Accordo sul trattamento dei dati

1. Oggetto e durata

Il Responsabile tratta dati personali per conto del Titolare per fornire il servizio FLUXO: ricevere gli ordini del Titolare, prepararli e spedirli tramite la logistica scelta dal Titolare, seguire le consegne, contattare i clienti sulla consegna quando attivato, mandare i messaggi di marketing WhatsApp del Titolare ai clienti che hanno dato il consenso, quando attivato, e riconciliare gli incassi in contrassegno.

Il DPA dura finché il Responsabile tratta dati personali per il Titolare e termina quando i dati sono stati cancellati o restituiti secondo il punto 9.

2. Dati e interessati

• Interessati: i clienti del Titolare e i destinatari dei suoi ordini.
• Categorie di dati: nome, indirizzo di spedizione, telefono, email, contenuto e importi dell'ordine, metodo di pagamento, dati di consegna e tracking, messaggi e trascrizioni di chiamate sulla consegna, registri di consenso e revoca del marketing (solo se queste funzioni sono attive).
• Non si trattano categorie particolari di dati (come dati sulla salute).

3. Istruzioni

Il Responsabile tratta i dati solo secondo le istruzioni documentate del Titolare, date con la configurazione del suo negozio e del suo portale FLUXO e con questo DPA, anche quando la logistica scelta dal Titolare gestisce il portale per suo conto. Il Titolare deve avere una base giuridica valida per ogni uso che attiva, compreso il consenso dei clienti per il marketing; il Responsabile manda messaggi di marketing solo ai clienti registrati come consenzienti e applica subito le revoche. Il Responsabile avvisa il Titolare se ritiene che un'istruzione violi la normativa sulla protezione dei dati.

4. Riservatezza

Tutte le persone autorizzate ad accedere ai dati sono tenute alla riservatezza e accedono solo a quanto serve per il servizio.

5. Sicurezza

Il Responsabile applica le misure tecniche e organizzative descritte nell'Allegato e le mantiene aggiornate.

6. Sub-responsabili

Il Titolare autorizza in via generale i sub-responsabili elencati nell'Informativa privacy di FLUXO (/privacy). Il Responsabile informa il Titolare almeno 15 giorni prima di aggiungere o sostituire un sub-responsabile, perché possa opporsi. Ogni sub-responsabile è vincolato a obblighi di protezione dei dati equivalenti a questo DPA e il Responsabile ne resta responsabile.

7. Assistenza

Il Responsabile aiuta il Titolare a rispondere alle richieste degli interessati (accesso, rettifica, cancellazione, limitazione, portabilità, opposizione). Le richieste GDPR di Shopify (customers/data_request, customers/redact, shop/redact) sono gestite in automatico. Il Responsabile collabora inoltre, se necessario, su sicurezza, valutazioni d'impatto e consultazioni con le autorità.

8. Violazioni dei dati personali

Il Responsabile informa il Titolare senza ingiustificato ritardo, e comunque entro 48 ore da quando ne viene a conoscenza, di ogni violazione dei dati personali che riguardi i suoi dati, con le informazioni disponibili su natura, dati e persone coinvolti, conseguenze probabili e misure adottate. Il Responsabile informa anche Shopify quando lo richiedono le condizioni di Shopify.

9. Cancellazione e restituzione

Quando l'app viene disinstallata o il servizio termina, il Responsabile cancella i dati personali del Titolare (richiesta shop/redact di Shopify, eseguita entro 48 ore dalla ricezione), salvo obblighi di legge di conservarli. Prima, il Titolare può esportare i suoi ordini dal portale FLUXO. Durante il servizio, i dati personali si cancellano secondo i periodi di conservazione dell'Informativa privacy.

10. Verifiche e informazioni

Il Responsabile mette a disposizione del Titolare le informazioni necessarie a dimostrare il rispetto di questo DPA e risponde per iscritto alle sue domande. Le verifiche si concordano con ragionevole preavviso e a spese del Titolare.

11. Trasferimenti fuori dall'UE

I dati sono conservati nell'Unione Europea. Ogni trasferimento fuori dall'UE da parte di un sub-responsabile si basa sulle Clausole Contrattuali Tipo della Commissione Europea o su una decisione di adeguatezza.

Allegato — Misure tecniche e organizzative

• Cifratura in transito (HTTPS/TLS) su ogni connessione e cifratura a riposo (AES-256), comprese le copie di sicurezza giornaliere.
• Cifratura aggiuntiva (AES-256-GCM) dei token Shopify e delle credenziali dei corrieri, con la chiave fuori dal database.
• Separazione dei dati di ogni logistica e di ogni negozio, applicata nel database (sicurezza a livello di riga) e in ogni azione del server.
• Accesso dello staff col minimo privilegio, account personali, password robuste, registro degli accessi; rotazione delle credenziali quando esce una persona con accesso.
• Verifica della firma HMAC di Shopify all'installazione e su ogni webhook; prove solo su negozi di prova con dati di prova.
• Prevenzione della perdita di dati: copie di sicurezza giornaliere cifrate con ripristino a un momento preciso presso il fornitore del database, regole nel database che rifiutano dati non validi, nessuna esportazione massiva dei dati dei clienti fuori dal portale.
• Procedura scritta di risposta agli incidenti di sicurezza (rilevazione, contenimento, valutazione, notifica nei tempi indicati, revisione).
• Cancellazione automatica dei dati personali secondo i periodi di conservazione dell'Informativa privacy.