Un ristorante che gira sul proprio software

Alsafi è un ristorante familiare iracheno-levantino in Hertzstraße, a Heidelberg. Prima, ordinare significava passare da un aggregatore: una commissione su ogni piatto, una relazione con il cliente in mano a qualcun altro, e una cucina che leggeva comande uscite da un sistema che nessuno lì dentro aveva scelto.

Oggi funzionano sul proprio.

Che cosa vuol dire davvero «tutto»

Un'unica base di codice porta quattro mestieri diversi, e ciascuno ha dall'altra parte una persona diversa.

• L'ospite che sta decidendo se venire. Menu, pranzo, storia della casa, orari e recensioni, pensati prima per il telefono, perché è così che si verifica se un ristorante vale il tragitto.
• L'ospite che ordina. Un percorso con varianti e suggerimenti, il pagamento Stripe, la mancia, e il tracciamento dell'ordine in tempo reale con una stima vera. È il percorso del denaro, ed è costruito per togliere ansia anziché per gonfiare il carrello.
• L'ospite con un account. Poco frequente, molto esigente: entrare, ottenere ciò che serve, uscire.
• Chi fa il servizio. Sessantasei schermate per il personale, un monitor di cucina leggibile a distanza e sotto pressione, e le stampe di cui la sala si serve davvero.

Si installa dal browser su un telefono, un tablet, un Mac, un PC Windows o un desktop Linux. Una base di codice, nessuno store, nessuna build separata da tenere allineata.

Il menu è una banca dati, non un PDF

Centotré piatti distribuiti in quindici categorie, ciascuno con le sue varianti e i suoi prezzi, e i suoi gruppi di opzioni per le scelte che l'ospite fa davvero — la porzione, il contorno, la cottura. La cucina modifica tutto questo. Nessuno ridisegna un documento.

Sotto ogni piatto c'è la parte che interessa alla legge tedesca. Quattordici allergeni regolati dall'UE e sedici dichiarazioni di additivi sono registrati per piatto e non per menu, verificati sulla stessa matrice da cui la cucina cucina, invece che su un PDF che nessuno si ricorda di aggiornare. Un ospite può escludere un allergene, o ridurre l'intero menu a vegano, vegetariano o halal, prima di impegnarsi in un ordine anziché dopo.

Il pranzo va su una rotazione propria, con i suoi piatti e la sua settimana. Un piatto esaurito esce dal menu con un tocco e rientra appena torna disponibile — l'ospite lo vede, la cassa lo vede, e nessuno deve ricordarsi di avvisare l'altro.

Ordinare, pagare e sapere a che punto è l'ordine

La consegna è disegnata a zone e non a raggio, perché una via o è, o non è, un posto dove il piatto arriva caldo. L'asporto è una prima opzione, non un ripiego. L'ospite che torna conserva i suoi indirizzi; quello alla prima volta non è costretto ad aprire un account per mangiare, e può poi collegarci l'ordine se tiene allo storico.

Il pagamento passa da Stripe, con la mancia trattata come riga a sé anziché fusa nel totale. Una volta inviato l'ordine, l'ospite ha uno stato in tempo reale con una stima vera e — se lo consente — una notifica quando la cucina lo fa avanzare, così nessuno resta ad aggiornare una pagina chiedendosi se la cena stia arrivando.

I rimborsi sono la parte che dev'essere giusta al primo colpo. La riga di rimborso viene scritta prima della chiamata a Stripe e il suo identificativo fa da chiave di idempotenza: né un nuovo tentativo, né un doppio clic, né una connessione persa possono rimborsare due volte lo stesso ordine. Il totale rimborsato dell'ordine è derivato da quelle righe, non digitato da qualche parte.

La sala, com'è davvero

La pianta è nel sistema: due locali, ventun aree, trecentocinquantatré tavoli. Le prenotazioni si posano su tavoli veri e non su una capienza astratta, che è la differenza fra un sistema di prenotazione e un foglio di calcolo con un modulo più bello.

La sala, e le persone che ci lavorano

I terminali si abbinano al sistema anziché essere creduti sulla parola perché sono in rete — la cassa, i telefoni dei camerieri, il monitor di cucina hanno ciascuno un token di dispositivo, e i codici di abbinamento e i token sono conservati come impronte che nessun client può rileggere. Il personale accede con un PIN, cifrato con bcrypt, con blocco dopo ripetuti errori, perché una cassa in pieno servizio è la tastiera meno privata dell'edificio.

I ruoli sono reali. L'account di un titolare e un account di sala non sono la stessa porta, e il monitor di cucina mostra comande dimensionate per essere lette al di là di una linea rovente, non una dashboard rimpicciolita per starci dentro.

Le ore lavorate, tenute come la legge vuole

Il piano turni separa la bozza di un responsabile da ciò che alla squadra è stato davvero comunicato: un turno o è pubblicato o non lo è. Accanto sta il registro dell'orario di lavoro richiesto dall'Arbeitszeitgesetz: inizio, fine, durata e pausa, conservati due anni.

Le correzioni sono la parte interessante. Modificare un orario non lo sovrascrive: l'originale resta accanto al nuovo, con un autore e una motivazione. Un registro che si può riscrivere in silenzio non è un registro, e un verificatore lo sa.

La parte che quasi tutte le agenzie saltano in silenzio

La Germania non consente a un ristorante di incassare e basta. Ogni transazione dev'essere firmata da un dispositivo tecnico di sicurezza certificato, e l'amministrazione finanziaria può chiedere un'esportazione DSFinV-K che copra dieci anni di attività.

