Informativa sul trattamento dei dati personali

ai sensi degli artt. 13 e 14 del Regolamento (UE) 2016/679 («GDPR») · Ultimo aggiornamento: 31 ottobre 2026

La presente informativa descrive come vengono trattati i dati personali dei partecipanti al programma fedeltà del locale Bejo – La Gintoneria di Cervia (di seguito, il «Programma»), disciplinato dal Regolamento del programma fedeltà.

1. Titolare del trattamento

Il titolare del trattamento è J&B S.n.c. di Bedeschi Giulia, partita IVA 02599700396, con sede in Via delle Paratoie 2, 48015 Cervia (RA) (di seguito, il «Titolare»). Per qualsiasi questione relativa al trattamento dei dati personali e per l'esercizio dei diritti è possibile scrivere a [email protected].

Il Titolare non ha designato un Responsabile della protezione dei dati, non ricorrendo i casi in cui la designazione è obbligatoria (art. 37 GDPR).

2. Dati trattati

Nell'ambito del Programma il Titolare tratta le seguenti categorie di dati:

• dati di registrazione: nome, cognome, indirizzo email; la password non viene conservata in chiaro, ma solo in forma di impronta crittografica non reversibile;
• dichiarazioni e consensi: la dichiarazione di maggiore età, l'accettazione del Regolamento e i consensi facoltativi, ciascuno con la data in cui è stato prestato o revocato, e lo storico delle modifiche;
• codice QR: un codice casuale associato all'account, che non contiene l'indirizzo email né altri dati personali;
• dati sui conti: per ciascun conto al quale l'account è stato associato alla cassa, la data e l'elenco delle consumazioni con le relative quantità. Nell'area personale non compaiono prezzi né totali dei conti;
• consumazioni indicate, collezione e valutazioni: le consumazioni che il partecipante indica come proprie, i gin della sua collezione e le valutazioni da 1 a 5 stelle. Non è prevista la possibilità di inserire testi liberi;
• promozioni: le promozioni visibili al partecipante, quelle applicate e quelle utilizzate, con data e ora;
• dati tecnici di accesso: un cookie tecnico di sessione e, per limitare i tentativi di accesso non riusciti, l'indirizzo email e l'indirizzo IP da cui provengono i tentativi.

Accesso con Google. Se il partecipante sceglie di registrarsi o di accedere con il proprio account Google («Accedi con Google»), il Titolare riceve da Google, previa autorizzazione del partecipante sulla pagina di Google, il nome e il cognome associati all'account, l'indirizzo email con l'indicazione che Google lo ha verificato e un identificativo univoco dell'account Google, che serve solo a riconoscere il partecipante agli accessi successivi. Questi dati non sono raccolti presso il partecipante ma provengono da Google (art. 14 GDPR). Il Titolare non riceve la password dell'account Google e non chiede a Google l'accesso ad altri dati o servizi dell'account. Se l'indirizzo email verificato coincide con quello di un account già registrato, l'identificativo Google viene associato a quell'account. Durante l'accesso con Google si usano inoltre due cookie tecnici temporanei, validi al massimo dieci minuti, che collegano la richiesta di accesso al browser del partecipante.

Per il servizio di autenticazione Google opera come autonomo titolare del trattamento, secondo la propria informativa (policies.google.com/privacy): per gli utenti nello Spazio economico europeo il fornitore è Google Ireland Limited. Il Titolare tratta i dati ricevuti da Google solo per le finalità della lettera a) del paragrafo 3.

Il Titolare non chiede né tratta dati appartenenti a categorie particolari (art. 9 GDPR), come i dati relativi alla salute.

3. Finalità e basi giuridiche del trattamento

a) Gestione del Programma. Creazione e gestione dell'account, autenticazione e recupero della password, codice QR, associazione dell'account ai conti alla cassa, completamento dei conti, collezione e valutazioni, applicazione delle promozioni destinate a tutti i partecipanti. Base giuridica: esecuzione del contratto di cui il partecipante è parte, cioè il Regolamento (art. 6, par. 1, lett. b, GDPR). Il conferimento dei dati di registrazione è necessario: senza di essi non è possibile partecipare al Programma.

