Come Jarbris tratta i dati
Ultimo aggiornamento: 14 agosto 2026
Questa informativa di prodotto descrive come Jarbris tratta i dati personali nell'erogare il proprio servizio ai negozi Shopify che lo installano. Riguarda due categorie di persone diverse: i merchant che usano Jarbris e i clienti finali di quei negozi.
Per i dati di chi si limita a visitare il sito jarbris.com vale invece l'informativa del sito, che è un documento separato.
I due ruoli, e perché contano
Jarbris agisce in due vesti diverse, e da quale delle due si applica dipende chi decide del trattamento:
- Responsabile del trattamento per i dati dei clienti finali del negozio. Il titolare è il merchant: è lui che decide finalità e mezzi, e Jarbris tratta quei dati soltanto su sua istruzione. I rapporti fra le parti sono regolati dall'accordo sul trattamento dei dati (art. 28 GDPR).
- Titolare del trattamento per i dati dell'account del merchant — chi si registra, l'anagrafica del negozio, la fatturazione. Lì è Jarbris a decidere, e risponde direttamente.
Dati trattati per conto del merchant
Sono i dati dei clienti finali del negozio. Jarbris li riceve da Shopify, dai canali di messaggistica collegati e dal widget installato sul sito del merchant.
- Contenuto delle conversazioni — messaggi scambiati nella chat del sito, via email e nei messaggi diretti di Instagram e Messenger, con il relativo storico.
- Anagrafica e storico d'acquisto — nome, indirizzo email, ordini, numero di ordini e data dell'ultimo acquisto, ricevuti da Shopify.
- Carrelli abbandonati — contenuto del carrello, indirizzo email e link di ripresa dell'acquisto.
- Eventi di navigazione sul sito del merchant — pagine e prodotti visti, aggiunte al carrello — e i relativi identificatori di sessione.
- Identificatori di canale — gli identificativi con cui Instagram e Messenger riconoscono chi scrive.
- Consensi, richieste di reso e riscontri sulle risposte ricevute.
- Dati derivati — il profilo del cliente, gli interessi rilevati dalle conversazioni, la memoria delle preferenze e delle obiezioni espresse, e le classificazioni che Jarbris produce per decidere come rispondere. Sono dati che Jarbris genera, non riceve, e che riguardano comunque il cliente finale.
Dati trattati come titolare
Sono i dati di chi usa Jarbris: indirizzo email e nome del merchant e dei suoi operatori, identificativo dell'account Google o Microsoft se si accede con quelli, anagrafica e credenziali del negozio, dati di fatturazione e documenti fiscali, registro delle azioni compiute nell'applicazione.
Base giuridica: l'esecuzione del contratto di servizio (art. 6.1.b GDPR), gli obblighi fiscali e contabili (art. 6.1.c) e il legittimo interesse alla sicurezza e al corretto funzionamento del servizio (art. 6.1.f).
Sub-responsabili
Per erogare il servizio Jarbris si avvale dei fornitori elencati qui sotto, nominati responsabili o sub-responsabili del trattamento ai sensi dell'art. 28 GDPR. L'elenco è aggiornato alla data in cima a questa pagina.
| Fornitore | Dove risiedono i dati | A cosa serve |
|---|---|---|
| Railway | Unione europea | Esecuzione dell'applicazione |
| Vercel | Stati Uniti | Consegna dell'assistente sul sito del negozio e della dashboard |
| MongoDB Atlas | Unione europea (Irlanda) | Database principale |
| Sentry | Unione europea (Germania) | Rilevazione degli errori |
| Google — Gemini API | Stati Uniti | Comprensione e generazione del testo |
| Pinecone | Stati Uniti | Ricerca semantica sul catalogo |
| Resend | Stati Uniti | Invio e ricezione delle email |
| Meta Platforms | Stati Uniti | Canali Instagram e Messenger |
| Shopify | Stati Uniti | Piattaforma del negozio |
| Google e Microsoft | Stati Uniti | Accesso alla dashboard con account esistente |
Tre precisazioni che cambiano la sostanza
Pinecone non riceve il testo dei clienti. Ci finiscono i dati del catalogo del merchant e, per ogni ricerca, soltanto la rappresentazione numerica della domanda: la frase scritta dal cliente non lascia mai i sistemi descritti sopra in forma leggibile.
