# Addendum sul trattamento dei dati > L'Addendum sul trattamento dei dati di Shoprocket, che copre gli obblighi di trattamento dei dati previsti dal GDPR. Ultimo aggiornamento: 26 aprile 2026 Questa è una traduzione fornita per comodità. La [versione inglese](https://v3.shoprocket.io/gdpr.md) è la versione giuridicamente vincolante e prevale in caso di differenze. Il presente Addendum sul trattamento dei dati di Shoprocket ("Addendum") modifica i Termini e condizioni di Shoprocket ("Contratto") tra te ("Tu") e **Shoprocket LTD** (numero di società 12656598, registrata in Inghilterra e Galles al 20-22 Wenlock Road, London, NG 17U). Se hai un SLA separato con Shoprocket, i riferimenti al Contratto indicano tale SLA. Il presente Addendum è soggetto al Contratto e ne costituisce parte integrante. Qualsiasi termine con l'iniziale maiuscola non definito qui ha il significato indicato nel Contratto. --- ## Definizioni - **Impostazioni dell'account**: le configurazioni del tuo Account Shoprocket (compresa la sicurezza) che ti permettono di gestire il modo in cui Shoprocket tratta i Dati personali. - **Finalità commerciali**: i Servizi definiti nel Contratto. - **Dati dell'account del cliente**: i Dati personali relativi al tuo rapporto con Shoprocket (ad esempio contatti autorizzati, dati di fatturazione), oltre alle informazioni che Shoprocket raccoglie per la gestione dell'account, le verifiche di identità o gli obblighi di legge. - **Dati di utilizzo del cliente**: i dati di utilizzo trattati da Shoprocket in relazione al tuo uso dei Servizi (ad esempio log, metriche di prestazione, dati per la prevenzione degli abusi). - **Normativa sulla protezione dei dati**: comprende il CCPA, il GDPR dell'UE, la legge federale svizzera sulla protezione dei dati, il GDPR del Regno Unito, il DPA 2018 e il PECR 2003, ciascuno come aggiornato. I termini (ad esempio "Titolare del trattamento", "Responsabile del trattamento") seguono il GDPR dell'UE. - **SEE**: Spazio economico europeo. - **Clausole contrattuali tipo UE**: le Clausole contrattuali tipo di cui alla Decisione della Commissione 2021/914. - **Trasferimento extra-SEE**: un trasferimento di Dati personali (ai sensi del GDPR dell'UE) al di fuori del SEE in assenza di una decisione di adeguatezza ai sensi dell'articolo 45 del GDPR dell'UE. - **Trasferimento extra-Regno Unito**: un trasferimento di Dati personali (ai sensi del GDPR del Regno Unito) al di fuori del Regno Unito in assenza di una decisione di adeguatezza del Segretario di Stato del Regno Unito. - **Fornitore di servizi**: come definito nel CCPA. - **Servizi**: gli strumenti di Shoprocket per creare e gestire negozi online ("Negozio Shoprocket"), gestire prodotti, pagamenti, spedizioni, marketing e qualsiasi strumento o servizio che Shoprocket possa offrire. - **Account Shoprocket**: il tuo account che dà accesso ai Servizi, comprese le Impostazioni dell'account, su [https://www.shoprocket.io](https://www.shoprocket.io). - **Informativa sulla privacy di Shoprocket**: l'informativa disponibile su [https://shoprocket.io/privacy](https://shoprocket.io/privacy), come aggiornata. - **Negozio Shoprocket**: il tuo sito di ecommerce ospitato o agevolato da Shoprocket. - **Categorie particolari di dati**: come definite agli articoli 4(13), 4(14), 4(15) e 9 del GDPR dell'UE/del Regno Unito (a seconda dei casi). - **Clausole contrattuali tipo (SCC)**: le Clausole contrattuali tipo UE e le Clausole contrattuali tipo del Regno Unito, a seconda dei casi. - **Clausole contrattuali tipo del Regno Unito**: le Clausole contrattuali tipo UE come modificate dall'Addendum IDTA dell'ICO del Regno Unito. - **Noi/Ci/Nostro**: Shoprocket LTD (compresi "Shoprocket" e "Shoprocket.io"). - **Tu/Tuo**: la parte contrattuale indicata nel Contratto. --- ## Istruzioni del cliente Il presente Addendum e il Contratto (comprese le istruzioni nelle tue Impostazioni dell'account) costituiscono le **Istruzioni documentate** su come Shoprocket tratta i Dati personali. Shoprocket tratterà i Dati personali solo secondo le istruzioni. Eventuali istruzioni aggiuntive al di fuori di questi termini richiedono un previo accordo scritto (e possono comportare costi aggiuntivi). Shoprocket può risolvere il presente Addendum e il Contratto se le tue istruzioni