AIRON TEAM SL agisce come responsabile del trattamento per conto di ogni azienda cliente. L’art. 28.2 GDPR vieta di ricorrere a un altro responsabile senza autorizzazione del titolare. AIRON opera con autorizzazione generale, il che comporta l’obbligo di informare di ogni inserimento o sostituzione e di consentire l’opposizione del cliente. Questa pagina è l’allegato vivo del contratto di responsabile del trattamento.
1. Elenco dei sub-responsabili
| Fornitore | Entità e paese | Luogo del trattamento | Funzione e dati ricevuti | Meccanismo di trasferimento | Stato |
|---|---|---|---|---|---|
| OpenAI | OpenAI, L.L.C. — Stati Uniti | Stati Uniti | Inferenza di modelli linguistici: istruzioni, contesti (frammenti di email, fatture o CRM) e output generati. | Clausole Contrattuali Tipo (Modulo 3) dell’addendum sul trattamento dei dati di OpenAI, in corso di formalizzazione. | In uso |
| Alibaba Cloud | Alibaba Cloud — Singapore | Singapore | Endpoint del modello Qwen presente nel catalogo, disattivato e non assegnato alla produzione. | Non applicabile: l’endpoint è disattivato e non riceve dati. | Non in uso (disattivato) |
| Groq | Groq, Inc. — Stati Uniti | Stati Uniti | Inferenza di riserva. Riceverebbe istruzioni e contesti solo se attivata. | Da completare (DPF o Clausole Contrattuali Tipo) prima di abilitare il traffico. | Nessun traffico |
| NVIDIA | NVIDIA Corporation — Stati Uniti | Stati Uniti | Inferenza di modelli ospitati (NIM). Riceverebbe istruzioni e contesti solo se attivata. | Da completare (DPF o Clausole Contrattuali Tipo) prima di abilitare il traffico. | Nessun traffico |
| ElevenLabs | ElevenLabs — Stati Uniti | Stati Uniti | Sintesi vocale: il testo da pronunciare e, se del caso, audio di riferimento. | Clausole Contrattuali Tipo (Modulo 3), in corso di formalizzazione. | In base all’attivazione del cliente |
| RunPod | RunPod — Stati Uniti | Data center di RunPod; l’addestramento dei modelli solo nell’Unione Europea (Svezia) | Calcolo GPU su richiesta: la modalità opzionale «AIRON (Qwen3.5-27B)» dell’Assistente, attiva solo per account pilota, e l’addestramento occasionale di modelli di ricerca propri con richieste di clienti pilota. | Clausole Contrattuali Tipo (Modulo 3), in corso di formalizzazione. | Uso limitato (pilota) |
| Meta (WhatsApp e Instagram) | Meta Platforms Ireland Ltd. — Irlanda (con trattamento anche negli Stati Uniti) | Irlanda (UE) e Stati Uniti | Messaggistica WhatsApp Business e Instagram: messaggi, numeri di telefono e identificativi di contatto. | Condizioni di Meta con le proprie Clausole Contrattuali Tipo. | In base all’attivazione del cliente |
| Google Ireland Ltd. — Irlanda (parte del trattamento da Google LLC, Stati Uniti) | Irlanda (UE) e Stati Uniti; embedding in Germania (UE) | Autenticazione OAuth, Gmail, Drive, Calendar, Google Ads, GA4, Search Console, YouTube e Profilo dell’attività: contenuto delle email, file, eventi, metriche e audience. Dal 19 settembre 2026, Google Cloud Vertex AI (europe-west3, Francoforte) calcola gli embedding della ricerca: riceve il testo dei frammenti indicizzati e delle richieste. | Addendum di Google sul trattamento dei dati con Clausole Contrattuali Tipo; Google LLC certificata nel DPF. | In uso, in base all’attivazione del cliente | |
| Microsoft | Microsoft Ireland Operations Ltd. — Irlanda | Unione Europea (EU Data Boundary) | Microsoft 365, OneDrive e Outlook: contenuto delle email, file e calendario. | Trattamento nell’UE; Clausole Contrattuali Tipo del DPA di Microsoft per l’eventuale trattamento residuo fuori dal SEE. | In base all’attivazione del cliente |
| Twilio | Twilio Ireland Ltd. — Irlanda / Twilio Inc. — Stati Uniti | Irlanda (UE) e Stati Uniti | Telefonia e voce: numerazione, audio della chiamata e metadati della chiamata. | Clausole Contrattuali Tipo del DPA di Twilio; si impone la regione dati irlandese. | In base all’attivazione del cliente |
| IONOS | IONOS SE — Germania | Francoforte sul Meno, Germania (UE) | Hosting del server: tutta l’infrastruttura, i database e i file della piattaforma. | Non applicabile: il trattamento avviene interamente nell’Unione Europea. | In uso |
| GitHub | GitHub, Inc. (Microsoft) — Stati Uniti | Stati Uniti | Esportazione dei siti web creati con Web Studio nel repository del cliente stesso. | Clausole Contrattuali Tipo del DPA Microsoft/GitHub; la destinazione è il repository del cliente. | In base all’attivazione del cliente |
| Telegram | Telegram (Bot API) — entità contraente in via di determinazione | Da determinare | Canale di messaggistica interna dell’operatore: messaggi dell’operatore e identificativi di conversazione. Non è usato per comunicare con terzi. | Da determinare. Nel frattempo il canale è limitato alla messaggistica operativa interna. | In uso (interno) |
| Stripe | Stripe Payments Europe Ltd. — Irlanda / Stripe, Inc. — Stati Uniti | Irlanda (UE) e Stati Uniti | Fatturazione di AIRON ai propri clienti: dati di contatto e di pagamento. In questo trattamento AIRON è titolare, non responsabile. | Clausole Contrattuali Tipo del DPA di Stripe; Stripe, Inc. certificata nel DPF. | Uso limitato (fatturazione propria) |
Non tutti i fornitori ricevono dati di tutti i clienti: quelli contrassegnati come «in base all’attivazione del cliente» intervengono solo se quell’azienda collega quel servizio. Stiamo completando il fascicolo contrattuale (accordo sul trattamento, clausole tipo e valutazione dei trasferimenti) con ciascun fornitore; puoi richiedere lo stato aggiornato a privacidad@airon.team.
