Chef VolpeInformativa sul trattamento dei dati personali
Ai sensi degli artt. 13 e 14 del Regolamento (UE) 2016/679 («GDPR») e del D.Lgs. 196/2003 come modificato dal D.Lgs. 101/2018. Ultimo aggiornamento: 30 ottobre 2026.
La presente informativa descrive come vengono trattati i dati personali degli utenti del servizio «Chef Volpe», composto dal bot Telegram @ChefVolpeBot (il «Bot») e dal sito chefvolpe.it (il «Sito»). Il servizio è gratuito, privo di pubblicità e non ha finalità commerciali. Non è un servizio del Comune né dell’istituto scolastico.
1. Titolare del trattamento
Titolare del trattamento è Marco Fabbri, contattabile tramite il modulo contatti del sito oppure all’indirizzo email privacy@chefvolpe.it, ai quali possono essere indirizzate tutte le richieste relative alla presente informativa e all’esercizio dei diritti. Non è stato nominato un Responsabile della protezione dei dati (DPO), non essendone ricorrenti i presupposti di cui all’art. 37 GDPR.
2. Dati trattati
a) Utenti del Bot. Quando un utente avvia il Bot o ne modifica le impostazioni vengono trattati:
- l’identificativo numerico della chat Telegram;
- nome, cognome e username così come impostati dall’utente nel proprio profilo Telegram (il cognome e lo username solo se presenti);
- l’orario di invio scelto, lo stato dell’invio automatico (attivo o in pausa), la data dell’ultimo menu inviato e la data dell’ultimo aggiornamento.
- solo per chi li ha usati fino al 30 ottobre 2026, quando la funzione di suggerimento della cena è stata sospesa: le preferenze alimentari scelte con il comando /gusti, tra quelle predefinite proposte dai pulsanti (ad esempio «niente pesce»); la parola con cui l’utente aveva scelto di far chiamare il proprio figlio nei messaggi («volpino» o «volpina»), che è una preferenza di stile e non un dato anagrafico; la data dell’ultima richiesta del comando /cena e il numero di richieste effettuate in quella giornata. Da quella data questi dati non vengono più raccolti né usati: restano conservati, senza alcun trattamento ulteriore, al solo scopo di poter riattivare la funzione se gli utenti lo chiedono, senza far ripetere la scelta. Non esiste alcuno storico delle richieste del singolo utente.
Il Bot non riceve il numero di telefono dell’utente e non conserva il contenuto dei messaggi: i comandi ricevuti sono elaborati per fornire la risposta e non vengono memorizzati.
b) Visitatori del Sito. La navigazione comporta la trasmissione di dati tecnici (indirizzo IP, tipo di browser e dispositivo, pagina richiesta, sito di provenienza), necessari per erogare le pagine e proteggerle da abusi. Le statistiche di visita sono raccolte con Cloudflare Web Analytics in forma aggregata, senza cookie e senza identificare il singolo visitatore (si veda la Cookie policy).
c) Chi ci contatta tramite il modulo contatti o scrivendo a privacy@chefvolpe.it: nome, indirizzo email e contenuto del messaggio, usati solo per rispondere. Il modulo è protetto da Cloudflare Turnstile, che per distinguere le persone dai bot elabora segnali tecnici del browser (come indirizzo IP e user agent) senza leggere quanto scritto nel modulo.
d) Amministratori del servizio. Chi accede all’area di amministrazione (il Titolare e gli amministratori autorizzati) ha un nome utente e una password, conservata solo come hash. Per proteggere l’accesso, a ogni tentativo di accesso fallito vengono registrati il numero dei tentativi, l’ora del primo tentativo e fino a tre indirizzi IP da cui provengono; se i tentativi superano una soglia, un avviso con il nome utente, il numero di tentativi e gli indirizzi IP viene inviato agli amministratori via Telegram. Questi dati si azzerano al primo accesso riuscito o dopo quindici minuti dal primo tentativo, e riguardano chiunque provi ad accedere, anche senza esserne autorizzato.
