Versione 2026-11-g30

L'app Open Plan e i vostri dati

Open Plan è l'app con cui i clienti seguono il loro evento e lo staff delle nostre strutture lavora sul gestionale. In poche righe: i dati servono a farvi il preventivo, organizzare l'evento e tenere i documenti che la legge ci impone di conservare. L'app non contiene pubblicità, non usa strumenti di analisi o di tracciamento e non vende niente a nessuno.

Chi tratta i dati

WORK & MANAGEMENT S.r.l., Via dei Cappellari 52, 00186 Roma - P.IVA e C.F. 01989400898. Per qualunque domanda su questa pagina o per esercitare i vostri diritti: privacy@openland.it.

Quali dati, e perché

• Nome, cognome, recapiti, indirizzo e codice fiscale: per il preventivo, il contratto e la fattura. Codice fiscale e telefono sono cifrati.
• Dati per la fattura elettronica: codice fiscale o partita IVA, PEC o codice destinatario, che scrivete nel portale o ci date voi. La fattura la trasmettiamo attraverso Openapi al Sistema di Interscambio dell'Agenzia delle Entrate, come la legge impone, e ve ne mandiamo una copia di cortesia per email.
• Dati dell'evento: data, sala, numero di invitati, menù scelto, servizi.
• Firma elettronica: il numero a cui mandiamo il codice, l'ora, l'indirizzo IP e l'impronta del documento firmato. Serve a dimostrare che avete accettato quel documento e non un altro.
• Pagamenti: importi, date, modalità degli incassi e il riferimento della transazione che ci restituisce il servizio di pagamento. Se pagate con carta al terminale della struttura, registriamo anche la causale, l'esito e chi dello staff ha mandato l'importo al terminale; i dati della carta li legge il terminale myPOS e non arrivano mai a noi.
• Indirizzo IP e dispositivo quando entrate nel portale o aprite un documento: per sicurezza, e per sapere chi ha aperto cosa.
• Messaggi della chat con la struttura, nella pagina Contatti del portale: il testo, chi l'ha scritto, quando, e se è stato letto. Li leggono le persone della struttura che seguono il vostro evento; quando arriva un messaggio avvisiamo con una notifica o un'email. Non scriveteci dati sulla salute: allergie e intolleranze hanno il loro passo, con il consenso.
• Chat con un operatore dall'app, per chi non ha ancora un preventivo: il nome e il recapito (email o cellulare) che ci lasciate e verificate con un codice, il testo dei messaggi, quando sono stati scritti e letti. Li leggono gli operatori delle strutture per rispondervi; se una risposta resta da leggere vi avvisiamo a quel recapito. La conversazione si cancella dopo 30 giorni senza messaggi.
• Nominativi e allergie degli invitati, se ce li comunicate: c'è una pagina dedicata a loro, che potete girargli.

Base giuridica: l'esecuzione del contratto e le richieste che lo precedono; per la fattura elettronica e la conservazione dei documenti fiscali, un obbligo di legge; per le allergie, il vostro consenso, che vi chiediamo esplicitamente e che potete ritirare; per indirizzo IP e dispositivo, il nostro legittimo interesse a proteggere i vostri dati da chi non dovrebbe vederli.

Cosa fa l'app sul telefono

• Accesso del cliente: scrivete la vostra email o il vostro cellulare e vi mandiamo un codice di sei cifre, che vale dieci minuti (per SMS lo recapita Openapi). L'app ricorda gli eventi aperti con due cookie tecnici cifrati, per non chiedervi il codice ogni volta. Non c'è una password da creare.
• Notifiche: solo se le permettete dal telefono. Registriamo l'identificativo che il telefono ci dà per recapitarle, il sistema (iOS o Android) e l'ultimo utilizzo; se togliete il permesso o disinstallate l'app, l'identificativo smette di funzionare e lo cancelliamo. Il testo della notifica dice di cosa si tratta, non i dettagli: niente indirizzi, numeri o il testo dei messaggi, perché si legge anche a telefono bloccato.
• Face ID e impronta digitale, solo per lo staff: il riconoscimento lo fa il telefono, e all'app arriva soltanto «riconosciuto» o «non riconosciuto». Il volto e le impronte non escono mai dal telefono e noi non li vediamo.
• Fotocamera e foto, solo per lo staff (il cliente non carica immagini): l'app le apre solo quando chi lavora sceglie di scattare o allegare un'immagine di un piatto o di una sala, e carica soltanto quella. Le foto si salvano senza i dati di posizione dello scatto. Per le foto dei piatti: un controllo automatico, che gira sul computer dell'assistente interno descritto più sotto, guarda se la foto è nitida e se il piatto si vede intero, e la foto non è usata per riconoscere persone.
• Niente posizione, contatti, pubblicità o tracciamento: l'app non li chiede e non li usa.

