Data Processing Agreement

Premesse e descrizione del trattamento (art. 28(3))

1. Ruoli delle parti

Il Merchant è Titolare dei dati dei clienti finali; Flow-e è Responsabile e li tratta esclusivamente per conto del Merchant. Le parti escludono una contitolarità (art. 26).

Riqualificazione (art. 28(10)). Qualora Flow-e, in violazione del DPA, determinasse autonomamente finalità o mezzi essenziali, sarà considerata Titolare per quel solo trattamento. Flow-e si obbliga a non trattare i dati per finalità proprie (in particolare: addestramento di propri modelli, analisi a proprio beneficio), salvo quanto previsto all’art. 8.

2. Istruzioni del Titolare

• Flow-e tratta i dati solo su istruzioni documentate del Merchant, anche in materia di trasferimenti verso Paesi terzi.
• Costituiscono istruzioni documentate: il DPA, il Contratto, le configurazioni impostate dal Merchant tramite la dashboard (funzionalità abilitate, contenuti e parametri del widget) e le configurazioni operate dal Merchant sul proprio sito, tra cui la trasmissione o la mancata trasmissione dell’identificativo cliente (art. 9).
• Attivando la personalizzazione, il Merchant adotta come propria istruzione documentata i parametri tecnici predefiniti del Servizio descritti all’art. 9. Il Merchant che intenda discostarsene lo comunica per iscritto prima dell’attivazione; in difetto di accordo si astiene dall’attivare la funzione.
• Costituiscono altresì istruzioni documentate l’attivazione e la configurazione delle integrazioni (connettore per assistenti AI, notifiche automatiche «webhook», app collegate come Klaviyo), comprese la scelta della destinazione, degli eventi e dell’ambito delle richieste di assistenza notificate, anche ai fini dei trasferimenti verso Paesi terzi che ne conseguano (art. 9-bis).
• Flow-e informa immediatamente il Merchant se un’istruzione viola il GDPR.

3. Riservatezza

Le persone autorizzate al trattamento sono vincolate alla riservatezza e operano solo su istruzione (artt. 29 e 32(4)).

4. Sicurezza del trattamento (art. 32)

Flow-e adotta misure tecniche e organizzative adeguate (Allegato 2), valutate periodicamente in funzione del rischio e dello stato dell’arte.

5. Sub-responsabili

• Il Merchant conferisce autorizzazione generale scritta al ricorso a sub-responsabili (Allegato 1).
• Flow-e informa di eventuali modifiche con preavviso di almeno 30 giorni, con possibilità di opposizione per motivi ragionevoli entro tale termine; in caso di opposizione fondata e non superabile, il Merchant può recedere dalla parte di servizio interessata senza penali.
• Flow-e impone ai sub-responsabili gli stessi obblighi (art. 28(4)) e resta pienamente responsabile.
• Servizi scelti dal Merchant. Non sono sub-responsabili di Flow-e, e non sono soggetti ai punti precedenti, i soggetti ai quali il Merchant dispone che siano resi disponibili o trasmessi dati dei clienti finali tramite le integrazioni (art. 9-bis): li sceglie, li contratta e li istruisce il Merchant.

6. Assistenza per i diritti degli interessati

• Flow-e assiste il Merchant per dar seguito alle richieste (artt. 15-22).
• Mette a disposizione strumenti per estrarre, rettificare o cancellare, su base per-organizzazione, i dati dei clienti finali.
• Se un interessato si rivolge a Flow-e, questa inoltra la richiesta al Merchant senza darvi autonomamente seguito.

7. Violazioni, valutazioni d’impatto

Notifica delle violazioni. Flow-e notifica al Merchant ogni violazione senza ingiustificato ritardo e comunque entro 24-48 ore dalla conoscenza, in tempo utile a consentire il rispetto del termine di 72 ore verso l’autorità (art. 33). La notifica contiene le informazioni disponibili al momento e viene integrata man mano che l’accertamento procede.

Gli obblighi di notifica all’autorità (72 ore) e di comunicazione agli interessati gravano sul Merchant come Titolare; Flow-e, come Responsabile, non è tenuta a tali notifiche dirette.

Assistenza. Flow-e assiste il Merchant negli obblighi degli artt. 32-36 GDPR (sicurezza, notifica delle violazioni, valutazione d’impatto e consultazione preventiva), tenuto conto della natura del trattamento e delle informazioni disponibili.

