Informativa sulla Privacy — CSV2Store

Data di efficacia: 2026-05-30
Ultimo aggiornamento: 2026-05-30

Questa Informativa spiega come CSV2Store (“noi”, “nostro”) — gestito da Nicoletta Furlani, Via Montegallo 142, 00138 Roma (RM), Italia — raccoglie, utilizza e protegge le informazioni quando installi e utilizzi l'app CSV2Store per Shopify.

Agiamo come responsabile del trattamento per conto dei merchant (il proprietario del negozio Shopify) per qualsiasi dato caricato tramite l'app, e come titolare del trattamento per le informazioni a livello di account del merchant. Entrambi i ruoli sono descritti di seguito.

1. Chi può usare l'app

CSV2Store è uno strumento B2B destinato ai proprietari di negozi Shopify e al loro personale. Non raccogliamo intenzionalmente dati personali di consumatori, clienti finali o persone di età inferiore ai 18 anni.

2. Quali dati raccogliamo

2.1 Dati dell'account del negozio (titolare)

Quando installi l'app, Shopify ci fornisce le seguenti informazioni sul tuo negozio, che memorizziamo sui nostri server:

• Dominio del negozio (*.myshopify.com) — per identificare il tuo negozio tra le richieste
• Email del proprietario — per le email transazionali (import completato/fallito)
• Paese, locale principale — formattazione in base al locale + fatturazione
• Nome del piano Shopify — per adattare i rate limit al livello del tuo piano
• Token di accesso offline (via OAuth + Token Exchange) — per chiamare l'Admin API di Shopify per tuo conto
• Stato di fatturazione — per tracciare il piano CSV2Store su cui ti trovi

Il token di accesso è memorizzato cifrato a riposo. Non lo condividiamo mai.

2.2 File di prodotto che carichi (responsabile)

Ogni volta che avvii un import, memorizziamo temporaneamente il file caricato (CSV, TSV, XLSX o JSON) in uno storage di oggetti privato e cifrato. Il file contiene ciò che ci metti dentro — tipicamente titoli prodotto, SKU, prezzi, descrizioni, URL di immagini e quantità di inventario.

Non richiediamo, ci aspettiamo o cerchiamo dati personali dei clienti, dati degli ordini o informazioni di pagamento in questi file. Se carichi tali dati per errore, contattaci e cancelleremo il file su richiesta (vedi §7).

2.3 Dati derivati che conserviamo

Per ogni import salviamo una riga nel nostro database contenente:

• Nome del file, dimensione, formato e codifica rilevati
• Numero di righe analizzate
• La mappatura delle colonne proposta dall'AI e le eventuali modifiche dell'utente
• Risultati della validazione (solo conteggi; il contenuto delle righe è conservato per la tabella di anteprima — vedi §3 conservazione)
• Conteggi dei prodotti importati / saltati, marche temporali
• Costo LLM in USD (per la nostra riconciliazione di fatturazione)

2.4 Analytics di utilizzo (titolare, opt-in)

Se abbiamo abilitato gli analytics sul backend, registriamo eventi di prodotto anonimi: visualizzazioni di pagina all'interno dell'app incorporata, click sui pulsanti ed eventi di errore. Questi eventi sono etichettati con il tuo shop id — non con identificatori personali tuoi o dei tuoi clienti.

Puoi disattivare gli analytics scrivendoci via email; vedi §7.

2.5 Monitoraggio degli errori (titolare, opt-in)

Se il monitoraggio degli errori è abilitato, le eccezioni non gestite vengono segnalate a Sentry. I report includono lo stack trace, il metodo/URL della richiesta, lo shop id e gli header della richiesta (ripuliti dai session token). Non includono il contenuto dei file né le credenziali del merchant.

2.6 Log del server (titolare)

Come ogni servizio web, registriamo ogni richiesta gestita dal nostro backend. I log contengono marca temporale, metodo HTTP, URL, status code, shop id e (quando rilevante) l'id del job di import. Il contenuto dei file non viene mai registrato. I log sono conservati per 30 giorni.

3. Per quanto tempo conserviamo i tuoi dati

Quando Shopify ci invia un webhook shop/redact (tipicamente 48h dopo che disinstalli l'app), cancelliamo a cascata tutto ciò che è legato al tuo negozio entro 24h.

4. Cosa inviamo ai provider di AI

Per proporre una mappatura delle colonne, inviamo ai nostri provider di AI (vedi §5):

• Le intestazioni delle colonne del tuo file (es. item-name, seller-sku)
• Un campione delle prime 20 righe per il contesto

Non inviamo il file completo. I termini del provider di AI vietano per impostazione predefinita l'addestramento sul nostro traffico API (sia Anthropic che OpenAI lo rispettano per i clienti business delle API; vedi le rispettive policy sull'uso dei dati).