Se lavorate in una delle nostre strutture

Lo staff entra con l'account aziendale che gli assegna l'amministratore. Il gestionale registra chi ha fatto cosa e quando (per esempio chi ha modificato un preventivo o mandato un importo al terminale di pagamento) e l'indirizzo IP degli accessi, per sicurezza e per poter ricostruire un errore. Se l'amministratore vi registra il cellulare, lo teniamo cifrato e lo usiamo per gli avvisi via SMS, per esempio due eventi confermati nella stessa sala. Un rapporto conta i preventivi di ciascun operatore (fatti, confermati, annullati, valore): lo vede solo chi ha il permesso dedicato, e non decide niente da solo. Base giuridica: il rapporto di lavoro e il legittimo interesse a proteggere i dati dei clienti. Le regole complete sono nell'informativa per i dipendenti che ricevete dal datore di lavoro.

Cancellare i dati e l'account

Il cliente non crea un account nell'app: l'accesso nasce dal preventivo. Per cancellare i vostri dati, o solo l'accesso all'app o le notifiche, usate la pagina di cancellazione dei dati, oppure scriveteci all'indirizzo qui sopra. Vi mandiamo un'email per confermare che la richiesta è vostra, e rispondiamo entro un mese.

• Cosa si cancella: nome, recapiti, codice fiscale, festeggiato, nominativi e allergie degli invitati, messaggi della chat, i telefoni registrati per le notifiche e le copie dei vostri dati che vi avessimo preparato in un file.
• Cosa resta, e perché: preventivi e incassi restano per dieci anni, perché la legge lo chiede per le scritture contabili, ma senza il vostro nome e i vostri recapiti accanto. Restano invece come sono stati emessi le fatture elettroniche, con i dati fiscali che la legge chiede di riportarvi, e i contratti già firmati in PDF, che sono la prova dell'accordo. Della firma restano l'impronta del documento e l'ora, senza numero né indirizzo IP. Le copie di sicurezza cifrate non si riaprono per un singolo dato: scadono da sole, come scritto qui sotto.
• Solo l'app o le notifiche: i telefoni collegati al vostro evento si scollegano subito, alla conferma; preventivo e documenti restano.

L'account dello staff lo chiude l'amministratore quando il rapporto finisce.

