Informativa sulla privacy
Traduzione informativa. In caso di discrepanza prevale la versione spagnola.
Ultimo aggiornamento: 27 ottobre 2026
Questa informativa spiega quali dati personali tratta Tavolly, per quali finalità, per quanto tempo, con chi vengono condivisi e come esercitare i tuoi diritti. Si applica al sito tavolly.com, all’applicazione e al servizio di prenotazione. Rispetta il Regolamento (UE) 2016/679 (GDPR) e la legge organica spagnola 3/2018 (LOPDGDD).
Tavolly è un software di prenotazione per ristoranti. Non vendiamo dati personali e non li usiamo per la pubblicità di terzi.
1. Titolare del trattamento.
Il titolare del trattamento dei dati dei ristoranti clienti, del loro team, della lista d’attesa e di chi ci scrive è:
- Titolare: Benito Escat Vélez, lavoratore autonomo
- NIF (codice fiscale): 47948769W
- Contatto: hello@tavolly.com
Non abbiamo nominato un Responsabile della protezione dei dati. Per qualsiasi questione di privacy scrivi a hello@tavolly.com.
2. I due ruoli di Tavolly.
- Come titolare trattiamo i dati dei ristoranti che sottoscrivono Tavolly, delle persone del loro team, di chi si iscrive alla lista d’attesa di tavolly.com e di chi ci chiede informazioni. Le sezioni 3, 5 e 6 descrivono questo caso.
- Come responsabile trattiamo i dati dei clienti che prenotano in un ristorante che usa Tavolly. Il titolare di quei dati è il ristorante: decide per cosa si usano e Tavolly li tratta solo seguendo le sue istruzioni, secondo l’Accordo sul trattamento dei dati (in spagnolo). Se hai prenotato in un ristorante e vuoi esercitare i tuoi diritti, rivolgiti al ristorante. Se ci scrivi a hello@tavolly.com, gli inoltreremo la tua richiesta senza ritardo.
3. Dati dei ristoranti clienti.
Trattiamo i dati dell’account e di contatto che ci fornisci al momento della registrazione o quando inviti qualcuno nel team:
- Nome della persona, email e telefono.
- Nome del ristorante, paese, fuso orario, lingua e indirizzo della sua pagina di prenotazione.
- Indirizzo, telefono ed email di contatto del locale, se li inserisci nel pannello perché compaiano nei messaggi ai tuoi clienti.
- Nome, email e ruolo di ogni persona del team (proprietario, responsabile o personale).
Dati di fatturazione: il piano sottoscritto, lo stato dell’abbonamento e l’identificativo cliente di Stripe. Il numero della carta, l’indirizzo di fatturazione e il codice fiscale li raccoglie Stripe nella sua pagina di pagamento. Tavolly non vede né conserva il numero della carta. Le fatture, il cambio di carta e la disdetta dell’abbonamento si gestiscono nel portale di Stripe, da Piano nel pannello.
Dati di uso del servizio: la configurazione del ristorante (orari, sala, regole di prenotazione, link), le conversazioni di aiuto del pannello e, se il team attiva le notifiche nell’app del telefono, l’identificativo del dispositivo per inviarle.
Dati tecnici: non c’è password. L’accesso al pannello avviene con un link monouso inviato via email, o con un codice di sei cifre nell’app. Conserviamo una sessione (cookie di 30 giorni) e, per limitare gli abusi, l’indirizzo IP associato a quel limite per circa un giorno.
Se ti iscrivi alla lista d’attesa del sito, conserviamo l’email, il nome del ristorante e la città se li indichi, la lingua e il testo del consenso che hai accettato.
Il collegamento con Google è descritto nella sezione 9. Non chiediamo altri dati dell’account Google.
4. Dati dei clienti che prenotano.
Quando qualcuno prenota in un ristorante che usa Tavolly, il ristorante è il titolare e Tavolly conserva, per suo conto:
- Nome, telefono, email e lingua.
- I dettagli della prenotazione: data, ora, numero di persone, stato, canale di provenienza, tavolo se il ristorante assegna i tavoli, e lo storico delle visite di quella scheda.
- Le note della prenotazione. Possono includere allergie o intolleranze. Si conservano solo se il cliente spunta la casella del consenso. Sono dati relativi alla salute (categoria particolare, articolo 9 del GDPR).
- Le etichette che il ristorante aggiunge alla scheda (per esempio, abituale o celebrazione) e la nota interna del team, che non viene inviata al cliente.
- Se il cliente spunta la casella delle novità, la preferenza a ricevere email dal ristorante, e la data in cui si disiscrive.
