Sub-responsabili del trattamento di Mailistix
La presente pagina elenca i terzi che trattano dati personali per nostro conto (“sub-responsabili del trattamento”) per fornire il Servizio Mailistix. Essa costituisce l’Allegato 3 del nostro Accordo sul trattamento dei dati e integra la nostra Informativa sulla privacy. L’ultima colonna indica quali sub-responsabili del trattamento trattano i Dati Personali del Cliente che trattiamo per conto dei Clienti business ai sensi dell’Accordo sul trattamento dei dati; gli altri trattano soltanto dati di cui siamo titolari del trattamento. La sezione 4 contiene le informazioni richieste dall’art. 28, par. 1, del Data Act dell’UE.
Ciò che non raggiunge mai un sub-responsabile del trattamento: la Sua casella di posta è sincronizzata direttamente tra l’app Mailistix sul Suo dispositivo e il Suo fornitore di casella di posta (ad esempio Google o Microsoft). Le Sue email sono conservate soltanto sul Suo dispositivo, in un database cifrato. Il contenuto delle email raggiunge i nostri server e i fornitori di IA indicati di seguito soltanto quando Lei utilizza una Funzione IA, e soltanto per il tempo necessario a rispondere a tale richiesta. A parte ciò, i nostri server ricevono soltanto dati tecnici sulle Sue caselle di posta (quali l’indirizzo della casella e le notifiche di modifica senza contenuto), i codici di accesso e i token per una casella di posta quando Lei la collega (inoltrati, non conservati), il collegamento di annullamento dell’iscrizione di una newsletter dalla quale Lei annulla l’iscrizione e ciò che Lei sceglie di inviarci per l’assistenza.
1. Sub-responsabili del trattamento
| Sub-responsabile del trattamento | Servizio | Dati personali trattati | Luogo del trattamento | Garanzia per il trasferimento | Si applica a | Sub-responsabile del trattamento ai sensi del DPA |
|---|---|---|---|---|---|---|
| Supabase Pte. Ltd. (Singapore; gruppo Supabase, compresa Supabase, Inc., USA), ospitata su Amazon Web Services | Database, autenticazione, funzioni server (Edge Functions), archiviazione di file (caricamenti per l’assistenza, file di aggiornamento dell’app), inoltro di notifiche push sulle nuove email | Dati dell’Account (indirizzo email, hash della password, impostazioni, Impostazione Regionale, registrazioni del consenso, registrazioni dell’accettazione dei Termini), registrazioni del Piano e dei Crediti, metadati di utilizzo dell’IA (senza contenuti), eventi di sicurezza, impronte pseudonime delle caselle di posta, metadati delle notifiche push (indirizzo della casella e cursore di modifica; identificativi di sottoscrizione e di messaggio di Outlook), caricamenti per l’assistenza; inoltro transitorio di richieste di IA e di Output IA, token OAuth e collegamenti di annullamento dell’iscrizione con un clic (non conservati) | Database e archiviazione di file: Francoforte, Germania (Amazon Web Services). Funzioni server per richieste di IA: solo regioni UE (Francoforte per impostazione predefinita). Altre funzioni server: la regione edge di Supabase più vicina al chiamante, che può trovarsi al di fuori dell’UE per gli utenti al di fuori dell’Europa | Clausole contrattuali tipo dell’UE (“CCT”) nel DPA di Supabase (Modulo 2 per i dati di cui siamo titolari, Modulo 3 per i Dati Personali del Cliente), con addendum per il Regno Unito e la Svizzera; Singapore non ha una decisione di adeguatezza dell’UE; non certificata ai sensi dell’EU-U.S. Data Privacy Framework | Tutti gli utenti | Sì |