Per quanto tempo

• Anonimizzati 30 giorni dopo l'evento, in automatico.
• Anonimizzate insieme ai nominativi, 30 giorni dopo l'evento.
• Preventivi, contratti firmati e incassi restano in archivio: la legge chiede di conservare per dieci anni le scritture contabili e i documenti che le giustificano, e sono la storia dei ricevimenti fatti. Se ci chiedete di cancellare i vostri dati, dalla scheda e dal preventivo spariscono nome, recapiti, codice fiscale e note; i contratti già firmati in PDF restano come sono stati firmati, perché sono la prova dell'accordo.
• Le fatture elettroniche si conservano per il tempo che impone la legge, almeno dieci anni, nell'archivio del gestionale e nella conservazione a norma tenuta per noi da Openapi, con i dati fiscali che vi vanno scritti. Restano anche se ci chiedete di cancellare i vostri dati.
• Una scheda cliente resta nella rubrica anche se non ne nasce nessun preventivo, compresa quella aperta per rispondere a una vostra richiesta di appuntamento: non si cancella da sola, e le richieste collegate restano con lei come sua storia. Se ci chiedete di cancellarla, la scheda sparisce e dalle richieste collegate spariscono i vostri dati.
• I messaggi della chat restano con il preventivo, come la corrispondenza dell'evento; se ci chiedete di cancellare i vostri dati, si cancellano tutti.
• L'identificativo del telefono per le notifiche dell'app si cancella quando uscite dall'app, quando togliete il permesso o la disinstallate (alla prima notifica che non arriva più) e quando ce lo chiedete.
• Indirizzo IP e dispositivo per dodici mesi; oltre resta solo il fatto, senza chi.
• Le richieste scritte dagli operatori all'assistente interno, con le bozze che ne nascono, si cancellano dopo dodici mesi.
• La prova della firma (impronta del documento, ora, numero e indirizzo IP) vive quanto il contratto che accompagna; se ci chiedete di cancellare i vostri dati, restano l'impronta e l'ora, senza numero né indirizzo.
• Copie di sicurezza cifrate: si diradano con il tempo (tutte per una settimana, una al giorno per un mese, una a settimana per due mesi, una al mese per un anno, una all'anno per altri due anni) e poi si cancellano da sole. Un dato cancellato resta nelle copie più vecchie finché non scadono, e una copia si riapre solo per un ripristino.

A chi arrivano

Oltre al personale autorizzato della struttura, i dati passano solo da questi soggetti. Quasi tutti sono fornitori che li trattano per nostro conto, come responsabili del trattamento; quelli segnati come titolari autonomi li ricevono per un compito loro (l'Agenzia delle Entrate per legge, i servizi di pagamento per le regole antiriciclaggio e antifrode, WhatsApp per il suo servizio) e li trattano secondo la propria informativa.

• Netsons — Tutti i dati del gestionale, documenti e foto compresi, in quanto ospita il server · Italia · Sempre
• Hetzner Online — La seconda copia di sicurezza, cifrata: la banca dati ogni notte, documenti e foto ogni settimana · Germania o Finlandia · Copie di sicurezza
• Mailgun (Sinch) — Indirizzo email, contenuto dei messaggi e il loro esito (consegnato, aperto, respinto) · Unione Europea · Invio di preventivi, contratti, copie di cortesia delle fatture, codici d'accesso, avvisi e promemoria
• Openapi S.p.A. · SMS — Numero di cellulare e testo del messaggio · Italia · SMS con il codice di firma, il codice d'accesso all'app, i collegamenti al portale e i promemoria
• Openapi S.p.A. · Fatturazione elettronica (SDI) — I dati della fattura: nome o ragione sociale, codice fiscale o partita IVA, indirizzo, PEC o codice destinatario, importi e descrizione · Italia · Emissione di una fattura su un incasso: la trasmette allo SdI e la conserva a norma
• Agenzia delle Entrate · Sistema di Interscambio — La fattura elettronica, con i dati fiscali che contiene · Italia · Ogni fattura emessa: è un obbligo di legge · titolare autonomo
• Google (Firebase Cloud Messaging) e Apple — L'identificativo del telefono su cui è installata l'app e il testo breve della notifica · Stati Uniti, Unione Europea · Notifiche dell'app Open Plan, ai clienti e allo staff, se le hanno permesse sul telefono
• Meta (WhatsApp) — Numero di cellulare e testo del messaggio · Irlanda · Quando si sceglie di mandare il collegamento al portale su WhatsApp, o quando scrivete alla struttura su WhatsApp dal portale · titolare autonomo
• OpenStreetMap Foundation (Nominatim) — L'indirizzo che l'operatore sta digitando, per completarlo; la richiesta parte dal nostro server · Regno Unito, con decisione di adeguatezza della Commissione europea · Compilazione di un indirizzo nella scheda cliente
• PayPal (Europe) S.à r.l. et Cie, S.C.A. — Importo e riferimento del preventivo; i dati del conto o della carta li inserisce il cliente direttamente su PayPal · Lussemburgo · Pagamento online dal portale, se il cliente sceglie PayPal · titolare autonomo
• Stripe Payments Europe Ltd — Importo, riferimento del preventivo ed email del cliente; i dati della carta li inserisce il cliente direttamente sulla pagina di Stripe · Irlanda · Pagamento con carta dal portale, se il cliente sceglie Stripe · titolare autonomo
• myPOS — Online: importo, riferimento del preventivo, nome ed email del cliente. Al terminale in sede: importo e un riferimento numerico, senza nome. I dati della carta li inserisce il cliente sulla pagina di myPOS, o li legge il terminale · Unione Europea · Pagamento con carta dal portale o al terminale della struttura · titolare autonomo
• Application Web (fornitore del gestionale) — Assistenza tecnica con accesso al server e alla banca dati; il computer su cui gira l'assistente interno, che riceve il testo scritto dagli operatori · Italia · Manutenzione, sviluppo e assistente interno

