Cosa proteggiamo, e come.

Dove si trovano i tuoi dati

I dati dell’app sono archiviati a Francoforte, in Germania, presso Supabase. Anche il monitoraggio degli errori (Sentry) è ospitato a Francoforte.

Alcuni sub-incaricati si trovano fuori dall’Unione europea: Vercel (hosting dell’app, calcolo a Francoforte, società statunitense), Resend (email) e Anthropic (assistente). Questi trasferimenti sono coperti dall’EU-US Data Privacy Framework o dalle Clausole Contrattuali Tipo della Commissione europea.

L’elenco completo, con il ruolo di ciascuno, è nella pagina Sub-incaricati.

A cosa accede Hokku nel tuo negozio

Hokku chiede a Shopify solo gli accessi di cui hanno bisogno le sue funzionalità: prodotti, scorte, sconti, carrello, tema, file, ordini, spedizione, mercati.

• Gli ordini servono a misurare i tuoi risultati: leggiamo l’importo e il numero dell’ordine.
• Hokku non conserva alcun dato di contatto dei tuoi clienti: né nome, né email, né indirizzo.
• Le visite sono associate a un identificatore casuale, mai collegato a un nome.

Ogni scambio è verificato

• Tutte le connessioni usano HTTPS. I browser ricevono l’istruzione di non tornare mai a HTTP per un anno.
• Ogni messaggio che Shopify invia a Hokku è controllato tramite una firma. Un messaggio con una firma non valida viene rifiutato.
• Le richieste provenienti dal tuo negozio sono controllate allo stesso modo.
• Nel tuo admin di Shopify, l’app si apre con un token di sessione emesso da Shopify, valido per un tempo limitato.

Dietro le quinte: HSTS max-age 31536000 · firme HMAC SHA-256 confrontate in tempo costante · header nosniff, Referrer-Policy e Permissions-Policy, CSP rigorosa sull’App Proxy.

Per quanto tempo conserviamo i tuoi dati

• Quando disinstalli Hokku, le tue sessioni vengono eliminate subito.
• Circa 48 ore dopo, Shopify chiede la cancellazione dei dati del tuo negozio: token di accesso, richieste di assistenza e conversazioni vengono eliminati, e i numeri d’ordine vengono anonimizzati.
• La tua configurazione resta conservata per 60 giorni, nel caso tornassi, poi viene eliminata.
• Conversazioni con l’assistente: 30 giorni.
• Richieste di assistenza: 12 mesi. L’indirizzo di risposta: 90 giorni.
• I dati eliminati possono restare nei backup per un massimo di 7 giorni.
• Le copie delle email che inviamo restano 30 giorni presso il nostro fornitore di email, più 7 giorni di backup.
• A una richiesta di accesso ai dati da parte di un tuo cliente rispondiamo entro 30 giorni.

I dettagli sono nella nostra politica sulla privacy e nel nostro accordo sul trattamento dei dati.

Backup e log

• Ogni giorno viene eseguito un backup del database. Ogni backup è conservato per 7 giorni.
• Supabase dichiara: “All customer data is encrypted at rest with AES-256 and in transit via TLS.” (supabase.com/security)
• Il monitoraggio degli errori non registra né dati personali, né indirizzi IP, né il contenuto delle richieste.
• I log del server sono conservati per 1 giorno, quelli del database per 7 giorni.

Il nostro codice è monitorato

• Ogni modifica viene analizzata per individuare password o chiavi rimaste nel codice.
• Le librerie che usiamo vengono confrontate di continuo con i database di vulnerabilità note.
• Le correzioni di sicurezza per queste librerie vengono proposte automaticamente.
• L’accesso agli account di amministrazione è limitato e protetto da un’autenticazione rafforzata.

Dietro le quinte: controlli automatici a ogni modifica del codice, su tutta la cronologia, e monitoraggio continuo delle vulnerabilità note.

Segnala una vulnerabilità

Scrivi a support@gethokku.com. Per una vulnerabilità grave, inserisci “[URGENT]” nell’oggetto: questi messaggi vengono letti ogni giorno.

• Conferma di ricezione entro 5 giorni lavorativi.
• Prima valutazione entro 14 giorni.
• Un aggiornamento sui progressi almeno una volta al mese.
• Puntiamo a rilasciare una correzione entro 90 giorni, poi concordiamo con te la data di pubblicazione.
• Una ricerca condotta in buona fede, nel rispetto di questa politica, non porterà ad alcuna azione legale da parte nostra.