| Microsoft Ireland Operations Limited / Microsoft Corporation (Azure OpenAI in Azure AI Foundry) | Elaborazione con modelli di IA (bozze, riscritture, riepiloghi, Ask AI inclusa l’estrazione di fatti, briefing sulle riunioni, stile di scrittura, apprendimento dalle Sue modifiche) | Contenuto della richiesta di IA (testo delle email, conversazione, Sue istruzioni, Suo nome, indirizzo email e fuso orario) e Output IA | EU Data Zone (risorsa in Sweden Central; le richieste possono essere trattate in qualsiasi regione Azure della EU Data Zone). Memorizzazione delle risposte disattivata | Microsoft Products and Services DPA; EU Data Boundary; EU-U.S. Data Privacy Framework (Microsoft Corporation) e CCT | Tutti gli utenti che utilizzano le Funzioni IA | Sì |
| Google Cloud EMEA Limited / Google LLC (Vertex AI) | Elaborazione con modelli di IA (modelli Gemini) | Contenuto della richiesta di IA e Output IA | Utenti nell’UE o che non hanno risposto alla domanda sulla regione: multiregione UE di Vertex AI. Utenti al di fuori dell’UE: alcuni modelli Gemini sull’endpoint globale di Google (qualsiasi paese in cui Google opera); gli altri nella multiregione UE | Google Cloud Data Processing Addendum; EU-U.S. Data Privacy Framework (Google LLC) e CCT | Tutti gli utenti che utilizzano le Funzioni IA | Sì |
| Google Cloud EMEA Limited / Google LLC (Cloud Pub/Sub) | Inoltro al nostro server delle notifiche di modifica di Gmail | Indirizzo Gmail e un cursore di modifica opaco (nessun contenuto delle email), conservati fino a 1 ora | Infrastruttura globale di Google, nessuna regione fissa | come sopra | Utenti con una casella Gmail collegata | Sì |
| Microsoft Ireland Operations Limited / Microsoft Corporation (Microsoft 365) | Il nostro sistema di posta elettronica, compreso legal@, il recapito a legal@ dei messaggi del modulo di contatto su mailistix.com con una conferma al mittente senza il loro contenuto, il recapito a una nostra casella di posta delle iscrizioni alla lista d’attesa per la beta con una conferma alla persona che si è iscritta, e l’invio di email dell’account (codici di accesso e di conferma, conferma delle modifiche dell’email e altre comunicazioni sull’account) | Email che Lei ci invia, messaggi del modulo di contatto e le nostre risposte: nome, indirizzo email, contenuto; iscrizioni alla lista d’attesa: indirizzo email, piattaforma, orario del consenso; email dell’account: indirizzo email, codice o collegamento, lingua | Unione europea (EU Data Boundary) | Microsoft Products and Services DPA; EU-U.S. Data Privacy Framework (Microsoft Corporation) e CCT | Tutti gli utenti (email dell’account); persone che ci scrivono via email, utilizzano il modulo di contatto o si iscrivono alla lista d’attesa | Sì, ove un’email o un messaggio del modulo di contatto contenga Dati Personali del Cliente |
| Microsoft Ireland Operations Limited / Microsoft Corporation (Azure Blob Storage) | Archiviazione di checksum giornalieri (non modificabili per 4 anni e 1 mese) e di una copia di backup di 30 giorni delle nostre registrazioni delle accettazioni dei Termini e del DPA, a fini di prova | Solo checksum (nessun dato leggibile); nella copia di backup: ID utente, hash SHA-256 dell’indirizzo email, versioni accettate o oggetto di opposizione, orari, checksum dei documenti e della formulazione; nessun contenuto di email | Germania (Germany West Central; copia georidondante in Germany North) | Microsoft Products and Services DPA; EU-U.S. Data Privacy Framework (Microsoft Corporation) e CCT | Tutti gli utenti | No |
