Informativa sulla privacy

Per quanto riguarda i vostri dati in qualità di commercianti (dominio del negozio, token di accesso, registri delle verifiche e i dati di ciascuna App indicati nella Parte B), Mora Technologies ApS agisce in qualità di titolare del trattamento autonomo.

Per quanto riguarda i dati dei vostri clienti finali, Mora Technologies ApS agisce, nei casi in cui un’App tratti effettivamente tali dati, in qualità di responsabile del trattamento ai sensi dell’Art. 28 del GDPR, secondo le istruzioni trasmesse tramite i webhook obbligatori di Shopify sulla privacy (customers/data_request, customers/redact, shop/redact). Restate titolari del trattamento per i vostri clienti e per il vostro negozio, anche per quanto riguarda la liceità dei dati che raccogliete presso di loro, le informative che fornite loro e i servizi di terzi che installate. Nessuna disposizione della presente Informativa ci trasferisce tali responsabilità. Le condizioni di tale trattamento (Art. 28.3 del GDPR) sono stabilite nel nostro Accordo sul trattamento dei dati.

• Non vendiamo, non noleggiamo e non scambiamo mai i vostri dati, e non li condividiamo mai con intermediari di dati o inserzionisti.
• Non utilizziamo mai i vostri dati, i contenuti del vostro negozio o i dati dei vostri clienti per addestrare modelli di intelligenza artificiale, né nostri né di altri.
• Non inseriamo mai codice di analisi, pubblicità o tracciamento nella vetrina del vostro negozio. Quando un’App aggiunge codice alla vostra vetrina (ad esempio un’etichetta o un badge), la Parte B indica esattamente cosa fa. Tale codice non ci invia mai i dati personali dei vostri visitatori; ciò che raggiunge i nostri server sono i dati tecnici che qualsiasi browser invia quando carica uno script (il suo indirizzo IP, il suo user agent e la pagina di provenienza), che utilizziamo soltanto per fornire lo script, limitare la frequenza delle richieste e, per il Badge di fiducia, sapere se il visitatore si trova nell’UE o nel SEE (B.1.5). Non conserviamo l’indirizzo IP per più di due ore; A.11 spiega i log di servizio del nostro fornitore di hosting.
• Non raccogliamo mai di nostra iniziativa dati personali dei vostri clienti finali. Un’App riceve identificativi dei clienti solo quando Shopify ce li invia tramite i suoi webhook obbligatori, e la Parte B indica cosa ne avviene.
• Non trasferiamo mai dati al di fuori dello Spazio economico europeo, se non con le garanzie descritte in A.4.
• Non conserviamo mai i dati oltre il periodo di conservazione indicato per essi nella Parte B.

Ogni App si avvale dei seguenti subresponsabili principali. La Parte B elenca gli eventuali subresponsabili aggiuntivi utilizzati da una specifica App.

Supabase, Vercel e Upstash (quest’ultima indicata nella Parte B) sono società costituite negli Stati Uniti la cui infrastruttura nell’UE può ricevere supporto da personale situato al di fuori del SEE. Qualsiasi accesso residuo di questo tipo è coperto dalle clausole contrattuali tipo della Commissione europea (Decisione (UE) 2021/914) ai sensi dell’Art. 46.2.c del GDPR, incorporate nel Data Processing Addendum di ciascun fornitore. Nessun dato personale viene trasferito al di fuori del SEE senza tali garanzie. Potete chiederci una copia di tali garanzie a contact@aveus.ai.

Email che ci inviate. La nostra casella di posta contact@aveus.ai, che riceve le richieste di assistenza, le richieste in materia di privacy e le risposte alle email inviate dalle nostre App, è ospitata da Google Ireland Limited (Google Workspace / Gmail) ai sensi del suo Data Processing Addendum. Se Google o i suoi subresponsabili trattano tali messaggi al di fuori del SEE, si applicano le clausole contrattuali tipo previste da tale accordo. Utilizziamo i vostri messaggi esclusivamente per rispondervi e per documentare come abbiamo gestito la vostra richiesta (Art. 6.1.b e Art. 6.1.f del GDPR) e li cancelliamo al più tardi tre anni dopo l’ultimo messaggio della conversazione. Vi preghiamo di non inviarci via email i dati personali dei vostri clienti.

