Brigata · Accordo sul Trattamento dei Dati

Data Processing Agreement ai sensi dell'art. 28 Reg. UE 2016/679 (GDPR) · Ultimo aggiornamento: 25 luglio 2026

Il presente Accordo (il "DPA") integra i Termini di servizio e disciplina il trattamento dei dati personali da parte di Brigata by ZBLTS Team (P.IVA IT03329820603, "Brigata" o "Responsabile") per conto dell'Organizzazione cliente (ristorante, hotel, locale; "Titolare"). Accettando i Termini, il Titolare conferisce a Brigata l'incarico di Responsabile ex art. 28 GDPR alle condizioni qui descritte.

1. Ruoli

Il Titolare determina finalità e mezzi del trattamento dei dati dei propri membri della squadra e dei propri ospiti. Brigata agisce come Responsabile, trattando tali dati solo su istruzione documentata del Titolare (l'uso del servizio costituisce istruzione). Per i dati dell'account e la fatturazione, Brigata è Titolare autonomo (Privacy Policy).

2. Oggetto, durata, natura e finalità

Oggetto/durata: il trattamento dura quanto il contratto. Natura/finalità: fornire le funzioni del gestionale (food cost, turni e presenze, HACCP, magazzino, ordini, menu QR, prenotazioni e ordini online, marketing/fedeltà, chat, AI da foto), su infrastruttura cloud.

3. Tipi di dati e categorie di interessati

Interessati	Dati
Membri della squadra	Nome, email, ruolo, foto, turni, presenze, tariffe, credenziali (password come hash, 2FA cifrato)
Ospiti/clienti che prenotano o ordinano online	Nome, telefono, email, data/ora/coperti, indirizzo di consegna, note, punti fedeltà

Brigata non tratta categorie particolari ex art. 9 e non conserva i dati delle carte (gestiti da Stripe). Se la fiscalizzazione è attiva, i dati di scontrino e fattura (inclusa l'identità del destinatario B2B: denominazione, P.IVA, indirizzo, codice SDI/PEC) sono trattati e trasmessi all'Agenzia delle Entrate tramite il sub-responsabile fiskaly (sez. 5).

4. Obblighi del Responsabile (art. 28.3)

Trattare i dati solo su istruzione documentata del Titolare;
Garantire la riservatezza degli autorizzati;
Adottare le misure di sicurezza ex art. 32 (sez. 6);
Rispettare le condizioni per i sub-responsabili (sez. 5);
Assistere il Titolare nelle richieste degli interessati (artt. 15–22) e negli obblighi ex artt. 32–36;
Notificare le violazioni senza ingiustificato ritardo (sez. 7);
A fine rapporto, cancellare o restituire i dati (sez. 8);
Consentire audit e fornire le informazioni utili a dimostrare la conformità (sez. 9).

5. Sub-responsabili

Il Titolare autorizza i sub-responsabili seguenti; Brigata informa di eventuali modifiche, con diritto di opposizione.

Sub-responsabile	Servizio	Garanzie
Cloudflare, Inc.	Hosting, database, storage, AI	DPA con SCC; ISO 27001, SOC 2 Type II
Stripe, Inc. / Stripe Payments Europe	Abbonamenti e, via Stripe Connect, incasso ordini sul conto del ristorante	PCI-DSS livello 1; DPA con SCC. Brigata non detiene fondi né dati delle carte
fiskaly GmbH (Austria)	Fiscalizzazione: firma dei corrispettivi, archiviazione legale (SAFE), fattura elettronica B2B (SDI) — se attiva	DPA art. 28; trattamento solo in UE; conservazione fiscale 10 anni (SAFE)

6. Misure di sicurezza (art. 32)

Password con Argon2id (mai in chiaro); 2FA (TOTP) e passkey/WebAuthn;
Solo HTTPS (HSTS); documenti sensibili cifrati a riposo con protezione post-quantum (ML-KEM-768 + X25519);
Isolamento multi-tenant a livello di query (filtro per org_id); controllo accessi per ruolo;
Rate-limiting e lockout anti-brute-force; suite di regressioni di sicurezza ad ogni rilascio.

