Note legali · per i negozi

Accordo sul trattamento dei dati

Ultimo aggiornamento: 27 ottobre 2026

Questo accordo ai sensi dell’art. 28 del Regolamento (UE) 2016/679 («GDPR») segue la struttura delle clausole contrattuali tipo adottate dalla Commissione europea con la decisione di esecuzione (UE) 2021/915. Fa parte del contratto di servizio per i negozi e vale per tutta la sua durata.

1. Le parti

  • Titolare del trattamento: il negozio che usa GroceryAI («il negozio»), per i dati dei propri clienti.
  • Responsabile del trattamento: Aequus Ventures SRL, Via Londra 14/B, 07026 Olbia (SS), Italia, Partita IVA 03075070908 («Aequus»). Contatto per la protezione dei dati: hello@groceryai.ai.

2. Che cosa tratta Aequus, e perché

  • Finalità: rispondere ai clienti del negozio su WhatsApp e sulla chat del sito del negozio, comporre il carrello, trasmettere l'ordine al negozio, passare al negozio le richieste di assistenza, mostrare al negozio le conversazioni nel portale e controllarne la qualità.
  • Interessati: i clienti del negozio che gli scrivono attraverso GroceryAI.
  • Dati: numero di telefono e nome del profilo WhatsApp (per la chat sul sito, l’identificativo della sessione di chat); i messaggi, comprese foto e messaggi vocali; il carrello, gli ordini e i dati che il cliente dà per completarli (per esempio indirizzo e fascia di consegna).
  • Categorie particolari (art. 9 GDPR): l’assistente non le chiede e il servizio non è pensato per trattarle. Se un cliente le scrive di sua iniziativa (per esempio un’allergia o un’intolleranza), Aequus le tratta solo per rispondere a quella richiesta, come il resto della conversazione, senza usarle per altri fini né conservarle a parte. Le scelte del titolare su questi dati, compresa l’informativa ai clienti, spettano al negozio.
  • Natura: raccolta, conservazione, consultazione, elaborazione con un modello di intelligenza artificiale, trasmissione al negozio, cancellazione.
  • Durata: per tutta la durata del contratto, poi fino alla cancellazione descritta al punto 10.

3. Istruzioni del negozio

Aequus tratta i dati solo su istruzione documentata del negozio, anche per i trasferimenti verso paesi terzi (art. 28.3.a GDPR): il contratto, questo accordo e le scelte che il negozio fa nel portale (per esempio dove ricevere gli ordini) sono le sue istruzioni. Aequus non usa i dati per fini propri, non li vende e non li usa per addestrare modelli di intelligenza artificiale. Se un’istruzione viola, secondo Aequus, il GDPR o un’altra norma sulla protezione dei dati, Aequus lo dice subito al negozio. Resta salvo il trattamento che la legge impone ad Aequus; in quel caso Aequus lo comunica al negozio prima, se la legge non lo vieta.

4. Riservatezza

Aequus permette di trattare i dati solo alle persone che ne hanno bisogno per fornire il servizio, tenute alla riservatezza per contratto o per legge.

5. Sicurezza

Aequus adotta le misure tecniche e organizzative dell’art. 32 GDPR. Quelle in essere oggi sono queste (allegato II); sono descritte anche nella pagina sicurezza, che aggiorniamo quando cambiano. Aequus può cambiarle solo se il livello di protezione non diminuisce.

  • Cifratura in transito: Sito, portale e servizio rispondono solo in HTTPS, con HSTS (il browser non torna mai in chiaro).
  • Cifratura a riposo: Il database è cifrato a riposo dal fornitore (Supabase, AES-256).
  • Separazione fra negozi: Ogni tabella del servizio ha regole d'accesso per riga (Row Level Security): i dati di un negozio non si leggono dalle porte di un altro negozio.
  • Accesso al portale: Accesso con un link o un codice via email, oppure con la password; verifica in due passaggi disponibile per tutti e obbligatoria quando il negozio la richiede; sessione in un cookie che i programmi della pagina non possono leggere; ruoli (titolare, amministratore, tecnico, operatore, solo lettura) con permessi diversi.
  • Chiavi API: Mostrate una volta sola; conserviamo solo la loro impronta (hash). Si possono far scadere e ruotare senza interruzioni.
  • Webhook firmati: Gli ordini e le richieste di assistenza mandati al gestionale del negozio sono firmati con HMAC-SHA256, con il segreto dell'indirizzo che li riceve e l'istante della firma.
  • Limiti di richieste: Le porte del servizio hanno limiti di richieste al minuto: oltre il limite rifiutano la richiesta (429).
  • Registro delle attività: Ogni operazione nel portale (chi, che cosa, quando, con quale esito) finisce in un registro che le applicazioni del servizio non possono modificare né cancellare; titolare e amministratore lo leggono e lo scaricano.
  • Dati mascherati: Nel portale le conversazioni dei clienti si leggono con i dati personali nascosti.
  • Copie di sicurezza: Il database ha una copia giornaliera, tenuta dal fornitore per 7 giorni.
  • Pagine del portale protette: Il portale carica solo i propri script (Content Security Policy) e non si apre dentro altre pagine.

