Accordo sul Trattamento dei Dati (DPA)

Traduzione di cortesia. La versione giuridicamente vincolante quanto al merito del presente DPA è la versione in inglese pubblicata su gethokku.com/dpa. In caso di divergenza sostanziale tra questa versione in italiano e la versione in inglese, prevale la versione in inglese, con l’eccezione documentata nella clausola §13.3.

Riassunti in linguaggio chiaro appaiono in corsivo lungo il documento, per facilitare la lettura. Non hanno valore contrattuale. Solo i paragrafi numerati vincolano le parti.

Il presente Accordo sul Trattamento dei Dati (il “DPA”) integra i Termini di Hokku e regola il modo in cui H-MOON Digital (il “Responsabile del trattamento”) tratta i dati personali per conto del commerciante Shopify (il “Titolare del trattamento”, “Commerciante”) all’interno dell’app Hokku.

Installando o utilizzando Hokku, il Commerciante accetta il presente DPA. Non è richiesta una sottoscrizione separata.

Dove si colloca questo DPA. Hokku è distribuita tramite la Shopify App Store. Shopify agisce come responsabile del trattamento distinto dal Commerciante, sotto lo Shopify Data Processing Addendum, che copre tutto ciò che Shopify tratta direttamente. Il presente DPA copre solo ciò che H-MOON Digital tratta direttamente all’interno dell’app Hokku — una relazione di trattamento distinta da quella di Shopify. I dati raccolti sul sito di marketing gethokku.com sono coperti separatamente nella Politica sulla privacy.

1. Ruoli e ambito

In sintesi: il tuo negozio è il titolare del trattamento. Hokku è il responsabile che agisce secondo le tue istruzioni.

1.1. Il Commerciante agisce come Titolare del trattamento dei dati personali relativi alla propria clientela, ai propri prospect, al proprio personale e all’attività a livello di negozio, inclusi i dati che arrivano a Hokku tramite il negozio e l’admin Shopify.

1.2. H-MOON Digital agisce come Responsabile del trattamento dei dati personali che il Commerciante invia o genera tramite Hokku, trattandoli unicamente seguendo le istruzioni documentate del Titolare, materializzate nei Termini di Hokku, nel presente DPA e nell’interfaccia utente di Hokku.

1.3. Ambito. Il presente DPA si applica al trattamento effettuato da H-MOON Digital all’interno dell’app Hokku e della sua infrastruttura di supporto. Non si applica (a) al trattamento effettuato da Shopify sotto il DPA Shopify, (b) al trattamento effettuato sul sito di marketing gethokku.com, né (c) al trattamento effettuato dal Commerciante al di fuori di Hokku.

2. Categorie di dati personali e di interessati

In sintesi: il minimo necessario perché Hokku funzioni nel tuo negozio. Niente dati pubblicitari. Niente tracciamento oltre l’indispensabile.

2.1. Categorie di interessati.

• La clientela e i prospect del Commerciante (utenti finali del negozio).

• Il personale e i collaboratori del Commerciante con accesso all’admin Hokku.

• Il Commerciante stesso, quando è lavoratore autonomo individuale.

  2.2. Categorie di dati personali trattati all’interno di Hokku.

• Lato cliente (negozio del Commerciante): identificatori pseudonimi (token del carrello Shopify), riferimenti di prodotti visti o aggiunti al carrello, URL della pagina su cui è visualizzato un widget Hokku. Non viene trattato alcun campo identificativo della clientela — né nome, né indirizzo email, né numero di telefono, né indirizzo di fatturazione o di spedizione, né identificatore del cliente. Niente tracciamento di terze parti, niente identificatori pubblicitari, niente elaborazione di profili comportamentali.

• Lato ordine (post-acquisto): identificatore dell’ordine, data di creazione, valuta, totale dell’ordine, totale degli sconti, totale delle imposte, contrassegno di test e canale di origine; per ogni riga: identificatore di riga, identificatore del prodotto, identificatore della variante, quantità e prezzo; righe di spedizione — solo il loro prezzo, per rilevare la spedizione gratuita; codici sconto applicati e il loro valore. Utilizzato per attribuire l’incremento di ricavi a offerte Hokku specifiche (analisi avanzate — dal piano Starter in su) e per contare il volume mensile di ordini che determina il piano di abbonamento. Non vengono letti né il corriere, né l’indirizzo di spedizione, né i tempi di consegna.

