Sicurezza e risposta agli incidenti

1. Titolare

Il servizio MoovExpress è gestito da E.M EXPRESS LTD, company number 16889294, 71-75 Shelton Street, London WC2H 9JQ, Regno Unito. Contatto per sicurezza e privacy: info@moovexpress.com.

2. Misure di sicurezza

• Crittografia in transito: tutte le comunicazioni avvengono su HTTPS/TLS. Il traffico HTTP viene reindirizzato a HTTPS.
• Crittografia a riposo: il database e i suoi backup sono cifrati dal fornitore dell'infrastruttura (Supabase/PostgreSQL, AES-256).
• Backup: backup automatici giornalieri del database, cifrati, conservati per 7 giorni.
• Controllo accessi: accesso ai dati limitato al personale strettamente necessario, con account personali e autenticazione a due fattori sui sistemi di amministrazione. Isolamento dei dati tra utenti tramite Row Level Security a livello di database.
• Credenziali dei negozi collegati: le chiavi e i token che i commercianti ci affidano non sono leggibili dagli utenti del portale: li usa solo il server. Le credenziali del collegamento Amazon sono inoltre cifrate (AES-256-GCM) con una chiave conservata fuori dal database.
• Registrazione accessi: gli accessi del personale agli account dei clienti e le consultazioni del tracking sono registrati e conservati per 13 mesi.

3. Minimizzazione e conservazione

Trattiamo esclusivamente i dati necessari a generare le spedizioni (destinatario, ordine, contenuto). Dagli ordini Amazon i dati personali del compratore vengono cancellati in automatico 30 giorni dopo l'importazione (quelli mai spediti vengono anche archiviati); dagli ordini Shopify spediti dopo 31 giorni. I compratori Amazon non vengono proposti come contatti nella rubrica. Quando un negozio viene scollegato le sue credenziali vengono cancellate subito; per Amazon si cancellano anche gli ordini non spediti e i dati del compratore di quelli spediti; per Shopify i dati si cancellano secondo le richieste inviate da Shopify. Le spedizioni restano registrate per gli obblighi fiscali e di legge.

4. Procedura di risposta agli incidenti

In caso di violazione o sospetta violazione dei dati personali applichiamo la seguente procedura:

• 1. Contenimento (immediato): isolare i sistemi coinvolti e revocare le credenziali o i token eventualmente compromessi.
• 2. Valutazione (entro 24 ore): identificare la natura dell'incidente, i dati e i soggetti coinvolti e il livello di rischio.
• 3. Notifica alle autorità (entro 72 ore): se la violazione comporta un rischio per i diritti degli interessati, notifica al Garante per la protezione dei dati personali ai sensi dell'art. 33 GDPR.
• 4. Comunicazione ai merchant: informare senza ingiustificato ritardo i merchant e, ove richiesto, gli interessati coinvolti. Se l'incidente riguarda dati ricevuti da Amazon, lo notifichiamo ad Amazon (security@amazon.com) entro 24 ore da quando ne veniamo a conoscenza.
• 5. Documentazione e rimedi: registrare causa, impatto e azioni correttive per prevenire il ripetersi dell'incidente.

5. Segnalazioni

Vulnerabilità o incidenti di sicurezza possono essere segnalati a info@moovexpress.com. Ci impegniamo a esaminare tempestivamente ogni segnalazione.

E.M EXPRESS LTD · 71-75 Shelton Street, London WC2H 9JQ, United Kingdom · Company number 16889294 · info@moovexpress.com