violano la Normativa sulla protezione dei dati o si discostano dalle istruzioni concordate. Data la natura del trattamento, Shoprocket di norma non può valutare se le tue istruzioni violino la legge; se ritiene che sia così, te lo comunicherà e potrai modificare o ritirare le istruzioni. --- ## Trattamento dei dati 1. **Trattamento da parte di Shoprocket** - **Responsabile del trattamento/Fornitore di servizi**: fatta eccezione per i Dati dell'account del cliente e i Dati di utilizzo del cliente, Shoprocket tratta i Dati personali (ai sensi del GDPR dell'UE/del Regno Unito) o le informazioni personali (ai sensi del CCPA) per tuo conto. - **Titolare autonomo del trattamento**: Shoprocket è Titolare del trattamento dei Dati personali raccolti direttamente dai clienti del Negozio e dei Dati dell'account del cliente o dei Dati di utilizzo del cliente. 2. **Archiviazione** - I Dati personali sono archiviati su: 1. server AWS in Irlanda (o in altre regioni del SEE), 2. server Hetzner a Norimberga/Falkenstein (Germania). 3. **Ambito e finalità** - Shoprocket tratta i Dati personali solo nella misura necessaria per le Finalità commerciali da te indicate (coerenti con i Servizi acquistati) e nel rispetto della Normativa sulla protezione dei dati. - Se la legge richiede un trattamento diverso, Shoprocket te ne darà notizia, salvo che la legge lo vieti. - Shoprocket dà tempestivamente seguito alle tue istruzioni scritte di modificare, trasferire o eliminare i Dati personali, o di interrompere un trattamento non autorizzato. - Shoprocket mantiene riservati i Dati personali, salvo che la divulgazione sia autorizzata o richiesta dalla legge. - Shoprocket ti assiste nell'adempimento dei tuoi obblighi di conformità (ad esempio richieste degli interessati, DPIA) senza costi aggiuntivi. - Shoprocket ti informa dei cambiamenti normativi che potrebbero incidere sul Contratto o sul presente Addendum. 4. **Shoprocket come Titolare autonomo del trattamento** - Per i Dati dell'account del cliente e i Dati di utilizzo del cliente, Shoprocket non è contitolare del trattamento ma tratta tali dati per gestire il rapporto con te, prevenire frodi e incidenti di sicurezza, adempiere agli obblighi di legge e simili, in conformità all'Informativa sulla privacy di Shoprocket. 5. **CCPA** - Fatta eccezione per i Dati dell'account del cliente e i Dati di utilizzo del cliente, Shoprocket è il tuo Fornitore di servizi ai sensi del CCPA; non "venderà" tali informazioni personali e le userà solo per fornire i Servizi o come altrimenti consentito dalla legge. 6. **Componenti aggiuntivi** - Puoi integrare componenti aggiuntivi di terzi ("Componenti aggiuntivi") in base a EULA separati con ciascun editore. Shoprocket trasferisce all'Editore del Componente aggiuntivo i Dati personali necessari, ma non è responsabile del loro trattamento. I Componenti aggiuntivi attualmente promossi da Shoprocket comprendono: - **Amazon, eBay, Facebook Marketplace, Google Shopping, Instagram Shopping**: evasione degli ordini e sincronizzazione multicanale. - **Affirm, Afterpay, Alipay, Apple Pay, Click to Pay, GrabPay, GooglePay, iDEAL, Klarna, Microsoft Pay, PayPal, P24, Sofort, Stripe, WeChat Pay**: integrazioni di pagamento che supportano vari metodi e valute. - **Zapier**: automatizza i trasferimenti di dati e i flussi di lavoro tra Shoprocket e altre applicazioni. - Se tu e Shoprocket avete concluso delle SCC, la tua istruzione di integrare Componenti aggiuntivi costituisce consenso al trasferimento dei Dati personali a tali Editori di Componenti aggiuntivi, se richiesto dalle SCC. 7. **Le tue responsabilità** - Sei il Titolare del trattamento per tutti i Dati personali raccolti o trattati da Shoprocket per tuo conto. - Sei responsabile del rispetto degli obblighi di informativa e consenso e della conformità alla Normativa sulla protezione dei dati. --- ## Tipi di Dati personali e finalità del trattamento - **Oggetto**: i Dati personali che carichi nei Servizi, compresi il tuo Account Shoprocket o il tuo Negozio. - **Durata**: stabilita da te (fino alla sospensione o alla cessazione del tuo abbonamento Shoprocket o delle integrazioni pertinenti). - **Finalità**: fornire i Servizi secondo le tue istruzioni (ad esempio gestire il tuo Negozio/Account Shoprocket). - **Natura