Adottiamo misure tecniche e organizzative adeguate al rischio, tra cui: cifratura AES-256-GCM dei token di accesso di Shopify a riposo, Row Level Security (RLS) affinché un negozio non possa mai leggere le righe di un altro negozio, verifica della firma HMAC di ogni webhook di Shopify, TLS in transito, registri di audit ai quali è possibile soltanto aggiungere voci (l’unica modifica ammessa è segnare come notificato un incidente che avete registrato), scansione delle dipendenze e dei segreti nella nostra pipeline di build e revisioni periodiche della sicurezza sulla base della OWASP Top 10. Nessun sistema è perfettamente sicuro; se veniamo a conoscenza di una violazione dei dati personali che vi riguarda, ne daremo notifica a voi e, ove previsto, all’autorità di controllo entro i termini stabiliti dagli Art. 33 e 34 del GDPR.

Ai sensi del Capo III del GDPR, avete i seguenti diritti in relazione ai vostri dati in qualità di commercianti:

• Diritto di accesso (Art. 15): Richiedere una copia dei dati che conserviamo sul vostro negozio Shopify.
• Diritto di rettifica (Art. 16): Richiedere la correzione di dati inesatti.
• Diritto alla cancellazione (Art. 17): Richiedere la cancellazione dei vostri dati. La Parte B indica, per ciascuna App, cosa elimina una richiesta di cancellazione verificata e cosa elimina automaticamente la disinstallazione dell’App.
• Diritto alla portabilità dei dati (Art. 20): Richiedere i vostri dati in un formato leggibile da dispositivo automatico.
• Diritto di limitazione del trattamento (Art. 18): Richiedere che, in determinate circostanze, limitiamo l’uso che facciamo dei vostri dati.
• Diritto di opposizione (Art. 21): Opporvi al trattamento basato su legittimi interessi.
• Diritto di revocare il consenso (Art. 7.3): Quando ci basiamo sul vostro consenso (novità di Aveus via email, A.12 e B.1.1), potete revocarlo in qualsiasi momento, con la stessa facilità con cui lo avete dato: nelle Impostazioni dell’app, con il link presente in ogni email di novità o scrivendoci. La revoca non pregiudica quanto fatto in precedenza.
• Diritto di opposizione al marketing diretto (Art. 21, paragrafi 2 e 3): Opporvi in qualsiasi momento a ricevere da noi novità e offerte via email. Smettiamo subito.

Per esercitare uno qualsiasi di questi diritti, contattateci all’indirizzo contact@aveus.ai dall’indirizzo email associato al vostro negozio Shopify, oppure tramite i webhook di Shopify sulla privacy. Risponderemo entro 30 giorni (Art. 12 del GDPR). Prima di dare seguito a una richiesta, potremmo chiedervi di dimostrare che avete il controllo del negozio interessato.

Fornire i vostri dati di commerciante è necessario per concludere ed eseguire il nostro contratto con voi: senza di essi l’App non può funzionare. Non adottiamo decisioni basate unicamente su un trattamento automatizzato che producano effetti giuridici che vi riguardano o che incidano in modo analogo significativamente su di voi (Art. 22 del GDPR); le classificazioni e le stime prodotte da un’App sono proposte che voi esaminate e su cui decidete.

Questi diritti valgono anche per voi se vi siete iscritti alle nostre novità su aveus.ai senza essere commercianti (A.12).

Avete il diritto di proporre reclamo all’autorità di controllo competente:

Ciascuna categoria di dati indicata nella Parte B viene cancellata automaticamente alla scadenza del relativo periodo di conservazione. I periodi sono limiti massimi, non minimi: non conserviamo i dati oltre la finalità che li giustifica (Art. 5.1.e del GDPR, limitazione della conservazione). Se una categoria viene conservata dopo la disinstallazione, la Parte B lo indica e ne spiega il motivo. Le registrazioni che documentano che abbiamo dato seguito a una richiesta prevista dalla legge (ad esempio la voce che prova l’avvenuta elaborazione di un webhook shop/redact) sono conservate come prova di conformità ai sensi dell’Art. 5.2 del GDPR (responsabilizzazione) e dell’Art. 17.3.e (difesa di un diritto in sede giudiziaria). La registrazione di una richiesta shop/redact elaborata conserva il dominio del negozio per 90 giorni per poter provare la cancellazione; le altre registrazioni di questo tipo sono pseudonimizzate ove possibile.