b) Profilazione. Analisi delle consumazioni, della collezione, delle valutazioni e delle promozioni utilizzate dal singolo partecipante per conoscerne le preferenze, proporgli promozioni personalizzate e suggerimenti. Base giuridica: consenso (art. 6, par. 1, lett. a, GDPR). Il consenso è facoltativo: chi non lo presta partecipa comunque al Programma, ma non riceve promozioni personalizzate. Solo i partecipanti che hanno prestato questo consenso possono essere selezionati per promozioni a loro riservate.

c) Comunicazioni promozionali via email. Invio di offerte e promozioni del Titolare all'indirizzo email del partecipante. Base giuridica: consenso (art. 6, par. 1, lett. a, GDPR). Il consenso è facoltativo: chi non lo presta vede le promozioni solo nella propria area personale.

d) Sicurezza del servizio. Limitazione dei tentativi di accesso non riusciti e protezione degli account da accessi abusivi. Base giuridica: legittimo interesse del Titolare e dei partecipanti alla sicurezza dei sistemi e degli account (art. 6, par. 1, lett. f, e considerando 49 GDPR).

e) Adempimenti contabili e fiscali. I conti del locale sono conservati per gli obblighi di legge; in caso di cancellazione dell'account, il partecipante viene separato dai conti, che restano privi dei suoi dati. Base giuridica: adempimento di un obbligo legale (art. 6, par. 1, lett. c, GDPR).

I consensi di cui alle lettere b) e c) sono distinti tra loro, possono essere prestati o revocati in qualsiasi momento dall'area personale e, per le email, anche tramite il collegamento presente in ogni messaggio. La revoca non pregiudica la liceità del trattamento basato sul consenso prestato prima della revoca.

Applicazione automatica delle promozioni. Alla chiusura del conto il sistema di cassa applica automaticamente la promozione più vantaggiosa tra quelle disponibili per il partecipante. Si tratta esclusivamente di benefici a suo favore, che non producono effetti giuridici né incidono in modo analogo in maniera significativa sulla sua persona ai sensi dell'art. 22 GDPR; in ogni caso il partecipante può chiedere alla cassa di applicare un'altra promozione o di non applicarne alcuna.

4. Requisito della maggiore età

Il Programma è riservato ai maggiorenni. Al momento della registrazione il partecipante dichiara di avere compiuto 18 anni. Se il Titolare viene a sapere che un account appartiene a un minore, lo cancella.

5. Chi può vedere i dati

• Il personale autorizzato del locale, nei limiti delle proprie mansioni e con le istruzioni del Titolare: alla cassa, per individuare l'account quando il codice QR non può essere letto, sono mostrati nome, cognome e una parte dell'indirizzo email, utile a distinguere persone con lo stesso nome.
• Gli altri partecipanti associati allo stesso conto vedono, nella propria area personale, le consumazioni di quel conto e quali sono già state indicate da altri, ma non prezzi né totali.

I dati non sono venduti né ceduti a terzi per finalità commerciali, e non sono diffusi.

6. Dove sono conservati i dati e fornitori

I dati del Programma sono conservati su un elaboratore situato presso il locale, in un ambiente separato dal resto del sistema di cassa e con un proprio archivio.

Per rendere raggiungibile l'area personale da Internet, il traffico passa attraverso il servizio di tunnel di Cloudflare, Inc., che agisce in qualità di responsabile del trattamento ai sensi dell'art. 28 GDPR sulla base del proprio accordo sul trattamento dei dati. Poiché Cloudflare è una società con sede negli Stati Uniti, il passaggio dei dati attraverso i suoi sistemi può comportare un trasferimento di dati al di fuori dell'Unione europea: tale trasferimento si basa sulla decisione di adeguatezza della Commissione europea relativa al quadro UE-USA per la protezione dei dati (Data Privacy Framework, art. 45 GDPR), cui Cloudflare aderisce, e sulle clausole contrattuali tipo approvate dalla Commissione (art. 46 GDPR) contenute nel suo accordo sul trattamento dei dati.

Le email di servizio (ad esempio per il recupero della password) e le comunicazioni promozionali sono inviate tramite una casella di posta del locale presso il servizio Gmail, fornito da Google Ireland Limited. Il gruppo Google aderisce al Data Privacy Framework e utilizza le clausole contrattuali tipo per gli eventuali trasferimenti al di fuori dell'Unione europea.

