INFORMATIVA SUL TRATTAMENTO DEI DATI PERSONALI
ai sensi dell’articolo 13 del Regolamento (UE) 2016/679 (“Privacy Policy”)
Applicazione mobile di Baldi S.r.l. “[MYACADEMY]”

Questa informativa viene resa ai sensi del Regolamento (UE) 2016/679 (di seguito “Regolamento” o “GDPR”) e descrive le modalità di trattamento dei dati personali degli utenti che scaricano, installano e utilizzano l’applicazione mobile denominata “[MYACADEMY]” (di seguito anche “App”), resa disponibile da Baldi S.r.l. e destinata ai clienti business (esercizi della ristorazione, HoReCa e assimilati) del Titolare.

La presente informativa riguarda in via esclusiva il trattamento dei dati personali effettuato tramite l’App e i servizi connessi. Per il trattamento dei dati effettuato tramite i siti web del gruppo Baldi si rinvia alla relativa Privacy Policy pubblicata sul sito https://www.baldifood.it/privacy-policy.

In base al vigente Regolamento Europeo in materia di protezione dei dati personali n. 679/2016 (“GDPR”), la raccolta e il trattamento seguiranno sempre principi di liceità, correttezza e trasparenza.

Sebbene l’App sia destinata a utenti con Partita IVA che operano in qualità di professionisti o rappresentanti di imprese, la presente informativa disciplina il trattamento dei dati personali delle persone fisiche (titolari dell’impresa individuale, legali rappresentanti, soci, amministratori, dipendenti o collaboratori) che, nell’ambito dell’utilizzo dell’App, sono qualificabili come “interessati” ai sensi del GDPR in quanto persone fisiche identificate o identificabili.

L’utilizzo dell’App è riservato a soggetti maggiorenni. Il Titolare non tratta consapevolmente dati personali di minori di 18 anni attraverso l’App.

A. TITOLARE DEL TRATTAMENTO

Il Titolare del trattamento è Baldi S.r.l., in persona del legale rappresentante pro tempore, P.IVA: 02158380424, C.F.: 02158380424, con sede legale in Via della Barchetta n. 8 bis/ter, 60035 – Jesi (AN), e-mail info@baldifood.it (di seguito “Titolare”).

B. TIPOLOGIA DI DATI RACCOLTI, FINALITÀ, BASE GIURIDICA E TEMPI DI CONSERVAZIONE

Nell’ambito dell’utilizzo dell’App, il Titolare tratta le seguenti categorie di dati personali per le finalità di seguito specificate.

1. Dati di registrazione e autenticazione dell’utente

Per consentire all’utente di creare un account e accedere ai servizi dell’App, il Titolare raccoglie i seguenti dati conferiti direttamente dall’utente in fase di registrazione: nome, cognome, indirizzo e-mail, numero di cellulare, Partita IVA, nonché le credenziali di accesso (password impostata dall’utente a seguito di ricezione di password temporanea via e-mail).

Per gli utenti già censiti come clienti Baldi, la registrazione richiede altresì l’inserimento del codice cliente e di un codice monouso trasmessi dal Titolare tramite canali esterni all’App (e-mail o messaggistica).

Finalità: creazione e gestione dell’account utente, autenticazione, erogazione dei servizi dell’App, gestione del rapporto contrattuale con il cliente business e adempimento degli obblighi che ne derivano.

Conservazione: i dati sono conservati per tutta la durata del rapporto con l’utente/cliente e, successivamente, per il tempo necessario all’adempimento degli obblighi di legge (in particolare in materia fiscale, contabile e civilistica) e comunque per un periodo non superiore a 10 anni dalla cessazione del rapporto, salvi i più lunghi termini previsti da specifiche disposizioni di legge o necessari per la difesa in giudizio.

Base Giuridica: il trattamento è necessario all’esecuzione di un contratto di cui l’interessato è parte o all’esecuzione di misure precontrattuali adottate su sua richiesta (art. 6, par. 1, lett. b GDPR), nonché per l’adempimento di obblighi di legge cui è soggetto il Titolare (art. 6, par. 1, lett. c GDPR).

2. Censimento del locale (questionario e immagini)

Nell’ambito del flusso di onboarding, l’App richiede all’utente di completare un questionario relativo al locale gestito e di caricare fotografie del locale, della cucina e del menu. Tali contenuti possono incidentalmente contenere dati personali (ad esempio immagini di persone riconoscibili, elementi identificativi dell’attività).