Le App sono strumenti software. I loro risultati (classificazioni di conformità, punteggi di rischio, etichette delle immagini, certificati, documenti generati e simili) sono prodotti automaticamente a partire dai dati di cui l’App dispone in quel momento e possono essere incompleti o inesatti. Sono forniti per assistervi e non costituiscono consulenza legale; resta vostra esclusiva responsabilità esaminarli e garantire la conformità del vostro negozio all’AI Act dell’UE, al GDPR e a qualsiasi altra legge che vi si applichi. La nostra responsabilità, le garanzie, la legge applicabile e il foro competente per le controversie sono disciplinati esclusivamente dai nostri Termini di servizio, che accettate in ciascuna App prima di utilizzarla (in Aveus AI, nella sua prima schermata). La presente Informativa descrive come trattiamo i dati; non crea obblighi ulteriori rispetto a quelli previsti dalla normativa sulla protezione dei dati.

Potremmo aggiornare la presente Informativa sulla privacy, anche aggiungendo alla Parte B una sezione per una nuova App o modificando una sezione esistente quando un’App cambia l’uso che fa dei dati. Vi informeremo aggiornando la data di "Ultimo aggiornamento" in cima a questa pagina. Le modifiche sostanziali saranno comunicate via email o nell’App almeno 30 giorni prima della loro entrata in vigore, salvo che siano imposte dalla legge o da Shopify, e, quando una di esse entra in vigore, Aveus AI vi chiede di accettare la nuova versione nell’App prima che possiate continuare a utilizzarla.

Il nostro sito web aveus.ai non utilizza cookie, strumenti di analisi, pubblicità né tracciamento di alcun tipo, e i suoi caratteri tipografici sono serviti dal nostro stesso dominio. Il sito è ospitato da Vercel Inc. (si veda A.4) e le sue pagine sono servite dalla rete di Vercel dal punto più vicino a voi. Per fornire ciascuna pagina e proteggere il sito da abusi, Vercel tratta i dati tecnici che accompagnano ogni richiesta web: il vostro indirizzo IP, lo user agent del vostro browser, la pagina richiesta e l’ora della richiesta. Conserva tali dati soltanto per il periodo limitato in cui vengono conservati i log del suo servizio. Base giuridica: Art. 6.1.f del GDPR (il nostro legittimo interesse a gestire un sito web sicuro). Se ci scrivete, la sezione A.4 spiega come viene trattata la vostra email.

L’app stessa, su app.aveus.ai, è ospitata allo stesso modo e Vercel tratta gli stessi dati tecnici per ogni richiesta. Quando le nostre regole di sicurezza bloccano una richiesta, i nostri registri conservano un hash pseudonimizzato dell’indirizzo IP, lo user agent e il percorso. Per proteggere il servizio possiamo bloccare le richieste provenienti da determinati paesi o reti di origine, ad esempio quelli soggetti a sanzioni o usati per abusi. Base giuridica: art. 6.1.f del GDPR (il nostro legittimo interesse a gestire un servizio sicuro).

Su aveus.ai potete chiedere di ricevere via email le novità di Mora Technologies ApS: nuove funzioni di Aveus AI, altre app di Mora Technologies per Shopify e offerte sui piani. L’iscrizione è facoltativa e non è mai una condizione per nulla.

Cosa trattiamo. L’indirizzo email che inserite, la lingua della pagina, la versione del testo di consenso che vi è stato mostrato e quando e come vi siete iscritti, avete confermato, avete ricevuto un messaggio o vi siete cancellati. Oltre ai dati tecnici che Vercel tratta per ogni richiesta ai nostri server (vedi la sezione precedente, sui visitatori del nostro sito web), il vostro indirizzo IP è usato solo come chiave di un contatore di limitazione delle richieste di breve durata che protegge il modulo dagli abusi (B.1.3); non viene conservato con la vostra iscrizione.

Doppia conferma. Prima vi inviamo un’email con un link di conferma valido 72 ore. Finché non lo premete non vi inviamo nient’altro, salvo una nuova email di conferma, al massimo una al giorno, se il modulo viene inviato di nuovo con il vostro indirizzo; un’iscrizione non confermata viene cancellata dopo 7 giorni.

