. Diritti dell'interessato
L'interessato può in qualsiasi momento esercitare i diritti previsti dagli artt. 15-22 GDPR:
- accesso ai propri dati;
- rettifica dei dati inesatti;
- cancellazione, nei casi previsti;
- limitazione del trattamento;
- portabilità dei dati;
- opposizione al trattamento fondato sul legittimo interesse;
- revoca del consenso, senza pregiudizio della liceità del trattamento effettuato prima della revoca.
Le richieste vanno inviate all'indirizzo indicato al punto 1. Il Titolare risponde entro un mese, prorogabile di due mesi in caso di particolare complessità.
L'interessato ha inoltre diritto di proporre reclamo al Garante per la protezione dei dati personali (Piazza Venezia 11, 00187 Roma — www.garanteprivacy.it) o all'autorità di controllo dello Stato membro di residenza.
11. Misure di sicurezza
Il Titolare adotta misure tecniche e organizzative adeguate ai sensi dell'art. 32 GDPR, tra cui: cifratura delle comunicazioni in transito, cifratura delle password, controllo degli accessi basato su ruoli, isolamento dei dati per singolo cliente a livello di banca dati, registrazione degli accessi, backup periodici e selezione di fornitori che garantiscono misure di sicurezza adeguate.
12. Cookie
L'utilizzo dei cookie e delle tecnologie analoghe è descritto nella Cookie Policy, disponibile sul sito.
13. Modifiche
Il Titolare può aggiornare la presente informativa. Le modifiche sostanziali sono comunicate agli interessati con ragionevole preavviso all'indirizzo di posta elettronica associato all'account. Ogni versione è identificata da un numero e da una data di entrata in vigore.
Markai Studio di Carlos Ortega — P.IVA 03133020358 Versione 2026.08 — in vigore dal 1° settembre 2026