Si raccomanda all’utente di non caricare immagini che ritraggono soggetti identificabili (clienti, dipendenti) senza aver raccolto la loro preventiva informativa e, ove necessario, il loro consenso.

Finalità: profilazione merceologica del locale e personalizzazione dell’offerta commerciale, erogazione di servizi di consulenza e suggerimento di prodotti coerenti con la tipologia di attività del cliente.

Conservazione: per tutta la durata del rapporto con il cliente e, successivamente, per 5 anni dalla cessazione del rapporto, in coerenza con il termine ordinario di prescrizione ex art. 2946 c.c..

Base Giuridica: esecuzione del contratto e delle misure precontrattuali richieste dall’interessato (art. 6, par. 1, lett. b GDPR) e legittimo interesse del Titolare a offrire servizi personalizzati e di valore per la propria clientela business (art. 6, par. 1, lett. f GDPR).

3. Funzionalità “Menu”: caricamento e analisi automatizzata tramite intelligenza artificiale

L’App consente all’utente di caricare fotografie del menu del proprio locale. Tali immagini sono elaborate tramite sistemi di intelligenza artificiale (AI) al fine di estrarre automaticamente l’elenco dei piatti, degli ingredienti, la distinta base e la corrispondenza con i prodotti del catalogo Baldi.

L’elaborazione è effettuata tramite il modello di intelligenza artificiale fornito da OpenAI, con sede negli Stati Uniti d’America, nell’ambito della piattaforma tecnologica fornita dal Responsabile del trattamento Nautes S.r.l. Le immagini caricate dall’utente sono archiviate su infrastruttura cloud Amazon S3 (AWS), region Irlanda, all’interno dello Spazio Economico Europeo. Il trasferimento dei dati verso gli Stati Uniti per l’elaborazione AI avviene sulla base delle Clausole Contrattuali Tipo approvate dalla Commissione europea ai sensi dell’art. 46, par. 2, lett. c) GDPR. Le immagini caricate e i dati derivanti dall’elaborazione non sono utilizzati per l’addestramento del modello AI, ma esclusivamente per l’erogazione del servizio descritto.

Finalità: fornitura del servizio di digitalizzazione e analisi del menu, generazione di suggerimenti di prodotti a catalogo coerenti con i piatti dell’utente, miglioramento dell’esperienza d’uso e personalizzazione dell’offerta commerciale.

Conservazione: le immagini caricate e i dati derivati dall’elaborazione AI sono conservati per tutta la durata del rapporto con l’utente/cliente e, successivamente, per 5 anni dalla cessazione del rapporto, in coerenza con il termine ordinario di prescrizione ex art. 2946 c.c..

Base Giuridica: esecuzione del contratto e delle misure precontrattuali richieste dall’interessato (art. 6, par. 1, lett. b GDPR) con riguardo alla funzione del servizio; legittimo interesse del Titolare all’ottimizzazione e all’affidabilità del servizio (art. 6, par. 1, lett. f GDPR); ove previsto, consenso espresso dell’interessato per eventuali finalità ulteriori (art. 6, par. 1, lett. a GDPR).

4. Gestione degli ordini, ordini area “solo per te oggi” (vetrina) e wishlist

L’App consente all’utente di consultare il catalogo prodotti, selezionare articoli, inviare liste di articoli scelti e gestire ordini dedicati ai prodotti esposti nella sezione solo per te oggi(vetrina), nonché di salvare prodotti di interesse in una wishlist.

I dati trattati nell’ambito di tali funzionalità comprendono: dati identificativi del cliente, storico degli ordini e degli articoli selezionati, wishlist, preferenze merceologiche manifestate dall’utente.

Finalità: gestione degli ordini e delle richieste commerciali del cliente, esecuzione del rapporto contrattuale, assistenza post-vendita, adempimento degli obblighi fiscali e contabili.

Conservazione: i dati relativi agli ordini e alla relativa documentazione sono conservati per 10 anni, in conformità agli obblighi di legge in materia fiscale e contabile (art. 2220 c.c., D.P.R. 633/1972, D.P.R. 600/1973).

Base Giuridica: esecuzione del contratto (art. 6, par. 1, lett. b GDPR) e adempimento di obblighi di legge (art. 6, par. 1, lett. c GDPR).

