1. Chi siamo
GMC Guardian (il «Servizio») opera sotto la giurisdizione degli Stati Uniti. I riferimenti a «noi», «nostro» e «ci» indicano GMC Guardian che agisce in qualità di titolare del trattamento. L'identificazione societaria completa dell'entità operativa è disponibile su richiesta scritta a [email protected]. MerchantRescue è l'agenzia di consulenza sorella - stessa proprietà, persona giuridica distinta.
2. Quali dati raccogliamo
Quando installa GMC Guardian sul suo negozio Shopify o utilizza questo sito web, trattiamo le seguenti categorie di dati personali:
- Dati dell'account: e-mail del proprietario del negozio, nome del proprietario, paese, valuta, fuso orario - forniti da Shopify all'installazione dell'app.
- Token di autenticazione: token di accesso Shopify cifrati e token OAuth Google Merchant Center, utilizzati per eseguire le azioni richieste. Conservati cifrati a riposo tramite libsodium AEAD.
- Metadati delle scansioni: risultati delle scansioni di conformità da Lei attivate, inclusi rilievi, registri di audit e timestamp.
- Acquisizione lead: se invia il nostro modulo newsletter, il suo indirizzo e-mail, la fonte dell'invio, la lingua, il suo indirizzo IP e il suo user agent.
- Dati di utilizzo: registri server standard (IP, percorsi richieste, user agent, timestamp) conservati 30 giorni per sicurezza e debug.
Non raccogliamo dati personali dei suoi clienti finali (gli acquirenti del suo negozio). Il prodotto opera unicamente sui metadati lato commerciante.
3. Perché trattiamo i dati
Le basi giuridiche del trattamento ai sensi dell'articolo 6 GDPR:
- Esecuzione del contratto (6.1.b): dati dell'account e token, utilizzati per fornire il servizio sottoscritto.
- Legittimo interesse (6.1.f): registri server, analytics, prevenzione di frodi e abusi.
- Consenso (6.1.a): iscrizione alla newsletter. Revocabile in qualsiasi momento tramite il link di disiscrizione presente in ogni newsletter.
4. Con chi condividiamo i dati
Ci avvaliamo dei seguenti responsabili del trattamento (elenco completo mantenuto su /fiducia):
- Infomaniak (Svizzera) - hosting applicativo e database
- Cloudflare R2 (UE + CDN globale) - archiviazione blob per PDF e report
- Postmark (USA, DPA UE+USA) - invio di e-mail transazionali e newsletter
- Anthropic (USA) - modelli IA per riscritture di feed e narrazioni concise
- Google (USA + globale) - integrazioni Merchant API e Google Ads API per Suo conto
Non vendiamo, affittiamo o scambiamo dati personali. L'elenco aggiornato è pubblicato sulla pagina Fiducia e sicurezza e viene aggiornato prima che un nuovo sub-responsabile inizi il trattamento.
5. Per quanto tempo conserviamo i dati
| Categoria di dati | Conservazione |
|---|---|
| Dati dell'account durante la vita dell'account | Fino alla disinstallazione + 48 ore di tolleranza |
| Token di accesso cifrati | Cancellati alla disinstallazione + 48 ore di tolleranza |
| Archivi delle scansioni - Free | 90 giorni |
| Archivi delle scansioni - piani a pagamento | 1 anno |
| Archivi delle scansioni - Agency Plus | 3 anni |
| Voci del registro di audit | 3 anni (conservazione di conformità) |
| Iscrizione newsletter | Fino alla disiscrizione; i log vengono conservati 90 giorni successivi |
| Registri server | 30 giorni |
6. I Suoi diritti
Ai sensi del GDPR Lei ha diritto di accesso, rettifica, cancellazione, limitazione, portabilità e opposizione al trattamento dei Suoi dati personali. Per esercitare uno di questi diritti, scriva a [email protected]. Rispondiamo entro 30 giorni, spesso prima.
Per i commercianti con installazione Shopify, i webhook GDPR customers/data_request, customers/redact e shop/redact sono implementati e testati. Attivarli dal Suo admin Shopify produce lo stesso effetto di una richiesta diretta.
Ha inoltre il diritto di proporre reclamo alla Sua autorità nazionale di controllo - il Garante per la protezione dei dati personali (Italia), la CNIL (Francia), l'ICO (Regno Unito), l'autorità di protezione dei dati del Suo Stato membro UE, o la Federal Trade Commission e il Procuratore Generale del Suo Stato se è residente negli USA. I residenti in California godono di diritti aggiuntivi ai sensi di CCPA/CPRA: diritto di conoscere, cancellare, correggere, opporsi alla vendita (non vendiamo) e limitare l'uso di informazioni personali sensibili. Scriva a [email protected] per esercitare un diritto CCPA.
7. Trasferimenti internazionali
L'entità operativa ha sede negli USA. L'infrastruttura di hosting si trova principalmente in Svizzera (Infomaniak) e nell'UE. Per gli utenti del SEE, del Regno Unito o della Svizzera i cui dati personali vengono trasferiti negli USA (entità operativa, Postmark, Anthropic, Google), i trasferimenti avvengono in base alle Clausole Contrattuali Standard (SCC) e, ove applicabile, all'EU-US Data Privacy Framework. Abbiamo concluso SCC con ciascun sub-responsabile con sede negli USA.
8. Sicurezza
Tutti i token di autenticazione sono cifrati a riposo. TLS 1.3 in transito. Registro di audit append-only. Nessun dato personale degli acquirenti finali viene archiviato. La certificazione SOC 2 Type II è nella nostra roadmap; non siamo ancora certificati.
9. Modifiche
Le modifiche sostanziali a questa Informativa sulla privacy sono pubblicate su questa pagina con una nuova data di efficacia prima di produrre effetti.
10. Contatti
Per domande sulla privacy, scriva a [email protected]. Per altre richieste, consulti la nostra pagina di contatto.