8. Limiti d’uso e divieto di trattamento per finalità proprie

• Divieto di addestramento. Flow-e non usa conversazioni, ricerche, richieste di assistenza o profili per addestrare modelli di intelligenza artificiale propri. Le condizioni alle quali ciascun sub-responsabile può conservare o usare tali contenuti sono indicate, fornitore per fornitore, nell’Allegato 1: i modelli raggiunti tramite OpenRouter operano in modalità Zero Data Retention (secondo i termini dei fornitori, nessuna conservazione e nessun addestramento); i modelli Gemini raggiunti in connessione diretta con la Gemini API di Google, che più funzioni del Servizio usano in via principale, non operano in modalità Zero Data Retention: secondo i termini del fornitore applicabili a chi opera nello Spazio economico europeo, i dati non sono usati per migliorare i prodotti di Google e sono conservati per un periodo limitato al solo fine di prevenire gli abusi.
• Nessuna analisi cross-merchant. Flow-e non fornisce a un Merchant dati o informazioni che riguardano un altro Merchant, né utilizza i dati di un Merchant a beneficio di altri Merchant, salvo quanto previsto ai due punti seguenti.
• Eccezione. Flow-e può trattare i dati per finalità proprie solo se (a) resi irreversibilmente anonimi (Considerando 26; la pseudonimizzazione, incluso l’hashing di un’email, non è anonimizzazione), oppure (b) il Merchant ha fornito base giuridica autonoma e informativa.
• Statistiche aggregate. Rientrano nella lettera (a) del punto precedente le statistiche aggregate riferite a più Merchant che non contengono dati riferibili a un Cliente Finale identificato o identificabile (ad esempio il numero medio di conversazioni, i tassi di conversione o il ritorno medio). Flow-e può utilizzarle per migliorare il Servizio e per comunicazioni pubbliche, anche a fini promozionali, alle condizioni del paragrafo «Statistiche aggregate» dei Termini di servizio: almeno cinque Merchant per statistica, nessuno oltre il 40%, nessun Merchant o Cliente Finale identificabile, nessun contenuto delle conversazioni.

9. Profilazione e personalizzazione

Ove il Merchant la attivi, il Servizio effettua una profilazione (art. 4(4) GDPR) dei clienti finali che il Merchant identifica — il «profilo di preferenza» — al fine di aggiungere ai risultati e alle risposte elementi personalizzati, ciascuno con il proprio motivo, e di fornire analisi al Merchant. La finalità e l’attivazione della profilazione sono determinate dal Merchant quale Titolare.

