Informativa sulla Privacy

Traduzione fornita a titolo informativo. La versione portoghese del presente documento è l'unica con valore giuridico; in caso di divergenza fra le versioni prevale il testo portoghese.

La presente Informativa sulla Privacy descrive come José de Oliveira, Lda. tratta i dati personali dei visitatori di questo sito e dei clienti degli esercizi che gestisce con il marchio Fado&Food Group, in conformità al Regolamento (UE) 2016/679 (GDPR) e alla Legge portoghese n.º 58/2019 dell'8 agosto.

1. Titolare del trattamento

• José de Oliveira, Lda.
• Sede legale: Travessa da Queimada, n.º 10, 1200-365 Lisboa
• NIPC: 500 158 584
• Email per questioni di protezione dei dati: [email protected]

José de Oliveira, Lda. non ha attualmente nominato un Responsabile della Protezione dei Dati (DPO), non ricorrendo le condizioni dell'art. 37 del GDPR che renderebbero obbligatoria tale nomina. Le questioni relative al trattamento dei dati personali devono essere indirizzate all'indirizzo email sopra indicato.

2. Categorie di dati trattati, finalità e basi giuridiche

Trattiamo le seguenti categorie di dati personali, per le finalità e sulle basi giuridiche di seguito indicate.

2.1 Dati dei visitatori del sito

Dati trattati: indirizzo IP, dati di accesso (data/ora, pagine visitate, browser, sistema operativo).

Finalità: garantire il funzionamento tecnico del sito, la sicurezza, la prevenzione degli abusi (bot, attacchi) e l'elaborazione di statistiche interne aggregate e anonimizzate.

Base giuridica: legittimo interesse del titolare (art. 6, paragrafo 1, lettera f) del GDPR), in particolare l'interesse alla sicurezza dei sistemi informativi e alla fornitura di un servizio web funzionante. Tale interesse è stato bilanciato con i diritti e le libertà degli interessati ed è stato ritenuto prevalente, dato il carattere non invasivo e strettamente tecnico del trattamento.

Periodo di conservazione: registri tecnici (log del server) — massimo 30 giorni, salvo necessità di conservazione superiore per motivi di sicurezza o per l'adempimento di un obbligo di legge.

2.2 Dati di prenotazione

Dati trattati: nome, numero di telefono, email, numero di persone, data e ora desiderate, osservazioni o richieste particolari (comprese eventuali allergie o restrizioni alimentari quando comunicate volontariamente dal cliente), dati relativi ai pagamenti ove applicabile (non conserviamo dati delle carte — il pagamento è elaborato dal prestatore di servizi di pagamento competente).

Finalità: gestione della prenotazione, contatto con il cliente, fornitura del servizio di ristorazione e spettacolo, emissione della documentazione fiscale, gestione delle liste d'attesa e delle cancellazioni.

Base giuridica: esecuzione di un contratto o di misure precontrattuali su richiesta dell'interessato (art. 6, paragrafo 1, lettera b) del GDPR). Per l'emissione della fattura, adempimento di un obbligo di legge (art. 6, paragrafo 1, lettera c) del GDPR) ai sensi del Codice IVA e del Codice Commerciale portoghesi.

I dati relativi ad allergie e restrizioni alimentari sono considerati dati sanitari (categoria particolare, art. 9 del GDPR) e sono trattati sulla base del consenso esplicito dell'interessato, prestato fornendoli volontariamente, e nella misura strettamente necessaria alla prestazione sicura del servizio.

Periodo di conservazione: i dati della prenotazione sono conservati per il periodo necessario alla prestazione del servizio e per i termini di legge applicabili — in particolare 10 anni per i documenti fiscali (art. 123, paragrafo 4, del Codice IRC e art. 52 del Codice IVA portoghesi). I dati non fiscali (ad esempio le osservazioni sulle preferenze) sono cancellati o anonimizzati entro un termine massimo di 5 anni dall'ultima interazione, salvo opposizione anteriore dell'interessato.

2.3 Dati di contatto inviati tramite modulo o email

Dati trattati: nome, email, telefono (se fornito), contenuto del messaggio.

Finalità: risposta alla richiesta di contatto.

Base giuridica: esecuzione di misure precontrattuali o legittimo interesse a rispondere a richieste di informazioni (art. 6, paragrafo 1, lettere b) e f) del GDPR).

Periodo di conservazione: fino a 2 anni dopo l'ultimo contatto, salvo che l'interazione abbia dato luogo a un rapporto contrattuale, nel qual caso si applica il termine della sezione 2.2.

2.4 Dati contenuti nel libro dei reclami

Dati trattati: quelli forniti dal consumatore nel libro dei reclami (elettronico o cartaceo).

Finalità: trattazione del reclamo ai sensi di legge.

Base giuridica: adempimento di un obbligo di legge (Decreto-legge n.º 74/2017).

