Privacy policy

Il titolare del trattamento è Giuseppe Longhi, persona fisica. FLUX è attualmente un progetto individuale in fase pilota: non è una società e non opera tramite una struttura societaria.

Per qualsiasi richiesta relativa ai dati personali puoi scrivere a team@useflux.space.

FLUX tratta due categorie di dati: quelli dell'account del brand che usa il servizio e quelli relativi agli ordini ricevuti dallo store Shopify collegato.

Dati dell'account brand

• Indirizzo email e credenziali di accesso (la password è gestita in forma cifrata dal fornitore di autenticazione, non è visibile al titolare).
• Dati dello store Shopify collegato e token di accesso necessari a leggere gli ordini.
• Dati inseriti dal brand per organizzare le proprie campagne: nominativi, contatti e handle dei creator, codici sconto assegnati, condizioni di commissione, collaborazioni e invii omaggio. Per i dati dei creator, come per quelli degli ordini, il titolare è il brand e FLUX li tratta per suo conto (Termini, punti 8 e 9).

Dati degli ordini ricevuti via webhook

• L'identificativo Shopify dell'ordine e il momento in cui lo riceviamo.
• Il subtotale dell'ordine (al netto degli sconti, senza spedizione e tasse) e la commissione che ne deriva per il creator.
• Il codice sconto utilizzato, che è l'elemento su cui si basa l'attribuzione.
• I rimborsi: l'identificativo Shopify di ciascun rimborso, il suo importo e il totale rimborsato sull'ordine.

Se sei un creator e non un brand, questa non è la tua informativa. FLUX conserva anche dati pubblici di creator che non usano il servizio e non ce li hanno forniti (art. 14 GDPR): profili e post pubblici di Instagram raccolti il 15 settembre 2026, senza nuove raccolte; eventuali aggiornamenti solo con l'API ufficiale. Si usano per la Discovery e per statistiche aggregate di settore, a cui ci si può opporre. La rimozione si chiede a team@useflux.space. Tutto il dettaglio, campo per campo, è nell' informativa dedicata ai creator.

I dati sono trattati per una sola finalità operativa: misurare l'attribuzione delle vendite ai creator collegati alle campagne del brand, e calcolare di conseguenza il fatturato tracciato e le commissioni maturate.

I dati sono inoltre trattati per fornire e mantenere l'accesso all'account e per adempiere agli obblighi di legge applicabili. Non vengono usati per profilazione pubblicitaria e non vengono ceduti a terzi per finalità di marketing.

• Esecuzione di un contratto o di misure precontrattuali (art. 6.1.b GDPR) per i dati dell'account e per il funzionamento del servizio richiesto dal brand.
• Legittimo interesse (art. 6.1.f GDPR) per la sicurezza del servizio e la prevenzione di abusi, e per contare in forma aggregata le visite alle pagine (punto 9).
• Obbligo legale (art. 6.1.c GDPR) quando la conservazione o la comunicazione dei dati è imposta dalla normativa vigente.

Rispetto ai dati degli ordini provenienti dallo store, il brand agisce come titolare dei dati del proprio negozio e FLUX li tratta per suo conto, per fornire la funzione di misurazione richiesta. Ruoli, istruzioni e obblighi sono descritti nei Termini di servizio, al punto «Trattamento dei dati degli ordini per conto del brand».

• I dati dell'account sono conservati finché l'account resta attivo. Puoi cancellarlo quando vuoi da Impostazioni, con «Cancella account»: l'account e tutti i dati del brand vengono cancellati subito, e FLUX prova a disinstallarsi dal negozio collegato.
• I dati degli ordini attribuiti, dei creator, delle campagne e delle collaborazioni sono conservati finché il negozio resta collegato a FLUX.
• Se scolleghi il negozio da FLUX, FLUX smette di salvarne gli ordini e prova a disinstallarsi dal negozio Shopify. Questi dati vengono cancellati al più tardi dopo 30 giorni; se l'avevi installato dall'App Store, già prima, quando Shopify ce lo chiede (secondo la documentazione di Shopify, 48 ore dopo la disinstallazione). Ricollegando lo stesso negozio prima che siano cancellati, li conservi. La cancellazione è automatica e avviene ogni giorno, senza che nessuno debba accedere. Puoi anche cancellarli subito da Impostazioni, con «Cancella ora».
• Se FLUX non riesce a disinstallarsi da Shopify, il nome del negozio e il token d'accesso cifrato restano fino a 7 giorni, per riprovare; poi il token si cancella e il nome del negozio resta 12 mesi nel registro di sicurezza.
• Se disinstalli l'app da Shopify, i dati del negozio vengono cancellati quando Shopify ce lo chiede (secondo Shopify, 48 ore dopo; punto 6).
• Se un cliente del negozio chiede la cancellazione dei propri dati, i suoi ordini vengono resi anonimi subito (punto 6).

