Come si applica questo DPA: utilizzando Blaze Labels per trattare i dati personali del personale, Lei accetta il presente DPA standard. Se la Sua organizzazione richiede una versione controfirmata, contatti legal@blazeiq.io.
Tra:
EGS Enggist and Grandjean Software SA
Rue des Usines 17, 2000 Neuchâtel, Switzerland (CHE-112.254.588)
("Responsabile del trattamento" / "EGS")
e
Il Cliente identificato nell'account Blaze Labels ("Titolare del trattamento")
A. Il Titolare del trattamento ha sottoscritto il servizio di stampa di etichette per cucina Blaze Labels gestito da EGS ("Servizio").
B. Nel fornire il Servizio, EGS tratta dati personali per conto del Titolare del trattamento, come descritto nel presente Accordo.
C. Il presente Accordo è stipulato ai sensi dell'articolo 28 del Regolamento (UE) 2016/679 ("GDPR"), dell'articolo 28 dello UK GDPR e dell'articolo 9 della Legge federale svizzera sulla protezione dei dati (nLPD, in vigore dal 1° settembre 2023).
D. Il presente Accordo costituisce parte integrante dei Termini di Servizio tra le Parti e vi è incorporato.
1.1 "Normativa sulla Protezione dei Dati" indica: il GDPR e la relativa normativa nazionale di attuazione; lo UK GDPR e il Data Protection Act 2018; la nLPD e le relative ordinanze di attuazione; e qualsiasi altra normativa applicabile in materia di protezione dei dati, come di volta in volta modificata.
1.2 "Titolare del trattamento" indica l'hotel, il ristorante o l'operatore del settore alimentare che ha sottoscritto il Servizio e che determina le finalità e i mezzi del trattamento dei dati personali del personale.
1.3 "Responsabile del trattamento" indica EGS, che tratta i dati personali per conto del Titolare del trattamento.
1.4 "Interessato" indica il personale di cucina e di preparazione alimentare impiegato da, o che lavora per, il Titolare del trattamento, i cui nomi compaiono in Blaze Labels.
1.5 "Dati Personali" ha il significato attribuito dall'articolo 4(1) del GDPR o dalla definizione equivalente applicabile.
1.6 "Sub-responsabile del trattamento" indica qualsiasi terzo incaricato da EGS di trattare Dati Personali in relazione al Servizio.
1.7 "Incidente di Sicurezza" indica qualsiasi distruzione, perdita, alterazione accidentale o illecita, oppure divulgazione o accesso non autorizzati, relativi ai Dati Personali trattati nell'ambito del presente Accordo.
2.1 Oggetto. EGS tratta i Dati Personali esclusivamente per fornire il Servizio. L'attività di trattamento principale consiste nella registrazione degli eventi di stampa nel registro di audit di Blaze Labels: ogni volta che un membro del personale di cucina seleziona il proprio nome e viene stampata un'etichetta di preparazione alimentare, il sistema memorizza una voce di registro che associa il nome del membro del personale all'articolo stampato, alla marca temporale e all'identificativo della stampante.
2.2 Nessun uso secondario. EGS non tratterà i Dati Personali per alcuna finalità diversa da quelle indicate nel presente Accordo. EGS non venderà, noleggerà né commercializzerà i Dati Personali, né li utilizzerà per sviluppare o migliorare alcun prodotto diverso dal Servizio.
| Categoria | Descrizione | Esempi |
|---|---|---|
| Nome del personale | Nome visualizzato del membro del personale di cucina come inserito in Blaze Labels | "Maria Santos" |
| Nome dell'articolo alimentare | Nome dell'articolo alimentare per cui è stata stampata l'etichetta | "Brodo di pollo" |
| Marca temporale | Data e ora dell'evento di stampa | 2025-04-01 07:42 UTC |
| Identificativo della stampante | Identificativo interno della stampante utilizzata | Indirizzo MAC o IP di rete |
Non vengono trattate categorie particolari di dati personali (articolo 9 GDPR) — nessun dato sanitario, biometrico, genetico, relativo all'origine razziale o alle opinioni politiche.
Personale di cucina e di preparazione alimentare impiegato da, alle dipendenze contrattuali di, o operante sotto la direzione del Titolare del trattamento, i cui nomi compaiono nel sistema Blaze Labels come utenti autorizzati.
5.1 Finalità. Il trattamento è finalizzato a: (a) generare etichette di preparazione alimentare stampate ai fini della sicurezza alimentare e della tracciabilità; (b) mantenere un registro di audit di stampa per dimostrare la conformità alle normative in materia di sicurezza alimentare; (c) consentire ai supervisori autorizzati di consultare la cronologia di stampa e indagare su incidenti relativi alla sicurezza alimentare.
5.2 Durata. Il trattamento prosegue per la durata dell'abbonamento. I registri di stampa vengono conservati per due (2) anni dalla data dell'evento di stampa, dopodiché vengono eliminati automaticamente e in modo permanente.
