Il presente Accordo sul Trattamento dei Dati (l'"Accordo") integra i Termini e Condizioni del servizio Vemlora (il "Servizio") e disciplina, ai sensi dell'art. 28 del Regolamento (UE) 2016/679 ("GDPR"), il trattamento dei dati personali che l'azienda cliente inserisce nel Servizio o vi importa tramite le integrazioni. L'Accordo si applica automaticamente a ogni azienda che utilizza il Servizio e prevale sui Termini in caso di contrasto riguardo alla protezione dei dati.
1. Parti e ruoli
- Titolare del trattamento: l'azienda cliente che utilizza il Servizio (il "Cliente").
- Responsabile del trattamento: Jigglycard di Francesco Buscicchio (ditta individuale), Via Principe Amedeo 94, 74123 Taranto (TA), P.IVA IT03416880734, e-mail info@vemlora.it, PEC francesco.buscicchio@pec.it ("Vemlora").
Per i dati degli utenti che creano e gestiscono un account (registrazione, autenticazione, abbonamento) Vemlora agisce come titolare autonomo, come descritto nell'Informativa sulla Privacy.
2. Oggetto, natura e finalità del trattamento
Vemlora tratta i dati personali al solo scopo di erogare il Servizio al Cliente: gestione di anagrafiche, ordini, magazzino, documenti di trasporto e fiscali, spedizioni, scadenze di pagamento e sincronizzazione con i canali di vendita che il Cliente collega (ad esempio Shopify, TikTok Shop, CardTrader). Il trattamento consiste in raccolta, importazione, registrazione, organizzazione, conservazione, consultazione, elaborazione, comunicazione ai fornitori indicati al §7 e cancellazione.
3. Categorie di interessati e di dati
- Interessati: clienti e potenziali clienti del Cliente (anche dei suoi negozi online), fornitori e loro referenti, utenti e collaboratori del Cliente che accedono al Servizio.
- Dati: dati identificativi e di contatto (nome, cognome, ragione sociale, e-mail, telefono), indirizzi di spedizione e fatturazione, dati fiscali (codice fiscale, partita IVA, codice SDI/PEC), dati degli ordini e dei pagamenti (importi, articoli, stato; non i dati delle carte di pagamento), dati delle spedizioni.
- Il Servizio non è pensato per categorie particolari di dati (art. 9 GDPR) né per dati giudiziari: il Cliente si impegna a non inserirli.
4. Istruzioni del Cliente
Vemlora tratta i dati soltanto su istruzione documentata del Cliente. Costituiscono istruzioni i Termini, il presente Accordo e le configurazioni impostate dal Cliente nel Servizio (ad esempio le integrazioni attivate e i dati sincronizzati). Vemlora informa il Cliente se ritiene che un'istruzione violi il GDPR o altre norme sulla protezione dei dati. I dati non vengono usati per finalità proprie di Vemlora, non vengono venduti né usati per profilazione, pubblicità o addestramento di modelli.
5. Riservatezza
L'accesso ai dati del Cliente è limitato alle persone autorizzate da Vemlora che ne hanno necessità per erogare il Servizio o fornire assistenza, vincolate alla riservatezza.
6. Misure di sicurezza
Vemlora adotta misure tecniche e organizzative adeguate ai sensi dell'art. 32 GDPR, tra cui:
- cifratura in transito (HTTPS/TLS) per tutte le comunicazioni;
- cifratura a riposo del database e dei backup gestita dal fornitore (MongoDB Atlas); cifratura applicativa AES-256-GCM delle credenziali e dei token delle integrazioni;
- isolamento dei dati di ogni azienda in un database dedicato e controllo degli accessi basato su ruoli e permessi;
- password degli utenti conservate con hash bcrypt;
- registro delle attività (audit log) sulle operazioni rilevanti;
- backup automatici del database e procedure di ripristino;
- accesso amministrativo all'infrastruttura limitato e protetto da autenticazione a più fattori;
- procedura di gestione degli incidenti di sicurezza (§9).
