Informativa sul trattamento dei dati personali

Clienti, fornitori e referenti commerciali

Ai sensi degli articoli 13 e 14 del Regolamento UE 2016/679, GDPR

---

1. Premessa

La presente informativa è resa ai sensi degli articoli 13 e 14 del Regolamento (UE) 2016/679 ("Regolamento" o "GDPR"), nonché della normativa nazionale applicabile in materia di protezione dei dati personali.

Il presente documento è redatto in coerenza con il Manuale di Gestione Privacy adottato da IN Croissanteria S.r.l., quale parte integrante del sistema organizzativo di gestione della protezione dei dati personali implementato dall'azienda in attuazione del principio di responsabilizzazione (accountability) previsto dall'art. 5 e dall'art. 24 del GDPR.

La presente informativa ha lo scopo di descrivere in maniera chiara, trasparente e completa le modalità con cui i dati personali relativi a clienti, fornitori e ai loro referenti vengono raccolti, utilizzati, conservati e protetti nell'ambito delle attività aziendali.

Il trattamento dei dati personali avviene nel rispetto dei principi stabiliti dall'art. 5 del GDPR:

• liceità, correttezza e trasparenza;
• limitazione delle finalità;
• minimizzazione dei dati;
• esattezza;
• limitazione della conservazione;
• integrità e riservatezza;
• responsabilizzazione del titolare del trattamento.

2. Titolare del trattamento

Il Titolare del trattamento dei dati personali è:

IN CROISSANTERIA S.R.L.
Sede legale: Via Alberto da Giussano 23, 20145 Milano (MI)
P. IVA: 02384030165
Email: contabilita@incroissanteria.com
PEC: incroissanteriasnc@legalmail.it

Il Titolare determina le finalità e i mezzi del trattamento dei dati personali nell'ambito delle attività svolte dall'organizzazione.

3. Attività aziendale

IN Croissanteria S.r.l. opera nel settore della produzione artigianale e commercializzazione di prodotti di pasticceria e panificazione.

L'azienda svolge principalmente le seguenti attività:

• produzione artigianale di prodotti da forno;
• gestione laboratorio di pasticceria;
• attività di somministrazione e ristorazione;
• vendita retail al pubblico;
• vendita business verso rivenditori e aziende;
• vendita online tramite piattaforma e-commerce;
• organizzazione di eventi gastronomici.

Nell'ambito di tali attività la società tratta dati personali di clienti, fornitori, dipendenti e altri soggetti con cui intrattiene rapporti commerciali o professionali.

4. Categorie di interessati

La presente informativa si applica alle seguenti categorie di interessati:

• clienti persone fisiche;
• referenti e dipendenti di clienti persone giuridiche;
• fornitori persone fisiche;
• referenti e dipendenti di fornitori;
• consulenti e professionisti;
• partner commerciali.

5. Tipologie di dati trattati

Nell'ambito delle attività aziendali possono essere trattate le seguenti categorie di dati personali.

5.1 Dati identificativi

• nome e cognome;
• data e luogo di nascita;
• codice fiscale;
• estremi identificativi.

5.2 Dati di contatto

• indirizzo;
• numero di telefono;
• indirizzo email;
• PEC.

5.3 Dati amministrativi e contabili

• partita IVA;
• dati di fatturazione;
• coordinate bancarie, IBAN;
• dati relativi ai pagamenti.

5.4 Dati relativi ai rapporti commerciali

• ordini;
• contratti;
• preventivi;
• corrispondenza commerciale;
• dati relativi agli acquisti.

5.5 Dati relativi agli ordini personalizzati

In alcuni casi possono essere trattate immagini, testi o altre informazioni fornite dal cliente ai fini della realizzazione di prodotti personalizzati.

6. Dati raccolti tramite strumenti digitali

Nell'ambito dei servizi online offerti dall'azienda possono essere trattati ulteriori dati personali, tra cui:

• dati relativi alla registrazione utenti sul sito web;
• dati relativi agli acquisti effettuati tramite piattaforma e-commerce;
• indirizzi email per l'iscrizione alla newsletter;
• dati raccolti tramite chatbot con tecnologia AI.

7. Finalità del trattamento e basi giuridiche

I dati personali sono trattati per le seguenti finalità.

7.1 Gestione delle richieste e attività precontrattuali

• gestione richieste informazioni;
• predisposizione preventivi;
• gestione contatti commerciali.

