Privacy-handling

PRIVACY and DATA HANDLING

Security Policy and Data Handling

This security policy describes the measures we take to protect confidentiality, integrity, availability of customer and company data in our software solutions. This policy applies to all our systems, applications, services, infrastructure, personnel, third-party providers that interact in any way with company data. We commit to respect and protect your privacy and security of your personal data. This policy defines the basis on which data related to a directly or indirectly indentifiable person we may collect and process. We strongly support the fundamental right to privacy and data protection, and we abide by the national and international laws on privacy. We will treat personal information as confidential, and limit the disclosure on the basis of the local law. The rules on processing, storing, and transfer of data are set out in the General Data Protection Regulation “GDPR”. This document defines purposes, requirement, and processes realted to the processing of pernal data. This policy applies to collection, processing, use, transfer, storage of personal information of our employees, applicants, clients, users, suppliers, contractors, and more generally every person that interacts with our services and products.

Who we are

By data processing we mean every operation or set of operations performed on personal data, both manually and authomatically. This includes collection, retrieval, storing, transfer, organization, alteration, use, destruction. Our users are identificated by means of credentials and can access, use, and manage their data or their company data. Our system can access sources of data for which a user granted access in order to provide a service:

Data controller: we define what types of data we need to fulfill our users needs. This includes email addresses, phone numbers, physical addresses, payment details, both for individuals and companies.
Data processor: we collect, process, store, and use data provided by diverse sources, both internal (e.g. management software, mobile applications), and external (e.g. marketplaces like Amazon, Temu, eBay, Cdiscount), to provide our services to customers. We also store and process data realted to our personnel to fulfill our legal obligations as a company.

Data classification

Public:
- Marketing material
- Posts on our website
- Promotional or presentational material on our social media channels like Youtube, Instagram, and Facebook
- Public documentation
Internal: internal documents, internal communication, and internal documentation. Our internal communications are conducted on private channels hosted on our servers. Our internal communication does not make use thid-party servers. The concept of least privilege extends to our internal communication: the participants of a discussion are solely the employees involved in the discussion, personnel that is not directly implicated does not have access to the conversation.
Condifential: data that that pertains to the the customer information, access credentials, private keys, secrets, financial records, personal information, and more generally all data marked as confidential. These could be names, ID numbers (e.g. passport number, national ID number, bank account number), email addresses, physical addresses, phone numbers.
Special categories: special data categories include genetic, biometric, ethnic, sexual orientation, political views, religion, phylosophy, data about health, that may identify an individual. Our services do not collect any of these data. They are not collected, stored, or processed.

Our data principles

All our services and personnel follow the following principles when processing personal information. All entities must ensure that these rules are applied:

Processing of personal information abiding by the law.
Processing personal information for specific and legitimate purposes. No data processing outside of the predefined scope.
Collection of personal information only if relevant and not excessive for the purposes for which it is collected.
Take appropriate measures, both technical, physical, and organizational to prevent unauthorized access, inappropiate processing in relation to the law, accidental or unauthorized loss, destruction, damaging of personal information.
We make sure that the individual is informed and has expressed consent to the collection and processing of personal information.

Access control

Least privilege: users and services only have the necessary permission for their role.
Role-based access: access is authorized based on role, administrative access required explicit approval. This means that if an employee does not need access to a set of data to fulfill their daily duties, will not have access to that set of data. We limit access to our internal systems that contain personal data to a limited group of authorized users that have a unique identifier and a complex password. Access to personal data is limited to individuals for the purpose of their job.
Two factor authentication is necessary for access to all administrative accounts.
Password policy: strict requirements for password with rotation where applicable.
We apply network segmentation besides other protection measures to monitor and prevent network threats and to limit lateral movements and reduce impact of incidents.
We install anti-virus software on company endpoints.
Devices used for daily company operations such as computers and smartphones are monitored and protected by complex passwords.
Tracking: we track all incidents with metrics and logs, we also track the corrective meaures taken and make post-incident reports.
Vulnerability scanning performed regularly on company devices to detect potential vulnerabilities.

