Accordo sul trattamento dei dati (DPA)

1. Ruoli

Per i dati registrati dai visitatori del tuo negozio e importati sui tuoi clienti, tu sei il titolare del trattamento e Frondia LLC è il tuo responsabile del trattamento. Tu decidi le finalità e i mezzi; noi agiamo solo sulla base delle tue istruzioni documentate, costituite dai presenti termini e da ciò che configuri nel prodotto.

Le tue istruzioni documentate comprendono ogni funzionalità che attivi, in particolare il collegamento di un negozio, di un account Klaviyo o di una piattaforma pubblicitaria o di email a cui Whence invia i tuoi ordini, il mantenimento dell'impostazione che collega le visite ai dati di contatto digitati dai visitatori, e l'attivazione dell'impostazione che invia tali dati di contatto ai clienti del tuo negozio Shopify.

Se dovessimo ritenere che una tua istruzione violi la normativa sulla protezione dei dati, te lo comunicheremo anziché eseguirla in silenzio.

2. Cosa trattiamo, e per conto di chi

Nelle registrazioni, il testo digitato nei campi dei moduli viene mascherato nel browser del visitatore prima di raggiungerci. Password e numeri di carte di pagamento non vengono mai letti. Gli unici valori digitati che riceviamo sono i dati di contatto elencati sopra. Le analisi dei moduli contengono nomi dei campi e conteggi, mai i valori digitati.

2A. I tuoi obblighi in qualità di titolare del trattamento

Prima che Whence registri chiunque o invii qualsiasi ordine a una piattaforma, devi:

• (a) dove la legge richiede il consenso, raccoglierlo prima che lo script venga eseguito e prima che vengano letti i dati di contatto, utilizzando il banner dei cookie di Shopify o uno strumento di consenso collegato alla Customer Privacy API di Shopify o allo script Whence come documentato; Whence non fornisce un proprio banner dei cookie e legge il consenso che il tuo negozio raccoglie;
• (b) informare visitatori e clienti, nella tua informativa sulla privacy, che le visite vengono registrate da Whence, di cosa viene registrato, compresi clic, scorrimento, uso dei moduli ed eventi, e dei dati di contatto letti dallo script, di quali elementi vengono memorizzati nel loro browser e di quali piattaforme ricevono i loro ordini;
• (c) assicurarti che il consenso al marketing che raccogli copra la condivisione dei dati di acquisto con le piattaforme pubblicitarie che colleghi, anche ai fini della misurazione e della personalizzazione degli annunci, ove una piattaforma lo richieda;
• (d) disporre di una base giuridica per ogni trattamento oggetto delle tue istruzioni;
• (e) se attivi «Registra senza aspettare il consenso», Whence registra le visite, legge i dati di contatto digitati e invia gli eventi alle piattaforme che colleghi senza aspettare il consenso del visitatore, su tua istruzione. Sei solo tu a deciderlo e ne sei responsabile: nell’UE, nel Regno Unito e in alcuni stati degli USA è illegale senza consenso. Registriamo ogni modifica di questa impostazione con chi l’ha fatta e quando, e contrassegniamo ogni visita registrata così; il rifiuto esplicito di un visitatore resta rispettato.
• (f) «Registra anche se il visitatore rifiuta» è disattivata per impostazione predefinita, e puoi attivarla solo confermando che te ne assumi la responsabilità. Se la attivi, Whence registra anche, su tua istruzione, i visitatori che rifiutano nel banner dei cookie o nello strumento di consenso del tuo negozio, in deroga all’ultima frase della lettera (e). Sei solo tu a deciderlo e ne sei responsabile: registrare un visitatore che ha rifiutato è vietato dal GDPR nell’UE, nel SEE, nel Regno Unito e in Svizzera. Registriamo ogni modifica di questa impostazione con chi l’ha fatta e quando, e contrassegniamo ogni visita registrata così. Nulla che riguardi un visitatore che ha rifiutato viene inviato alle piattaforme pubblicitarie che colleghi: né il suo indirizzo di rete, né i suoi identificativi dei clic, e nessun consenso marketing viene presunto.

3. Riservatezza

Chiunque abbia accesso ai tuoi dati è vincolato da obblighi di riservatezza che permangono anche dopo la fine del suo incarico, e l'accesso è concesso solo quando il lavoro lo richiede.

4. Sicurezza

Manteniamo misure adeguate al rischio, tra cui: cifratura dei dati in transito; registrazioni conservate in uno spazio di archiviazione privato anziché a un indirizzo pubblico; rimozione dei parametri sensibili e del frammento dagli indirizzi delle pagine memorizzati per una visita, come descritto nella nostra informativa sulla privacy; regole del database che limitano l'accesso di ciascun account ai propri negozi; esecuzione dei processi in background che richiedono un accesso più ampio solo sui nostri server, con credenziali che non vengono mai inviate a un browser; e accesso limitato ai sistemi di produzione.