6. Sub-responsabili

Il negozio autorizza in generale Aequus ad avvalersi di sub-responsabili. Quelli in uso oggi sono nell’allegato III e nella pagina dei sub-responsabili. Aequus avvisa il negozio per email almeno 30 giorni prima di aggiungerne o sostituirne uno; il negozio può opporsi per motivi legati alla protezione dei dati e, se le parti non trovano una soluzione, recedere dal contratto senza penali. Aequus impone a ogni sub-responsabile, per contratto, gli stessi obblighi di protezione dei dati di questo accordo (art. 28.4 GDPR) e conserva verso il negozio l’intera responsabilità del loro adempimento.

7. Trasferimenti fuori dallo Spazio economico europeo

Alcuni sub-responsabili trattano dati fuori dallo Spazio economico europeo (allegato III). Con questo accordo il negozio dà istruzione ad Aequus di trasferire i dati a quei sub-responsabili, per la sola parte del servizio che spetta a ciascuno. Ogni trasferimento avviene con uno strumento del capo V del GDPR: le clausole contrattuali tipo della decisione di esecuzione (UE) 2021/914 o una decisione di adeguatezza, come il Data Privacy Framework UE-USA per i fornitori che vi aderiscono. Su richiesta Aequus dà al negozio copia delle garanzie applicabili.

8. Assistenza al negozio

  • Richieste degli interessati: se un cliente scrive ad Aequus per esercitare un suo diritto, Aequus la inoltra al negozio entro 5 giorni lavorativi e lo aiuta a rispondere; la cancellazione chiesta dal cliente la esegue come descritto nella pagina sull’eliminazione dei dati.
  • Valutazioni d’impatto e consultazioni del Garante: Aequus dà al negozio le informazioni che ha sul trattamento.
  • Aequus informa il negozio se le misure del punto 5 non bastano più a proteggere i dati.

9. Violazioni dei dati

Se scopre una violazione dei dati del negozio, Aequus la notifica al negozio senza ingiustificato ritardo e comunque entro 48 ore dalla scoperta, all’indirizzo email del titolare del negozio. La notifica dice, per quanto noto: la natura della violazione, le categorie e il numero approssimativo di interessati e di dati, le conseguenze probabili, le misure prese o proposte, e un contatto. Le informazioni che non sono ancora note si danno appena lo sono. Aequus aiuta il negozio a notificare il Garante e, se serve, gli interessati.

10. Fine del contratto: restituzione e cancellazione

Alla fine del contratto, o quando il negozio chiude il suo account dal portale, il negozio sceglie se Aequus gli debba restituire i dati o cancellarli (art. 28.3.g GDPR), e ha 30 giorni per farlo. In quel periodo può scaricare i dati del negozio dal portale e chiedere per email la copia delle conversazioni dei suoi clienti, che Aequus gli consegna entro 15 giorni dalla richiesta in un formato leggibile da un computer. Alla fine dei 30 giorni, o prima se il negozio lo chiede, Aequus cancella i dati del negozio e dei suoi clienti e le copie esistenti; dei registri tecnici restano solo dati anonimi (orari, tempi, costi), senza testi né identificativi. Le copie di sicurezza giornaliere si sovrascrivono entro 7 giorni. Restano solo i dati che il diritto dell’Unione o italiano obbliga Aequus a conservare.

11. Verifiche

Aequus mette a disposizione del negozio le informazioni necessarie a dimostrare il rispetto di questo accordo. Il negozio, o un revisore da lui incaricato e tenuto alla riservatezza, può fare una verifica all’anno, con almeno 30 giorni di preavviso, in orario di lavoro e senza accedere ai dati di altri negozi; ulteriori verifiche sono possibili se vi sono indicazioni di inosservanza di questo accordo, dopo una violazione dei dati o su richiesta di un’autorità. Ciascuna parte sostiene i propri costi.