7. Violazioni dei dati personali

In caso di violazione dei dati trattati per conto del Titolare, Brigata lo informa senza ingiustificato ritardo, con le informazioni utili (natura, categorie e numero di interessati, conseguenze probabili, misure adottate). Contatto: security@brigata.app.

8. Cancellazione e restituzione

A scelta del Titolare e alla cessazione del servizio, Brigata cancella o restituisce i dati. Il Chef può in autonomia: esportare (JSON/CSV), sospendere l'account, o eliminarlo definitivamente (cancellazione totale e irreversibile). I dati di fatturazione restano 10 anni (obblighi fiscali); i log fino a 12 mesi con IP anonimizzati entro 90 giorni. La copia archiviata a fini fiscali presso fiskaly (SAFE) è soggetta a conservazione legale decennale e non può essere cancellata prima, anche a fronte di richieste di cancellazione.

9. Audit

Su richiesta ragionevole e con congruo preavviso, Brigata fornisce le informazioni necessarie a dimostrare la conformità, anche tramite le certificazioni dei sub-responsabili.

Per esercitare i diritti, richiedere copia firmata del DPA o segnalare una violazione: privacy@brigata.app. Vedi anche Privacy, Sicurezza, Termini.

Brigata · Auftragsverarbeitungsvertrag

Data Processing Agreement gemäß Art. 28 EU-Verordnung 2016/679 (DSGVO) · Zuletzt aktualisiert: 25. Juli 2026

Dieser Vertrag (das „AVV") ergänzt die Nutzungsbedingungen und regelt die Verarbeitung personenbezogener Daten durch Brigata by ZBLTS Team (USt-IdNr. IT03329820603, „Brigata" oder „Auftragsverarbeiter") im Auftrag der Kunden-Organisation (Restaurant, Hotel, Lokal; „Verantwortlicher"). Mit Annahme der Bedingungen beauftragt der Verantwortliche Brigata als Auftragsverarbeiter nach Art. 28 DSGVO.

1. Rollen

Der Verantwortliche bestimmt Zwecke und Mittel der Verarbeitung der Daten seiner Teammitglieder und Gäste. Brigata handelt als Auftragsverarbeiter und verarbeitet diese Daten nur auf dokumentierte Weisung (die Nutzung des Dienstes gilt als Weisung). Für Kontodaten und Abrechnung ist Brigata eigenständiger Verantwortlicher (Datenschutz).

2. Gegenstand, Dauer, Art und Zweck

Gegenstand/Dauer: die Verarbeitung dauert so lange wie der Vertrag. Art/Zweck: Bereitstellung der Management-Funktionen (Food-Cost, Dienstpläne/Anwesenheiten, HACCP, Lager, Bestellungen, QR-Menü, Reservierungen und Online-Bestellungen, Marketing/Treue, Chat, KI aus Fotos) auf Cloud-Infrastruktur.

3. Datenarten und Kategorien betroffener Personen

Betroffene	Daten
Teammitglieder	Name, E-Mail, Rolle, Foto, Schichten, Anwesenheiten, Sätze, Anmeldedaten (Passwort als Hash, 2FA verschlüsselt)
Gäste/Kunden, die online buchen oder bestellen	Name, Telefon, E-Mail, Datum/Uhrzeit/Gedecke, Lieferadresse, Notizen, Treuepunkte

Brigata verarbeitet keine besonderen Kategorien nach Art. 9 und speichert keine Kartendaten (durch Stripe verwaltet). Bei aktiver Fiskalisierung werden Beleg- und Rechnungsdaten (einschließlich der Identität des B2B-Rechnungsempfängers: Name, USt-IdNr., Anschrift, SDI-Code/PEC) verarbeitet und über den Unterauftragsverarbeiter fiskaly an die Steuerbehörde übermittelt (Abschn. 5).