del trattamento**: la piattaforma di ecommerce di Shoprocket (e gli eventuali Sub-responsabili/Editori di Componenti aggiuntivi) può archiviare o trattare Dati personali. - **Tipi di Dati personali**: i dati che carichi (ad esempio informazioni di contatto, dettagli dei clienti, registri delle transazioni). - **Interessati**: tu, i tuoi clienti, dipendenti, collaboratori, agenti, fornitori o venditori. --- ## Sicurezza del trattamento dei dati Shoprocket manterrà misure tecniche e organizzative adeguate per proteggere i Dati personali da trattamenti non autorizzati o illeciti, perdita accidentale o distruzione, in linea con l'**articolo 32** del GDPR dell'UE/del Regno Unito. Le misure comprendono (ove appropriato): - Pseudonimizzazione/cifratura dei dati; - Garanzia di riservatezza, integrità, disponibilità e resilienza dei sistemi; - Ripristino tempestivo della disponibilità dei dati dopo gli incidenti; - Verifica, valutazione e analisi regolari di queste misure. ### Dipendenti di Shoprocket - Shoprocket garantisce che i dipendenti, i collaboratori e gli agenti che trattano Dati personali siano formati, vincolati alla riservatezza e pienamente consapevoli dei propri obblighi in materia di protezione dei dati. ### Sicurezza (ribadita) - Shoprocket aggiorna continuamente le garanzie tecniche e organizzative per prevenire trattamenti non autorizzati, tra cui cifratura, resilienza dei sistemi, ripristinabilità e verifica dell'efficacia. --- ## Violazione dei Dati personali 1. **Notifica** - Shoprocket ti notifica entro **72 ore** (e senza ingiustificato ritardo) se viene a conoscenza di: 1. Perdita/danneggiamento di Dati personali; 2. Qualsiasi trattamento accidentale, non autorizzato o illecito; 3. Una Violazione dei Dati personali. 2. **Informazioni** - Shoprocket fornisce una descrizione dell'incidente, le categorie e il numero dei dati interessati e le misure adottate o proposte per attenuarne l'impatto. 3. **Cooperazione** - Shoprocket coordina con te l'indagine e non informerà terzi senza il tuo consenso scritto, salvo obbligo di legge. 4. **Costi** - Shoprocket si fa carico delle spese ragionevoli per questi obblighi, a meno che l'incidente derivi dalle tue istruzioni, dalla tua negligenza o dalla tua violazione, nel qual caso sostieni tu le spese ragionevoli di Shoprocket (compresi i consulenti professionali). --- ## Sub-responsabili Shoprocket utilizza attualmente i seguenti **Sub-responsabili** per l'hosting/il trattamento dei dati, i servizi di infrastruttura/rete o altre funzioni di servizio: | **Nome** | **Descrizione** | **Sede** | | --- | --- | --- | | **200OK LLC (Profitwell)** | Reportistica/analisi degli abbonamenti. | MA, USA | | **Amazon Web Services EMEA SARL** | Hosting cloud, elaborazione, archiviazione. | Lussemburgo, UE | | **Automattic, Inc. (Gravatar)** | Permette agli utenti di caricare immagini del profilo negli account Shoprocket. | CA, USA | | **Cloudflare, Inc.** | Sicurezza e connettività di rete. | CA, USA | | **Crisp IM SAS** | App di live chat e messaggistica con i clienti per l'assistenza agli utenti. | Francia, UE | | **Facebook Technologies Ireland** | Facebook Pixel per conversioni, ottimizzazione degli annunci e creazione di pubblici. | Irlanda, UE | | **Google Ireland Limited** | Google Analytics (analisi del comportamento), Adwords (posizionamento e monetizzazione degli annunci). | Irlanda, UE | | **GmbH** | Hosting cloud, elaborazione e archiviazione. | Germania, UE | | **TPS Unlimited, Inc. (Taxjar)** | Automazione fiscale per IVA UE e imposta sulle vendite USA sui Negozi Shoprocket. | CA, USA | | **Twilio, Inc. (Sendgrid)** | Messaggistica multicanale (email, SMS, WhatsApp). | Irlanda, UE | | **Twitter, Inc.