Elenco dei sub-responsabili
Soggetti dei quali DANIELE LILLA CONSULTING si avvale per il trattamento dei dati personali effettuato per conto dei propri Clienti, ai sensi dell'articolo 28, paragrafi 2 e 4, del Regolamento UE 2016/679
- Aggiornato al
- 04.08.2026
- Riferito a
- Atto di Nomina a Responsabile del trattamento v1.6
- Preavviso per le modifiche
- 30 giorni
Il Titolare autorizza in via generale il Responsabile a ricorrere ai sub-responsabili indicati nel presente elenco. Ogni variazione è comunicata con un preavviso di trenta giorni, entro il quale il Titolare può opporsi per motivi ragionevoli e documentati attinenti alla protezione dei dati, con conseguente diritto di recesso senza penalità limitatamente ai servizi interessati.
Sub-responsabili in essere
| Sub-responsabile | Servizio affidato | Sede | Garanzia per il trasferimento |
|---|---|---|---|
| Hetzner Online GmbH | Hosting cloud e archiviazione dei dati | Germania | Territorio UE |
| Cloudflare, Inc. | DNS, rete di distribuzione dei contenuti, mitigazione DDoS, web application firewall | Stati Uniti | SCC + DPF |
| Cloudflare, Inc. | Archiviazione fuori sede (Cloudflare R2) di: (a) i file allegati caricati dagli Utenti — allegati di viaggi, mezzi, autisti, clienti, movimenti di cassa e attività, buste paga, documenti sottoposti a firma elettronica; (b) le copie di sicurezza integrali del database, che contengono per definizione l'intero contenuto inserito dai Clienti | Stati Uniti | SCC + DPF |
| Stripe Payments Europe Ltd | Elaborazione dei pagamenti | Irlanda | Territorio UE |
| Resend Inc. | Invio di messaggi di posta elettronica transazionali | Stati Uniti | SCC + DPF |
| Contabo GmbH | Infrastruttura server sulla quale è erogato il servizio di posta elettronica delle caselle dei Clienti, gestito direttamente dal Responsabile | Germania | Territorio UE |
| Make.com (Celonis SE) | Automazione dei moduli di contatto del sito istituzionale | Germania | Territorio UE |
| LogRocket, Inc. | Registrazione delle sessioni di navigazione sul sito istituzionale. Non attivo nell'ambiente applicativo | Stati Uniti | SCC |
| Acube S.r.l. | Trasmissione delle fatture elettroniche al Sistema di Interscambio (in attivazione) | Italia | Territorio UE |
| Google Ireland Ltd | Geocodifica degli indirizzi: conversione in coordinate degli indirizzi di carico e scarico e dei testi digitati nei campi di ricerca, e operazione inversa. Opera soltanto quando è configurata la chiave del servizio; in sua assenza la geocodifica è eseguita dal servizio pubblico indicato più sotto | Irlanda | Territorio UE |
| Anthropic PBC | Estrazione dei dati dai documenti caricati dal Cliente (anagrafiche, ordini e mandati di trasporto, fatture ricevute) e assistente conversazionale interno alla piattaforma, limitatamente ai Clienti che utilizzano tali funzionalità | Stati Uniti | SCC |
| OpenAI, L.L.C. | Trascrizione dei comandi vocali e lettura ad alta voce delle risposte dell'assistente, limitatamente agli Utenti che utilizzano tali funzionalità | Stati Uniti | SCC |
Caselle di posta elettronica del Cliente. Il modulo Posta assegna al Cliente caselle sul dominio del Servizio. Il servizio di posta è gestito direttamente dal Fornitore e non è affidato a un fornitore terzo: non vi è pertanto, per esso, alcun sub-responsabile da indicare nell'elenco che precede. Le macchine sulle quali il servizio è erogato sono fornite da Contabo GmbH, indicata nell'elenco, e si trovano nel territorio dell'Unione europea: non vi è alcun trasferimento verso Paesi terzi. Le credenziali di accesso alle caselle sono conservate in forma cifrata, secondo quanto indicato nell'Atto di Nomina. Da quelle caselle transita la corrispondenza aziendale del Cliente — fatture ricevute, ordini e mandati di trasporto, scambi con committenti, fornitori e dipendenti — che è trattata alle medesime condizioni previste dall'Atto di Nomina per ogni altro contenuto del Cliente.
