Sicurezza e trattamento dei dati

Per i dati sui visitatori di un negozio («clienti»), il commerciante è il titolare del trattamento e OneSite Agency è il suo responsabile. Per gli account dei commercianti e per il nostro sito siamo noi il titolare. I nostri Termini di servizio sono il nostro accordo sul trattamento dei dati; non c’è un documento separato da firmare.

Dati dei clienti, conservati per negozio e solo per quel negozio:

• Conversazioni: ciò che il cliente ha scritto o dettato e i prodotti mostrati e scelti (tabelle queries, events). Il parlato dettato viene trasformato in testo sui nostri server; l’audio non viene conservato.
• Visite: referrer, tag UTM, tipo di dispositivo, browser, sistema operativo, fuso orario e un paese e una città approssimativi ricavati dall’indirizzo IP (tabella visits). L’indirizzo IP in sé non viene conservato.
• Contatti che un cliente sceglie di lasciare dopo una richiesta a cui il negozio non ha potuto rispondere (tabella misses): conservati cifrati con AES-GCM, con la chiave tenuta fuori dal database, accanto a un hash con chiave usato solo per ritrovarli in caso di cancellazione o richiesta di dati. Le richieste di parlare con una persona — «Parlare con una persona», una domanda su un ordine a cui l’assistente non ha saputo rispondere, «avvisami quando è disponibile» (tabella handoffs) — sono conservate allo stesso modo, con le parole del cliente ripulite da altri contatti; le vedono solo le persone del negozio, nella posta in arrivo del loro pannello, e vengono cancellate con la stessa scadenza.
• Note d’acquisto e richieste dei dati di un cliente (tabelle checkout_notes, data_exports).
• Registri degli ordini del negozio (tabelle purchase_orders, purchase_lines, purchase_discounts, purchase_cart): totali, righe e codici sconto. Non contengono l’identità del cliente; il loro legame con una conversazione viene rimosso alla scadenza dei dati del cliente.

Dati del commerciante e del negozio:

• Catalogo, embedding e arricchimento dei prodotti, le informazioni del commerciante su consegna, pagamento e resi, pagine della vetrina e immagini caricate, spesa mensile del modello e azioni del commerciante nella dashboard (tabelle products, embeddings, product_enrichment, facts, pages, storefront_*, budget_month, cabinet_deeds e simili, tutte legate al negozio).
• Account dei commercianti che accedono al nostro sito: indirizzo e-mail, una password conservata solo come hash Argon2id, lingua, e orario, indirizzo IP e browser di ogni accesso (tabelle accounts, memberships, sessions).
• Collegamento alla piattaforma: il dominio del negozio, lo stato dell’abbonamento e le chiavi di accesso necessarie per chiamare l’API della piattaforma; per i clienti diretti, gli identificativi cliente e abbonamento di Stripe. I dati della carta non ci raggiungono mai.
• Richieste inviate dal nostro sito e, per i negozi portati da un partner di segnalazione, la commissione maturata (tabelle applications, partner_accruals).

Conoscenza non legata a nessun negozio e, per costruzione, priva di identificativo del negozio: valutazioni da classifiche di altri siti, una tabella di corrispondenza IP-luogo, attributi per titolo ricavati dai titoli, e valutazioni e recensioni pubbliche di libri lette da pagine pubbliche di altri siti. Le recensioni comprendono il nome visualizzato e il testo di chi le ha scritte e sono conservate solo finché la fonte le mostra ancora (vedi sotto).

Non addestriamo né perfezioniamo modelli linguistici con dati di commercianti o clienti e non vendiamo dati. I dati dei negozi installati tramite Shopify non sono usati per alcun tipo di apprendimento.

• Dati dei clienti (conversazioni, eventi, visite, contatti, note d’acquisto, richieste di dati): cancellati 395 giorni (13 mesi) dopo la registrazione, da un’operazione notturna. Il periodo è una scelta di prodotto: i report del titolare confrontano un mese con lo stesso mese dell’anno precedente.
• Recensioni copiate da altri siti: cancellate 30 giorni dopo l’ultima volta in cui la fonte le ha mostrate. Le valutazioni restano, perché non contengono alcuna persona.
• Un negozio dopo la disinstallazione: i dati sono conservati perché una reinstallazione li ripristini, finché Shopify invia dopo 48 ore la sua notifica di cancellazione (shop/redact); allora viene cancellato tutto ciò che riguarda il negozio. Per un abbonamento diretto, il negozio viene cancellato 30 giorni dopo la fine dell’abbonamento.
• Un account commerciante: finché l’account esiste, e cancellato entro 30 giorni da una richiesta.
• Backup del database: notturni, cifrati, conservati 14 giorni sullo stesso server, così i dati cancellati escono dai backup entro 14 giorni.

• Il commerciante vede nella dashboard i dati del proprio negozio. Ogni record è conservato sotto il negozio a cui appartiene e letto solo per conto di quel negozio; un negozio non vede mai i dati di un altro, e un registro di tutte le tabelle e cache indica quali appartengono a un negozio e quali sono conoscenza condivisa, verificato da un test.
• Il nostro operatore ha accesso ai sistemi di produzione; l’accesso è limitato all’operatore.
• Un partner di segnalazione che ha portato un negozio vede il dominio del negozio, se paga e la commissione maturata.
• I sub-responsabili indicati sotto, solo ciò che è descritto per ciascuno.

