qrplat.com — artt. 13 e 14 del Regolamento (UE) 2016/679 («GDPR»). Versione 1.2 · Ultimo aggiornamento 16 settembre 2026.
I termini con l'iniziale maiuscola non definiti in questa informativa hanno il significato loro attribuito nelle Condizioni Generali di Utilizzo (v1.1), con cui il documento è coerente. La sezione 9 vale anche come cookie policy e può essere collegata separatamente.
Titolare del trattamento è Ulivo.ai S.r.l., con sede legale in Via Giuseppe Donati 174, 00159 Roma (RM), Italia, partita IVA e codice fiscale 18431211004, iscritta al Registro delle Imprese di Roma, REA RM-1784058, PEC [email protected], e-mail [email protected] (il «Titolare»), che gestisce il sito https://qrplat.com e i relativi Servizi.
Per ogni richiesta relativa ai dati personali è possibile scrivere all'indirizzo [email protected].
L'informativa riguarda due categorie di interessati:
Per entrambe le categorie il Titolare agisce quale titolare autonomo del trattamento, limitatamente ai trattamenti descritti in questa informativa. Restano estranei a questa informativa i trattamenti che l'Utente Gestore determina autonomamente nei confronti dei propri clienti (ad esempio prenotazioni, ordinazioni, programmi fedeltà): per questi il titolare è l'Utente Gestore, al quale gli interessati devono rivolgersi.
3.1 Dati di registrazione e Account. Alla Registrazione sono raccolti: indirizzo e-mail, Credenziali di Autenticazione (la password è conservata esclusivamente in forma di hash non reversibile), Codice di Recupero, dati identificativi e dell'attività inseriti dall'Utente Gestore. Finalità: creazione e gestione dell'Account, erogazione dei Servizi, Verifica dell'Identità, invio delle comunicazioni di servizio di cui all'art. 3.7 delle Condizioni. Base giuridica: esecuzione del contratto (art. 6, par. 1, lett. b, GDPR). Conservazione: per la durata del rapporto; alla cessazione, cancellazione entro 30 giorni ai sensi dell'art. 16.5 delle Condizioni, con rimozione dalle copie di sicurezza entro il successivo ciclo di rotazione.
3.2 Contenuti. Fotografie, testi, PDF e ogni altro materiale caricato dall'Utente Gestore sono trattati al solo fine di erogare i Servizi (pubblicazione delle pagine, archiviazione, adattamenti tecnici), secondo la licenza di cui all'art. 11.2 delle Condizioni. Base giuridica: esecuzione del contratto. Conservazione: come al punto 3.1.
3.3 Sicurezza e prevenzione degli abusi. Il Titolare tratta log tecnici, indirizzi IP ed eventi di accesso relativi all'Area Riservata per garantire la sicurezza dei sistemi, prevenire accessi abusivi e frodi e ricostruire eventuali incidenti. Base giuridica: legittimo interesse del Titolare alla sicurezza dei Servizi (art. 6, par. 1, lett. f, GDPR). Conservazione: 12 mesi, salvo esigenze di accertamento in corso.
3.4 Procedura di Rivendicazione ed Eliminazione (art. 17 delle Condizioni). In caso di ricorso alla procedura documentale sono trattati: copia del documento d'identità, documentazione comprovante la titolarità dell'attività (es. visura camerale), dichiarazioni rese, nonché — ai sensi dell'art. 17.3 delle Condizioni — i metadati del dispositivo e i riferimenti temporali della sottoscrizione mediante Firma Elettronica Semplice, raccolti a fini probatori. Basi giuridiche: esecuzione di misure richieste dall'interessato (lett. b) e legittimo interesse del Titolare alla tutela dei propri diritti in caso di contestazioni (lett. f). Conservazione: 10 anni dalla richiesta, in coerenza con l'art. 16.5, lett. b), delle Condizioni e con il termine ordinario di prescrizione (art. 2946 c.c.).
3.5 Adempimenti di legge e difesa dei diritti. Ove necessario, i dati sono trattati per adempiere a obblighi di legge (art. 6, par. 1, lett. c) o per accertare, esercitare o difendere un diritto in sede giudiziaria o stragiudiziale (lett. f), per il tempo a ciò strettamente necessario.
