Sub-responsabili e Fornitori Terzi – VoiceMail
1. Premessa
Per l'erogazione del servizio VoiceMail, INVESTIMENTO DIGITALE SRL si avvale dei fornitori terzi elencati di seguito, che possono trattare dati personali in qualità di responsabili del trattamento (art. 28 GDPR) o, ove indicato, come titolari autonomi. L'elenco è aggiornato sulla base delle integrazioni tecniche realmente presenti nel servizio.
2. Elenco dei Fornitori
| Fornitore | Funzione | Paese / Regione dati | Ruolo privacy (preliminare) |
|---|---|---|---|
| Anthropic | Motore AI generativo (bozze email, revisioni, chat sulla posta, analisi della knowledge base, richieste da gestire) | USA | Responsabile del trattamento (probabile) |
| OpenAI | Ricerca semantica (embeddings) e riserva per trascrizione vocale | USA | Responsabile del trattamento (probabile) |
| Infrastruttura AI self-hosted | Profili AI, riconoscimento allegati (OCR), trascrizione vocale primaria, knowledge base (database, indice di ricerca semantica, embedding su volume cifrato), anonimizzazione dei dati personali | Germania (UE) — server Hetzner separato, stesso fornitore della riga Hetzner sotto | Trattamento interno (infrastruttura gestita direttamente dal Titolare); il rapporto di responsabile del trattamento è con Hetzner in quanto host, vedi riga sotto |
| Login, accesso alla casella Gmail e sincronizzazione facoltativa di Google Calendar | USA / Irlanda | Responsabile (accesso email) / Titolare autonomo (login) | |
| Microsoft | Login, accesso alla casella Outlook e sincronizzazione facoltativa del calendario Outlook | USA / UE (secondo tenant) | Responsabile (accesso email) / Titolare autonomo (login) |
| Meta (Facebook) | Login | USA / Irlanda | Titolare autonomo |
| Apple | Apple Sign-In — login (bottone oggi visibile e attivo nell'interfaccia, al pari di Google/Microsoft/Facebook) | USA | Titolare autonomo |
| Stripe | Pagamenti web e pagamenti da app tramite link di pagamento esterno (External Purchase Link / External Offers) | USA / Irlanda (Stripe Payments Europe per clienti UE) | Da valutare caso per caso — tipicamente titolare autonomo per i dati di pagamento |
| Apple | Reporting obbligatorio delle transazioni completate tramite External Purchase Link (identificativi tecnici della transazione, non contenuto email) | USA / Irlanda | Da determinare — reporting imposto dal programma Apple, non un servizio scelto liberamente da VoiceMail |
| Hetzner Online GmbH | Hosting e storage allegati/profili | Germania (UE) — Falkenstein | Responsabile del trattamento |
| Sentry (Functional Software, Inc.) | Monitoraggio errori applicativi | Ingest dati in UE (Germania) | Responsabile del trattamento |
| HighLevel (LeadConnector) | Piattaforma di automazione delle comunicazioni: email, nome e stato dell'account (etichette) per le comunicazioni di servizio e, con consenso, promozionali | USA | Responsabile del trattamento |
| OpenAPI (openapi.com) | Verifica dati aziendali (clienti B2B) e trasmissione delle fatture al Sistema di Interscambio (SDI) | Italia (Openapi S.p.A., Roma); dati ospitati nell'UE (infrastruttura cloud in Belgio) | Responsabile del trattamento (art. 28 GDPR): contratto di nomina previsto dal fornitore (documento "GDPR, Data Retention Policy & DPA", v. 4.0 del 30/09/2026), che prevede la sottoscrizione di entrambe le parti, impegna il fornitore a conservare ed elaborare i dati nell'Unione Europea e gli vieta di nominare altri sub-responsabili senza comunicazione scritta e autorizzazione specifica |
| Google (Maps Platform) | Suggerimento degli indirizzi e anteprima mappa nel campo "Luogo" del calendario (il browser dell'utente contatta direttamente Google) | USA | Titolare autonomo |
| Telegram | Canale interno di notifica allo staff di nuovi ticket di assistenza e nuove registrazioni (identificativo utente, email, metodo di registrazione) | Extra-UE | Responsabile del trattamento (per questo canale) |
| Google (Fonts, reCAPTCHA) | Font del sito e protezione antispam del modulo di contatto | USA | Titolare autonomo |
| jsDelivr / unpkg | CDN di librerie software utilizzate dall'interfaccia | Rete CDN globale | Titolare autonomo |
3. Trasferimenti Extra-UE
I fornitori con sede o trattamento dati anche negli Stati Uniti (Anthropic, OpenAI, Google, Microsoft in parte, Meta, Stripe in parte, HighLevel) comportano un trasferimento di dati verso un Paese terzo, soggetto alle garanzie previste dal Capo V del GDPR. Stato di formalizzazione dei DPA/Clausole Contrattuali Standard, verificato fornitore per fornitore direttamente sui rispettivi pannelli amministrativi:
- Anthropic: confermato il 26/08/2026. Le Clausole Contrattuali Standard sono incorporate automaticamente nei Commercial Terms of Service, vincolanti sull'organizzazione (INVESTIMENTO DIGITALE SRL, P.IVA IT03985080369) fin dalla creazione dell'account — nessun documento separato da firmare o archiviare.