Tutto ciò che conserviamo si trova sui nostri server presso Hetzner Online GmbH a Norimberga, in Germania. Ricerca, embedding del testo e riconoscimento vocale girano su quei server, senza terzi. Sub-responsabili:

• Hetzner Online GmbH, Germania: hosting.
• DeepSeek (Cina): il modello linguistico (per i negozi fuori da UE, SEE e Regno Unito). Per comporre una risposta riceve il testo della conversazione, i dati di prodotto del catalogo del negozio, i testi di recensioni pubbliche di libri, senza i nomi di chi le ha scritte e una foto che il cliente sceglie di allegare, nei negozi che hanno attivato la ricerca con foto (non la conserviamo). Non riceve mai nomi dei clienti, dati di contatto, indirizzi IP e dati degli ordini. Le richieste viaggiano su una connessione cifrata.
• Per i negozi nell’UE, nel SEE e nel Regno Unito: le risposte vengono composte senza modello linguistico, sui nostri server; nessun dato dei clienti arriva a un fornitore di modelli.
• Shopify: la piattaforma su cui gira l’app e la fatturazione delle installazioni. Stripe: fatturazione dei commercianti che si abbonano direttamente con noi.
• PostHog, cloud UE: analisi d’uso sul nostro sito e sulla dashboard, non dentro l’assistente su una vetrina.
• Telegram: se attivo, notifiche interne al nostro team sulle nuove richieste dei commercianti.

Quale fornitore serve quali negozi si decide in un solo punto del nostro codice, in base alla zona di dati del negozio, e le voci sul modello linguistico qui sopra sono generate da quel punto: questa pagina non può dire ciò che il codice non fa. Aggiungiamo o cambiamo un sub-responsabile nell’Informativa sulla privacy, con la data, prima che inizi.

Il commerciante decide sui dati dei clienti, quindi i clienti scrivono prima al negozio; se scrivono a noi, inoltriamo la richiesta e aiutiamo il commerciante a rispondere. Tramite Shopify le tre richieste standard sono gestite automaticamente:

• Richiesta di dati (customers/data_request): entro 30 giorni inviamo al titolare del negozio i dati che abbiamo su quel cliente, in un file leggibile da macchina.
• Cancellazione di un cliente (customers/redact): cancelliamo il contatto lasciato da quel cliente, le conversazioni collegate e gli ordini indicati nella richiesta.
• Cancellazione di un negozio (shop/redact): cancelliamo tutto ciò che abbiamo sul negozio.

I commercianti scrivono all’indirizzo qui sotto e rispondiamo entro 30 giorni. Clienti e commercianti possono anche presentare reclamo a un’autorità per la protezione dei dati.

Un solo percorso serve sia una notifica di cancellazione della piattaforma sia una rimozione da parte dell’operatore. Ogni tabella propria di un negozio fa riferimento al negozio con una chiave a cascata, così cancellare l’unica riga del negozio elimina tutto ciò che gli appartiene in una sola transazione, tutto o niente. Le immagini caricate nel costruttore della vetrina sono su disco e vengono rimosse per prime; una cancellazione fallita viene ripetuta. I commercianti rimasti senza negozi vengono rimossi dopo il negozio.

Ciò che resta dopo la cancellazione di un negozio, per progetto:

• Commissioni maturate a favore di un partner di segnalazione: importo e dominio, con l’identificativo del negozio cancellato. Non contengono clienti.
• Il registro delle azioni dell’operatore, che deve sopravvivere al suo oggetto come prova di chi ha attivato, disattivato o cancellato un negozio, compresa la cancellazione stessa.
• La conoscenza indipendente dai negozi descritta sopra, che non contiene identificativi di negozio o di cliente. I backup scadono entro 14 giorni.

• Il traffico da e verso i nostri server è cifrato con TLS. I backup sono cifrati (AES-256) e leggibili solo dall’account amministratore del server.
• Le password sono conservate solo come hash Argon2id e i token di accesso solo come impronte SHA-256. I contatti dei clienti sono conservati cifrati (AES-GCM), con la chiave tenuta fuori dal database.
• Le notifiche di Shopify e Stripe sono accettate solo con una firma valida. I dati di ogni negozio sono tenuti separati e letti solo per conto di quel negozio.
• L’accesso ai sistemi di produzione è limitato al nostro operatore. Quando l’operatore apre la dashboard di un commerciante per una richiesta di assistenza, l’apertura viene registrata con chi ha aperto quale negozio.

Domande sulla sicurezza, segnalazioni di vulnerabilità e richieste di dati vanno all’indirizzo qui sotto; di solito rispondiamo entro un giorno lavorativo. Se una violazione riguarda dati personali che conserviamo, avvisiamo i commercianti interessati senza ingiustificato ritardo ed entro 72 ore da quando ne veniamo a conoscenza.