Destinatari privi di contratto di sub-responsabilità
I destinatari indicati in questo paragrafo ricevono contenuti del Cliente, ma con essi non è in essere alcun contratto di sub-responsabilità ai sensi dell'articolo 28 del Regolamento, e per il relativo trasferimento non opera alcuna garanzia negoziata. Non sono pertanto sub-responsabili e non figurano nell'elenco che precede: sono indicati qui perché ricevono comunque un contenuto, e il Titolare deve poterlo sapere. Le due situazioni sono diverse e vanno tenute distinte.
Servizi pubblici di rete
I servizi indicati di seguito sono servizi pubblici gratuiti, utilizzati senza registrazione e senza corrispettivo. Con i soggetti che li gestiscono non è in essere alcun contratto di sub-responsabilità ai sensi dell'articolo 28 del Regolamento, e per il relativo trasferimento non operano le Clausole Contrattuali Tipo né altra garanzia negoziata. La sola misura adottata è la riduzione al minimo del contenuto trasmesso, indicata qui sotto per ciascun servizio.
| Servizio | Cosa riceve | Cosa non riceve |
|---|---|---|
Nominatim, geocodifica degli indirizzinominatim.openstreetmap.org | la stringa dell'indirizzo da convertire — ovvero, nei campi di ricerca, il testo digitato dall'Utente così com'è — oppure una coppia di coordinate; l'indirizzo IP del server del Fornitore e un recapito del Fornitore nell'intestazione della richiesta | identificativi dell'azienda cliente e degli Utenti, denominazioni di clienti, committenti e fornitori come dato distinto, targhe, nominativi degli autisti, orari, quantità, corrispettivi, numeri di viaggio |
Project-OSRM, calcolo dei percorsirouter.project-osrm.org | la sola sequenza ordinata delle coordinate dei punti di carico e scarico, dalla quale è desumibile la tratta percorsa; l'indirizzo IP del server del Fornitore e un recapito del Fornitore nell'intestazione della richiesta | ogni altro dato del viaggio: numero, targa, autista, cliente, indirizzi in forma testuale, orari, quantità, corrispettivi |
Mappa di sfondotile.openstreetmap.org | le coordinate del riquadro di mappa visualizzato e l'indirizzo IP del dispositivo dell'Utente: è l'unica richiesta verso terzi che parte dal programma di navigazione e non dal server | i punti del percorso, i contrassegni, gli indirizzi e ogni altro contenuto, che il programma di navigazione disegna sopra l'immagine di sfondo senza trasmetterli |
Nominatim interviene quando la chiave del servizio di geocodifica indicato nell'elenco che precede non è configurata e, quando lo è, nei casi in cui quel servizio non restituisca alcun risultato.
Trasmissioni verso sistemi pubblici e servizi di messaggistica
I destinatari indicati di seguito ricevono dati del Cliente in esecuzione di un obbligo di legge, ovvero su specifica azione dell'Utente. Anche con essi non è in essere alcun contratto di sub-responsabilità.
| Destinatario | Cosa riceve | Quando |
|---|---|---|
WhatsApp (Meta Platforms Ireland Ltd)wa.me | il messaggio di viaggio destinato all'autista: numero di telefono dell'autista, denominazione del cliente, targa del mezzo, indirizzi di carico e scarico, orari, descrizione della merce, eventuale classe ADR e note. I dati viaggiano nell'indirizzo web aperto dal dispositivo dell'Utente | soltanto quando l'Utente preme il comando di invio su WhatsApp. Nessun invio automatico |
| VIES — sistema di scambio di informazioni sull'IVA (Commissione europea) | la partita IVA da verificare, e nient'altro | all'attivazione del Contratto e alla creazione o modifica di un'anagrafica, per il riscontro di validità |
| RENTRI — Registro elettronico nazionale per la tracciabilità dei rifiuti | i dati dei formulari e delle registrazioni di carico e scarico dei Clienti che hanno attivato il Modulo Rifiuti, nei tracciati imposti dalla normativa | in via ordinaria, quale modalità di adempimento dell'obbligo di legge, e non su richiesta occasionale |
Archiviazione off-site delle copie di sicurezza
Le copie di sicurezza del database — che contengono per definizione l'intero contenuto inserito dai Clienti — sono conservate, oltre che sull'infrastruttura di produzione, in copia presso due distinti servizi di archiviazione fuori sede — quello di Cloudflare e quello di Google. La copia è integrale, compressa e non cifrata, è trasmessa ogni ora e ha cicli di conservazione propri, più lunghi di quelli delle copie tenute in sede. La finalità è la conservazione off-site: poter ripristinare il Servizio anche in caso di perdita dell'infrastruttura di produzione.