Data protection

We only process data required to fulfill our business needs. All data, and especially personal data, will be processed only if necessary. We commit to adopt all technical, physical, organizational measures necessary to protect our personnel and clients personal data and to prevent unauthorized access, accidental loss, damage, unauthorized processing and destruction. Our systems do not store or process passwords, keys, or secrets of the user, for example eBay Seller Account, Amazon Seller Central, or Temu Seller Center credentials. We will store keys that users generated using authorization methods from third parties, which are necessary to operate on their behalf, for example Amazon SP API, Temu API. These keys are considered confidential.

We only use data to offer our services to our clients. This means that we do not sell nor rent, share, or grant access to third parties to data owned by our clients.
Data encrypted in transit: TLS 1.3 for all communication about personal data. Data is saved on secure servers through HTTPS/SSL connections.
Encryption at rest: confidential data is encrypted at rest (AES-256)
Regular encrypted backups.
Data is collected only to offer our services.
Data that is no longer necessary is deleted. We do not store data for longer than necessary. For example, we do not store data about a contract for longer than necessary to fulfill the contract.
We grant access, edit, and removal of a user’s data when requested, at any time, even without the approval of our client.

Data storage

Personal data is stored for no longer than reasonably necessary, for legal reasons, or when further interactions would benefit the company or user. For example, we do not store personal data about contract for longer than necessary to fulfill the contract. Different sources of data require different ways of storing, processing, and managing data. We guarantee that we respect all the requirements of each source which access is granted by a client.

Data transfer

Personal data is treated as strictly confidential and is shared only with the explicit consent of the data subject. Transfer of data outside this purpose is treated as a company policy violation. We guarantee access at any time to edit or delete data about a specific user if requested.

Transfer of data outside the EEA

GDPR applies to all data processed or stored within the EEA (European Economic Area), or data that is transfered to, from or through the EEA. Entities in this area are protected by GDPR and all entities outside the area that interact with entities protected by the GDPR must sign a document that establishes the respect of the GDPR rules in relation to the data subjects covered by this document. These may include clients, contractors, our personnel resident outside the EEA

Legal basis

Consent of the data subject: through email, conversation or documentation.
Contract: personal information is confidential.
Authorization from our client: from the moment the contract is signed by our company and a client, the client can authorize us to access certain personal information such as name, physical address, email address, or ordered products. This authorization can be revoked at any time by the client, even before the contract has ended.

User rights

The data subject, whether a natural person or a legal entity, has the right to request access to a copy of their personal data on our systemms. They can request edit of inaccurate or outdated data, or data that is no longer necessary. The subject can request the transfer of data to another operator or controller, for example disclosure of specific information to a thrid party on behalf of the subject. The subject has the right to limit data processing, and can object to management of personal data. According to art. 15 to 22 of Reg. 679/2016 and art. 7 of D.Lgc n. 196/2003, the subject has the following rights:

Obtain confirmation of whether or not personal data concerning you exists.
Obtain information about the purposes of the processing, the categories of personal data, the recipients or categories of recipients to whom the personal data have been or will be disclosed and, when possible, the retention period.
Obtain rectification (through appropriate authentication in the portal within your reserved area) and deletion of the data.
Obtain data portability, i.e., receive the data from a controller in a structured, commonly used, machine-readable format and transmit them to another controller without hindrance.
Object to processing at any time (where permitted by applicable law — see Art. 6(1)(b) and (c) of Reg. 679/2016) including for direct marketing purposes.
Request from the controller access to personal data and the rectification or deletion of such data or the restriction of their processing, or to object to their processing, as well as the right to data portability.
Revoke consent at any time without affecting the lawfulness of processing based on consent given before the revocation.

Development and testing

We are committed to adhering to all best practices throughout the production process, from the design of a system to its deployment in production.

We use always updated devices and pay attention to vulnerabilities that may be reported for a system or for the version of software we use.
Code peer review with attention to security before production deployment.
Dependency management: Regular scans for vulnerable dependencies and timely patching.
Security patches applied as soon as possible.
Prioritization and remediation of vulnerabilities based on severity and impact.
All changes to our systems are tracked and documented.

Automated Decisions

At the moment, we do not use any form of automated decision-making process in our activities. All decisions are made by qualified personnel based on the required scope.

