Privacy Policy

Ultimo aggiornamento: 6 novembre 2026

Versione 2.2. Questa informativa spiega come Digital Lab di Fabio Facheris tratta i dati personali di chi visita incisivolab.com, di chi utilizza la piattaforma IncisivoLab e di chi consulta i menu e i siti pubblicati dai locali nostri clienti, ai sensi del Regolamento UE 2016/679 (GDPR) e del D.lgs. 196/2003 (Codice Privacy).

1. Titolare del trattamento

Titolare del trattamento è Digital Lab di Fabio Facheris, P.IVA 04939760163, REA BG 500600, con sede legale in Via Milano 7, 24030 Presezzo (BG), titolare della piattaforma IncisivoLab.

Contatti: info@incisivolab.com — PEC fabiofacheris@postecertifica.it.

Non è stato nominato un Responsabile della protezione dei dati (RPD/DPO), non ricorrendo i presupposti dell'art. 37 GDPR. Ogni richiesta in materia di privacy va indirizzata ai contatti sopra indicati.

2. Due ruoli distinti: quando siamo Titolari e quando siamo Responsabili

2.1 Dati per i quali siamo Titolari

Sono i dati delle persone che entrano in rapporto con noi: chi ci scrive, chi acquista il servizio, chi collabora come agente di vendita, chi naviga sul nostro sito. Sono descritti al paragrafo 3.

2.2 Dati per i quali siamo Responsabili del trattamento

Sono i dati che i clienti dei locali lasciano usando i menu, i siti, le prenotazioni, gli ordini e i bot dei locali. Di questi dati il Titolare è il locale. Digital Lab li tratta esclusivamente per conto del locale, come Responsabile del trattamento ai sensi dell'art. 28 GDPR in base al Contratto di Servizio, e non li utilizza per finalità proprie. Sono descritti al paragrafo 4. Per esercitare i tuoi diritti su questi dati il tuo interlocutore è il locale; puoi comunque scriverci e lo coinvolgeremo.

3. Dati trattati in qualità di Titolare

3.1 Richieste di informazioni e contatti commerciali

Attraverso i moduli del sito raccogliamo nome, email, telefono (facoltativo), oggetto e testo del messaggio e alcuni dati tecnici della richiesta utili a prevenire gli abusi. I moduli sono protetti da Cloudflare Turnstile, che verifica che la richiesta non provenga da un programma automatico.

Finalità: rispondere e, se richiesto, formulare un preventivo. Base giuridica: misure precontrattuali (art. 6.1.b GDPR). Conservazione: 24 mesi dall'ultimo contatto.

3.2 Titolari e collaboratori dei locali clienti

Per attivare e gestire un account trattiamo nome e cognome, email, i dati dell'attività e i dati per la fatturazione (compresa la verifica della partita IVA sul servizio VIES della Commissione europea). L'accesso si crea tramite un link di attivazione; registriamo data, ora e dispositivo dell'accettazione del Contratto di Servizio e, per sicurezza, indirizzo IP e dispositivo degli accessi. Chi accede con Google ci trasmette solo nome e indirizzo email dell'account Google; non riceviamo la password.

Base giuridica: contratto (art. 6.1.b), obblighi fiscali (art. 6.1.c), legittimo interesse alla sicurezza (art. 6.1.f). Conservazione: durata del rapporto e poi 10 anni per gli obblighi fiscali e di prova; i dati tecnici di accesso 12 mesi.

3.3 Agenti e rete di vendita

Trattiamo nome e cognome, email, telefono e i dati per il calcolo delle provvigioni. Base giuridica: contratto di collaborazione e obblighi di legge. Conservazione: durata del rapporto e poi 10 anni.

3.4 Ricerca di potenziali clienti da fonti pubbliche

Raccogliamo i recapiti pubblici di attività di ristorazione e ospitalità — denominazione, indirizzo, telefono, email, sito web e profili social — da fonti accessibili al pubblico (Google Maps e Google Places, TripAdvisor, i siti delle attività, motori di ricerca). Non raccogliamo dati diversi dai recapiti dell'attività.