Google riceve invece il contenuto dei messaggi, perché è il modello linguistico che li interpreta e formula le risposte. Jarbris utilizza il piano a pagamento dell'API, per il quale Google dichiara di non usare i contenuti inviati per addestrare o migliorare i propri modelli e di non sottoporli a revisione umana, conservandone traccia solo per un periodo limitato e al solo fine di prevenire abusi.
Le email inviate ai clienti finali caricano due risorse remote — i caratteri tipografici da Google e alcune icone da cdn.simpleicons.org. Quando il destinatario apre il messaggio, il suo indirizzo IP raggiunge quei due fornitori. Non serve a misurare nulla ed è una conseguenza di come i modelli sono composti, ma è un trattamento e va detto.
Trasferimenti fuori dall'Unione europea
Il database, l'esecuzione dell'applicazione e la rilevazione degli errori restano all'interno dell'Unione europea. Gli altri fornitori elencati sopra hanno sede negli Stati Uniti: verso di loro il trasferimento avviene sulla base delle garanzie previste dal Capo V del GDPR, fra cui le clausole contrattuali tipo adottate dalla Commissione europea.
Per quanto tempo
- Eventi di navigazione: 90 giorni dalla raccolta.
- Conversazioni della chat e via email: 365 giorni dalla chiusura della sessione.
- Conversazioni di Instagram e Messenger: 365 giorni dall'ultimo messaggio.
- Account del merchant rimasto senza negozi collegati: 30 giorni, poi cancellazione definitiva. È una finestra voluta, perché una disinstallazione temporanea o la rimozione accidentale da un team non distruggano l'account.
- Registro dei consensi: per il tempo necessario a dimostrare che il consenso è stato raccolto, come richiede il principio di responsabilizzazione.
- Dati di fatturazione e documenti fiscali: per i termini imposti dalla normativa tributaria.
Alla disinstallazione dell'applicazione o alla chiusura del negozio, i dati associati vengono cancellati secondo le richieste che Shopify trasmette a Jarbris (si veda la sezione seguente).
Sicurezza
- Comunicazioni cifrate in transito.
- Token di accesso ai canali di messaggistica collegati (Instagram, Messenger) cifrati a riposo con AES-256-GCM.
- Isolamento fra negozi: ogni dato è legato al negozio a cui appartiene, e le interrogazioni che servono i merchant sono ristrette al proprio negozio. Un merchant non può raggiungere i dati di un altro.
- Accesso limitato al personale necessario e riduzione dei dati personali nei registri tecnici.
I diritti dei clienti finali
Per i dati dei clienti finali il titolare è il merchant: le richieste di accesso, rettifica, cancellazione, limitazione, portabilità e opposizione (artt. 15-22 GDPR) si rivolgono a lui. Jarbris lo assiste nel darvi seguito.
Le richieste che Shopify inoltra per conto del cliente o del negozio — accesso ai dati, cancellazione dei dati di un cliente, cancellazione dei dati del negozio — sono ricevute e gestite da Jarbris in modo automatico, verificando l'autenticità di ciascuna richiesta.
Cambiamenti nell'elenco dei sub-responsabili
L'elenco sopra è la fonte aggiornata. Prima di aggiungere o sostituire un sub-responsabile, Jarbris informa i merchant con almeno 30 giorni di anticipo all'indirizzo email associato all'account, così che possano valutarlo e, se non lo accettano, interrompere il servizio.
Contatti
Per qualsiasi questione relativa a questa informativa, all'accordo sul trattamento dei dati o all'esercizio dei diritti: info@jarbris.com. I dati identificativi completi del titolare sono nelle note legali.
Chi ritiene che il trattamento violi la normativa può proporre reclamo al Garante per la protezione dei dati personali (garanteprivacy.it) o all'autorità di controllo del proprio Paese.
Modifiche
Questa informativa viene aggiornata quando cambiano gli strumenti o i fornitori del servizio. La data in cima alla pagina indica l'ultima revisione.