1. Parti, ambito e conclusione dell’accordo

Il presente accordo sul trattamento dei dati personali (di seguito, “DPA”) è concluso tra il negoziante identificato nel contratto di servizio e nella relativa accettazione (di seguito, “Negoziante” o “Titolare”) e Valeria S.r.l., con sede in Via Roma 38/A, 21018 Sesto Calende (VA), Italia, C.F. e P. IVA 04116360126 (di seguito, “Valeria” o “Responsabile”).

Il DPA disciplina, ai sensi dell’articolo 28 del Regolamento (UE) 2016/679 (di seguito, “GDPR”), il trattamento dei dati personali effettuato da Valeria per conto del Negoziante nell’erogazione dell’assistente per gli acquisti e il supporto sugli ordini e dei relativi servizi di gestione del negozio Shopify. Gli Allegati A, B e C costituiscono parte integrante dell’accordo e ne definiscono i trattamenti, le misure di sicurezza e i sub-responsabili autorizzati.

Il DPA, versione shopify_5.0 del 31/10/2026, è incorporato nei Termini del servizio Shopify oppure concluso mediante un distinto accordo scritto che ne identifichi la versione e gli allegati. Il Negoziante accetta il DPA e gli allegati per iscritto, anche con modalità elettronica, prima dell’inizio dei trattamenti per suo conto, inclusa la gestione degli inviti e delle abilitazioni degli operatori. Le Parti conservano copia dell’accordo e prova dell’accettazione. Il Negoziante può richiedere una copia che riporti i propri dati a support@valeria.food.

In caso di contrasto con il contratto di servizio, il DPA prevale per gli aspetti relativi alla protezione dei dati personali.

Il DPA comprende i dati dei visitatori e dei clienti del negozio, i contenuti utilizzati nel servizio e i dati degli operatori trattati per gestire le autorizzazioni e le attività del Negoziante. Restano distinti i trattamenti per i quali Valeria agisce come titolare autonomo: autenticazione e sicurezza generale degli account, gestione del rapporto commerciale, misurazione aggregata dell’utilizzo ai fini della fatturazione, fatturazione e adempimenti di legge. Tali trattamenti sono disciplinati dalla relativa informativa di Valeria.

Quando il Negoziante attiva il canale Telegram, il DPA comprende l’assistenza erogata tramite tale canale, il collegamento richiesto dal cliente con il proprio account del negozio e la gestione del relativo carrello. I trattamenti autonomi della piattaforma Telegram sono distinti e disciplinati dalla sua informativa privacy.

Ai fini degli obblighi verso Shopify, il termine “Merchant Data” comprende le informazioni sul Negoziante, sul negozio e sui suoi clienti come definite nei Shopify API Terms.

2. Istruzioni e obblighi delle Parti

Valeria tratta i dati personali soltanto su istruzioni documentate del Titolare, anche per quanto riguarda i trasferimenti. Costituiscono istruzioni il presente DPA, i suoi allegati, le funzioni del servizio adottate dal Negoziante, le configurazioni autorizzate e le comunicazioni scritte dei referenti incaricati. Se una disposizione del diritto dell’Unione europea o nazionale applicabile a Valeria impone un diverso trattamento, Valeria ne informa il Titolare prima di procedere, salvo che la disposizione vieti tale informazione per rilevanti motivi di interesse pubblico.

Il Titolare determina le finalità del trattamento e ne verifica la liceità, adotta le categorie di dati e i periodi di conservazione dell’Allegato A e rende disponibili le informative necessarie prima dell’attivazione del servizio. Per il servizio standard completo, il Titolare conclude prima del trattamento la propria valutazione d’impatto sulla protezione dei dati (di seguito, “DPIA”). Una diversa valutazione presuppone che il Titolare documenti e attui un ambito di servizio ridotto. Valeria presta l’assistenza prevista dal capitolo 5; la documentazione comune fornita da Valeria non sostituisce la valutazione e la conclusione del Titolare.