Copie interne del database. Il fornitore del database (Supabase) può conservare copie interne del database fino a circa 7 giorni. Sul piano che FLUX usa oggi i backup ripristinabili non sono attivi: FLUX non ha accesso a quelle copie e non le può ripristinare. Un dato cancellato può quindi restare in quelle copie fino a circa 7 giorni dopo la cancellazione.

Restano salvi i casi in cui una conservazione più lunga sia richiesta da un obbligo di legge.

La stessa cosa, dato per dato, nella pagina Dove stanno i dati e per quanto.

FLUX riceve le richieste di conformità privacy previste da Shopify. Ogni richiesta è verificata tramite firma HMAC: quelle con una firma non valida vengono rifiutate e non producono alcun effetto. Shopify chiede di evaderle entro 30 giorni dalla ricezione: per questo ogni richiesta viene registrata con la data di arrivo e quella in cui è stata evasa, senza conservare alcun dato del cliente o del negozio.

• customers/redact — un cliente del negozio chiede la cancellazione dei suoi dati. FLUX la esegue subito, in automatico: per gli ordini indicati cancella l'identificativo Shopify e i singoli rimborsi. Restano il subtotale, il codice sconto, la data e la commissione, senza più l'identificativo che li legava a quell'ordine, perché servono al calcolo delle commissioni del creator. Un'impronta calcolata con una chiave segreta, da cui non si può risalire all'ordine, impedisce che un ordine cancellato venga registrato di nuovo.
• customers/data_request — un cliente del negozio chiede quali dati abbiamo su di lui. FLUX verifica quali degli ordini indicati conserva e ne tiene l'elenco finché non li ha consegnati al negozio. La consegna non è ancora automatica: ti scriviamo all'indirizzo del tuo account e ti inviamo i dati di quegli ordini entro 30 giorni dalla richiesta. Se un tuo cliente ti ha fatto questa richiesta, puoi anche scriverci tu a team@useflux.space.
• shop/redact — secondo Shopify, 48 ore dopo la disinstallazione dell'app, Shopify chiede di cancellare i dati del negozio: FLUX rimuove tutti i dati del negozio — ordini, creator, campagne, collaborazioni, invii omaggio e la connessione allo store — e conserva solo due contatori anonimi (numero di ordini e totale tracciato) senza alcun riferimento al negozio. Se nel frattempo il negozio è stato ricollegato a FLUX, i suoi dati non vengono cancellati, e la richiesta viene registrata.

Se hai collegato il negozio manualmente (con un'app personalizzata creata nel tuo admin), Shopify non ci invia queste richieste e non ci avvisa se disinstalli la tua app: i dati restano finché il negozio è collegato a FLUX. Scollegandolo vengono cancellati dopo 30 giorni, come per ogni altro negozio, o subito con «Cancella ora» in Impostazioni.

Per erogare il servizio FLUX si appoggia a fornitori terzi, che trattano i dati per conto del titolare secondo le rispettive condizioni contrattuali. Database e calcolo stanno in Irlanda (UE): il database di Supabase e le funzioni di Vercel girano entrambi in Irlanda. Per ogni fornitore indichiamo il paese della società e, dove lo abbiamo verificato, dove stanno i dati.