Finalità: proporre i nostri servizi. Base giuridica: legittimo interesse (art. 6.1.f GDPR), previo bilanciamento. Questa sezione costituisce l'informativa dell'art. 14 GDPR, resa pubblica ai sensi dell'art. 14.5.b e ripetuta al primo contatto. Le comunicazioni commerciali via email o messaggistica sono inviate solo con il consenso previsto dall'art. 130 del Codice Privacy; le telefonate previa consultazione del Registro Pubblico delle Opposizioni.

Puoi opporti in qualsiasi momento scrivendo a info@incisivolab.com. Conservazione: 24 mesi dalla raccolta, o fino all'opposizione.

3.5 Navigazione sul nostro sito

Su incisivolab.com raccogliamo dati tecnici aggregati (tipo di dispositivo, lingua, pagina di provenienza, sezioni visitate) con un identificativo casuale che muore con la scheda del browser, senza indirizzo IP. Base giuridica: legittimo interesse. Conservazione: 24 mesi, in forma aggregata.

Solo previo tuo consenso tramite il banner, e mai sulle pagine dei menu e dei siti dei locali, usiamo Google Analytics 4 (Google Ireland Ltd) con funzioni pubblicitarie disattivate. Gli errori tecnici del nostro sito e del pannello sono inviati a PostHog nella sua regione dell'Unione Europea, senza registrazione automatica dei clic; le registrazioni di sessione, su una piccola parte delle visite al pannello, mascherano tutti i testi e i campi. Il consenso è revocabile dal link «Gestisci cookie» a fondo pagina. Conservazione dei dati di Google Analytics: 14 mesi.

3.6 Collegamenti social e WhatsApp

Quando il titolare di un locale collega dal pannello un proprio account di Meta (Facebook, Instagram, Threads, WhatsApp Business), TikTok, LinkedIn, X o Google (YouTube, Search Console, Business Profile), riceviamo dalla piattaforma: l'identificativo dell'account o della pagina, il nome, la foto del profilo, i permessi concessi e i token di accesso. Non riceviamo la password.

Finalità: solo pubblicare i contenuti che il titolare approva, mostrargli quale account è collegato e, per WhatsApp, far funzionare il bot del locale. Non usiamo questi dati per pubblicità, profilazione o finalità diverse, e non li cediamo a terzi. I token sono conservati cifrati. Base giuridica: contratto (art. 6.1.b). Conservazione: fino allo scollegamento.

Cancellazione: il pulsante Scollega nel pannello elimina subito token e dati dell'account; in alternativa si può rimuovere l'app IncisivoLab dalle impostazioni della piattaforma (per Facebook: Impostazioni › App e siti web) oppure scrivere a info@incisivolab.com: cancelliamo i dati ricevuti entro 30 giorni e confermiamo l'avvenuta cancellazione.

4. Dati trattati in qualità di Responsabile, per conto dei locali

4.1 Ordini, asporto e conto al tavolo

Trattiamo le portate, l'importo, le note libere dell'ordine e, quando il locale li chiede per l'asporto o per una camera, nome, telefono o numero di camera. I dati che identificano la persona sono resi anonimi dopo 12 mesi; gli importi restano per gli obblighi fiscali del locale.

4.2 Prenotazioni e lista clienti con consenso

Trattiamo data, ora, numero di persone, nome e recapiti lasciati per la prenotazione: dopo 12 mesi restano solo numeri anonimi. Se dai un consenso separato e facoltativo a ricevere novità dal locale, il locale conserva nome e recapiti, cifrati, con il testo e la data del consenso, fino alla revoca o al massimo 24 mesi dall'ultimo contatto. Puoi revocarlo in ogni momento.

4.3 Pagamenti e carte regalo

I pagamenti online e le carte regalo dei locali passano da Stripe sul conto Stripe del locale: i dati della carta li tratta Stripe e non arrivano sui nostri sistemi.

4.4 Recensioni

Trattiamo la valutazione e il testo lasciato liberamente. Il modulo è protetto da Cloudflare Turnstile.

4.5 Bot WhatsApp e Telegram dei locali

Se un locale attiva il proprio bot, trattiamo per suo conto i messaggi, anche vocali, scambiati con il bot e il numero o l'identificativo di chi scrive. I messaggi WhatsApp passano da Meta Platforms Ireland, quelli Telegram da Telegram; le risposte e la trascrizione dei vocali sono prodotte da modelli di intelligenza artificiale eseguiti su Cloudflare Workers AI. Il bot non scrive mai per primo. Le conversazioni sono conservate 30 giorni.

