Privacy Policy

Questa informativa spiega come trattiamo i dati personali di chi usa il sito www.nomorepaper.it e i suoi servizi: QRelayPDF by NoMorePaper.it (stampa e consegna dei documenti senza carta), la cassa QReceipt by NoMorePaper.it (cassa smart e scontrino elettronico), le app d'ordine dei negozi (al tavolo, d'asporto, a domicilio) e il marketplace. Per gli acquisti sul marketplace c'è anche l'informativa del marketplace; i clienti dei negozi che danno i propri consensi trovano l'informativa dedicata nella loro pagina personale dei consensi.

Non vendiamo e non cediamo i dati personali, a nessuno e per nessun motivo. Il nostro lavoro è fornire la cassa QReceipt e QRelayPDF, non i dati delle persone: li usiamo solo per far funzionare i servizi descritti qui e non li diamo a nessuno per pubblicità o marketing.

1. Chi tratta i tuoi dati

NoMorePaper.it è titolare del trattamento (vedi il punto 13) per i dati che tratta per scopi propri:

• gli account degli utenti registrati e i dati degli ospiti che ricevono documenti;
• i dati delle attività clienti: registrazione, contratto, fatturazione, pagamenti, assistenza;
• i dati di navigazione, i registri di accesso e di sicurezza, le segnalazioni tecniche e le statistiche d'uso;
• l'account NoMorePaper usato nelle app d'ordine dei negozi e nel marketplace, il carrello del marketplace e, se la richiedi, la newsletter NoMorePaper (anche quando l'iscrizione avviene dalla pagina dei consensi di un negozio).

NoMorePaper.it è responsabile del trattamento (art. 28 GDPR) per i dati che tratta per conto delle attività che usano i suoi servizi. In questi casi il titolare è l'attività (il negozio, il ristorante, lo studio professionale…) e NoMorePaper tratta i dati solo per erogare il servizio, secondo le sue istruzioni:

• il contenuto dei documenti che un'attività ti invia con QRelayPDF, compresa la copia di cortesia dello scontrino;
• i dati dei clienti dei negozi trattati nei servizi collegati alla cassa: copie di cortesia degli scontrini, ordini dalle app del negozio, schede cliente e consensi (esclusa la newsletter NoMorePaper);
• i dati di un ordine del marketplace, che appartengono al negozio venditore.

Per questi dati puoi rivolgerti direttamente all'attività; se scrivi a noi, inoltriamo la richiesta e aiutiamo l'attività a risponderti. Il catalogo, il magazzino, le vendite e i clienti registrati nella cassa stanno nel database della cassa, presso il negozio: ai nostri server arrivano solo i dati delle funzioni collegate descritte al punto 2.4.

2. Tipologie di Dati Raccolti

NoMorePaper.it raccoglie e tratta le seguenti categorie di dati personali:

2.1 Dati forniti volontariamente dall'utente

Per utenti registrati (persone fisiche):

• Nome, cognome
• Indirizzo email
• Password (criptata, mai conservata in chiaro)

Per clienti/attività commerciali:

• Ragione sociale / denominazione attività
• Sigla identificativa (generata automaticamente)
• Indirizzo completo (via, città, CAP, provincia, nazione)
• Partita IVA
• Telefono
• Email aziendale
• Password (criptata)
• Nome referente
• Credenziali Skebby (se FES via SMS abilitata, conservate in forma cifrata AES-256)
• Chiavi dei servizi di pagamento e di spedizione che l'attività collega al proprio negozio (Stripe, Satispay, SumUp, Sendcloud), conservate in forma cifrata

Per dati di fatturazione (facoltativi, richiesti prima del pagamento):

• Per ricevuta: nome, cognome, data di nascita, codice fiscale
• Per fattura: ragione sociale, partita IVA, indirizzo, PEC e/o codice SDI

Per richieste di assistenza: nome, email, telefono se indicato, testo della richiesta ed eventuali allegati. Le richieste inviate dalla cassa possono includere un'immagine dello schermo (se l'operatore lascia attiva l'opzione «Allega la schermata»), il nome dell'operatore e del computer e le ultime righe del registro di funzionamento della cassa.

