Accordo sul trattamento dei dati

Questa traduzione è fornita per tua comodità. La versione inglese è quella che fa fede. English

Ultimo aggiornamento: 11 ottobre 2026

Il presente addendum (“DPA”) fa parte dei Termini di servizio di HolaReply per Shopify e dei termini di servizio di HolaReply per qualsiasi sito web, ed è stipulato tra il merchant o il titolare del sito web (“tu”, il titolare del trattamento) e SEO Agency Inc (“HolaReply”, “noi”, il responsabile del trattamento). Si applica ai dati personali dei clienti del tuo negozio, o dei visitatori del tuo sito web, che trattiamo per fornire l’app o il servizio. Per un sito web, nel seguito “negozio” indica il tuo sito web e “cliente” il suo visitatore; quanto detto sulle richieste di dati di Shopify e sulle ricerche degli ordini vale solo per Shopify. Ha lo scopo di soddisfare l’articolo 28 del GDPR e dello UK GDPR e di analoghe leggi sulla privacy (nell’ambito delle quali agiamo come tuo “service provider” o “processor”).

1. Dettagli del trattamento

Oggetto e finalità	Fornire l’app: rispondere ai clienti nella chat della vetrina con i contenuti del tuo negozio, passare richieste e argomenti bloccati al tuo team, verificare lo stato degli ordini, mostrarti conversazioni e richieste e dare seguito alle richieste di dati di Shopify
Durata	Finché l’app è installata o il sito web è presente in HolaReply, poi cancellazione come previsto nella sezione 8
Interessati	I clienti e i visitatori del tuo negozio che usano la chat
Dati personali	Messaggi in chat (domande e risposte); recapiti che un cliente sceglie di fornire (nome, email, telefono, azienda) e il messaggio della sua richiesta; solo per il tracciamento degli ordini, il numero d’ordine e l’email digitati dal cliente e l’email, lo stato e il tracciamento dell’ordine (mostrati, non conservati); la lingua del cliente
Categorie particolari	Nessuna prevista. Non chiederle ai clienti; un cliente potrebbe comunque digitarle nella chat
Non trattati	Dati di pagamento, indirizzi, account dei clienti, indirizzi IP associati alle conversazioni (solo un hash unidirezionale in un contatore di limitazione di frequenza di breve durata)

2. I nostri obblighi

Ci impegniamo a:

1. trattare i dati personali solo su tue istruzioni documentate, che sono i presenti termini, questo DPA e le tue impostazioni nell’app, salvo che la legge disponga diversamente (in tal caso te lo comunicheremo prima, a meno che la legge non lo vieti);
2. garantire che chiunque autorizziamo a trattarli sia vincolato alla riservatezza;
3. applicare le misure di sicurezza della sezione 4;
4. ricorrere a sub-responsabili solo come previsto nella sezione 5;
5. assisterti, per quanto ragionevolmente possibile, nel rispondere ai clienti che esercitano i propri diritti (accesso, cancellazione e altri): le richieste customers/data_request e customers/redact di Shopify sono gestite automaticamente dall’app, e le richieste possono essere visualizzate e scaricate nell’app;
6. assisterti in materia di sicurezza, notifica delle violazioni, valutazioni d’impatto e consultazioni con le autorità, per quanto riguarda il nostro trattamento;
7. cancellare i dati al termine del servizio (sezione 8);
8. mettere a disposizione le informazioni necessarie a dimostrare il rispetto di questo DPA e consentire gli audit come previsto nella sezione 9;
9. informarti immediatamente se riteniamo che un’istruzione violi la normativa sulla protezione dei dati.

Non vendiamo dati personali, non li condividiamo per pubblicità comportamentale cross-context, non li usiamo per addestrare modelli AI e non li combiniamo con dati di altri negozi.

3. I tuoi obblighi

Confermi di disporre di una base giuridica per il trattamento, di fornire ai tuoi clienti le informazioni richieste dalla legge (la tua informativa sulla privacy dovrebbe citare la chat e HolaReply) e che le tue istruzioni sono conformi alla legge.

4. Misure di sicurezza

• Cifratura in transito: HTTPS (TLS) per la chat della vetrina, il pannello di amministrazione e i webhook.
• Cifratura a riposo: i messaggi in chat, i recapiti di una conversazione e ogni campo delle richieste sono cifrati nel database (XSalsa20-Poly1305, con chiavi conservate fuori dal database); i clienti vengono cercati solo tramite hash con chiave della loro email o del loro telefono. Anche i token di accesso e le chiavi AI sono cifrati. I backup giornalieri sono cifrati (AES-256-GCM) con una chiave separata.
• Isolamento: i dati di ogni negozio sono tenuti separati; ogni richiesta viene verificata rispetto al token di sessione o alla firma del webhook di Shopify.
• Minimizzazione: email e numeri di telefono vengono rimossi da tutto ciò che viene inviato a un fornitore AI; i campi dei recapiti non gli vengono mai inviati; i dati degli ordini non vengono mai conservati né inviati a un’AI.
• Controllo degli accessi e registrazione: accesso al server solo tramite chiavi SSH, per al massimo due persone; ogni visualizzazione dei dati dei clienti (nell’app o da parte nostra) viene registrata in un log degli accessi conservato per un anno, di cui puoi vedere gli ultimi 90 giorni nell’app.
• Conservazione: conversazioni conservate finché non le elimini, oppure eliminate 30, 90 o 365 giorni dopo l’ultimo messaggio se scegli un periodo; tutto viene eliminato 48 ore dopo la disinstallazione; backup conservati per 14 giorni.
• Risposta agli incidenti: una procedura scritta (sezione 6).
• Copia esterna: ogni backup giornaliero, sempre cifrato, viene conservato anche per 14 giorni in un bucket privato Cloudflare R2.