** | Twitter Pixel per il tracciamento delle conversioni e le metriche sulle prestazioni degli annunci. | CA, USA | Autorizzi Shoprocket a usare i Sub-responsabili sopra indicati e dai un'autorizzazione generale affinché Shoprocket ne aggiunga altri ("Sub-responsabili autorizzati"). Shoprocket darà un preavviso di almeno **30 giorni** (tramite sito web, email o notifica dell'Account) prima di usare un nuovo Sub-responsabile. Puoi opporti entro **10 giorni** dalla notifica, per iscritto, per ragionevoli motivi di protezione dei dati. Se è coinvolto un Sub-responsabile essenziale e non si trova un'alternativa entro **90 giorni**, puoi interrompere o risolvere i Servizi interessati (pagando comunque le somme dovute). Se non ti opponi entro 10 giorni, il nuovo Sub-responsabile si considera approvato. Quando Shoprocket incarica un Sub-responsabile: - Limita l'accesso a quanto strettamente necessario per fornire o migliorare i Servizi; - Gli impone i medesimi obblighi di protezione dei dati; - Rimane responsabile del suo rispetto. Se si applicano le SCC, la tua autorizzazione vale come consenso scritto preventivo ai sensi della Clausola 9(c) o delle clausole pertinenti delle SCC del Regno Unito. Shoprocket può oscurare i dettagli commerciali non essenziali prima di condividere con te i contratti di sub-trattamento. --- ## Trasferimenti di Dati personali Shoprocket può trasferire Dati personali al di fuori del SEE, del Regno Unito o della Svizzera per fornire i Servizi (ad esempio ad alcuni Editori di Componenti aggiuntivi/Sub-responsabili negli Stati Uniti). Quando non si applica alcuna decisione di adeguatezza, Shoprocket garantirà adeguate tutele ai sensi della Normativa sulla protezione dei dati. - **Trasferimenti extra-SEE**: coperti dalle Clausole contrattuali tipo UE (Modulo Uno per Shoprocket come Titolare, Modulo Due per Shoprocket come Responsabile). Alcune clausole (ad esempio il docking della Clausola 7) non si applicano; le controversie sono soggette alla legge e ai tribunali irlandesi. - **Trasferimenti extra-Regno Unito**: coperti dall'Addendum IDTA. - **Trasferimenti dalla Svizzera**: analoghi alle Clausole contrattuali tipo UE, con modifiche per la FADP svizzera. - **Misure supplementari**: - Alla data del presente Addendum non esistono richieste formali di accesso ai dati da parte di governi. - Se Shoprocket è costretta a divulgare i tuoi dati, te lo notificherà (salvo divieto) e ti aiuterà a cercare misure di protezione. - Shoprocket e tu discuterete regolarmente se le leggi del paese importatore offrano una protezione equivalente o richiedano misure aggiuntive. - Se un meccanismo di trasferimento cessa di essere valido o un'Autorità di controllo lo sospende, Shoprocket può adottare soluzioni alternative o sospendere i trasferimenti. Se approvi un Sub-responsabile/Componente aggiuntivo al di fuori del SEE, autorizzi anche Shoprocket a sottoscrivere le SCC per tuo conto. --- ## Reclami, richieste degli interessati e diritti di terzi Shoprocket ti fornirà tempestivamente qualsiasi informazione o assistenza di cui hai bisogno per: 1. Dare seguito ai diritti degli Interessati (accesso, rettifica, cancellazione, portabilità, opposizione, ecc.). 2. Rispondere o conformarsi a comunicazioni di informazione/valutazione delle autorità di controllo. Shoprocket ti informa immediatamente se riceve reclami o comunicazioni sul trattamento, ed entro **14 giorni** se riceve una richiesta di un Interessato. Shoprocket ti assiste nella risposta e non divulgherà Dati personali a terzi salvo obbligo di legge o tue istruzioni. --- ## Durata e cessazione Il presente Addendum resta efficace finché resta efficace il Contratto, o finché Shoprocket conserva Dati personali correlati. Le disposizioni che devono sopravvivere ai fini della protezione dei dati restano in vigore. Qualsiasi violazione sostanziale del presente DPA è una violazione sostanziale del Contratto e ti autorizza a recedere immediatamente senza ulteriori responsabilità. Se modifiche della Normativa sulla protezione dei dati impediscono a una parte di adempiere ai propri obblighi, le parti possono sospendere il trattamento fino al ripristino della conformità. Se il problema non è risolto entro **90 giorni**, ciascuna parte può recedere con effetto immediato previa comunicazione. --- ## Restituzione e distruzione dei dati - **Su richiesta**, Shoprocket ti fornisce (o fornisce a un terzo da te indicato per iscritto) copie dei Dati personali o l'accesso a essi in un formato da te specificato (ove ragionevole). - **Alla cessazione**, Shoprocket restituisce o elimina i Dati personali, salvo che la conservazione continuativa sia richiesta dalla legge. Se l'eliminazione è impraticabile o illegale, Shoprocket blocca ogni ulteriore trattamento e continua a proteggere i dati. - **Certificazioni SCC**: se si applicano le