Base giuridica: art. 6, par. 1, lett. b) GDPR.

7.2 Esecuzione del rapporto contrattuale

• gestione ordini;
• vendita prodotti;
• gestione forniture;
• gestione vendite e-commerce.

Base giuridica: art. 6, par. 1, lett. b) GDPR.

7.3 Adempimenti amministrativi, contabili e fiscali

• fatturazione;
• contabilità;
• gestione pagamenti;
• adempimenti fiscali.

Base giuridica: art. 6, par. 1, lett. c) GDPR.

7.4 Adempimenti normativi

• adempimento degli obblighi previsti da leggi o regolamenti;
• gestione delle richieste da parte delle autorità competenti.

Base giuridica: art. 6, par. 1, lett. c) GDPR.

7.5 Tutela dei diritti del Titolare

• gestione contenziosi;
• recupero crediti;
• difesa in sede giudiziaria.

Base giuridica: art. 6, par. 1, lett. f) GDPR.

7.6 Attività di marketing e newsletter

• invio di comunicazioni promozionali;
• aggiornamenti su prodotti e iniziative.

Base giuridica: art. 6, par. 1, lett. a) GDPR, consenso dell'interessato.

8. Natura del conferimento dei dati

Il conferimento dei dati personali è:

• necessario per l'esecuzione dei rapporti contrattuali;
• obbligatorio per l'adempimento di obblighi di legge.

Il mancato conferimento dei dati può comportare l'impossibilità di instaurare o proseguire il rapporto commerciale.

9. Modalità del trattamento

Il trattamento dei dati personali avviene mediante strumenti:

• cartacei;
• informatici;
• telematici.

I dati sono trattati da personale autorizzato e adeguatamente istruito, nel rispetto delle istruzioni impartite dal Titolare del trattamento.

10. Destinatari dei dati

I dati personali possono essere comunicati a soggetti terzi che operano per conto del Titolare o che trattano i dati in qualità di titolari autonomi.

Tra i principali destinatari:

• Studio paghe LR di Verdello;
• Studio commercialista Nicoli;
• Revisore Fabio Granata;
• Informatica ST, gestione sistemi informatici;
• Food Consulting, sicurezza sul lavoro;
• The Word Post S.r.l., gestione sito web.

Tali soggetti operano, a seconda dei casi, in qualità di responsabili del trattamento ai sensi dell'art. 28 GDPR o di titolari autonomi.

I dati non sono oggetto di diffusione.

11. Strumenti e sistemi informatici utilizzati

Il trattamento dei dati personali avviene mediante l'utilizzo di diversi sistemi informatici aziendali.

Tra i principali sistemi utilizzati:

• MAGO Zucchetti, gestione amministrativa e contabile;
• EPratico, gestione pratiche amministrative;
• Enoweb, gestione operativa e ordini;
• Shopify, piattaforma e-commerce.

I dati aziendali sono archiviati mediante:

• sistemi NAS aziendali;
• sistemi cloud integrati con i gestionali;
• sistemi di backup automatico giornaliero.

12. Misure di sicurezza

IN Croissanteria S.r.l. adotta adeguate misure tecniche e organizzative per garantire la sicurezza dei dati personali.

Misure fisiche

• accesso controllato ai locali;
• armadi chiusi a chiave per la documentazione cartacea.

Misure informatiche

• firewall hardware;
• antivirus aziendale;
• backup giornaliero su cloud e NAS;
• credenziali di accesso individuali.

Misure organizzative

• nomina dei soggetti autorizzati al trattamento;
• nomina dei responsabili del trattamento;
• formazione del personale.

13. Periodo di conservazione

I dati personali sono conservati per il tempo necessario al raggiungimento delle finalità per cui sono stati raccolti.

In particolare:

• dati contabili e fiscali: 10 anni;
• dati relativi ai clienti: 10 anni;
• dati relativi ai fornitori: 10 anni;
• dati marketing: fino alla revoca del consenso;
• log di sistema: 6 mesi;
• immagini di videosorveglianza: da 24 a 48 ore.