2.2 Dati raccolti automaticamente

• Dati di navigazione: indirizzo IP, browser, sistema operativo, pagina richiesta, orario di accesso, registrati dal server web nei propri registri di accesso
• Cookie tecnici e memoria locale del browser: necessari al funzionamento della piattaforma (autenticazione, sessione, carrello): elenco completo nella Cookie Policy
• Log di accesso e sicurezza: per prevenire abusi, attacchi informatici e garantire la sicurezza
• Statistiche d'uso: ogni notte il server conta, dai propri registri di accesso, quante volte è stata aperta ciascuna pagina in ciascun giorno e stima quanti visitatori diversi l'hanno aperta, con un codice usa e getta che non viene salvato; per le attività, l'uso dei servizi (stampe, ordini, aperture del QR del negozio…) si conta dai registri dei servizi stessi. Nelle statistiche restano solo numeri per pagina, servizio e giorno: nessun indirizzo IP, nessun cookie, nessun identificativo del visitatore
• Segnalazioni tecniche: se la cassa, un'app del negozio o una pagina del sito incontrano un errore, ci inviano una segnalazione (versione, tipo di errore, dettagli tecnici, pagina o finestra aperta, identità della postazione, indirizzo IP) che usiamo per l'assistenza e la sicurezza. Se la cassa si chiude per un errore imprevisto, la segnalazione comprende anche il nome dell'operatore collegato, il nome del computer, le ultime righe del registro di funzionamento e un'immagine della finestra della cassa, che possono contenere dati visibili in quel momento (per esempio l'email di un cliente)

2.3 Dati relativi ai documenti

• File PDF ricevuti: conservati sui server, cifrati, per il tempo indicato al punto 7
• Metadata: data/ora caricamento, dimensione file, numero pagine
• QR code e token di accesso: generati per la condivisione sicura dei documenti
• Firma elettronica semplice (FES): se l'attività ti chiede di firmare un documento, conserviamo la prova della firma: email e, se usato, numero di cellulare a cui è arrivato il codice, codice fiscale se indicato, data e ora, indirizzo IP, browser e impronta digitale del documento prima e dopo la firma. Il codice OTP viene conservato solo in forma non leggibile (impronta) e scade dopo pochi minuti

2.4 Cassa QReceipt by NoMorePaper.it e scontrino elettronico

La cassa emette lo scontrino elettronico (documento commerciale) e le fatture trasmettendoli all'Agenzia delle Entrate tramite il fornitore tecnologico indicato al punto 5. I dati dei clienti del negozio vi compaiono solo se il cliente li fornisce (per esempio il codice fiscale o la partita IVA per la fattura). Ai nostri server arrivano, in modo cifrato, solo i dati delle funzioni che il negozio usa:

• Copia di cortesia digitale dello scontrino: se il cliente sceglie di riceverla senza carta, la copia in PDF arriva sul suo telefono inquadrando il QR code mostrato dalla cassa o dal cameriere (in questo caso è un documento come quelli del punto 2.3, collegato al suo account se ha fatto l'accesso), oppure tramite il link stampato sulla copia di carta: per il link conserviamo anche numero, data, importo e modo di pagamento dello scontrino, l'eventuale tavolo e l'indirizzo IP dell'ultimo scaricamento. Se il cliente la chiede via email, la cassa la invia direttamente con la casella di posta configurata dal negozio, senza passare dai nostri server
• Clienti registrati e consensi: le schede dei clienti che si registrano presso il negozio (nome, email, telefono, indirizzo; i dati anagrafici e fiscali solo se il cliente ha scelto di condividere il proprio profilo con il negozio) e i consensi che danno o revocano, che il cliente può gestire dalla propria pagina personale. Nei negozi che fanno parte di una catena, le casse della catena possono ritrovare il cliente e i suoi consensi
• Comunicazioni commerciali del negozio: le email delle offerte partono solo verso i clienti che hanno dato il consenso alle comunicazioni commerciali e contengono un sistema che registra se l'email è stata aperta e quali link sono stati cliccati, per dare al negozio il risultato della campagna
• Personale del negozio: nome utente, nome e ruolo degli operatori della cassa e il loro codice PIN in forma non leggibile, per l'accesso alle app del personale
• Canali online del negozio: il catalogo e gli ordini delle app e del marketplace (vedi 2.5)
• Conteggi per la fatturazione a consumo: il numero dei documenti emessi e delle funzioni usate, senza dati dei clienti
• Dati tecnici della postazione: codice di attivazione, versione, impronta della postazione (ricavata dai codici identificativi del computer) e segnalazioni tecniche (punto 2.2), per la licenza, l'assistenza e la sicurezza

