Dados, privacidade e segurança

[Privacy

Que dados do Shopify a aplicação pode ler

A aplicação é instalada sem quaisquer permissões de acesso. Não pode aceder aos seus produtos, pedidos, clientes nem a quaisquer outros dados da loja. Os dados dos clientes só chegam a um e-mail porque os transmite a partir do Shopify Flow, através dos campos da etapa e do campo «Variáveis (JSON)». Shopify Flow lê os dados da sua loja; é o senhor que decide o que transmitir. Se enviar apenas um número de pedido, esse será o único dado que veremos.

Desde a versão 1.17 que existem quatro permissões opcionais, para duas funcionalidades: anexar o ficheiro para o qual um metacampo de pedido ou de cliente aponta (por exemplo, um PDF de fatura que outra aplicação guardou no pedido) e criar um código de desconto único para um e-mail cujo modelo o solicite. Nenhuma destas permissões é concedida aquando da instalação. A aplicação solicita a permissão na primeira vez que configurar um desses recursos; a Shopify apresenta a sua própria caixa de diálogo de consentimento e a página «Permissões» da aplicação lista todas as permissões concedidas, acompanhadas de um botão «Revogar».

Autorização	Utilizado para
Ler pedidos	O único metacampo indicado no layout, no único pedido a que se refere a etapa do Shopify Flow
Ler clientes	O mesmo se aplica a um metacampo de cliente
Ler ficheiros	Converter a referência ao ficheiro num metacampo no próprio ficheiro
Registar descontos	Criação de um desconto de utilização única quando é enviado um e-mail com um bloco «criar um código único». Não é lida qualquer informação; os outros descontos nunca são alterados nem eliminados

Mesmo com uma autorização concedida, a aplicação não acede a quaisquer dados por iniciativa própria: apenas quando é enviado um e-mail com esse anexo, apenas esse metacampo nesse recurso e apenas o ficheiro para o qual este aponta. Não acede a nomes, moradas, endereços de e-mail ou itens de linha, e o ficheiro é descarregado para esse envio, anexado e eliminado. Um código de desconto criado não contém dados pessoais e é mantido com o envio no Histórico. Os detalhes e os âmbitos exatos encontram-se em Autorizações: o que a aplicação pode ler na sua loja.

O que é armazenado

Dados	Porquê	Quanto tempo
Layouts de e-mail, pedidos HTTP, predefinições	A sua configuração	Até que os elimine ou desinstale
Configuração do remetente	Servidor SMTP / porta / credenciais ou tokens OAuth	Até que remova o remetente ou desinstale
Segredos	Valores que armazena deliberadamente	Até que os elimine ou desinstale
Histórico de ações	Estado, tempo de execução, pedido resolvido e resposta para cada execução	É eliminado automaticamente após 30 dias
Lista de cancelamento de subscrição	Destinatários que optaram por deixar de receber os seus e-mails de marketing: um hash do endereço para efeitos de correspondência, além do próprio endereço encriptado	Até que volte a subscrevê-los, a Shopify envie um pedido de eliminação relativo a esse cliente ou até que desinstale a aplicação
Ficheiros carregados	Imagens e anexos utilizados nos layouts	Até ser eliminado ou desinstalado
Registo da loja	O seu domínio myshopify, e-mail da loja, plano	Até que o desinstale

O histórico de ações é o aspeto a ter em conta. Este regista o que foi efetivamente enviado, o que, no caso de um e-mail, inclui os endereços dos destinatários e as variáveis resolvidas - e, no caso da ação HTTP Request, o pedido e a resposta. É isso que torna possível a resolução de problemas - trata-se também de dados pessoais, pelo que deve tratar o Histórico como dados de clientes no âmbito do seu próprio trabalho de conformidade. O histórico é apagado automaticamente após 30 dias.

Os valores confidenciais são ocultados do histórico antes de este ser gravado, pelo que um token armazenado nunca aparece nos seus registos.

Onde vive

Na União Europeia, tudo funciona no Google Cloud, na região europe-west1 (Bélgica). As bases de dados, as memórias cache, o armazenamento de ficheiros e os registos das aplicações são armazenados nessa região, com encriptação em repouso. Não utilizamos o rastreio de pedidos.

Como as credenciais são protegidas

Tudo o que possa ser utilizado para envio recebe uma segunda camada de encriptação, para além da encriptação ao nível do disco:

• Nomes de utilizador e palavras-passe SMTP
• Tokens de acesso e de atualização do Microsoft 365 e do Google OAuth
• Os seus segredos guardados
• Tokens de sessão do Shopify

Estes são encriptados individualmente através de um serviço dedicado de gestão de chaves e desencriptados apenas na memória, no momento em que uma ação é executada. O texto em claro nunca é gravado no disco.

Cada descodificação de um valor protegido é registada num registo interno de acessos.

O que os destinatários recebem

Os e-mails são enviados através da sua caixa de correio, e não da nossa - o seu tenant do Microsoft 365, a sua conta do Google Workspace ou o seu fornecedor de SMTP. Entregamos a mensagem ao seu fornecedor e esta é enviada sob o seu domínio. As novas etapas de e-mail são sempre enviadas através de uma caixa de correio ou de um servidor SMTP ao qual se ligue. As etapas guardadas antes da retirada do remetente predefinido partilhado continuam a utilizá-lo até que escolha o seu próprio remetente. Consulte Capacidade de entrega de e-mails.

O código HTML do e-mail gerado é sanitizado antes do envio: scripts, manipuladores de eventos, URLs javascript:, iframes e elementos de formulário são removidos, para que um valor transmitido pelo Shopify Flow não se possa transformar em conteúdo ativo na caixa de entrada de alguém.