3.6 Nessun marketing. Il Titolare non invia comunicazioni promozionali: le sole comunicazioni trasmesse sono quelle di servizio, parte del rapporto contrattuale. L'eventuale futura introduzione di comunicazioni commerciali avverrà solo previo consenso specifico e revocabile.
3.7 Natura del conferimento. Il conferimento dei dati di cui ai punti 3.1 e 3.4 è necessario: il rifiuto rende impossibile, rispettivamente, l'erogazione dei Servizi e l'esame della richiesta.
4.1 Dati trattati. Quando un QR Code viene scansionato o una pagina pubblica viene visitata, l'indirizzo IP e l'identificativo tecnico del browser (user agent) sono trattati in modo transitorio dal fornitore dell'infrastruttura al solo fine di instradare la richiesta e proteggere il servizio, e non sono conservati nelle statistiche di utilizzo. Delle scansioni dei QR Code Intelligenti sono registrati, in forma aggregata e non identificativa, soltanto: il Paese di provenienza (dedotto a livello di rete, senza memorizzare l'indirizzo IP), la preferenza linguistica dichiarata dal browser (header Accept-Language), la data e l'ora e l'esito dell'instradamento. Se l'Utente Gestore ha attivato un QR Code Intelligente, l'orario della richiesta e la preferenza linguistica sono inoltre valutati in modo transitorio al solo fine di selezionare la Destinazione da mostrare, senza esserne tratto alcun profilo.
4.2 Finalità e base giuridica. I dati di cui al punto 4.1 sono trattati per: (i) finalità tecniche — erogare la pagina o l'instradamento richiesto; (ii) finalità di sicurezza — prevenire abusi, attacchi informatici e usi anomali; (iii) finalità statistiche — produrre statistiche aggregate e anonime sull'utilizzo dei Servizi (i Dati Derivati di cui all'art. 11.3 delle Condizioni), che non consentono di identificare alcuna persona fisica. Base giuridica: legittimo interesse del Titolare al funzionamento, alla sicurezza e al miglioramento dei Servizi (art. 6, par. 1, lett. f, GDPR). L'interessato può opporsi ai sensi della sezione 8.
4.3 Conservazione. I dati di scansione (Paese, lingua, data/ora, esito), già in forma aggregata e non identificativa, sono conservati per un massimo di 90 giorni dal fornitore di statistiche; decorso tale termine restano soltanto dati aggregati e anonimi. Non è conservato alcun indirizzo IP né identificativo del dispositivo.
4.4 Assenza di profili e di decisioni automatizzate rilevanti. Non è richiesta alcuna registrazione, non sono costruiti profili individuali e nessun trattamento produce decisioni con effetti giuridici o parimenti significativi sull'interessato (art. 22 GDPR).
I dati sono trattati, per conto del Titolare e in qualità di responsabili del trattamento ex art. 28 GDPR, dai fornitori dell'infrastruttura tecnica: hosting applicativo (Render Services, Inc. — regione UE, Francoforte), rete di distribuzione, instradamento e archiviazione dei contenuti (Cloudflare, Inc.), database (Neon, Inc. — dati ospitati nella regione UE, Francoforte), servizio di invio delle e-mail transazionali (Resend, Inc.) e servizio di traduzione automatica dei menu su richiesta dell'Utente Gestore (Anthropic, PBC — a cui sono trasmessi i soli testi del menu da tradurre, senza dati identificativi degli interessati, e che non utilizza tali testi per l'addestramento dei propri modelli) e servizio di lettura automatica delle fotografie dei menu e di trascrizione della loro dettatura vocale su richiesta dell'Utente Gestore (Mistral AI SAS, Francia — dati trattati nell'Unione europea — a cui sono trasmesse la sola fotografia della pagina del menu o la sola registrazione della voce che detta i piatti, che il Titolare non conserva dopo la lettura; del dettato il Titolare conserva soltanto le frasi riferite ai piatti, per la loro revisione). I testi così letti o trascritti, le correzioni apportate dall'Utente Gestore e la versione dei piatti poi pubblicata sono inoltre copiati, privi di qualunque riferimento all'Account, all'Utente Gestore o al locale e con la sola indicazione del mese, in un archivio separato utilizzato per finalità di ricerca scientifica e di miglioramento dei sistemi di lettura; dopo la copia, la trascrizione integrale del dettato è cancellata dai sistemi del servizio. Nello stesso archivio, su uno spazio di archiviazione separato (Cloudflare R2, giurisdizione UE), sono conservate anche le fotografie dei menu fatte leggere, prive dei metadati di posizione, secondo quanto previsto dall'art. 11.6 delle Condizioni. Le fotografie ritraggono documenti destinati al pubblico e l'Utente Gestore si impegna a non includervi persone o altri dati personali di terzi; qualora ne contengano incidentalmente, il trattamento si fonda sul legittimo interesse del Titolare alla ricerca scientifica e al miglioramento del servizio (art. 6, par. 1, lett. f) e art. 89 GDPR), per il tempo necessario a tali finalità. Non essendo associate all'Account, le fotografie conservate non possono essere individuate per la cancellazione. Dell'audio del dettato non è conservato nulla. L'elenco aggiornato dei responsabili è disponibile su richiesta.