I dati possono inoltre essere conosciuti, solo se necessario e nei limiti dell'incarico, da chi presta assistenza tecnica al sistema del locale, vincolato alla riservatezza e designato responsabile del trattamento ove previsto, e dalle autorità pubbliche quando la legge lo richiede. L'eventuale futuro impiego di servizi esterni per l'analisi dei dati costituirebbe un nuovo trattamento e sarà oggetto di un aggiornamento della presente informativa.

7. Tempi di conservazione

• Dati dell'account: fino alla cancellazione dell'account. La cancellazione è immediata quando il partecipante la esegue dall'area personale; quando la chiede al personale del locale o via email è eseguita entro 30 giorni. Nelle copie di sicurezza del sistema i dati restano al più per il periodo di rotazione delle copie stesse, non superiore a quattro settimane.
• Conti da completare: restano visibili e completabili nell'area personale per 30 giorni dalla chiusura del conto; le consumazioni indicate restano nella collezione.
• Dettaglio delle consumazioni e delle visite associate all'account presso il locale: 24 mesi; trascorso tale periodo sono conservati solo i conteggi mensili delle consumazioni e delle visite, necessari al funzionamento delle promozioni.
• Collezione e valutazioni nell'area personale: finché l'account è attivo; vengono eliminate con la cancellazione dell'account.
• Consensi e loro storico: per la durata dell'account, a dimostrazione della volontà espressa dal partecipante.
• Cookie di sessione: 180 giorni dall'accesso, salvo uscita dall'account.
• Dati sui tentativi di accesso: il tempo necessario a gestire il blocco temporaneo; quelli relativi all'indirizzo IP sono eliminati dopo un'ora senza nuovi tentativi.
• Conti del locale: dieci anni, come previsto per le scritture contabili (art. 2220 del Codice civile), senza i dati del partecipante dopo la cancellazione dell'account.

I termini sono applicati automaticamente dal sistema, con un controllo ogni ora.

8. Misure di sicurezza

Il Titolare adotta misure tecniche e organizzative adeguate a proteggere i dati, tra cui: password conservate solo in forma di impronta crittografica; limitazione dei tentativi di accesso non riusciti; area personale raggiungibile solo tramite connessione cifrata; archivio dei partecipanti separato da quello della cassa e accessibile da Internet solo attraverso il tunnel cifrato; accesso amministrativo all'elaboratore consentito solo con chiavi crittografiche; copie di sicurezza su supporti esterni soltanto in forma cifrata; accesso del personale ai soli dati necessari alle proprie mansioni.

9. Cookie

L'area personale utilizza un cookie tecnico, necessario a mantenere l'accesso all'account, e durante l'accesso con Google i due cookie tecnici temporanei descritti al paragrafo 2; per i cookie tecnici non è richiesto il consenso. Non sono utilizzati cookie di profilazione né strumenti di analisi di terze parti.

10. Diritti dell'interessato

Il partecipante può esercitare in qualsiasi momento i diritti previsti dagli artt. 15-22 GDPR: accesso ai propri dati, rettifica, cancellazione, limitazione del trattamento, portabilità dei dati e opposizione al trattamento, oltre alla revoca dei consensi prestati. Dall'area personale, nella sezione «Profilo», il partecipante può in qualsiasi momento scaricare in un file tutti i dati che lo riguardano, modificare i consensi e cancellare il proprio account.

Le altre richieste possono essere inviate a [email protected] o presentate al personale del locale. Per evitare che altri accedano ai dati del partecipante, il Titolare può chiedere che la richiesta provenga dall'indirizzo email associato all'account o che il richiedente si identifichi. Il Titolare risponde senza ingiustificato ritardo e comunque entro un mese dal ricevimento della richiesta, termine prorogabile di due mesi nei casi complessi, dandone comunicazione al richiedente (art. 12 GDPR).

Il partecipante ha inoltre il diritto di proporre reclamo all'autorità di controllo, in Italia il Garante per la protezione dei dati personali (www.garanteprivacy.it), ai sensi dell'art. 77 GDPR.

11. Modifiche alla presente informativa

La presente informativa può essere aggiornata, ad esempio in caso di nuove funzioni del Programma o di cambiamenti normativi. La versione in vigore è sempre pubblicata su questa pagina, con la data dell'ultimo aggiornamento. Le modifiche rilevanti sono comunicate nell'area personale; se riguardano un trattamento basato sul consenso, il consenso viene richiesto di nuovo.