Sicurezza

1. Titolare

e-Shippy S.R.L., con sede legale in Via Livio Dordi 7, 27010 Torrevecchia Pia (PV), P.IVA 03044990186. Email: info@e-shippy.it

2. Controllo degli accessi

L'accesso ai dati è regolato a livello di database tramite Row Level Security (RLS) su ogni tabella che contiene dati personali o di spedizione: ogni utente può leggere e modificare solo i propri dati, mai quelli di altri account. Le chiavi con privilegi elevati (service role) non sono mai esposte al client e vengono usate esclusivamente lato server, nelle funzioni backend. L'accesso amministrativo è separato dall'applicazione cliente e limitato a un numero ristretto di operatori.

3. Cifratura

Tutto il traffico tra browser, applicazione e infrastruttura avviene su connessioni cifrate (HTTPS/TLS). I dati archiviati beneficiano della cifratura a riposo fornita dall'infrastruttura di hosting (PostgreSQL gestito da Supabase). I dati delle carte di pagamento non transitano né sono conservati dai nostri sistemi: sono gestiti direttamente dal processore Stripe (certificato PCI-DSS Level 1).

4. Infrastruttura

• Database e funzioni backend: Supabase, ospitati nella regione UE (eu-west-1, Irlanda)
• Applicazione web: Vercel
• Pagamenti: Stripe (PCI-DSS Level 1)
• Email transazionali: Resend

5. Gestione delle vulnerabilità

La configurazione di sicurezza del database viene verificata periodicamente tramite gli strumenti di controllo automatico offerti dall'infrastruttura (Supabase Security Advisor), e le segnalazioni vengono revisionate e corrette. Dipendenze software e librerie sono aggiornate regolarmente.

6. Diritti sui dati

Ogni utente può esportare i propri dati in formato leggibile e richiedere la cancellazione del proprio account direttamente dalla dashboard, in autonomia. I dati relativi a spedizioni fatturate vengono conservati per il periodo previsto dagli obblighi fiscali e contabili (art. 2220 c.c.), come indicato nella Informativa sulla Privacy. Per i dati ricevuti tramite l'integrazione con un marketplace (Shopify, WooCommerce, TikTok Shop, eBay), rispondiamo alle richieste di rettifica o cancellazione entro 30 giorni; quando l'integrazione viene disconnessa o l'autorizzazione revocata dal marketplace, i dati degli ordini importati da quel canale vengono anonimizzati automaticamente e in modo permanente.

7. Notifica di violazioni dei dati

In caso di violazione di dati personali con rischio per gli interessati, notifichiamo il Garante Privacy entro 72 ore (art. 33 GDPR) e gli interessati coinvolti senza ingiustificato ritardo quando il rischio è elevato (art. 34 GDPR). Se la violazione riguarda dati ricevuti tramite un marketplace collegato, notifichiamo anche quella piattaforma entro lo stesso termine.

8. Segnalazioni

Per segnalare una vulnerabilità o un problema di sicurezza, scrivi a privacy@e-shippy.it.