Gestione dei pagamenti. Il pagamento dell'abbonamento al piano Pro è gestito da Stripe Payments Europe, Ltd. e dalle società del gruppo Stripe: a Stripe sono comunicati l'indirizzo e-mail dell'Utente Gestore e un identificativo interno dell'Account e, direttamente tramite i moduli di Stripe, i dati di fatturazione (nome/ragione sociale, indirizzo, partita IVA) e i dati della carta o dello strumento di pagamento. I dati della carta non transitano né sono conservati dai sistemi del Titolare. Per tali trattamenti Stripe agisce in qualità di autonomo titolare ai fini degli obblighi antiriciclaggio e di legge propri e, per il resto, di responsabile del trattamento. Base giuridica: esecuzione del contratto (art. 6, par. 1, lett. b) e obblighi di legge (lett. c).
I dati possono inoltre essere comunicati ad autorità competenti quando ciò sia imposto dalla legge. Nessun dato è venduto né ceduto a terzi per finalità di marketing.
Funzione facoltativa di collegamento a Google Drive. Ove l'Utente Gestore scelga di collegare il proprio account Google Drive, il PDF è caricato direttamente sullo spazio Google dell'Utente Gestore, previa sua autorizzazione (OAuth); per il proprio servizio Google LLC agisce quale autonomo titolare del trattamento. L'autorizzazione è revocabile in ogni momento dalle impostazioni dell'account Google.
Alcuni fornitori indicati alla sezione 5 sono soggetti stabiliti negli Stati Uniti. I trasferimenti avvengono sulla base della decisione di adeguatezza relativa all'EU-U.S. Data Privacy Framework, per i fornitori certificati, e/o delle clausole contrattuali standard adottate dalla Commissione europea (artt. 45 e 46 GDPR). Copia delle garanzie è disponibile su richiesta al Titolare.
| Dati | Durata |
|---|---|
| Account e Contenuti | Durata del rapporto + cancellazione entro 30 giorni (art. 16.5 Condizioni) |
| IP dei tentativi di accesso | Cancellazione automatica entro pochi minuti |
| Altri log di sicurezza Area Riservata | Max 12 mesi |
| Documentazione e metadati Rivendicazione/Eliminazione | 10 anni dalla richiesta |
| Dati di scansione delle pagine pubbliche (aggregati) | Max 90 giorni, poi solo aggregati anonimi |
| Dati per obblighi di legge o contenzioso | Termini di legge / durata del contenzioso |
Gli interessati possono esercitare in ogni momento i diritti di cui agli artt. 15-22 GDPR: accesso, rettifica, cancellazione, limitazione, portabilità e opposizione, quest'ultima in particolare rispetto ai trattamenti fondati sul legittimo interesse (sezioni 3.3 e 4). Le richieste vanno indirizzate a [email protected]; il Titolare risponde entro un mese. Resta fermo il diritto di proporre reclamo al Garante per la protezione dei dati personali (www.garanteprivacy.it).
L'Utente Gestore che abbia perso l'accesso all'Account può richiederne l'Eliminazione mediante la procedura documentale di cui all'art. 17 delle Condizioni.
I Servizi sono destinati a operatori professionali. Le pagine pubbliche sono liberamente consultabili e non comportano trattamenti ulteriori rispetto a quelli della sezione 4.
Gli aggiornamenti sono pubblicati su questa pagina con indicazione della data. Le modifiche rilevanti sono comunicate agli Utenti Gestori all'indirizzo e-mail dell'Account.
Ultimo aggiornamento: 14 settembre 2026 · Versione 1.1