- Se accetta WhatsApp, quella preferenza nella prenotazione. La sezione 10 spiega cosa viene inviato.
- Se il ristorante chiede una garanzia con carta, il riferimento del metodo di pagamento in Stripe (un identificativo). Il numero della carta lo conserva Stripe nell’account Stripe del ristorante. Tavolly non lo vede.
Il team del ristorante può inserire una prenotazione con gli stessi dati. Può anche importare un elenco di clienti (nome, email, telefono e lingua). La casella della pubblicità di quell’importazione si spunta solo se il ristorante conferma che quelle persone gli hanno già dato il permesso. Può scaricare un CSV delle schede; le note non sono incluse in quel download.
Il ristorante può cancellare i dati personali di un cliente dalla sua scheda nel pannello. Nome, email, telefono, note ed etichette vengono eliminati, e le prenotazioni passate restano senza quei dati.
5. Finalità e base giuridica.
Non prendiamo decisioni automatizzate che producano effetti giuridici su di te.
Dati di cui Tavolly è titolare:
| Finalità | Base giuridica |
|---|---|
| Registrarti, fornire il servizio, dare supporto e gestire la prova e l’abbonamento | Esecuzione del contratto (art. 6.1.b GDPR) |
| Inviarti il link o il codice di accesso, gli avvisi della prova, gli inviti al team e le risposte del supporto | Esecuzione del contratto (art. 6.1.b GDPR) |
| Fatturare e rispettare gli obblighi contabili e fiscali | Obbligo legale (art. 6.1.c GDPR) |
| Mantenere il servizio sicuro e limitare gli abusi, con registri tecnici minimi | Interesse legittimo (art. 6.1.f GDPR) |
| Scriverti se ti sei iscritto alla lista d’attesa, per avvisarti dell’apertura e presentarti il servizio | Consenso (art. 6.1.a GDPR). Puoi revocarlo rispondendo «baja» (disiscrizione) o scrivendo a hello@tavolly.com |
| Rispondere a una richiesta prima di diventare cliente | Misure precontrattuali (art. 6.1.b GDPR) o consenso (art. 6.1.a GDPR) |
Dati dei clienti, trattati per conto del ristorante e secondo le sue istruzioni:
| Finalità | Base giuridica |
|---|---|
| Gestire la prenotazione, la sala e lo storico delle visite | Esecuzione della richiesta di prenotazione (art. 6.1.b GDPR) |
| Inviare via email la conferma, le modifiche, il promemoria e la cancellazione | Esecuzione della prenotazione (art. 6.1.b GDPR) |
| Inviare gli stessi avvisi su WhatsApp | Consenso (art. 6.1.a GDPR): la casella al momento della prenotazione, o la spunta del team quando inserisce la prenotazione |
| Conservare note su allergie o intolleranze | Consenso esplicito (art. 9.2.a GDPR) |
| Salvare una carta a garanzia della prenotazione, nell’account Stripe del ristorante, e addebitarla solo se si verificano le condizioni che il ristorante mostra al momento della prenotazione | Esecuzione della prenotazione (art. 6.1.b GDPR) |
| Inviare le campagne email del ristorante a chi ha accettato di riceverle | Consenso (art. 6.1.a GDPR). Ogni email contiene un link per disiscriversi |
| Avvisare il telefono del team di una prenotazione nuova, modificata o cancellata, con il nome del cliente, le persone e l’ora | Esecuzione del contratto con il ristorante (art. 6.1.b GDPR) |
Tavolly non usa i dati dei clienti per la propria pubblicità. Le campagne le decide e le invia il ristorante, e solo a chi ha dato il permesso.
6. Tempi di conservazione.
- Account del ristorante: finché l’account esiste. Se lo chiudi, conserviamo i documenti di fatturazione per i termini di legge: sei anni la documentazione commerciale (art. 30 del Codice di commercio spagnolo) e quattro anni le informazioni fiscali (art. 66 della Legge generale tributaria spagnola). Il resto dei dati dell’account si cancella quando lo chiedi, se la legge non obbliga a conservarli.
- Link di accesso: 15 minuti, e quello di registrazione, 24 ore. Il codice dell’app: 10 minuti. La sessione: 30 giorni, o finché non esci.
- Registri tecnici di limitazione d’uso, incluso l’IP: circa un giorno.
- Collegamento con Google: finché il ristorante non lo scollega. In quel momento si revoca il permesso e si cancella il token.
- Conversazioni di aiuto: per tutta la durata dell’account, o prima se ci chiedi di cancellarle.
- Lista d’attesa: finché non chiedi la disiscrizione o di cancellare l’email.
