Data Processing Agreement

Premesse e descrizione del trattamento (art. 28(3))

1. Ruoli delle parti

Il Merchant è Titolare dei dati dei clienti finali; Flow-e è Responsabile e li tratta esclusivamente per conto del Merchant. Le parti escludono una contitolarità (art. 26).

Riqualificazione (art. 28(10)).Qualora Flow-e, in violazione del DPA, determinasse autonomamente finalità o mezzi essenziali, sarà considerata Titolare per quel solo trattamento. Flow-e si obbliga a non trattare i dati per finalità proprie (in particolare: addestramento di propri modelli, analisi a proprio beneficio), salvo quanto previsto all'art. 8.

2. Istruzioni del Titolare

• Flow-e tratta i dati solo su istruzioni documentate del Merchant, anche in materia di trasferimenti.
• Costituiscono istruzioni documentate: il DPA, il Contratto e le configurazioni impostate dal Merchant tramite la dashboard.
• Flow-e informa immediatamente il Merchant se un'istruzione viola il GDPR.

3. Riservatezza

Le persone autorizzate al trattamento sono vincolate alla riservatezza e operano solo su istruzione (artt. 29 e 32(4)).

4. Sicurezza del trattamento (art. 32)

Flow-e adotta misure tecniche e organizzative adeguate (Allegato 2), valutate periodicamente in funzione del rischio e dello stato dell'arte.

5. Sub-responsabili

• Il Merchant conferisce autorizzazione generale scritta al ricorso a sub-responsabili (Allegato 1).
• Flow-e informa di eventuali modifiche con preavviso di almeno 30 giorni, con possibilità di opposizione per motivi ragionevoli entro tale termine; in caso di opposizione fondata e non superabile, il Merchant può recedere dalla parte di servizio interessata senza penali.
• Flow-e impone ai sub-responsabili gli stessi obblighi (art. 28(4)) e resta pienamente responsabile.

6. Assistenza per i diritti degli interessati

• Flow-e assiste il Merchant per dar seguito alle richieste (artt. 15-22).
• Mette a disposizione strumenti per estrarre, rettificare o cancellare, su base per-organizzazione, i dati dei clienti finali.
• Se un interessato si rivolge a Flow-e, questa inoltra la richiesta al Merchant senza darvi autonomamente seguito.

7. Violazioni, valutazioni d'impatto

Notifica delle violazioni. Flow-e notifica al Merchant ogni violazione senza ingiustificato ritardo e comunque entro 48 oredalla conoscenza, in tempo utile a consentire il rispetto del termine di 72 ore verso l'autorità (art. 33). La notifica contiene le informazioni disponibili al momento e viene integrata man mano che l'accertamento procede.

Gli obblighi di notifica all'autorità (72 ore) e di comunicazione agli interessati gravano sul Merchant come Titolare; Flow-e, come Responsabile, non è tenuta a tali notifiche dirette.

8. Limiti d'uso e divieto di trattamento per finalità proprie

• Divieto di addestramento. Flow-e e i sub-responsabili non usano conversazioni o profili per addestrare modelli AI. I fornitori di modelli (OpenAI, Anthropic) sono configurati per non usare i dati per il training.
• Nessuna analisi cross-merchant. Flow-e non combina i dati di un Merchant a beneficio di altri.
• Eccezione. Flow-e può trattare i dati per finalità proprie solo se (a) resi irreversibilmente anonimi (Considerando 26; la pseudonimizzazione, incluso l'hashing di un'email, non è anonimizzazione), oppure (b) il Merchant ha fornito base giuridica autonoma e informativa.

9. Profilazione e personalizzazione

Il servizio deduce automaticamente preferenze dei clienti finali e le impiega per personalizzare suggerimenti e assistenza. È profilazioneai sensi dell'art. 4(4) GDPR e costituisce parte della natura del trattamento descritta in premessa.