È integrata. La piattaforma dialoga con un fornitore di TSE certificato dal BSI, compone lo schema fiscale dalla specifica in vigore anziché a memoria, ed esporta l'intero pacchetto DSFinV-K su richiesta — con una traccia di controllo di chi ha esportato quale periodo, quando, e l'impronta esatta di ciò che gli è stato consegnato.

Il resto del quadro fiscale c'è perché un ispettore lo chiederà. Ogni giornata si chiude in un Kassenabschluss, il numero Z a cui appartiene ogni transazione del sistema. I movimenti di contante che non sono vendite — il fondo cassa, i versamenti, i prelievi, i transiti, le differenze rilevate, le mance, i vuoti a rendere, i buoni — sono registrati come tipo di evento a sé anziché infilati nel fatturato. E quando la TSE stessa cade, il fermo è annotato con orario e causa e segnalato su ogni scontrino emesso durante quel periodo, che è esattamente ciò che l'AEAO richiede ed esattamente ciò che nessuno si ricorda di costruire.

Una vendita firmata non può essere cancellata per un decennio: il codice che ne produce una è quindi scritto per essere letto da un verificatore, non solo per superare un test.

Facciamo lo stesso lavoro in Egitto, per la fatturazione elettronica dell'amministrazione fiscale egiziana, e in Arabia Saudita per la ZATCA. I Paesi differiscono; la disciplina no.

Parliamo di un progetto dove la conformità è critica

A un ordine non succede nulla senza un nome sopra

Ogni ordine porta un registro di eventi in sola aggiunta, e quegli eventi non li scrive chi si trova a tenere la connessione. Ciascuno annota chi ha agito, in quale ruolo, da quale superficie e perché — un cambio di stato dal monitor di cucina, una modifica dall'ufficio, un rimborso con una motivazione allegata.

La tabella degli ordini è essa stessa in sola lettura per l'interfaccia di amministrazione. Ogni scrittura passa da una funzione server, perché sono gli unici chiamanti in grado di stabilire chi sta agendo. Una scrittura diretta nella tabella risulterebbe fatta dal sistema, e «l'ha fatto il sistema» non è una risposta che si voglia dare a un ispettore fiscale.

Il marketing del ristorante, nelle mani del ristorante

I contenuti del sito — testata, blocchi di racconto, galleria, eventi — si modificano nella stessa amministrazione di tutto il resto, e poi si pubblicano come un'operazione anziché in diretta, così una frase a metà non è mai a un aggiornamento di distanza da un ospite.

Attorno c'è tutto ciò che un ristorante altrimenti affitta: un blog, offerte di lavoro con candidature, i riscontri degli ospiti, i ticket di assistenza e link brevi tracciabili per la stampa e i QR, per distinguere un volantino da un espositore da tavolo. Le recensioni di Google si sincronizzano nella stessa amministrazione dove vivono le esportazioni fiscali. Una newsletter settimanale è assemblata dai veri piatti del giorno di quella settimana anziché scritta dal nulla, con doppia conferma, disiscrizione in un clic e registro degli invii.

Gli ospiti che vogliono una persona la ottengono: chat dal vivo con indicatore di scrittura e note vocali, tenuta come una conversazione e non come un ticket.

Statistiche che non vendono gli ospiti

Il ristorante può vedere com'è andata la giornata — incasso, ordini, scontrino medio, quale piatto attira più attenzione, quali ore sono piene nel proprio fuso orario, da dove arrivano le visite e dove una visita diventa qualcosa.

Nulla di tutto ciò è comprato da terzi, e nulla segue nessuno. I visitatori unici sono contati con impronte salate di breve durata, cancellate dopo due giorni; i Paesi arrivano dalla rete di distribuzione e non da un tracciatore. Nessun carattere, nessuna icona e nessuno script è caricato dal server di qualcun altro. È una decisione di GDPR e di sicurezza dei contenuti prima ancora che di prestazioni, e fa sì che un ospite intento a leggere un menu non venga presentato in sordina a una rete pubblicitaria.

La dashboard traccia anche con cura il proprio limite: conta gli ordini per la pianificazione e lo dice apertamente, perché il numero giuridicamente vincolante vive nel report Z, non qui.

Trilingue, e l'arabo come si deve

Il tedesco fa fede. Inglese e arabo sono presenti per ogni singolo testo, e l'arabo è da destra a sinistra per intero: impaginazione speculare, proprietà logiche, la sua pila tipografica. Non una traduzione avvitata alla fine, che è ciò che distingue un sito che un arabofono può usare da uno che può soltanto leggere.

Nulla è considerato finito finché non tiene in chiaro e in scuro, da sinistra a destra e da destra a sinistra, e da un telefono da 375 pixel fino a un desktop.

Costruito per essere verificato

Quattrocentosessantasei file di test. Accessibilità verificata con controlli automatici anziché a occhio. WCAG AA come vincolo e non come aspirazione, con aree di tocco da 44 pixel e il movimento ridotto rispettato ovunque.

Che cosa costa non possedere tutto questo

Un aggregatore può copiare un menu. Non può copiare l'ospitalità di una famiglia, e non restituirà la relazione con il cliente. Ogni decisione di questo progetto è stata giudicata su una domanda sola: un marketplace l'avrebbe fatto così? Dove la risposta era sì, abbiamo fatto altro.