Base giuridica. Il vostro consenso (Art. 6.1.a del GDPR). Conservare la prova del consenso dopo la cancellazione: il nostro legittimo interesse a poterlo dimostrare (Art. 6.1.f). Inviare l’email di conferma e conservare una richiesta non confermata fino a 7 giorni: il nostro legittimo interesse a verificare che la richiesta provenga da chi usa l’indirizzo (Art. 6.1.f).

Conservazione. Finché siete iscritti e, in seguito, per 2 anni dalla vostra cancellazione, come prova del vostro consenso. Poi viene cancellata.

Revoca. Con il link presente in ogni email che vi inviamo dopo la conferma, con effetto immediato, oppure scrivendo a contact@aveus.ai.

Destinatari. Il modulo è elaborato dalla nostra app su app.aveus.ai, ospitata da Vercel a Francoforte (A.4), e il contatore di limitazione delle richieste è conservato da Upstash (B.1.3). L’elenco è conservato nel nostro database su Supabase, a Francoforte (A.4), e le email sono inviate da Lettermint B.V. (Paesi Bassi, UE) senza tracciamento di aperture o clic (B.1.3). Non carichiamo mai questo elenco in un’altra app, non lo combiniamo mai con dati di un negozio Shopify e non lo vendiamo né lo cediamo mai.

Aveus AI, presente sullo Shopify App Store con il nome “Aveus: EU AI Act Labels”, è una piattaforma RegTech B2B al servizio dei commercianti Shopify. Raccogliamo i dati minimi necessari per fornire servizi di verifica della conformità (Art. 5.1.c del GDPR, minimizzazione dei dati). Non raccogliamo profili, ordini o dati di pagamento dei vostri clienti finali (consumatori). Gli unici dati dei clienti che trattiamo sono gli identificativi dei clienti che Shopify invia tramite i suoi webhook obbligatori sulla privacy e l’indirizzo IP che accompagna ogni richiesta ai nostri server, utilizzato come descritto in B.1.3 e B.1.5. Nessuna funzione di Aveus AI si avvia, nemmeno l’audit notturno, finché non accettate nell’App i Termini di servizio, l’Accordo sul trattamento dei dati e la presente Informativa. Prima di allora avviene solo ciò che richiedono l’installazione e l’accettazione: si conserva la sessione di installazione, si registra la vostra accettazione e si risponde ai webhook di privacy obbligatori e al webhook di disinstallazione di Shopify, e gli endpoint pubblici del negozio usano l’indirizzo IP del visitatore come chiave del limite di richieste (B.1.3).

B.1.1 Quali dati raccogliamo e perché

B.1.2 Conservazione dei dati

B.1.3 Subresponsabili aggiuntivi

La classificazione tramite IA viene eseguita su Google Cloud Vertex AI, vincolata all’endpoint multiregionale UE e limitata ai modelli in disponibilità generale, in modo che l’elaborazione ML dei contenuti inviati per l’analisi avvenga all’interno dell’Unione europea. Ci autentichiamo con credenziali di breve durata emesse tramite Workload Identity Federation: nel nostro ambiente di esecuzione non esiste alcuna chiave di account di servizio Google Cloud di lunga durata. Il trattamento è disciplinato dal Data Processing Addendum di Google Cloud (Art. 28 GDPR). Non inviamo al modello i dati personali dei vostri clienti finali: ciò che viene analizzato sono estratti dei file del vostro tema (codice, impostazioni e qualsiasi testo che vi avete inserito) e la documentazione dei fornitori disponibile pubblicamente. Per non ripetere un’analisi, i risultati restano in cache sotto un’impronta del contenuto analizzato per 30 giorni dall’ultimo utilizzo, così che un contenuto identico visto in un altro negozio riutilizza il risultato; in quella cache non viene conservato nulla che identifichi il vostro negozio. Google Cloud EMEA Limited può avvalersi di Google LLC (USA) e di altre società del gruppo Google come propri subresponsabili per attività limitate di assistenza, accesso tecnico e monitoraggio degli abusi, in base alle clausole contrattuali tipo descritte in A.4.