• Fonti e contenuto. Le preferenze sono ricavate (a) dalle conversazioni — interessi ricorrenti, note di preferenza, riepilogo, argomento, esito e tono degli scambi — e (b), ove il Merchant abbia collegato la propria piattaforma e-commerce, dallo storico ordinidel cliente presso il Merchant: categorie e marche acquistate, spesa media e numero di ordini, varianti abituali, propensione all'acquisto in promozione, stato dell'ultimo ordine.
• Perimetro e privacy by default (art. 25 GDPR). Il comportamento predefinito del Servizio è anonimo: senza attivazione, le preferenze restano circoscritte alla singola sessione e non sono associate ad alcuna persona. Il profilo persistente è costituito solo se il Merchant attiva il riconoscimento dei clienti, trasmettendo l'identificativo del proprio cliente in fase di installazione del widget (parametri di identità, con firma HMAC), elimitatamente ai clienti autenticati sul sito del Merchant. L'attivazione è quindi una scelta del Titolare e costituisce istruzione documentataai sensi dell'art. 2: per disattivare la profilazione è sufficiente non trasmettere l'identificativo.
• Base giuridica: il consenso dell'interessato, raccolto dal Servizio. Il profilo persistente è costituito esclusivamente sulla base del consenso del Cliente Finale (art. 6(1)(a) GDPR). Il legittimo interesse non è disponibile per questa finalità (Corte di giustizia, 4 luglio 2023, Meta Platforms, C-252/21, § 117) e il Servizio non ne consente l'impiego: il Merchant non può istruire Flow-e a costruire profili in assenza di consenso, e una istruzione in tal senso sarebbe inefficace perché il Servizio non è tecnicamente in grado di eseguirla.
• Modalità di raccolta e prova. Flow-e raccoglie il consenso in nome e per conto del Merchant, tramite una richiesta separata e distinguibile presentata nel widget, conforme agli artt. 4(11) e 7(2) GDPR (azione positiva inequivocabile; richiesta non annegata nell'accettazione delle condizioni d'uso; rifiuto senza conseguenze sulla fruizione del servizio). Il valore della risposta e il momento in cui è stata resa sono registrati e messi a disposizione del Merchantai fini dell'onere di prova di cui all'art. 7(1). La revocaè possibile in ogni momento, con la stessa facilità (art. 7(3)), tramite un comando sempre accessibile all'interno del widget, e comporta la cancellazione immediata del profilo e del contesto conversazionale associato.
• Comportamento predefinito: nessun profilo.L'assenza di consenso — inclusa la mancata risposta alla richiesta — impedisce tecnicamentela costituzione e l'aggiornamento del profilo. Il controllo è implementato nel motore di aggregazione, a monte di ogni elaborazione, e non come filtro applicativo aggirabile da un diverso punto di chiamata.
• Informativa: obbligo del Titolare.L'informativa agli interessati (artt. 12-14 GDPR) resta obbligo del Merchant. Flow-e mette a disposizione un modello che descrive la profilazione, la base giuridica, il meccanismo di consenso e i termini di conservazione (Informativa chat, punti 3 e 7); il Merchant è tenuto a renderlo proprio o a fornirne uno equivalente e non contraddittorio.
• Conservazione: termine massimo tecnico. Il profilo e i dati conversazionali collegati a un Cliente Finale sono cancellati o anonimizzati automaticamente dopo 120 giorni di inattività dell'interessato, da una procedura pianificata che opera su tutte le organizzazioni. È un limite massimo tecnicodel Servizio, non un valore configurabile in aumento: risponde all'art. 5(1)(e) GDPR e all'indirizzo della Corte di giustizia che esclude l'aggregazione «senza limitazione temporale» (4 ottobre 2024, Schrems, C-446/21). Il Merchant che necessiti di un termine più breve può richiederlo per iscritto.
• Ripartizione dei ruoli su questo specifico trattamento (art. 28(10) GDPR). Il Merchant determina la finalità e decide se il trattamento abbia luogo (attivando o non attivando il riconoscimento dei clienti). Flow-e, in quanto fornitore di un servizio standardizzato, predefinisce alcuni parametri tecnici: le categorie di informazioni dedotte, il termine massimo di conservazione, le modalità di raccolta e revoca del consenso. Tali parametri sono descritti in questo articolo e nell'Informativa chat; attivando il riconoscimento dei clienti il Merchant li adotta come propria istruzione documentataai sensi dell'art. 2. Il Merchant che intenda discostarsene deve comunicarlo per iscritto prima dell'attivazione; in difetto di accordo, il Merchant si astiene dall'attivare la funzione. Le Parti danno atto che tale ripartizione è stata esaminata e documentata, e si impegnano a riesaminarla a ogni modifica sostanziale della funzione.
• Controllo del Titolare. Il Merchant può richiedere la disattivazione della personalizzazione, in generale o per singolo interessato, e la cancellazione del profilo di un cliente. Flow-e dà seguito a tali istruzioni come previsto dagli artt. 2 e 6.
• Limiti. Il profilo nonè impiegato per assumere decisioni esclusivamente automatizzate rilevanti ex art. 22 GDPR: non determina prezzi difformi da quelli pubblicati dal Merchant, non preclude l'accesso a prodotti, servizi o condizioni contrattuali, non produce effetti giuridici o similmente significativi. Le preferenze non sono cedute a terzi per finalità pubblicitarie, non alimentano pubblicità comportamentale e, ai sensi dell'art. 8, non sono combinate tra Merchant diversi né usate per addestrare modelli.
• Minimizzazione. Il profilo è mantenuto in forma sintetica e sostituito a ogni ricalcolo, limitatamente alle informazioni più recenti e pertinenti: non costituisce uno storico cumulativo della persona.