4.6 Statistiche di consultazione dei menu

Contiamo consultazioni, lingua, tipo di dispositivo e sezioni viste con un identificativo casuale che muore con la scheda. Sulle pagine dei menu non c'è alcuno strumento di terze parti né cookie di profilazione: sono strumenti tecnici secondo le Linee guida cookie del Garante (2021), senza consenso. Questi dati sono conservati per 24 mesi e restano disponibili solo al locale di riferimento.

4-bis. Dati da Meta (Facebook, Instagram, Threads)

Quando un account Facebook, Instagram o Threads viene collegato alla piattaforma per pubblicare i contenuti del ristorante, riceviamo da Meta soltanto: l'identificativo dell'account o della Pagina, il nome utente o il nome della Pagina, l'immagine del profilo e i token di accesso, che conserviamo cifrati. Li usiamo esclusivamente per pubblicare i post richiesti e mostrarne l'esito; non li vendiamo, non li usiamo per pubblicità né per addestrare modelli di intelligenza artificiale. Restano finché l'account resta collegato.

Come chiedere la cancellazione. Basta rimuovere l'app IncisivoLab dalle impostazioni di Facebook, Instagram o Threads ("App e siti web"): Meta ce lo comunica e cancelliamo automaticamente collegamento, token e identificativi. Riceverai da Meta un codice di conferma; lo stato della richiesta si legge, senza alcun dato personale, alla pagina incisivolab.com/funzione/social/oauth/<piattaforma>/data-deletion/confirm?code=<codice> (piattaforma: facebook, instagram o threads). In alternativa puoi scrivere a info@incisivolab.com.

5. Intelligenza artificiale

Usiamo modelli di intelligenza artificiale per tradurre i menu, scrivere descrizioni, preparare immagini dei piatti e rispondere nei bot. I modelli girano su Cloudflare Workers AI (tra cui DeepSeek V4.1 Flash e Whisper, eseguiti sui server di Cloudflare e non dalle aziende che li hanno creati). Le immagini dei piatti sono generate con OpenAI GPT Image tramite Cloudflare AI Gateway, inviando solo la descrizione del piatto. Ai modelli esterni a Cloudflare inviamo solo testi dei menu e dei piatti, mai dati dei clienti dei locali. I contenuti generati dall'AI sono segnalati come tali.

6. Dove si trovano i dati e chi li tratta per noi

La piattaforma gira interamente su Cloudflare. I database (Cloudflare D1) hanno la sede principale in Europa; le copie di sicurezza sono cifrate e conservate in un archivio Cloudflare R2 vincolato all'Unione Europea. Le richieste sono servite dalla rete mondiale di Cloudflare, quindi alcuni dati possono essere elaborati anche in data center fuori dall'UE, con le garanzie indicate al paragrafo 7.

Ci avvaliamo dei seguenti fornitori, nominati Responsabili (o sub-responsabili) ai sensi dell'art. 28 GDPR:

Cloudflare, Inc. (Stati Uniti) — hosting e infrastruttura: Workers, database D1, KV, archivi R2, Durable Objects, invio di tutte le email (Email Sending), Workers AI e AI Gateway, Turnstile, Browser Run, Realtime. Garanzie: Data Privacy Framework UE-USA e Clausole Contrattuali Standard.
VeriSign, Inc. (Stati Uniti) — registro ufficiale dei domini .com, interrogato in sola lettura (protocollo pubblico RDAP) quando un locale verifica se un dominio è libero prima di comprarlo dal portale: riceve soltanto il nome di dominio cercato, nessun dato personale, nessun account (dal 06/11/2026).
OpenAI, L.L.C. (Stati Uniti), tramite Cloudflare AI Gateway — generazione delle immagini dei piatti; riceve solo descrizioni dei piatti. Garanzie: Clausole Contrattuali Standard.
Stripe Payments Europe Ltd (Irlanda) — abbonamenti e pagamenti, Stripe Connect dei locali; per i dati della carta Stripe è titolare autonomo. Stripe, Inc.: Data Privacy Framework.
Google Ireland Ltd (Irlanda) — accesso con Google, YouTube, Search Console, Google Places per le schede delle attività, Google Analytics 4 solo con consenso. Google LLC: Data Privacy Framework.
PostHog, Inc., regione dell'Unione Europea — errori tecnici del sito e del pannello, mai sulle pagine dei locali.
Meta Platforms Ireland Ltd (Irlanda) — Facebook, Instagram, Threads, WhatsApp Business (bot dei locali e pubblicazione social). Meta Platforms, Inc.: Data Privacy Framework.
TikTok Technology Ltd (Irlanda) e LinkedIn Ireland Unlimited Company (Irlanda) — pubblicazione dei contenuti approvati dal locale.
X Corp. (Stati Uniti) — pubblicazione dei post approvati dal locale. Garanzie: Clausole Contrattuali Standard.
Telegram (Telegram FZ-LLC, Emirati Arabi Uniti) — bot dei locali e avvisi ai titolari, solo per chi sceglie questo canale (art. 49.1.b GDPR).
Lovable Labs Incorporated (Svezia) — lettura della casella email aziendale di IncisivoLab e alcune funzioni interne di assistenza AI; non riceve dati dei clienti dei locali.

