Chi tratta i vostri dati

Ogni sub‑responsabile del trattamento che utilizziamo, il suo scopo e la giurisdizione di competenza. Questo elenco è compilato dal nostro codice sorgente, quindi non può discostarsi silenziosamente da ciò che effettivamente utilizziamo.

Ultimo aggiornamento: 2026-08-02

Generato dal nostro registro dei sub‑responsabili del trattamento, non mantenuto manualmente: un nuovo fornitore non può essere aggiunto senza che ce ne accorgiamo e la nostra build fallisce se il codice raggiunge un responsabile del trattamento dei dati non dichiarato qui.

I nostri sub‑responsabili del trattamento

Queste aziende trattano i dati personali per nostro conto. Lo storage, la generazione e gli embedding vengono eseguiti in data center nell’UE. Alcuni dei fornitori elencati sono costituiti al di fuori dello Spazio Economico Europeo o hanno una società madre in tale area: ogni riga di questo tipo è contrassegnata. La giurisdizione indica dove un’azienda può essere legalmente obbligata, questione distinta da dove si trovano fisicamente i dati. Ogni riga specifica la base giuridica per il trasferimento e chi, a sua volta, viene coinvolto dal fornitore.

Sub‑responsabile del trattamento

Giurisdizione

Base del trasferimento

Stato

Mistral AI SAS

Generazione LLM: risposte in chat, pianificazione, ciclo dell'agente, visione e moderazione degli input. Unico fornitore di generazione; non esiste un fallback extra‑UE.

I prompt includono le query degli utenti e gli estratti dei documenti recuperati. L'opzione di zero‑retention e l'esclusione dal training sono impostazioni a livello di account con questo fornitore, non per singola richiesta, quindi sono registrate qui anziché essere dichiarate per ogni chiamata.

Chi coinvolgono a loro volta

Mistral Compute (FR): Infrastruttura cloud per tutti i prodotti. Il loro braccio di calcolo interno, non un soggetto esterno.
Microsoft Inc. (paese non indicato da loro): Infrastruttura cloud. Elaborazione indicata in Svezia e Norvegia.
Google LLC (paese non indicato da loro): Infrastruttura cloud. Elaborazione indicata nei Paesi Bassi, Belgio e Stati Uniti.
CoreWeave Inc. (paese non indicato da loro): Fornitore di inferenza. Elaborazione indicata nello SEE.
Cloudflare Inc. (paese non indicato da loro): Sicurezza e instradamento del traffico. Elaborazione indicata a livello mondiale.

Their disclosure lists 24 parties, several scoped to products we do not use. Recorded here are the infrastructure and inference providers whose stated scope covers the API. Their page states processing regions rather than countries of incorporation, so those regions are given in each purpose and jurisdiction is left unstated.

Secondo la loro dichiarazione, verificato il 2026-07-31

Giurisdizione

eu-west (Francia)

Base del trasferimento

Solo UE, nessun trasferimento in paesi terzi

Stato

Attivo

Jina AI GmbH

Società madre: Elastic N.V. (US)

Embedding di testo e reranking per il recupero.

Rifiutato per i dati dei clienti dal 31 luglio 2026: la piattaforma non partirà in produzione con questo fornitore configurato per gli embedding, quindi non può elaborare contenuti dei clienti. Rimane elencato perché le credenziali vengono ancora lette in sviluppo, ed è l'impostazione predefinita in sviluppo fino a quando non sarà pronto il sostituto UE: modelli di embedding e reranking che ospitiamo autonomamente su hardware UE, o un'API gestita sotto giurisdizione UE.

Non ancora definito. Non abbiamo confermato quali sub‑responsabili del trattamento coinvolga questo fornitore.

Giurisdizione

eu-central (Berlino)

Base del trasferimento

In fase di valutazione

Soggetto a giurisdizione extra UE

Stato

Attivo

Supabase, Inc.

Datastore primario: Postgres (documenti, chunk, embedding, tenant), autenticazione e storage oggetti predefinito.

In fase di sostituzione con il nostro Postgres e storage oggetti su hardware UE. La migrazione non è ancora iniziata; fino al suo completamento, questo fornitore conserva il corpus documentale.

Chi coinvolgono a loro volta

Amazon Web Services, Inc (paese non indicato da loro): Hosting.
Cloudflare, Inc (paese non indicato da loro): Hosting.
Google, LLC (paese non indicato da loro): Hosting.
Fly.io, Inc (paese non indicato da loro): Hosting.
Upstash, Inc (paese non indicato da loro): Hosting dati serverless. Anche sub‑responsabile del trattamento autonomo per noi.
Vercel, Inc (paese non indicato da loro): Hosting. Anche sub‑responsabile del trattamento autonomo per noi.

Their list is dated 1 June 2026 and names 19 parties without stating any country, so no jurisdiction is recorded for any of them. Recorded here are the six hosting providers; the remainder are their own support, sales and analytics tooling.

Secondo la loro dichiarazione, verificato il 2026-07-31

Giurisdizione

aws eu-west-1 (Irlanda)

Base del trasferimento

In fase di valutazione

Soggetto a giurisdizione extra UE

Stato

Attivo

Upstash, Inc.