Data Sharing with Third Parties

When we receive personal information, either directly through a retailer or business partner, we use the user’s contact details to inform them and do not sell or rent this data to third parties without the consent of the data subject. It may be necessary to share personal information with selected third parties that provide certain business services:

- This data is transmitted in the form of a written contract that outlines the third party’s commitment to protecting the personal information of the affected individuals.
- Within the framework of European rules on transborder data flow when the third party is located outside the European Union.
- Changes to the Privacy and Data Management Policy

This policy is updated as of June 2025. Future changes will be communicated to stakeholders through official email communication channels and highlighted on our website to inform our customers, users, and all individuals or companies that interact in any way with our company regarding the processing, collection, storage, and management of personal data by our personnel and systems.

Communication Channels

The contact email for privacy and security issues is support@joiasoftware.it
This email address can be used to exercise your rights or request additional information.
In case of urgency, or if your request has not been resolved after contacting us or you need further assistance, you can always reach us at our headquarters or by phone:

Via S.Nullo, 180 80014 Giugliano in Campania (NA)
+39 081 19662001

Policy della sicurezza e del data handling

Questa security policy descrive le misure che prendiamo per proteggere la confidenzialità, integrità e disponibilità dei dati dei clienti e delle aziende per le nostre soluzioni software.
Questa policy si applica a tutti i sistemi, applicazioni, servizi, infrastrutture, personale, e provider di terze parti che interagiscono con i dati dell’azienda.
Ci impegnamo a rispettare e progettere la tua privacy e la sicurezza dei tuoi dati personali. Questa policy delinea le basi sulle quali ogni dato riguardante una persona identificabile direttamente o indirettamente potremmo raccogliere o che potremmo ricevere per essere processato da noi.
Supportiamo fermamente i diritti fondamentali alla privacy e alla protezione dei dati, e aderiamo alle leggi sulla privacy nazionali e internazionali. Ci impegnamo a trattare come confidenziale ogni informazione personale e di limitarne la diffusione in base alle leggi locali.
Le regole sul processamento, stoccaggio e trasmissione dei dati sono indicati nel General Data Protection Regulation “GDPR”. Questo indica gli scopi, i requisiti e processi per la gestione dei dati con i quali una persona può essere identificata. Questa policy è applicabile alla raccolta, processamento, utilizzo, trasferimento, stoccaggio di informazioni personali dei nostri impiegati, candidati, clienti, rifornitori, o ogni individuo che entra in contatto con i nostri servizi. Impone regole comuni per tutte le entità di tutti i paesi, a meno che la legge nazionale richieda requisiti più stringenti. Il suo scopo è assicurare un alto livello di protezione delle informazionazioni personali all’interno della nostra azienda.

Chi siamo

Per gestione dei dati si intende ogni operazione o serie di operazioni che vengono attuate sui dati sia manualmente che in maniera automatica. Questo include raccolta, recupero, salvataggio, organizzazione, alterazione, consultazione, utilizzo, distruzione. I nostri utenti sono identificati tramite credenziali e possono accedere, utilizzare, e gestire dati di proprietà della sua azienda. I nostri sistemi possono accedere alle fonti di dati alle quali un utente ha dato al nostro sistema l’autorizzazione di modo da poter offrire un servizio.
Di seguito sono indicati i nostri ruoli per quanto riguarda la raccolta, conservazione e gestione dei dati personali.

Data controller. Definiamo di quali dati abbiamo bisogno per portare a termine le mansioni all’interno della nostra azienda. Questo include indirizzi email, numeri di telefono, indirizzi fisici, dettagli di pagamento sia per individui che aziende.
Data processor: raccogliamo, processiamo, conserviamo e utilizziamo dati provenienti da diverse fonti, sia interne (ad esempio software gestionali, applicazioni mobile) che esterne (per esempio marketplace come Amazon, Temu, eBay, Cdiscount), per offrire i nostri servizi ai nostri clienti nel corso della nostra attività. Inoltre, conserviamo e processiamo dati riguardanti il nostro personale così da poter svolgere i nostri doveri come azienda.