Il servizio è oggi utilizzato mediante un account personale, non aziendale. Ne consegue che non è in essere un accordo sul trattamento dei dati ai sensi dell'articolo 28 del Regolamento, che la controparte del rapporto è la persona fisica intestataria dell'account e non la società che eroga il servizio, e che per il trasferimento non operano le Clausole Contrattuali Tipo né altra garanzia negoziata. Il Fornitore si obbliga ad attivare un contratto di servizio aziendale e a sottoscrivere il relativo accordo sul trattamento dei dati; dalla sottoscrizione il servizio è indicato nell'elenco dei sub-responsabili, con la propria sede e la propria garanzia per il trasferimento, e cessa di essere disciplinato dal presente paragrafo.
Funzionalità assistite dall'intelligenza artificiale
I sub-responsabili indicati per le funzionalità assistite dall'intelligenza artificiale ricevono esclusivamente i contenuti trasmessi al momento della singola richiesta — il documento caricato, il testo della domanda, il comando vocale, il testo da leggere ad alta voce — e per il tempo necessario a restituirne l'esito. Secondo le condizioni contrattuali applicabili alle interfacce applicative dei rispettivi fornitori, tali contenuti non sono utilizzati per l'addestramento dei modelli. In assenza di utilizzo delle relative funzionalità da parte del Cliente nessun dato è trasmesso.
Garanzie contrattuali
Ciascun sub-responsabile è vincolato da un accordo scritto che impone obblighi di protezione dei dati equivalenti a quelli assunti dal Responsabile nei confronti del Titolare, con particolare riguardo alle misure di sicurezza di cui all'articolo 32 e agli obblighi di notificazione delle violazioni di cui all'articolo 33 del Regolamento.
Il Responsabile conserva la piena responsabilità nei confronti del Titolare per l'adempimento degli obblighi del sub-responsabile, ai sensi dell'articolo 28, paragrafo 4, del Regolamento.
Trasferimenti verso Paesi terzi
I trattamenti sono eseguiti in via ordinaria su infrastrutture ubicate nel territorio dell'Unione europea; fanno eccezione l'archiviazione dei file allegati e la conservazione off-site delle copie di sicurezza, indicate rispettivamente nell'elenco che precede e nel paragrafo sui destinatari privi di contratto. I trasferimenti verso Paesi terzi indicati nell'elenco sono assistiti dalle Clausole Contrattuali Tipo adottate dalla Commissione europea con decisione di esecuzione (UE) 2021/914 e, ove applicabile, dalla decisione di adeguatezza relativa al Data Privacy Framework UE-Stati Uniti, integrate da misure supplementari ove necessarie all'esito della valutazione del contesto di trasferimento. Restano estranei alla presente disposizione i destinatari indicati al paragrafo «Destinatari privi di contratto di sub-responsabilità», per i quali, non essendovi contratto, non opera alcuna garanzia negoziata.
Modalità di comunicazione delle variazioni
Le variazioni dell'elenco sono comunicate ai Titolari mediante messaggio di posta elettronica all'indirizzo indicato nel Modulo d'Ordine e mediante avviso nell'area riservata, con indicazione del sub-responsabile interessato, del servizio affidato, della sede e della garanzia applicabile ai trasferimenti.
Le opposizioni sono trasmesse all'indirizzo [email protected] ovvero alla PEC [email protected] entro il termine di preavviso.