Legale

Indice dei contenuti

Privacy · Allegato 3 del DPA

Sub-responsabili del trattamento

Versione corrente: 20 agosto 2026

Questa pagina costituisce l'Allegato 3 del Data Processing Agreement di SmartCQ ed elenca i sub-responsabili del trattamento autorizzati ai sensi dell'art. 28 GDPR.

Ogni modifica all'elenco viene comunicata al Cliente con almeno 14 giorni di preavviso tramite email all'indirizzo di contatto del tenant. Durante questo periodo il Cliente può opporsi alla modifica; in caso di opposizione non risolta, ha diritto di recedere dal contratto senza penali.

Lista corrente

Resend Inc.

Comunicazione

Invio email transazionali e di marketing, monitoraggio deliverability, gestione webhook eventi (consegnato, aperto, click, bounce, complaint).

Sede legale
San Francisco (CA), USA
Localizzazione dati
USA + edge globale
Trasferimento
EU-US DPF + SCC (doppia garanzia)
Attivo da
1 settembre 2024

Sito ufficiale ↗

Neon Inc.

Infrastruttura

Database PostgreSQL serverless con backup automatici Point-In-Time Recovery e replicazione regionale.

Sede legale
Wilmington (DE), USA
Localizzazione dati
Frankfurt (Germania), regione AWS eu-central-1
Trasferimento
Trattamento in UE
Attivo da
1 settembre 2024

Sito ufficiale ↗

Vercel Inc.

Infrastruttura

Hosting applicazione web (Next.js), CDN, edge functions, analytics tecnici (Speed Insights, Web Analytics).

Sede legale
San Francisco (CA), USA
Localizzazione dati
Edge network globale (request gestita da region più vicina al visitatore)
Trasferimento
EU-US DPF + SCC (doppia garanzia)
Attivo da
1 settembre 2024

Sito ufficiale ↗

Cloudflare, Inc.

Infrastruttura

Cloudflare R2 object storage per documenti applicativi e backup. I bucket documenti EU sono privati, con r2.dev disabilitato e accesso applicativo tramite API S3; il backup è separato.

Sede legale
San Francisco (CA), USA
Localizzazione dati
Payload dei documenti nei bucket con jurisdiction EU (auto location EEUR); control plane, metadati, supporto e servizi Cloudflare possono avere componenti globali secondo la documentazione del provider.
Trasferimento
EU-US DPF + SCC (doppia garanzia)
Attivo da
23 maggio 2026

Sito ufficiale ↗

Anthropic Ireland, Limited (gruppo Anthropic)

Intelligenza artificiale

API Claude per l'assistente conversazionale Joshua. Sono trattati messaggi sanitizzati e dati CRM operativi minimizzati; cedolini, allegati, profili reddituali/finanziari individuali e risultati di qualifica restano esclusi. I Customer Content non sono usati per addestrare i modelli. Retention API standard fino a 30 giorni, salvo accordo Zero Data Retention ed eccezioni dichiarate dal provider.

Sede legale
Irlanda (controparte contrattuale EEA; gruppo USA)
Localizzazione dati
USA e infrastruttura globale del gruppo/sub-responsabili
Trasferimento
Standard Contractual Clauses
Attivo da
30 giugno 2026

Sito ufficiale ↗

Notifiche di modifica

Per ricevere automaticamente le notifiche di modifica all'elenco — anche se non sei ancora un Cliente attivo — scrivi a dpa@smartcq.it indicando l'indirizzo email a cui inviare le comunicazioni. La lista è gestita esclusivamente per questa finalità e revocabile in ogni momento.

Storico modifiche

Aggiunto
Cloudflare, Inc. — Aggiunto Cloudflare per R2: i nuovi bucket documenti hanno jurisdiction EU; il perimetro Cloudflare control plane/global e l'eventuale consumer AV VPS restano da valutare separatamente.
Aggiornato
Anthropic — Riallineati controparte EEA, retention e perimetro effettivo: cedolini e profili reddituali/finanziari individuali restano locali; Joshua usa messaggi sanitizzati e dati CRM operativi minimizzati.
Aggiunto
Anthropic — Aggiunto Anthropic, PBC come sub-responsabile per le funzionalità di intelligenza artificiale (estrazione documenti, assistente Joshua, suggerimenti). Trasferimento USA coperto da Standard Contractual Clauses incluse nel DPA di Anthropic.
Aggiornato
Allegato 3 — Lista sub-responsabili pubblicata in pagina dedicata e versionata. Nessuna modifica sostanziale rispetto alla versione precedente integrata nel DPA.
Aggiornato
Allegato 3 — Allineamento meccanismi di trasferimento al EU-US Data Privacy Framework. Mantenute SCC come ulteriore garanzia.
Aggiunto
Resend, Neon, Vercel — Lista iniziale di sub-responsabili attiva al lancio del servizio.

Lo storico esteso è disponibile su richiesta a dpa@smartcq.it.

Governance

Per ogni sub-responsabile SmartCQ stipula un contratto che impone i medesimi obblighi di protezione dei dati previsti dal DPA. SmartCQ rimane responsabile nei confronti del Cliente per le attività dei sub-responsabili.

Le valutazioni dei trasferimenti internazionali (Transfer Impact Assessment ai sensi della sentenza Schrems II) sono disponibili al Cliente su richiesta motivata.

Questa pagina è parte integrante del Data Processing Agreement e dei Termini di Servizio. La versione consolidata del DPA con allegati è disponibile su richiesta in formato PDF firmato.

Documenti collegati