• Riconoscimento dei clienti e privacy by default (art. 25 GDPR). Ove il Merchant trasmetta al widget l’identificativo del proprio cliente autenticato (parametri di identità configurati in fase di installazione, con firma HMAC-SHA256), il Servizio associa al cliente finale le sue conversazioni e, se la piattaforma e-commerce del Merchant è collegata, legge in sola lettura e conserva i dati del relativo account cliente (nome, email, data di registrazione, ordini recenti con articoli e importi, numero degli ordini e spesa complessiva, etichette e note che il Merchant vi ha associato) insieme a una loro sintesi (classe di valore del cliente, marche e prodotti acquistati più di frequente), per contestualizzare l’assistenza. È una configurazione del Merchant sul proprio sito, non un’impostazione predefinita di Flow-e: se il Merchant non trasmette l’identificativo, i clienti finali sono trattati in forma anonima e le preferenze restano circoscritte alla singola conversazione.
• Quando esiste un profilo di preferenza. Il profilo è costituito e aggiornato solo se ricorrono tutte le seguenti condizioni: (i) il Merchant trasmette l’identificativo del cliente; (ii) il Merchant ha acceso in dashboard la funzione di personalizzazione e ha reso la dichiarazione descritta di seguito; (iii) il cliente finale non si è opposto. In assenza anche di una sola di esse il Servizio non costituisce né aggiorna alcun profilo di preferenza.
• Contenuto. Il profilo di preferenza comprende esclusivamente: (a) marche, categorie e varianti presenti nel catalogo attivo del Merchant, con il numero di acquisti, aggiunte al carrello, confronti e visualizzazioni che le riguardano (ordini degli ultimi 24 mesi; altri eventi degli ultimi 120 giorni), e lo stato dell’ultimo ordine; (b) le marche del catalogo richieste dal cliente finale e non disponibili al momento della richiesta; (c) ove la piattaforma e-commerce del Merchant sia collegata, una sintesi degli ordini presso il Merchant (numero degli ordini, spesa media, ricorso ad acquisti in promozione, fascia di frequenza e recenza d’acquisto attribuita dalla piattaforma); (d) indicatori delle conversazioni del cliente finale espressi con valori predefiniti (numero, esito dell’ultima, tono complessivo, difficoltà ricorrenti classificate secondo codici fissi); (e) i riferimenti alle visite collegate. Una marca o una categoria entra nel profilo solo se esiste nel catalogo del Merchant e ricorre in più eventi distinti. Il profilo non contiene testo scritto dal cliente finale né note, interessi o altre deduzioni in forma libera generate da modelli di intelligenza artificiale; le note e gli interessi estratti dalle singole conversazioni non vi confluiscono.
• Base giuridica: legittimo interesse del Merchant, con opposizione sempre disponibile. La base giuridica della profilazione è individuata dal Merchant quale Titolare. Il Servizio è progettato per operare sulla base del legittimo interesse del Merchant (art. 6(1)(f) GDPR; Considerando 47) a proporre ai propri clienti prodotti coerenti con quanto già acquistato o guardato presso il Merchant stesso, con diritto di opposizione del cliente finale in ogni momento (art. 21 GDPR), e ne attua le misure di bilanciamento: opera soltanto per clienti finali autenticati presso il Merchant e con dati del solo Merchant; aggiunge elementi personalizzati senza nascondere né riordinare i risultati e ne dichiara il motivo; esclude testo libero e deduzioni in forma libera; non è attivabile dal Merchant i cui prodotti, una volta acquistati, rivelino categorie particolari di dati. Al cliente finale non è richiesto un consenso alla profilazione. Spetta al Merchant condurre e documentare la valutazione del legittimo interesse (art. 5(2) GDPR); Flow-e fornisce, su richiesta, le informazioni sulla funzione di cui dispone.
• Collegamento delle visite. Il collegamento tra le visite prive di conversazione, che presuppone la lettura di informazioni dal dispositivo del cliente finale, avviene soltanto se il widget rileva il consenso ai cookie di preferenza prestato dal cliente finale nel banner del sito del Merchant (art. 5(3) Direttiva 2002/58/CE; art. 122 D.lgs. 196/2003), ove la piattaforma e-commerce del Merchant renda disponibile tale segnale; in mancanza, le visite non sono collegate.
• Attivazione e dichiarazione del Merchant. La personalizzazione opera soltanto se il Merchant: (a) trasmette l’identificativo dei propri clienti autenticati; (b) ha acceso e pubblicato in dashboard la funzione di personalizzazione; (c) ha reso, tramite un utente con ruolo owner o admin, la dichiarazione registrata dal Servizio con autore, data e versione del testo, con cui attesta che (i) la propria informativa ai clienti finali descrive la personalizzazione, la sua base giuridica e le modalità di opposizione e (ii) non vende prodotti il cui acquisto riveli lo stato di salute, la vita o l’orientamento sessuale, le convinzioni religiose o filosofiche, le opinioni politiche, l’appartenenza sindacale o l’origine etnica dei clienti finali. Il Servizio verifica le condizioni (b) e (c) prima di ogni costituzione, aggiornamento o impiego del profilo. Il Merchant revoca la dichiarazione dalla dashboard, con effetto immediato, quando i relativi presupposti vengono meno.
• Opposizione del cliente finale. Il cliente finale può opporsi alla personalizzazione in ogni momento, senza doverlo motivare e senza rivolgersi al Merchant, tramite i comandi sempre disponibili nel widget («Non personalizzare», accanto agli elementi personalizzati della barra di ricerca; «Dimentica le mie preferenze», nel riquadro delle condizioni d’uso della chat). L’opposizione comporta la cancellazione immediata del profilo di preferenza e del collegamento tra le visite e ne impedisce la ricostituzione; è registrata con la relativa data per poter essere rispettata nelle visite successive. Restano i dati dell’account cliente, trattati secondo l’art. 13. Le opposizioni e le altre richieste pervenute al Merchant per altri canali sono gestite secondo l’art. 6.
• Cancellazione anticipata e spegnimento. Indipendentemente dai termini dell’art. 13, il profilo di preferenza è cancellato immediatamente all’opposizione del cliente finale e su richiesta dell’interessato, tramite il Merchant (art. 6). Quando il Merchant revoca la dichiarazione, spegne la funzione di personalizzazione o cessa di trasmettere l’identificativo del cliente, i profili non sono più aggiornati né impiegati e restano conservati, senza alcun impiego, fino alla scadenza del termine dell’art. 13, calcolato dall’ultima attività del cliente finale con il proprio account presso il Merchant, o fino alla cancellazione anticipata che il Merchant può chiedere per iscritto in qualsiasi momento.
• Parametri predefiniti e ripartizione dei ruoli (art. 28(10) GDPR). Trattandosi di servizio standardizzato, alcuni parametri della funzione sono predefiniti da Flow-e e non negoziati caso per caso: le categorie di informazioni che compongono il profilo, il termine massimo di conservazione, le condizioni di attivazione e le modalità di opposizione. Sono descritti espressamente in questo articolo; attivando la personalizzazione il Merchant li adotta come propria istruzione documentata (art. 2), fermo il diritto di richiederne per iscritto di diversi prima dell’attivazione. La dashboard non espone impostazioni di conservazione né di selezione della base giuridica. Restano in capo al solo Merchant la finalità e la decisione se il trattamento abbia luogo; le Parti si obbligano a riesaminare questa ripartizione a ogni modifica sostanziale della funzione.
• Limiti. Il profilo non è impiegato per assumere decisioni esclusivamente automatizzate rilevanti ex art. 22 GDPR: non determina prezzi difformi da quelli pubblicati dal Merchant, non preclude l’accesso a prodotti, servizi o condizioni contrattuali, non produce effetti giuridici o similmente significativi. Il Servizio aggiunge elementi personalizzati, ciascuno accompagnato dal proprio motivo, e non nasconde né riordina i risultati di ricerca, che restano quelli mostrati a qualunque altro cliente finale. Le preferenze non sono cedute a terzi per finalità pubblicitarie, non alimentano pubblicità comportamentale e, ai sensi dell’art. 8, non sono combinate tra Merchant diversi né usate per addestrare modelli; resta salvo quanto il Merchant disponga tramite le integrazioni, nei limiti dell’art. 9-bis.
• Minimizzazione. Il profilo è mantenuto in forma sintetica e sostituito a ogni ricalcolo: non costituisce uno storico cumulativo della persona. I dati di ciascuna conversazione restano collegati alla singola conversazione e seguono i termini dell’art. 13.
• Conservazione: termine massimo tecnico. Il profilo di preferenza e i dati dell’account cliente sono cancellati automaticamente dopo 120 giorni dall’ultima attività dell’interessato con il proprio account presso il Merchant; in quel momento le sue conversazioni e richieste di assistenza sono scollegate dalla sua identità e private del testo (art. 13). È un limite massimo tecnico del Servizio, non un valore configurabile in aumento.
• Informativa: obbligo del Titolare. L’informativa ai clienti finali (artt. 12-14 GDPR) resta obbligo del Merchant, che è tenuto a rendere propria l’Informativa chat pubblicata da Flow-e o a fornirne una equivalente e non contraddittoria.