- OpenAI: confermato il 26/08/2026. Riscontrata e corretta un'intestazione dell'account a un'entità legale precedente (Garol Management SRL), ora INVESTIMENTO DIGITALE SRL. A differenza di Anthropic, il DPA OpenAI richiede un'esecuzione esplicita: eseguito e firmato elettronicamente dal legale rappresentante.
- Sentry: confermato il 26/08/2026. La "Data Processing Amendment" (Functional Software, Inc.), che include le Clausole Contrattuali Standard, è stata accettata direttamente sul pannello (versione 5.1.0). I dati applicativi sono comunque conservati nella regione UE (Data Storage Region: European Union).
Hetzner (Germania, UE) non comporta trasferimenti extra-UE: il contratto ai sensi dell'art. 28 GDPR è stato creato il 26/08/2026 sul pannello Hetzner (organizzazione INVESTIMENTO DIGITALE SRL, cliente K1161778025), con ambito esteso a dati anagrafici, di comunicazione, contrattuali/fatturazione e di log — le categorie di dati che transitano sui server Hetzner utilizzati dal servizio (applicativo principale e infrastruttura AI self-hosted). Disponibile inoltre un report di audit annuale TÜV Rheinland (art. 32 GDPR) a conferma delle misure di sicurezza adottate da Hetzner.
OpenAPI (Openapi S.p.A., Italia): riscontro del fornitore del 26/10/2026. Il contratto di nomina a responsabile del trattamento (art. 28 GDPR) previsto dal fornitore richiede la sottoscrizione di entrambe le parti. Il fornitore ha indicato che il proprio database (MongoDB Atlas, MongoDB, Inc.) e i file archiviati sono ospitati su Google Cloud nella regione europe-west1 (Saint-Ghislain, Belgio, UE) e si impegna a conservare ed elaborare i dati all'interno dell'Unione Europea. Sono vietati i trasferimenti verso Paesi terzi privi di un livello adeguato di tutela, salvo gli strumenti previsti dal GDPR (decisione di adeguatezza, norme vincolanti d'impresa, Clausole Contrattuali Standard); se un trasferimento è imposto dal diritto dell'Unione o di uno Stato membro, il fornitore informa il cliente prima di procedere. Per i test di sicurezza il fornitore indica il ricorso a SecurityMetrics Inc. (USA).
Stato riassuntivo (verifica del 26/08/2026): DPA/Clausole Contrattuali Standard formalizzati per i 4 fornitori verificati (Anthropic, OpenAI, Hetzner, Sentry). Per OpenAPI l'accordo ex art. 28 GDPR è quello del fornitore (v. 4.0 del 30/09/2026) e prevede la sottoscrizione di entrambe le parti. Per HighLevel l'accordo ex art. 28 GDPR ("Customer Data Processing Addendum", aggiornamento di luglio 2026) è incorporato nei Terms of Service del fornitore e include le Clausole Contrattuali Standard UE 2021 (moduli 2 e 3); HighLevel Inc. risulta inoltre certificata nell'EU-U.S. Data Privacy Framework. Per i servizi di Google (Maps Platform) si applicano i termini standard del fornitore, che opera come titolare autonomo.
4. Aggiornamenti
Il Titolare si impegna ad aggiornare questo elenco in caso di modifica dei fornitori terzi coinvolti nel trattamento. Per informazioni più aggiornate, contattare la PEC del Titolare: investimentodigitalesrl@pec.it.