5. Sub-responsabili del trattamento

Concedi un’autorizzazione generale per i sub-responsabili indicati di seguito. Ti informeremo almeno 30 giorni prima di aggiungerne o sostituirne uno (nell’app o via email e su questa pagina); puoi opporti per ragionevoli motivi legati alla protezione dei dati e, se non possiamo dare seguito all’opposizione, puoi smettere di usare l’app. Vincoliamo ogni sub-responsabile a condizioni sulla protezione dei dati almeno equivalenti a quelle di questo DPA e restiamo responsabili del suo operato.

Sub-responsabile	Finalità	Dati	Ubicazione
Google LLC (Gemini API)	Risposte AI e indice di ricerca (HolaReply AI, o la tua chiave Gemini)	Contenuti del negozio; domande dei clienti con email e numeri di telefono rimossi	Fuori dal SEE
OpenAI, L.L.C.	Solo se scegli OpenAI con la tua chiave	Gli stessi	Fuori dal SEE
Anthropic, PBC	Solo se scegli Claude con la tua chiave	Gli stessi	Fuori dal SEE
Resend (Plus Five Five, Inc.)	Email a te, al tuo team e risposte del tuo team ai clienti	Indirizzi email e contenuto delle email	Fuori dal SEE
Hostinger International Ltd	Il server su cui gira l’app (un server privato virtuale)	Tutti i dati che conserviamo (campi cifrati come sopra)	Fuori dal SEE
Cloudflare, Inc.	Rete e sicurezza davanti ad app.holareply.com; archiviazione della copia di backup cifrata esterna (R2)	Richieste in transito; backup cifrati (14 giorni)	Rete globale; backup fuori dal SEE
Shopify	La piattaforma e la fatturazione	Ciò che Shopify detiene già	—

6. Violazioni dei dati personali

Ti informiamo senza ingiustificato ritardo, ed entro 72 ore, dopo essere venuti a conoscenza di una violazione dei dati personali che riguarda i dati del tuo negozio, all’indirizzo email del tuo negozio, comunicando ciò che sappiamo: la natura della violazione, i dati e le persone coinvolti, le probabili conseguenze, le misure che abbiamo adottato e quelle che dovresti adottare tu, e un contatto (support@holareply.com). Ti aggiorniamo man mano che ne sappiamo di più. La nostra procedura di risposta agli incidenti descrive il processo.

7. Trasferimenti internazionali

Noi e alcuni dei nostri sub-responsabili trattiamo dati al di fuori del SEE, del Regno Unito e della Svizzera. Quando tali dati vengono trasferiti, il trasferimento è coperto dalle clausole contrattuali tipo della Commissione europea (decisione di esecuzione (UE) 2021/914 della Commissione: modulo 2, da titolare a responsabile del trattamento, e modulo 3 per i trasferimenti successivi ai nostri sub-responsabili), dall’International Data Transfer Addendum del Regno Unito e, per i dati svizzeri, dagli adeguamenti svizzeri di tali clausole, che sono incorporati nel presente accordo mediante rinvio, oppure da un altro meccanismo lecito, come la certificazione di un sub-responsabile ai sensi del Data Privacy Framework.

8. Cancellazione

Quando disinstalli l’app, tutti i dati del tuo negozio vengono eliminati 48 ore dopo (così una reinstallazione entro quel termine non comporta perdite), oppure immediatamente quando Shopify invia la sua richiesta shop/redact. I dati eliminati possono restare nei backup cifrati per un massimo di 14 giorni, dopodiché non esistono più. Prima di disinstallare puoi scaricare le tue richieste in CSV dall’app.

Per un sito web, chiedici (support@holareply.com) di eliminarlo: le sue conversazioni, richieste, contenuti e il team vengono eliminati entro 7 giorni ed escono dai backup cifrati 14 giorni dopo. Fino ad allora vengono conservati finché non li elimini, oppure per il periodo che scegli nella Desk.

9. Audit

Su richiesta scritta, al massimo una volta all’anno (o dopo una violazione), risponderemo a un ragionevole questionario di sicurezza e forniremo i documenti che dimostrano il rispetto di questo DPA. Quando la legge richiede un’ispezione, questa avviene con un preavviso di 30 giorni, in orario lavorativo, da parte di un revisore vincolato alla riservatezza, a tue spese, senza accesso ai dati di altri clienti.

10. Ordine di prevalenza

In caso di contrasto tra questo DPA e i termini in materia di dati personali, prevale questo DPA; le Clausole Contrattuali Standard, ove applicabili, prevalgono su entrambi.

Contatti

SEO Agency Inc (HolaReply) — support@holareply.com