1. Come leggere il registro
Sportello365 seleziona fornitori che presentano garanzie adeguate, limita l’accesso ai dati necessari e disciplina i trattamenti svolti per proprio conto con un accordo conforme all’articolo 28 del GDPR. Il registro distingue i responsabili del trattamento dai soggetti che operano come titolari autonomi.
L’elenco riguarda i servizi effettivamente previsti nell’architettura di Sportello365. I crawler di OpenAI, Anthropic e altri motori possono consultare soltanto pagine pubbliche secondo robots.txt: non ricevono account, documenti, pratiche o contenuti dell’area riservata e non sono indicati come destinatari di dati personali.
2. Responsabili e fornitori tecnici
| Fornitore e sede | Servizio e ruolo | Dati interessati | Luogo e garanzie |
|---|---|---|---|
| Huberway LLC — 1309 Coffeen Avenue, Suite 1200, Sheridan, Wyoming 82801, Stati Uniti — EIN 35-2903558 | Sviluppo software, manutenzione, assistenza tecnica, gestione degli incidenti e supporto applicativo. Responsabile del trattamento quando opera per Sportello365. | Dati di account, organizzazione CAF, pratiche, assistenza, log e documenti soltanto nella misura necessaria all’intervento autorizzato. | Stati Uniti; Clausole contrattuali standard UE 2021/914, valutazione del trasferimento, accessi nominativi, riservatezza, minimizzazione e misure supplementari. |
| Twilio Inc. e affiliate contrattuali, inclusi i servizi Twilio Verify e Twilio SendGrid | Invio e verifica OTP via SMS/email, email transazionali e informazioni di consegna. Responsabile o titolare autonomo limitatamente ai dati d’uso descritti nel DPA Twilio. | Numero di telefono o email, codice e stato della verifica, identificativi della richiesta, metadati di invio, consegna e sicurezza; contenuto delle email transazionali. | Trattamento globale secondo il DPA Twilio; Data Privacy Framework quando applicabile, Binding Corporate Rules per i servizi coperti e Clausole contrattuali standard per gli altri trasferimenti. |
| Google Ireland Limited — Gordon House, Barrow Street, Dublin 4, Irlanda — servizio Google Analytics 4 | Misurazione facoltativa dell’uso e delle prestazioni del frontend, attivata esclusivamente dopo consenso. | Pagine consultate senza parametri di ricerca, data e ora, eventi tecnici, informazioni su browser e dispositivo, area geografica approssimativa e identificativi Analytics. | Trattamento nell’Unione europea e possibili trasferimenti secondo i termini e i meccanismi di protezione adottati da Google; segnali pubblicitari e personalizzazione disattivati da Sportello365. |
| Infrastruttura applicativa e database dedicata di Sportello365 | Erogazione delle API, database, conservazione privata dei file, backup, firewall e log. Gestione sotto il controllo del titolare e dei tecnici autorizzati. | Tutte le categorie strettamente necessarie al funzionamento del servizio. | Configurazione di produzione nell’Unione europea; cifratura in transito, controllo degli accessi, segmentazione e backup protetti. |
3. Altri destinatari e titolari autonomi
| Soggetto | Quando riceve dati | Ruolo |
|---|---|---|
| Gestore SPID scelto dall’utente | Durante l’autenticazione, secondo gli attributi richiesti dal servizio e autorizzati nel flusso SPID. | Titolare autonomo per emissione e gestione dell’identità digitale; Sportello365 è fornitore del servizio per l’accesso. |
| CAF o professionista incaricato | Quando l’utente sceglie il soggetto, invia una richiesta o conferisce un incarico per la pratica. | Titolare autonomo per la prestazione professionale; Sportello365 può operare come responsabile per le funzioni del gestionale. |
| Ente pubblico competente | Quando l’invio è richiesto dalla pratica o da una norma e l’utente ha completato il relativo passaggio. | Titolare autonomo secondo i propri compiti istituzionali. |
| Apple App Store e Google Play | Quando l’utente visita lo store, installa l’app o gestisce un eventuale acquisto attraverso il proprio account store. | Titolari autonomi secondo le rispettive informative; Sportello365 non riceve la password dell’account Apple o Google. |
| Autorità, organi giudiziari e consulenti vincolati | In presenza di un obbligo legale, richiesta valida, incidente, contestazione o necessità di tutelare un diritto. | Titolare autonomo o soggetto autorizzato secondo il caso. |
4. Gestione dei trasferimenti internazionali
- Verifica preliminare della necessità del trasferimento e minimizzazione dei campi condivisi.
- Accordo sul trattamento, istruzioni documentate e obblighi per eventuali sub-responsabili.
- Decisione di adeguatezza o Data Privacy Framework quando applicabile al destinatario e al servizio.
- In alternativa, Clausole contrattuali standard 2021/914, valutazione d’impatto del trasferimento e misure tecniche e organizzative supplementari.
- Verifica periodica di sedi di trattamento, sub-responsabili, tempi di cancellazione e incidenti.
5. Documenti dei fornitori e aggiornamenti
Il registro viene aggiornato prima dell’introduzione di un fornitore che riceva nuove categorie di dati o comporti un nuovo trasferimento internazionale. Se il cambiamento incide in modo sostanziale sui diritti degli utenti, Sportello365 ne dà comunicazione attraverso il servizio o i recapiti disponibili.