Classificazione dei dati

Pubblici:
- Materiale di marketing
- Annunci sul nostro sito web
- Contenuti promozionali o di presentazione sui nostri canali social, come YouTube, Instagram e Facebook
- Documentazione pubblica
Interni: documenti operativi, communicazione interna, documentazione interna. Le nostre communicazioni interne avvengono unicamente tramite canali privati sui nostri server. La nostra comunicazione interna non si avvale di server di terze parti. Il concetto di least privilege si estende anche alla nostra comunicazione interna: i partecipanti ad una data discussione solo solamente gli impiegati direttamente interessati, personale non direttamente coinvolto non ha accesso alla conversazione.
Confidenziali: Tutti i dati che hanno a che fare con informazioni del cliente, credenziali di accesso, chiavi private, segreti, record finanziari, informazioni riguardanti una persona identificabile direttamente o indirettamente, e più in generale tutti dati segnati come confidenziali. Questi possono essere nomi, numeri identificativi (ad esempio passaporto, ID nazionale, conto bancario), indirizzi email, numeri di telefono, indirizzi fisici.
Categorie special: Le categorie speciali di dati personali includono dati gentici, biomentrici, etnici, orientamento sessuale, visioni politiche, religione, filosofia, dati sulla salute che potrebbero identificare un individuo. I nostri servizi non hanno mai a che fare con questo tipo di dati. Perciò non vengono raccolti, conservati o processati.

Princìpi fondamentali

Tutti i nostri servizi e personale osservano i seguenti principi quando processano informazioni personali. Tutte le entità devono assicurarsi che queste regole siano messe in atto:

Gestione di informazioni personali nel rispetto delle leggi.
Gestione di informazioni personali per ragioni specifiche, legittime e non processare dati in modo incompatibile con gli scopi.
La raccolta di informazioni personali solo se rilevanti e non eccessive per le ragioni per le quali sono raccolte ed utilizzate.
Conservare informazioni personali solo per il tempo necessario per gli scopi per i quali sono raccolte e processate.
Tenere informazioni personali in linea con i diritti legali dell’individuo
Prendere misure appropriate, sia tecniche, fisiche e organizazzionali, per prevenire accesso non autorizzato, processamento non conforme alle alleggi, perdita accidentale o non autorizzata, distruzione, danneggiamento a informazioni personali.
Nella raccolta delle informazioni personali, ci assicuriamo che l’individuo è informato e/o ha espresso il suo consenso alla raccolta e alla gestione dei dati.

Controllo degli accessi

Least privilege: Utenti e servizi hanno solo i permessi necessari per il loro ruolo
Accesso in base al ruolo: l’accesso viene assegnato in base al ruolo, accesso amministrativo richiede approvazione esplicita. Questo significa che se un impiegato non ha bisogno dell’accesso ad un set di dati per ottemperare alle sue mansioni quotidiane, non avrà accesso a quel set di dati. Limitiamo l’accesso ai nostri sistemi interni che contengono dati personali a un gruppo limitato di utenti autorizzati, a cui è dato un identificativo univoco e una password complessa. L’accesso ai dati personali è limitato agli individui per lo scopo di svolgere le sue mansioni lavorative.
Autenticazione a più fattori necessaria per tutti gli accessi ad account amministrativi
Policy password: Requisiti stringenti per password con rotazione dove applicabile.
Applichiamo segmentazione di rete oltre ad altre misure di protezione per monitorare e prevenire le minacce di rete per limitare i movimenti laterali e ridurre il raggio d’azione degli incidenti.
Installiamo software anti-virus sugli endpoint aziendali.
I dispositivi utilizzati per operazioni aziendali quotidiane come computer e smartphone sono monitorati e protetti da password complesse.
Tracciamento: registro degli incidenti con metriche, tracciamento delle azioni corretive e report post-incidente condivisi con il personale interessato.
Scansioni delle vulnerabilità eseguite regolarmente sui dispositivi aziendali per contenere le minacce.

Protezione dei dati

Processiamo solo i dati richiesti per adempiere agli scopi di business. Ogni dato, con particolare attenzione alle informazioni personali, sarà processato solo se necessario.

Ci impegnamo ad adottare tutte le misure tecniche, fisiche e organizzative necessarie per proteggere i dati personali dei nostri impiegati e dei nostri clienti per prevenire un accesso non autorizzato, perdita accidentale, danneggiamento, e distruzione non autorizzata. Nei nostri sistemi non vengono salvati o processati password, chiavi o segreti degli utenti, per esempio credenziali eBay Seller Account, Amazon Seller Central, o Temu Seller Center. A questi fanno eccezione le chiavi che gli utenti hanno generato utilizzando metodi di autorizzazione di terze parti, che sono necessarie per poter operare su sistemi (per esempio, Amazon SP API, Temu Api) per il cliente. Queste chiavi sono considerate informazioni confidenziali.