Periodo di conservazione: i termini di legge applicabili, di norma 3 anni dopo la chiusura del procedimento, fatti salvi termini superiori derivanti dalla difesa di diritti in sede giudiziaria.

3. Destinatari dei dati

I dati personali sono trattati dai collaboratori autorizzati di José de Oliveira, Lda. e possono essere comunicati alle seguenti categorie di destinatari, sempre nella misura strettamente necessaria:

• Responsabili del trattamento tecnici, con i quali abbiamo stipulato i contratti richiesti dall'art. 28 del GDPR: Akamai Technologies, Inc. / Linode — hosting del sito e delle banche dati (server situato in un centro dati dell'Unione Europea); Cloudflare, Inc. — fornitore di servizi DNS, CDN e protezione dagli attacchi (con sub-responsabili nell'UE e negli USA)
• Prestatori di servizi di pagamento, ove applicabile (ciascun prestatore è titolare autonomo del trattamento dei dati di pagamento che elabora).
• Autorità Tributaria e Doganale portoghese, per l'adempimento di obblighi fiscali.
• Centro di Arbitrato per i Conflitti di Consumo di Lisbona, ove applicabile nei casi di RAL.
• Tribunali e autorità pubbliche, quando previsto dalla legge.

Non vendiamo, non affittiamo e non cediamo dati personali a terzi per finalità commerciali.

4. Trasferimenti internazionali

I dati sono trattati, di regola, all'interno dello Spazio Economico Europeo (SEE).

Possono verificarsi trasferimenti al di fuori del SEE nell'ambito dei servizi dei responsabili del trattamento (in particolare Cloudflare, con sede negli USA). Tali trasferimenti sono coperti dai meccanismi giuridici previsti dal Capo V del GDPR, segnatamente il Data Privacy Framework UE-USA e/o le Clausole Contrattuali Tipo della Commissione Europea.

5. Diritti degli interessati

Ai sensi degli articoli da 15 a 22 del GDPR, l'interessato ha diritto a:

• Accedere ai propri dati personali e ottenere informazioni sul trattamento
• Rettificare dati inesatti o incompleti
• Ottenere la cancellazione («diritto all'oblio»), alle condizioni dell'art. 17 del GDPR
• Ottenere la limitazione del trattamento, alle condizioni dell'art. 18 del GDPR
• Alla portabilità dei dati, alle condizioni dell'art. 20 del GDPR
• Opporsi al trattamento fondato sul legittimo interesse, alle condizioni dell'art. 21 del GDPR
• Revocare il consenso in qualsiasi momento, quando il trattamento si fonda sul consenso, senza pregiudicare la liceità del trattamento anteriore
• Non essere sottoposto a decisioni automatizzate con effetti significativi, ai sensi dell'art. 22 del GDPR (non effettuiamo questo tipo di trattamento)

Tali diritti possono essere esercitati inviando una richiesta a [email protected], con identificazione sufficiente a consentirci di confermare l'identità del richiedente. Risponderemo entro il termine massimo di un mese, prorogabile fino a tre mesi nei casi complessi, ai sensi dell'art. 12, paragrafo 3, del GDPR.

6. Diritto di reclamo all'autorità di controllo

L'interessato ha diritto di proporre reclamo all'autorità di controllo competente:

• Commissione Nazionale per la Protezione dei Dati del Portogallo (CNPD)
• Av. D. Carlos I, 134, 1.º, 1200-651 Lisboa
• Telefono: (+351) 213 928 400
• Email: [email protected] — Sito: www.cnpd.pt

7. Sicurezza

José de Oliveira, Lda. adotta misure tecniche e organizzative adeguate per proteggere i dati personali da accessi non autorizzati, perdita, distruzione o alterazione, in particolare: hosting su infrastruttura sicura, comunicazioni cifrate (HTTPS/TLS) su tutto il sito, controllo degli accessi con autenticazione, registrazione delle operazioni, copie di sicurezza periodiche e revisioni periodiche delle procedure.

In caso di violazione dei dati personali che comporti un rischio per i diritti e le libertà degli interessati, notificheremo la CNPD entro 72 ore dalla conoscenza della violazione, ai sensi dell'art. 33 del GDPR, e gli interessati coinvolti ove applicabile l'art. 34.

8. Cookie

La politica relativa ai cookie e alle tecnologie analoghe è descritta in un documento autonomo: Informativa sui Cookie.

9. Minori

I servizi non si rivolgono specificamente a minori. Le prenotazioni sono effettuate di norma da adulti. Non raccogliamo consapevolmente dati di minori di 16 anni senza il consenso di chi esercita la responsabilità genitoriale. Qualora venga a conoscenza che ciò è avvenuto, ci contatti a [email protected] per la cancellazione.

10. Modifiche dell'informativa

La presente informativa può essere aggiornata in qualsiasi momento. La versione in vigore è sempre quella pubblicata su questo sito, con indicazione della data dell'ultimo aggiornamento. Le modifiche sostanziali saranno segnalate in modo visibile.