Le copie di sicurezza (backup) della cassa restano presso il negozio: non vengono inviate ai nostri server. Se il negozio sceglie di copiarle in una cartella di un servizio cloud o di spedirle via email, lo fa con i propri account.

2.5 App d'ordine dei negozi e marketplace

• Ordini al tavolo, d'asporto e a domicilio: nome, telefono, email, indirizzo di consegna e note che inserisci per l'ordine; per il tavolo, il nome con cui ti unisci al conto
• Account NoMorePaper (facoltativo): nome, email, password, indirizzi salvati e preferiti; per confermare un ordine del marketplace servono la registrazione e l'email confermata
• Marketplace: carrello, dati di contatto e di consegna, dati di fatturazione se chiedi la fattura, eventuali richieste di reso e recensioni
• Self-checkout: per le sessioni di cassa automatica conserviamo per un periodo limitato indirizzo IP e browser, a tutela contro gli abusi
• Pagamenti online: avvengono sulle pagine dei prestatori di pagamento collegati dal negozio (punto 5): i dati della carta non passano dai nostri server; riceviamo solo l'esito e il riferimento del pagamento

3. Finalità del Trattamento e Base Giuridica

I tuoi dati personali sono trattati per le seguenti finalità:

4. Modalità del Trattamento

I dati personali sono trattati con strumenti informatici e telematici, con logiche strettamente correlate alle finalità indicate e mediante l'adozione di misure di sicurezza idonee a garantire:

• Riservatezza: accesso limitato solo al personale autorizzato
• Integrità: protezione da modifiche non autorizzate
• Disponibilità: copie di sicurezza giornaliere del database e dei file

Misure di sicurezza adottate:

• Crittografia: Password criptate con algoritmi robusti (bcrypt/Argon2); PDF protetti con AES a 128 bit quando richiesto
• Autenticazione forte: token sicuri, sessioni controllate, reimpostazione della password con un link via email valido per un tempo limitato
• Protezione infrastrutturale: SELinux attivo, fail2ban, rate limiting applicativo, configurazioni server sicure
• Monitoraggio continuo: alert automatici su accessi sospetti e anomalie
• Copie di sicurezza giornaliere: del database e dei file, per il ripristino in caso di guasto (vedi il punto 7 per quanto durano)
• Privacy by design: architettura progettata per minimizzare i dati raccolti

Nota: I documenti archiviati sui nostri server sono cifrati a riposo con algoritmo XChaCha20-Poly1305. Tuttavia, quando l’utente scarica o condivide un file, questo viene necessariamente decifrato per la consultazione. Per questo motivo, la protezione dei PDF con password (AES 128 bit) resta una funzionalità aggiuntiva opzionale, utile a garantire la riservatezza del documento anche dopo il download o la condivisione. La scelta di attivare la protezione con password spetta all’attività che invia il documento e/o all’utente destinatario, soprattutto in presenza di dati sensibili.

5. Destinatari dei Dati

I dati sono ospitati e trattati presso i fornitori indicati qui sotto. Quelli che trattano i dati per nostro conto, o per conto dell'attività, sono designati Responsabili del Trattamento ai sensi dell'Art. 28 GDPR e non accedono ai dati, salvo interventi tecnici autorizzati, strettamente necessari per garantire sicurezza, manutenzione e continuità del servizio. I prestatori di servizi di pagamento e l'Agenzia delle Entrate trattano i dati che ricevono come titolari autonomi, secondo le proprie informative. I servizi di pagamento e di spedizione usati dai negozi sono collegati con l'account del negozio stesso.