Possiamo aggiornare queste misure, ma non in modo da ridurre sostanzialmente il livello di protezione.

5. Sub-responsabili del trattamento

Ci autorizzi a ricorrere ai sub-responsabili del trattamento elencati nella pagina dei sub-responsabili del trattamento. Ciascuno è vincolato da obblighi non meno protettivi di questi.

Annunceremo un nuovo sub-responsabile del trattamento su quella pagina almeno trenta giorni prima che inizi a trattare i tuoi dati. Se ti opponi per ragionevoli motivi di protezione dei dati entro quei trenta giorni, e non siamo in grado di offrirti un'alternativa, puoi recedere dalla parte del servizio interessata e ottenere il rimborso del periodo non utilizzato.

Restiamo responsabili nei tuoi confronti dell'operato dei nostri sub-responsabili del trattamento.

5A. Destinatari da te indicati

Quando colleghi una piattaforma pubblicitaria o di email in Whence (Meta, Google, TikTok, Snapchat, Pinterest, Microsoft, Reddit, Taboola o Klaviyo), ci dai istruzione di inviare i dati dei tuoi ordini, e gli eventi del negozio che scegli per quella piattaforma (visualizzazioni di prodotto, carrelli, checkout e, se lo attivi, visualizzazioni di pagina), al tuo account su quella piattaforma. Quando il visitatore ha acconsentito al marketing, l'indirizzo IP utilizzato dal suo browser sul tuo negozio accompagna l'ordine e questi eventi: Whence lo conserva solo quando il visitatore ha acconsentito al marketing e il tuo negozio invia eventi ad almeno una piattaforma, e viene cancellato dopo 7 giorni. Quando chiedi a Whence di eseguire il pixel di quella piattaforma nel browser, il suo script viene caricato sul tuo negozio in base ai termini della piattaforma. Quella piattaforma non è un nostro sub-responsabile del trattamento: hai un tuo accordo con essa, sei responsabile dell'accettazione e del rispetto dei suoi termini, ed essa tratta i dati in base a tali termini. Inviamo un ordine solo quando i segnali di consenso descritti nella nostra informativa sulla privacy lo consentono. Per le piattaforme pubblicitarie, i dati di contatto vengono sottoposti a hashing ove la piattaforma lo richieda; Klaviyo li riceve in chiaro, nel tuo account. Non possiamo richiamare i dati che una piattaforma ha già ricevuto; le richieste di cancellazione di tali dati devono essere rivolte alla piattaforma. Puoi interrompere l'invio a qualsiasi piattaforma in qualsiasi momento.

Quando attivi l'invio dei contatti acquisiti ai tuoi clienti Shopify (disattivato per impostazione predefinita), ci dai istruzione di creare, nel tuo negozio Shopify, un cliente per ogni contatto acquisito sulla tua vetrina dopo il consenso del visitatore e dopo l'attivazione dell'impostazione, con il suo indirizzo email, numero di telefono, nome e cognome, il tag whence-captured e una nota. Non modifichiamo mai un cliente già esistente nel tuo negozio, salvo l'aggiunta di quel tag, e non impostiamo alcun consenso al marketing. Shopify è la piattaforma del tuo negozio, non un nostro sub-responsabile del trattamento. Disattivare l'impostazione interrompe l'invio e non elimina nulla; la cancellazione di una persona in Whence non elimina il cliente creato nel tuo negozio, che devi cancellare in Shopify.

Lo stesso vale quando colleghi Google Analytics 4, HubSpot o Zapier: ci dai istruzione di inviare gli eventi che scegli, con l'identificativo client di Google Analytics (solo dopo un consenso esplicito alle statistiche) o l'indirizzo email del visitatore (solo dopo il consenso al marketing), come descritto nella nostra informativa sulla privacy, al tuo account su quello strumento. E quando colleghi WooCommerce o BigCommerce, ci dai istruzione di leggere da essi i tuoi ordini con le chiavi di sola lettura che fornisci. Questi strumenti sono destinatari che scegli tu, non nostri sub-responsabili del trattamento.

6. Trasferimenti internazionali

I dati dei tuoi visitatori e clienti sono conservati nell'Unione europea, nelle sedi indicate nella pagina dei sub-responsabili del trattamento. Vi accedono dagli Stati Uniti Frondia LLC e alcuni sub-responsabili del trattamento, e parti del livello di rete sono globali. Ove un trasferimento richieda una garanzia, le parti incorporano mediante rinvio le clausole contrattuali tipo della Commissione europea del 4 giugno 2021, modulo due (da titolare a responsabile del trattamento), con te come esportatore dei dati e Frondia LLC come importatore dei dati, unitamente all'addendum del Regno Unito emesso dall'Information Commissioner's Office ove il trasferimento sia soggetto al diritto del Regno Unito.