Il servizio non richiede e non tratta dati relativi ai bambini, né categorie particolari di dati (art. 9 GDPR). I menu sono gli stessi per tutti e non contengono informazioni su allergie o diete individuali; le preferenze del comando /gusti sono scelte predefinite di gusto, non dati sanitari, e il Bot invita a rivolgersi alla scuola per allergie, intolleranze o diete mediche.
3. Finalità e base giuridica
| Finalità | Dati | Base giuridica |
|---|---|---|
| Invio del menu della mensa all’orario scelto e risposta ai comandi del Bot | 2.a | Esecuzione del servizio richiesto dall’interessato (art. 6.1.b GDPR) |
| Invio di comunicazioni di servizio agli iscritti (es. variazioni del menu, sospensioni) | 2.a | Esecuzione del servizio richiesto (art. 6.1.b GDPR) |
| Notifica agli amministratori di una nuova iscrizione, per la gestione del servizio | nome, cognome e username | Legittimo interesse al corretto funzionamento del servizio (art. 6.1.f GDPR) |
| Copie di sicurezza settimanali del database, per ripristinare il servizio dopo un guasto | 2.a | Legittimo interesse alla continuità del servizio (art. 6.1.f GDPR) |
| Erogazione e sicurezza del Sito, statistiche aggregate di visita | 2.b | Legittimo interesse (art. 6.1.f GDPR) |
| Risposta ai messaggi inviati con il modulo contatti o via email | 2.c | Richiesta dell’interessato (art. 6.1.b GDPR); per le richieste sui diritti, obbligo legale (art. 6.1.c GDPR) |
| Protezione del modulo contatti da spam e abusi automatizzati | segnali tecnici di Turnstile | Legittimo interesse (art. 6.1.f GDPR) |
| Conservazione delle preferenze di /gusti e dei dati di /cena già raccolti, per poter riattivare il suggerimento della cena (sospeso dal 30 ottobre 2026) senza far ripetere la scelta | preferenze, «volpino» o «volpina», data e numero delle richieste dell’ultimo giorno di utilizzo | Legittimo interesse (art. 6.1.f GDPR); l’interessato può chiederne in ogni momento la cancellazione o cancellarli con /stop |
| Protezione dell’area di amministrazione e segnalazione dei tentativi di accesso anomali | 2.d | Legittimo interesse alla sicurezza del servizio (art. 6.1.f GDPR) |
I dati non sono utilizzati per finalità di marketing, non sono ceduti a terzi e non sono oggetto di profilazione né di decisioni automatizzate ai sensi dell’art. 22 GDPR. I consigli sul menu sono generati automaticamente a partire dal solo testo del menu, senza alcun dato degli utenti.
4. Natura del conferimento
I dati indicati al punto 2.a sono necessari per ricevere il menu tramite il Bot: senza di essi il servizio non può essere fornito. L’utente può comunque impostare su Telegram un nome di fantasia e non impostare username o cognome.
5. Modalità del trattamento e soggetti coinvolti
I dati sono trattati con strumenti elettronici, con misure adeguate a garantirne la riservatezza (accesso all’area di amministrazione protetto da credenziali personali, connessioni cifrate). Vi accedono solo il Titolare e un numero ristretto di amministratori autorizzati e istruiti ai sensi dell’art. 29 GDPR.
Per erogare il servizio il Titolare si avvale dei seguenti fornitori, in qualità di responsabili del trattamento (art. 28 GDPR):
- Cloudflare, Inc. (Stati Uniti): hosting del Sito e del Bot, database, registri tecnici, protezione da attacchi, statistiche di visita, verifica anti-bot del modulo contatti (Turnstile, vedi anche il relativo addendum privacy) e inoltro via email dei messaggi del modulo alla casella del Titolare. Informativa di Cloudflare.
- Google LLC (Stati Uniti), servizio Gemini: generazione dei consigli sul menu. Riceve esclusivamente il testo del menu: nessun dato personale degli utenti. Fino al 30 ottobre 2026 ha generato anche il suggerimento per la cena, le ricette del ricettario e i disegni che le illustrano, ricevendo i nomi dei piatti, il mese, le preferenze di gusto come etichette (ad esempio «niente pesce») e la parola scelta per il bambino, senza alcun riferimento alla persona che le aveva scelte.