9-bis. Integrazioni configurate dal Merchant

Le integrazioni sono le funzioni del Servizio, disattivate per impostazione predefinita, con cui il Merchant rende disponibili dati del Servizio a propri sistemi o a servizi di terzi da esso scelti. Sono disciplinate in dettaglio dall’Allegato C «Integrazioni» del Contratto di servizio; il presente articolo ne riassume i profili di protezione dei dati. Alla data di questa versione sono integrazioni:

• il connettore: interfaccia di sola lettura, basata sul protocollo aperto Model Context Protocol (MCP), con cui un assistente di intelligenza artificiale di un soggetto terzo, utilizzato dal Merchant con un proprio account e in base a un proprio contratto con il relativo fornitore, interroga i dati del Servizio relativi all’organizzazione del Merchant;
• le notifiche automatiche («webhook»): messaggi che il Servizio invia all’indirizzo internet indicato dal Merchant («destinazione») al verificarsi degli eventi da esso scelti — alla data di questa versione, la creazione di una richiesta di assistenza e la modifica del suo stato o della sua urgenza;
• le app collegate: account del Merchant presso un servizio di terzi, collegato al Servizio fornendo una chiave di accesso a quel servizio, al quale il Servizio trasmette i dati indicati di seguito — alla data di questa versione, Klaviyo (Klaviyo, Inc.), servizio di email marketing.