Valeria informa immediatamente il Titolare se, a suo parere, un’istruzione viola il GDPR o altre disposizioni applicabili in materia di protezione dei dati e non esegue il trattamento illecito. Le Parti chiariscono o correggono l’istruzione per iscritto.

Valeria non utilizza i dati affidati dal Titolare per addestrare o migliorare in generale sistemi di intelligenza artificiale o prodotti, creare raccolte di dati condivise tra clienti, effettuare confronti commerciali tra negozi o perseguire altre finalità proprie. Il divieto riguarda anche i dati derivati o aggregati e le attività di anonimizzazione effettuate a tali fini. La riduzione e l’aggregazione dei dati necessarie a erogare il servizio restano soggette alle istruzioni del Titolare.

Il servizio non prevede il trattamento di dati relativi a condanne penali e reati, documenti clinici, prescrizioni mediche o documenti identificativi, né decisioni automatizzate che producano effetti giuridici o analogamente significativi sugli interessati. L’introduzione di nuove finalità o categorie di dati richiede una valutazione e un accordo preventivi.

Il Negoziante seleziona i documenti e le pagine web da utilizzare per le risposte e verifica di poterne consentire l’acquisizione e l’utilizzo. Sono ammesse fonti relative al negozio, al catalogo, alle domande frequenti e alle condizioni commerciali. La pubblica accessibilità di una pagina non autorizza l’importazione di dati personali estranei a tali finalità.

3. Riservatezza e sicurezza

Valeria consente l’accesso ai dati soltanto alle persone autorizzate, istruite e vincolate alla riservatezza, nei limiti necessari alle attività loro affidate. Revoca gli accessi non più necessari. Gli accessi per assistenza sono autorizzati e registrati.

Valeria adotta le misure tecniche e organizzative dell’Allegato B e ne verifica l’efficacia prima di trattare dati personali nell’ambiente di erogazione del servizio. Riesamina le misure in relazione ai rischi del trattamento e comunica direttamente al Titolare le modifiche sostanziali, acquisendone l’accordo preventivo. Le modifiche non possono ridurre il livello di protezione richiesto dall’articolo 32 GDPR.

4. Sub-responsabili e trasferimenti

Il Titolare autorizza specificamente i sub-responsabili dell’Allegato C per le sole attività e categorie di dati indicate. L’aggiunta o la sostituzione di un fornitore, oppure l’affidamento di attività al di fuori dell’ambito autorizzato, richiede l’autorizzazione scritta preventiva del Titolare, anche tramite email. Valeria comunica l’identità del fornitore, le attività affidate, i dati interessati, i Paesi di trattamento e le garanzie applicabili. Il silenzio del Titolare non costituisce autorizzazione. In caso di diniego, il fornitore proposto non riceve i dati e le Parti valutano un’alternativa lecita o una limitazione del servizio.

Valeria conclude con i sub-responsabili accordi che impongono obblighi di protezione dei dati equivalenti a quelli del presente DPA per le attività affidate. Valeria resta responsabile verso il Titolare dell’adempimento di tali obblighi da parte dei sub-responsabili e mantiene aggiornati l’elenco e le autorizzazioni applicabili.

I trasferimenti di dati al di fuori dello Spazio economico europeo (di seguito, “SEE”) sono ammessi esclusivamente nell’ambito dell’Allegato C, sulla base di un meccanismo valido ai sensi del Capo V GDPR e delle misure supplementari necessarie. La modifica dei Paesi o delle garanzie richiede una nuova istruzione scritta prima del trattamento. Su richiesta, Valeria fornisce le informazioni e le copie delle garanzie pertinenti.

In presenza di richieste vincolanti di autorità pubbliche, Valeria ne verifica la legittimità, limita la divulgazione ai dati legalmente richiesti e informa il Titolare nei limiti consentiti dalla legge.

5. Diritti degli interessati, violazioni e assistenza

Il Titolare riceve le richieste di esercizio dei diritti previsti dal Capo III GDPR, verifica l’identità del richiedente e decide e comunica il riscontro. Valeria inoltra senza ingiustificato ritardo le richieste ricevute per conto del Titolare e lo assiste, tenuto conto della natura del trattamento, mediante le funzioni del servizio e gli interventi necessari su istruzione del Titolare.

