Brigata · Privacy Policy

Informativa ai sensi degli artt. 13–14 Reg. UE 2016/679 (GDPR) · Ultimo aggiornamento: 25 settembre 2026

1. Titolare del trattamento

Brigata by ZBLTS Team — P.IVA IT03329820603 — Italia
Email di contatto per la privacy: [email protected]

2. Ruoli: chi è titolare di cosa

Brigata è un software gestionale per cucine professionali usato da organizzazioni (ristoranti, hotel, pizzerie — di seguito "l'Organizzazione").

Per i dati dell'account dell'Organizzazione (registrazione, fatturazione, contatti) il Titolare è Brigata.
Per i dati dei membri della squadra inseriti nell'app (nomi, foto, turni, presenze, tariffe orarie), il Titolare è l'Organizzazione (il datore di lavoro), mentre Brigata agisce come Responsabile del trattamento ex art. 28 GDPR, secondo l'accordo (DPA) collegato ai Termini di servizio.
Per i dati degli ospiti che prenotano online (nome, telefono, email forniti volontariamente dal cliente del ristorante), il Titolare è l'Organizzazione, mentre Brigata agisce come Responsabile del trattamento. I dati degli ospiti sono accessibili esclusivamente all'Organizzazione interessata e non vengono condivisi tra Organizzazioni diverse.

3. Dati trattati

Categoria	Dati	Finalità
Account	Nome, password (conservata solo come hash Argon2id con salt), ruolo, organizzazione, email	Autenticazione, funzionamento del servizio, comunicazioni operative
Foto profilo	Immagine caricata volontariamente dal membro	Identificazione visiva nella squadra
Turni e presenze	Date, orari di inizio/fine turno, note, riepiloghi mensili	Organizzazione del lavoro e adempimenti del datore di lavoro
Dati economici	Tariffe orarie, costo lavoro, incassi, prezzi ingredienti, food cost	Calcoli gestionali; visibili nell'app solo ai ruoli autorizzati
Documenti fotografati	Foto di fatture/bolle fornitori e sprechi caricate dall'utente	Estrazione automatica dei prezzi e riconoscimento sprechi tramite AI
Prenotazioni e clienti	Nome, telefono ed email dell'ospite (forniti volontariamente); data, orario, coperti, note; punti fedeltà	Gestione delle prenotazioni e del programma fedeltà per conto dell'Organizzazione; email di conferma e promemoria
Sicurezza e accesso	Log di sicurezza (IP anonimizzati dopo 90 giorni); segreto TOTP e codici di recupero 2FA (cifrati/hashati SHA-256)	Prevenzione delle frodi, protezione degli account, audit di sicurezza
Notifiche push	Endpoint di sottoscrizione push del browser	Invio di notifiche operative, solo previo consenso del browser
Feedback AI	Suggerimento prodotto dall'AI e valore finale confermato dall'utente	Miglioramento della qualità del riconoscimento AI (non contiene dati personali dei dipendenti)
Dati tecnici	Cookie di sessione, log applicativi di errore	Funzionamento e sicurezza del servizio
Dati di fiscalizzazione	Dati di scontrino e fattura, inclusa l'identità del destinatario B2B (denominazione, P.IVA, indirizzo, codice SDI/PEC)	Firma e trasmissione dei corrispettivi/fatture all'Agenzia delle Entrate tramite fiskaly (se attiva); conservazione legale
Chat, chiamate e dettatura	Messaggi di testo, foto, vocali e video della chat di squadra; reazioni; chiamate audio/video in tempo reale (non registrate); audio dettato all'assistente AI (HACCP a voce, importazione menu)	Comunicazione interna dell'Organizzazione, visibile solo ai suoi membri; trascrizione e traduzione su richiesta tramite AI (Cloudflare Workers AI). Ogni membro può segnalare un messaggio e bloccare un altro utente
Segnalazioni e blocchi	Messaggio segnalato, motivo, nota, chi segnala; elenco degli utenti bloccati	Moderazione dei contenuti (tolleranza zero, Termini §5): gestita dai responsabili dell'Organizzazione e dal supporto Brigata entro 24 ore
Consegne (se attive)	Indirizzi dei clienti geocodificati; posizione GPS del fattorino durante la consegna, con il suo consenso dal browser	Organizzazione delle consegne e tempi di arrivo per conto dell'Organizzazione (Apple Maps Server API)

4. Basi giuridiche

Esecuzione del contratto (art. 6.1.b GDPR) per il funzionamento del servizio; obblighi legali (art. 6.1.c) per i dati fiscali e di fatturazione; legittimo interesse (art. 6.1.f) per la sicurezza e la prevenzione delle frodi. Per i dati dei membri della squadra e degli ospiti trattati per conto dell'Organizzazione, le basi giuridiche sono individuate dall'Organizzazione in qualità di Titolare.

5. Cookie

Brigata usa esclusivamente cookie tecnici: un cookie di sessione (brigata_sess, HttpOnly, Secure, SameSite=Lax) necessario all'autenticazione. Nessun cookie di profilazione, nessun tracciamento, nessuna pubblicità: per questo non è richiesto alcun banner di consenso.

6. Sub-responsabili e destinatari

Fornitore	Servizio	Garanzie
Cloudflare, Inc.	Hosting, database, archiviazione file, verifica anti-bot (Turnstile), chat e chiamate in tempo reale (Realtime), email transazionali, elaborazione AI (Workers AI) di foto, voce, messaggi e dati operativi	DPA con Clausole Contrattuali Standard (SCC); ISO 27001 e SOC 2 Type II
Stripe, Inc.	Pagamenti e fatturazione	PCI-DSS livello 1; DPA con SCC. Brigata non conserva i dati delle carte
Servizi push (Google FCM, Mozilla, Apple APNs)	Recapito delle notifiche push	Contenuto cifrato end-to-end (RFC 8291); solo previo consenso del browser
fiskaly GmbH (Austria)	Fiscalizzazione: firma dei corrispettivi, archiviazione legale (SAFE), fattura elettronica B2B (SDI) — se attiva	DPA art. 28; trattamento solo in UE; conservazione fiscale 10 anni
Apple Inc.	Apple Maps Server API: geocodifica degli indirizzi e tempi di consegna — solo se l'Organizzazione attiva le consegne	DPA Apple; nessun dato personale oltre l'indirizzo
Google LLC	Google Fonts: caratteri dell'interfaccia (il dispositivo scarica i font da Google)	Google riceve solo l'indirizzo IP del dispositivo

Le foto elaborate con AI (fatture, sprechi, menu) non vengono utilizzate per addestrare i modelli e restano nell'infrastruttura Cloudflare (EU o US a seconda del nodo di rete più vicino, con SCC per gli eventuali trasferimenti extra-UE).

