Sub-responsabili del trattamento
Ultimo aggiornamento: 26 ottobre 2026
Quando un'Organizzazione usa TRIQ, Polaris Digital tratta i dati personali per suo conto come Responsabile del trattamento (art. 28 GDPR), secondo il Data Processing Agreement. Per erogare il servizio Polaris Digital si avvale dei fornitori elencati qui sotto, che trattano i dati delle Organizzazioni come sub-responsabili. Con ciascuno è in essere un accordo che impone gli stessi obblighi di protezione dei dati previsti dal DPA (art. 28, paragrafo 4, GDPR). Polaris Digital resta responsabile verso l'Organizzazione per il loro operato.
1. Elenco
| Fornitore | Finalità | Dati | Dove | Garanzia per il trasferimento |
|---|---|---|---|---|
| Supabase, Inc. | Database, autenticazione, archiviazione dei file, funzioni per i webhook di Instagram e WhatsApp | Tutti i dati dell'Organizzazione: Conversazioni, Contatti, Conoscenza, utenti | Unione europea (Francoforte, Germania); assistenza tecnica dagli Stati Uniti | Clausole contrattuali tipo (Decisione UE 2021/914) per gli accessi da fuori SEE |
| Vercel, Inc. | Hosting della dashboard, delle API e del widget | Dati in transito nelle richieste, log tecnici | Unione europea (Francoforte, Germania); società con sede negli Stati Uniti | Clausole contrattuali tipo (Decisione UE 2021/914) |
| Anthropic, PBC | Modelli Claude: risposte dell'Assistente, controllo delle risposte, Copilot, classificazione delle Conversazioni | Testo delle Conversazioni e brani della Conoscenza usati per rispondere | Stati Uniti | Clausole contrattuali tipo (Decisione UE 2021/914); nessun addestramento sui contenuti; cancellazione entro 30 giorni |
| Voyage AI Innovations, Inc. (gruppo MongoDB) | Embedding: trasforma in vettori i testi della Conoscenza e le domande dei visitatori per la ricerca | Testi della Conoscenza, testo delle domande | Stati Uniti | Clausole contrattuali tipo (Decisione UE 2021/914); nessun addestramento sui contenuti |
| OpenAI, L.L.C. | Embedding di riserva per la ricerca nella Conoscenza, usato solo se Voyage non trova risultati. In dismissione | Testo delle domande | Stati Uniti | Clausole contrattuali tipo (Decisione UE 2021/914) |
| Plus Five Five, Inc. (Resend) | Email di servizio: avvisi di passaggio a una persona, riepiloghi, email inviate dalle Automazioni | Indirizzi email degli utenti, estratti di Conversazioni e dati del Contatto contenuti negli avvisi | Stati Uniti | Clausole contrattuali tipo (Decisione UE 2021/914); EU-U.S. Data Privacy Framework dichiarato dal fornitore |
| Functional Software, Inc. (Sentry) | Monitoraggio degli errori applicativi | Dati tecnici degli errori, che possono contenere identificativi e frammenti delle richieste | Unione europea (regione Germania di Sentry); società con sede negli Stati Uniti | EU-U.S. Data Privacy Framework dichiarato dal fornitore, con Clausole contrattuali tipo come riserva |
I trasferimenti verso gli Stati Uniti avvengono secondo il Capo V del GDPR. Dove il fornitore dichiara l'adesione all'EU-U.S. Data Privacy Framework lo indichiamo, ma la garanzia su cui facciamo affidamento sono le Clausole contrattuali tipo approvate dalla Commissione europea.
2. Chi non è un nostro sub-responsabile, e perché
- Meta, per Instagram. Instagram è un servizio di Meta, che tratta i dati dei propri utenti come titolare. TRIQ riceve e invia i messaggi tramite le API di Meta per conto dell'Organizzazione. Per i trattamenti legati al profilo professionale, alla cui definizione l'Organizzazione contribuisce, l'Organizzazione e Meta possono essere contitolari, come ha chiarito la Corte di giustizia UE per le pagine Facebook (causa C-210/16, Wirtschaftsakademie, 5 giugno 2018) e per gli strumenti di Meta integrati da terzi (causa C-40/17, Fashion ID, 29 luglio 2019). Il rapporto con Meta è quindi dell'Organizzazione, secondo i termini di Meta che l'Organizzazione accetta quando collega il proprio account.
- Meta, per WhatsApp. Con la WhatsApp Business Platform (Cloud API) Meta tratta i messaggi come responsabile dell'Organizzazione, secondo i WhatsApp Business Data Processing Terms che l'Organizzazione accetta direttamente con Meta. Non è un fornitore scelto da Polaris Digital.
- Stripe. Tratta i dati di pagamento dell'abbonamento a TRIQ, per i quali Polaris Digital è titolare. Non tratta i dati delle Conversazioni. È indicato nella Privacy Policy.
- Servizi di notifica del browser (per esempio quelli di Google, Apple, Mozilla). Le notifiche push agli operatori viaggiano cifrate dall'inizio alla fine: il servizio del browser non può leggerne il contenuto.
3. Come avvisiamo delle modifiche
- Prima di aggiungere o sostituire un sub-responsabile aggiorniamo questa pagina e la data in testa, e scriviamo ai proprietari di ogni Organizzazione almeno 15 giorni prima che la modifica abbia effetto.
- Entro quei 15 giorni l'Organizzazione può opporsi per motivi ragionevoli legati alla protezione dei dati, come previsto dal DPA (art. 28, paragrafo 2, GDPR).
- Se un fornitore va sostituito con urgenza per ragioni di sicurezza o di continuità del servizio, avvisiamo appena possibile e il termine per opporsi decorre dall'avviso.
- Chi non è proprietario di un'Organizzazione e vuole ricevere gli avvisi può chiederlo a hello@polarisdigital.it.