Mora Technologies ApS · Note legali
Accordo sul trattamento dei dati
Ultimo aggiornamento: 9 novembre 2026 · Versione: 2026-10-26 · Art. 28 GDPR · Si applica a tutte le applicazioni Shopify pubblicate da Mora Technologies ApS con il marchio Aveus
Questa è una traduzione dell'originale in inglese. In caso di differenze tra le due versioni, prevale la versione in inglese.
Il presente Accordo sul trattamento dei dati («DPA») è concluso tra l'impresa che installa un'App Aveus sul proprio negozio Shopify (il «Commerciante», che agisce in qualità di titolare del trattamento) e Mora Technologies ApS, che opera con la denominazione Aveus ApS (denominazione secondaria registrata), CVR 46 17 19 77, Rantzausgade 11, 2. 6., 2200 København N, Denmark (che agisce in qualità di responsabile del trattamento). Costituisce parte integrante dei nostri Termini di servizio e si applica ogni volta che un'App tratta dati personali per conto del Commerciante. Il Commerciante lo accetta insieme ai Termini e all'Informativa sulla privacy: in ciascuna App prima di utilizzarla; in Aveus AI, nella sua prima schermata, e prima di allora nulla viene trattato ai sensi del presente DPA (Termini, A.13), salvo le risposte ai webhook di privacy obbligatori di Shopify e l’indirizzo IP del visitatore che gli script della vetrina e la pagina pubblica di trasparenza usano come chiave del limite di richieste (Allegato II).
Per i dati dell'account del Commerciante stesso (dominio del negozio, token di accesso, registri di audit e gli altri dati del commerciante elencati nella Parte B dell'Informativa sulla privacy) Mora Technologies ApS è un titolare del trattamento autonomo, non un responsabile del trattamento; tali dati sono disciplinati dall'Informativa sulla privacy, non dal presente DPA.
1. Clausole contrattuali tipo
Le parti convengono che le clausole contrattuali tipo tra titolari del trattamento e responsabili del trattamento riportate nell'allegato della decisione di esecuzione (UE) 2021/915 della Commissione, del 4 giugno 2021 (le «Clausole», disponibili all'indirizzo eur-lex.europa.eu/eli/dec_impl/2021/915/oj), si applicano tra loro e sono incorporate per riferimento nel presente DPA, con il Commerciante in qualità di titolare del trattamento e Mora Technologies ApS in qualità di responsabile del trattamento. Gli allegati delle Clausole sono completati dagli Allegati da I a IV riportati di seguito. In caso di conflitto tra le Clausole e i Termini o qualsiasi altro accordo tra le parti, prevalgono le Clausole (clausola 4).
Le parti effettuano le seguenti scelte che le Clausole lasciano aperte:
| Clausola 5 (clausola di adesione successiva) | Non utilizzata. Un nuovo negozio installa l'App e accetta direttamente il presente DPA, nell'App, prima di utilizzarla. |
| Clausola 7.7 (subresponsabili del trattamento) | Opzione 2: autorizzazione scritta generale. Il responsabile del trattamento informa il titolare del trattamento di qualsiasi aggiunta o sostituzione prevista di un subresponsabile del trattamento con almeno 14 giorni di anticipo, per email o nell'App, e il titolare del trattamento può opporsi; se l'opposizione non può essere risolta, il titolare del trattamento può recedere disinstallando l'App. L'elenco attuale figura nell'Allegato IV. |
| Clausola 7.8 (trasferimenti internazionali) | Solo verso i destinatari e con le garanzie indicati nell'Allegato IV e nella sezione A.4 dell'Informativa sulla privacy: le clausole contrattuali tipo della Decisione (UE) 2021/914 della Commissione ai sensi dell'art. 46, par. 2, lett. c), del GDPR nei casi in cui i dati possano essere consultati al di fuori del SEE e, per Shopify Inc. in Canada, la decisione di adeguatezza della Commissione europea per il Canada. |
| Clausola 9 (violazione dei dati personali) | Il responsabile del trattamento notifica la violazione al titolare del trattamento senza ingiustificato ritardo dopo esserne venuto a conoscenza e, ove possibile, entro 48 ore, con le informazioni di cui alla clausola 9.2. |
| Istruzioni (clausola 7.1) | Il titolare del trattamento impartisce le proprie istruzioni al responsabile del trattamento attraverso l'uso che fa dell'App: le sue impostazioni, le azioni che compie nell'App e i webhook obbligatori di Shopify sulla privacy (customers/data_request, customers/redact, shop/redact). |
| Cancellazione al termine del servizio (clausola 10.d) | Prima di disinstallare, il titolare del trattamento può chiedere a contact@aveus.ai una copia dei dati personali trattati per suo conto. Tali dati sono poi cancellati alla disinstallazione o alla richiesta di cancellazione verificata che Shopify invia 48 ore dopo, come indicato per ciascuna App nella Parte B dell'Informativa sulla privacy e, su richiesta, confermiamo la cancellazione per iscritto. |
2. Limiti del presente DPA
Il presente DPA disciplina esclusivamente la protezione dei dati. Non estende l'ambito delle App descritte nei Termini, non rende Mora Technologies ApS responsabile degli obblighi propri del Commerciante in qualità di titolare del trattamento (comprese le informazioni che fornisce ai propri clienti e la liceità dei dati che raccoglie) o di deployer ai sensi del regolamento europeo sull'intelligenza artificiale (AI Act), e non modifica la limitazione di responsabilità prevista nei Termini, salvo ove le Clausole o norme imperative dispongano diversamente. L'assistenza ai sensi delle clausole 7.6 e 8 che va oltre quanto l'App fornisce automaticamente (ad esempio gli audit in loco) è offerta a un costo ragionevole concordato in anticipo.