4. Pflichten des Auftragsverarbeiters (Art. 28.3)

Daten nur auf dokumentierte Weisung verarbeiten;
Vertraulichkeit der Befugten sicherstellen;
Sicherheitsmaßnahmen nach Art. 32 treffen (Abschn. 6);
Bedingungen für Unterauftragsverarbeiter einhalten (Abschn. 5);
Den Verantwortlichen bei Betroffenenanfragen (Art. 15–22) und Pflichten nach Art. 32–36 unterstützen;
Datenschutzverletzungen unverzüglich melden (Abschn. 7);
Bei Vertragsende Daten löschen oder zurückgeben (Abschn. 8);
Audits ermöglichen und Nachweise zur Verfügung stellen (Abschn. 9).

5. Unterauftragsverarbeiter

Der Verantwortliche autorisiert die folgenden Unterauftragsverarbeiter; Brigata informiert über Änderungen, mit Widerspruchsrecht.

Unterauftragsverarbeiter	Dienst	Garantien
Cloudflare, Inc.	Hosting, Datenbank, Speicher, KI	AVV mit SCC; ISO 27001, SOC 2 Type II
Stripe, Inc. / Stripe Payments Europe	Abos und, via Stripe Connect, Einzug der Bestellungen auf das Restaurantkonto	PCI-DSS Level 1; AVV mit SCC. Brigata hält weder Gelder noch Kartendaten
fiskaly GmbH (Österreich)	Fiskalisierung: Signatur der Belege, gesetzliche Archivierung (SAFE), elektronische B2B-Rechnung (SDI) — falls aktiv	AVV Art. 28; Verarbeitung nur in der EU; steuerliche Aufbewahrung 10 Jahre (SAFE)

6. Sicherheitsmaßnahmen (Art. 32)

Passwörter mit Argon2id (nie im Klartext); 2FA (TOTP) und Passkey/WebAuthn;
Nur HTTPS (HSTS); sensible Dokumente ruhend mit Post-Quantum-Schutz verschlüsselt (ML-KEM-768 + X25519);
Mandantentrennung auf Query-Ebene (Filter nach org_id); rollenbasierte Zugriffskontrolle;
Rate-Limiting und Lockout gegen Brute-Force; Sicherheits-Regressionssuite bei jedem Release.

7. Datenschutzverletzungen

Bei einer Verletzung der im Auftrag verarbeiteten Daten informiert Brigata den Verantwortlichen unverzüglich mit den erforderlichen Informationen (Art, Kategorien und Zahl der Betroffenen, wahrscheinliche Folgen, getroffene Maßnahmen). Kontakt: security@brigata.app.

8. Löschung und Rückgabe

Nach Wahl des Verantwortlichen und bei Vertragsende löscht oder gibt Brigata die Daten zurück. Der Chef kann selbstständig: exportieren (JSON/CSV), das Konto aussetzen oder endgültig löschen (vollständig und unwiderruflich). Abrechnungsdaten bleiben 10 Jahre (Steuerpflichten); Logs bis 12 Monate mit IP-Anonymisierung binnen 90 Tagen. Die zu steuerlichen Zwecken bei fiskaly archivierte Kopie (SAFE) unterliegt einer gesetzlichen Aufbewahrung von 10 Jahren und kann vorher nicht gelöscht werden, auch nicht bei Löschanfragen.

9. Audit

Auf zumutbare Anfrage und mit angemessener Vorankündigung stellt Brigata die zur Nachweisführung erforderlichen Informationen bereit, auch über die Zertifizierungen der Unterauftragsverarbeiter.

Zur Ausübung von Rechten, Anforderung einer signierten AVV-Kopie oder Meldung einer Verletzung: privacy@brigata.app. Siehe auch Datenschutz, Sicherheit, Bedingungen.