Nota: le statistiche d'uso le calcoliamo noi, sui nostri server in Italia, senza strumenti o servizi di terze parti: non lasciano il server e non vengono condivise con nessuno. Gli indirizzi IP restano solo nei registri di accesso e sicurezza descritti al punto 2.2, conservati per i tempi indicati al punto 7.

Le pagine del sito non caricano caratteri, librerie o mappe da servizi esterni: sono tutti sul nostro server. Fa eccezione la mappa delle pagine delle strutture ricettive (non ancora aperte al pubblico), che il browser carica da OpenStreetMap comunicandogli il proprio indirizzo IP.

Per completare le schede dei prodotti il servizio interroga banche dati di prodotti (Open Food Facts, UPCitemdb, FatSecret, Google Custom Search) inviando solo il codice a barre o il nome del prodotto: nessun dato personale.

Non vendiamo e non cediamo i dati personali, a nessuno e per nessun motivo. I destinatari qui sopra ricevono solo i dati che servono al loro compito.

Nota sulla cifratura: I documenti archiviati sui nostri server sono cifrati a riposo con algoritmo XChaCha20-Poly1305 (cifratura autenticata di livello militare). Nessun fornitore di hosting o terza parte ha accesso in chiaro ai contenuti dei file degli utenti.

6. Trasferimento Dati Extra-UE

I dati personali sono conservati sui nostri server in Italia (datacenter Aruba IT3, Bergamo). Fuori dall'Unione Europea possono essere trattati solo in un caso: i pagamenti con carta, perché Stripe può trattare dati presso Stripe, Inc. negli Stati Uniti. Il trasferimento avviene sulla base delle Clausole Contrattuali Standard approvate dalla Commissione Europea. Non sono previsti altri trasferimenti verso paesi extra-UE o organizzazioni internazionali.

7. Periodo di Conservazione dei Dati

7.1 Documenti ricevuti

Nota: I periodi di conservazione dei documenti sono configurabili nella piattaforma; quelli indicati qui sono letti dalla configurazione in vigore. Al termine del periodo i documenti vengono cancellati in modo permanente, file compresi, dalla pulizia automatica che gira ogni ora. Se sei registrato puoi cancellare prima i tuoi documenti dalla pagina dei documenti ricevuti.

7.2 Altri dati

8. Diritti dell'Interessato (Art. 15-22 GDPR)

Hai il diritto di:

• Accesso (Art. 15): ottenere conferma dell'esistenza dei tuoi dati e richiederne copia
• Rettifica (Art. 16): correggere dati inesatti o incompleti
• Cancellazione (Art. 17, "diritto all'oblio"): richiedere la cancellazione dei tuoi dati quando non più necessari
• Limitazione (Art. 18): ottenere la limitazione del trattamento in determinate circostanze
• Portabilità (Art. 20): ricevere i tuoi dati in formato strutturato e leggibile (es. CSV, JSON)
• Opposizione (Art. 21): opporti al trattamento per motivi legittimi
• Revoca consenso (Art. 7.3): revocare il consenso al marketing in qualsiasi momento (senza pregiudicare la liceità del trattamento prima della revoca)

Come esercitare i tuoi diritti:

Puoi esercitare i tuoi diritti in qualsiasi momento inviando una richiesta a:
privacy@nomorepaper.it

Ti risponderemo entro 30 giorni dalla ricezione della richiesta. In caso di complessità, il termine può essere prorogato di ulteriori 60 giorni con comunicazione motivata.

Se hai un account puoi cancellarlo da solo dalla tua area utente («Cancella il mio account»): ti chiediamo la password e una conferma con un link via email. Per i dati che trattiamo per conto di un'attività (punto 1) la richiesta va rivolta all'attività, che ne è titolare; se la invii a noi, la inoltriamo e aiutiamo l'attività a risponderti. Come cliente di un negozio puoi gestire o revocare i tuoi consensi in qualsiasi momento dalla tua pagina personale dei consensi.

