Accordo sul trattamento dei dati

1. Chi è chi

Titolare del trattamento: il negozio che usa VIBBLIN. Decide perché e come trattare i dati dei propri visitatori.

Responsabile del trattamento: Numen di Rasman Francesco, che tratta quei dati solo per far funzionare il servizio, e solo secondo le istruzioni del titolare.

Per i dati dell'account del negoziante — nome del negozio, email, password, dati dell'attività, registri di accesso, registrazione e abbonamento — il titolare è invece Numen di Rasman Francesco: quel trattamento è descritto nell'informativa privacy e non rientra in questo accordo.

Paddle, che vende l'abbonamento, tratta i dati d'acquisto del negoziante come titolare autonomo. Non è un sub-responsabile di questo accordo e non riceve dati dei visitatori.

2. Oggetto, natura e finalità

Oggetto: il trattamento dei dati personali che i visitatori del negozio lasciano nella chat e nei moduli, necessario per fornire il servizio descritto nei Termini.

Natura: raccolta, registrazione, organizzazione, conservazione, consultazione, comunicazione al fornitore principale di modelli linguistici e, solo quando quello non risponde, al fornitore di riserva, per la generazione delle risposte e per le traduzioni, comunicazione delle risposte al fornitore di riserva per il loro controllo automatico prima dell'invio, insieme, nei negozi con istruzioni personalizzate, al messaggio del visitatore a cui rispondono, cancellazione.

Finalità: rispondere alle richieste dei visitatori, permettere al negozio di rileggere le conversazioni e di essere ricontattato, inviare al negozio le notifiche che ha attivato, produrre le statistiche che la dashboard mostra.

Nessun altro uso. In particolare: nessun dato del negozio viene usato per addestrare modelli, per profilazione pubblicitaria o per finalità proprie di Numen di Rasman Francesco.

3. Tipi di dati e categorie di interessati

Interessati: i visitatori del sito del negozio che aprono la chat o compilano un modulo, e le persone che il negozio nomina nei contenuti che carica.

La conversazione è un campo libero: può contenere anche dati che il visitatore sceglie di scrivere, compresi quelli della sezione 4.

4. Dati particolari e attività professionali

4.1 Il servizio non è pensato per raccogliere categorie particolari di dati (art. 9 GDPR: salute, origine etnica, convinzioni, dati genetici e biometrici, vita sessuale) né dati giudiziari (art. 10). Il titolare non configura moduli, campi o istruzioni che li chiedano.

4.2 Una chat però resta un campo libero. I visitatori possono scrivere di loro iniziativa dati sulla propria salute o altri dati particolari, e succede soprattutto con le attività sanitarie (studi medici e dentistici, fisioterapia, farmacie, psicologi) e con quelle legali e finanziarie. Quei dati diventano parte della conversazione e li trattiamo come il resto: per conto del titolare, solo per le finalità della sezione 2, con le misure della sezione 7.

4.3 È il titolare a decidere:

• su quale base giuridica, e con quale delle condizioni dell'art. 9 §2, il trattamento è lecito;
• che cosa dire ai visitatori, nella sua informativa e, se vuole, nel messaggio di benvenuto della chat (per esempio, di non scrivere dati sulla salute che non servono alla richiesta);
• per quanto conservarli, anche cancellando una conversazione prima della scadenza;
• se serve una valutazione d'impatto (art. 35), per la quale lo assistiamo (sezione 11).

4.4 Il mascheramento automatico (sezione 7) riconosce email, telefoni, IBAN, carte, codici fiscali, partite IVA, indirizzi e indirizzi IP, in ogni messaggio mandato ai fornitori dei modelli linguistici, compreso quello appena scritto dal visitatore; i numeri d'ordine no. Non riconosce i dati sulla salute, che arrivano ai fornitori dei modelli linguistici come sono stati scritti. Il titolare ne tiene conto nelle sue decisioni.

4.5 Se il titolare è tenuto al segreto professionale, valuta lui se e come usare la chat con i suoi clienti; noi siamo comunque tenuti alla riservatezza della sezione 6.

5. Istruzioni documentate

Numen di Rasman Francesco tratta i dati solo su istruzione documentata del titolare. Le istruzioni sono: i Termini, questo accordo, e la configurazione che il negoziante imposta nella dashboard (quali moduli, quali campi, quali notifiche, quale informativa mostrare).