7. Conservazione

Dati operativi (ricette, turni, ordini, prenotazioni): cancellati quando il Titolare elimina l'Organizzazione dall'app oppure, alla cessazione, su richiesta e previa esportazione.
Dati di fatturazione: 10 anni per obblighi fiscali.
Log di sicurezza: 12 mesi; IP anonimizzati entro 90 giorni.
Dati degli ospiti: cancellati con i dati dell'Organizzazione.

Eliminazione dell'account. Ogni utente può eliminare il proprio account dall'app (Profilo → Elimina account, con password): vengono cancellati subito credenziali, 2FA e passkey, foto profilo, notifiche e i file inviati in chat; i messaggi di testo restano firmati «Utente eliminato». Il nome resta soltanto nei registri che l'Organizzazione deve conservare (turni e presenze, HACCP, cassa, registro attività). Il Titolare può eliminare l'intera Organizzazione: utenti, registri e file vengono cancellati dai nostri server; restano solo i log di sicurezza (fino a 12 mesi) e le registrazioni presso il processore di pagamento. Le copie sull'eventuale hub on-premise sono sotto il controllo dell'Organizzazione.

8. Diritti degli interessati

Gli interessati possono esercitare i diritti degli artt. 15–22 GDPR (accesso, rettifica, cancellazione, limitazione, portabilità, opposizione) scrivendo a [email protected], o rivolgersi direttamente alla propria Organizzazione/al ristorante in qualità di Titolare. Resta salvo il diritto di reclamo all'autorità di controllo competente (in Italia, il Garante Privacy).

9. Sicurezza

Solo HTTPS (HSTS); password come hash con salt (Argon2id); 2FA TOTP e passkey/WebAuthn; documenti sensibili cifrati a riposo con protezione post-quantum; isolamento per organizzazione a livello di query; controllo accessi basato sui ruoli; rate limiting anti brute-force; notifiche push cifrate end-to-end. Dettagli: brigata.app/sicurezza.

Brigata · Datenschutzerklärung

Information gemäß Art. 13–14 EU-Verordnung 2016/679 (DSGVO) · Zuletzt aktualisiert: 25. September 2026

1. Verantwortlicher

Brigata by ZBLTS Team — USt-IdNr. IT03329820603 — Italien
Datenschutz-Kontakt: [email protected]

2. Rollen: wer wofür verantwortlich ist

Brigata ist eine Management-Software für Profiküchen, die von Organisationen (Restaurants, Hotels, Pizzerien — „die Organisation") genutzt wird.

Für die Kontodaten der Organisation (Registrierung, Abrechnung, Kontakte) ist Brigata Verantwortlicher.
Für die Daten der Teammitglieder (Namen, Fotos, Schichten, Anwesenheiten, Stundensätze) ist die Organisation (der Arbeitgeber) Verantwortlicher, während Brigata als Auftragsverarbeiter nach Art. 28 DSGVO handelt, gemäß dem mit den Nutzungsbedingungen verknüpften Vertrag (AVV).
Für die Daten der Gäste, die online buchen (freiwillig angegebener Name, Telefon, E-Mail) ist die Organisation Verantwortlicher, Brigata Auftragsverarbeiter. Gästedaten sind ausschließlich der betreffenden Organisation zugänglich und werden nicht zwischen Organisationen geteilt.

3. Verarbeitete Daten

Kategorie	Daten	Zweck
Konto	Name, Passwort (nur als Argon2id-Hash mit Salt), Rolle, Organisation, E-Mail	Authentifizierung, Betrieb des Dienstes, betriebliche Mitteilungen
Profilfoto	Freiwillig hochgeladenes Bild	Visuelle Identifikation im Team
Schichten und Anwesenheiten	Daten, Start-/Endzeiten, Notizen, Monatsübersichten	Arbeitsorganisation und Arbeitgeberpflichten
Wirtschaftsdaten	Stundensätze, Personalkosten, Umsätze, Zutatenpreise, Food-Cost	Betriebliche Berechnungen; in der App nur berechtigten Rollen sichtbar
Fotografierte Dokumente	Fotos von Lieferantenrechnungen und Abfällen	Automatische Preiserfassung und Abfallerkennung per KI
Reservierungen und Kunden	Freiwillig angegebener Name, Telefon, E-Mail; Datum, Uhrzeit, Gedecke, Notizen; Treuepunkte	Verwaltung von Reservierungen und Treueprogramm im Auftrag der Organisation; Bestätigungs- und Erinnerungs-E-Mails
Sicherheit und Zugriff	Sicherheitsprotokolle (IP nach 90 Tagen anonymisiert); TOTP-Geheimnis und 2FA-Wiederherstellungscodes (verschlüsselt/SHA-256)	Betrugsprävention, Kontoschutz, Sicherheitsaudit
Push-Benachrichtigungen	Push-Abo-Endpunkt des Browsers	Betriebliche Benachrichtigungen, nur mit Browser-Einwilligung
KI-Feedback	KI-Vorschlag und vom Nutzer bestätigter Endwert	Verbesserung der KI-Erkennung (enthält keine personenbezogenen Mitarbeiterdaten)
Technische Daten	Session-Cookie, Fehlerprotokolle	Betrieb und Sicherheit des Dienstes
Fiskalisierungsdaten	Beleg- und Rechnungsdaten, einschließlich Identität des B2B-Empfängers (Name, USt-IdNr., Anschrift, SDI-Code/PEC)	Signatur und Übermittlung der Belege/Rechnungen an die Steuerbehörde über fiskaly (falls aktiv); gesetzliche Aufbewahrung
Chat, Anrufe und Diktat	Textnachrichten, Fotos, Sprachnachrichten und Videos des Team-Chats; Reaktionen; Audio-/Videoanrufe in Echtzeit (nicht aufgezeichnet); dem KI-Assistenten diktiertes Audio (HACCP per Sprache, Menüimport)	Interne Kommunikation der Organisation, nur für ihre Mitglieder sichtbar; Transkription und Übersetzung auf Anfrage per KI (Cloudflare Workers AI). Jedes Mitglied kann eine Nachricht melden und einen anderen Nutzer blockieren
Meldungen und Blockierungen	Gemeldete Nachricht, Grund, Notiz, meldende Person; Liste der blockierten Nutzer	Inhaltsmoderation (Null Toleranz, Bedingungen §5): durch die Verantwortlichen der Organisation und den Brigata-Support innerhalb von 24 Stunden
Lieferungen (falls aktiv)	Geokodierte Kundenadressen; GPS-Position des Fahrers während der Lieferung, mit seiner Einwilligung im Browser	Organisation der Lieferungen und Ankunftszeiten im Auftrag der Organisation (Apple Maps Server API)