• Lato commerciante (admin): URL del negozio Shopify, indirizzo email del proprietario del negozio, identificatori degli utenti admin Hokku, indirizzo IP e user agent per i log di sicurezza.

  2.3. Categorie di dati che esplicitamente NON sono trattate.

• Nomi, indirizzi email, numeri di telefono e indirizzi di fatturazione o di spedizione della clientela — mai; le query di Hokku alla Shopify Admin API non selezionano l’oggetto cliente, e i webhook d’ordine sono analizzati senza leggere alcun campo identificativo della clientela.

• Dati di carta di pagamento — mai (Shopify Billing gestisce tutto il trattamento dei pagamenti delle tariffe di abbonamento Hokku).

• Password o credenziali della clientela — mai.

• Dati sanitari, dati biometrici, dati religiosi, politici o di orientamento sessuale — mai; se tali dati venissero inviati inavvertitamente da un Commerciante tramite campi personalizzati Hokku, il Commerciante è l’unico responsabile.

  2.4. Misurazione del pubblico sul negozio del Commerciante.

Hokku registra un identificatore tecnico nel browser di chi visita il negozio del Commerciante, allo scopo di contare le visualizzazioni e i clic sulle offerte senza contare due volte la stessa persona, e di collegare una vendita all’offerta che l’ha innescata. Tale identificatore è proprio del negozio del Commerciante, non contiene alcun dato personale (né nome, né indirizzo email, né indirizzo IP) ed è rinnovato dopo tredici (13) mesi.

Sulle righe grezze di visualizzazioni e clic, l’identificatore di visitatore è cancellato dopo ventiquattro (24) ore da un processo giornaliero — la sua utilità applicativa dura trenta minuti.

Ciò che viene conservato sulle righe di conversione è l’identificatore dell’ordine, per necessità: è la chiave con cui H-MOON Digital onora una richiesta customers/redact. Non si può anonimizzare ciò che deve restare cancellabile su richiesta.

3. Finalità del trattamento e base giuridica

In sintesi: trattiamo i dati unicamente per far funzionare Hokku, dare assistenza e migliorare il servizio. La tua base GDPR è “esecuzione del contratto”.

3.1. Finalità. H-MOON Digital tratta i dati personali all’interno di Hokku esclusivamente per:

• (a) visualizzare le offerte Hokku (bundle, upsell, cross-sell, ecc.) nel negozio e nell’admin del Commerciante;

• (b) attribuire l’incremento di ricavi alle offerte Hokku per la dashboard del Commerciante;

• (c) contare il volume mensile di ordini del Commerciante, che determina il piano di abbonamento Hokku applicabile;

• (d) prestare assistenza al Commerciante quando richiesto;

• (e) mantenere la sicurezza e l’integrità del Servizio (limitazione di velocità, rilevamento di abusi, log di audit);

• (f) migliorare il Servizio (statistiche aggregate non identificative, test A/B di modifiche dell’interfaccia);

• (g) adempiere agli obblighi legali (fatturazione fiscale via Shopify, risposte ai webhook GDPR, decisioni giudiziarie).

  3.2. Base giuridica. Il Titolare è responsabile di stabilire una base giuridica ai sensi dell’art. 6 del Regolamento (UE) 2016/679 (GDPR) per il trattamento sottostante dei dati della propria clientela, nonché del rispetto degli obblighi derivanti dal Codice Privacy italiano (D.lgs. 196/2003, modificato dal D.lgs. 101/2018) quando applicabili. H-MOON Digital, come Responsabile, tratta i dati seguendo istruzioni documentate del Titolare, principalmente sulla base dell’“esecuzione del contratto” (art. 6.1.b GDPR) tra il Titolare e H-MOON Digital, e del “legittimo interesse” (art. 6.1.f GDPR) per i log di sicurezza.

4. Sub-incaricati

In sintesi: un breve elenco di provider prioritariamente europei. 30 giorni di preavviso prima di aggiungerne uno nuovo.

4.1. Sub-incaricati autorizzati al 27 giugno 2026.

4.2. L’elenco aggiornato dei Sub-incaricati è anche pubblicato su gethokku.com/sub-processors.

4.3. Avviso di nuovi sub-incaricati. H-MOON Digital notificherà il Commerciante via email e tramite aggiornamento di /sub-processors con almeno trenta (30) giorni di anticipo prima di aggiungere un nuovo sub-incaricato che incida in modo sostanziale sul trattamento dei dati personali. Il Commerciante potrà opporsi per iscritto in tale termine di 30 giorni. Se H-MOON Digital e il Commerciante non concordano un’alternativa, l’unico rimedio del Commerciante sarà risolvere l’abbonamento Hokku prima che il nuovo sub-incaricato inizi il trattamento.