Se un'istruzione violasse il GDPR, lo diciamo e non la eseguiamo.

Se una legge ci obbliga a un trattamento diverso, ne informiamo il titolare prima, salvo che quella stessa legge lo vieti.

6. Riservatezza

Chi tratta questi dati per nostro conto è tenuto alla riservatezza per contratto o per legge, e accede solo a quello che serve al suo compito.

L'accesso ai dati di un negozio da parte della console di amministrazione avviene in sola lettura, scade dopo trenta minuti e lascia una riga nel registro: chi è entrato, quando, e su quale negozio.

7. Misure di sicurezza (art. 32)

Queste sono le misure che esistono davvero, non un elenco di buone intenzioni. Se una misura non c'è, questo documento non la nomina.

• Trasporto cifrato: TLS fra browser e server; l'app parla con il database su rete locale.
• Password: conservate come hash scrypt; un cambio password invalida tutte le sessioni aperte.
• Accesso: blocco progressivo dei tentativi falliti, legato alla coppia account+indirizzo, in modo che un estraneo non possa chiudere fuori un negoziante; limiti di frequenza su tutte le chiamate pubbliche.
• Separazione fra negozi: ogni lettura e ogni scrittura è vincolata al negozio che la chiede, verificata a ogni richiesta; gli allegati dei moduli si scaricano solo da una rotta autenticata.
• Pseudonimizzazione verso i fornitori dei modelli: email, telefoni, IBAN, carte, codici fiscali, partite IVA, indirizzi e indirizzi IP riconosciuti vengono sostituiti con segnaposto, cifrati con chiave dedicata, prima dell'invio ai fornitori dei modelli linguistici, in ogni messaggio: quello appena scritto dal visitatore, i messaggi precedenti della conversazione, la risposta e il messaggio mandati al controllo delle risposte. I numeri d'ordine restano in chiaro. I dati veri restano sui server del responsabile: lì la risposta li riprende prima di arrivare al visitatore, e lì contatti, richieste e preventivi si compongono con il testo originale.
• Controllo delle risposte: ogni risposta del modello passa da un controllo automatico prima di arrivare al visitatore.
• Indirizzi IP: conservati solo come impronta con chiave, mai in chiaro nei dati del negozio.
• Contenuti scritti dal negoziante: sanificati con un elenco di tag ammessi prima di essere salvati e mostrati.
• Copie di sicurezza: ogni giorno una copia del database, conservata sul server per 14 giorni, e ogni settimana una copia dell'intero server, conservata dal fornitore dell'hosting separatamente dal server. Il ripristino da una copia è stato provato davvero.
• Continuità: un servizio esterno avvisa se il sistema smette di dare segni di vita; gli errori vengono registrati e mostrati in una pagina di stato.
• Cancellazione automatica: conversazioni e contatti oltre il periodo del piano vengono cancellati ogni notte.

8. Sub-responsabili

Il titolare autorizza in via generale i sub-responsabili qui elencati. Se ne cambiamo o aggiungiamo uno, lo scriviamo con trenta giorni di anticipo all'email dell'account e aggiorniamo la pagina /subprocessors, che porta sempre l'elenco in vigore: entro quel termine il titolare può opporsi e, se l'opposizione è fondata e non troviamo un'alternativa, può recedere senza penali.

Ogni sub-responsabile è vincolato da obblighi non meno severi di quelli di questo accordo. Rispondiamo del loro operato come del nostro.

Telegram entra in gioco solo se il titolare accende le notifiche Telegram: accenderle è un'istruzione del titolare, e con essa il titolare autorizza quel trattamento e il trasferimento che comporta. OpenAI, il fornitore di riserva dei modelli linguistici, genera le risposte solo quando il fornitore principale non risponde; il controllo automatico delle risposte prima dell'invio (sezione 7) lo fa invece sempre e, nei negozi con istruzioni personalizzate, riceve con la risposta anche il messaggio del visitatore a cui risponde.