Brigata · Data Processing Agreement

Data Processing Agreement under Art. 28 of EU Regulation 2016/679 (GDPR) · Last updated: 25 July 2026

This Agreement (the "DPA") supplements the Terms of Service and governs the processing of personal data by Brigata by ZBLTS Team (VAT IT03329820603, "Brigata" or "Processor") on behalf of the customer Organization (restaurant, hotel, venue; "Controller"). By accepting the Terms, the Controller appoints Brigata as Processor under Art. 28 GDPR on the conditions described here.

1. Roles

The Controller determines the purposes and means of processing its team members' and guests' data. Brigata acts as Processor, processing such data only on the Controller's documented instructions (use of the service constitutes instruction). For account data and billing, Brigata is an independent Controller (Privacy Policy).

2. Subject, duration, nature and purpose

Subject/duration: processing lasts for the term of the contract. Nature/purpose: providing the management features (food cost, shifts and attendance, HACCP, inventory, orders, QR menu, bookings and online orders, marketing/loyalty, chat, AI from photos) on cloud infrastructure.

3. Types of data and categories of data subjects

Data subjects	Data
Team members	Name, email, role, photo, shifts, attendance, rates, credentials (password as hash, 2FA encrypted)
Guests/customers who book or order online	Name, phone, email, date/time/covers, delivery address, notes, loyalty points

Brigata does not process special categories under Art. 9 and does not store card data (handled by Stripe). If fiscalization is active, receipt and invoice data (including the B2B invoice recipient's identity: name, VAT number, address, SDI code/PEC) are processed and transmitted to the tax authority via the sub-processor fiskaly (sec. 5).

4. Processor obligations (Art. 28.3)

Process data only on the Controller's documented instructions;
Ensure confidentiality of authorized persons;
Implement security measures under Art. 32 (sec. 6);
Comply with the conditions for sub-processors (sec. 5);
Assist the Controller with data subject requests (Art. 15–22) and obligations under Art. 32–36;
Notify data breaches without undue delay (sec. 7);
Delete or return data at the end of the relationship (sec. 8);
Allow audits and provide information to demonstrate compliance (sec. 9).

5. Sub-processors

The Controller authorizes the following sub-processors; Brigata will notify of changes, with a right to object.

Sub-processor	Service	Safeguards
Cloudflare, Inc.	Hosting, database, storage, AI	DPA with SCC; ISO 27001, SOC 2 Type II
Stripe, Inc. / Stripe Payments Europe	Subscriptions and, via Stripe Connect, collecting orders directly into the restaurant's account	PCI-DSS Level 1; DPA with SCC. Brigata holds neither funds nor card data
fiskaly GmbH (Austria)	Fiscalization: signing of receipts, legal archiving (SAFE), B2B e-invoicing (SDI) — if active	Art. 28 DPA; processing in the EU only; 10-year fiscal retention (SAFE)

6. Security measures (Art. 32)

Passwords with Argon2id (never in clear); 2FA (TOTP) and passkey/WebAuthn;
HTTPS only (HSTS); sensitive documents encrypted at rest with post-quantum protection (ML-KEM-768 + X25519);
Multi-tenant isolation at query level (filter by org_id); role-based access control;
Rate-limiting and lockout against brute-force; automated security regression suite on every release.

7. Personal data breaches

In case of a breach affecting data processed on behalf of the Controller, Brigata notifies it without undue delay, with the relevant information (nature, categories and approximate number of data subjects, likely consequences, measures taken). Contact: security@brigata.app.

8. Deletion and return

At the Controller's choice and upon termination, Brigata deletes or returns the data. The Chef can independently: export (JSON/CSV), suspend the account, or permanently delete it (total and irreversible). Billing data is kept for 10 years (tax obligations); logs up to 12 months with IPs anonymized within 90 days. The copy archived for fiscal purposes at fiskaly (SAFE) is subject to a 10-year legal retention and cannot be deleted before then, including in response to erasure requests.

9. Audit

On reasonable request and with adequate notice, Brigata provides the information needed to demonstrate compliance, including via sub-processors' certifications.

To exercise rights, request a signed copy of the DPA or report a breach: privacy@brigata.app. See also Privacy, Security, Terms.