5. Prodotti consigliati, tip del giorno e personalizzazione dell’esperienza

L’App presenta all’utente contenuti quali prodotti consigliati, suggerimenti e “tip del giorno”. Tali contenuti possono essere selezionati sulla base della categoria merceologica del locale, del profilo dell’utente e, potenzialmente, del comportamento d’uso all’interno dell’App.

Tali contenuti sono selezionati esclusivamente sulla base di criteri merceologici oggettivi e non sulla base dell’elaborazione del comportamento d’uso dell’utente all’interno dell’App. Non sono pertanto effettuate attività di profilazione individuale dell’interessato.

Finalità: personalizzazione dell’esperienza d’uso, suggerimento di prodotti coerenti con l’attività del cliente, miglioramento del servizio.

Conservazione: non si applica una specifica retention in quanto i contenuti non sono personalizzati sul singolo utente

Base Giuridica: legittimo interesse del Titolare a fornire un servizio di valore per la clientela business (art. 6, par. 1, lett. f GDPR) per i suggerimenti basati su criteri merceologici oggettivi; non sono effettuate attività di profilazione basate sul comportamento d’uso dell’utente.

6. Sezione “Academy”

L’App mette a disposizione dell’utente una sezione denominata “Academy” contenente reel, video on demand e masterclass. La fruizione di tali contenuti può comportare la raccolta di dati relativi alla visualizzazione (ad esempio: contenuti visti, durata della visualizzazione).

Finalità: erogazione del servizio di formazione, misurazione dell’efficacia dei contenuti, miglioramento dell’offerta formativa.

Conservazione: tutta la durata del rapporto con l’utente/cliente e, successivamente, per 5 anni dalla cessazione del rapporto, in coerenza con il termine ordinario di prescrizione ex art. 2946 c.c.

Base Giuridica: esecuzione del contratto (art. 6, par. 1, lett. b GDPR) e legittimo interesse del Titolare al miglioramento del servizio offerto (art. 6, par. 1, lett. f GDPR).

7. Notifiche push e comunicazioni via App

L’App può inviare notifiche push al dispositivo dell’utente per comunicazioni di servizio (ad esempio: stato dell’ordine, conferme operative) e, previo consenso, per comunicazioni commerciali e promozionali relative a prodotti, offerte e iniziative del Titolare.

L’utente può in qualsiasi momento disattivare le notifiche push dalle impostazioni del proprio dispositivo o dalla sezione “Impostazioni > Notifiche” dell’App.

Finalità: invio di notifiche di servizio connesse all’erogazione dell’App; invio di comunicazioni commerciali e promozionali, ove l’utente abbia prestato specifico consenso.

Conservazione: i dati relativi all’invio delle notifiche sono conservati per il tempo strettamente necessario all’invio e alla gestione della comunicazione. Per le notifiche commerciali, i dati sono trattati fino alla revoca del consenso e, in ogni caso, per un periodo non superiore a 24 mesi dall’ultima interazione dell’utente con l’App.

Base Giuridica: esecuzione del contratto (art. 6, par. 1, lett. b GDPR) per le notifiche di servizio; consenso dell’interessato (art. 6, par. 1, lett. a GDPR) per le notifiche commerciali e promozionali.

8. Attività di Soft Spam

Il Titolare potrebbe inviare per e-mail all’utente comunicazioni promozionali aventi come oggetto prodotti e/o servizi simili a quelli già acquistati, senza necessità del consenso espresso e preventivo dell’utente ex art. 130, comma 4, del Codice della Privacy, a condizione che l’utente non eserciti il diritto di opposizione.

Base Giuridica: art. 130, comma 4, del Codice della Privacy, come novellato dal D.Lgs. n. 101/2018.

Conservazione: i dati utilizzati per l’invio di comunicazioni di c.d. soft spam sono conservati per il periodo necessario all’espletamento dell’attività per la quale sono stati conferiti (salvo rinnovo del consenso da parte dell’interessato all’utilizzo per altre finalità come previsto dalla normativa vigente). Viene garantita in qualsiasi momento la possibilità di esercitare il diritto di opposizione al suddetto trattamento, in maniera agevole e gratuita.

9. Dati tecnici e diagnostici dell’App

Per il corretto funzionamento dell’App, i sistemi informatici possono raccogliere dati tecnici quali: identificativo del dispositivo, tipo e versione del sistema operativo, versione dell’App, indirizzo IP, log di errore, dati diagnostici e sulle prestazioni.

Finalità: garantire il corretto funzionamento, la sicurezza e la stabilità dell’App; diagnosi e risoluzione di malfunzionamenti; prevenzione di frodi e abusi.