| Functional Software, Inc. (Sentry), USA | Monitoraggio degli errori: (a) segnalazioni di arresti anomali e di errori dell’app — solo con il Suo consenso espresso (opt-in) e non inviate dalla versione attuale dell’app; (b) errori operativi delle nostre funzioni server | (a) Dati tecnici di errore pseudonimizzati, versione dell’app, sistema operativo; nessun contenuto delle email, nessun identificativo dell’account. (b) Codici di errore e nomi delle funzioni; per l’allarme relativo a una risposta IA trattenuta, anche un hash del Suo ID utente; nessun contenuto | Germania (regione UE di Sentry) | Sentry DPA; EU-U.S. Data Privacy Framework e CCT | (a) Solo con opt-in; (b) tutti gli utenti | No |
| PostHog, Inc. (USA) | Analisi di prodotto — solo con il Suo consenso espresso (opt-in) | Identificativo casuale pseudonimo, eventi di utilizzo inclusi in un elenco consentito (ad esempio fasi di onboarding, categoria del piano); nessun contenuto delle email né cifre derivate dalla Sua casella di posta, nessuna localizzazione basata sull’IP | Germania/UE (PostHog EU Cloud, Francoforte) | PostHog DPA; EU-U.S. Data Privacy Framework e CCT | Solo con opt-in | No |
| Cloudflare, Inc. (USA) | DNS, distribuzione dei contenuti e hosting del sito web mailistix.com (Cloudflare Pages), comprese le funzioni server per la protezione tramite password, il modulo di contatto e la lista d’attesa | Indirizzo IP e dati delle richieste dei visitatori del sito web; i contatori anti-abuso del modulo di contatto e della lista d’attesa, che contengono soltanto hash di indirizzi IP e di indirizzi email; statistiche sulle visualizzazioni di pagina e sui tempi di caricamento dei visitatori al di fuori dell’UE (Cloudflare Web Analytics); il contenuto dei messaggi del modulo di contatto e delle iscrizioni alla lista d’attesa in transito (non conservato) | Rete edge globale (il data center più vicino al visitatore) | Cloudflare DPA; EU-U.S. Data Privacy Framework e CCT | Visitatori del sito web | Sì, ove un messaggio del modulo di contatto contenga Dati Personali del Cliente (inoltrato a Microsoft 365, non conservato) |
| Google Cloud EMEA Limited / Google LLC (reCAPTCHA) | Protezione dallo spam del modulo di contatto e della lista d’attesa su mailistix.com, caricata soltanto dopo che il visitatore la consente nella finestra del modulo o della lista d’attesa | Indirizzo IP, dati del browser e del dispositivo, interazione con la pagina di contatto o con la finestra della lista d’attesa, cookie reCAPTCHA | Infrastruttura globale di Google, compresi gli Stati Uniti | Google Cloud Data Processing Addendum; EU-U.S. Data Privacy Framework (Google LLC) e CCT | Visitatori del sito web che consentono reCAPTCHA | No |
I nostri fornitori di IA possono conservare i dati delle richieste per un periodo limitato per finalità operative e di monitoraggio degli abusi ai sensi dei propri termini: Google Vertex AI fino a 24 ore in memoria (caching) e fino a 90 giorni per i prompt segnalati come possibile abuso, Microsoft Azure OpenAI fino a 30 giorni; i dipendenti autorizzati del fornitore possono esaminare le richieste segnalate. Si vedano l’Informativa sulle funzioni IA e l’Allegato 1 dell’Accordo sul trattamento dei dati. Ciascun sub-responsabile del trattamento si avvale dei propri sub-responsabili (ad esempio Supabase si avvale di Amazon Web Services), che elenca nella propria documentazione.
2. Titolari autonomi del trattamento (non sub-responsabili del trattamento)
Queste parti ricevono dati personali ma decidono autonomamente come trattarli. Si applicano le loro informative sulla privacy.