- Dati dei clienti: finché il ristorante mantiene l’account e non li cancella. Alla fine del contratto, il ristorante ha 30 giorni per esportarli, come previsto dall’Accordo sul trattamento dei dati. Poi si cancellano, salvo che una legge obblighi a conservarli.
- Registro degli avvisi WhatsApp (telefono, tipo di avviso e stato di consegna): lo stesso termine della prenotazione a cui sono collegati.
7. Destinatari e responsabili del trattamento.
Non vendiamo dati personali. Li condividiamo con fornitori che ci prestano un servizio, con un contratto che li obbliga a trattarli solo secondo le nostre istruzioni, e con il ristorante quando i dati sono dei suoi clienti. Possiamo anche comunicarli a un consulente fiscale o contabile e alle autorità quando la legge lo richiede.
| Fornitore | A cosa serve | Dove |
|---|---|---|
| Railway Corporation | Hosting dell’applicazione e del database | Unione europea (Paesi Bassi, regione europe-west4). La società ha sede negli Stati Uniti |
| Stripe Payments Europe, Limited, e Stripe, Inc. | Addebito dell’abbonamento a Tavolly e, nell’account Stripe di ogni ristorante, la garanzia con carta | Irlanda, con trattamento negli Stati Uniti |
| Google LLC | Accesso per collegare l’account e gestione della scheda di Google Business Profile, incluso il pulsante Prenota. Sezione 9 | Stati Uniti |
| Meta Platforms Ireland Limited (WhatsApp) | Avvisi di prenotazione tramite WhatsApp Business. Sezione 10 | Irlanda, con possibili trasferimenti a Meta Platforms, Inc. (Stati Uniti) |
| Plus Five Five, Inc. (Resend) | Invio delle email: accesso, prenotazioni, supporto, prova, team e campagne del ristorante | Stati Uniti |
| Anthropic, PBC | Redigere la risposta dell’assistente di aiuto del pannello e, nel piano Pro, la bozza di una campagna a partire dall’idea che scrive il ristorante. Nell’aiuto, email e telefoni vengono oscurati prima di inviare il testo. L’elenco dei clienti non viene inviato. Secondo le condizioni della sua API, Anthropic non usa quei contenuti per addestrare i suoi modelli | Stati Uniti |
| 650 Industries, Inc. (Expo) | Consegnare al telefono del team l’avviso di una prenotazione (nome del cliente, persone, data e ora). Telefono, email e note non vengono inviati. Expo lo inoltra ad Apple o a Google per mostrarlo sul telefono | Stati Uniti |
8. Trasferimenti internazionali e garanzie.
L’applicazione e il database si trovano nell’Unione europea (Paesi Bassi). Tuttavia, diversi fornitori trattano dati negli Stati Uniti. Tale trasferimento si basa su una di queste garanzie del capo V del GDPR:
- Il Quadro UE-USA per la protezione dei dati personali (EU-US Data Privacy Framework), quando il fornitore è certificato. Lo sono Google LLC, Meta Platforms, Inc., Stripe, Inc., Plus Five Five, Inc. (Resend) e Railway Corporation. 650 Industries, Inc. (Expo) dichiara nella sua informativa di aderire a tale quadro.
- Le clausole contrattuali tipo approvate dalla Commissione europea (Decisione di esecuzione 2021/914), quando il fornitore non è certificato o la certificazione non copre quel trattamento. È il caso di Anthropic, PBC, e la garanzia di riserva per gli altri se un trasferimento restasse fuori dal quadro.
Puoi chiedere una copia di queste garanzie a hello@tavolly.com.
9. Dati delle API di Google.
Il ristorante può collegare il suo account Google dal pannello (Impostazioni, scheda «Link e QR»). Accede con l’account Google che gestisce la sua scheda. Tavolly chiede solo questi permessi:
openidedemail, per quell’accesso: identificare l’account collegato e mostrarne l’email nel pannello. Conserviamo quell’email.https://www.googleapis.com/auth/business.manage, solo per gestire la scheda di Google Business Profile di quel ristorante e aggiungere il pulsante Prenota. Con quel permesso leggiamo le schede che l’account può gestire (nome e indirizzo del locale) e creiamo, aggiorniamo o rimuoviamo il link di prenotazione (tipo prenotazione ristorante) perché il pulsante Prenota apra la pagina di prenotazione di Tavolly. Non modifichiamo il resto della scheda.
Conserviamo, cifrati, il token che permette di mantenere quel collegamento, l’email dell’account, il nome e l’indirizzo della scheda scelta e l’identificativo del pulsante.