E-mails de marketing e a lista de cancelamento de subscrição

Um modelo de marketing envia um e-mail por destinatário, cada um com o seu próprio link para cancelar a subscrição. O link contém um token encriptado que identifica a sua loja, o destinatário, o modelo e o idioma do e-mail; o endereço não é legível no link, pelo que não pode ser identificado em registos de e-mail, proxies ou num e-mail reencaminhado, e qualquer alteração ao link é rejeitada. Ao abrir o link, é apresentada uma página de confirmação com o endereço na forma mascarada; apenas o botão nessa página, ou o botão de cancelamento de subscrição com um clique do cliente de e-mail do destinatário, regista o cancelamento de subscrição.

A lista de cancelamento de subscrição armazena cada endereço duas vezes: como um hash, para que um remetente possa verificar os seus destinatários sem descodificar nada, e encriptado com o mesmo serviço de gestão de chaves que as suas credenciais, para que a página «Cancelamentos de subscrição» e a exportação em CSV possam apresentá-lo a si. O endereço é descodificado apenas nos nossos servidores, para essa página e para essa exportação. Os endereços nunca são registados nos registos da aplicação. Consulte E-mails de marketing e cancelamentos de subscrição.

Pedidos de saída

As solicitações HTTP que configurar são verificadas antes da ligação. As solicitações para endereços de rede interna ou privada - loopback, link-local, endpoints de metadados na nuvem, intervalos privados - são recusadas, incluindo as que ocorrem através de um redirecionamento. Os redirecionamentos estão limitados e o tamanho das respostas é restringido. Quaisquer dados pessoais devolvidos numa resposta são reenviados para o Shopify Flow e podem ser registados no histórico de execução (que é apagado após 30 dias). As mesmas verificações aplicam-se a um ficheiro que a aplicação obtenha para um anexo, quer provenha de um URL que o seu fluxo de trabalho transmita, quer de um metacampo.

IA e treino de modelos

Os seus dados nunca são utilizados para treinar modelos de IA. Isto abrange o conteúdo dos seus e-mails, os endereços e nomes dos destinatários, os anexos, as variáveis que transmite a partir do Shopify Flow, o Histórico e quaisquer dados de clientes ou lojas do Shopify. Isto aplica-se aos nossos próprios sistemas e a quaisquer terceiros: não treinamos modelos de forma alguma e nunca partilhamos nem vendemos os seus dados para esse fim.

A aplicação dispõe de uma funcionalidade opcional de IA, o assistente de layout (Crie, edite e traduza layouts com IA). Esta funcionalidade permanece desativada até que ligue a sua própria chave de API da Anthropic, OpenAI, Google Gemini ou OpenRouter na página do Desenvolvedor. Quando o utilizar, apenas o layout que estiver a editar (incluindo quaisquer valores de teste de exemplo que tenha introduzido) e a sua instrução são enviados para esse fornecedor, de acordo com os termos da sua própria conta junto desse fornecedor. Os e-mails enviados, os destinatários, o histórico e os anexos nunca são enviados para lá.

Se a sua equipa utilizar o Shopify Sidekick, poderá consultar o histórico da aplicação através de ferramentas de leitura apenas, quando tal lhe for solicitado. Trata-se do assistente próprio da Shopify e funciona de acordo com os termos da Shopify. Consulte Aplicativos auxiliares e assistentes de IA.

Eliminação

O histórico é apagado após 30 dias. O histórico de envios e execuções com mais de 30 dias é eliminado automaticamente, independentemente da desinstalação.

A desinstalação elimina tudo. Os layouts, os remetentes, os segredos, o histórico, a lista de cancelamento de subscrição e os ficheiros carregados são removidos. O processo é imediato e irreversível; por isso, exporte primeiro tudo o que pretenda conservar.

Os pedidos ao abrigo do RGPD provenientes da Shopify são tratados automaticamente. A Shopify envia webhooks relativos a pedidos de dados obrigatórios, à supressão de dados de clientes e à supressão de dados da loja; a aplicação processa-os e remove os dados correspondentes, incluindo a inscrição do cliente na lista de cancelamento de subscrição.

A eliminação de registos individuais tem efeito imediato e não é recuperável.

Subcontratantes

• Google Cloud (europe-west1, Bélgica) - alojamento, bases de dados, armazenamento, gestão de chaves
• O seu fornecedor de e-mail associado - o Microsoft 365, o Google Workspace ou o seu próprio servidor SMTP, utilizado apenas quando o associa para enviar e-mails
• Shopify - a plataforma com a qual a aplicação troca dados e, caso lhe sejam concedidas as autorizações opcionais, a partir da qual lê o metacampo selecionado e cria códigos de desconto em
• Amazon Web Services (Frankfurt, Alemanha) - envio de e-mails de alerta da própria aplicação para si e de etapas por e-mail guardadas sem um remetente próprio

Para consultar a lista completa e oficial, consulte o Anexo 3 da nossa DPA.

Perguntas

Para questões relacionadas com um DPA, um questionário de segurança ou uma questão específica de conformidade, contacte-nos através da Central de ajuda ou pelo endereço support@codecreationlabs.com.

Relacionado

• Autorizações: o que a aplicação pode ler na sua loja - as autorizações opcionais, o que abrangem e como as revogar.
• Segredos - como funcionam as credenciais armazenadas.
• Histórico e resolução de problemas - o que o Histórico regista.
• E-mails de marketing e cancelamentos de subscrição - o link para cancelar a subscrição, o rodapé e a página «Cancelamentos de subscrição».
• Aplicativos auxiliares e assistentes de IA - o que um assistente de IA pode e não pode ler.