Brigata · Acuerdo de Tratamiento de Datos

Data Processing Agreement conforme al art. 28 del Reg. UE 2016/679 (RGPD) · Última actualización: 25 de julio de 2026

Este Acuerdo (el «DPA») integra los Términos del servicio y regula el tratamiento de datos personales por Brigata by ZBLTS Team (NIF IT03329820603, «Brigata» o «Encargado») por cuenta de la Organización cliente (restaurante, hotel, local; «Responsable»). Al aceptar los Términos, el Responsable encarga a Brigata como Encargado según el art. 28 RGPD.

1. Roles

El Responsable determina fines y medios del tratamiento de los datos de sus miembros del equipo y clientes. Brigata actúa como Encargado, tratándolos solo bajo instrucción documentada (el uso del servicio constituye instrucción). Para los datos de cuenta y facturación, Brigata es Responsable autónomo (Privacidad).

2. Objeto, duración, naturaleza y finalidad

Objeto/duración: el tratamiento dura lo que el contrato. Naturaleza/finalidad: prestar las funciones de gestión (food cost, turnos y asistencias, APPCC, almacén, pedidos, menú QR, reservas y pedidos online, marketing/fidelidad, chat, IA desde fotos) en infraestructura cloud.

3. Tipos de datos y categorías de interesados

Interesados	Datos
Miembros del equipo	Nombre, email, rol, foto, turnos, asistencias, tarifas, credenciales (contraseña como hash, 2FA cifrado)
Clientes que reservan o piden online	Nombre, teléfono, email, fecha/hora/comensales, dirección de entrega, notas, puntos de fidelidad

Brigata no trata categorías especiales del art. 9 ni conserva datos de tarjetas (gestionados por Stripe). Si la fiscalización está activa, los datos de tiques y facturas (incluida la identidad del destinatario B2B: denominación, NIF, dirección, código SDI/PEC) se tratan y transmiten a la autoridad fiscal a través del subencargado fiskaly (secc. 5).

4. Obligaciones del Encargado (art. 28.3)

Tratar los datos solo bajo instrucción documentada;
Garantizar la confidencialidad de los autorizados;
Adoptar medidas de seguridad del art. 32 (secc. 6);
Cumplir las condiciones para subencargados (secc. 5);
Asistir al Responsable en las solicitudes de interesados (art. 15–22) y obligaciones de los art. 32–36;
Notificar las violaciones sin dilación indebida (secc. 7);
Al final de la relación, suprimir o devolver los datos (secc. 8);
Permitir auditorías y aportar información para demostrar el cumplimiento (secc. 9).

5. Subencargados

El Responsable autoriza los siguientes subencargados; Brigata informa de cambios, con derecho de oposición.

Subencargado	Servicio	Garantías
Cloudflare, Inc.	Hosting, base de datos, almacenamiento, IA	DPA con SCC; ISO 27001, SOC 2 Type II
Stripe, Inc. / Stripe Payments Europe	Suscripciones y, vía Stripe Connect, cobro de pedidos en la cuenta del restaurante	PCI-DSS nivel 1; DPA con SCC. Brigata no retiene fondos ni datos de tarjetas
fiskaly GmbH (Austria)	Fiscalización: firma de tiques, archivo legal (SAFE), factura electrónica B2B (SDI) — si está activa	DPA art. 28; tratamiento solo en la UE; conservación fiscal 10 años (SAFE)

6. Medidas de seguridad (art. 32)

Contraseñas con Argon2id (nunca en claro); 2FA (TOTP) y passkey/WebAuthn;
Solo HTTPS (HSTS); documentos sensibles cifrados en reposo con protección post-cuántica (ML-KEM-768 + X25519);
Aislamiento multi-tenant a nivel de consulta (filtro por org_id); control de acceso por roles;
Rate-limiting y bloqueo anti fuerza bruta; suite de regresión de seguridad en cada versión.