9. Cancellazione dei dati

Se sei cliente di un negozio che usa la cassa QReceipt, puoi chiedere al negozio di cancellare i dati che tiene su di te: lo fa dalla sua cassa. Puoi chiederlo anche a noi, scrivendo a privacy@nomorepaper.it: inoltriamo la richiesta al negozio, che è il titolare di quei dati (punto 1), e lo aiutiamo a risponderti.

Cosa si cancella. Dalla tua scheda spariscono nome, contatti, data di nascita, indirizzi, consensi, tessera fedeltà e note. Gli stessi dati vengono tolti anche dagli ordini, dai messaggi, dalle recensioni e dalle campagne di quel negozio, compresi gli ordini che hai fatto da ospite con la stessa email, e dalle prenotazioni già passate o chiuse (dei tavoli e, nelle strutture ricettive, soggiorni, liste d'attesa e preventivi). Gli altri negozi non vengono toccati.

Cosa resta, e per quanto. Restano gli scontrini e le fatture, con i soli dati che la legge fiscale impone di conservare per 10 anni (art. 2220 c.c.): se hai ricevuto fatture, restano anche i dati per fatturare (nome o ragione sociale, codice fiscale o partita IVA, indirizzo, codice destinatario o PEC). Punti e spesa restano solo come numeri. Nelle strutture ricettive restano i dati degli ospiti che la legge di pubblica sicurezza chiede di comunicare alla Questura (Alloggiati Web). Un dato cancellato può restare ancora per poco nelle copie di sicurezza, per i tempi del punto 7.2.

Quando. Il negozio la fa dalla sua cassa, in qualsiasi momento. Prima vanno chiusi gli ordini in corso o da pagare, i resi aperti e i conti al tavolo aperti presso quel negozio. Le prenotazioni non ancora passate non si toccano, perché servono al soggiorno o al tavolo: se ne hai, chiedi la cancellazione dopo la data, oppure annullale prima. Alle richieste scritte a privacy@nomorepaper.it rispondiamo entro 30 giorni, come per gli altri diritti (punto 8).

Il negozio non cancella il tuo account NoMorePaper: se ce l'hai, lo cancelli tu dalla tua area utente («Cancella il mio account»). Revocare i consensi dalla tua pagina personale toglie la tua email dai nostri server, ma non cancella la scheda nella cassa del negozio: per quella chiedi la cancellazione al negozio.

10. Reclamo al Garante Privacy

Se ritieni che il trattamento dei tuoi dati personali violi il GDPR, hai il diritto di proporre reclamo all'Autorità di controllo:

Garante per la Protezione dei Dati Personali
Piazza Venezia, 11, 00187 Roma
Tel: +39 06.696771
Fax: +39 06.69677.3785
Web: www.garanteprivacy.it
Email: garante@gpdp.it
PEC: protocollo@pec.gpdp.it

11. Modifiche alla Privacy Policy

Questa Privacy Policy può essere aggiornata periodicamente. La data di ultimo aggiornamento è indicata in alto. Ti invitiamo a consultare regolarmente questa pagina per rimanere informato su come proteggiamo i tuoi dati.

In caso di modifiche sostanziali, ti invieremo una notifica via email (se registrato) o mediante avviso nella piattaforma.

12. Contatti Privacy

Per qualsiasi domanda, dubbio o richiesta relativa al trattamento dei tuoi dati personali, puoi contattarci a:

privacy@nomorepaper.it

13. Titolare del Trattamento

NoMorePaper.it
NoMorePaper.it è la ditta individuale di Gianluca Buttarelli · P. IVA 09657821006 · sede: Via San Francesco d'Assisi, 110 - 00035 Olevano Romano (RM) · info@nomorepaper.it
Per la privacy: privacy@nomorepaper.it

Il Titolare del trattamento è responsabile della protezione dei tuoi dati personali e garantisce il rispetto della normativa europea (Regolamento UE 2016/679, GDPR).

---

NoMorePaper.it – La tua privacy è la nostra priorità.