Informativa sulla Privacy

1. Introduzione e Titolare del Trattamento

La presente Informativa sulla Privacy descrive le modalità con cui Marluna Platform ("noi", "nostro" o "l'Applicazione") raccoglie, utilizza, conserva e protegge i dati personali nell'ambito dei servizi forniti ai merchant della piattaforma Shopify.

Marluna Platform è un'applicazione progettata specificamente per i negozi e-commerce Shopify, finalizzata all'organizzazione della gestione documentale e fiscale degli ordini (generazione di fatture elettroniche in formato standard FatturaPA e tenuta del registro corrispettivi).

Per i dati dei clienti finali contenuti negli ordini, titolare del trattamento è il merchant che utilizza l'Applicazione; Marluna Platform tratta tali dati per conto del merchant, in qualità di responsabile del trattamento, al solo fine di erogare il servizio. Per i dati relativi al merchant (account, impostazioni, abbonamento) il titolare è il soggetto indicato sopra.

2. Dati Trattati e Origine dei Dati

Marluna Platform non raccoglie dati personali in modo indiscriminato. Tutti i dati trattati provengono unicamente dalla piattaforma Shopify a seguito dell'installazione autorizzata da parte del merchant o dalle configurazioni inserite volontariamente dal merchant stesso.

I dati trattati comprendono esclusivamente:

• Dati identificativi del negozio: ID e dominio del negozio Shopify (*.myshopify.com), token di sessione autenticato e impostazioni operative e fiscali configurate dal merchant (ad esempio le credenziali del servizio Aruba per la generazione delle bozze di fattura).
• Dati degli ordini e dei clienti: identificativo ordine Shopify, data, valuta, importi e totali ordine, righe articolo, anagrafica cliente (nome e cognome), indirizzo di fatturazione o spedizione e identificativi fiscali italiani (Codice Fiscale, Partita IVA, PEC o Codice Destinatario SDI) inseriti dal cliente in fase di acquisto o specificati nelle note dell'ordine.

Permessi di accesso (Scope API Shopify)

In conformità al principio di minimizzazione dei dati (art. 5 del Regolamento UE 2016/679 - GDPR), Marluna Platform richiede unicamente gli scope strettamente indispensabili al funzionamento:

• read_orders: necessario per la lettura e l'elaborazione degli ordini finalizzata alla contabilizzazione e alla predisposizione dei documenti fiscali.
• read_customers: necessario per acquisire i dati anagrafici e fiscali del cliente associati all'ordine al fine di compilare correttamente i documenti di fatturazione.

3. Finalità e Base Giuridica del Trattamento

I dati personali vengono trattati per le seguenti finalità:

• Erogazione del servizio contrattuale (Art. 6.1.b GDPR): sincronizzazione automatica degli ordini Shopify, riconoscimento dei requisiti fiscali (richiesta di fattura con CF/P.IVA o emissione di corrispettivo/ricevuta), generazione dei file XML secondo lo standard istituzionale FatturaPA, compilazione delle bozze documentali verso il sistema Aruba configurato dal merchant, ed esportazione dei registri corrispettivi in formato CSV per il commercialista.
• Gestione delle sottoscrizioni e fatturazione dell'app (Art. 6.1.b GDPR): gestione del periodo di prova e dell'abbonamento attraverso le API ufficiali di Shopify Billing.
• Adempimento di obblighi di legge (Art. 6.1.c GDPR): tenuta dei registri e dei log operativi necessari a documentare le transazioni contabili e gli adempimenti fiscali previsti dalla normativa applicabile.

4. Comunicazione e Destinatari dei Dati

I dati possono essere comunicati esclusivamente a soggetti terzi strettamente correlati all'erogazione del servizio:

• Shopify Inc. e affiliate: per la sincronizzazione dei dati, l'autenticazione OAuth sicura e la gestione dei pagamenti tramite Shopify Billing.
• Aruba S.p.A. (Aruba Fatturazione Elettronica): esclusivamente qualora il merchant inserisca le proprie credenziali per la creazione controllata di bozze (Draft) sul proprio account Aruba.
• Hostinger International Ltd.: hosting del server dell'applicazione.
• Supabase Inc.: database PostgreSQL gestito, con dati ospitati nell'Unione Europea (Francoforte, Germania).
• Resend: invio delle email generate dall'Applicazione (riepilogo CSV dei corrispettivi al commercialista indicato dal merchant e messaggi inviati dalla sezione Supporto).

Questi fornitori sono designati responsabili del trattamento e vincolati a obblighi di riservatezza e sicurezza. Alcuni fornitori (ad esempio Shopify e Resend) hanno sede o possono trattare dati al di fuori dello Spazio Economico Europeo: in questi casi il trasferimento avviene sulla base delle garanzie previste dagli articoli 44 e seguenti del GDPR, come le clausole contrattuali tipo approvate dalla Commissione Europea o le decisioni di adeguatezza applicabili.

5. Sicurezza e Conservazione

Adottiamo misure tecniche e organizzative adeguate per garantire un livello di sicurezza commisurato al rischio:

• Crittografia in transito: ogni comunicazione tra il browser del merchant, i nostri server e le API esterne è protetta da protocolli TLS/HTTPS con certificati validi.
• Isolamento multi-tenant: i dati contabili e le sessioni di ciascun negozio sono rigidamente isolati su base tenant/shopId per prevenire qualsiasi accesso non autorizzato o commistione di dati.
• Protezione delle credenziali: le credenziali dei servizi esterni vengono cifrate prima del salvataggio nel database e non vengono mai esposte in chiaro nei log applicativi.

I dati sono conservati per il tempo necessario alla gestione delle attività contabili e alla fornitura del servizio, o fino alla richiesta di cancellazione da parte del merchant o alla disinstallazione dell'applicazione.

6. Conformità GDPR e Webhook Obbligatori Shopify

Marluna Platform integra pienamente i webhook obbligatori per la conformità alla privacy stabiliti da Shopify:

• Richiesta dati cliente (customers/data_request): ricezione ed evasione delle richieste di accesso ai dati formulate dai clienti finali attraverso il merchant o Shopify.
• Cancellazione dati cliente (customers/redact): rimozione o anonimizzazione tempestiva dei dati personali relativi al cliente qualora richiesto.
• Cancellazione dati negozio (shop/redact): cancellazione o anonimizzazione dei dati del negozio a seguito della disinstallazione dell'applicazione, conformemente alle tempistiche e linee guida Shopify.

7. Diritti degli Interessati

Ai sensi degli articoli 15-22 del GDPR, i merchant e gli interessati hanno il diritto di richiedere l'accesso ai propri dati personali, la rettifica, la cancellazione, la limitazione del trattamento o la portabilità dei dati, nonché di opporsi al loro trattamento.

I clienti finali dei negozi Shopify possono esercitare i propri diritti rivolgendosi direttamente al merchant titolare del negozio e-commerce, oppure attraverso i canali ufficiali di Shopify. Per richieste dirette a Marluna Platform è possibile scrivere a contabilita@marluna.it.

Gli interessati hanno inoltre il diritto di proporre reclamo all'autorità di controllo competente, in Italia il Garante per la protezione dei dati personali (www.garanteprivacy.it).

8. Modifiche a questa Informativa

Eventuali aggiornamenti della presente Informativa saranno pubblicati su questa pagina con indicazione della data di revisione. Invitiamo i merchant a consultare periodicamente questa pagina per rimanere informati sulle misure di protezione adottate.