7. Violaciones de datos personales

Ante una violación de los datos tratados por cuenta del Responsable, Brigata le informa sin dilación indebida con la información pertinente (naturaleza, categorías y número de interesados, consecuencias probables, medidas adoptadas). Contacto: security@brigata.app.

8. Supresión y devolución

A elección del Responsable y al término del servicio, Brigata suprime o devuelve los datos. El Chef puede de forma autónoma: exportar (JSON/CSV), suspender la cuenta o eliminarla definitivamente (total e irreversible). Los datos de facturación se conservan 10 años (obligaciones fiscales); los registros hasta 12 meses con IP anonimizadas en 90 días. La copia archivada con fines fiscales en fiskaly (SAFE) está sujeta a una conservación legal de 10 años y no puede suprimirse antes, incluso ante solicitudes de supresión.

9. Auditoría

A petición razonable y con aviso adecuado, Brigata aporta la información necesaria para demostrar el cumplimiento, también mediante las certificaciones de los subencargados.

Para ejercer derechos, solicitar copia firmada del DPA o notificar una violación: privacy@brigata.app. Véase también Privacidad, Seguridad, Términos.

Brigata · Accord de Traitement des Données

Data Processing Agreement au sens de l'art. 28 du Règ. UE 2016/679 (RGPD) · Dernière mise à jour : 25 juillet 2026

Le présent Accord (le « DPA ») complète les Conditions de service et régit le traitement des données personnelles par Brigata by ZBLTS Team (TVA IT03329820603, « Brigata » ou « Sous-traitant ») pour le compte de l'Organisation cliente (restaurant, hôtel, établissement ; « Responsable »). En acceptant les Conditions, le Responsable désigne Brigata comme Sous-traitant au sens de l'art. 28 RGPD.

1. Rôles

Le Responsable détermine les finalités et moyens du traitement des données de ses membres d'équipe et de ses clients. Brigata agit comme Sous-traitant, ne traitant ces données que sur instruction documentée (l'usage du service vaut instruction). Pour les données de compte et la facturation, Brigata est Responsable autonome (Confidentialité).

2. Objet, durée, nature et finalité

Objet/durée : le traitement dure autant que le contrat. Nature/finalité : fournir les fonctions de gestion (food cost, plannings et présences, HACCP, stock, commandes, menu QR, réservations et commandes en ligne, marketing/fidélité, chat, IA à partir de photos) sur infrastructure cloud.

3. Types de données et catégories de personnes concernées

Personnes concernées	Données
Membres de l'équipe	Nom, e-mail, rôle, photo, services, présences, taux, identifiants (mot de passe en hash, 2FA chiffré)
Clients qui réservent ou commandent en ligne	Nom, téléphone, e-mail, date/heure/couverts, adresse de livraison, notes, points de fidélité

Brigata ne traite pas de catégories particulières (art. 9) et ne conserve pas les données de carte (gérées par Stripe). Si la fiscalisation est active, les données de tickets et factures (y compris l'identité du destinataire B2B : dénomination, n° de TVA, adresse, code SDI/PEC) sont traitées et transmises à l'administration fiscale via le sous-traitant fiskaly (sect. 5).

4. Obligations du Sous-traitant (art. 28.3)

Traiter les données uniquement sur instruction documentée ;
Garantir la confidentialité des personnes autorisées ;
Adopter les mesures de sécurité de l'art. 32 (sect. 6) ;
Respecter les conditions pour les sous-traitants ultérieurs (sect. 5) ;
Assister le Responsable pour les demandes des personnes concernées (art. 15–22) et les obligations des art. 32–36 ;
Notifier les violations sans retard injustifié (sect. 7) ;
En fin de relation, supprimer ou restituer les données (sect. 8) ;
Permettre des audits et fournir les informations pour démontrer la conformité (sect. 9).

5. Sous-traitants ultérieurs

Le Responsable autorise les sous-traitants suivants ; Brigata informe de tout changement, avec droit d'opposition.