Allegato I. Elenco delle parti
| Ruolo | Parte | Contatto |
|---|---|---|
| Titolare del trattamento | L'impresa proprietaria del negozio Shopify su cui è installata l'App, identificata dal dominio del negozio e rappresentata dall'account dello staff Shopify che ha accettato il presente DPA | L'indirizzo email del proprietario del negozio registrato in Shopify |
| Responsabile del trattamento | Mora Technologies ApS, che opera con la denominazione Aveus ApS (denominazione secondaria registrata), CVR 46 17 19 77, Rantzausgade 11, 2. 6., 2200 København N, Danimarca | contact@aveus.ai |
Ciascuna parte accetta le Clausole e il presente DPA nella data in cui il titolare del trattamento li accetta nell’App, che l’App registra (Termini, A.13).
Allegato II. Descrizione del trattamento
| Categorie di interessati | I clienti del titolare del trattamento e i visitatori del suo negozio online e della sua pagina pubblica di trasparenza; le persone che possono comparire nelle immagini dei suoi prodotti o essere nominate nei relativi metadati; le persone che il titolare del trattamento nomina nei registri che tiene nell'App (ad esempio il suo registro degli incidenti). |
| Categorie di dati personali | Gli identificativi dei clienti Shopify trasmessi dai webhook obbligatori sulla privacy (ad esempio l'ID cliente in una richiesta customers/data_request o customers/redact); l'indirizzo IP dei visitatori, utilizzato come chiave di un contatore per limitare la frequenza delle richieste dagli script della vetrina e dalla pagina pubblica di trasparenza e che scade automaticamente entro due ore, lo user agent delle loro richieste, usato insieme all'indirizzo IP per bloccare il traffico abusivo e le richieste da determinati paesi o reti e conservato nei log del servizio descritti nella sezione A.11 dell'Informativa sulla privacy (per le richieste bloccate, con un hash pseudonimizzato dell'indirizzo IP), e il paese che si ricava dall'indirizzo IP, che non viene conservato, per mostrare il Badge di fiducia solo nell'UE e nel SEE; i metadati delle immagini dei prodotti, letti solo per individuare indicatori di provenienza (viene conservato solo il risultato del rilevamento); e, solo se il titolare del trattamento attiva l'analisi visiva in Aveus AI, una copia ridotta delle immagini dei prodotti che sceglie di analizzare, che può ritrarre una persona (l'immagine non viene conservata); al momento l'analisi visiva non è disponibile; i contenuti che il titolare del trattamento scrive nell'App, come gli incidenti che registra (descrizione, autorità e relativo indirizzo email) e le sue note di revisione. Le App non leggono ordini, profili dei clienti né dati di pagamento. |
| Dati sensibili | Nessuno. Le App non sono progettate per trattare categorie particolari di dati personali (art. 9 GDPR) né dati relativi a condanne penali (art. 10). |
| Natura del trattamento | Automatizzata: ricezione e conservazione delle richieste dei webhook, conteggio temporaneo per limitare la frequenza delle richieste, blocco delle richieste abusive, lettura dei metadati delle immagini, conservazione dei registri che il titolare del trattamento tiene nell'App e cancellazione; e, solo su istruzione del titolare del trattamento (analisi visiva attivata in Aveus AI), invio di una copia ridotta delle immagini dei prodotti da esso selezionate al subresponsabile del trattamento che fornisce l'IA, affinché possa suggerire se sia necessaria un'etichetta. Al momento l'analisi visiva non è disponibile (Termini di Aveus AI, B.1.5): finché non lo è, non viene inviata alcuna immagine dei prodotti. |
| Finalità | Fornire l'App al titolare del trattamento; dare seguito alle richieste in materia di privacy del titolare del trattamento ricevute tramite Shopify; proteggere gli endpoint della vetrina online da usi abusivi. |
| Durata | Per tutto il tempo in cui l'App resta installata, seguita dalla cancellazione come indicato nella Parte B dell'Informativa sulla privacy (chiavi per la limitazione della frequenza delle richieste: al massimo due ore; coda delle richieste in materia di privacy: 90 giorni dopo il loro completamento). |
Allegato III. Misure tecniche e organizzative
- Residenza dei dati nell'UE: database a Francoforte (AWS eu-central-1), esecuzione dell'applicazione a Francoforte (Vercel fra1), elaborazione IA sull'endpoint multiregionale UE di Vertex AI.