SCC, Shoprocket certificherà l'eliminazione ai sensi della Clausola 8.1(d) delle Clausole contrattuali tipo UE (o delle SCC del Regno Unito) su tua richiesta scritta. - Se una legge o un regolamento impone a Shoprocket di conservare determinati dati, ti comunicherà la base giuridica e i tempi, e poi li eliminerà quando non più richiesti. - Shoprocket certifica l'eliminazione entro **30 giorni** dal suo completamento. --- ## Registri Shoprocket tiene registri dettagliati, accurati e aggiornati di tutti i trattamenti di Dati personali (ad esempio misure di sicurezza, sub-responsabili, finalità del trattamento, eventuali trasferimenti internazionali). Tali registri devono permetterti di verificare la conformità di Shoprocket. Ne vengono fornite copie su richiesta. --- ## Garanzie Shoprocket garantisce che: 1. I suoi dipendenti, subappaltatori o agenti con accesso ai Dati personali sono affidabili, degni di fiducia e adeguatamente formati. 2. Tratterà i Dati personali nel pieno rispetto della Normativa sulla protezione dei dati e delle leggi correlate. 3. Non ha motivo di ritenere che la legge impedisca di fornire i Servizi concordati. 4. Tenuto conto della tecnologia e dei costi, adotterà misure adeguate per prevenire trattamenti non autorizzati o danni/perdite accidentali, garantendo una sicurezza proporzionata al rischio e alla sensibilità dei dati. --- ## Sottoscrizione e modifiche Sottoscrivendo il Contratto, accetti il presente Addendum e ne sei vincolato. Shoprocket può aggiornare il presente Addendum con **30 giorni di preavviso scritto** se necessario per ragioni legali o normative. Se ti opponi e non si raggiunge una soluzione condivisa, puoi risolvere i Servizi interessati con comunicazione scritta entro tale termine (restando dovute le somme maturate). Dalla risoluzione non derivano ulteriori pretese. ## Allegato A **Standard di sicurezza di Shoprocket** (I termini con l'iniziale maiuscola non definiti qui hanno il significato indicato nell'Addendum.) Il presente Allegato descrive le misure tecniche e organizzative di Shoprocket per: 1. Proteggere i Dati personali da perdita, accesso o divulgazione accidentali o illeciti; 2. Individuare i rischi di sicurezza prevedibili e prevenire l'accesso non autorizzato ai Servizi (compreso il tuo account Shoprocket); 3. Ridurre al minimo i rischi di sicurezza mediante valutazione dei rischi e test. Shoprocket designa uno o più dipendenti per supervisionare queste pratiche di sicurezza delle informazioni e rispondere alle richieste correlate. --- ## 1. Modello di responsabilità condivisa Shoprocket è un'applicazione **cloud, SaaS** ospitata da: - **Amazon Web Services (AWS)** nella regione eu-west-1 (Irlanda) - **Hetzner Online** a Falkenstein, Germania **AWS** gestisce la piattaforma principale di Shoprocket, l'infrastruttura e l'hosting dei dati. **Hetzner Online** fornisce spazio server dedicato aggiuntivo per immagini, download digitali, log e fatture. In base a questo modello: - **Shoprocket** gestisce la sicurezza a livello di applicazione (ad esempio accesso degli utenti, patch dell'applicazione). - **AWS / Hetzner** gestiscono la sicurezza fisica e l'ambiente cloud sottostante. Per maggiori dettagli sulla sicurezza di AWS e Hetzner, consulta le rispettive documentazioni. --- ## 2. Server AWS e Hetzner Online ### AWS Shoprocket ha scelto AWS dopo un'attenta valutazione ai sensi degli articoli 28(3)(c) e 32 del GDPR del Regno Unito. AWS è certificata secondo numerosi standard (ad esempio SOC 1/2/3, ISO 27001/27017/27018, PCI DSS, FedRAMP, HITRUST) e fornisce un'ampia documentazione di conformità. Shoprocket configura AWS in modo da archiviare i Dati personali solo nell'UE/SEE. ### Hetzner Online Hetzner Online, certificata DIN ISO/IEC 27001, fornisce spazio server dedicato per alcuni backup e log dei dati. I data center di Hetzner Online a Norimberga e Falkenstein sono sottoposti ad audit e certificati da terzi e implementano un Sistema di gestione della sicurezza delle informazioni (ISMS). --- ## 3. Progettazione, integrità e disponibilità dell'applicazione Shoprocket - **Architettura**: realizzata con un framework JavaScript, l'applicazione Shoprocket si basa su Amazon Relational Database Service (Amazon RDS) per MySQL. - **Alte prestazioni e ridondanza**: AWS gestisce