Sous-traitant	Service	Garanties
Cloudflare, Inc.	Hébergement, base de données, stockage, IA	DPA avec CCT ; ISO 27001, SOC 2 Type II
Stripe, Inc. / Stripe Payments Europe	Abonnements et, via Stripe Connect, encaissement des commandes sur le compte du restaurant	PCI-DSS niveau 1 ; DPA avec CCT. Brigata ne détient ni fonds ni données de carte
fiskaly GmbH (Autriche)	Fiscalisation : signature des tickets, archivage légal (SAFE), facture électronique B2B (SDI) — si activée	DPA art. 28 ; traitement dans l'UE uniquement ; conservation fiscale 10 ans (SAFE)

6. Mesures de sécurité (art. 32)

Mots de passe avec Argon2id (jamais en clair) ; 2FA (TOTP) et passkey/WebAuthn ;
HTTPS uniquement (HSTS) ; documents sensibles chiffrés au repos avec protection post-quantique (ML-KEM-768 + X25519) ;
Isolation multi-tenant au niveau des requêtes (filtre par org_id) ; contrôle d'accès par rôles ;
Rate-limiting et verrouillage anti-force brute ; suite de régression de sécurité à chaque version.

7. Violations de données personnelles

En cas de violation des données traitées pour le compte du Responsable, Brigata l'informe sans retard injustifié avec les informations utiles (nature, catégories et nombre de personnes concernées, conséquences probables, mesures prises). Contact : security@brigata.app.

8. Suppression et restitution

Au choix du Responsable et à la fin du service, Brigata supprime ou restitue les données. Le Chef peut de façon autonome : exporter (JSON/CSV), suspendre le compte ou le supprimer définitivement (totale et irréversible). Les données de facturation sont conservées 10 ans (obligations fiscales) ; les journaux jusqu'à 12 mois avec IP anonymisées sous 90 jours. La copie archivée à des fins fiscales chez fiskaly (SAFE) est soumise à une conservation légale de 10 ans et ne peut être supprimée avant, y compris en cas de demande d'effacement.

9. Audit

Sur demande raisonnable et avec un préavis adéquat, Brigata fournit les informations nécessaires pour démontrer la conformité, y compris via les certifications des sous-traitants.

Pour exercer des droits, demander une copie signée du DPA ou signaler une violation : privacy@brigata.app. Voir aussi Confidentialité, Sécurité, Conditions.

Brigata · Verwerkersovereenkomst

Data Processing Agreement op grond van art. 28 EU-Verordening 2016/679 (AVG) · Laatst bijgewerkt: 25 juli 2026

Deze Overeenkomst (de „DPA") vult de Servicevoorwaarden aan en regelt de verwerking van persoonsgegevens door Brigata by ZBLTS Team (btw IT03329820603, „Brigata" of „Verwerker") namens de klant-Organisatie (restaurant, hotel, zaak; „Verwerkingsverantwoordelijke"). Door de Voorwaarden te aanvaarden, stelt de Verantwoordelijke Brigata aan als Verwerker onder art. 28 AVG.

1. Rollen

De Verantwoordelijke bepaalt de doeleinden en middelen van de verwerking van de gegevens van zijn teamleden en gasten. Brigata treedt op als Verwerker en verwerkt die gegevens alleen op gedocumenteerde instructie (gebruik van de dienst geldt als instructie). Voor accountgegevens en facturatie is Brigata zelfstandig Verantwoordelijke (Privacy).

2. Onderwerp, duur, aard en doel

Onderwerp/duur: de verwerking duurt zolang het contract. Aard/doel: het leveren van de beheerfuncties (food cost, diensten en aanwezigheid, HACCP, voorraad, bestellingen, QR-menu, reserveringen en online bestellingen, marketing/loyalty, chat, AI uit foto's) op cloudinfrastructuur.