4. Rechtsgrundlagen

Vertragserfüllung (Art. 6.1.b DSGVO) für den Betrieb des Dienstes; rechtliche Pflichten (Art. 6.1.c) für Steuer- und Abrechnungsdaten; berechtigtes Interesse (Art. 6.1.f) für Sicherheit und Betrugsprävention. Für die im Auftrag der Organisation verarbeiteten Team- und Gästedaten legt die Organisation als Verantwortlicher die Rechtsgrundlagen fest.

5. Cookies

Brigata verwendet ausschließlich technische Cookies: ein Session-Cookie (brigata_sess, HttpOnly, Secure, SameSite=Lax) zur Authentifizierung. Keine Profiling-Cookies, kein Tracking, keine Werbung — daher ist kein Consent-Banner erforderlich.

6. Unterauftragsverarbeiter und Empfänger

Anbieter	Dienst	Garantien
Cloudflare, Inc.	Hosting, Datenbank, Dateispeicher, Bot-Prüfung (Turnstile), Chat und Anrufe in Echtzeit (Realtime), Transaktions-E-Mails, KI-Verarbeitung (Workers AI) von Fotos, Sprache, Nachrichten und Betriebsdaten	AVV mit Standardvertragsklauseln (SCC); ISO 27001 und SOC 2 Type II
Stripe, Inc.	Zahlungen und Abrechnung	PCI-DSS Level 1; AVV mit SCC. Brigata speichert keine Kartendaten
Push-Dienste (Google FCM, Mozilla, Apple APNs)	Zustellung von Benachrichtigungen	Ende-zu-Ende verschlüsselt (RFC 8291); nur mit Browser-Einwilligung
fiskaly GmbH (Österreich)	Fiskalisierung: Beleg-Signatur, gesetzliche Archivierung (SAFE), elektronische B2B-Rechnung (SDI) — falls aktiv	AVV Art. 28; Verarbeitung nur in der EU; steuerliche Aufbewahrung 10 Jahre
Apple Inc.	Apple Maps Server API: Geokodierung von Adressen und Lieferzeiten — nur wenn die Organisation Lieferungen aktiviert	Apple-AVV; keine personenbezogenen Daten außer der Adresse
Google LLC	Google Fonts: Schriften der Oberfläche (das Gerät lädt die Schriften von Google)	Google erhält nur die IP-Adresse des Geräts

Mit KI verarbeitete Fotos werden nicht zum Training der Modelle verwendet und bleiben in der Cloudflare-Infrastruktur (EU oder US je nach nächstem Netzknoten, mit SCC für etwaige Drittlandübermittlungen).

7. Speicherung

Betriebsdaten (Rezepte, Schichten, Bestellungen, Reservierungen): gelöscht, wenn der Inhaber die Organisation in der App löscht, oder bei Vertragsende auf Anfrage nach Exportmöglichkeit.
Abrechnungsdaten: 10 Jahre aufgrund steuerlicher Pflichten.
Sicherheitsprotokolle: 12 Monate; IP innerhalb von 90 Tagen anonymisiert.
Gästedaten: gelöscht zusammen mit den Daten der Organisation.

Kontolöschung. Jeder Nutzer kann sein Konto in der App löschen (Profil → Konto löschen, mit Passwort): Zugangsdaten, 2FA und Passkeys, Profilfoto, Benachrichtigungen und im Chat gesendete Dateien werden sofort gelöscht; Textnachrichten bleiben mit „Gelöschter Nutzer“ gezeichnet. Der Name bleibt nur in den Aufzeichnungen, die die Organisation führen muss (Schichten und Anwesenheit, HACCP, Kasse, Aktivitätsprotokoll). Der Inhaber kann die gesamte Organisation löschen: Nutzer, Aufzeichnungen und Dateien werden von unseren Servern gelöscht; es bleiben nur Sicherheitsprotokolle (bis zu 12 Monate) und Aufzeichnungen beim Zahlungsdienstleister. Kopien auf einem etwaigen On-Premise-Hub unterliegen der Kontrolle der Organisation.

8. Rechte der betroffenen Personen

Betroffene können die Rechte nach Art. 15–22 DSGVO (Auskunft, Berichtigung, Löschung, Einschränkung, Übertragbarkeit, Widerspruch) unter [email protected] ausüben oder sich direkt an ihre Organisation/das Restaurant als Verantwortlichen wenden. Das Beschwerderecht bei der zuständigen Aufsichtsbehörde bleibt unberührt.

9. Sicherheit

Nur HTTPS (HSTS); Passwörter als gesalzener Hash (Argon2id); 2FA TOTP und Passkey/WebAuthn; sensible Dokumente ruhend mit Post-Quantum-Schutz verschlüsselt; Datenisolation je Organisation auf Query-Ebene; rollenbasierte Zugriffskontrolle; Rate-Limiting gegen Brute-Force; Ende-zu-Ende verschlüsselte Push-Benachrichtigungen. Details: brigata.app/sicurezza.

Brigata · Privacy Policy

Notice pursuant to Art. 13–14 of EU Regulation 2016/679 (GDPR) · Last updated: 25 September 2026

1. Data Controller

Brigata by ZBLTS Team — VAT IT03329820603 — Italy
Privacy contact: [email protected]

2. Roles: who controls what

Brigata is management software for professional kitchens used by organizations (restaurants, hotels, pizzerias — "the Organization").

