Privacy Policy

1. Titolare del trattamento

TIKITACOS S.A.S. DI MICHAEL DIEGO BARROS & C.
P. IVA 04543290987
Via XX Settembre 68, 25025 Manerbio (BS), Italia
Email: tikitacos@tikitacos.xyz

Non è stato nominato un DPO in quanto non ricorrono le condizioni di cui all'art. 37 GDPR per una piccola impresa di ristorazione.

2. Dati trattati

Dati identificativi e di contatto: nome, email, numero di telefono, eventuale username.
Credenziali: le password non sono mai memorizzate in chiaro — solo in forma hash irreversibile (bcrypt). Il Titolare non può ricostruire la password dell'utente.
Dati di ordine e servizio: prodotti scelti, quantità, note, allergie dichiarate, indirizzo di consegna, modalità ritiro/consegna, orari, metodo di pagamento, importi, punti loyalty.
Dati dei pagamenti in app: identificativi dell'ordine e dell'utente, importo, valuta, riferimenti della transazione, stato del pagamento e degli eventuali rimborsi. Il server Tiki Tacos non riceve né memorizza il numero completo della carta o il codice CVC.
Dati loyalty: ID account, punti accumulati e storico variazioni.
Contenuti UGC: foto caricate dagli utenti e dati associati (data, nome utente, like).
Segnalazioni e blocchi nella community: identificativi del contenuto e degli utenti coinvolti, motivo della segnalazione, date ed esito della moderazione, preferenze di blocco di altri utenti; sono utilizzati per gestire le segnalazioni e filtrare i contenuti mostrati all'utente che ha effettuato il blocco.
Preferenze newsletter: opt-in/opt-out, data di conferma, token di disiscrizione.
Dati delle app e delle notifiche: identificativi del dispositivo e della sessione associati all'account, piattaforma e versione dell'app; per le notifiche iOS, token APNs, lingua e dati necessari all'invio degli aggiornamenti sugli ordini.
Dati tecnici e di sicurezza: indirizzo IP, data/ora ultimo accesso, codici OTP temporanei (max 10 minuti), registri di rate limit, consenso cookie.

3. Finalità e basi giuridiche

1) Registrazione, gestione account e ordini (art. 6.1.b GDPR — esecuzione del contratto).
2) Consegna/ritiro e comunicazioni di servizio (art. 6.1.b GDPR).
3) Adempimenti legali e fiscali, inclusa la conservazione dei dati contabili (art. 6.1.c GDPR e art. 2220 c.c. — 10 anni).
4) Sicurezza, prevenzione frodi e abusi (art. 6.1.f GDPR — legittimo interesse).
5) Invio newsletter promozionali solo previo consenso esplicito e verificato (art. 6.1.a GDPR).
6) Pubblicazione foto UGC nella Hall of Fame, con consenso prestato all'atto della registrazione (art. 6.1.a GDPR).
Nessuna profilazione automatizzata o decisione automatizzata ai sensi dell'art. 22 GDPR viene effettuata su questo sito.

L'iscrizione alla newsletter è facoltativa: non è necessaria per creare un account o effettuare ordini. Puoi revocare il consenso dall'account o tramite il link di disiscrizione nelle email.

4. Modalità di trattamento

I dati sono trattati con strumenti elettronici, con misure di sicurezza adeguate tra cui: cifratura delle password (bcrypt), protezione CSRF su tutti i form, limitazione dei tentativi (rate limiting), codici OTP a scadenza per la verifica dell'identità, comunicazioni via HTTPS. L'accesso è limitato al personale autorizzato e ai fornitori tecnici necessari all'erogazione del servizio.

5. Conservazione dei dati

I dati vengono conservati per il tempo necessario alle finalità indicate:
— Dati di account attivo: per tutta la durata del rapporto contrattuale.
— Dati di ordine e dati fiscali: 10 anni dall'emissione (obbligo art. 2220 c.c.).
— Codici OTP e registri di rate limit: massimo 24 ore.
— Dati carrello ospite (sessione guest): massimo 30 giorni, poi cancellazione automatica.
— In caso di cancellazione account: i dati personali vengono anonimizzati immediatamente (nome, email, telefono sostituiti da pseudonimi non riconducibili alla persona); i dati fiscali e contabili legati agli ordini vengono conservati per obbligo di legge.