Ai fini di tali clausole, la descrizione di cui alla clausola 2 costituisce l'Allegato I, le misure di cui alla clausola 4 l'Allegato II e la pagina dei sub-responsabili del trattamento l'Allegato III. L'autorità di controllo è quella dello Stato membro in cui sei stabilito. La clausola 17 è disciplinata dal diritto irlandese e la clausola 18 attribuisce la competenza ai tribunali irlandesi.

Per i trasferimenti soggetti alla legge federale svizzera sulla protezione dei dati, si applicano le stesse clausole, l'autorità competente è l'Incaricato federale della protezione dei dati e della trasparenza, e i riferimenti al GDPR si intendono fatti a tale legge.

7. Cancellazione e restituzione

Le registrazioni e le visite, con i clic, le analisi dei moduli, le misure di velocità delle pagine e gli eventi rilevati nel corso delle stesse e i conteggi giornalieri che ne derivano, vengono eliminati automaticamente allo scadere del periodo di conservazione del tuo piano. Gli eventi di carrello e checkout vengono eliminati dopo 90 giorni, i riepiloghi IA con le stesse tempistiche delle registrazioni, le registrazioni dei consensi dopo 24 mesi, e gli ordini, i checkout abbandonati e i contatti importati entro un giorno dallo scollegamento del negozio o dalla disinstallazione dell'app Shopify. I dettagli sono nella nostra informativa sulla privacy.

Quando il tuo account viene chiuso, puoi esportare i tuoi dati nei trenta giorni successivi, dopodiché li eliminiamo. Se usi l'app Shopify, la disinstallazione comporta anche che Shopify ci chieda di cancellare i dati del negozio 48 ore dopo; esporta tutto ciò che ti serve prima di disinstallarla.

Puoi esportare o cancellare i dati di un singolo visitatore o cliente in qualsiasi momento dalla sezione Privacy requests (richieste relative alla privacy) delle tue impostazioni. Una cancellazione che non riesce a rimuovere ogni parte fallisce in modo visibile anziché segnalare un esito positivo: non ti viene mai comunicato che una cancellazione è avvenuta quando non è così.

8. Assistenza nell'adempimento dei tuoi obblighi

Ti assisteremo, nei limiti del ragionevole e tenendo conto delle informazioni in nostro possesso:

• Nelle richieste degli interessati. La sezione Privacy requests delle tue impostazioni ti consente di trovare una persona tramite indirizzo email, numero di telefono, nome e cognome, identificativo del visitatore o numero d'ordine, e di esportare o cancellare ciò che Whence conserva su di essa. Le richieste che Shopify ci invia vi compaiono con la relativa scadenza. Se una richiesta ci perviene direttamente, te la inoltreremo anziché darvi seguito noi stessi.
• Nelle valutazioni d'impatto e nelle consultazioni relative al trattamento qui descritto.
• Negli incidenti di sicurezza. Ti informeremo senza ingiustificato ritardo, ove possibile entro 48 ore e in ogni caso entro 72 ore dal momento in cui veniamo a conoscenza di una violazione dei dati personali che riguarda i tuoi dati, comunicandoti ciò che sappiamo in quel momento, cosa stiamo facendo al riguardo e cosa ti consigliamo di fare.

9. Audit

Metteremo a disposizione le informazioni ragionevolmente necessarie per dimostrare il rispetto del presente accordo e risponderemo a un questionario scritto sulla sicurezza una volta ogni dodici mesi. Ove ciò risulti effettivamente insufficiente, puoi sottoporci a un audit con un preavviso di trenta giorni, una volta ogni dodici mesi, a tue spese, durante l'orario lavorativo e senza compromettere il servizio o la riservatezza dei dati di altri clienti.

9A. Leggi statali statunitensi sulla privacy

Ove si applichi il California Consumer Privacy Act o un'analoga legge statale statunitense, trattiamo le informazioni personali solo per le finalità commerciali descritte nella clausola 2 e secondo le tue istruzioni. Non le venderemo, non le condivideremo per pubblicità comportamentale cross-context per nostro conto, non le conserveremo, utilizzeremo o divulgheremo al di fuori del nostro rapporto commerciale diretto con te, né le combineremo con informazioni personali che riceviamo da altri, salvo quanto consentito da tali leggi. Rispetteremo tali leggi, garantiremo lo stesso livello di protezione da esse richiesto e ti informeremo se non fossimo più in grado di adempiere a questi obblighi. Puoi adottare misure ragionevoli per fermare e porre rimedio a qualsiasi uso non autorizzato.

10. Prevalenza

In caso di conflitto tra il presente accordo e i termini di servizio in merito al trattamento dei dati di visitatori o clienti, prevale il presente accordo. In caso di conflitto con le clausole contrattuali tipo, prevalgono tali clausole.

11. Contatti

Frondia LLC, New Mexico, Stati Uniti. contact@usewhence.com.