Data Processing Agreement (DPA)

Cos'è il DPA e perché è obbligatorio

Il Regolamento Generale sulla Protezione dei Dati (GDPR, Reg. UE 2016/679) prevede all'Art. 28(3) che ogni volta in cui un soggetto tratta dati personali per conto di un altro, il rapporto deve essere disciplinato da un accordo formale scritto.

Quando installi EU Returns, i dati personali degli acquirenti del tuo negozio (nome, email, numero ordine) vengono elaborati da EU Returns in qualità di Responsabile del Trattamento, mentre tu — il merchant — rimani il Titolare del Trattamento nei confronti dei tuoi clienti. Il presente DPA regola formalmente questo rapporto ed è obbligatorio per l'utilizzo del servizio in conformità al GDPR.

Accettazione: il DPA entra in vigore con la conferma attiva tramite checkbox nella tua dashboard (Impostazioni → sezione "Data Processing Agreement"). Il timestamp di accettazione viene registrato elettronicamente.

Cosa copre il DPA

• ✓ Oggetto e finalità — elaborazione delle richieste di recesso, invio email di conferma, gestione dashboard
• ✓ Dati trattati e categorie di interessati — nome, email, numero ordine, articoli, motivo (opzionale), timestamp
• ✓ Diritti degli interessati — supporto tecnico all'esercizio dei diritti Art. 15–22 GDPR; webhook Shopify evasi automaticamente
• ✓ Misure di sicurezza (TOMs) — cifratura AES-128-CBC a riposo, TLS in transito, Row Level Security PostgreSQL
• ✓ Sub-responsabili approvati — lista completa con sedi, basi giuridiche per trasferimenti e DPA stipulati
• ✓ Notifica delle violazioni — notifica immediata al Titolare via email con i dettagli previsti dall'Art. 33(3) GDPR
• ✓ Conservazione dei dati — 3 anni dalla data di invio della richiesta; cancellazione automatica
• ✓ Cancellazione alla disinstallazione — eliminazione di tutti i dati entro 30 giorni dalla rimozione dell'app
• ✓ Diritti di audit — diritto di verifica con 30 giorni di preavviso (7 giorni in caso di incidente)
• ✓ Trasferimenti internazionali — garanzie per i trasferimenti verso paesi terzi (SCCs, decisione di adeguatezza)

Dove vengono trattati i dati

EU Returns mantiene l'elaborazione dei dati primari all'interno dell'Unione Europea:

• Hetzner Online GmbH (Norimberga / Falkenstein, Germania) — server di produzione e database PostgreSQL. Nessun trasferimento extra-UE.
• Brevo SAS (Parigi, Francia) — invio email transazionali (conferme recesso, notifiche merchant). Nessun trasferimento extra-UE.
• Shopify Inc. (Canada / Globale) — piattaforma e-commerce, autenticazione OAuth, verifica ordini, webhook GDPR. Trasferimento coperto dalla decisione di adeguatezza della Commissione europea per il Canada (Dec. 2002/2/CE); per accessi API da USA: SCCs.

Come accettare il DPA

1. Vai alla tua Dashboard → Impostazioni
2. Scorri fino alla sezione "Data Processing Agreement"
3. Leggi il documento (link qui sotto), spunta la checkbox e clicca "Accetta"

Il timestamp di accettazione viene registrato e associato al tuo account.

Domande frequenti

È necessaria una firma separata?

No. L'accettazione tramite checkbox nella dashboard costituisce accettazione in forma elettronica ai sensi dell'Art. 28(3) GDPR e dell'Art. 7 CAD (D.Lgs. 82/2005). Il timestamp di accettazione è registrato nei sistemi di EU Returns e costituisce prova documentale.

Sono il Titolare o il Responsabile del trattamento?

Tu (merchant) sei il Titolare del Trattamento per i dati dei tuoi clienti — decidi finalità e mezzi. EU Returns è il Responsabile del Trattamento che elabora quei dati per tuo conto e su tue istruzioni. Questa distinzione è il fondamento del DPA.

Cosa succede se cambiano i sub-responsabili?

EU Returns ti notificherà via email con almeno 14 giorni di anticipo. Se non ti opponi entro 14 giorni dalla notifica, l'aggiornamento si considera approvato. In caso di opposizione motivata, cercheremo un'alternativa; se non è disponibile, entrambe le parti possono recedere con 30 giorni di preavviso.

Il DPA si applica in tutti i Paesi UE?

Sì. Il DPA si applica a tutti i merchant che utilizzano EU Returns nell'Unione Europea, indipendentemente dalla legge nazionale applicabile al merchant. Le disposizioni del GDPR hanno applicazione diretta in tutti gli Stati membri.

Cosa succede ai dati alla disinstallazione dell'app?

EU Returns elimina tutti i dati di recesso associati al tuo negozio entro 30 giorni dalla disinstallazione. Se desideri un'esportazione CSV prima della cancellazione, puoi richiederla dalla dashboard prima di disinstallare.

Documenti correlati: Privacy Policy · Termini di Servizio