Informativa sulla privacy

1. Titolare del trattamento

Il Titolare del trattamento dei dati personali è:

Garberstub KG des Kuen Josef
Via Peter-Mitterhofer 7
39020 Parcines (BZ), Italia
E-mail: info@mittagsbox.it
Partita IVA: IT02622350219

2. Dati che trattiamo

• Dati anagrafici (clienti aziendali e collaboratori): ragione sociale, nome/cognome, nome utente, password sottoposta ad hashing, indirizzo e-mail
• Cronologia degli ordini: piatti ordinati, quantità, data di consegna, prezzo, note
• Log del server: indirizzo IP, data e ora, pagina richiamata, identificativo del browser (max. 30 giorni)
• Statistica interna del sito: pagina visitata, Paese, durata attiva e stima giornaliera delle visite. L'indirizzo IP completo, lo user agent e il referrer non vengono memorizzati nella statistica.
• Registro di audit: azioni rilevanti per la sicurezza (accesso, modifiche all'account)

3. Finalità del trattamento

• Gestione degli ordini di pasti (esecuzione del contratto)
• Indicazione degli allergeni ai sensi del Regolamento UE 1169/2011
• Promemoria per gli ordini via e-mail (legittimo interesse, disattivabile in qualsiasi momento)
• Conservazione contabile (obbligo legale, 10 anni)
• Sicurezza informatica e prevenzione degli abusi
• Statistiche aggregate per migliorare il contenuto e la fruibilità del nostro unico sito web

4. Base giuridica

• Art. 6, par. 1, lett. b GDPR (esecuzione del contratto)
• Art. 6, par. 1, lett. c GDPR (obblighi legali, ad es. normativa fiscale)
• Art. 6, par. 1, lett. f GDPR (legittimo interesse: sicurezza informatica, e-mail di promemoria e statistiche aggregate del proprio sito)

5. Periodo di conservazione

• Dati dell'account: fino alla cancellazione dell'account
• Dati degli ordini: 10 anni (obbligo legale di conservazione, art. 2220 del Codice civile italiano)
• Log del server: max. 30 giorni
• Dati dettagliati della statistica interna: max. 30 giorni
• Registro di audit: 1 anno

6. Destinatari e responsabili del trattamento

I Suoi dati non vengono ceduti per finalità di marketing. I seguenti fornitori trattano i dati per nostro conto (art. 28 GDPR – responsabili del trattamento):

• Hetzner Online GmbH (Germania) – hosting del server
• Invio e-mail: fornitore SMTP per i promemoria degli ordini (indicato su richiesta)

7. Risorse esterne e trasferimento in Paesi terzi

I fogli di stile, le icone e i font vengono forniti localmente dal nostro server. Solo quando viene aperta la mappa nella pagina dei contatti viene stabilita una connessione al seguente fornitore:

• OpenStreetMap Foundation (Regno Unito) – mappa integrata nella pagina dei contatti. Informativa sulla privacy: osmfoundation.org/wiki/Privacy_Policy

Per la classificazione del Paese utilizziamo una copia locale della banca dati DB-IP Country Lite. Durante la visita non viene effettuata alcuna richiesta a DB-IP e nessun indirizzo IP viene trasmesso a DB-IP. IP Geolocation by DB-IP.

8. Cookie

Utilizziamo esclusivamente cookie tecnici necessari, per i quali, ai sensi dell'art. 122 del Codice italiano in materia di protezione dei dati personali, non è richiesto il consenso:

Cookie	Finalità	Durata
mittagsbox_session	Sessione di accesso, preferenza linguistica e protezione CSRF	8 ore

Non vengono utilizzati cookie di tracciamento, di analisi o pubblicitari. Nessun Google Analytics, Facebook Pixel o servizi analoghi.

9. Statistica interna senza cookie analitici

Misuriamo esclusivamente l'utilizzo aggregato del nostro sito. Non utilizziamo cookie analitici, localStorage, sessionStorage, fingerprinting persistente del dispositivo o servizi di analisi esterni. Per ogni pagina viene generato un token casuale e temporaneo, utilizzato solo per stimare la durata attiva di quella singola pagina. Il token non viene salvato nel dispositivo e non consente di riconoscere la persona in una visita successiva.

Per stimare le visite viene creato sul server un valore hash che cambia ogni giorno, utilizzando solo una rete IP abbreviata e una classe molto generica del browser. Non è possibile collegare le visite di giorni diversi. L'indirizzo IP viene utilizzato brevemente in memoria per determinare il Paese e poi scartato. Non rileviamo città o posizioni precise. Le preferenze Do Not Track e Global Privacy Control vengono rispettate.

10. Diritti dell'interessato

Ai sensi degli artt. 15–22 GDPR Lei ha il diritto di:

• accesso ai dati personali che La riguardano
• rettifica dei dati inesatti
• cancellazione dei Suoi dati (qualora non sussista un obbligo legale di conservazione)
• limitazione del trattamento
• portabilità dei dati
• opposizione al trattamento
• revoca dei consensi prestati (con effetto per il futuro)

Si prega di inoltrare le richieste a: info@mittagsbox.it

11. Diritto di reclamo

Lei ha il diritto di proporre reclamo a un'autorità di controllo. Autorità competente in Italia:

Garante per la protezione dei dati personali
Piazza Venezia 11
00187 Roma, Italia
Sito web: garanteprivacy.it

12. Sicurezza dei dati

• Connessione cifrata tramite TLS/HTTPS
• Le password vengono memorizzate esclusivamente in forma hash (algoritmo PBKDF2)
• Rate-limiting contro tentativi di accesso brute-force
• Protezione CSRF, Content-Security-Policy, backup giornalieri

La presente informativa sulla privacy viene aggiornata in caso di modifiche alle tecnologie utilizzate. Aggiornamento dell'informativa: Luglio 2026.