• Attivazione su istruzione del Merchant. Ogni integrazione è disponibile secondo il piano sottoscritto e si attiva soltanto per atto di un utente con ruolo owner o admin. L’attivazione e ogni successiva configurazione — comprese la scelta della destinazione, degli eventi e dell’ambito delle richieste di assistenza notificate (per impostazione predefinita, le sole richieste non risolte dall’assistente AI), nonché l’invio di una notifica di prova o il nuovo invio di una notifica disposto dal registro — costituiscono istruzione documentata del Merchant ai sensi dell’art. 28(3)(a) GDPR e dell’art. 2 a rendere disponibili o a trasmettere i dati indicati di seguito, anche ove ciò comporti un trasferimento verso un Paese terzo, per le finalità determinate dal Merchant. Un’app collegata si attiva inserendo in dashboard la chiave di accesso all’account del Merchant presso quel servizio e dichiarando che l’informativa resa ai clienti finali indica la trasmissione dei dati al servizio di terzi.
• Ruoli. Per i trattamenti eseguiti sulla propria infrastruttura — la risposta alle richieste del connettore, la preparazione, la firma e l’invio delle notifiche, la tenuta dei registri — Flow-e opera quale Responsabile secondo il presente Accordo. L’assistente AI, il sistema che gestisce la destinazione e ogni altro sistema diverso dal Servizio che riceve dati tramite un’integrazione («servizi di terzi») non sono sub-responsabili di Flow-e (art. 5): Flow-e non li seleziona, non li incarica e non impartisce loro istruzioni. Ove la destinazione sia gestita dal Merchant, i dati sono resi al Titolare.
• Obblighi del Merchant. In qualità di Titolare, il Merchant è responsabile: della base giuridica e della compatibilità delle finalità del trattamento svolto tramite i servizi di terzi; del contratto con i relativi fornitori, comprese, ove applicabili, le garanzie dell’art. 28 GDPR e le impostazioni sull’uso dei dati per l’addestramento di modelli; dei trasferimenti verso Paesi terzi che ne conseguono, nel rispetto del Capo V del GDPR; dell’informativa ai clienti finali, anche sulle categorie di destinatari (art. 13(1)(e) GDPR); della sicurezza della destinazione e dei sistemi che ricevono i dati; della conservazione, della cancellazione e del riscontro alle richieste degli interessati relativi ai dati ricevuti dai servizi di terzi; dell’uso che fa delle loro risposte ed elaborazioni. La destinazione è attiva dal momento della configurazione e riceve le notifiche degli eventi selezionati che si verificano da quel momento: subito dopo averla configurata, il Merchant ne verifica la correttezza inviando la notifica di prova, che contiene soltanto dati fittizi, e, se la prova non riesce o rivela un indirizzo errato, la disattiva senza ritardo.
• Dati disponibili tramite il connettore. In sola lettura e per la sola organizzazione del Merchant: metriche aggregate di utilizzo del widget; dati di rendimento di prodotti e catalogo; i temi richiesti dai clienti finali e non coperti dalla knowledge base; il testo delle domande rivolte al widget e delle ricerche digitate dai clienti finali, con oscuramento automatico di indirizzi email, numeri di telefono e altri numeri lunghi, IBAN e codici fiscali; codici pseudonimi di clienti finali, con numero delle sessioni, date della prima e dell’ultima interazione e tono medio delle conversazioni, esclusivamente per i clienti finali per i quali risulti registrata l’adesione espressa alla memorizzazione delle preferenze, raccolta dal widget fino al 25 settembre 2026, e non risulti un’opposizione. Non sono disponibili nomi, indirizzi email e numeri di telefono dei clienti finali, il testo integrale delle conversazioni, il testo delle richieste di assistenza, i dati di pagamento; il connettore non consente alcuna operazione di scrittura, modifica o cancellazione. L’oscuramento opera su forme riconoscibili in modo automatico e non può escludere che un dato personale scritto in forma non riconoscibile resti nel testo.
• Dati contenuti nelle notifiche automatiche. Ciascuna notifica riguarda una sola richiesta di assistenza dell’organizzazione del Merchant, nei limiti degli eventi e dell’ambito scelti per la destinazione, e contiene: (a) identificativo e numero, stato, urgenza, oggetto costituito da un estratto del testo scritto dal cliente finale nel modulo di assistenza o, in mancanza, da una dicitura predefinita, motivo dell’eventuale inoltro al Merchant, indicazione se la richiesta sia stata risolta dall’assistente AI, date di creazione e di aggiornamento, collegamento alla richiesta in dashboard e, per gli aggiornamenti, l’indicazione dei campi modificati; (b) indirizzo email, nome e lingua del cliente finale; (c) le domande del modulo di assistenza e le risposte fornite dal cliente finale, comprese le note da questi scritte; (d) ove presente, la bozza di risposta generata dall’intelligenza artificiale, contrassegnata come tale in forma leggibile da una macchina; (e) nome e tipo dei file allegati, con esclusione del loro contenuto e di qualsiasi collegamento per scaricarli. Ogni notifica reca inoltre l’identificativo e il tipo dell’evento, la data e l’ora in cui si è verificato e la versione del formato.
• Esclusioni e minimizzazione. Le notifiche non contengono il testo delle conversazioni con il widget, il contenuto degli allegati, il profilo di preferenza né i dati dell’account cliente diversi dal nome e dall’indirizzo email, che per il cliente finale identificato possono provenire dal suo account, gli identificativi interni del cliente finale e della sessione, i dati di pagamento. Il contenuto di ciascuna notifica è determinato al momento dell’invio: i dati già cancellati o resi anonimi, anche su richiesta dell’interessato o per decorso dei termini dell’art. 13, non sono trasmessi, e la notifica relativa a una richiesta non più presente nel Servizio non è inviata. Il testo scritto dal cliente finale è trasmesso senza oscuramento, in quanto necessario a dare seguito alla richiesta, e può contenere, per scelta dell’interessato, ulteriori dati personali, anche appartenenti alle categorie particolari dell’art. 9 GDPR: il Merchant ne tiene conto nella scelta della destinazione, degli eventi, dell’ambito e delle misure del servizio di terzi.