Quando i dati sono restituiti mediante un file esportato dal portale di gestione del Negoziante, l’operatore autorizzato lo scarica in formato strutturato e leggibile da macchina, verifica il completamento del download e ne conferma la custodia sicura. La conferma avvia la cancellazione della copia generata da Valeria. Il Titolare cura la consegna all’interessato. Per ulteriori restituzioni, le Parti concordano un canale sicuro; i file contenenti dati personali non sono inviati come ordinari allegati email.

Valeria assiste il Titolare nell’adempimento degli obblighi previsti dagli articoli 32, 33, 34, 35 e 36 GDPR, tenendo conto della natura del trattamento e delle informazioni a sua disposizione. Fornisce le informazioni disponibili sui trattamenti, sulle misure di sicurezza, sui fornitori e sui rischi per le DPIA e per le eventuali consultazioni preventive dell’autorità di controllo. Il recapito per l’assistenza e le comunicazioni relative al DPA è support@valeria.food.

Valeria informa il referente del Titolare senza ingiustificato ritardo dopo aver avuto conoscenza di una violazione dei dati personali. Comunica, anche progressivamente, la natura della violazione, le categorie e il numero dei dati e degli interessati coinvolti, le probabili conseguenze, le misure adottate o proposte e il recapito per ulteriori informazioni. Valeria contiene l’incidente e coopera alla sua gestione. Il Titolare valuta le notifiche all’autorità e le comunicazioni agli interessati ai sensi degli articoli 33 e 34 GDPR.

Restano separatamente applicabili gli obblighi di Valeria verso Shopify: la notifica di una compromissione effettiva o sospetta di Merchant Data avviene immediatamente e, in ogni caso, entro 24 ore dalla relativa conoscenza.

6. Conservazione e cessazione del servizio

Durante l’erogazione del servizio si applicano i periodi dell’Allegato A, salvo diversa istruzione scritta, lecita e attuabile, concordata prima del trattamento. Restano applicabili la cancellazione anticipata, la limitazione e gli altri diritti degli interessati.

Alla cessazione del servizio, il Titolare sceglie la restituzione o la cancellazione dei dati personali. Dopo la restituzione, Valeria cancella le copie rimaste in suo possesso.

Per il servizio Shopify, Valeria elimina gli originali, le copie e le riproduzioni di Merchant Data entro 30 giorni dalla disinstallazione dell’app, dalla cessata necessità dei dati per il servizio o dal ricevimento di una richiesta di cancellazione vincolante del Negoziante, del cliente o di Shopify, secondo il primo evento applicabile. Il termine comprende i file esportati, le registrazioni, le prove delle scelte degli interessati e i backup. La restituzione, i cicli di cancellazione e i periodi ordinari di conservazione non prorogano tale termine.

Una conservazione ulteriore è ammessa soltanto quando imposta dalla legge. Valeria documenta la disposizione applicabile, i dati necessari e la durata della conservazione, ne limita l’utilizzo e l’accesso e informa il Titolare ove consentito.

Valeria assicura la cancellazione delle copie residue e, in caso di ripristino da backup, riapplica le cancellazioni prima di riaprire il servizio. Fornisce riscontro al Titolare. Se non può rispettare il termine previsto per Shopify, informa prontamente Shopify, senza che tale comunicazione faccia venir meno l’obbligo di cancellazione.

7. Verifiche e durata dell’accordo

Valeria mette a disposizione del Titolare le informazioni necessarie a dimostrare l’adempimento del DPA e consente e contribuisce ad audit e ispezioni effettuati dal Titolare o da un revisore da esso incaricato. Le modalità concordate tutelano i dati degli altri clienti e la sicurezza del servizio senza impedire le verifiche necessarie o gli interventi dell’autorità di controllo.