14. Diritti degli interessati

Ai sensi degli artt. 15 e seguenti del Regolamento UE 2016/679, l'interessato può esercitare i seguenti diritti:

• Diritto di accesso: l'interessato ha il diritto di ottenere dal Titolare del trattamento la conferma che sia o meno in corso un trattamento di dati personali che lo riguardano e, in tal caso, di ottenere l'accesso ai dati personali e alle informazioni specificate nell'art. 15 del Regolamento Generale sulla Protezione dei Dati.
• Diritto di rettifica: l'interessato ha il diritto di ottenere dal Titolare del trattamento la rettifica dei dati personali inesatti che lo riguardano senza ingiustificato ritardo e l'integrazione dei dati personali incompleti, anche fornendo una dichiarazione integrativa.
• Diritto alla cancellazione: l'interessato ha il diritto di ottenere dal Titolare del trattamento la cancellazione dei dati personali che lo riguardano senza ingiustificato ritardo, qualora sussistano i motivi specificati nell'art. 17 del Regolamento Generale sulla Protezione dei Dati.
• Diritto di limitazione del trattamento: l'interessato ha il diritto di ottenere dal Titolare del trattamento la limitazione del trattamento quando ricorre una delle ipotesi previste dall'art. 18 del Regolamento Generale sulla Protezione dei Dati.
• Diritto alla portabilità dei dati: l'interessato ha il diritto di ricevere, in un formato strutturato, di uso comune e leggibile da dispositivo automatico, i dati personali che lo riguardano forniti a un Titolare del trattamento e ha il diritto di trasmettere tali dati a un altro Titolare senza impedimenti, qualora ricorrano i presupposti previsti dall'art. 20 del Regolamento Generale sulla Protezione dei Dati.
• Diritto di opposizione: l'interessato ha il diritto di opporsi in qualsiasi momento, per motivi connessi alla sua situazione particolare, al trattamento dei dati personali che lo riguardano nei casi e con le modalità previste dall'art. 21 del Regolamento Generale sulla Protezione dei Dati.
• Diritto di revoca del consenso: l'interessato ha il diritto di revocare in qualsiasi momento il consenso al trattamento dei dati personali, ferma restando la liceità del trattamento effettuato sulla base del consenso prima della revoca.
• Decisioni automatizzate: l'interessato ha il diritto a non essere sottoposto a una decisione basata unicamente su un trattamento automatizzato, compresa la profilazione, che produca effetti giuridici che lo riguardano o che incida in modo analogo significativamente sulla sua persona, ai sensi dell'art. 22 GDPR.

Nota: alcuni diritti possono essere limitati nei casi previsti dalla legge, ad esempio in presenza di obblighi legali di conservazione, esigenze di difesa in giudizio o compiti di interesse pubblico.

15. Reclamo all'autorità di controllo

Gli interessati hanno il diritto di proporre reclamo all'Autorità Garante per la Protezione dei Dati Personali.

www.garanteprivacy.it

16. Aggiornamenti dell'informativa

La presente informativa può essere soggetta a modifiche o aggiornamenti al fine di adeguarla alla normativa vigente o all'evoluzione delle attività aziendali.

Versione documento: 1.0
Anno: 2026

17. Trattamenti effettuati tramite piattaforme digitali

Alcuni trattamenti di dati personali avvengono mediante piattaforme e sistemi informatici utilizzati dall'organizzazione per lo svolgimento delle proprie attività commerciali e amministrative.

17.1 Piattaforma e-commerce

La vendita online dei prodotti è gestita mediante la piattaforma Shopify, che consente:

• registrazione degli utenti;
• gestione degli ordini;
• gestione dei pagamenti;
• gestione delle spedizioni.

I dati trattati nell'ambito dell'e-commerce includono:

• dati identificativi del cliente;
• dati di contatto;
• dati relativi agli ordini;
• dati di pagamento.

Shopify può operare quale fornitore di servizi tecnologici e può trattare dati personali per conto del Titolare nel rispetto delle condizioni contrattuali e delle garanzie previste dal GDPR.

17.2 Sistema chatbot con tecnologia AI

Il sito web aziendale integra un sistema chatbot basato su tecnologie di intelligenza artificiale finalizzato a fornire assistenza agli utenti.

Il chatbot può trattare:

• dati di contatto;
• richieste formulate dagli utenti;
• dati tecnici di connessione.

Il trattamento avviene esclusivamente per finalità di assistenza e gestione delle richieste.

18. Sistema di videosorveglianza

Presso i locali aziendali è installato un sistema di videosorveglianza finalizzato alla tutela del patrimonio aziendale e alla sicurezza delle persone.