I dati possono essere comunicati a consulenti contabili e legali e, se obbligatorio, alle Autorità. Non sono diffusi né ceduti per marketing. Le variazioni dei fornitori sono comunicate ai locali clienti con preavviso, con facoltà di opposizione secondo il Contratto di Servizio.

7. Trasferimenti fuori dall'Unione Europea

Per i fornitori con sede o elaborazione negli Stati Uniti il trasferimento si basa sulla decisione di adeguatezza del Data Privacy Framework UE-USA (decisione 2023/1795) per le società certificate e, in ogni caso, sulle Clausole Contrattuali Standard (decisione 2021/914, art. 46.2.c GDPR), con cifratura dei dati in transito e a riposo. Per Telegram il trasferimento avviene su scelta dell'utente del canale (art. 49.1.b GDPR). Copia delle garanzie è disponibile su richiesta.

8. Natura del conferimento

I dati contrassegnati come obbligatori sono necessari per rispondere o per erogare il servizio. Gli altri dati, il consenso alle novità dei locali e il consenso ai cookie statistici sono facoltativi: il rifiuto non ha conseguenze sull'uso del sito e del servizio.

9. Processi decisionali automatizzati

Non effettuiamo profilazione né decisioni basate unicamente su trattamenti automatizzati con effetti giuridici o analogamente significativi (art. 22 GDPR).

10. Sicurezza

Adottiamo misure adeguate ai sensi dell'art. 32 GDPR: cifratura in transito (HTTPS) e a riposo fornita da Cloudflare; ogni richiesta è verificata dal nostro Worker, che concede a ciascun account solo i dati del proprio locale (isolamento per locale); i dati più delicati (recapiti della lista clienti, token dei social) sono cifrati con chiavi separate per locale; accessi per ruolo, registro delle modifiche, copie di sicurezza cifrate nell'UE. Le violazioni di dati sono notificate secondo gli artt. 33 e 34 GDPR.

11. I tuoi diritti

Puoi in ogni momento: accedere ai tuoi dati (art. 15), chiederne la rettifica (art. 16), la cancellazione (art. 17), la limitazione (art. 18), la portabilità (art. 20); opporti al trattamento fondato sul legittimo interesse, compresa la ricerca commerciale del punto 3.4 (art. 21); revocare il consenso senza pregiudicare il trattamento precedente (art. 7.3); proporre reclamo al Garante per la protezione dei dati personali (garanteprivacy.it).

Scrivi a info@incisivolab.com: rispondiamo entro un mese. Le richieste sui dati trattati per conto di un locale (paragrafo 4) le trasmettiamo subito al locale, dandotene notizia.

12. Cookie e memorie del browser

Il sito usa memorie tecniche e di preferenza, senza consenso, e strumenti statistici di terze parti solo con il consenso e mai sulle pagine dei locali. Il consenso dura al massimo sei mesi ed è revocabile dal link «Gestisci cookie». Il dettaglio è nella Cookie Policy.

13. Modifiche all'informativa

L'informativa può essere aggiornata per modifiche normative o del servizio. La data dell'ultimo aggiornamento è indicata in cima; le modifiche sostanziali sono comunicate ai clienti registrati.