Il DPA resta efficace per tutta la durata del trattamento, incluse le operazioni di restituzione e cancellazione. Restano applicabili gli obblighi di riservatezza e cooperazione e le responsabilità inderogabili previste dalla legge.

Allegato A. Ambito del trattamento e conservazione

A.1 Oggetto, natura e interessati

Il trattamento ha per oggetto l’erogazione dell’assistente per gli acquisti e il supporto sugli ordini nel negozio Shopify e la gestione dell’integrazione, delle configurazioni, delle autorizzazioni degli operatori, dell’assistenza, della manutenzione, della sicurezza e delle richieste relative ai diritti degli interessati.

Le operazioni comprendono ricezione, consultazione, elaborazione, registrazione, conservazione, trasmissione ai fornitori autorizzati, esportazione, limitazione e cancellazione dei dati. Il trattamento avviene secondo l’utilizzo del servizio e le attività di manutenzione necessarie, per la durata del rapporto e nei limiti di conservazione seguenti.

Gli interessati sono i visitatori e i clienti del negozio, gli operatori autorizzati dal Negoziante e le persone eventualmente presenti nei documenti aziendali ammessi nel servizio. I dati associati a codici che sostituiscono il nome o altri identificativi diretti restano dati personali quando riferibili a una persona.

A.2 Categorie di dati e finalità

Attività	Dati personali e finalità
Assistenza all’acquisto	Messaggi del cliente, risposte dell’assistente e degli operatori, feedback, identificativi di conversazione e cliente, lingua, prodotti e quantità del carrello, per rispondere alle richieste e ordinare i prodotti in base al contesto. Per i clienti autenticati, associazione all’account del negozio e consultazione di nome e cognome da parte degli operatori autorizzati, per riconoscere il cliente e gestirne l’assistenza. Sul canale Telegram sono trattati anche gli identificativi di utente, chat e messaggio, il collegamento all’account del negozio, lo stato del carrello e le operazioni eseguite, per riconoscere il cliente, applicarne le scelte e proseguire gli acquisti. L’indirizzo IP è trattato transitoriamente per le interrogazioni al catalogo.
Memoria tra conversazioni	Preferenze e informazioni pertinenti fornite dal cliente, per personalizzare l’assistenza nelle conversazioni successive.
Personalizzazione e assistenza sugli ordini	Identificativi e numeri degli ordini del cliente, date, prodotti e varianti, codici prodotto, quantità, prezzi, sconti, imposte, importi e valuta; stato dei pagamenti, delle cancellazioni, della preparazione e delle spedizioni; vettori, codici e collegamenti di tracking, date di spedizione e consegna previste o effettive, resi e rimborsi, quando disponibili. La consultazione serve ad adattare suggerimenti e risposte agli acquisti del cliente e rispondere alle domande sui suoi ordini. Non sono richiesti indirizzi, recapiti, numeri di carta, codici di sicurezza o credenziali finanziarie del cliente.
Misurazione degli acquisti successivi alla chat	Identificativi riferibili al cliente, date, stato, importi, valuta e informazioni necessarie a collegare gli ordini alle interazioni con l’assistente. I dati degli ordini vengono esaminati prima di individuare tali collegamenti; i risultati individuali sono conservati soltanto con consenso attivo, senza dettaglio dei prodotti, indirizzi o credenziali di pagamento.
Informazioni sanitarie, immagini e dettatura	Informazioni sanitarie pertinenti alla richiesta, immagini ammesse, miniature, audio transitorio e testo trascritto, per gestire le modalità di interazione richieste dal cliente. L’uso intenzionale di dati sanitari richiede un consenso esplicito separato; la loro memorizzazione richiede anche il consenso alla memoria.
Statistiche di utilizzo e diagnostica	Eventi di utilizzo, contatori, feedback e contenuti necessari alla diagnostica, per misurare, erogare e correggere il servizio per conto del Negoziante.
Gestione degli operatori e documentazione aziendale	Inviti, abilitazioni, ruoli, configurazioni e registrazioni delle attività degli operatori; notifiche sulle richieste di assistenza, recapiti e preferenze degli operatori, registrazioni di lettura e invio; documenti e pagine web selezionati dal Negoziante, indirizzi delle fonti, testo estratto, estratti, rappresentazioni numeriche per la ricerca e relative copie e versioni, per amministrare il servizio e rendere disponibili le informazioni del Negoziante. Sono esclusi gli archivi del personale e gli elenchi clienti.
Diritti e prova delle scelte	Identificativi del Titolare e dell’interessato, diritto esercitato, date, stato ed esito della richiesta, file esportati, scelte privacy e versioni dei testi, per gestire i diritti e documentare le scelte. Il registro delle richieste non conserva il testo integrale delle richieste né documenti identificativi.