Il trattamento delle immagini avviene nel rispetto dei principi stabiliti dal GDPR e del Provvedimento del Garante Privacy in materia di videosorveglianza.

Finalità

• sicurezza dei locali;
• tutela del patrimonio aziendale;
• prevenzione di furti o atti vandalici.

Base giuridica: art. 6, par. 1, lett. f) GDPR, legittimo interesse del Titolare.

Periodo di conservazione

Le immagini registrate sono conservate per un periodo compreso tra 24 e 48 ore, salvo esigenze di ulteriore conservazione in caso di indagini o richieste dell'autorità giudiziaria.

19. Trasferimenti di dati verso Paesi terzi

Di norma i dati personali sono trattati all'interno dello Spazio Economico Europeo, SEE.

Qualora alcuni fornitori tecnologici comportino il trasferimento di dati verso Paesi terzi, il Titolare garantisce che tali trasferimenti avvengano nel rispetto delle disposizioni degli articoli 44-49 del GDPR.

Le garanzie adottate possono includere:

• decisioni di adeguatezza della Commissione Europea;
• clausole contrattuali standard, SCC;
• ulteriori misure di sicurezza tecniche e organizzative.

20. Processo decisionale automatizzato

Il Titolare del trattamento non adotta processi decisionali automatizzati che producano effetti giuridici o incidano significativamente sugli interessati ai sensi dell'art. 22 del GDPR.

21. Principi di Privacy by Design e Privacy by Default

In conformità all'art. 25 del GDPR, IN Croissanteria S.r.l. ha adottato un sistema organizzativo volto a garantire la protezione dei dati personali sin dalla progettazione dei processi aziendali.

Tale approccio prevede:

• analisi preventiva dei rischi connessi ai trattamenti;
• configurazione dei sistemi informatici secondo il principio di minimizzazione dei dati;
• limitazione degli accessi ai soli soggetti autorizzati;
• monitoraggio continuo delle misure di sicurezza.

22. Gestione delle violazioni dei dati personali, Data Breach

IN Croissanteria S.r.l. ha adottato una procedura interna per la gestione delle violazioni dei dati personali.

In caso di violazione dei dati personali che comporti un rischio per i diritti e le libertà degli interessati, il Titolare provvede:

• alla registrazione dell'incidente;
• alla valutazione della gravità della violazione;
• alla notifica all'Autorità Garante entro 72 ore, ove previsto;
• alla comunicazione agli interessati nei casi previsti dal GDPR.

23. Sistema di gestione privacy aziendale

Il trattamento dei dati personali è inserito all'interno di un sistema organizzativo strutturato che comprende:

• manuale di gestione privacy;
• registro delle attività di trattamento;
• procedure di sicurezza informatica;
• nomine dei responsabili del trattamento;
• formazione del personale.

Tale sistema consente all'organizzazione di dimostrare la conformità ai requisiti del GDPR e di garantire un adeguato livello di protezione dei dati personali trattati.

24. Informazioni di contatto per l'esercizio dei diritti

Per esercitare i diritti previsti dal GDPR o per ottenere ulteriori informazioni sul trattamento dei dati personali è possibile contattare il Titolare del trattamento ai seguenti recapiti:

IN CROISSANTERIA S.R.L.
Via Alberto da Giussano 23, 20145 Milano (MI)
Email: contabilita@incroissanteria.com
PEC: incroissanteriasnc@legalmail.it

Il Titolare risponderà alle richieste entro i termini previsti dall'art. 12 del GDPR, di norma entro 30 giorni.

25. Clausola finale

La presente informativa costituisce parte integrante del sistema di gestione della protezione dei dati personali adottato da IN Croissanteria S.r.l. e viene resa agli interessati al momento della raccolta dei dati personali.

Il documento è soggetto a revisione periodica al fine di garantire il continuo aggiornamento rispetto alla normativa vigente e all'evoluzione dei processi aziendali.

26. Dichiarazione di presa visione dell'informativa

Il/La sottoscritto/a dichiara di aver ricevuto e preso visione dell'informativa sul trattamento dei dati personali ai sensi degli articoli 13 e 14 del Regolamento UE 2016/679, GDPR.

I dati personali forniti saranno trattati da IN Croissanteria S.r.l. per le finalità e con le modalità indicate nella presente informativa.