• Dati trasmessi alle app collegate (Klaviyo). Sono trasmessi soltanto dati relativi a clienti finali che sono riconosciuti tramite l’identificativo cliente firmato dal negozio, hanno un indirizzo email noto al Servizio e non si sono opposti alla personalizzazione; mai dati generati in anteprima dalla dashboard. Al completamento di un questionario di prodotto (quiz) sono trasmessi: (a) l’indirizzo email del cliente finale, quale identificativo del profilo presso l’app collegata; (b) il nome del quiz, la data e la lingua; (c) le domande e le risposte a scelta predefinita fornite dal cliente finale, nel testo configurato dal Merchant, registrate anche come proprietà del suo profilo presso l’app collegata; (d) fino a sei prodotti consigliati, con nome, marca, prezzo, valuta, collegamento alla pagina, immagine e codice. Quando il cliente finale si oppone alla personalizzazione, è trasmessa al suo profilo soltanto l’indicazione dell’opposizione, affinché il Merchant possa tenerne conto anche per i dati già ricevuti, e le trasmissioni non ancora eseguite sono annullate. Non sono trasmessi il testo libero scritto dal cliente finale, comprese le risposte aperte dei questionari, il testo delle conversazioni, le richieste di assistenza, i dati d’ordine e di pagamento e gli identificativi interni del Servizio; il Servizio non iscrive i clienti finali a liste né modifica il loro stato di consenso alle comunicazioni presso l’app collegata. Il Merchant può escludere singoli questionari dalla trasmissione ed esclude quelli le cui domande o risposte predefinite possono rivelare dati appartenenti alle categorie particolari dell’art. 9 GDPR (per esempio condizioni di salute). Il contenuto di ciascuna trasmissione è determinato al momento dell’invio: l’indirizzo email è quello presente nel Servizio in quel momento; i dati di un cliente finale cancellato o anonimizzato, o che si è opposto nel frattempo, non sono trasmessi.
• Modifiche. Le modifiche che ampliano le categorie di dati personali rese disponibili tramite il connettore, o che riducono le misure del presente articolo, sono comunicate tramite dashboard o email con un preavviso di almeno 30 giorni, durante il quale il Merchant può revocare le chiavi. Le modifiche che ampliano i dati contenuti nelle notifiche sono introdotte con una nuova versione del formato e non si applicano alle destinazioni già configurate finché il Merchant non la selezioni.
• Registri. Flow-e registra ogni richiesta ricevuta dal connettore, anche se rifiutata (chiave utilizzata, strumento interrogato, data e ora, periodo richiesto, esito e nome del client), senza i dati restituiti né l’indirizzo IP, per 12 mesi; il Merchant consulta in dashboard le richieste degli ultimi 90 giorni. Per le notifiche automatiche Flow-e registra, per ciascuna notifica e ciascuna destinazione, l’evento e la richiesta di assistenza cui si riferisce, la data e l’ora di creazione, il numero dei tentativi di invio e la data e l’ora dell’ultimo, l’esito, il codice di risposta HTTP ricevuto e una descrizione tecnica sintetica dell’eventuale errore; il registro non contiene il contenuto delle notifiche né quello delle risposte della destinazione, è conservato per 14 giorni e le registrazioni relative a una destinazione sono cancellate anche con l’eliminazione di quest’ultima. Il Merchant consulta in dashboard le registrazioni più recenti, può disporre dal registro un nuovo invio delle notifiche ivi elencate, se la destinazione è attiva e il piano comprende l’integrazione, e ne scarica dalla dashboard l’estratto dell’intero periodo di conservazione, fino alle 10.000 registrazioni più recenti per file; per un volume superiore l’estratto completo è fornito su richiesta a team@looma.company. Per le app collegate Flow-e registra, per ciascuna trasmissione, il tipo, la data e l’ora di creazione, il numero dei tentativi e la data e l’ora dell’ultimo, l’esito, il codice di risposta HTTP ricevuto e una descrizione tecnica sintetica dell’eventuale errore; i dati da trasmettere sono conservati soltanto finché la trasmissione è in attesa e cancellati appena questa è eseguita, non riuscita o annullata, e il registro è conservato per 14 giorni. Tutti i registri sono comunque cancellati con l’organizzazione del Merchant.
• Disattivazione e dati ricevuti dai servizi di terzi. Il Merchant può disattivare ogni integrazione in qualsiasi momento dalla dashboard, revocando le chiavi, disattivando o eliminando la destinazione oppure, per un’app collegata, disattivando l’invio o scollegandola (lo scollegamento cancella la chiave dell’app collegata conservata dal Servizio), con effetto immediato su ogni nuova richiesta di dati e su ogni notifica non ancora inviata. I dati ricevuti da un servizio di terzi escono dalla disponibilità di Flow-e: gli artt. 6, 12 e 13 si applicano ai dati conservati nel Servizio e non alle copie ricevute dai servizi di terzi, la cui conservazione, cancellazione e restituzione spettano al Merchant. Nel dare seguito alle richieste degli interessati (artt. 15-22 GDPR), il Merchant tiene conto di tali copie; per il periodo della sua conservazione e salvo l’eliminazione della destinazione cui si riferisce, il registro delle notifiche indica a quali destinazioni e in quali date sono state inviate le notifiche relative a ciascuna richiesta di assistenza. Se il piano cessa di comprendere un’integrazione, nessuna notifica è inviata e quelle in attesa sono scartate; le destinazioni restano configurate e riprendono a ricevere le notifiche quando il piano torna a comprenderla.
• Sicurezza. Le misure adottate per le integrazioni sono indicate nell’Allegato 2.