La memoria, la personalizzazione e assistenza sugli ordini e la misurazione degli acquisti successivi alla chat sono riservate ai clienti autenticati, inizialmente disattivate e soggette a consensi distinti e revocabili. Il consenso alla personalizzazione e assistenza sugli ordini comprende entrambe le modalità di utilizzo degli ordini descritte nella tabella. Il rifiuto o la revoca non impediscono la chat essenziale.

La consultazione degli ordini è limitata al negozio e all’account verificato del cliente. Comprende gli ordini Shopify degli ultimi 60 giorni, anche nella ricerca per identificativo, ed è soggetta alle autorizzazioni dell’integrazione. Non comporta modifiche agli ordini, cancellazioni, resi o rimborsi. In caso di revoca del relativo consenso, cessano le consultazioni e si chiude la conversazione in corso; gli ordini conservati dal Negoziante restano invariati.

Nell’assistenza umana, i messaggi originali del cliente e dell’operatore sono conservati nello storico della conversazione. Al ritorno all’assistente, i contenuti sono elaborati dal fornitore di intelligenza artificiale autorizzato per individuare e oscurare identificativi personali e informazioni sanitarie nella copia utilizzata per proseguire la chat. Questi controlli non rendono anonimo lo storico e possono non riconoscere ogni dato. Nome e cognome consultati presso il negozio non sono conservati in un archivio anagrafico separato né inseriti nel contesto dell’assistente.

A.3 Limiti relativi ai dati sanitari

Prima dell’attivazione dei trattamenti che possono coinvolgere dati sanitari, le Parti documentano la base giuridica applicabile e, quando necessaria, la condizione prevista dall’articolo 9 GDPR. Nell’assistenza automatica, se il cliente invia contenuti sanitari senza aver prestato il relativo consenso, testo, immagini e contenuti trascritti possono essere elaborati transitoriamente per individuarli e impedirne l’utilizzo non autorizzato. Tali controlli automatici possono non riconoscere ogni contenuto. La revoca del consenso sanitario comporta la rimozione delle informazioni sanitarie memorizzate.

La comunicazione spontanea di informazioni sanitarie durante l’assistenza umana non costituisce, da sola, consenso esplicito al loro utilizzo. Il Negoziante limita le richieste ai dati necessari all’assistenza e, quando rileva contenuti eccedenti privi di un presupposto giuridico applicabile, ne dispone la cancellazione con l’assistenza di Valeria. La conservazione ordinaria della conversazione non giustifica il mantenimento di tali contenuti.

Il consenso alla personalizzazione e assistenza sugli ordini non comprende automaticamente i dati sanitari eventualmente desumibili dai prodotti acquistati. Prima di tale utilizzo, il Titolare valuta nella DPIA il consenso sanitario e i controlli necessari. Per le funzioni che riguardano alimentazione o allergeni, il Titolare adotta fonti, regole, avvisi e verifiche di sicurezza pertinenti.

Sono escluse le immagini che hanno come soggetto principale persone identificabili e la conversazione vocale continua.