Conservazione: 12 mesi, salvo esigenze specifiche di sicurezza o di accertamento di illeciti.

Base Giuridica: legittimo interesse del Titolare a garantire il corretto funzionamento e la sicurezza dell’App (art. 6, par. 1, lett. f GDPR).

10. Richieste di contatto e assistenza

L’App mette a disposizione una funzionalità “Contattaci” che consente all’utente di inviare richieste di informazioni o assistenza al Titolare.

Finalità: gestione e riscontro delle richieste dell’utente.

Conservazione: i dati sono conservati per il periodo necessario alla gestione della richiesta e, successivamente, secondo i tempi previsti per la tipologia di rapporto sottostante.

Base Giuridica: esecuzione di misure precontrattuali o contrattuali (art. 6, par. 1, lett. b GDPR) e legittimo interesse del Titolare a fornire assistenza alla propria clientela (art. 6, par. 1, lett. f GDPR).

C. DESTINATARI DEI DATI

I dati personali raccolti sono trattati dal personale del Titolare, che agisce previa apposita autorizzazione, sulla base di specifiche istruzioni fornite in ordine a finalità e modalità del trattamento medesimo.

I dati possono inoltre essere comunicati a soggetti terzi designati Responsabili del trattamento ai sensi dell’art. 28 del GDPR o sub-Responsabili, di cui il Titolare si avvale per la fornitura dei servizi e per lo svolgimento delle attività di propria competenza, tra i quali in particolare:

• Nautes S.r.l., in qualità di fornitore della piattaforma tecnologica che sottende all’App, nominato Responsabile del trattamento ex art. 28 GDPR;
• Amazon Web Services (AWS), region Irlanda, in qualità di provider di hosting, infrastruttura cloud, servizi di archiviazione (Amazon S3) e servizi di posta elettronica transazionale (Amazon SES);OpenAI, con sede negli Stati Uniti d’America, in qualità di fornitore del servizio di intelligenza artificiale per l’analisi del menu
• soggetti terzi ai quali la comunicazione sia necessaria per adempiere a obblighi di legge o per dare riscontro a richieste dell’Autorità giudiziaria o di altre Autorità competenti.

L’elenco aggiornato dei Responsabili del trattamento può essere richiesto al Titolare utilizzando i dati di contatto di cui alla sezione A.

D. TRASFERIMENTO DEI DATI EXTRA-UE

Nell’ambito dell’erogazione della funzionalità di analisi automatizzata del menu, il Titolare si avvale, per il tramite del Responsabile del trattamento Nautes S.r.l., del modello di intelligenza artificiale fornito da OpenAI, con sede negli Stati Uniti d’America. Tale circostanza comporta un trasferimento di dati personali al di fuori dello Spazio Economico Europeo. Per gli ulteriori servizi tecnici della piattaforma (in particolare archiviazione delle immagini caricate dall’utente, infrastruttura cloud e servizi di posta elettronica transazionale), Nautes S.r.l. si avvale di Amazon Web Services (AWS), con archiviazione dei dati nella region Irlanda, all’interno dello Spazio Economico Europeo, senza che si configuri alcun trasferimento extra-UE.

Qualora sia necessario trasferire dati personali verso Paesi terzi (al di fuori dello Spazio Economico Europeo), il Titolare garantisce che tale trasferimento avvenga in conformità al Capo V del GDPR, ricorrendo a una delle seguenti garanzie: (i) decisione di adeguatezza della Commissione europea ai sensi dell’art. 45 GDPR; (ii) clausole contrattuali tipo approvate dalla Commissione europea ai sensi dell’art. 46, par. 2, lett. c) e d) GDPR; (iii) norme vincolanti d’impresa ai sensi dell’art. 47 GDPR; (iv) altri strumenti previsti dall’art. 46 GDPR; (v) deroghe ai sensi dell’art. 49 GDPR.

L’elenco dei trasferimenti extra-UE e delle relative garanzie può essere richiesto al Titolare ai contatti indicati nella sezione A.

E. MODALITÀ DEL TRATTAMENTO E MISURE DI SICUREZZA

I dati personali sono trattati con strumenti automatizzati e, per quanto strettamente necessario, su supporti cartacei, secondo logiche strettamente correlate alle finalità indicate e, comunque, in modo da garantirne la sicurezza e la riservatezza.