2. Componenti locali: non sono sub-responsabili
Questi componenti girano interamente sull’infrastruttura di AIRON a Francoforte. Non vi è comunicazione di dati a terzi e pertanto non ricorrono né contratto di sub-responsabile né trasferimento internazionale.
| Componente | Funzione e dati ricevuti |
|---|---|
| SearXNG | Ricerca web per gli agenti, self-hosted sul nostro server. |
| AIRON CRM | CRM self-hosted su crm.airon.team, sulla stessa infrastruttura. |
3. Trasferimenti internazionali
L’hosting (server, database, file e copie di sicurezza) e l’indicizzazione della ricerca avvengono nell’Unione Europea; l’inferenza dei modelli linguistici è fornita da OpenAI negli Stati Uniti. Per i fornitori situati in paesi terzi si applica il Capo V del GDPR: decisione di adeguatezza, EU-US Data Privacy Framework quando l’importatore è certificato e attivo, o Clausole Contrattuali Tipo della Decisione di esecuzione (UE) 2021/914, Modulo 3 (da responsabile a sub-responsabile), con le misure supplementari necessarie e una valutazione d’impatto del trasferimento rivista almeno una volta l’anno.
Regola di instradamento. Per incorporare un nuovo fornitore situato fuori dal SEE o da un paese con decisione di adeguatezza si richiede prima il fascicolo di trasferimento completo. Per il fornitore di inferenza attuale (OpenAI, Stati Uniti) la formalizzazione dell’addendum sul trattamento dei dati e della valutazione del trasferimento è in corso. A parità ragionevole di qualità e costo si preferisce, in quest’ordine: modello locale sul nostro server, fornitore che tratta nell’UE, fornitore con adeguatezza o DPF vigente, fornitore con clausole tipo e valutazione favorevole.
4. Come si notificano i cambiamenti
- Comunicazione scritta a tutti i clienti titolari con 30 giorni naturali di anticipo rispetto al momento in cui il nuovo sub-responsabile inizia a trattare dati.
- Contenuto della comunicazione: nome ed entità del fornitore, funzione, categorie di dati, luogo del trattamento, meccanismo di trasferimento e data prevista di inserimento.
- Canale: email al contatto privacy di ciascun cliente e pubblicazione in questa pagina.
- Diritto di opposizione motivata entro tale termine. Se l’opposizione è fondata e non esiste un’alternativa ragionevole, il cliente può risolvere senza penali il servizio interessato, con il periodo di transizione di 30 giorni descritto in portabilità e cambio di fornitore.
- In caso di sostituzione o rimozione: stessa notifica di 30 giorni, conferma della cancellazione dei dati presso il fornitore uscente e aggiornamento di questa pagina.
5. Registro delle modifiche
| Data | Modifica |
|---|---|
| 26 settembre 2026 | RunPod passa a «uso limitato (pilota)»: serve la modalità opzionale «AIRON (Qwen3.5-27B)» dell’Assistente per account pilota e l’addestramento occasionale di modelli di ricerca propri, svolto solo nell’UE (Svezia). OpenAI: si corregge il meccanismo di trasferimento, costituito dalle Clausole Contrattuali Tipo del suo addendum sul trattamento dei dati, in corso di formalizzazione (si ritira il riferimento all’EU-US Data Privacy Framework). Si precisa che hosting e indicizzazione avvengono nell’UE e l’inferenza negli Stati Uniti. Correzione della voce del 2 settembre: NVIDIA ha ricevuto traffico fino al 19 settembre, perché calcolava gli embedding della ricerca; da quel giorno non ne riceve. |
| 19 settembre 2026 | Google: gli embedding della ricerca si calcolano ora su Google Cloud Vertex AI, regione europe-west3 (Francoforte, UE); il contenuto indicizzato non esce dall’UE per essere vettorializzato. La descrizione di Google include ora anche Calendar, YouTube e Profilo dell’attività, già in uso. Nessun nuovo fornitore. |
| 2 settembre 2026 | Prima pubblicazione dell’elenco, con 14 fornitori. Alibaba Cloud risulta disattivato e non utilizzato. Nessun nuovo sub-responsabile è stato aggiunto rispetto alla situazione precedente. |
Contesto di questa lista nell’informativa della piattaforma AIRON. Domande: privacidad@airon.team o info@airon.team.