10. Intelligenza artificiale (AI Act e L. 132/2025)

• Flow-e fornisce di default la disclosure di interazione con un'AI (art. 50 AI Act).
• Il Merchant si obbliga a non rimuovere tale disclosure né i meccanismi di opposizione/intervento umano, e tiene indenne Flow-e.
• In modalità white-label sotto proprio marchio, il Merchant può essere qualificato “deployer” o “provider” (artt. 25 e 50 AI Act).
• Sorveglianza umana per qualsiasi decisione con effetti giuridici o significativi (art. 22 GDPR; art. 3 L. 132/2025).

11. Audit

Flow-e mette a disposizione le informazioni necessarie e consente audit con ragionevole preavviso (30 giorni), non più di una volta l'anno salvo violazioni accertate o richiesta dell'autorità, anche tramite certificazioni e report indipendenti (es. SOC 2, ISO 27001) ove disponibili.

12. Restituzione e cancellazione

Al termine dei servizi, a scelta del Merchant, Flow-e cancella o restituisce i dati e cancella le copie, salvo obblighi di legge. La cancellazione può attuarsi tramite anonimizzazione irreversibile(tombstone/anonimizzazione delle sessioni). L'obbligo decennale fiscale (art. 2220 c.c.) riguarda solo i dati che Flow-e tratta come Titolare.

13. Conservazione dei dati dei clienti finali

Il Servizio applica i seguenti termini, che costituiscono limiti massimi tecnici e operano automaticamente su tutte le organizzazioni, senza necessità di intervento del Merchant:

Il Merchant, in quanto Titolare, resta tenuto a giustificare e documentarela conservazione rispetto alle proprie finalità e ai propri obblighi — incluse esigenze probatorie e termini di prescrizione (art. 2946 c.c.) e l'onere di provare il consenso (art. 7(1) GDPR) — e può richiedere per iscritto termini più brevi di quelli sopra indicati. Il Servizio non espone oggi un'impostazione che consenta al Merchant di modificare autonomamente tali termini né di estenderli: ogni deroga passa da una richiesta scritta e da una modifica di configurazione operata da Flow-e.

Restano fermi gli obblighi di cancellazione anticipata su richiesta dell'interessato (art. 6 del presente Accordo), la revoca del consenso con effetto immediato (art. 9) e le procedure di cancellazione previste dalle piattaforme di distribuzione a cui il Merchant abbia collegato il proprio negozio.

14. Responsabilità e regresso (art. 82(4)-(5))

Verso gli interessati, la responsabilità è disciplinata in via inderogabile dall'art. 82 (solidale per l'intero danno). Nei rapporti interni, ciascuna parte tiene indenne l'altra per la quota attribuibile alla propria responsabilità (art. 82(5)). In particolare il Merchant tiene indenne Flow-e per: istruzioni illecite, assenza di base giuridica, omessa informativa, contenuti/configurazioni del Merchant, violazione del DPA o del Contratto.

15. Disposizioni finali

DPA regolato dalla legge italiana. Foro competente: Foro di Padova. Allegati: 1 — Sub-responsabili; 2 — Misure di sicurezza; 3 — Clausole Contrattuali Tipo applicabili.

Allegato 1 — Sub-responsabili e trasferimenti

Allegato 2 — Misure di sicurezza (art. 32)

• Cifratura in transito: TLS/HTTPS su tutte le comunicazioni.
• Cifratura a riposo: base dati e storage cifrati (AES-256, infrastruttura Supabase).
• Isolamento multi-tenant: segregazione per organizzazione (Row-Level Security; ogni query vincolata all'org_id).
• Controllo accessi: cookie di sessione httpOnly; ruoli con privilegi minimi; autenticazione delle chiamate di backend.
• Minimizzazione AI: fornitori configurati con divieto di addestramento e retention minima/ZDR ove disponibile.
• Trasparenza AI: disclosure art. 50 AI Act attiva per default.
• Continuità: backup e procedure di ripristino; monitoraggio errori e verifiche periodiche.

Allegato 3 — Clausole Contrattuali Tipo

Per i trasferimenti extra-UE non coperti da adeguatezza si applicano le SCC (decisione di esecuzione (UE) 2021/914). Poiché Flow-e agisce come Responsabile, il collegamento con i sub-responsabili extra-UE avviene tramite il Modulo Tre (da responsabile a responsabile), integrato da una valutazione d'impatto sui trasferimenti (TIA).