Sub-responsabili del trattamento
Versione 1.1 · 10 giugno 2026
Alvoru incarica i seguenti sub-responsabili del trattamento per l'erogazione dei nostri servizi. Il presente elenco viene aggiornato a ogni aggiunta o sostituzione, con un preavviso di almeno 14 giorni ai clienti esistenti.
Sub-responsabili del trattamento attuali
| Sub-responsabile | Finalità | Ubicazione | Garanzia |
|---|---|---|---|
| Anthropic | Generazione di testo AI (Claude) — AI primaria per chatbot, classificatore e riepilogo | Stati Uniti | SCC + misure aggiuntive |
| Voyage AI | Vector embedding per la ricerca nella knowledge base (RAG) | Stati Uniti | SCC (Model Clauses) + DPA — Informativa sulla privacy |
| OpenAI L.L.C. | Generazione di testo AI (GPT) — fallback in caso di indisponibilità di Anthropic | Stati Uniti | DPF + SCC |
| Resend | E-mail transazionali (e-mail a clienti e visitatori) | Stati Uniti | Certificato DPF |
| Hetzner Online GmbH | Hosting & archiviazione dati (server di produzione e di backup) | Germania / Finlandia (UE) | All'interno dello SEE · ISO 27001 |
| Cloudflare Inc. | CDN, protezione DDoS, DNS & Email Routing | In tutto il mondo | DPF + SCC |
| Mollie B.V. | Elaborazione dei pagamenti (dal 1° giugno 2026) | Amsterdam (NL) | All'interno dello SEE · PCI-DSS |
| Sentry GmbH | Monitoraggio degli errori & performance applicative — rilevamento e analisi degli errori a runtime nella dashboard. Dati trattati: log tecnici (possono contenere occasionalmente PII nel contesto dell'errore). Periodo di conservazione 30 giorni. | Germania (UE) | All'interno dello SEE · ISO 27001 |
| Meta Platforms Ireland Ltd | WhatsApp Business API — collegamento del chatbot AI al canale WhatsApp del cliente (solo se il cliente attiva questa funzione). Dati trattati: contenuto dei messaggi e numeri di telefono dei visitatori finali. | Irlanda (UE) — trattamento anche negli USA | SCC + DPF |
| Google LLC | Google Workspace (routing e-mail per info@/contact@) e Google Maps Platform (dati aziendali pubblici per il lead prospecting tramite n8n). | Stati Uniti | DPF + SCC |
| Moneybird B.V. | Fatturazione e contabilità. Dati trattati: nome del cliente, dati aziendali, importi delle fatture, stato dei pagamenti. | Amsterdam (NL) | All'interno dello SEE |
| n8n | Automazione dei flussi di lavoro per il lead prospecting (self-hosted su Hetzner UE) | Germania (self-hosted) | Trattamento su server UE proprio — nessun trasferimento esterno |
| Litestream | Replica SQLite continua verso Hetzner Storage Box (backup offsite) | Germania (Hetzner) | I dati rimangono all'interno dell'UE — archiviati su Hetzner Storage Box |
| AbuseIPDB | Controllo della reputazione IP per la protezione dai bot (solo IP con hash, nessun dato personale) | Stati Uniti | Legittimo interesse (prevenzione delle frodi) — dati minimi (solo IP, anonimizzato per il logging) |
Abbreviazioni
- SCC = Standard Contractual Clauses (clausole contrattuali standard UE, articolo 46 GDPR)
- DPF = EU-US Data Privacy Framework (decisione di adeguatezza)
- SEE = Spazio Economico Europeo
- PCI-DSS = Payment Card Industry Data Security Standard
Registrazione delle modifiche
Tutte le modifiche a questo elenco vengono comunicate via e-mail ai clienti esistenti. I Committenti possono presentare obiezioni per iscritto entro 14 giorni dall'annuncio; in caso di obiezione fondata è possibile la risoluzione gratuita.
Accordo sul trattamento dei dati
Le condizioni giuridiche complete per il sub-trattamento sono riportate nell' Accordo sul trattamento dei dati (DPA), in conformità all'articolo 28 GDPR.
Contatti
Domande sui sub-responsabili del trattamento, sui trasferimenti al di fuori dello SEE o su garanzie specifiche: info@alvoru.com.