4.4. Obblighi dei sub-incaricati. Ogni sub-incaricato è vincolato da obblighi di protezione dei dati non meno protettivi di quelli del presente DPA.

4.5. Assistente IA. Quando il Commerciante attiva Hokku Assistant opzionale — una chat di assistenza IA integrata nell’app (vedi Termini §15) —, il contenuto delle conversazioni (i messaggi del Commerciante e le risposte generate) è trattato da Anthropic unicamente per produrre risposte. Tale contenuto è conservato trenta (30) giorni, poi eliminato. Il Commerciante è invitato a non trasmettere dati sensibili tramite l’Assistente.

5. Trasferimenti internazionali

In sintesi: privilegiamo infrastruttura UE. Quando i dati escono dall’UE, sono coperti da meccanismi legali standard riconosciuti dal GDPR.

5.1. I dati personali trattati da H-MOON Digital sono archiviati principalmente nell’Unione Europea (Supabase Francoforte per i dati dell’applicazione; Sentry UE per il monitoraggio errori).

5.2. Quando un trasferimento al di fuori dello Spazio Economico Europeo (SEE) è necessario (Vercel, società costituita negli Stati Uniti — il suo accesso ai dati costituisce un trasferimento anche se l’admin Hokku gira su calcolo nell’UE, a Francoforte; Resend multi-regione per la consegna email, Anthropic USA per l’assistente IA opzionale), H-MOON Digital si basa su:

• (a) le Clausole Contrattuali Tipo 2021 (Decisione di esecuzione (UE) 2021/914 della Commissione) ai sensi del Capo V del GDPR, per i trasferimenti non coperti dal Data Privacy Framework (Resend, Anthropic);

• (b) il EU-US Data Privacy Framework (Decisione di adeguatezza (UE) 2023/1795 della Commissione) per i flussi UE→destinatari statunitensi certificati (Vercel).

  5.3. Il Commerciante accetta che H-MOON Digital sottoscriva Clausole Contrattuali Tipo con sub-incaricati per conto del Commerciante, nella misura necessaria per la prestazione del Servizio.

6. Webhook GDPR imposti da Shopify

In breve: quando una persona cliente o un negozio chiede a Shopify di cancellare i propri dati, Shopify ci inoltra la richiesta. La eseguiamo subito, senza sfruttare il termine che ci viene concesso.

6.1. Conformemente agli obblighi di Shopify in materia di webhook GDPR, H-MOON Digital implementa i tre webhook GDPR obbligatori e li processa secondo il seguente calendario:

6.2. Le ricezioni di webhook sono registrate a fini di audit. Il Commerciante potrà richiedere un registro delle azioni webhook che riguardano il proprio negozio inviando un’email a hello@gethokku.com.

7. Misure di sicurezza

In sintesi: cifratura, controllo accessi, log di audit. Standard, fatti seriamente.

7.1. H-MOON Digital applica le misure tecniche e organizzative appropriate per garantire un livello di sicurezza adeguato al rischio, ai sensi dell’art. 32 GDPR, incluse:

• Cifratura in transito — TLS 1.3 per tutto il traffico Hokku.

• Cifratura a riposo — AES-256 sul database Supabase Francoforte e su tutti i backup.

• Controllo accessi — accesso a privilegio minimo ai dati di produzione, ristretto al personale e ai consulenti di H-MOON Digital vincolati da riservatezza, con autenticazione multifattore obbligatoria.

• Log di audit — tutte le azioni amministrative sui dati di produzione sono registrate con attore, marca temporale e bersaglio, conservati per dodici (12) mesi.

• Gestione delle vulnerabilità — analisi automatizzata delle dipendenze (OSV-Scanner) e applicazione di patch di sicurezza in tempi ragionevoli dopo la loro divulgazione.

• Isolamento di rete — i sistemi di produzione sono isolati dagli ambienti di sviluppo e pre-produzione.

  7.2. L’elenco delle misure tecniche e organizzative può evolvere; la versione vigente si riflette nel presente DPA, allineata con gli standard del settore.

8. Notifica di violazione dei dati personali

In sintesi: se qualcosa va storto con i tuoi dati, ti avvisiamo entro 24 ore.