A.4 Periodi di conservazione durante il servizio

Dati	Periodo di conservazione
Conversazioni con l’assistente e gli operatori, feedback, miniature e associazione al cliente autenticato	90 giorni dalla chiusura della conversazione.
Immagini originali o ridotte	Cancellazione al completamento della risposta; le immagini preparate ma non collegate a una conversazione sono cancellate dopo 48 ore.
Audio	Non conservato da Valeria né dal fornitore di trascrizione. Le copie presenti su Telegram sono disciplinate separatamente.
Ordini consultati per personalizzazione e assistenza	Non è conservato un archivio separato degli ordini consultati. I dati inclusi nella conversazione o nella diagnostica seguono i rispettivi periodi. Il limite di 60 giorni riguarda gli ordini consultabili su Shopify, non la conservazione dei dati acquisiti.
Carrelli gestiti tramite il canale e relative operazioni	90 giorni dall’ultimo aggiornamento del carrello. In presenza di operazioni con esito non definito, sono cancellati i contenuti e restano i soli identificativi e stati necessari a impedirne la duplicazione, fino alla risoluzione o alla cancellazione dei dati del cliente o del negozio.
Collegamenti tra Telegram e account del negozio	Finché attivi, fino alla revoca o alla cancellazione; collegamenti revocati e richieste di collegamento scadute sono eliminati dopo 90 giorni dalla revoca o dalla scadenza. La sola disattivazione del canale non revoca il collegamento.
Memorie e impostazioni del cliente	Fino alla revoca, alla cancellazione o a 365 giorni di inattività.
Misurazione, utilizzo, ordini assistiti e registrazioni delle attività degli operatori	730 giorni dall’evento, dalla giornata di utilizzo, dal completamento dell’ordine o dalla registrazione dell’attività.
Notifiche di assistenza e registrazioni di lettura e invio	90 giorni dalla creazione dell’avviso, salvo cancellazione anticipata. Le preferenze di ricezione e lingua restano fino alla cancellazione dell’account o dell’organizzazione; disattivando le email viene rimosso il recapito associato alla preferenza.
Diagnostica e registrazioni applicative	30 giorni dalla registrazione.
Documenti, pagine web e contenuti derivati per le risposte	Fino alla rimozione o alla cessazione del servizio; le versioni sostituite sono conservate per 90 giorni. I medesimi termini si applicano alle copie dei contenuti acquisiti, agli estratti e agli indici di ricerca.
File esportati	La cancellazione è avviata dopo la conferma di custodia sicura; la rimozione avviene entro 30 giorni dalla generazione.
Prove delle scelte e delle richieste relative ai diritti	Le scelte correnti sono conservate finché attive; le relative prove per 5 anni dalla sostituzione o revoca. I dati essenziali delle richieste concluse sono conservati per 5 anni dalla chiusura.
Backup del servizio	Cancellazione automatica delle copie con anzianità superiore a 14 giorni, secondo il ciclo di esecuzione della relativa regola. Le copie sono riservate al ripristino.
Copie di ripristino dei database gestiti da Microsoft, quando utilizzati	Conservazione ordinaria non superiore a 35 giorni, esclusivamente per il ripristino.
Eventuali archivi di richieste e risposte presso il fornitore di elaborazione AI	30 giorni, ove utilizzati per assicurare la continuità delle elaborazioni.
Registrazioni infrastrutturali e dei fornitori riferibili ai dati del Titolare	Cancellazione entro 30 giorni dalla registrazione. Valeria verifica prima dell’affidamento dei dati la compatibilità dei servizi del fornitore con tale termine.

Le prove delle scelte e delle richieste relative ai diritti non sono riutilizzate per conversazioni, personalizzazione o misurazione del servizio. Il periodo di cinque anni non costituisce una base giuridica autonoma. Gli eventuali trattamenti propri di Valeria riguardano soltanto i dati essenziali necessari per i suoi obblighi o per l’accertamento o la difesa di un diritto, escludendo contenuti delle conversazioni, file esportati, documenti e dati sanitari.

I contenuti affidati ai servizi di elaborazione AI possono essere sottoposti ai controlli di sicurezza del fornitore, compresa la verifica di contenuti segnalati. Valeria verifica, prima dell’affidamento dei dati, che le condizioni e i periodi applicabili a tali controlli siano compatibili con le istruzioni del Titolare e con il presente DPA.

