Sub-responsabili del trattamento
Ultimo aggiornamento: 3 settembre 2026
Bozza. Questo testo descrive fedelmente come funziona il servizio oggi, ma non è stato rivisto da un consulente legale. Va rivisto prima dell'apertura al pubblico.
Chi riceve i dati, e perché
Per erogare Accepta, MS Works (Antonio Cirino Murabito, P.IVA 07344720821) si avvale dei fornitori qui elencati, ciascuno per la parte indicata. Nessuno di loro riceve dati per finalità proprie, salvo dove è scritto che agisce come titolare autonomo (Stripe per i pagamenti, Google per l'accesso con Google).
Dove stanno i dati
| Cosa | Dove | Fornitore |
|---|---|---|
| Banca dati (account, aziende, anagrafiche, documenti, incassi) e file (PDF, XML, allegati) | Stoccolma, Svezia (AWS eu-north-1) | Supabase |
| Esecuzione dell'applicazione | Stoccolma, Svezia (regione arn1) | Vercel |
| Firma, trasmissione allo SdI e conservazione a norma delle fatture | Italia | Openapi |
Elenco
| Fornitore | Cosa fa per noi | Quali dati riceve | Dove tratta | Garanzie |
|---|---|---|---|---|
| Supabase Pte. Ltd Singapore | Banca dati Postgres e archiviazione file | Tutti i dati dell'applicazione | UE (Stoccolma), regione scelta da noi | Clausole contrattuali standard UE (SCC); DPA firmato |
| Vercel Inc. Covina, California, USA | Esecuzione dell'applicazione, log tecnici | Richieste in transito, log applicativi (metodo, percorso, esito, IP) | Esecuzione in UE (Stoccolma); log e account negli USA | EU-US Data Privacy Framework + SCC; DPA |
| Openapi SpA Unipersonale Roma, Italia | Hub verso il Sistema di Interscambio: firma, trasmissione, ricevute, conservazione a norma 10 anni; arricchimento anagrafiche da P.IVA (solo su tua richiesta) | XML delle fatture, dati dell'azienda registrata sull'hub, partite IVA cercate | Italia / SEE | Non necessario (UE) |
| Plus Five Five, Inc. (Resend) San Francisco, USA | Invio email (fatture ai clienti, solleciti, verifica indirizzo, inviti) e tracciamento consegna | Indirizzo del destinatario, oggetto e corpo, allegati PDF/XML, esito di consegna | USA (invio dalla regione Irlanda, contenuti e log negli USA per 30 giorni) | EU-US Data Privacy Framework + SCC; DPA |
| OpenAI Ireland Ltd Dublino, Irlanda | Modelli per le funzioni assistite — vedi Trasparenza AI | Solo ciò che la funzione usata invia; mai per addestramento | USA di default; 30 giorni per controllo abusi, nessuna conservazione per la trascrizione vocale | SCC; DPA. In verifica: stato DPF e residenza dei dati in UE |
| Stripe Payments Europe, Ltd Dublino, Irlanda | Link di pagamento «Paga» sulle fatture | Importo, riferimento fattura, email del pagatore; i dati della carta li tratta Stripe come titolare autonomo | UE/USA | EU-US Data Privacy Framework + SCC; DPA |
| Inngest Inc San Francisco, USA | Esecuzione durevole delle automazioni e delle consegne webhook | I dati dell'evento che avvia l'automazione (per esempio numero, cliente e totale della fattura emessa) | USA | In verifica: accordo sul trattamento e meccanismo di trasferimento da ottenere dal fornitore |
| Google Ireland Ltd Dublino, Irlanda | Accesso con Google (solo se lo scegli) | Nome, email, immagine del profilo | UE/USA | EU-US Data Privacy Framework; Google è titolare autonomo del proprio servizio |
| Notion Labs, Inc. San Francisco, USA | Connettore Notion (solo se lo colleghi tu) | I dati che l'automazione che configuri invia a Notion | USA | SCC; DPA. Attivazione esplicita da parte tua |
| TeamSystem S.p.A. Bergamo, Italia | Import dei tuoi dati da Fatture in Cloud (solo se lo autorizzi) | Riceve solo la richiesta di lettura autorizzata da te: è la fonte dei dati, non un destinatario | Italia | Non necessario (UE) |
| Servizi di notifica push Apple, Google, Mozilla | Recapito delle notifiche sul tuo dispositivo (solo se le attivi) | L'indirizzo di consegna generato dal browser e il testo cifrato dell'avviso | USA | DPF/SCC dei rispettivi fornitori; sono destinatari tecnici, non sub-responsabili |
Le due voci in verifica
Due garanzie sono ancora da confermare con il fornitore, e finché non lo sono restano scritte come tali invece di essere date per acquisite: l'accordo sul trattamento di Inngest (che oggi non pubblica un DPA e tratta negli Stati Uniti) e lo stato del Data Privacy Framework di OpenAI insieme alla possibilità di chiedere la residenza dei dati in UE. Nel frattempo, negli eventi che avviano le automazioni passa il minimo necessario.
Modifiche a questo elenco
Se aggiungiamo o sostituiamo un fornitore, aggiorniamo questa pagina e avvisiamo per email gli account attivi con almeno 30 giorni di anticipo. Se hai obiezioni motivate puoi recedere prima che la modifica diventi efficace, esportando tutti i tuoi dati.
Domande: antonio.murabito@msworks.it.