- Isolamento tra negozi: l'accesso ai dati è limitato al negozio interessato, tramite la Row Level Security del database per le richieste fatte per un negozio e tramite un filtro sul negozio nelle attività del server che funzionano senza di essa.
- Cifratura: TLS durante il transito; token di accesso Shopify cifrati a riposo con AES-256-GCM; database cifrato a riposo dal fornitore.
- Autenticazione: ogni richiesta proveniente dal pannello di amministrazione di Shopify è verificata con il token di sessione firmato da Shopify; ogni webhook con la relativa firma HMAC; nell'ambiente di esecuzione non esiste alcuna chiave di account di servizio cloud di lunga durata (Workload Identity Federation).
- Privilegio minimo: l'App richiede solo le autorizzazioni Shopify di cui ha bisogno; il ruolo del database usato per le richieste dei negozi dispone solo dei privilegi sulle colonne di cui ha bisogno.
- Minimizzazione dei dati: non raccogliamo di nostra iniziativa alcun dato dei clienti finali; nel database non viene memorizzato alcun indirizzo IP; i rapporti di errore vengono oscurati e pseudonimizzati.
- Sviluppo sicuro: analisi delle dipendenze e dei segreti nella pipeline di build, test automatici a ogni modifica e revisioni periodiche della sicurezza rispetto alla OWASP Top 10.
- Registrazione e conservazione: i log di sicurezza e operativi sono conservati per i periodi indicati nell'Informativa sulla privacy e poi cancellati automaticamente.
- Gestione degli incidenti: le violazioni sono notificate come previsto dalla clausola 9 (sezione 1 del presente DPA).
Allegato IV. Elenco dei subresponsabili del trattamento
Il titolare del trattamento autorizza i seguenti subresponsabili del trattamento (clausola 7.7, opzione 2).
| Subresponsabile | App | Finalità | Ubicazione |
|---|---|---|---|
| Shopify International Limited (Irlanda) / Shopify Inc. | Tutte | La piattaforma su cui funzionano le App: autenticazione, Admin API, webhook obbligatori sulla privacy | UE e Canada, in base allo Shopify Data Processing Addendum |
| Supabase Inc. | Tutte | Hosting del database | UE: AWS eu-central-1 (Francoforte) |
| Vercel Inc. | Tutte | Hosting dell'applicazione e ambiente di esecuzione serverless | UE: Francoforte (fra1); instradamento edge nella località più vicina al visitatore |
| Upstash, Inc. | Aveus AI | Limitazione della frequenza delle richieste, budget di spesa per l'IA e idempotenza dei webhook | Regione UE |
| Google Cloud EMEA Limited (Irlanda), Vertex AI | Aveus AI | Classificazione mediante IA di estratti dei file del tema e della documentazione pubblica dei fornitori (al modello non viene inviato alcun dato dei clienti finali); e, solo su istruzione del titolare del trattamento, copie ridotte delle immagini dei prodotti da esso selezionate per l'analisi visiva (al momento l'analisi visiva non è disponibile) | UE: Vertex AI "eu" multiregionale |
| Google Ireland Limited (Google Workspace / Gmail) | Aveus AI | Avvisi operativi sugli errori inviati alla nostra casella di posta tecnica | UE e Stati Uniti, in base al Google DPA e alle clausole contrattuali tipo |
Supabase, Vercel, Upstash e Google possono avvalersi di personale o di società affiliate al di fuori del SEE per un accesso limitato a fini di assistenza e di ingegneria; tale accesso è coperto dalle clausole contrattuali tipo ai sensi dell'art. 46, par. 2, lett. c), del GDPR, come descritto nell'Informativa sulla privacy. I dati di contatto di ciascun subresponsabile sono quelli che esso pubblica; su richiesta li forniamo, insieme a una copia delle relative condizioni sul trattamento dei dati.