Accordo sul trattamento dei dati (DPA)

1. 1.Il presente Accordo disciplina il trattamento dei dati personali connesso alla fornitura dell'app Shopify «SellRules» (l'«App») tra il merchant che installa l'App (il «Merchant») e JizaiDev, fornitore dell'App («noi»).
2. 2.Il Merchant è il titolare del trattamento dei dati personali degli acquirenti, e noi siamo il responsabile del trattamento che li tratta secondo le istruzioni del Merchant.
3. 3.Il nostro contatto: [email protected]

Trattiamo i dati personali esclusivamente per le seguenti finalità.

1. 1.Applicare regole di vendita per prodotto (preordine, su ordinazione, comportamento in caso di esaurimento, limiti d'acquisto, pagamenti con acconto/saldo) al negozio, al checkout e alla gestione degli ordini
2. 2.Inviare email di notifica agli acquirenti (conferma di preordine, ritardo, spedizione, disponibilità, richiesta di pagamento del saldo)
3. 3.Gestire l'avanzamento dei preordini e degli ordini su ordinazione, e stampare le distinte di imballaggio
4. 4.Valutare i limiti d'acquisto (per ordine e per cliente, idoneità tramite tag cliente)
5. 5.Rispondere alle richieste di accesso e cancellazione di Shopify (customers/data_request, customers/redact, shop/redact)
6. 6.Gestire i malfunzionamenti dell'App e prevenire gli abusi

Il Merchant acconsente all'uso dei seguenti sub-responsabili da parte nostra.

1. 1.Cifratura in transito: l'App accetta solo connessioni HTTPS. Anche le comunicazioni con Shopify e Resend sono cifrate con TLS.
2. 2.Cifratura a riposo: il database si trova su un volume Fly.io cifrato e anche gli snapshot automatici sono cifrati. I dati di autorizzazione dell'integrazione IA esterna sono ulteriormente cifrati con AES-GCM.
3. 3.Conservazione minima: indirizzi di spedizione e numeri di telefono non vengono conservati. I webhook degli ordini vengono ridotti ai campi necessari, conservati temporaneamente ed eliminati dopo l'elaborazione.
4. 4.Limitazione degli accessi: l'accesso amministrativo all'ambiente di produzione è limitato ai nostri operatori. Le schermate di amministrazione sono disponibili solo allo staff autenticato da Shopify.
5. 5.Registrazione degli accessi: le consultazioni delle distinte di imballaggio (con indirizzi e telefoni) e i download degli export dei dati dei clienti vengono registrati con ID dello staff, numero e ora, e conservati per 365 giorni (senza registrare i dati personali).
6. 6.Separazione tra dati di produzione e di test: i test si svolgono in un ambiente di hosting, un database e un'app Shopify separati, con negozi di sviluppo; i dati di produzione non vengono usati per i test.
7. 7.Autenticazione: gli account degli operatori usano password robuste e hanno l'autenticazione a due fattori attiva.

1. 1.Consideriamo le impostazioni dell'App e le azioni del Merchant tramite Shopify come istruzioni di trattamento.
2. 2.Quando un acquirente chiede accesso, rettifica o cancellazione, rispondiamo tramite customers/data_request e customers/redact di Shopify. I dati comunicati possono essere scaricati per 7 giorni da «Richieste di dati dei clienti» nelle schermate di amministrazione.

1. 1.Quando veniamo a conoscenza di una violazione dei dati personali o di un sospetto di violazione, lo notifichiamo a Shopify entro 24 ore.
2. 2.Notifichiamo ai Merchant interessati senza ingiustificato ritardo e al più tardi entro 72 ore dalla conoscenza, nella misura in cui sono noti: quando e cosa è accaduto, i dati coinvolti e il numero stimato di record, le misure adottate, le azioni necessarie da parte del Merchant e il nostro contatto. Ulteriori informazioni verranno inviate non appena disponibili.
3. 3.Le notifiche vengono inviate all'indirizzo email registrato per il negozio Shopify del Merchant.
4. 4.Conteniamo, analizziamo e risolviamo gli incidenti e ne preveniamo il ripetersi secondo la nostra procedura interna di risposta agli incidenti, conservandone la documentazione.

1. 1.Quando il Merchant disinstalla l'App, eliminiamo i dati di quel negozio alla ricezione dell'evento. Lo stesso vale alla ricezione di shop/redact.
2. 2.Le copie rimaste negli snapshot automatici scompaiono entro 5 giorni al massimo. In ogni caso, tutte le copie vengono cancellate entro 30 giorni dalla disinstallazione.
3. 3.Possiamo conservare aggregati anonimi che non contengono dati personali e non identificano il negozio.

1. 1.Su richiesta del Merchant, forniamo informazioni che dimostrano il rispetto del presente Accordo (il presente Accordo, i periodi di conservazione, una descrizione delle misure di sicurezza e il numero delle registrazioni di accesso).
2. 2.Gli audit in loco richiedono un accordo scritto preventivo, un preavviso di 30 giorni e un ambito e una frequenza ragionevoli (al massimo una volta l'anno), con costi a carico del Merchant.