Fuori dallo Spazio economico europeo i dati vanno in due casi, e li nominiamo invece di tacerli: il servizio che completa gli indirizzi ha sede nel Regno Unito, che la Commissione europea considera adeguato; le notifiche dell'app passano da Google e, sugli iPhone, da Apple, che ricevono l'identificativo del telefono e il testo breve della notifica, con le garanzie del quadro UE-USA sulla protezione dei dati. Se un fornitore europeo si appoggia a società del suo gruppo fuori dall'Europa, lo fa con le garanzie previste dal Regolamento.

Cookie

Il gestionale, il portale e l'app usano solo cookie tecnici, che non chiedono consenso: open-plan-session, la sessione, e XSRF-TOKEN, che protegge i moduli da invii fatti a vostra insaputa da altri siti; nell'app, op_app_evento e op_app_eventi ricordano gli eventi aperti per non chiedervi il codice ogni volta, fino a 90 giorni. Due cookie riconoscono un apparecchio della struttura e non una persona: op_schermo sui televisori della sala e op_cassa sul terminale di pagamento myPOS, finché qualcuno non li scollega. Nessun cookie di analisi, di profilazione o di pubblicità.

I vostri diritti

Potete chiederci di vedere i dati che abbiamo su di voi, di correggerli, di cancellarli, di limitarne l'uso, di riceverli in un file da portare altrove e di opporvi al trattamento. Dove il trattamento si basa sul consenso — le allergie — potete ritirarlo quando volete, senza che questo tolga validità a quello che è stato fatto prima.

Se ci chiedete i vostri dati in un file, lo prepariamo sul nostro server e lo cancelliamo al più tardi 30 giorni dopo; subito, se poi ci chiedete di cancellare i vostri dati.

La cancellazione la potete chiedere anche dalla pagina di cancellazione dei dati: cancelliamo tutto quello che la legge non ci obbliga a conservare; le fatture elettroniche e i contratti già firmati restano come sono stati emessi, per i tempi scritti più sopra.

Scrivete a privacy@openland.it: la risposta arriva entro un mese. Se pensate che stiamo sbagliando, potete rivolgervi al Garante per la protezione dei dati personali.

Come li proteggiamo

Il gestionale è raggiungibile solo in HTTPS, i documenti stanno su un'archiviazione privata e si aprono con collegamenti firmati che scadono, le copie di sicurezza sono cifrate, e i dati più delicati — codice fiscale, telefono, allergie — sono cifrati anche dentro la banca dati. Chi lavora sul gestionale vede soltanto quello che gli serve: i permessi sono assegnati per ruolo e, dove previsto, limitati alla propria struttura.

Decisioni automatiche

Non prendiamo decisioni automatizzate sul vostro conto. Il gestionale ha un assistente, Plany, che propone all'operatore una bozza di menù a partire da quello che l'operatore gli scrive (dove possono comparire il vostro nome e i dettagli dell'evento) e dal nostro catalogo: è un suggerimento, e decide sempre una persona. Plany gira su un computer di Application Web, il fornitore del gestionale, raggiunto attraverso una rete privata cifrata; non usa servizi di intelligenza artificiale di terzi e quello che riceve non serve ad addestrare nessun modello. Le richieste e le bozze si cancellano dopo dodici mesi.