Il fornitore principale dei modelli linguistici è Anthropic Ireland, Limited, che nei termini commerciali di Anthropic è la controparte di chi ha sede nello Spazio economico europeo. I dati sono trattati negli Stati Uniti, con le clausole contrattuali tipo dell'Unione europea (moduli 2 e 3) del suo accordo sul trattamento dei dati. Anthropic si impegna a non addestrare i suoi modelli sui dati che le inviamo e cancella domande e risposte entro trenta giorni, salvo quando deve conservarle più a lungo per far rispettare le sue regole d'uso o per obbligo di legge. Il fornitore di riserva, OpenAI, dichiara che i dati inviati alla sua API non vengono usati per addestrare o migliorare i suoi modelli, salvo esplicita adesione che non abbiamo dato; i suoi registri di controllo abusi restano fino a trenta giorni. Fonti e date delle verifiche sono indicate nella tabella.

9. Diritti degli interessati

Le richieste degli interessati le riceve il titolare. Se arrivano a noi, le giriamo al titolare senza rispondere nel merito.

Diamo al titolare gli strumenti per rispondere da solo: esportazione completa dei dati in formato leggibile, esportazione portabile, cancellazione di una conversazione o di un contatto, cancellazione dei dati oltre un periodo, anonimizzazione delle statistiche. Sono voci della dashboard, non richieste da aprire con noi.

Dove gli strumenti non bastano, assistiamo il titolare entro tempi ragionevoli e senza costi aggiuntivi.

10. Violazioni dei dati

Se veniamo a conoscenza di una violazione che riguarda i dati del titolare, lo avvisiamo senza ingiustificato ritardo e comunque entro 48 ore da quando ne siamo consapevoli, all'email di contatto dell'account.

La comunicazione dice: che cosa è successo, quali categorie di dati e quanti interessati sono coinvolti, le conseguenze probabili e le misure prese. È il titolare a decidere se notificare l'autorità e gli interessati; noi gli diamo tutto quello che serve per farlo.

11. Assistenza al titolare

Assistiamo il titolare, tenuto conto della natura del trattamento e delle informazioni di cui disponiamo, per: la sicurezza del trattamento (art. 32), la notifica delle violazioni (art. 33 e 34), la valutazione d'impatto e la consultazione preventiva (art. 35 e 36).

12. Che cosa succede alla fine

12.1 Finché il contratto dura, il titolare può esportare i dati o cancellare l'account quando vuole. Le due cose stanno nella stessa pagina: Dashboard → Privacy & GDPR.

12.2 Se il titolare cancella l'account, la cancellazione è immediata e definitiva: i dati spariscono subito, non c'è un cestino e non c'è un periodo di grazia. Chi ha bisogno di una copia deve esportarla prima.

12.3 Se il contratto finisce in un altro modo — disdetta, prova non continuata, mancato pagamento, chiusura per violazione — il widget si ferma e per 30 giorni la dashboard resta accessibile in sola lettura, per esportare. Nel caso del mancato pagamento quei giorni partono dalla sospensione. 7 giorni prima della fine di quel periodo scriviamo al titolare; alla fine cancelliamo automaticamente tutti i dati trattati per suo conto.

12.4 Le copie di sicurezza già create (quelle giornaliere del database, tenute 14 giorni, e quelle settimanali dell'intero server, tenute dal fornitore dell'hosting) conservano i dati non oltre trenta giorni, poi scadono da sé; non vengono ripristinate se non per un incidente, e in quel caso la cancellazione viene riapplicata subito dopo il ripristino.

12.5 Dopo la cancellazione non conserviamo dati dei visitatori. Quello che resta (l'impronta dell'email e le impronte dei domini dei siti della prova) riguarda il negoziante, non i visitatori, ed è descritto nell'informativa privacy.

13. Verifiche

Su richiesta scritta, e non più di una volta l'anno salvo un incidente, mettiamo a disposizione del titolare le informazioni necessarie a dimostrare il rispetto di questo accordo, e permettiamo una verifica concordata con un preavviso di trenta giorni.

La verifica non può compromettere la riservatezza dei dati di altri negozi né la sicurezza del servizio.

I costi della verifica sono a carico del titolare, salvo che la verifica riveli una violazione di questo accordo: in quel caso li sosteniamo noi.

14. Durata

Questo accordo vale dal primo giorno della prova, o dall'accettazione se l'account l'abbiamo creato noi, finché Numen di Rasman Francesco tratta dati personali per conto del titolare: cioè fino alla cancellazione della sezione 12.

Ogni versione porta un numero e una data. Una versione nuova richiede una nuova accettazione al primo accesso successivo.