Utilizziamo i dati solo per offrire i nostri servizi ai nostri clienti. Questo significa che non vendiamo ne condividiamo e ne diamo accesso a terze parti a dati di proprietà dei nostri clienti.
Dati crittografati in transito: TLS 1.3 per tutte le comunicazioni che hanno a che fare con dati sensibili. I dati sono salvati su server sicuri tramite connessioni di tipo HTTPS/SSL.
Encryption at rest: I dati confidenziali a riposo sono crittografati (AES-256)
Vengono eseguiti backup periodici criptati.
Vengono raccolti solo i dati essenziali per offrire i servizi.
I dati non più necessari vengono eliminati. Non conserviamo i dati per più tempo di quanto necessario. Per esempio, non conserviamo dati riguardandi un contratto per più tempo di quello necessario per adempiere alle richieste del contratto.
Garantiamo accesso, modifica e rimozione dei dati di un utente nello specifico se richiesto, in ogni momento, anche senza il consenso del nostro cliente.

Conservazione dei dati

I dati personali verrano conservati per non più tempo di quello ragionevolmente necessario, per ragioni legali o quando ulteriori interazioni beneficierebbero l’azienda. Per esempio, non conserviamo dati personali riguardanti contratti per più tempo di quello necessario a rispettare i requisiti di contratto.

Diverse fonti di dati ci richiedo di conservare, gestire e processare i dati in modi diversi e con diversi periodi di conservazione. Garantiamo che rispettiamo tutti i requisiti imposti da una fonte di dati, il cui accesso ci è stato accordato da un cliente.

Trasferimento di dati

I dati personali sono tratti come strettamente confidenziali esono condivisi solo solo con il consenso esplicito del soggetto dei dati. Trasmissione di dati fuori da questo scopo viene tratto come una violazione delle policy aziendali.

Garantiamo accesso in ogni momento di modificare o rimuovere dati relativi a un particolare utente se richiesto.

Trasferimento di dati al di fuori dell’area EEA

Il GDPR si applica a tutti i dati processati o conservati all’interno dell’Area Economica Europea, o dati che sono trasmetti da, a o via l’EEA.
Entità in quest’area sono protette dal GDPR e tutte le entità al di fuori di questa area ma che hanno a che fare con entità protette dal GDPR devono firmare un documento che stabilisca che rispetto le regole del GDPR in relazione ai soggetti dei dati coperti da questo documento, che potrebbero includere clienti, lavoratori autonomi, il nostro personale domiciliati o residenti fuori dall’EEA.

Basi legali

Consenso del soggetto dei dati: tramite email, conversazione o documentazione.
Il contratto: informazioni identificabili fanno parte di ogni contratto, tutti i contratti sono confidenziali.
Autorizzazione dal nostro cliente: dal momento della firma del contratto tra la nostra azienda e un cliente, il nostro cliente può autorizzarci ad accedere a certe informazioni personali identificabili come nome, indirizzo fisico, indirizzo email, o prodotti ordinati. Questa autorizzazione può essere revocata in qualsiasi momento dal nostro cliente, anche prima che il contratto tra le nostre aziende è giunto al termine.

Diritti dell’utente

Il soggetto dei dati, ovvero una persona, un’entità, un’azienda sulla quale i dati sono basati o per i quali il soggetto può essere identificato, ha sempre diritto di richiedere l’accesso o una copia dei suoi dati personali conservati sui nostri sistemi, di richiedere la correzione di dati che non sono corretti, ad esempio dati che non sono stati aggiornati, non sono più rilevanti o non corretti. Il soggetto può sempre richiedere l’eliminazione di dati che non sono più necessari. Il soggetto può richiedere la trasmissione dei dati ad un altro operatore o controller, per esempio rilasciare specifiche informazioni ad un’altra parte da parte del soggetto. Il soggetto ha il diritto di limitare la gestione dei dati, e può obiettare alla gestione di dati personali.