10. Intelligenza artificiale (AI Act e L. 132/2025)

• Flow-e fornisce di default la disclosure di interazione con un’AI (art. 50 AI Act).
• Il Merchant si obbliga a non rimuovere tale disclosure né i meccanismi di opposizione/intervento umano, e tiene indenne Flow-e.
• In modalità white-label sotto proprio marchio, il Merchant può essere qualificato “deployer” o “provider” (artt. 25 e 50 AI Act).
• Sorveglianza umana per qualsiasi decisione con effetti giuridici o significativi (art. 22 GDPR; art. 3 L. 132/2025).

11. Audit

Flow-e mette a disposizione del Merchant tutte le informazioni necessarie a dimostrare il rispetto degli obblighi dell’art. 28 GDPR e consente e contribuisce ad audit, comprese ispezioni, condotti dal Merchant o da un soggetto da esso incaricato. Gli audit si svolgono con ragionevole preavviso (30 giorni), durante l’orario lavorativo, senza compromettere la sicurezza degli altri clienti e con obbligo di riservatezza; Flow-e può soddisfare la richiesta anche fornendo certificazioni e report di audit indipendenti aggiornati (es. SOC 2, ISO 27001) dei propri sub-responsabili.

12. Restituzione e cancellazione

Al termine dei servizi, a scelta del Merchant, Flow-e cancella o restituisce i dati e cancella le copie, salvo obblighi di legge. La cancellazione può attuarsi tramite anonimizzazione irreversibile (tombstone/anonimizzazione delle sessioni). L’obbligo decennale fiscale (art. 2220 c.c.) riguarda solo i dati che Flow-e tratta come Titolare.

Le operazioni di cui al presente articolo e all’art. 13 riguardano i dati conservati nel Servizio e non si estendono alle copie ricevute da sistemi del Merchant o di terzi tramite le integrazioni (art. 9-bis).

13. Conservazione dei dati dei clienti finali

Il Servizio applica i seguenti termini, che costituiscono limiti massimi tecnici e operano automaticamente su tutte le organizzazioni, senza necessità di intervento del Merchant:

Il Merchant, in quanto Titolare, resta tenuto a giustificare e documentare la conservazione rispetto alle proprie finalità e ai propri obblighi — incluse esigenze probatorie e termini di prescrizione (art. 2946 c.c.) e l’onere di dimostrare la liceità del trattamento (art. 5(2) GDPR) — e può richiedere per iscritto termini più brevi di quelli sopra indicati. Il Servizio non espone oggi un’impostazione che consenta al Merchant di modificare autonomamente tali termini né di estenderli: ogni deroga passa da una richiesta scritta e da una modifica di configurazione operata da Flow-e.