Redis: limitazione della frequenza delle API, revoca delle sessioni, cache degli embedding e rilevamento degli accessi impossibili.

Sarà sostituito da una cache ospitata autonomamente su hardware UE. La migrazione non è ancora iniziata; fino al suo completamento, questo fornitore gestisce il livello di limitazione della frequenza e della cache.

Chi coinvolgono a loro volta

Amazon Web Services (US): Fornitore di cloud.
Google (US): Fornitore di cloud.
Cloudflare, Inc. (US): Servizi cloud.
Humio (CrowdStrike Falcon LogScale) (DK): Registrazione log.

Their document states an address per party, used here as the jurisdiction. Several entries are scoped to products of theirs we do not use; those are excluded. Recorded here are the providers that could sit under the Redis service we consume.

Secondo la loro dichiarazione, verificato il 2026-07-31

Giurisdizione

La regione non è fissata nel codice e non è stata fornita prova della regione di distribuzione di questo database da parte del fornitore. Contiene indirizzi IP e identificatori di sessione, quindi non è possibile rispondere agli articoli 30(1)(d)-(e) per questo fornitore.

Base del trasferimento

In fase di valutazione

Soggetto a giurisdizione extra UE

Stato

Attivo

Cloudflare, Inc.

DNS. Attualmente il dominio principale è anche reverse‑proxy, quindi Cloudflare termina TLS per esso.

La nostra postura prevista è solo DNS, il che lascerebbe a questo fornitore la gestione della risoluzione dei nomi, ma non dei contenuti delle richieste. Oggi il dominio principale è ancora proxy, quindi attualmente termina TLS e vede i corpi delle richieste. Questa riga riporta lo stato attuale, non quello finale previsto.

Chi coinvolgono a loro volta

Amazon Web Services (AWS) (paese non indicato da loro): Prodotto di sicurezza email. Elaborazione indicata come Stati Uniti ed EEA.
Google LLC (paese non indicato da loro): Piattaforma per sviluppatori, Zero Trust e Gateway IA. Elaborazione indicata come EEA, Stati Uniti, Australia e India.
Oracle America, Inc. (paese non indicato da loro): Piattaforma per sviluppatori e Cache Reserve. Elaborazione indicata come Stati Uniti, EEA, Regno Unito, Giappone, Australia, Canada e Singapore.
CoreWeave, Inc. (paese non indicato da loro): Workers IA. Elaborazione indicata come Stati Uniti.
Nebius BV (paese non indicato da loro): Workers IA. Elaborazione indicata come Inghilterra.

Their list is dated 1 October 2025 and states processing regions rather than countries of incorporation, so regions are given in each purpose. It also names 16 of their own group affiliates, which are not recorded here as external parties. Every entry below is scoped by them to a specific product; none is stated to apply to DNS.

Secondo la loro dichiarazione, verificato il 2026-07-31

Giurisdizione

edge globale (anycast)

Base del trasferimento

In fase di valutazione

Soggetto a giurisdizione extra UE

Stato

Attivo

Functional Software, Inc.

Monitoraggio degli errori e delle prestazioni delle applicazioni.

L'acquisizione nell'UE è imposta nel codice: il client fallisce in modo sicuro piuttosto che inviare a un endpoint non UE, quindi eventi di errore, span e log sono memorizzati a Francoforte. Tuttavia, Sentry memorizza i metadati dell'account e operativi negli Stati Uniti indipendentemente dalla regione selezionata (check‑in dei cron, impostazioni dell'organizzazione e log di audit, metadati dei progetti, chiavi DSN, token di accesso, dati di utilizzo) e memorizza i controlli di uptime in entrambe le regioni. Nessuno di questi dati contiene dati personali dei clienti, quindi non si applica un trasferimento di dati ai sensi del Capitolo V per questa parte; rimane comunque un residuo di memorizzazione negli Stati Uniti da parte di questo fornitore, che verrà eliminato con il passaggio a 0F Bugsink, quando il tracciamento degli errori, il heartbeat dei cron e i controlli di uptime verranno spostati su infrastrutture ospitate autonomamente.

Chi coinvolgono a loro volta

Amazon Web Services, Inc. (paese non indicato da loro): Infrastruttura cloud. Elaborazione indicata come UE e Stati Uniti.
Cloudflare, Inc. (paese non indicato da loro): Infrastruttura cloud. Elaborazione indicata come UE e Stati Uniti.
Google LLC (paese non indicato da loro): Infrastruttura cloud. Elaborazione indicata come UE e Stati Uniti.

Their list is version 2.3.0 dated 1 June 2026 and states processing regions rather than countries of incorporation. Recorded here are the three cloud providers; the remainder are their email, support and group affiliates.

Secondo la loro dichiarazione, verificato il 2026-07-31

Giurisdizione

ingest.de.sentry.io (Germania), Regione USA (Iowa) per i metadati dell'account e operativi memorizzati al di fuori della regione selezionata indipendentemente dall'impostazione (check‑in dei cron, impostazioni dell'organizzazione e log di audit, metadati dei progetti, chiavi DSN, token, dati di utilizzo); i controlli di uptime sono memorizzati in entrambe le regioni. Nessun dato personale dei clienti.