• Supabase — database e autenticazione: vi risiedono i dati dell'account e degli ordini attribuiti. Società statunitense; il database di FLUX è in Irlanda.
• Vercel — hosting dell'applicazione ed erogazione delle pagine. Società statunitense; le funzioni che ricevono gli ordini e leggono il database girano a Dublino, in Irlanda, mentre le pagine statiche sono servite dal punto della sua rete più vicino a chi le apre. I log tecnici del server contengono l'identificativo degli ordini ricevuti e i codici sconto usati, anche per gli ordini che non vengono attribuiti, mai dati del cliente. Vercel conta anche le visite alle pagine (Vercel Web Analytics), senza cookie.
• Resend — invio delle email di autenticazione (conferma dell'iscrizione, recupero della password) all'indirizzo dell'account, e degli avvisi di sicurezza interni a FLUX, che contengono solo il dominio del negozio. Non tratta dati degli ordini. FLUX invia solo email legate al servizio: nessuna newsletter. Società statunitense; la regione da cui partono le email non l'abbiamo verificata e non la dichiariamo.
• Namecheap e Google — le email che scrivi a team@useflux.space arrivano tramite un inoltro (Namecheap) in una casella Gmail del titolare (Google). Per questo non chiediamo mai file o dati del negozio via email: si caricano solo in FLUX.
• Shopify — origine dei dati degli ordini, trasmessi a FLUX tramite webhook a seguito del collegamento autorizzato dal brand. Società canadese; tratta questi dati come piattaforma del tuo negozio, secondo il contratto che hai con Shopify.

Alcuni di questi fornitori possono trattare dati anche al di fuori dello Spazio Economico Europeo, per esempio per l'assistenza tecnica, sulla base delle garanzie previste dal Capo V del GDPR adottate dai fornitori stessi.

Nei limiti previsti dagli artt. 15-22 del GDPR, l'interessato può esercitare i seguenti diritti:

• Accesso ai dati personali trattati e informazioni sul trattamento.
• Rettifica dei dati inesatti e integrazione di quelli incompleti.
• Cancellazione dei dati, nei casi previsti dalla normativa.
• Limitazione del trattamento e opposizione al trattamento fondato sul legittimo interesse.
• Portabilità dei dati forniti, in formato strutturato e leggibile da dispositivo automatico.
• Revoca del consenso, ove il trattamento sia fondato sul consenso, senza pregiudizio per la liceità del trattamento già effettuato.

Cancellazione e portabilità li eserciti anche da solo, da Impostazioni. «Esporta i dati» scarica in qualsiasi momento tutti i dati del brand in un file ZIP, con un file CSV per tabella. «Cancella account» cancella l'account e tutti i dati del brand, dopo averti mostrato cosa si perde e averti chiesto di scrivere il nome del negozio (o l'email dell'account, se non hai un negozio).

Per esercitare questi diritti è sufficiente anche scrivere a team@useflux.space. È inoltre possibile proporre reclamo al Garante per la protezione dei dati personali.

FLUX usa solo cookie tecnici, necessari a farti entrare nel tuo account e a collegare il negozio. Nessun cookie di profilazione, pubblicitario o di terze parti: per questo non c'è un banner dei cookie.

• sb-…-auth-token — la sessione del tuo account (Supabase). Si crea quando accedi e si cancella quando esci; se non esci, la libreria lo imposta a 400 giorni, ma la sessione al suo interno va rinnovata dall'app. Può essere diviso in più cookie numerati.
• sb-…-auth-token-code-verifier — un codice monouso che protegge la registrazione e il recupero della password; serve finché non apri il link dell'email, e se non lo apri resta fino alla scadenza predefinita di 400 giorni.
• shopify_oauth_state — un codice casuale che protegge il collegamento del negozio Shopify. Si cancella quando il collegamento riesce, altrimenti scade dopo 10 minuti.

Statistiche delle visite. Vercel Web Analytics conta le pagine visitate senza cookie e senza salvare nulla nel tuo browser: secondo Vercel riconosce una visita con un'impronta calcolata dalla richiesta, che scarta dopo 24 ore, e registra pagina, provenienza, paese, sistema operativo e browser in forma aggregata.

Il servizio è in evoluzione e questa informativa può essere aggiornata. La data in cima alla pagina indica sempre l'ultima revisione; le modifiche rilevanti verranno comunicate ai brand con account attivo.