Tutti i periodi sono subordinati alla cancellazione anticipata e ai termini del capitolo 6, anche per i dati conservati presso i fornitori e per le copie di ripristino.

Allegato B. Misure tecniche e organizzative

Valeria rende operative e verifica le seguenti misure prima del trattamento dei dati personali nell’ambiente di erogazione del servizio.

Ambito	Misure
Accessi e separazione dei dati	Account nominativi, autorizzazioni limitate alle attività necessarie, autenticazione a più fattori per gli accessi privilegiati e revoca degli accessi non più necessari. Le verifiche del servizio limitano l’accesso ai dati dell’organizzazione, del negozio e del cliente autorizzati. Gli accessi di assistenza sono registrati.
Cifratura e credenziali	Cifratura dei dati durante la trasmissione e negli archivi, inclusi database, file esportati e backup. Accesso alle chiavi limitato alle persone autorizzate; protezione e revoca delle credenziali utilizzate per collegare il servizio ai sistemi del Negoziante.
Riduzione dei dati e scelte degli interessati	Raccolta dei soli dati necessari, verifica delle scelte privacy prima di utilizzare le funzioni che ne dipendono, controllo dei contenuti ricevuti e applicazione delle revoche e delle cancellazioni. L’accesso ai dati diagnostici è riservato alle persone autorizzate.
Continuità e cancellazione	Backup separati dagli archivi operativi, periodi di conservazione definiti e verifica del ripristino. Le cancellazioni sono riapplicate dopo un ripristino e i termini di cancellazione riguardano anche le copie.
Gestione del servizio e persone autorizzate	Gestione delle vulnerabilità e degli aggiornamenti secondo il rischio, monitoraggio, gestione degli incidenti e verifica dell’efficacia delle misure. Le persone autorizzate ricevono istruzioni e sono vincolate alla riservatezza; i fornitori sono vincolati da accordi di protezione dei dati.

Allegato C. Sub-responsabili autorizzati e localizzazione dei dati

C.1 Ambito dell’autorizzazione

Il Titolare autorizza i fornitori seguenti esclusivamente per le attività indicate e per i dati dell’Allegato A necessari a tali attività. L’autorizzazione riguarda anche le funzioni di amministrazione del servizio svolte per suo conto e non si estende ad altri servizi offerti dal medesimo fornitore.

L’hosting e la conservazione ordinaria degli archivi del servizio, incluse le copie di backup, avvengono nel SEE. L’elaborazione mediante intelligenza artificiale avviene nella zona dati europea definita da Microsoft, comprendente l’Unione europea e i Paesi EFTA inclusi in tale zona. Queste localizzazioni non escludono gli accessi o gli ulteriori trattamenti fuori dal SEE descritti di seguito.

Valeria comunica per iscritto al Titolare il fornitore effettivamente utilizzato, il Paese e le garanzie applicabili prima dell’affidamento dei dati. L’impiego di un’attività già autorizzata entro i limiti del presente allegato non richiede una nuova autorizzazione. Le variazioni al di fuori di tali limiti seguono il capitolo 4.

C.2 Microsoft Srl

Microsoft Srl, Microsoft House, Viale Pasubio 21, 20154 Milano, Italia. Contatto per la protezione dei dati: Microsoft Privacy.

Le attività autorizzate sono l’hosting dell’applicazione e dei database, la conservazione dei file, delle copie dei contenuti acquisiti e dei backup, l’elaborazione mediante intelligenza artificiale dei contenuti necessari al servizio, compresa la generazione di rappresentazioni numeriche per la ricerca nei documenti e nelle pagine web, la trascrizione dell’audio e l’invio tramite Exchange Online di notifiche di servizio agli operatori sulle richieste di assistenza. Tali email contengono un collegamento alla conversazione, accessibile soltanto previa autenticazione e autorizzazione, senza il testo della chat né il nome del cliente. Microsoft riceve soltanto i dati dell’Allegato A necessari alla funzione utilizzata.