5.3 Cessazione. Alla cessazione, EGS eliminerà o restituirà tutti i Dati Personali entro 30 giorni, a scelta del Titolare del trattamento, salvo laddove la conservazione sia richiesta dalla legge.
EGS tratterà i Dati Personali esclusivamente su istruzioni documentate del Titolare del trattamento. EGS informerà il Titolare del trattamento qualora un'istruzione violi la Normativa sulla Protezione dei Dati.
EGS garantirà che le persone autorizzate a trattare i Dati Personali siano soggette a un vincolante obbligo di riservatezza. L'accesso è limitato al personale che ne ha necessità per l'adempimento dei propri compiti.
EGS attuerà e manterrà le misure indicate nell'Allegato 1. Tali misure sono riesaminate almeno annualmente.
EGS non incaricherà un nuovo Sub-responsabile del trattamento senza fornire al Titolare del trattamento un preavviso scritto di 30 giorni. Il Titolare del trattamento concede con il presente atto un'autorizzazione generale preventiva per i Sub-responsabili elencati nell'Allegato 2. EGS imporrà obblighi equivalenti in materia di protezione dei dati a tutti i Sub-responsabili e rimarrà pienamente responsabile della loro attività.
EGS assisterà il Titolare del trattamento nell'adempimento delle richieste relative ai diritti degli Interessati (accesso, rettifica, cancellazione, limitazione, portabilità, opposizione). EGS inoltrerà tempestivamente al Titolare del trattamento eventuali richieste dirette ricevute dagli Interessati, senza rispondere direttamente.
EGS fornirà assistenza in relazione a: sicurezza del trattamento (Art. 32); valutazioni d'impatto sulla protezione dei dati (Art. 35); consultazione preventiva (Art. 36); e notifica degli Incidenti di Sicurezza. EGS notificherà al Titolare del trattamento senza ritardo ingiustificato ed entro 72 ore dalla presa di conoscenza di un Incidente di Sicurezza che riguardi i loro Dati Personali, fornendo: la natura dell'incidente, il numero approssimativo di Interessati e di record coinvolti, le probabili conseguenze e le misure adottate o proposte.
I registri di stampa vengono eliminati automaticamente al termine del periodo di conservazione di 2 anni. Il Titolare del trattamento può richiedere una cancellazione anticipata in qualsiasi momento — EGS agirà entro 30 giorni e confermerà per iscritto. La cancellazione su richiesta è una cancellazione definitiva (non recuperabile).
EGS metterà a disposizione tutte le informazioni necessarie a dimostrare la conformità e consentirà audit da parte del Titolare del trattamento o del suo revisore incaricato, fatti salvi: un preavviso scritto di 30 giorni; il normale orario lavorativo; l'onere dei costi dell'audit a carico del Titolare del trattamento; l'obbligo di riservatezza a carico del revisore. EGS può soddisfare l'obbligo di audit fornendo i rapporti di certificazione ISO 27001 o SOC 2 correnti in luogo di un'ispezione in loco.
7.1 Base giuridica. Il Titolare del trattamento garantisce di disporre, e di mantenere, una base giuridica adeguata per il trattamento dei dati personali del personale, ivi compreso, ove richiesto, l'ottenimento del consenso o la fornitura di informative agli Interessati.
7.2 Informativa al personale. Il Titolare del trattamento garantirà che gli Interessati siano informati del trattamento descritto nel presente Accordo in conformità agli articoli 13–14 del GDPR (o equivalenti). Ciò include la messa a disposizione o l'affissione di un'informativa privacy per il personale — un modello è disponibile su richiesta a EGS o all'indirizzo blaze.calcmenu.io/privacy.
7.3 Accuratezza. Il Titolare del trattamento è responsabile dell'accuratezza dei Dati Personali inseriti nel Servizio. EGS non è responsabile per errori nei dati forniti dal Titolare del trattamento.
EGS notificherà per iscritto il Titolare del trattamento almeno 30 giorni prima di aggiungere, sostituire o rimuovere un Sub-responsabile del trattamento. Il Titolare del trattamento può opporsi per ragionevoli motivi legati alla protezione dei dati entro 20 giorni. Se le parti non riescono a risolvere l'opposizione e la modifica compromette in modo sostanziale gli obblighi di conformità del Titolare del trattamento, quest'ultimo può risolvere il servizio interessato con un preavviso di 30 giorni, senza penali.
9.1 Ubicazione dell'archiviazione. Tutti i Dati Personali trattati nell'ambito del presente Accordo sono archiviati sull'infrastruttura Supabase a Zurigo, Svizzera (AWS eu-central-2). Anche EGS è stabilita in Svizzera. Il trattamento avviene pertanto interamente all'interno della Svizzera in condizioni operative ordinarie.
9.2 Adeguatezza — trasferimenti dal SEE. La Svizzera beneficia di una decisione di adeguatezza della Commissione Europea (Decisione 2000/518/CE del 26 luglio 2000, da ultimo riconfermata a seguito del riesame della Commissione del 15 gennaio 2024). I trasferimenti dal SEE verso il Servizio non richiedono Clausole Contrattuali Standard né altre garanzie di trasferimento.