8.1. H-MOON Digital notificherà il Commerciante interessato via email entro ventiquattro (24) ore dalla presa di conoscenza di una violazione di dati personali che riguardi i dati del Commerciante, con le informazioni rilevanti (natura della violazione, categorie e numero approssimativo di interessati colpiti, conseguenze probabili, misure prese o proposte).

8.2. Questo impegno di notifica entro 24 ore si allinea con l’obbligo dello Shopify Partner Program Agreement § 9.14.2(vi) e supera il minimo di 72 ore previsto dagli articoli 33 e 34 del GDPR per la comunicazione all’autorità di controllo e agli interessati colpiti.

8.3. Il Commerciante resta l’unico responsabile per qualsiasi notifica dovuta agli interessati o al Garante per la protezione dei dati personali (Piazza Venezia 11, 00187 Roma — protocollo@gpdp.it / urp@gpdp.it), ai sensi degli articoli 33 e 34 del GDPR, o a qualsiasi altra autorità di controllo competente; H-MOON Digital fornirà cooperazione ragionevole, a richiesta del Commerciante e con i propri costi ragionevoli.

9. Assistenza per i diritti degli interessati

In sintesi: quando la tua clientela esercita i propri diritti GDPR, ti aiutiamo a rispondere.

9.1. H-MOON Digital, considerando la natura del trattamento, assiste il Commerciante con misure tecniche e organizzative appropriate, nella misura del possibile, per adempiere al proprio obbligo di rispondere alle richieste di esercizio dei diritti degli interessati previsti dagli articoli 15-22 del GDPR (accesso, rettifica, cancellazione, limitazione del trattamento, portabilità, opposizione, non essere sottoposto a decisioni automatizzate).

9.2. Le richieste ricevute direttamente da H-MOON Digital che si riferiscono a interessati del Commerciante saranno inoltrate al Commerciante senza indebito ritardo.

10. Diritto di audit

In sintesi: puoi chiederci della nostra sicurezza e delle nostre pratiche. Rispondiamo in buona fede.

10.1. H-MOON Digital, a richiesta scritta ragionevole del Commerciante e non più di una volta ogni dodici mesi (salvo in caso di incidente documentato), metterà a disposizione del Commerciante tutte le informazioni necessarie per dimostrare il rispetto del presente DPA, incluso un riassunto scritto delle proprie misure di sicurezza, l’elenco dei sub-incaricati e la posizione quanto alle CCT e all’EU-US Data Privacy Framework.

10.2. Per i commercianti con una preoccupazione specifica e documentata, H-MOON Digital risponderà a un questionario di audit documentato entro trenta (30) giorni. Non vengono offerti audit in loco per i piani self-service; per gli accordi enterprise, le modalità di audit potranno essere concordate separatamente per iscritto.

11. Restituzione e cancellazione dei dati alla cessazione

In breve: i tuoi dati vivono finché usi Hokku — tranne i tuoi scambi con l’assistenza e con Hokku Assistant, che si cancellano da soli secondo i propri tempi, senza attendere una disinstallazione. Alla disinstallazione cancelliamo subito tutto ciò che identifica una persona e conserviamo le tue offerte e le tue statistiche per 60 giorni nel caso tornassi — poi cancelliamo anche quelle.

11.1. Finché l’applicazione è installata. H-MOON Digital conserva i Dati del Commerciante per tutto il tempo in cui il Commerciante usa Hokku, perché le sue statistiche — comprese le cifre dall’inizio — sono costruite a partire da essi.

Gli scambi con il nostro team di assistenza e con Hokku Assistant hanno tempi di conservazione propri, anche mentre l’applicazione è installata: H-MOON Digital elimina ogni ticket di assistenza dodici (12) mesi dopo l’invio e cancella l’indirizzo email di risposta in esso contenuto dopo novanta (90) giorni; la stessa regola dei novanta (90) giorni si applica ai messaggi ricevuti all’indirizzo support@gethokku.com. Le conversazioni con Hokku Assistant sono cancellate dopo trenta (30) giorni. Il Commerciante può anche richiedere in qualsiasi momento, da Impostazioni, la cancellazione immediata dei propri dati, che comprende i suoi ticket di assistenza e le sue conversazioni con Hokku Assistant.