Questi dati non vengono venduti. Non si usano per la pubblicità, né per mostrare annunci, né per misurarli, né per creare profili pubblicitari. Non si usano per addestrare modelli. Non si condividono con inserzionisti. Non accediamo alla posta, ai contatti né a nessun altro prodotto di Google. Non servono per accedere a Tavolly: l’accesso al pannello avviene con l’email dell’account Tavolly.
L’uso e il trasferimento da parte di Tavolly delle informazioni ricevute dalle API di Google rispetteranno la Google API Services User Data Policy, inclusi i requisiti di Limited Use.
Tavolly's use and transfer of information received from Google APIs will adhere to the Google API Services User Data Policy, including the Limited Use requirements.
Puoi revocare l’accesso in uno di questi due modi:
- Dal pannello di Tavolly: Impostazioni, scheda «Link e QR», in Google, pulsante «Scollega». Tavolly rimuove il pulsante Prenota dalla scheda, revoca il permesso in Google e cancella il token.
- Dal tuo account Google: https://myaccount.google.com/permissions. Se revochi il permesso lì, Tavolly non può più usare la scheda.
10. WhatsApp.
Se il ristorante attiva gli avvisi in Impostazioni, scheda «Prenotazioni online», Tavolly può inviare al cliente messaggi WhatsApp Business tramite Meta. Partono dal numero WhatsApp di Tavolly e riportano il nome del ristorante. Si inviano in aggiunta all’email, non al suo posto.
Si inviano solo se il cliente spunta la casella «Ricevere la conferma e il promemoria su WhatsApp» al momento della prenotazione, o se il team del ristorante spunta quell’opzione quando inserisce la prenotazione. Gli avvisi sono la conferma, le modifiche, il promemoria e la cancellazione.
A Meta vengono inviati il nome del cliente, il suo telefono, il nome del ristorante, la data, l’ora, il numero di persone e un link per gestire la prenotazione o prenotare di nuovo. Tavolly conserva il telefono, il tipo di avviso e lo stato di consegna comunicato da Meta. Non conserva il testo di quei modelli.
Se il cliente scrive a quel numero, Tavolly risponde che il numero invia solo avvisi di prenotazione e inoltra il messaggio e il telefono all’email del ristorante, perché il ristorante possa rispondergli.
Per non riceverli, non spuntare la casella nella prossima prenotazione. Se hai già una prenotazione e vuoi smettere di ricevere gli avvisi, scrivi a hello@tavolly.com o al ristorante e smetteremo di inviarli. Puoi anche bloccare il numero WhatsApp di Tavolly dall’app di WhatsApp.
11. I tuoi diritti.
Puoi chiedere l’accesso ai tuoi dati, la rettifica, la cancellazione, opporti a un trattamento basato sull’interesse legittimo, chiedere la limitazione del trattamento, richiedere la portabilità e revocare il consenso in qualsiasi momento. La revoca non pregiudica i trattamenti già effettuati.
Scrivi a hello@tavolly.com indicando quale diritto vuoi esercitare. Risponderemo entro un mese. Se necessario, ti chiederemo un dato per verificare che sei tu. Se sei cliente, scrivici dall’email dell’account.
Se sei un cliente di un ristorante, il titolare è il ristorante. Puoi chiederlo a lui: nel pannello può correggere la scheda, scaricarla e cancellare i tuoi dati personali. Se scrivi a noi, inoltreremo la richiesta al ristorante senza ritardo.
Puoi anche presentare reclamo all’Agenzia spagnola per la protezione dei dati (AEPD), su www.aepd.es. Ti saremo grati se prima ci scrivessi per provare a risolverlo.
12. Sicurezza.
Usiamo connessioni cifrate (HTTPS), separiamo nel database i dati di ogni ristorante, l’accesso al pannello non usa password e i token di sessione si conservano in forma di hash. Il token di Google si conserva cifrato. I dati delle carte li tratta solo Stripe. L’accesso al pannello dipende dal ruolo (proprietario, responsabile o personale).
13. Minori.
Tavolly è un servizio per ristoranti. Non è rivolto ai minori di 14 anni (art. 7 LOPDGDD).
14. Cookie.
Il cookie di sessione mantiene l’accesso al pannello. Un altro cookie ricorda la lingua scelta sul sito. Quando si collega Google si usa un cookie tecnico di pochi minuti per completare il permesso. Stripe può usare i propri cookie nella pagina di pagamento e in quella della garanzia con carta. Il dettaglio è nell’Informativa sui cookie.
15. Modifiche.
Se modifichiamo questa informativa, pubblicheremo qui il nuovo testo e cambieremo la data in alto. Se sei cliente e la modifica è importante, ti avviseremo via email.
16. Contatto.