Base del trasferimento

In fase di valutazione

Soggetto a giurisdizione extra UE

Stato

Attivo

Sendinblue SAS (Brevo)

Email transazionali (notifiche, comunicazioni account).

Inattivo finché non viene fornita la chiave BREVO_API_KEY.

Chi coinvolgono a loro volta

Google Cloud Platform (FR): Hosting. Server indicati in Belgio.
Scaleway (Iliad) (FR): Hosting. Server indicati in Francia.
OVH (FR): Hosting. Server indicati in Francia.
Hetzner Online GmbH (DE): Hosting. Server indicati in Germania. È anche un nostro sub‑responsabile del trattamento.
Cloudflare (US): CDN e WAF. Server indicati negli Stati Uniti e nell’UE.

Their DPA annex separates infrastructure sub-processors from the rest and states a registered office for each, used here as the jurisdiction. Recorded here is that infrastructure section.

Secondo la loro dichiarazione, verificato il 2026-07-31

Giurisdizione

eu-west (Francia)

Base del trasferimento

Solo UE, nessun trasferimento in paesi terzi

Stato

Attivo

Hetzner Online GmbH

Archiviazione oggetti compatibile con S3 per i byte dei documenti grezzi.

Attivato solo quando STORAGE_PROVIDER=s3; il provider di archiviazione predefinito è Supabase.

Chi coinvolgono a loro volta

Hetzner Finland Oy (FI): Affitto edifici e supporto tecnico.
Hetzner US LLC (US): Noleggio server per il loro sito negli Stati Uniti. (serve regioni che non utilizziamo, come da loro dichiarazione)
NTT Global Data Centers Americas, Inc. (US): Colocation per il loro sito negli Stati Uniti. (serve regioni che non utilizziamo, come da loro dichiarazione)
QTS Investment Properties Hillsboro, LLC (US): Colocation per il loro sito negli Stati Uniti. (serve regioni che non utilizziamo, come da loro dichiarazione)
Hetzner Singapore Pte. Ltd. (SG): Noleggio server per il loro sito a Singapore. (serve regioni che non utilizziamo, come da loro dichiarazione)
NTT Global Data Centers SG1 Pte Ltd (SG): Colocation per il loro sito a Singapore. (serve regioni che non utilizziamo, come da loro dichiarazione)

Their annex is version 1.0 dated 6 August 2024 and names six parties, all of them infrastructure, with a location for each. They state that data on EU-located servers is processed exclusively within the EU; the non-EU entities below serve their US and Singapore sites, which we do not use.

Secondo la loro dichiarazione, verificato il 2026-07-31

Giurisdizione

nbg1 (Norimberga)

Base del trasferimento

Solo UE, nessun trasferimento in paesi terzi

Stato

Attivo

Vercel Inc.

Hosting dell’applicazione e job pianificati (target di distribuzione attuale).

Sostituito dall'hosting applicativo che gestiamo autonomamente su hardware UE. La migrazione non è ancora iniziata; fino al suo completamento, questo fornitore eroga il servizio.

Chi coinvolgono a loro volta

Amazon Web Services, Inc. (US): Hosting, storage e IA generativa.
Google LLC (US): Cloud computing, storage e IA generativa.
Microsoft Corporation (US): Hosting, storage e IA generativa.
Upstash, Inc. (US): Storage serverless. È anche un nostro sub‑responsabile del trattamento a sé stante.
Neon (US): Storage serverless.
Redis Labs, Inc. (US): Logging in tempo reale e sicurezza.

Their list names 28 parties with a location each, used here as the jurisdiction. Recorded here are the six providing hosting or storage; the remainder are their monitoring, support and AI-feature vendors.

Secondo la loro dichiarazione, verificato il 2026-07-31

Giurisdizione

edge globale

Base del trasferimento

In fase di valutazione

Soggetto a giurisdizione extra UE

Stato

Attivo

Soggetto a giurisdizione extra UE

Questa azienda, o la sua controllante, è costituita al di fuori dello SEE, quindi potrebbe essere soggetta a procedure legali obbligatorie straniere anche se i dati risiedono nell’UE.

Modifiche e diritto di opposizione

Vi informiamo con almeno 30 giorni di anticipo prima che un nuovo sub‑responsabile del trattamento inizi a gestire i vostri dati e potete opporvi. Ogni voce riporta la data di inizio attività, non quella di modifica di questa pagina.

Leggibile automaticamente

Questo elenco viene compilato da un registro nel nostro codice sorgente, quindi si aggiorna automaticamente quando il codice viene modificato, non quando qualcuno si ricorda di modificare una pagina. Lo stesso registro viene pubblicato in formato JSON all'indirizzo indicato di seguito. Include ogni voce con il suo stato, comprese le aggiunte pianificate durante il periodo di preavviso e i fornitori rimossi, in modo che ogni modifica possa essere confrontata con una versione precedente anziché accettata sulla fiducia.

/api/trust/subprocessors