B.1.4 Cancellazione e disinstallazione

Una richiesta di cancellazione verificata elimina il vostro inventario IA, il registro di conformità, i registri di audit, le sessioni, i fornitori rilevati, gli indicatori di contenuti sintetici, i certificati, la telemetria dei costi IA, i contatori di spesa conservati nel nostro database, la telemetria delle prestazioni delle scansioni, le notifiche operative, la cronologia delle scansioni della vetrina, le registrazioni delle notti di applicazione automatica, le registrazioni di errore pseudonimizzate, i registri di accettazione dei documenti legali, la vostra iscrizione alle novità di Aveus e la relativa prova del consenso, le registrazioni dei fascicoli di prove e i collegamenti alle agenzie partner. La disinstallazione dell’app elimina automaticamente il vostro inventario IA, gli indicatori di contenuti sintetici, i fornitori rilevati e i dati di sessione; le restanti categorie vengono rimosse con una richiesta di cancellazione verificata o allo scadere del relativo periodo di conservazione. La disinstallazione interrompe subito anche le email di novità di Aveus.

B.1.5 Cosa legge e scrive l’App nel vostro negozio

Per rilevare i marcatori di provenienza, l’App scarica al massimo i primi 256 KB di ciascuna immagine di prodotto (e, per alcuni file di grandi dimensioni, anche gli ultimi 256 KB), li esamina in memoria e li scarta; viene conservato soltanto il risultato del rilevamento. Legge i file del vostro tema ma non li modifica mai. Scrive nel vostro negozio un metafield di prodotto per ciascuna immagine etichettata e un metafield del negozio con l’elenco dei file etichettati, nel namespace proprio dell’App, e un metafield sull’installazione dell’App (aveus.free_plan) che indica ai blocchi del tema se il vostro negozio è nel piano gratuito. Sui piani a pagamento, a ogni verifica e ogni notte, configura inoltre le vostre impostazioni sulla privacy di Shopify in modo che il consenso ai cookie e la possibilità di opporsi alla vendita dei dati siano richiesti nei paesi dell’UE e del SEE, nel Regno Unito, in Svizzera e nei territori in cui valgono le stesse regole (Riunione, Guadalupa, Martinica, Guyana francese, Mayotte, Saint Martin, le Isole Åland, Gibilterra, Jersey, Guernsey e l’Isola di Man), ovunque il vostro negozio utilizzi ancora l’impostazione predefinita di Shopify per quel paese; un’impostazione che avete scelto voi resta invariata, e potete modificarla nell’admin di Shopify. Questa impostazione non mostra alcun banner dei cookie: il banner lo attivate voi, in Shopify o con un’altra app.

Il blocco del Badge di fiducia che potete attivare nel vostro tema carica uno script da app.aveus.ai, per cui il browser del visitatore si connette ai nostri server e il suo indirizzo IP viene utilizzato come chiave per la limitazione delle richieste descritta in B.1.3; il paese che Vercel ne ricava, che non conserviamo, decide se il badge viene mostrato, perché è mostrato solo ai visitatori nell’UE e nel SEE. Il blocco non imposta alcun cookie e non salva nulla nel browser del visitatore. Il blocco dell’Etichetta immagine IA legge i metafield sopra indicati e non carica nulla dai nostri server; il suo link apre la vostra pagina pubblica di trasparenza su app.aveus.ai, che chiunque può aprire e che elenca le tecnologie di IA trovate nel vostro tema e le immagini etichettate nel vostro negozio (nome, livello di rischio, finalità e date); non mostra le classificazioni in attesa di revisione umana o respinte in essa. Per mostrarvi nella scheda «Avvisi nel tuo negozio» se il vostro negozio ha un banner dei cookie, l’App legge le vostre impostazioni privacy di Shopify (se il banner dei cookie di Shopify è attivo) e i blocchi delle app attivati nel vostro tema pubblicato; non conserva queste informazioni. All’interno dell’admin di Shopify, l’App conserva alcune preferenze nella memoria locale del vostro browser (ad esempio la lingua scelta e gli avvisi segnati come letti); restano nel vostro browser.

Prima che una nuova App Aveus venga pubblicata sullo Shopify App Store, aggiungiamo alla Parte B una sezione che descrive i dati che tratta (cosa conserviamo e perché, cosa leggiamo senza conservarlo, cosa l’App scrive nel vostro negozio, conservazione, subresponsabili, webhook sulla privacy). In quello stesso giorno si aggiorna la data di "Ultimo aggiornamento" in cima a questa pagina. Un’App che non ha una sezione nella Parte B non è coperta dalla presente Informativa e non è pubblicata da noi.