| Parte | Ruolo | Dati |
|---|---|---|
| Polar Software, Inc. (USA) | Merchant of record (venditore ufficiale) e rivenditore del Piano Pro a pagamento; gestisce checkout, pagamento, imposte, fatture, rimborsi e storni di addebito, avvalendosi dei propri responsabili dei pagamenti | Quando Lei apre il checkout per la prima volta, creiamo il Suo record cliente presso Polar con il Suo indirizzo email e il Suo ID utente Mailistix; successivamente manteniamo aggiornato il suo indirizzo email. Se Lei non apre mai il checkout, Polar non riceve nulla su di Lei. Al momento del pagamento, Polar riceve inoltre il Suo indirizzo IP e raccoglie il Suo nome, l’indirizzo di fatturazione e i dati di pagamento (non vediamo mai i dati completi della carta). Polar ci invia lo stato del Suo abbonamento e il nome e l’indirizzo email del Suo record cliente. |
| Google e Microsoft in qualità di fornitori della Sua casella di posta | Forniscono la casella di posta che Lei collega in base al Suo contratto con loro, compresi i servizi di accesso (OAuth) e di token che Lei autorizza e, per Microsoft, le notifiche di modifica inviate al nostro server | Tutto ciò che si trova nella Sua casella di posta; vedono le richieste API dell’app |
| Mittenti di newsletter dalle quali Lei annulla l’iscrizione | Ricevono la richiesta di annullamento dell’iscrizione con un clic, inviata dal nostro server affinché non vedano il Suo indirizzo IP | Il collegamento di annullamento dell’iscrizione che hanno inserito nella loro newsletter |
| Apple, Microsoft (sistemi operativi) | Archiviazione di Keychain/credenziali sul Suo dispositivo, verifiche della firma del codice | Gestiti sul Suo dispositivo dal Suo sistema operativo |
Polar ha sede negli Stati Uniti e non è certificata ai sensi dell’EU-U.S. Data Privacy Framework. Il nostro accordo con Polar include l’addendum sul trattamento dei dati di Polar con le CCT dell’UE; ove queste non coprano un trasferimento, esso è necessario per l’acquisto richiesto (art. 49, par. 1, lett. b), GDPR). Si veda la sezione 9.5 dell’Informativa sulla privacy.
3. Modifiche al presente elenco
Annunceremo i nuovi sub-responsabili del trattamento su questa pagina almeno 14 giorni prima che inizino a trattare dati personali. I Clienti business sono inoltre informati mediante una comunicazione agli indirizzi email dell’Account dei loro utenti o nel Software, e via email al loro referente per la protezione dei dati, se ce ne hanno comunicato uno (clausola 7.3 dell’Accordo sul trattamento dei dati). I Clienti business possono opporsi come descritto nella clausola 7 dell’Accordo sul trattamento dei dati. In caso di emergenza (ad esempio per mantenere sicuro o disponibile il Servizio) possiamo incaricare un sostituto anche prima di tale termine e La informeremo senza ingiustificato ritardo; ove si applichino le CCT dell’UE, prevalgono le loro regole sulla comunicazione.
4. Informazioni ai sensi del Data Act dell’UE
L’art. 28, par. 1, del Data Act dell’UE (regolamento (UE) 2023/2854) impone ai fornitori di servizi di trattamento dei dati di indicare sul proprio sito web la giurisdizione cui è soggetta l’infrastruttura ICT utilizzata per ciascuno dei loro servizi, nonché le misure da essi adottate contro l’accesso governativo internazionale ai dati detenuti nell’UE che sarebbe in conflitto con il diritto dell’Unione o con la legge di uno Stato membro. I Suoi diritti di cambio di fornitore e di recupero dei dati ai sensi del Data Act sono definiti nella clausola 15.10 dei nostri Termini di servizio.