For the Organization's account data (sign-up, billing, contacts), Brigata is the Controller.
For team members' data (names, photos, shifts, attendance, hourly rates), the Organization (the employer) is the Controller, while Brigata acts as Processor under Art. 28 GDPR, per the agreement (DPA) linked to the Terms of Service.
For data of guests who book online (name, phone, email voluntarily provided), the Organization is the Controller and Brigata the Processor. Guest data is accessible only to the relevant Organization and is never shared between Organizations.

3. Data processed

Category	Data	Purpose
Account	Name, password (stored only as an Argon2id salted hash), role, organization, email	Authentication, service operation, operational communications
Profile photo	Image voluntarily uploaded by the member	Visual identification within the team
Shifts and attendance	Dates, start/end times, notes, monthly summaries	Work organization and employer obligations
Financial data	Hourly rates, labour cost, takings, ingredient prices, food cost	Management calculations; visible in the app only to authorized roles
Photographed documents	Photos of supplier invoices/notes and waste uploaded by the user	Automatic price extraction and waste recognition via AI
Bookings and customers	Guest name, phone, email (voluntarily provided); date, time, covers, notes; loyalty points	Managing bookings and the loyalty program on behalf of the Organization; confirmation and reminder emails
Security and access	Security logs (IPs anonymized after 90 days); TOTP secret and 2FA recovery codes (encrypted/SHA-256 hashed)	Fraud prevention, account protection, security audit
Push notifications	Browser push subscription endpoint	Operational notifications, only with the browser's consent
AI feedback	AI suggestion and the final value confirmed by the user	Improving AI recognition quality (contains no employee personal data)
Technical data	Session cookie, application error logs	Service operation and security
Fiscalization data	Receipt and invoice data, including the B2B recipient's identity (name, VAT number, address, SDI code/PEC)	Signing and transmission of receipts/invoices to the tax authority via fiskaly (if active); legal retention
Chat, calls and dictation	Text messages, photos, voice notes and videos of the team chat; reactions; real-time audio/video calls (not recorded); audio dictated to the AI assistant (HACCP by voice, menu import)	Internal communication of the Organization, visible only to its members; on-demand transcription and translation via AI (Cloudflare Workers AI). Any member can report a message and block another user
Reports and blocks	Reported message, reason, note, reporter; list of blocked users	Content moderation (zero tolerance, Terms §5): handled by the Organization's managers and by Brigata support within 24 hours
Deliveries (if enabled)	Geocoded customer addresses; the courier's GPS position during a delivery, with their browser consent	Delivery organization and arrival times on behalf of the Organization (Apple Maps Server API)

4. Legal bases

Performance of the contract (Art. 6.1.b GDPR) for operating the service; legal obligations (Art. 6.1.c) for tax and billing data; legitimate interest (Art. 6.1.f) for security and fraud prevention. For team members' and guests' data processed on behalf of the Organization, the legal bases are determined by the Organization as Controller.

5. Cookies

Brigata uses strictly technical cookies only: one session cookie (brigata_sess, HttpOnly, Secure, SameSite=Lax) required for authentication. No profiling cookies, no tracking, no advertising — so no consent banner is required.

6. Sub-processors and recipients

Provider	Service	Safeguards
Cloudflare, Inc.	Hosting, database, file storage, anti-bot check (Turnstile), real-time chat and calls (Realtime), transactional e-mails, AI processing (Workers AI) of photos, voice, messages and operational data	DPA with Standard Contractual Clauses (SCC); ISO 27001 and SOC 2 Type II
Stripe, Inc.	Payments and billing	PCI-DSS Level 1; DPA with SCC. Brigata does not store card data
Push services (Google FCM, Mozilla, Apple APNs)	Delivery of notifications	End-to-end encrypted (RFC 8291); only with the browser's consent
fiskaly GmbH (Austria)	Fiscalization: receipt signing, legal archiving (SAFE), B2B e-invoicing (SDI) — if active	Art. 28 DPA; processing in the EU only; 10-year fiscal retention
Apple Inc.	Apple Maps Server API: address geocoding and delivery times — only if the Organization enables deliveries	Apple DPA; no personal data beyond the address
Google LLC	Google Fonts: interface typefaces (the device downloads the fonts from Google)	Google receives only the device's IP address

Photos processed with AI are not used to train the models and stay within Cloudflare's infrastructure (EU or US depending on the nearest network node, with SCC for any transfers outside the EU).

7. Retention

Operational data (recipes, shifts, orders, bookings): deleted when the Owner deletes the Organization from the app or, upon termination, on request after export is available.
Billing data: 10 years due to tax obligations.
Security logs: 12 months; IPs anonymized within 90 days.
Guest data: deleted together with the Organization's data.

Account deletion. Any user can delete their account from the app (Profile → Delete account, password required): credentials, 2FA and passkeys, profile photo, notifications and files sent in chat are erased right away; text messages remain signed “Deleted user”. The name only remains in the records the Organization must retain (shifts and attendance, HACCP, sales, activity log). The Owner can delete the whole Organization: users, records and files are erased from our servers; only security logs (up to 12 months) and records held by the payment processor remain. Copies on an on-premise hub, if any, are under the Organization's control.

8. Data subjects' rights

Data subjects may exercise their rights under Art. 15–22 GDPR (access, rectification, erasure, restriction, portability, objection) by writing to [email protected], or contact their Organization/the restaurant directly as Controller. The right to lodge a complaint with the competent supervisory authority remains unaffected.

9. Security

HTTPS only (HSTS); passwords as salted hashes (Argon2id); 2FA TOTP and passkey/WebAuthn; sensitive documents encrypted at rest with post-quantum protection; per-organization data isolation at query level; role-based access control; anti-brute-force rate limiting; end-to-end encrypted push notifications. Details: brigata.app/sicurezza.

Brigata · Política de Privacidad

Información conforme a los art. 13–14 del Reg. UE 2016/679 (RGPD) · Última actualización: 25 de septiembre de 2026

1. Responsable del tratamiento

Brigata by ZBLTS Team — NIF IT03329820603 — Italia
Contacto de privacidad: [email protected]

2. Roles: quién es responsable de qué

Brigata es un software de gestión para cocinas profesionales usado por organizaciones (restaurantes, hoteles, pizzerías — «la Organización»).