7. Sub-responsabili
Il Cliente autorizza in via generale Vemlora a ricorrere ai seguenti sub-responsabili, vincolati da obblighi di protezione dei dati equivalenti a quelli del presente Accordo:
| Fornitore | Servizio |
|---|---|
| MongoDB Inc. (MongoDB Atlas) | Database gestito e backup |
| Netlify Inc. | Hosting dell'applicazione |
| Google Cloud (Cloud Storage) | Archiviazione di file e documenti |
| Aruba S.p.A. | Invio delle e-mail transazionali |
| Openapi S.p.A. | Trasmissione delle fatture elettroniche allo SDI, se attivata |
| Alsendo (SpedirePro) | Preventivi ed etichette di spedizione, se attivati |
| Stripe | Pagamenti, se attivati |
Shopify, TikTok Shop e CardTrader sono canali scelti e collegati dal Cliente, che ne è utente diretto: Vemlora vi accede con le autorizzazioni concesse dal Cliente. Vemlora comunica con almeno 30 giorni di anticipo, tramite questa pagina o via e-mail, l'aggiunta o la sostituzione di un sub-responsabile; il Cliente può opporsi per motivi legittimi e, in mancanza di accordo, recedere dal Servizio.
8. Trasferimenti fuori dallo SEE
Se un sub-responsabile tratta dati fuori dallo Spazio Economico Europeo, il trasferimento avviene sulla base di una decisione di adeguatezza (ad esempio il Data Privacy Framework UE-USA) o delle Clausole Contrattuali Standard della Commissione Europea.
9. Violazioni dei dati personali
Vemlora informa il Cliente senza ingiustificato ritardo, e comunque entro 48 ore da quando ne è venuta a conoscenza, di ogni violazione dei dati personali che lo riguarda, fornendo le informazioni disponibili (natura della violazione, categorie e numero approssimativo di interessati e di dati, probabili conseguenze, misure adottate o proposte), così da consentire al Cliente gli adempimenti degli artt. 33 e 34 GDPR.
10. Assistenza al Cliente
Tenuto conto della natura del trattamento, Vemlora assiste il Cliente:
- nel dare seguito alle richieste di esercizio dei diritti degli interessati (accesso, rettifica, cancellazione, limitazione, portabilità, opposizione), anche tramite le funzioni del Servizio che consentono di consultare, modificare, esportare ed eliminare i dati;
- nella gestione delle richieste ricevute tramite le piattaforme collegate (ad esempio le richieste GDPR inoltrate da Shopify), che vengono registrate e lavorate entro 30 giorni;
- nelle valutazioni d'impatto e nelle consultazioni preventive, ove necessarie.
11. Durata, restituzione e cancellazione
L'Accordo dura quanto l'utilizzo del Servizio. Il Cliente può esportare i propri dati in ogni momento. Alla cessazione del Servizio Vemlora cancella i dati del Cliente entro 90 giorni, salvo che il Cliente ne chieda prima la restituzione o che la legge ne imponga la conservazione; le copie di backup vengono eliminate alla scadenza del loro ciclo di conservazione. Se il Cliente scollega un canale di vendita (ad esempio disinstallando l'app Vemlora da Shopify), le credenziali di accesso a quel canale vengono eliminate subito.
12. Verifiche
Vemlora mette a disposizione del Cliente le informazioni necessarie a dimostrare il rispetto del presente Accordo e consente verifiche, comprese ispezioni, svolte dal Cliente o da un revisore da esso incaricato e vincolato alla riservatezza, con preavviso di almeno 30 giorni e senza pregiudicare la sicurezza e la riservatezza dei dati di altri clienti.
13. Disposizioni finali
Per quanto non previsto si applicano i Termini, il GDPR e il D.Lgs. 196/2003. L'Accordo è regolato dalla legge italiana. Le modifiche vengono pubblicate su questa pagina con la relativa data di aggiornamento.