Sub-responsabili del trattamento

Sub-responsabili

Il Cliente autorizza in via generale il ricorso da parte del Fornitore a sub-responsabili per l’erogazione del Servizio. L’elenco aggiornato dei sub-responsabili è il seguente ed è mantenuto disponibile sul sito del Fornitore. Il Fornitore informa il Cliente, via email o in-app, di ogni modifica riguardante l’aggiunta o la sostituzione di sub-responsabili con almeno 15 giorni di anticipo; il Cliente può opporsi per motivi legittimi e, in mancanza di soluzione, recedere dal contratto ai sensi dell’art. 7. Il Fornitore impone ai sub-responsabili, mediante contratto, obblighi di protezione dei dati equivalenti a quelli del presente DPA e resta responsabile verso il Cliente dell’operato degli stessi.

Sub-responsabile	Servizio	Sede / area di trattamento	Garanzie trasferimento extra-UE
Railway Corp.	Hosting applicativo, database e object storage (S3-compatible)	Data center nell’Unione Europea	Eventuali accessi extra-UE: SCC / EU-US DPF
Google Ireland Ltd. / Google LLC	Google Wallet API – emissione e aggiornamento delle fidelity card digitali su dispositivi Android (dati identificativi e di fidelizzazione contenuti nella card, inclusi i messaggi mostrati sulla stessa)	Irlanda; possibili trasferimenti USA	EU-US Data Privacy Framework / SCC
Apple Inc. / Apple Distribution International Ltd.	Apple Wallet e APNs – aggiornamento dei pass su dispositivi iOS (notifiche tecniche prive di contenuto; i dati del pass sono erogati dai sistemi del Fornitore)	Irlanda; possibili trasferimenti USA	EU-US Data Privacy Framework / SCC
Cloudflare, Inc.	CDN, DNS e sicurezza di rete	Rete globale; trattamento prevalente UE	EU-US Data Privacy Framework / SCC
Aruba S.p.A.	Infrastruttura di invio email (mailer)	Italia / UE	Non applicabile
Meta Platforms Ireland Ltd.	WhatsApp Business API (solo se e quando attivata)	Irlanda; possibili trasferimenti USA	EU-US Data Privacy Framework / SCC
Fornitore servizi SMS (in via di definizione)	Invio SMS (solo se e quando attivato)	Sarà comunicato prima dell’attivazione	Sarà comunicato prima dell’attivazione

I pagamenti degli abbonamenti sono gestiti da Stripe quale autonomo titolare del trattamento e non rientrano nel presente DPA. Eventuali trasferimenti di dati personali verso paesi terzi avvengono esclusivamente in presenza di garanzie adeguate ai sensi del Capo V del GDPR (decisioni di adeguatezza, EU-US Data Privacy Framework, clausole contrattuali standard).

Funzionalità AI Coach. La funzionalità AI Coach non comporta la comunicazione di dati personali degli Utenti Finali a fornitori di modelli di intelligenza artificiale: ai relativi servizi (attualmente OpenRouter, Inc.) vengono trasmessi esclusivamente dati aggregati e anonimi e informazioni relative all’attività del Cliente (quali denominazione e descrizione dell’attività e dati dell’account del Cliente, per i quali il Fornitore agisce quale autonomo titolare ai sensi dell’art. 15.2 del contratto). Tali fornitori non rientrano pertanto tra i sub-responsabili del presente DPA; un’eventuale evoluzione della funzionalità che comporti il trattamento di dati personali degli Utenti Finali sarà preceduta dall’aggiornamento dell’elenco dei sub-responsabili secondo la procedura di cui al presente articolo.