Para los datos de la cuenta de la Organización (registro, facturación, contactos), el Responsable es Brigata.
Para los datos de los miembros del equipo (nombres, fotos, turnos, asistencias, tarifas), el Responsable es la Organización (el empleador), y Brigata actúa como Encargado del tratamiento según el art. 28 RGPD, conforme al acuerdo (DPA) vinculado a los Términos del servicio.
Para los datos de los clientes que reservan online (nombre, teléfono, email facilitados voluntariamente), el Responsable es la Organización y Brigata el Encargado. Los datos de los clientes solo son accesibles a la Organización correspondiente y nunca se comparten entre Organizaciones.

3. Datos tratados

Categoría	Datos	Finalidad
Cuenta	Nombre, contraseña (solo como hash Argon2id con salt), rol, organización, email	Autenticación, funcionamiento del servicio, comunicaciones operativas
Foto de perfil	Imagen subida voluntariamente por el miembro	Identificación visual en el equipo
Turnos y asistencias	Fechas, horas de inicio/fin, notas, resúmenes mensuales	Organización del trabajo y obligaciones del empleador
Datos económicos	Tarifas, coste laboral, ingresos, precios de ingredientes, food cost	Cálculos de gestión; visibles en la app solo a los roles autorizados
Documentos fotografiados	Fotos de facturas/albaranes de proveedores y desperdicios	Extracción automática de precios y reconocimiento de desperdicios con IA
Reservas y clientes	Nombre, teléfono, email del cliente (facilitados voluntariamente); fecha, hora, comensales, notas; puntos de fidelidad	Gestión de reservas y del programa de fidelidad por cuenta de la Organización; emails de confirmación y recordatorio
Seguridad y acceso	Registros de seguridad (IP anonimizadas tras 90 días); secreto TOTP y códigos de recuperación 2FA (cifrados/SHA-256)	Prevención del fraude, protección de cuentas, auditoría de seguridad
Notificaciones push	Endpoint de suscripción push del navegador	Notificaciones operativas, solo con consentimiento del navegador
Feedback IA	Sugerencia de la IA y valor final confirmado por el usuario	Mejora del reconocimiento IA (no contiene datos personales de empleados)
Datos técnicos	Cookie de sesión, registros de error	Funcionamiento y seguridad del servicio
Datos de fiscalización	Datos de tiques y facturas, incluida la identidad del destinatario B2B (denominación, NIF, dirección, código SDI/PEC)	Firma y transmisión de tiques/facturas a la autoridad fiscal a través de fiskaly (si está activa); conservación legal
Chat, llamadas y dictado	Mensajes de texto, fotos, notas de voz y vídeos del chat del equipo; reacciones; llamadas de audio/vídeo en tiempo real (no grabadas); audio dictado al asistente IA (APPCC por voz, importación del menú)	Comunicación interna de la Organización, visible solo para sus miembros; transcripción y traducción bajo demanda mediante IA (Cloudflare Workers AI). Cualquier miembro puede denunciar un mensaje y bloquear a otro usuario
Denuncias y bloqueos	Mensaje denunciado, motivo, nota, quién denuncia; lista de usuarios bloqueados	Moderación de contenidos (tolerancia cero, Términos §5): gestionada por los responsables de la Organización y por el soporte de Brigata en 24 horas
Entregas (si están activas)	Direcciones de clientes geocodificadas; posición GPS del repartidor durante la entrega, con su consentimiento en el navegador	Organización de las entregas y tiempos de llegada por cuenta de la Organización (Apple Maps Server API)

4. Bases jurídicas

Ejecución del contrato (art. 6.1.b RGPD) para el funcionamiento del servicio; obligaciones legales (art. 6.1.c) para datos fiscales y de facturación; interés legítimo (art. 6.1.f) para seguridad y prevención del fraude. Para los datos de los miembros del equipo y de los clientes tratados por cuenta de la Organización, las bases jurídicas las determina la Organización como Responsable.

5. Cookies

Brigata usa exclusivamente cookies técnicas: una cookie de sesión (brigata_sess, HttpOnly, Secure, SameSite=Lax) necesaria para la autenticación. Sin cookies de perfilado, sin rastreo, sin publicidad — por eso no se requiere banner de consentimiento.

6. Subencargados y destinatarios

Proveedor	Servicio	Garantías
Cloudflare, Inc.	Hosting, base de datos, almacenamiento de archivos, verificación antibots (Turnstile), chat y llamadas en tiempo real (Realtime), emails transaccionales, procesamiento IA (Workers AI) de fotos, voz, mensajes y datos operativos	DPA con Cláusulas Contractuales Tipo (SCC); ISO 27001 y SOC 2 Type II
Stripe, Inc.	Pagos y facturación	PCI-DSS nivel 1; DPA con SCC. Brigata no conserva datos de tarjetas
Servicios push (Google FCM, Mozilla, Apple APNs)	Entrega de notificaciones	Cifrado extremo a extremo (RFC 8291); solo con consentimiento del navegador
fiskaly GmbH (Austria)	Fiscalización: firma de tiques, archivo legal (SAFE), factura electrónica B2B (SDI) — si está activa	DPA art. 28; tratamiento solo en la UE; conservación fiscal 10 años
Apple Inc.	Apple Maps Server API: geocodificación de direcciones y tiempos de entrega — solo si la Organización activa las entregas	DPA de Apple; ningún dato personal más allá de la dirección
Google LLC	Google Fonts: tipografías de la interfaz (el dispositivo descarga las fuentes de Google)	Google recibe solo la dirección IP del dispositivo

Las fotos procesadas con IA no se usan para entrenar los modelos y permanecen en la infraestructura de Cloudflare (UE o EE. UU. según el nodo más cercano, con SCC para cualquier transferencia fuera de la UE).

7. Conservación

Datos operativos (recetas, turnos, pedidos, reservas): eliminados cuando el Titular elimina la Organización desde la app o, al cesar el servicio, previa solicitud y exportación.
Datos de facturación: 10 años por obligaciones fiscales.
Registros de seguridad: 12 meses; IP anonimizadas en 90 días.
Datos de clientes: eliminados junto con los de la Organización.