3. Soorten gegevens en categorieën betrokkenen

Betrokkenen	Gegevens
Teamleden	Naam, e-mail, rol, foto, diensten, aanwezigheid, tarieven, inloggegevens (wachtwoord als hash, 2FA versleuteld)
Gasten/klanten die online reserveren of bestellen	Naam, telefoon, e-mail, datum/tijd/couverts, bezorgadres, notities, loyaltypunten

Brigata verwerkt geen bijzondere categorieën (art. 9) en bewaart geen kaartgegevens (door Stripe beheerd). Als fiscalisering actief is, worden bon- en factuurgegevens (inclusief de identiteit van de B2B-factuurontvanger: naam, btw-nummer, adres, SDI-code/PEC) verwerkt en via subverwerker fiskaly aan de belastingdienst doorgegeven (sec. 5).

4. Verplichtingen van de Verwerker (art. 28.3)

Gegevens alleen op gedocumenteerde instructie verwerken;
Vertrouwelijkheid van bevoegden waarborgen;
Beveiligingsmaatregelen van art. 32 nemen (sec. 6);
Voorwaarden voor subverwerkers naleven (sec. 5);
De Verantwoordelijke bijstaan bij verzoeken van betrokkenen (art. 15–22) en verplichtingen van art. 32–36;
Datalekken zonder onnodige vertraging melden (sec. 7);
Bij einde van de relatie gegevens wissen of teruggeven (sec. 8);
Audits toestaan en informatie verstrekken om naleving aan te tonen (sec. 9).

5. Subverwerkers

De Verantwoordelijke autoriseert de volgende subverwerkers; Brigata informeert over wijzigingen, met recht van bezwaar.

Subverwerker	Dienst	Waarborgen
Cloudflare, Inc.	Hosting, database, opslag, AI	DPA met SCC; ISO 27001, SOC 2 Type II
Stripe, Inc. / Stripe Payments Europe	Abonnementen en, via Stripe Connect, inning van bestellingen op de rekening van het restaurant	PCI-DSS niveau 1; DPA met SCC. Brigata houdt geen gelden of kaartgegevens
fiskaly GmbH (Oostenrijk)	Fiscalisering: ondertekening van bonnen, wettelijke archivering (SAFE), B2B e-facturatie (SDI) — indien actief	DPA art. 28; verwerking alleen in de EU; fiscale bewaring 10 jaar (SAFE)

6. Beveiligingsmaatregelen (art. 32)

Wachtwoorden met Argon2id (nooit in klare tekst); 2FA (TOTP) en passkey/WebAuthn;
Alleen HTTPS (HSTS); gevoelige documenten in rust versleuteld met post-quantum-bescherming (ML-KEM-768 + X25519);
Multi-tenant isolatie op queryniveau (filter op org_id); op rollen gebaseerde toegangscontrole;
Rate-limiting en lockout tegen brute-force; beveiligings-regressiesuite bij elke release.

7. Inbreuken op persoonsgegevens

Bij een inbreuk op de namens de Verantwoordelijke verwerkte gegevens informeert Brigata hem zonder onnodige vertraging met de relevante informatie (aard, categorieën en aantal betrokkenen, waarschijnlijke gevolgen, genomen maatregelen). Contact: security@brigata.app.

8. Wissing en teruggave

Naar keuze van de Verantwoordelijke en bij beëindiging wist of retourneert Brigata de gegevens. De Chef kan zelfstandig: exporteren (JSON/CSV), het account opschorten of definitief verwijderen (volledig en onomkeerbaar). Factureringsgegevens worden 10 jaar bewaard (fiscale verplichtingen); logs tot 12 maanden met IP's geanonimiseerd binnen 90 dagen. De voor fiscale doeleinden bij fiskaly gearchiveerde kopie (SAFE) is onderworpen aan een wettelijke bewaartermijn van 10 jaar en kan niet eerder worden gewist, ook niet bij verzoeken om wissing.

9. Audit

Op redelijk verzoek en met passende kennisgeving verstrekt Brigata de informatie die nodig is om naleving aan te tonen, ook via de certificeringen van de subverwerkers.

Om rechten uit te oefenen, een ondertekende kopie van de DPA aan te vragen of een inbreuk te melden: privacy@brigata.app. Zie ook Privacy, Beveiliging, Voorwaarden.