11.2. Dopo la disinstallazione — che cosa viene cancellato subito. Shopify notifica H-MOON Digital tramite il webhook shop/redact 48 ore dopo la disinstallazione. Alla ricezione, H-MOON Digital cancella dai sistemi Hokku attivi i dati che identificano una persona — token di accesso, ticket di assistenza e conversazioni con Hokku Assistant — e anonimizza gli identificativi d’ordine conservati nei record statistici, senza ritardo aggiuntivo. Nessun dato personale di chi acquista è conservato oltre questo punto.

11.3. Dopo la disinstallazione — che cosa resta, e per quanto. La configurazione propria del Commerciante (offerte e impostazioni) e le sue statistiche aggregate restano nei sistemi attivi per sessanta (60) giorni dalla disinstallazione, così che il Commerciante che reinstalla entro quel termine ritrovi il proprio lavoro. La diffusione delle offerte si arresta in ogni caso alla disinstallazione. Alla scadenza di quel termine una purga automatica cancella definitivamente questi dati; la stessa purga si applica se il webhook shop/redact non viene mai consegnato.

11.4. Copie di backup. Le copie di backup cifrate del nostro fornitore di hosting sono purgate secondo i cicli di backup a rotazione, con purga completa conclusa entro trenta (30) giorni aggiuntivi; i dati cancellati ai sensi dei §11.2 o §11.3 spariscono da esse allo stesso termine.

11.5. Su richiesta scritta, in qualsiasi momento finché l’applicazione è installata, H-MOON Digital fornisce un’esportazione strutturata dei Dati del Commerciante in un formato di uso comune e leggibile da dispositivo automatico. Poiché l’accesso del Commerciante termina con la disinstallazione e i dati conservati sono cancellati sessanta (60) giorni dopo, il Commerciante deve richiedere ogni esportazione prima di disinstallare.

11.6. H-MOON Digital può conservare dati dopo la cessazione solo nella misura richiesta dalla legge applicabile (contabilità, obblighi fiscali), nel qual caso la conservazione è limitata alla durata legale minima e i dati sono separati dal trattamento attivo.

12. Durata e sopravvivenza

In sintesi: questo DPA dura quanto il tuo abbonamento Hokku. Gli obblighi sui dati sopravvivono dopo.

12.1. Il presente DPA entra in vigore con la prima installazione di Hokku e resta in vigore finché H-MOON Digital tratti dati personali per conto del Commerciante.

12.2. Le sezioni 5 (Trasferimenti), 7 (Sicurezza), 8 (Notifica di violazione), 10 (Audit), 11 (Restituzione e cancellazione) e 13 (Disposizioni varie) sopravvivono alla risoluzione nella misura necessaria per eseguire gli obblighi di cancellazione e cooperazione.

13. Disposizioni varie

13.1. Legge applicabile e giurisdizione. Il presente DPA è regolato dalla stessa legge ed è sottoposto alla stessa giurisdizione dei Termini (diritto francese, competenza esclusiva dei tribunali di Parigi — vedi Termini §12), fatte salve le disposizioni imperative del GDPR e del Codice Privacy italiano (D.lgs. 196/2003) che si applicano al Commerciante stabilito in Italia.

13.2. Ordine di prevalenza. In caso di conflitto tra il presente DPA e i Termini quanto al trattamento dei dati personali, prevale il presente DPA.

13.3. Traduzioni. Il presente DPA è pubblicato in inglese (versione canonica) con traduzioni di cortesia in altre lingue. In caso di divergenza sostanziale tra la versione in inglese e una traduzione, prevale la versione in inglese disponibile su gethokku.com/dpa. Eccezione — quando una traduzione include clausole o chiarimenti richiesti dal diritto imperativo locale della giurisdizione di tale traduzione (per esempio, riferimenti al GDPR, al Garante per la protezione dei dati personali o al Codice Privacy italiano), tali disposizioni imposte localmente si applicheranno all’interno di tale giurisdizione e non costituiranno una “divergenza” ai sensi della presente clausola. Le lingue disponibili sono elencate nel piè di pagina del presente documento.

13.4. Modifiche. Le modifiche sostanziali del presente DPA sono notificate ai commercianti alle stesse condizioni delle modifiche dei Termini (vedi Termini §11).

13.5. Contatto. Domande di protezione dei dati, opposizioni a sub-incaricati, richieste di interessati, richieste di audit e notifiche di violazione: hello@gethokku.com. Apprezziamo l’oggetto [DPA] per indirizzare il messaggio.

Ultimo aggiornamento: 5 agosto 2026.