12. Disposizioni finali

Aequus avvisa subito il negozio se, per qualunque motivo, non può rispettare questo accordo. Se Aequus lo viola, il negozio può chiedergli di sospendere il trattamento finché non lo rispetta e, se la violazione è grave o non cessa entro 30 giorni, recedere dal contratto senza penali. In caso di contrasto con il contratto di servizio, su ciò che riguarda la protezione dei dati prevale questo accordo. La responsabilità delle parti segue l’art. 82 GDPR e il contratto di servizio. L’accordo è regolato dalla legge italiana.

Allegato I · Le parti

Il negozio, come identificato nel contratto o nell’offerta accettata; Aequus Ventures SRL, Via Londra 14/B, 07026 Olbia (SS), Italia, Partita IVA 03075070908, contatto hello@groceryai.ai.

Allegato II · Misure tecniche e organizzative

Le misure del punto 5 e quelle organizzative della pagina sicurezza.

Allegato III · Sub-responsabili

  • Supabase

    Che cosa fa:
    Database, accesso al portale e funzioni del servizio.
    Quali dati:
    Tutti i dati del servizio: catalogo, conversazioni, carrelli e ordini dei clienti dei negozi, account del portale, registri.
    Dove:
    Database nella regione eu-north-1, a Stoccolma (Svezia, UE). Le funzioni girano nella regione più vicina a chi le chiama; il portale le chiede a Francoforte (eu-central-1).
    Garanzie:
    Accordo sul trattamento dei dati con le clausole contrattuali tipo.

  • OpenAI

    Che cosa fa:
    Il modello che legge la conversazione e scrive le risposte.
    Quali dati:
    I messaggi della conversazione (anche foto e messaggi vocali) e i dati del catalogo che servono alla risposta. Non sono usati per addestrare i modelli.
    Dove:
    Stati Uniti. Le richieste dell'assistente partono senza conservazione dello stato (store: false); i registri per il controllo degli abusi restano al massimo 30 giorni.
    Garanzie:
    Accordo sul trattamento dei dati con le clausole contrattuali tipo.

  • Meta Platforms (WhatsApp Business Platform, Cloud API)

    Che cosa fa:
    Recapita i messaggi WhatsApp fra il negozio e i suoi clienti.
    Quali dati:
    Numero di telefono, nome del profilo WhatsApp, messaggi.
    Dove:
    Centri dati di Meta; conserva i messaggi al massimo 30 giorni.
    Garanzie:
    Meta agisce come responsabile del trattamento; per i trasferimenti, l'addendum di WhatsApp per la regione europea.

  • Vercel

    Che cosa fa:
    Ospita il sito e il portale dei negozi.
    Quali dati:
    Le pagine del portale che le persone del negozio aprono (conversazioni mascherate comprese) e i dati della sessione.
    Dove:
    Funzioni del server a Francoforte (Germania), pagine dalla sua rete mondiale; sede principale del trattamento negli Stati Uniti.
    Garanzie:
    Clausole contrattuali tipo (decisione 2021/914).

  • Cloudflare

    Che cosa fa:
    Il traffico verso groceryai.ai (sito e portale) passa dalla sua rete, che lo protegge e lo instrada.
    Quali dati:
    Indirizzi IP e traffico del sito e del portale.
    Dove:
    Rete mondiale, anche fuori dallo Spazio economico europeo.
    Garanzie:
    Accordo sul trattamento dei dati con le clausole contrattuali tipo; adesione al Data Privacy Framework UE-USA.

  • Resend

    Che cosa fa:
    Invia le email del servizio: i codici e i link per accedere al portale e, per i negozi che lo scelgono, gli ordini per email.
    Quali dati:
    Indirizzo email del destinatario; per gli ordini, i dati dell'ordine e della consegna.
    Dove:
    Stati Uniti (infrastruttura di Amazon Web Services).
    Garanzie:
    Clausole contrattuali tipo (decisione 2021/914); adesione al Data Privacy Framework UE-USA.

  • n8n

    Che cosa fa:
    Automazioni del servizio: il canale WhatsApp dei negozi collegati tramite n8n (oggi il primo negozio) e il controllo quotidiano della qualità delle conversazioni.
    Quali dati:
    Messaggi e conversazioni di quei negozi.
    Dove:
    Francoforte (Germania).
    Garanzie:
    Accordo sul trattamento dei dati.

  • Google (Google Workspace)

    Che cosa fa:
    Posta (Gmail) e videochiamate (Google Meet) di Aequus Ventures; il foglio del controllo quotidiano della qualità (Google Sheets).
    Quali dati:
    Le email scambiate con i negozi; nel foglio del controllo di qualità, brevi estratti delle conversazioni del primo negozio.
    Dove:
    Stati Uniti e rete mondiale di Google.
    Garanzie:
    Clausole contrattuali tipo.