- Anthropic PBC e Google LLC (Stati Uniti), tramite un sistema di instradamento gestito direttamente dal Titolare o tramite le API di Anthropic PBC: fino al 30 ottobre 2026, preparazione notturna del suggerimento per la cena, scrittura delle ricette del ricettario e della descrizione del piatto da cui nasce ogni illustrazione, con gli stessi contenuti descritti alla voce precedente e, per le illustrazioni, gli ingredienti e i passaggi delle ricette: nessun dato personale degli utenti. Da quella data non ricevono più alcun contenuto dal servizio.
- GitHub, Inc. (Stati Uniti, gruppo Microsoft): conservazione delle copie di sicurezza settimanali del database, in un’area riservata accessibile solo al Titolare.
Telegram (Telegram Messenger Inc.) tratta i dati dei propri utenti in qualità di titolare autonomo, secondo la propria informativa: l’uso del Bot presuppone un account Telegram e l’accettazione dei relativi termini.
6. Trasferimento dei dati fuori dall’Unione europea
I fornitori indicati al punto 5 possono trattare i dati negli Stati Uniti o in altri Paesi extra UE. Il trasferimento avviene sulla base della decisione di adeguatezza della Commissione europea relativa all’EU-U.S. Data Privacy Framework, cui i fornitori aderiscono, e/o delle clausole contrattuali standard approvate dalla Commissione (art. 46 GDPR).
7. Periodo di conservazione
- Dati degli iscritti al Bot: finché l’utente resta iscritto, anche con l’invio automatico in pausa. Con il comando /stop i dati vengono cancellati immediatamente dal database; lo stesso avviene automaticamente se l’utente blocca il Bot, al primo invio successivo che Telegram rifiuta.
- Copie di ripristino del database: i dati cancellati possono restare nelle copie di ripristino gestite da Cloudflare per un massimo di 7 giorni, trascorsi i quali sono eliminati definitivamente.
- Copie di sicurezza settimanali: ogni domenica una copia completa del database, compresi i dati degli iscritti, viene salvata presso GitHub in un’area riservata accessibile solo al Titolare, e viene eliminata automaticamente dopo 90 giorni. I dati cancellati, anche con /stop, possono quindi restare in queste copie fino a 90 giorni; servono solo a ripristinare il servizio dopo un guasto.
- Registri tecnici del Sito e del Bot: pochi giorni, secondo le impostazioni del fornitore.
- Tentativi di accesso falliti all’area di amministrazione (punto 2.d): fino al primo accesso riuscito o a quindici minuti dal primo tentativo; l’avviso resta nelle chat Telegram degli amministratori finché non lo cancellano.
- Notifiche di nuova iscrizione: restano nelle chat Telegram degli amministratori finché non vengono cancellate da questi ultimi; su richiesta dell’interessato vengono eliminate.
- Messaggi del modulo contatti e richieste via email: non sono salvati sul Sito, ma recapitati nella casella di posta del Titolare, dove restano il tempo necessario a gestirli e, al massimo, 24 mesi per documentare il riscontro dato.
8. Diritti dell’interessato
L’interessato può in ogni momento esercitare i diritti previsti dagli artt. 15–22 GDPR: accesso ai dati, rettifica, cancellazione, limitazione del trattamento, portabilità, opposizione al trattamento basato sul legittimo interesse. La cancellazione può essere ottenuta in autonomia con il comando /stop, tramite il modulo contatti oppure scrivendo a privacy@chefvolpe.it. Il riscontro è fornito senza ritardo e comunque entro un mese dalla richiesta.
L’interessato ha inoltre il diritto di proporre reclamo al Garante per la protezione dei dati personali (www.garanteprivacy.it) o all’autorità di controllo dello Stato UE in cui risiede o lavora.
9. Modifiche
La presente informativa può essere aggiornata, ad esempio in caso di nuove funzioni del servizio. La versione in vigore è sempre pubblicata su questa pagina, con la data dell’ultimo aggiornamento; in caso di modifiche rilevanti gli iscritti ne saranno informati tramite il Bot.