Restano conservate senza un termine automatico, fino alla chiusura o alla richiesta scritta del Merchant, le richieste di assistenza non collegate a un cliente finale identificato e non ancora chiuse, e le richieste a cui il cliente finale ha allegato file. I file allegati sono conservati nell’archivio del Servizio e sono cancellati su richiesta del Merchant e, in ogni caso, secondo l’art. 12. I dati elaborati possono inoltre figurare temporaneamente nei registri tecnici di esecuzione dell’infrastruttura di orchestrazione (n8n, nell’Unione europea), conservati a rotazione ai soli fini della diagnosi dei malfunzionamenti e cancellati automaticamente, di norma entro pochi giorni.

Restano fermi gli obblighi di cancellazione anticipata su richiesta dell’interessato (art. 6 del presente Accordo), la cancellazione immediata del profilo all’opposizione del cliente finale (art. 9) e le procedure di cancellazione previste dalle piattaforme di distribuzione a cui il Merchant abbia collegato il proprio negozio. I termini sopra indicati non si applicano alle copie ricevute da sistemi del Merchant o di terzi tramite le integrazioni (art. 9-bis).

Su richiesta scritta del Titolare, Flow-e cancella entro 30 giorni un testo determinato dalle statistiche giornaliere dell’organizzazione, anche prima della scadenza del termine. L’oscuramento automatico delle statistiche opera sulle forme riconoscibili in modo automatico e non può escludere che un dato personale scritto in forma non riconoscibile resti nel testo.

14. Responsabilità e regresso (art. 82(4)-(5))

Verso gli interessati, la responsabilità è disciplinata in via inderogabile dall’art. 82 (solidale per l’intero danno). Nei rapporti interni, ciascuna parte tiene indenne l’altra per la quota attribuibile alla propria responsabilità (art. 82(5)). In particolare il Merchant tiene indenne Flow-e per: istruzioni illecite, assenza di base giuridica, omessa informativa, contenuti/configurazioni del Merchant, violazione del DPA o del Contratto.

15. Disposizioni finali

DPA regolato dalla legge italiana. Foro competente: Foro di Padova. Allegati: 1 — Sub-responsabili; 2 — Misure di sicurezza; 3 — Clausole Contrattuali Tipo applicabili.

Allegato 1 — Sub-responsabili e trasferimenti

Allegato 2 — Misure di sicurezza (art. 32)

• Cifratura in transito: TLS/HTTPS su tutte le comunicazioni.
• Cifratura a riposo: base dati e storage cifrati (AES-256, infrastruttura Supabase).
• Isolamento multi-tenant: segregazione per organizzazione (Row-Level Security; ogni query vincolata all’org_id).
• Controllo accessi: cookie di sessione httpOnly; ruoli con privilegi minimi; autenticazione delle chiamate di backend.
• Minimizzazione AI: nessun addestramento di modelli propri sui dati dei clienti finali; fornitori scelti e configurati per escluderne l’uso per l’addestramento e con conservazione minima o ZDR ove disponibile, secondo le condizioni indicate nell’Allegato 1.
• Trasparenza AI: disclosure art. 50 AI Act attiva per default.
• Continuità: backup e procedure di ripristino; monitoraggio errori e verifiche periodiche.
• Integrazioni: chiavi del connettore conservate solo come impronta crittografica, con scadenza non superiore a 365 giorni, e segreti di firma solo in forma cifrata, mostrati una sola volta; ogni credenziale limitata a una sola organizzazione e revocabile o rigenerabile in qualsiasi momento; notifiche automatiche inviate solo verso indirizzi HTTPS con verifica del certificato, firmate secondo lo schema pubblico Standard Webhooks (HMAC-SHA256, con identificativo dell’evento e data e ora dell’invio), senza seguire reindirizzamenti, con esclusione degli indirizzi di reti private o locali, verificata alla configurazione e a ogni invio; limiti di frequenza; chiave delle app collegate conservata soltanto in forma cifrata (AES-256-GCM), con una chiave di cifratura conservata separatamente dai dati, mostrata in dashboard soltanto negli ultimi quattro caratteri e verificata presso l’app collegata al momento del collegamento; interruttore generale di sospensione; registri degli accessi e degli invii privi del contenuto dei dati.

Allegato 3 — Clausole Contrattuali Tipo

Per i trasferimenti extra-UE non coperti da adeguatezza si applicano le SCC (decisione di esecuzione (UE) 2021/914). Poiché Flow-e agisce come Responsabile, il collegamento con i sub-responsabili extra-UE avviene tramite il Modulo Tre (da responsabile a responsabile), integrato da una valutazione d’impatto sui trasferimenti (TIA).