4.1 Infrastruttura e giurisdizione
| Parte del Servizio | Infrastruttura | Luogo | Gestore e leggi cui è soggetto |
|---|---|---|---|
| L’app Mailistix e il suo database locale (le Sue email, i Suoi allegati, le Sue bozze, i Suoi progetti e altri dati locali) | I Suoi dispositivi | Ovunque Lei li utilizzi | Lei; la legge del luogo in cui si trovano i Suoi dispositivi |
| Database, autenticazione e archiviazione di file dei Servizi Cloud | Supabase su Amazon Web Services | Francoforte, Germania | Supabase Pte. Ltd. (Singapore) e Amazon Web Services (USA): diritto tedesco e dell’UE nel luogo; i gestori sono soggetti anche alle leggi di Singapore e degli Stati Uniti |
| Funzioni server per richieste di IA | Supabase Edge Functions | Solo UE (Francoforte per impostazione predefinita; Irlanda o Parigi come alternative) | Come sopra |
| Altre funzioni server (ad esempio collegamento delle caselle di posta, notifiche push, checkout, esportazione dei dati, annullamento dell’iscrizione con un clic) | Supabase Edge Functions | La regione edge di Supabase più vicina al chiamante, che può trovarsi al di fuori dell’UE | Come sopra, e la legge del paese di tale regione |
| Elaborazione IA da parte di Microsoft | Azure OpenAI | EU Data Zone (risorsa in Sweden Central) | Microsoft Ireland Operations Limited (Irlanda) e Microsoft Corporation (USA): diritto dell’UE nel luogo; anche diritto statunitense |
| Elaborazione IA da parte di Google | Vertex AI | Multiregione UE; per gli utenti che hanno risposto “Fuori dall’Europa”, alcuni modelli sull’endpoint globale di Google | Google Cloud EMEA Limited (Irlanda) e Google LLC (USA): diritto dell’UE nel luogo, o la legge del paese in cui l’endpoint globale tratta la richiesta; anche diritto statunitense |
| Notifiche di modifica di Gmail | Google Cloud Pub/Sub | Infrastruttura globale di Google, nessuna regione fissa | Google Cloud EMEA Limited e Google LLC: la legge del luogo; anche diritto statunitense |
| Il nostro sistema di posta elettronica (assistenza, modulo di contatto, lista d’attesa, email dell’account) | Microsoft 365 | UE (EU Data Boundary) | Microsoft Ireland Operations Limited e Microsoft Corporation: diritto dell’UE nel luogo; anche diritto statunitense |
| Checksum di prova e copie di backup delle registrazioni di accettazione | Microsoft Azure Blob Storage | Germania (Germany West Central, Germany North) | Microsoft Ireland Operations Limited e Microsoft Corporation: diritto tedesco e dell’UE nel luogo; anche diritto statunitense |
| Monitoraggio degli errori e analisi facoltative | Regione UE di Sentry; PostHog EU Cloud | Germania | Functional Software, Inc. e PostHog, Inc. (USA): diritto tedesco e dell’UE nel luogo; anche diritto statunitense |
| Sito web mailistix.com | Cloudflare Pages | Rete globale di Cloudflare | Cloudflare, Inc. (USA): la legge del luogo del data center; anche diritto statunitense |
4.2 Misure contro l’accesso governativo illecito
- Tecniche: i dati della Sua casella di posta restano sui Suoi dispositivi, in un database cifrato la cui chiave è protetta dal Suo sistema operativo; non ne conserviamo alcuna copia. Non conserviamo il contenuto delle richieste di IA né dell’Output IA. Il nostro database e l’archiviazione dei file si trovano a Francoforte e le nostre funzioni server per le richieste di IA vengono eseguite soltanto in sedi UE; rifiutano le richieste di IA in qualsiasi altra regione. Tutte le connessioni sono cifrate (TLS 1.2 o 1.3) e il nostro database e l’archiviazione dei file sono cifrati a riposo (attualmente non conserviamo backup del database). Conserviamo soltanto i dati di cui il Servizio ha bisogno e li cancelliamo secondo scadenze prestabilite (Allegato 1, Parte H dell’Accordo sul trattamento dei dati).
- Organizzative: comunichiamo dati a un’autorità pubblica soltanto ove un ordine vincolante lo richieda legalmente. Cerchiamo allora di reindirizzare l’autorità al cliente, informiamo il cliente salvo che la legge lo vieti, esaminiamo l’ordine e lo contestiamo ove vi siano motivi ragionevoli per ritenerlo illecito, comunichiamo soltanto il minimo richiesto dall’ordine e documentiamo la nostra risposta (clausola 13 dell’Accordo sul trattamento dei dati). Non abbiamo predisposto alcun mezzo che consenta alle autorità di accedere direttamente ai dati.
- Contrattuali: i nostri fornitori sono vincolati da condizioni di trattamento dei dati. Ove si applichino le CCT dell’UE, la loro clausola 15 obbliga il fornitore a informarci delle richieste delle autorità pubbliche, a verificarne la legittimità e a contestarle ove vi siano motivi per farlo. Microsoft e Google pubblicano inoltre i propri impegni a contestare le richieste governative di dati dei clienti.