Una volta proposta una mappatura e dopo la tua conferma, tutte le righe successive sono elaborate localmente sul nostro worker — mai inviate ad alcun provider di AI.

Memorizziamo in cache la mappatura proposta dall'AI per ciascun negozio, indicizzata tramite un hash SHA-256 delle intestazioni di colonna ordinate e in minuscolo. La volta successiva che carichi un file con le stesse intestazioni, la mappatura è istantanea e nessun dato viene inviato ad alcun provider di AI.

5. Sub-responsabili

Ci affidiamo ai seguenti sub-responsabili. Tutti sono vincolati dai propri DPA e trattano i dati esclusivamente per fornirci il loro servizio.

Potremmo aggiornare questo elenco con un preavviso di almeno 30 giorni pubblicato a questo URL.

6. Trasferimenti internazionali

Alcuni sub-responsabili (Anthropic, OpenAI, Vercel, Resend, Axiom) operano al di fuori dello Spazio Economico Europeo. Per tutelare questi trasferimenti ci affidiamo alle Clausole Contrattuali Standard (SCC) approvate dalla Commissione Europea, come indicato nel DPA di ciascun sub-responsabile.

7. I tuoi diritti GDPR

Se ti trovi nell'UE, nel Regno Unito o in un'altra giurisdizione che garantisce diritti equivalenti, hai il diritto di:

• Accedere ai dati personali che deteniamo su di te
• Rettificare i dati inesatti
• Cancellare i tuoi dati (vi adempiamo automaticamente tramite il flusso del webhook shop/redact; puoi anche richiedere la cancellazione manuale in qualsiasi momento)
• Limitare il trattamento od opporti ad esso
• Portabilità dei dati — ricevere i tuoi dati in un formato leggibile da una macchina
• Proporre reclamo alla tua autorità di controllo (in Italia, il Garante per la Protezione dei Dati Personali)

Per esercitare uno qualsiasi di questi diritti, scrivici a devxxdevelop@gmail.com. Rispondiamo entro 30 giorni.

8. Clienti finali del tuo negozio

CSV2Store non accede, memorizza o tratta dati relativi ai tuoi clienti, ai loro ordini o ai loro metodi di pagamento. Gli scope della nostra app sono limitati a:

• write_products
• write_inventory
• read_locations
• write_files

Nessuno di questi concede l'accesso alle risorse customers o orders dell'Admin API di Shopify.

Quando Shopify ci invia i webhook customers/data_request o customers/redact (che Shopify è tenuta a inviare a ogni app indipendentemente dagli scope), i nostri handler registrano la richiesta e rispondono 200 OK senza intraprendere alcuna azione, perché non abbiamo dati dei clienti da fornire o cancellare.

9. Cookie e tecnologie simili

Se gli analytics di prodotto sono abilitati (§2.4), PostHog imposta un cookie di analytics di prima parte all'interno dell'iframe dell'app incorporata. Il cookie:

• È limitato al solo dominio app.csv2store.com (non alla vetrina del merchant)
• Memorizza un identificatore anonimo, valido solo per l'app — non i dati personali del merchant
• Scade dopo 1 anno di inattività

L'app non utilizza cookie pubblicitari di terze parti, pixel di retargeting o session replay.

10. Sicurezza

• Tutto il traffico verso il nostro backend avviene su TLS 1.2+.
• I bucket di storage Supabase sono privati; i file caricati sono accessibili solo tramite URL pre-firmati a breve durata (≤2h).
• I token di accesso sono memorizzati cifrati a riposo.
• I payload dei webhook da Shopify sono verificati via HMAC prima di qualsiasi elaborazione.
• I segreti dell'applicazione (API key, signing secret) sono memorizzati in variabili d'ambiente cifrate sulla piattaforma di hosting, non nel codice sorgente.

Non gestiamo ancora un bug bounty pubblico. Le segnalazioni di sicurezza sono benvenute a devxxdevelop@gmail.com.

11. Minori

CSV2Store non è destinato all'uso da parte di chiunque abbia meno di 18 anni. Non raccogliamo intenzionalmente dati da minori.

12. Modifiche a questa informativa

Potremmo aggiornare questa Informativa sulla Privacy di tanto in tanto. Le modifiche sostanziali saranno annunciate tramite:

• Un banner all'interno dell'app incorporata per 14 giorni
• Un'email all'indirizzo del proprietario registrato di ogni negozio in cui l'app è installata

La data di “Ultimo aggiornamento” in alto riflette la modifica più recente.

13. Contatti

Per domande, richieste o reclami sulla privacy:

• Email: devxxdevelop@gmail.com
• Posta: Nicoletta Furlani, Via Montegallo 142, 00138 Roma (RM), Italia

Contatto del Responsabile della Protezione dei Dati (DPO): devxxdevelop@gmail.com

English version · Termini di Servizio