Il Titolare e i Responsabili del trattamento adottano misure tecniche e organizzative adeguate a garantire un livello di sicurezza coerente con il rischio, ai sensi dell’art. 32 GDPR, nel quadro di un sistema di gestione della sicurezza delle informazioni conforme agli standard di settore (tra cui, ove applicabili, ISO/IEC 27001, ISO/IEC 27017 e ISO/IEC 27018).

F. NATURA DEL CONFERIMENTO

Il conferimento dei dati necessari alla registrazione e all’utilizzo dei servizi è facoltativo. Tuttavia, il mancato conferimento dei dati contrassegnati come obbligatori impedisce la creazione dell’account e la fruizione dei servizi dell’App.

Il conferimento dei dati per finalità di marketing, comunicazioni promozionali e profilazione (ove prevista su base consensuale) è sempre facoltativo e il rifiuto o la revoca del consenso non compromettono la possibilità di utilizzare l’App nelle sue funzionalità principali.

G. DIRITTI DEGLI INTERESSATI

Gli interessati (le persone fisiche identificate o identificabili cui si riferiscono i dati) possono esercitare specifici diritti sulla protezione dei dati, riportati nel seguente elenco:

• a) diritto di accesso: diritto di ottenere dal Titolare la conferma che sia o meno in corso un trattamento di dati personali e, in tal caso, di ottenere l’accesso ai dati personali e a informazioni di dettaglio riguardanti l’origine, le finalità, le categorie di dati trattati, destinatari di comunicazione e/o trasferimento dei dati e altro ancora;
• b) diritto di rettifica: diritto di ottenere dal Titolare la rettifica dei dati personali inesatti senza ingiustificato ritardo, nonché l’integrazione dei dati personali incompleti, anche fornendo una dichiarazione integrativa;
• c) diritto alla cancellazione (“oblio”): diritto di ottenere dal Titolare la cancellazione dei dati personali senza ingiustificato ritardo nei casi previsti dall’art. 17 GDPR;
• d) diritto di opposizione al trattamento: diritto di opporsi in qualsiasi momento al trattamento dei dati personali che hanno come base giuridica un interesse legittimo del Titolare, nonché al trattamento a fini di marketing diretto, inclusa la profilazione nella misura in cui sia connessa a tale marketing diretto;
• e) diritto alla limitazione: diritto di ottenere dal Titolare la limitazione del trattamento nei casi previsti dall’art. 18 GDPR;
• f) diritto alla portabilità dei dati: diritto di ricevere in un formato strutturato, di uso comune e leggibile da dispositivo automatico i dati personali e di trasmettere tali dati ad altro Titolare del trattamento, se tecnicamente fattibile, solo per i casi in cui il trattamento sia basato sul consenso o sul contratto e per i soli dati trattati tramite strumenti elettronici;
• g) diritto di revoca del consenso: nei casi in cui il trattamento sia basato sul consenso, diritto di revocare il consenso in qualsiasi momento, senza pregiudicare la liceità del trattamento basata sul consenso prestato prima della revoca;
• h) diritto di proporre reclamo all’Autorità di controllo: fatto salvo ogni altro ricorso amministrativo o giurisdizionale, l’interessato che ritenga che il trattamento che lo riguarda violi il Regolamento ha diritto di proporre reclamo all’Autorità di controllo dello Stato membro in cui risiede o lavora abitualmente, ovvero dello Stato in cui si è verificata la presunta violazione. In Italia l’Autorità di controllo è il Garante per la protezione dei dati personali (www.garanteprivacy.it).

I diritti possono essere esercitati contattando il Titolare ai recapiti indicati nella sezione A della presente informativa, all’indirizzo e-mail: info@baldifood.it.

H. PROCESSI DECISIONALI AUTOMATIZZATI

Il Titolare non effettua, tramite l’App, processi decisionali interamente automatizzati, compresa la profilazione, che producano effetti giuridici o incidano in modo analogo significativamente sull’interessato ai sensi dell’art. 22 GDPR.

I. MODIFICHE ALLA PRESENTE INFORMATIVA

Il Titolare si riserva il diritto di modificare, aggiornare, aggiungere o rimuovere parti della presente informativa a propria discrezione e in qualsiasi momento, in particolare in caso di evoluzione dei servizi offerti dall’App o di modifiche normative. Delle modifiche sarà data evidenza all’utente tramite l’App e, ove richiesto, sarà richiesto un nuovo consenso al trattamento.

La presente informativa è aggiornata al 19/05/2026.