Eliminación de la cuenta. Cualquier usuario puede eliminar su cuenta desde la app (Perfil → Eliminar cuenta, con contraseña): se borran de inmediato credenciales, 2FA y passkeys, foto de perfil, notificaciones y archivos enviados en el chat; los mensajes de texto permanecen firmados como «Usuario eliminado». El nombre solo permanece en los registros que la Organización debe conservar (turnos y asistencia, APPCC, caja, registro de actividad). El Titular puede eliminar toda la Organización: usuarios, registros y archivos se borran de nuestros servidores; solo quedan los registros de seguridad (hasta 12 meses) y los datos en poder del procesador de pagos. Las copias en un eventual hub local están bajo el control de la Organización.

8. Derechos de los interesados

Los interesados pueden ejercer los derechos de los art. 15–22 RGPD (acceso, rectificación, supresión, limitación, portabilidad, oposición) escribiendo a [email protected], o dirigirse a su Organización/al restaurante como Responsable. Queda a salvo el derecho a reclamar ante la autoridad de control competente.

9. Seguridad

Solo HTTPS (HSTS); contraseñas como hash con salt (Argon2id); 2FA TOTP y passkey/WebAuthn; documentos sensibles cifrados en reposo con protección post-cuántica; aislamiento por organización a nivel de consulta; control de acceso por roles; rate limiting anti fuerza bruta; notificaciones push cifradas de extremo a extremo. Detalles: brigata.app/sicurezza.

Brigata · Politique de Confidentialité

Information au sens des art. 13–14 du Règ. UE 2016/679 (RGPD) · Dernière mise à jour : 25 septembre 2026

1. Responsable du traitement

Brigata by ZBLTS Team — TVA IT03329820603 — Italie
Contact confidentialité : [email protected]

2. Rôles : qui est responsable de quoi

Brigata est un logiciel de gestion pour cuisines professionnelles utilisé par des organisations (restaurants, hôtels, pizzerias — « l'Organisation »).

Pour les données du compte de l'Organisation (inscription, facturation, contacts), le Responsable est Brigata.
Pour les données des membres de l'équipe (noms, photos, services, présences, taux horaires), le Responsable est l'Organisation (l'employeur), tandis que Brigata agit comme Sous-traitant au sens de l'art. 28 RGPD, selon l'accord (DPA) lié aux Conditions de service.
Pour les données des clients qui réservent en ligne (nom, téléphone, e-mail fournis volontairement), le Responsable est l'Organisation et Brigata le Sous-traitant. Les données des clients ne sont accessibles qu'à l'Organisation concernée et ne sont jamais partagées entre Organisations.

3. Données traitées

Catégorie	Données	Finalité
Compte	Nom, mot de passe (uniquement en hash Argon2id salé), rôle, organisation, e-mail	Authentification, fonctionnement du service, communications opérationnelles
Photo de profil	Image téléchargée volontairement par le membre	Identification visuelle dans l'équipe
Services et présences	Dates, heures début/fin, notes, récapitulatifs mensuels	Organisation du travail et obligations de l'employeur
Données économiques	Taux horaires, coût du travail, recettes, prix des ingrédients, food cost	Calculs de gestion ; visibles dans l'app seulement aux rôles autorisés
Documents photographiés	Photos de factures/bons fournisseurs et de gaspillage	Extraction automatique des prix et reconnaissance du gaspillage par IA
Réservations et clients	Nom, téléphone, e-mail du client (fournis volontairement) ; date, heure, couverts, notes ; points de fidélité	Gestion des réservations et du programme de fidélité pour le compte de l'Organisation ; e-mails de confirmation et de rappel
Sécurité et accès	Journaux de sécurité (IP anonymisées après 90 jours) ; secret TOTP et codes de récupération 2FA (chiffrés/SHA-256)	Prévention de la fraude, protection des comptes, audit de sécurité
Notifications push	Endpoint d'abonnement push du navigateur	Notifications opérationnelles, uniquement avec le consentement du navigateur
Feedback IA	Suggestion de l'IA et valeur finale confirmée par l'utilisateur	Amélioration de la reconnaissance IA (ne contient aucune donnée personnelle des employés)
Données techniques	Cookie de session, journaux d'erreurs	Fonctionnement et sécurité du service
Données de fiscalisation	Données de tickets et factures, y compris l'identité du destinataire B2B (dénomination, n° de TVA, adresse, code SDI/PEC)	Signature et transmission des tickets/factures à l'administration fiscale via fiskaly (si activée) ; conservation légale
Chat, appels et dictée	Messages texte, photos, messages vocaux et vidéos du chat d'équipe ; réactions ; appels audio/vidéo en temps réel (non enregistrés) ; audio dicté à l'assistant IA (HACCP à la voix, import du menu)	Communication interne de l'Organisation, visible uniquement par ses membres ; transcription et traduction à la demande par IA (Cloudflare Workers AI). Chaque membre peut signaler un message et bloquer un autre utilisateur
Signalements et blocages	Message signalé, motif, note, auteur du signalement ; liste des utilisateurs bloqués	Modération des contenus (tolérance zéro, Conditions §5) : traitée par les responsables de l'Organisation et par le support Brigata sous 24 heures
Livraisons (si activées)	Adresses clients géocodées ; position GPS du livreur pendant la livraison, avec son consentement dans le navigateur	Organisation des livraisons et heures d'arrivée pour le compte de l'Organisation (Apple Maps Server API)

4. Bases légales

Exécution du contrat (art. 6.1.b RGPD) pour le fonctionnement du service ; obligations légales (art. 6.1.c) pour les données fiscales et de facturation ; intérêt légitime (art. 6.1.f) pour la sécurité et la prévention de la fraude. Pour les données des membres de l'équipe et des clients traitées pour le compte de l'Organisation, les bases légales sont déterminées par l'Organisation en tant que Responsable.

5. Cookies

Brigata utilise exclusivement des cookies techniques : un cookie de session (brigata_sess, HttpOnly, Secure, SameSite=Lax) nécessaire à l'authentification. Aucun cookie de profilage, aucun traçage, aucune publicité — aucun bandeau de consentement n'est donc requis.