automaticamente il bilanciamento del carico e Shoprocket mantiene backup giornalieri su Amazon S3. I backup sono archiviati in regioni AWS diverse per garantire resilienza. Inoltre, i backup sono archiviati sui server dedicati di Hetzner Online (con sistemi a dischi RAID-1). - **Sicurezza fin dalla progettazione**: Shoprocket verifica regolarmente le vulnerabilità web note (ad esempio OWASP Top Ten) e implementa protezione XSS e sanificazione. Ogni anno uno specialista terzo testa il codice e l'infrastruttura alla ricerca di vulnerabilità, con il supporto di un servizio terzo di scansione delle vulnerabilità. --- ## 4. Cifratura - **A riposo**: i Dati personali su AWS/Hetzner sono cifrati con **AES-256** o superiore. - **Gestione delle chiavi**: AWS Key Management Service (KMS) garantisce che nessuno (compreso il personale AWS) possa accedere alle chiavi in chiaro; le chiavi ruotano ogni anno. Hetzner implementa la cifratura completa del disco AES-256 e un'autenticazione obbligatoria. - **In transito**: tutti i trasferimenti di dati esterni usano **TLS 1.2+**. Le API e le interfacce web richiedono HTTPS (nessuna connessione non cifrata). --- ## 5. Limitazione delle sedi dei server al SEE/UE Shoprocket archivia i dati **esclusivamente nel SEE** (AWS in Irlanda, Hetzner in Germania), riducendo al minimo i rischi legati ai trasferimenti di dati extra-SEE (ad esempio la conformità alla sentenza Schrems II). --- ## 6. Zone di disponibilità I sistemi front-end/back-end di Shoprocket sono **distribuiti in modo ridondante** su più zone di disponibilità (sia AWS sia Hetzner). Ogni zona dispone di più ISP, fonti di alimentazione e collegamenti ad alta velocità, per garantire alta disponibilità e prestazioni ottimali. --- ## 7. Rilevamento delle intrusioni Shoprocket usa un **Sistema di rilevamento delle intrusioni (IDS)** per monitorare: - I file di log alla ricerca di voci insolite, - Le modifiche all'integrità dei file, - Il traffico di rete (spoofing, exploit noti, rootkit), - Le modifiche alle porte, - Gli eventi dell'account AWS (ad esempio modifiche alla configurazione). Le anomalie critiche attivano automaticamente misure preventive. L'IDS supporta inoltre i requisiti PCI DSS 3.0. --- ## 8. Registrazione / Audit trail Shoprocket registra: - Eventi di sistema, - Errori, - Attività degli utenti, - Accessi e richieste al database, - Altri eventi legati alla sicurezza. Con **AWS CloudTrail**, Shoprocket registra tutti gli eventi nei propri ambienti cloud a fini di trasparenza e indagine forense. --- ## 9. Monitoraggio Shoprocket impiega diversi **strumenti di monitoraggio** per garantire disponibilità e prestazioni, tracciando: - **Disponibilità**: accessibilità dell'applicazione, stato di salute del backend/del sistema; - **Risorse**: CPU, interfacce di rete, utilizzo dello spazio di archiviazione; - **Prestazioni**: tempi di risposta dell'applicazione/del database; - **Sicurezza**: stato dell'IDS, aggiornamenti di sistema, log di errori/accessi. Il personale di Shoprocket monitora inoltre gli aggiornamenti di sicurezza, i report sulle vulnerabilità e i blog di sicurezza rilevanti (come OWASP). --- ## 10. Audit di sicurezza e penetration test Shoprocket svolge periodicamente **test di sicurezza interni ed esterni**. I fornitori esterni verificano le vulnerabilità, mentre gli audit interni valutano l'efficacia delle misure tecniche e organizzative. --- ## 11. Gestione delle modifiche Shoprocket mantiene **repository** con controllo di versione per le modifiche al codice, con un ambiente di staging che replica la produzione. Le modifiche vengono testate prima della distribuzione, garantendo la tracciabilità di tempi e contenuti. --- ## 12. Controllo degli accessi - **Principio del need-to-know**: l'accesso ai sistemi è concesso solo ai dipendenti il cui ruolo lo richiede. - **Sistemi IAM**: il controllo degli accessi usa la gestione delle identità di AWS/Hetzner. - **Sicurezza**: i sistemi di backend sono accessibili solo tramite connessioni sicure e autenticate. Un numero molto limitato di persone ha accesso diretto ai dati a fini diagnostici; tale accesso è registrato e monitorato. ## Allegato B **Trasferimenti transfrontalieri** ## PARTE 1 - Trasferimenti extra-SEE 1. **Allegato I.A delle Clausole contrattuali