Nello specifico, l’Interessato, ai sensi degli art. da 15 a 22 del Reg. 679/2016 e dell’Art.7 del D.Lgs. n. 196/2003, ha diritto di:

Ottenere conferma dell’esistenza o meno di dati personali che Lo riguardano.
Ottenere le indicazioni circa le finalità del trattamento, le categorie dei dati personali, i destinatari o le categorie di destinatari a cui i dati personali sono stati o saranno comunicati e, quando possibile, il periodo di conservazione.
Ottenere la rettifica (attraverso apposita autenticazione nel portale all’interno della propria area riservata) e la cancellazione dei dati.
Ottenere la portabilità dei dati, ossia riceverli da un titolare del trattamento, in un formato strutturato, di uso comune e leggibile da dispositivo automatico, e trasmetterli ad un altro titolare del trattamento senza impedimenti.
Opporsi al trattamento in qualsiasi momento (ove consentito dalle leggi vigenti vedi Art.6 C.1 Lett.b e c del Reg.679/2016) ed anche nel caso di trattamento per finalità di marketing diretto.
Chiedere al titolare del trattamento l’accesso ai dati personali e la rettifica o la cancellazione degli stessi o la limitazione del trattamento che lo riguardano o di opporsi al loro trattamento, oltre al diritto alla portabilità dei dati.
Revocare il consenso in qualsiasi momento senza pregiudicare la liceità del trattamento basata sul consenso prestato prima della revoca.

Sviluppo e testing

Ci impegnamo a rispettare tutte le best practices durante tutto il processo produttivo, dalla progettazione di un sistema all suo deploy in produzione. Utilizziamo dispositivi sempre aggiornati e prestiamo attenzione a vulnerabilità che potrebbero essere segnalate per un sistema o per la versione di un software da noi utilizzato.

Peer review del codice con attenzione alla sicurezza prima del deploy in produzione.
Gestione delle dipendenze: Scansioni regolari per dipendenze vulnerabili e patching tempistico.
Patch della sicurezza applicate il prima possibile.
Prioritizzazione e rimedio delle vulnerabilità in base a severità e impatto.
Tutti i cambiamenti ai nostri sistemi sono tracciati e documentati.

Decisioni automatizzate

Al momento non utilizziamo nessuna forma forma di processo decisionale automatizzano nella nostra attività. Tutte le decioni vengono prese dal personale competente in base all’ambito richiesto.

Condivisione dei dati con terze parti

Quando riceviamo informazioni personali, sia direttamente tramite un rivenditore o business partner, utilizziamo i dati di contatto dell’utente per informarlo e non vendiamo ne affittiamo questi dati a terze parti senza il permesso del soggetto dei dati.

Potrebbe essere necessario condividere informazioni personali con delle terze parti selezionate che attuano certi servizi aziendali:

Questi dati sono trasmetti in forma di contratto scritto che stipuli l’impegno della terza parte a proteggere informazioni personali degli individui interessati,
Nel framework delle regole europee sul flusso di dati transfrontaliero quando la terza parte è localizzata fuori dall’Unione Europea.

Cambiamenti alla policy della privacy e della gestione dei dati

Questa policy è aggiornata al Giugno 2025. I cambiamenti futuri saranno segnalati alle parti interessate tramite canali di comunicazione email ufficiali e evidenziate sul nostro sito web, di modo da informare i nostri clienti, utenti e in generale tutte le persone fisiche o aziende che interagiscono in qualche modo con la nostra azienda circa il trattamento, raccolta, conservazione e gestione di dati personali da parte del nostro personale e dei nostri sistemi.

Canali di comunicazione

La mail di contatto per questioni relative alla privacy e sicurezza è supporto@joiasoftware.it
Questo indirizzo email può essere usato per esercitare i propri diritti, o richiedere informazioni aggiuntive.
Nell’eventualità di un’urgenza, o se la tua richiesta non è stata risolta dopo averci contatto o hai bisogno di ulteriore assistenza, puoi sempre contattarci alla nostra sede oppure al nostro numero di telefono:

Via S.Nullo, 180 80014 Giugliano in Campania (NA)
+39 081 19662001

Eleva il tuo business oggi stesso! Iscriviti ora e contattaci per ottenere i nostri servizi.

Via San. Nullo 180 - 80014 - Giugliano in Campania (Na) Partita IVA: 10794701218