Si applicano il Microsoft Customer Agreement e il Products and Services Data Protection Addendum del 22/05/2026. Gli archivi remoti dell’applicazione, comprese le copie di sicurezza, e il servizio di trascrizione sono localizzati in Italia; i dati conservati dal fornitore per le funzioni di intelligenza artificiale sono localizzati in Svezia, con elaborazione dei contenuti nella zona dati europea definita da Microsoft, comprendente l’Unione europea e i Paesi EFTA inclusi in tale zona. Le altre attività di hosting e conservazione autorizzate restano limitate al SEE come indicato al punto C.1.

La fornitura può comportare accessi da altri Paesi e il ricorso ad altri sub-responsabili di Microsoft, inclusi soggetti negli Stati Uniti. Tali accessi e trasferimenti devono essere comunicati preventivamente al Titolare e coperti dalle garanzie del Capo V GDPR, incluse, ove applicabili, le clausole contrattuali standard adottate con decisione (UE) 2021/914 e le misure supplementari necessarie.

C.3 Hetzner Online GmbH

Hetzner Online GmbH, Industriestr. 25, 91710 Gunzenhausen, Germania. Contatto: info@hetzner.com.

Le attività autorizzate sono l’hosting dell’applicazione, dei database e degli archivi che contengono i dati dell’Allegato A. L’erogazione ordinaria è limitata al SEE; per i server ubicati nell’Unione europea, anche il trattamento e l’assistenza avvengono nell’Unione europea secondo il DPA v1.2 concluso il 07/09/2026. Gli eventuali servizi separati di backup ed elaborazione forniti da Microsoft sono disciplinati al punto C.2.

C.4 Cloudflare, Inc.

Cloudflare, Inc., 101 Townsend Street, San Francisco, CA 94107, Stati Uniti. Contatto del responsabile della protezione dei dati: legal@cloudflare.com.

Le attività autorizzate sono la distribuzione e la protezione del traffico di rete e la protezione degli accessi al servizio. Sono trattati i dati trasmessi necessari a tali attività, i dati tecnici e di sicurezza e, quando applicabile, i dati utilizzati per controllare gli accessi.

Si applica il DPA v6.4 del 03/04/2026. Cloudflare utilizza una rete globale che può comportare trattamenti al di fuori del SEE, inclusi gli Stati Uniti. Le garanzie applicabili sono le clausole contrattuali standard della decisione (UE) 2021/914, Modulo 3 per i trasferimenti tra responsabili, e le decisioni di adeguatezza ove applicabili, con le misure supplementari necessarie.

C.5 Ulteriori soggetti e verifica delle condizioni

Prima di affidare dati a un fornitore, Valeria verifica che il contratto e le modalità di erogazione consentano di rispettare il presente DPA, compresi i periodi di conservazione e cancellazione. In caso contrario, non affida i dati al servizio interessato.

Valeria comunica preventivamente al Titolare l’identità, l’indirizzo, il contatto, le attività e i Paesi degli ulteriori sub-responsabili coinvolti nel trattamento e mantiene tali informazioni aggiornate e disponibili. Si applicano le autorizzazioni del capitolo 4; la modifica dell’elenco pubblicato da un fornitore non costituisce autorizzazione del Titolare.

Shopify opera nell’ambito del rapporto tra il Negoziante e la propria piattaforma e non è un sub-responsabile nominato da Valeria in base al presente DPA.

Quando il canale è attivato dal Negoziante, Telegram Messenger Inc. riceve i dati necessari alla comunicazione e opera come titolare autonomo per la propria piattaforma, secondo la Privacy Policy di Telegram. Telegram non è un sub-responsabile nominato da Valeria con il presente DPA. La conservazione dei messaggi e degli allegati, compresi audio e immagini, e gli eventuali trasferimenti fuori dal SEE effettuati da Telegram seguono le sue condizioni. Le cancellazioni eseguite nei sistemi di Valeria non comportano la cancellazione delle copie presenti su Telegram.