tipo (SCC)** - **Esportatore dei dati**: Tu (ai sensi del Contratto). - Recapiti: come nel Contratto. - Ruolo: Titolare del trattamento. - **Modulo Uno**: l'Importatore dei dati è un Titolare del trattamento (per i Dati dell'account del cliente e i Dati di utilizzo del cliente). - **Modulo Due**: l'Importatore dei dati è un Responsabile del trattamento (per tutti gli altri Dati personali). - Firma/Data: stipulando il Contratto e il DPA, l'Esportatore dei dati si considera aver firmato le SCC alla Data di efficacia. - **Importatore dei dati**: Shoprocket. - Recapiti: come nel Contratto. - Firma/Data: stipulando il Contratto e il DPA, l'Importatore dei dati si considera aver firmato le SCC alla Data di efficacia. 2. **Allegato I.B delle SCC** - Interessati: descritti nella clausola 4.6 dell'Addendum. - Categorie di Dati personali: descritte nella clausola 4.5 dell'Addendum. - Non è previsto il trasferimento di Categorie particolari di dati. - Frequenza: continuativa per tutta la durata del Contratto. - Natura: vedi clausola 4.4 dell'Addendum. - Finalità: vedi clausola 4.3 dell'Addendum. - Conservazione: per la durata del Contratto, salvo diversa indicazione. - Trasferimenti ai Sub-responsabili: oggetto, natura e durata secondo la clausola 9 dell'Addendum. 3. **Allegato I.C delle SCC** - Autorità di controllo competente: come nella clausola 10(e) dell'Addendum. - Gli **Standard di sicurezza di Shoprocket (Allegato A)** soddisfano i requisiti dell'Allegato II delle SCC. 4. **Conflitto** - In caso di conflitto tra le SCC e il DPA o il Contratto, prevalgono le SCC. --- ## PARTE 2 - Trasferimenti extra-Regno Unito 1. L'**Addendum IDTA** si applica ai Trasferimenti extra-Regno Unito, con efficacia dal **21 marzo 2022**. 2. I termini non definiti nel Contratto o nel DPA hanno il significato indicato nella **Parte 2 dell'Allegato 2** (Clausole obbligatorie). ### Parte 1: Tabelle ### Tabella 1 dell'Addendum IDTA 1. **Tabella 1** - **Esportatore dei dati**: Tu (ai sensi del Contratto). - Recapiti: come nel Contratto. - Firma/Data: stipulando il Contratto e l'Addendum, l'Esportatore si considera aver firmato l'Addendum IDTA alla Data di efficacia. - **Importatore dei dati**: Shoprocket. - Recapiti: come nel Contratto. - Firma/Data: stipulando il Contratto e il DPA, l'Importatore si considera aver firmato l'Addendum IDTA alla Data di efficacia. ### Tabella 2 dell'Addendum IDTA 1. **Tabella 2** - **SCC UE approvate**: le clausole/i moduli delle SCC UE approvate in vigore per il presente Addendum. - Moduli/clausole utilizzati: - Modulo 1 e Modulo 2, la Clausola 7 e la Clausola 11 (opzione) non si applicano, la Clausola 9a è un'Autorizzazione generale con un preavviso di 30 giorni (clausola 9.2 dell'Addendum). - Nessuna combinazione dei Dati personali dell'Importatore con i dati dell'Esportatore. ### Tabella 3 dell'Addendum IDTA 1. **Allegato I.A** - **Esportatore dei dati**: Tu (titolare del trattamento). - **Importatore dei dati**: Shoprocket (titolare del trattamento per i Dati dell'account/di utilizzo del cliente; responsabile del trattamento per gli altri Dati personali). - Firma/Data: si considera firmato con la stipula del Contratto e del DPA. 2. **Allegato I.B** - Interessati, categorie di dati, assenza di Categorie particolari di dati, trasferimenti continuativi, natura/finalità del trattamento e conservazione corrispondono alle clausole 4.4, 4.3, 4.5, 4.6 dell'Addendum. - Le informazioni sui Sub-responsabili sono conformi alla clausola 9 dell'Addendum. - L'Allegato III (elenco dei Sub-responsabili) non si applica, poiché Shoprocket si avvale di un'autorizzazione generale. ### Tabella 4 dell'Addendum IDTA 1. L'Importatore può porre fine al presente Addendum IDTA ai sensi della clausola 26 dello stesso. ### Parte 2: Clausole obbligatorie 1. Ciascuna Parte è vincolata dai termini del presente Addendum IDTA in cambio dell'accordo dell'altra Parte, consentendo agli interessati di far valere i propri diritti come indicato. 2. La stipula del presente Addendum IDTA equivale alla firma delle SCC UE approvate (compresa qualsiasi firma richiesta ai sensi dell'Allegato 1A/Clausola 7). ### Interpretazione 1. I termini delle SCC UE approvate mantengono qui lo stesso significato; ulteriori termini pertinenti (ad esempio "SCC UE dell'Addendum", "Addendum approvato", "Leggi del Regno Unito sulla protezione dei dati") sono definiti all'interno del presente Addendum IDTA. 2. Il presente Addendum IDTA deve essere interpretato in modo coerente con le Leggi del Regno Unito sulla protezione dei dati e deve soddisfare le "Garanzie adeguate". 