6. Sous-traitants ultérieurs et destinataires

Prestataire	Service	Garanties
Cloudflare, Inc.	Hébergement, base de données, stockage de fichiers, vérification anti-bot (Turnstile), chat et appels en temps réel (Realtime), e-mails transactionnels, traitement IA (Workers AI) des photos, de la voix, des messages et des données opérationnelles	DPA avec Clauses Contractuelles Types (CCT) ; ISO 27001 et SOC 2 Type II
Stripe, Inc.	Paiements et facturation	PCI-DSS niveau 1 ; DPA avec CCT. Brigata ne conserve pas les données de carte
Services push (Google FCM, Mozilla, Apple APNs)	Distribution des notifications	Chiffrement de bout en bout (RFC 8291) ; uniquement avec le consentement du navigateur
fiskaly GmbH (Autriche)	Fiscalisation : signature des tickets, archivage légal (SAFE), facture électronique B2B (SDI) — si activée	DPA art. 28 ; traitement dans l'UE uniquement ; conservation fiscale 10 ans
Apple Inc.	Apple Maps Server API : géocodage des adresses et délais de livraison — uniquement si l'Organisation active les livraisons	DPA Apple ; aucune donnée personnelle au-delà de l'adresse
Google LLC	Google Fonts : polices de l'interface (l'appareil télécharge les polices depuis Google)	Google ne reçoit que l'adresse IP de l'appareil

Les photos traitées par IA ne sont pas utilisées pour entraîner les modèles et restent dans l'infrastructure Cloudflare (UE ou US selon le nœud le plus proche, avec CCT pour tout transfert hors UE).

7. Conservation

Données opérationnelles (recettes, services, commandes, réservations) : supprimées lorsque le Titulaire supprime l'Organisation depuis l'application ou, à la résiliation, sur demande après possibilité d'export.
Données de facturation : 10 ans au titre des obligations fiscales.
Journaux de sécurité : 12 mois ; IP anonymisées sous 90 jours.
Données des clients : supprimées avec les données de l'Organisation.

Suppression du compte. Chaque utilisateur peut supprimer son compte depuis l'application (Profil → Supprimer le compte, avec mot de passe) : identifiants, 2FA et passkeys, photo de profil, notifications et fichiers envoyés dans le chat sont effacés immédiatement ; les messages texte restent signés « Utilisateur supprimé ». Le nom ne subsiste que dans les registres que l'Organisation doit conserver (services et présences, HACCP, caisse, journal d'activité). Le Titulaire peut supprimer toute l'Organisation : utilisateurs, registres et fichiers sont effacés de nos serveurs ; ne subsistent que les journaux de sécurité (jusqu'à 12 mois) et les enregistrements détenus par le prestataire de paiement. Les copies sur un éventuel hub sur site sont sous le contrôle de l'Organisation.

8. Droits des personnes concernées

Les personnes concernées peuvent exercer leurs droits (art. 15–22 RGPD : accès, rectification, effacement, limitation, portabilité, opposition) en écrivant à [email protected], ou s'adresser directement à leur Organisation/au restaurant en tant que Responsable. Le droit de réclamation auprès de l'autorité de contrôle compétente reste garanti.

9. Sécurité

HTTPS uniquement (HSTS) ; mots de passe en hash salé (Argon2id) ; 2FA TOTP et passkey/WebAuthn ; documents sensibles chiffrés au repos avec protection post-quantique ; isolation par organisation au niveau des requêtes ; contrôle d'accès par rôles ; rate limiting anti-force brute ; notifications push chiffrées de bout en bout. Détails : brigata.app/sicurezza.

Brigata · Privacyverklaring

Informatie op grond van art. 13–14 EU-Verordening 2016/679 (AVG) · Laatst bijgewerkt: 25 september 2026

1. Verwerkingsverantwoordelijke

Brigata by ZBLTS Team — btw IT03329820603 — Italië
Privacycontact: [email protected]

2. Rollen: wie waarvoor verantwoordelijk is

Brigata is beheersoftware voor professionele keukens, gebruikt door organisaties (restaurants, hotels, pizzeria's — „de Organisatie").

Voor de accountgegevens van de Organisatie (registratie, facturatie, contacten) is Brigata de Verwerkingsverantwoordelijke.
Voor de gegevens van teamleden (namen, foto's, diensten, aanwezigheid, uurtarieven) is de Organisatie (de werkgever) de Verantwoordelijke, terwijl Brigata optreedt als Verwerker op grond van art. 28 AVG, volgens de aan de Servicevoorwaarden gekoppelde overeenkomst (DPA).
Voor de gegevens van gasten die online reserveren (vrijwillig opgegeven naam, telefoon, e-mail) is de Organisatie de Verantwoordelijke en Brigata de Verwerker. Gastgegevens zijn alleen toegankelijk voor de betreffende Organisatie en worden nooit tussen Organisaties gedeeld.