6. Condivisione con terze parti

I dati possono essere condivisi con:
— Fornitori tecnici necessari all'erogazione del servizio (hosting, email transazionale);
— Stripe, per elaborare i pagamenti nelle app, come descritto nella sezione 7;
— Apple, tramite Apple Push Notification service (APNs), per recapitare le notifiche di servizio su iOS: token del dispositivo e contenuto della notifica, inclusi identificativi dell'utente e dell'ordine e relativo stato;
— Rider o servizi di consegna terzi, limitatamente ai dati necessari alla consegna;
— Autorità competenti, su obbligo di legge.
I dati non vengono venduti a terzi. Le foto pubblicate nella Hall of Fame, con il nome e l'identificativo dell'autore, sono visibili pubblicamente sul sito e nelle app. Le segnalazioni e le preferenze di blocco non sono pubblicate nella Hall of Fame.
Eventuali trasferimenti extra-UE avvengono nel rispetto delle garanzie previste dagli artt. 44–49 GDPR (es. clausole contrattuali standard della Commissione europea).

7. Pagamenti e notifiche di servizio

Il sito registra il metodo di pagamento scelto e l'importo dell'ordine. Quando utilizzi il pagamento nelle app iOS o Android compatibili, i dati della carta sono trasmessi direttamente a Stripe tramite i suoi componenti di pagamento integrati nell'app, senza passare dal server Tiki Tacos. Con Stripe scambiamo importo, valuta e identificativi dell'ordine e dell'utente per gestire la transazione; conserviamo i relativi riferimenti, lo stato del pagamento e degli eventuali rimborsi. Non memorizziamo dati completi di carte di pagamento, codici CVC o credenziali bancarie. Per il trattamento dei dati da parte del fornitore, consulta l'informativa privacy di Stripe.

Notifiche di servizio nelle app

Su iOS, se autorizzi le notifiche, utilizziamo APNs di Apple per inviarti aggiornamenti sullo stato dei tuoi ordini. Il token di notifica e l'identificativo del dispositivo sono associati al tuo account e alla sessione di accesso; il logout o la revoca della sessione impediscono ulteriori invii collegati a quella sessione. Puoi disattivare le notifiche nelle impostazioni del dispositivo. Le notifiche push su Android tramite Firebase Cloud Messaging (FCM) non sono attualmente attive.

8. Cookie e tecnologie di tracciamento

Utilizziamo cookie tecnici necessari per il corretto funzionamento del sito. Non utilizziamo cookie di profilazione o marketing senza consenso esplicito. Per il dettaglio dei cookie utilizzati, consulta la nostra Cookie Policy.

9. Diritti dell'interessato (artt. 15–22 GDPR)

Hai il diritto di:
Accesso (art. 15): sapere quali dati trattiamo su di te.
Rettifica (art. 16): correggere dati inesatti — disponibile direttamente nel tuo account.
Cancellazione (art. 17): richiedere la rimozione dei tuoi dati personali — disponibile nel tuo account (anonimizzazione immediata; i dati fiscali sono conservati per obbligo di legge).
Limitazione (art. 18): chiedere la sospensione del trattamento in determinati casi.
Opposizione (art. 21): opporsi al trattamento basato su legittimo interesse.
Portabilità (art. 20): ottenere una copia strutturata dei tuoi dati in formato JSON — disponibile nella pagina Impostazioni account.
Revoca del consenso: disiscriverti dalla newsletter in qualsiasi momento dall'account o dal link presente nelle email.

Per esercitare i diritti non disponibili direttamente online, scrivi a tikitacos@tikitacos.xyz. Risponderemo entro 30 giorni.

10. Diritto di reclamo

Hai il diritto di proporre reclamo all'autorità di controllo competente. In Italia: Garante per la Protezione dei Dati Personali, Piazza Venezia 11 — 00187 Roma, www.garanteprivacy.it.

11. Minori

Il servizio non è destinato a minori di 16 anni senza il consenso del genitore o tutore legale. Non raccogliamo consapevolmente dati di minori di 16 anni.

12. Aggiornamenti

La presente informativa può essere aggiornata per riflettere modifiche normative o operative. La versione vigente è sempre disponibile su questa pagina con la data di ultimo aggiornamento.