3. Qualsiasi modifica alle SCC UE approvate non consentita da esse o dall'Addendum approvato è nulla. Le disposizioni in conflitto tornano ai termini non modificati delle SCC. 4. In caso di conflitto con le Leggi del Regno Unito sulla protezione dei dati, prevalgono queste ultime. 5. Qualsiasi ambiguità è risolta nel modo che meglio si allinea alle Leggi del Regno Unito sulla protezione dei dati. 6. I riferimenti alla legislazione comprendono le versioni riviste o consolidate. ### Gerarchia 1. La Clausola 5 delle SCC UE approvate stabilisce che esse prevalgono su altri accordi, ma per i Trasferimenti soggetti a restrizioni si applica la gerarchia di cui alla Sezione 17 qui sotto. 2. In caso di incoerenza o conflitto con le SCC UE approvate, l'Addendum approvato prevale, salvo quando le SCC offrono una **maggiore protezione** agli interessati, nel qual caso prevalgono i termini delle SCC. 3. Nulla qui contenuto incide sulle SCC che le parti utilizzano per la conformità al GDPR dell'UE. ### Incorporazione e modifiche delle SCC UE 1. L'Addendum IDTA incorpora le SCC UE approvate con le modifiche necessarie affinché funzionino per i trasferimenti collegati al Regno Unito, prevalgano sulla gerarchia della Clausola 5 e siano disciplinate dalla **legge e dai tribunali inglesi** (salvo diversa scelta per Scozia o Irlanda del Nord). 2. Se non è concordata alcuna alternativa specifica, si applica la Sezione 22. 3. Non sono consentite ulteriori modifiche alle SCC UE approvate oltre a quelle necessarie ai sensi della Sezione 19. 4. Le **modifiche** alle SCC UE dell'Addendum comprendono chiarimenti sui riferimenti alle Leggi del Regno Unito sulla protezione dei dati, la sostituzione dei riferimenti al Regolamento (UE) 2016/679 con "Leggi del Regno Unito sulla protezione dei dati", la rimozione dei riferimenti al Regolamento (UE) 2018/1725, l'adeguamento delle Clausole 17/18 alla legge e ai tribunali inglesi, ecc. Le note a piè di pagina non fanno parte dell'IDTA, tranne le note 8, 9, 10, 11. ### Modifiche al presente IDTA 1. Le parti possono modificare le Clausole 17 o 18 per fare riferimento ai tribunali scozzesi o nordirlandesi. 2. Le parti possono inoltre adeguare il formato delle Tabelle con accordo scritto reciproco, garantendo il mantenimento dello stesso livello di protezione. 3. L'ICO può emettere di volta in volta un Addendum approvato rivisto, che modifica automaticamente il presente Addendum IDTA dalla data di efficacia, richiedendo eventualmente una revisione da parte delle parti. 4. Se le modifiche dell'ICO aumentano in modo sostanziale e sproporzionato i costi o i rischi di una parte e non è possibile ridurre tali costi/rischi, tale parte può porre fine al presente IDTA con ragionevole preavviso all'altra parte prima che l'Addendum rivisto entri in vigore. 5. Non è richiesto il consenso di alcun terzo per le modifiche, ma le modifiche devono rispettare i termini del presente Addendum IDTA. --- - HTML version: https://v3.shoprocket.io/it/gdpr - Language: Italiano (it) - Also in: [العربية](https://v3.shoprocket.io/ar/gdpr.md), [Deutsch](https://v3.shoprocket.io/de/dsgvo.md), [Ελληνικά](https://v3.shoprocket.io/el/gdpr.md), [English](https://v3.shoprocket.io/gdpr.md), [Español](https://v3.shoprocket.io/es/rgpd.md), [Français](https://v3.shoprocket.io/fr/rgpd.md), [עברית](https://v3.shoprocket.io/he/gdpr.md), [हिन्दी](https://v3.shoprocket.io/hi/gdpr.md), [Bahasa Indonesia](https://v3.shoprocket.io/id/gdpr.md), [日本語](https://v3.shoprocket.io/ja/gdpr.md), [Lietuvių](https://v3.shoprocket.io/lt/bdar.md), [Norsk](https://v3.shoprocket.io/nb/gdpr.md), [Nederlands](https://v3.shoprocket.io/nl/avg.md), [Polski](https://v3.shoprocket.io/pl/rodo.md), [Português](https://v3.shoprocket.io/pt/rgpd.md), [Română](https://v3.shoprocket.io/ro/gdpr.md), [Русский](https://v3.shoprocket.io/ru/gdpr.md), [ไทย](https://v3.shoprocket.io/th/gdpr.md), [Türkçe](https://v3.shoprocket.io/tr/gdpr.md), [中文](https://v3.shoprocket.io/zh/gdpr.md)