3. Verwerkte gegevens

Categorie	Gegevens	Doel
Account	Naam, wachtwoord (alleen als Argon2id-hash met salt), rol, organisatie, e-mail	Authenticatie, werking van de dienst, operationele communicatie
Profielfoto	Vrijwillig geüploade afbeelding	Visuele identificatie in het team
Diensten en aanwezigheid	Data, begin-/eindtijden, notities, maandoverzichten	Werkorganisatie en werkgeversverplichtingen
Economische gegevens	Uurtarieven, loonkosten, omzet, ingrediëntprijzen, food cost	Beheerberekeningen; in de app alleen zichtbaar voor bevoegde rollen
Gefotografeerde documenten	Foto's van leveranciersfacturen/bonnen en verspilling	Automatische prijsextractie en verspillingsherkenning via AI
Reserveringen en klanten	Naam, telefoon, e-mail van de gast (vrijwillig verstrekt); datum, tijd, couverts, notities; loyaltypunten	Beheer van reserveringen en loyaltyprogramma namens de Organisatie; bevestigings- en herinneringsmails
Beveiliging en toegang	Beveiligingslogs (IP's na 90 dagen geanonimiseerd); TOTP-geheim en 2FA-herstelcodes (versleuteld/SHA-256)	Fraudepreventie, accountbescherming, beveiligingsaudit
Pushmeldingen	Push-abonnement-endpoint van de browser	Operationele meldingen, alleen met toestemming van de browser
AI-feedback	AI-suggestie en de door de gebruiker bevestigde eindwaarde	Verbetering van AI-herkenning (bevat geen persoonsgegevens van medewerkers)
Technische gegevens	Sessiecookie, applicatie-foutlogs	Werking en beveiliging van de dienst
Fiscaliseringsgegevens	Bon- en factuurgegevens, inclusief de identiteit van de B2B-ontvanger (naam, btw-nummer, adres, SDI-code/PEC)	Ondertekening en doorgifte van bonnen/facturen aan de belastingdienst via fiskaly (indien actief); wettelijke bewaring
Chat, gesprekken en dictaat	Tekstberichten, foto's, spraakberichten en video's van de teamchat; reacties; audio-/videogesprekken in realtime (niet opgenomen); audio gedicteerd aan de AI-assistent (HACCP via spraak, menu-import)	Interne communicatie van de Organisatie, alleen zichtbaar voor haar leden; transcriptie en vertaling op verzoek via AI (Cloudflare Workers AI). Elk lid kan een bericht melden en een andere gebruiker blokkeren
Meldingen en blokkeringen	Gemeld bericht, reden, notitie, melder; lijst van geblokkeerde gebruikers	Inhoudsmoderatie (nultolerantie, Voorwaarden §5): afgehandeld door de verantwoordelijken van de Organisatie en door Brigata-support binnen 24 uur
Bezorgingen (indien actief)	Gegeocodeerde klantadressen; GPS-positie van de bezorger tijdens de bezorging, met diens toestemming in de browser	Organisatie van bezorgingen en aankomsttijden namens de Organisatie (Apple Maps Server API)

4. Rechtsgronden

Uitvoering van de overeenkomst (art. 6.1.b AVG) voor de werking van de dienst; wettelijke verplichtingen (art. 6.1.c) voor fiscale en factureringsgegevens; gerechtvaardigd belang (art. 6.1.f) voor beveiliging en fraudepreventie. Voor de namens de Organisatie verwerkte team- en gastgegevens bepaalt de Organisatie als Verantwoordelijke de rechtsgronden.

5. Cookies

Brigata gebruikt uitsluitend technische cookies: één sessiecookie (brigata_sess, HttpOnly, Secure, SameSite=Lax) nodig voor authenticatie. Geen profileringscookies, geen tracking, geen advertenties — daarom is geen toestemmingsbanner vereist.

6. Subverwerkers en ontvangers

Leverancier	Dienst	Waarborgen
Cloudflare, Inc.	Hosting, database, bestandsopslag, anti-botcontrole (Turnstile), chat en gesprekken in realtime (Realtime), transactionele e-mails, AI-verwerking (Workers AI) van foto's, spraak, berichten en operationele gegevens	DPA met Standaardcontractbepalingen (SCC); ISO 27001 en SOC 2 Type II
Stripe, Inc.	Betalingen en facturatie	PCI-DSS niveau 1; DPA met SCC. Brigata bewaart geen kaartgegevens
Pushdiensten (Google FCM, Mozilla, Apple APNs)	Bezorging van meldingen	End-to-end versleuteld (RFC 8291); alleen met toestemming van de browser
fiskaly GmbH (Oostenrijk)	Fiscalisering: bonondertekening, wettelijke archivering (SAFE), B2B e-facturatie (SDI) — indien actief	DPA art. 28; verwerking alleen in de EU; fiscale bewaring 10 jaar
Apple Inc.	Apple Maps Server API: geocodering van adressen en bezorgtijden — alleen als de Organisatie bezorging inschakelt	Apple-DPA; geen persoonsgegevens buiten het adres
Google LLC	Google Fonts: lettertypen van de interface (het apparaat downloadt de fonts van Google)	Google ontvangt alleen het IP-adres van het apparaat

Met AI verwerkte foto's worden niet gebruikt om de modellen te trainen en blijven in de Cloudflare-infrastructuur (EU of VS afhankelijk van de dichtstbijzijnde node, met SCC voor eventuele doorgifte buiten de EU).

7. Bewaring

Operationele gegevens (recepten, diensten, bestellingen, reserveringen): verwijderd wanneer de Eigenaar de Organisatie in de app verwijdert of, bij beëindiging, op verzoek na exportmogelijkheid.
Factureringsgegevens: 10 jaar wegens fiscale verplichtingen.
Beveiligingslogs: 12 maanden; IP's binnen 90 dagen geanonimiseerd.
Gastgegevens: verwijderd samen met de gegevens van de Organisatie.

Account verwijderen. Elke gebruiker kan zijn account in de app verwijderen (Profiel → Account verwijderen, met wachtwoord): inloggegevens, 2FA en passkeys, profielfoto, meldingen en in de chat verzonden bestanden worden meteen gewist; tekstberichten blijven ondertekend als “Verwijderde gebruiker”. De naam blijft alleen in de registers die de Organisatie moet bijhouden (diensten en aanwezigheid, HACCP, kassa, activiteitenlogboek). De Eigenaar kan de hele Organisatie verwijderen: gebruikers, registers en bestanden worden van onze servers gewist; alleen beveiligingslogs (tot 12 maanden) en gegevens bij de betalingsverwerker blijven bestaan. Kopieën op een eventuele on-premise hub vallen onder de controle van de Organisatie.

8. Rechten van betrokkenen

Betrokkenen kunnen hun rechten uitoefenen (art. 15–22 AVG: inzage, rectificatie, wissing, beperking, overdraagbaarheid, bezwaar) via [email protected], of zich rechtstreeks tot hun Organisatie/het restaurant als Verantwoordelijke wenden. Het recht om een klacht in te dienen bij de bevoegde toezichthoudende autoriteit blijft onverlet.

9. Beveiliging

Alleen HTTPS (HSTS); wachtwoorden als gesalte hash (Argon2id); 2FA TOTP en passkey/WebAuthn; gevoelige documenten in rust versleuteld met post-quantumbescherming; data-isolatie per organisatie op queryniveau; op rollen gebaseerde toegangscontrole; rate limiting tegen brute-force; end-to-end versleutelde pushmeldingen. Details: brigata.app/sicurezza.