9.3 Adeguatezza — trasferimenti dal Regno Unito. Il Regno Unito continua a riconoscere che la Svizzera garantisce una protezione adeguata, mantenendo in vigore la decisione di adeguatezza UE antecedente alla Brexit quale diritto conservato (retained law) ai sensi del Data Protection Act 2018. I trasferimenti dal Regno Unito verso il Servizio non richiedono l'IDTA né l'UK Addendum.
9.4 Garanzie per i sub-responsabili del trattamento. Supabase, Inc. è un'entità con sede negli Stati Uniti il cui personale di supporto può accedere all'ambiente ospitato in Svizzera secondo il principio della necessità di conoscere (need-to-know). EGS ha accettato l'Accordo sul Trattamento dei Dati di Supabase, che incorpora le Clausole Contrattuali Standard UE (Decisione della Commissione 2021/914) e l'UK Addendum per tale eventuale accesso, unitamente alla Valutazione d'Impatto sul Trasferimento (Transfer Impact Assessment) di Supabase.
9.5 Trasferimenti futuri. Qualora si rendesse necessario un ulteriore trasferimento al di fuori della Svizzera, del SEE o del Regno Unito, EGS attuerà un meccanismo di trasferimento adeguato (decisione di adeguatezza, SCC con valutazione d'impatto sul trasferimento, Norme Vincolanti d'Impresa o equivalente) prima che il trasferimento abbia luogo e ne darà notifica al Titolare del trattamento.
Ciascuna Parte è responsabile delle perdite derivanti dalla propria violazione del presente Accordo o della Normativa sulla Protezione dei Dati. La responsabilità aggregata totale di EGS è soggetta a qualsiasi massimale previsto nell'Accordo Principale, fermo restando che nessuna delle Parti esclude la responsabilità laddove ciò sia vietato dalla legge applicabile (inclusi i casi di frode o dolo). Laddove entrambe le Parti siano responsabili nei confronti di un Interessato per lo stesso danno, la responsabilità è ripartita in base al grado di responsabilità di ciascuna Parte.
Il presente Accordo è disciplinato dal diritto svizzero (Canton Neuchâtel), fatte salve le eventuali disposizioni imperative del GDPR o dello UK GDPR. I tribunali di Neuchâtel, Canton Neuchâtel, hanno giurisdizione esclusiva, fatte salve le eventuali disposizioni imperative in materia di giurisdizione previste dalla Normativa sulla Protezione dei Dati (incluso il diritto degli Interessati di promuovere un'azione dinanzi all'autorità di controllo della propria residenza abituale).
Il presente Accordo prevale sull'Accordo Principale in caso di conflitto relativo al trattamento dei Dati Personali. EGS può modificare il presente Accordo per riflettere le modifiche della Normativa sulla Protezione dei Dati con un preavviso scritto di 30 giorni per le modifiche sostanziali; l'uso continuato costituisce accettazione. In caso di conflitto tra la versione inglese e qualsiasi traduzione, prevale la versione inglese.
Il presente DPA è autoesecutivo.
Creando un account Blaze Labels e trattando Dati Personali del personale tramite il Servizio, il Titolare del trattamento accetta integralmente il presente Accordo sul Trattamento dei Dati. Non è richiesta alcuna controfirma affinché la presente versione sia giuridicamente vincolante tra le Parti ai sensi dell'articolo 28(9) del GDPR, che consente i DPA in forma elettronica.
Una versione controfirmata in formato PDF del presente DPA, comprensiva di una copertina compilata che identifichi il soggetto giuridico Titolare del trattamento, è disponibile su richiesta a legal@blazeiq.io. EGS restituirà una copia firmata entro 10 giorni lavorativi.
Data di entrata in vigore: la data in cui il Titolare del trattamento utilizza per la prima volta il Servizio, oppure la data di entrata in vigore della versione controfirmata, a seconda di quale sia anteriore.
| Sub-responsabile | Entità | Ubicazione dei dati | Dati trattati | Garanzie |
|---|---|---|---|---|
| Supabase | Supabase, Inc. | Zurigo, Svizzera — AWS eu-central-2 | Tutti i Dati Personali di cui alla clausola 3 (nomi del personale, articoli alimentari, marche temporali, identificativi delle stampanti) | DPA standard di Supabase (SCC UE + UK Addendum); SOC 2 Type II; ISO 27001 tramite AWS; dati ospitati esclusivamente in Svizzera (adeguatezza UE/UK) |
EGS ha accettato l'Accordo sul Trattamento dei Dati di Supabase, che incorpora le Clausole Contrattuali Standard per qualsiasi trattamento da parte del personale Supabase al di fuori dell'UE/SEE. Una copia è disponibile su richiesta (fatta salva la redazione delle informazioni riservate a livello commerciale).