Lista Sub-responsabili del Trattamento
Di seguito l'elenco aggiornato dei sub-responsabili del trattamento utilizzati dalla piattaforma TDS Automation Platform, ai sensi dell'Art. 28 GDPR.
OpenAI, Inc.
| Finalita' | Estrazione strutturata di dati da fatture PDF tramite AI (fallback quando il regex non e' sufficiente) |
| Dati trattati | Testo estratto da PDF (max 4.000 caratteri): puo includere denominazioni, P.IVA, importi, date |
| Localizzazione | Stati Uniti (con SCC e EU-US DPF) |
| Garanzie | SCC (Clausole Contrattuali Standard), EU-US Data Privacy Framework, nessun uso dei dati API per addestramento modelli, crittografia in transito (TLS 1.2+), conservazione fino a 30 giorni per il controllo degli abusi (Zero Data Retention richiesta al fornitore, non ancora attiva) |
| Meccanismo di trasferimento | SCC Modulo 2 (C2P) + EU-US Data Privacy Framework + Anonimizzazione PII pre-invio |
| Quando si attiva | Solo quando l'estrazione regex da PDF ha completezza < 80%. Mai per fatture XML. L'utente puo visualizzare il metodo usato ("pdf_ai" vs "pdf_regex" vs "xml") nei risultati. |
Google LLC (Google Workspace APIs)
| Finalita' | Esportazione dati su Google Sheets, invio bozze email via Gmail, gestione eventi calendario — SOLO su richiesta esplicita dell'utente |
| Dati trattati | Dati fattura estratti (quando l'utente esporta su Sheets), contenuti email (quando l'utente invia bozze/follow-up) |
| Localizzazione | UE / Globale (infrastruttura Google Cloud) |
| Garanzie | Google DPA, SCC, certificazione ISO 27001/SOC 2, token OAuth crittografati AES-256-GCM nel nostro DB, utente puo disconnettere in qualsiasi momento |
| Meccanismo di trasferimento | Google DPA con SCC integrate + Decisione di adeguatezza UE (ove applicabile) + Token crittografati AES-256-GCM |
| Quando si attiva | Solo quando l'utente: (1) connette il proprio account Google, (2) clicca "Esporta su Sheets", (3) invia bozze/follow-up via Gmail. Mai automaticamente. |
Stripe, Inc.
| Finalita' | Elaborazione pagamenti per abbonamenti alla piattaforma |
| Dati trattati | Dati di pagamento (carta di credito, PayPal). I dati di pagamento NON transitano per i nostri server. |
| Localizzazione | UE / Stati Uniti (con SCC e EU-US DPF) |
| Garanzie | PCI DSS Level 1, SCC, EU-US DPF, crittografia end-to-end |
| Meccanismo di trasferimento | SCC + EU-US Data Privacy Framework + PCI DSS Level 1. I dati di pagamento non transitano per i nostri server. |
| Quando si attiva | Solo durante il processo di acquisto abbonamento |
Cloudflare, Inc.
| Finalita' | CDN (Content Delivery Network), protezione DDoS, DNS, proxy inverso e certificati TLS per la piattaforma |
| Dati trattati | Metadati di connessione: indirizzo IP, intestazioni HTTP, informazioni TLS, URL richiesti. Nessun accesso ai contenuti applicativi o ai dati utente. |
| Localizzazione | Rete edge globale (oltre 300 data center). I dati vengono elaborati nel punto di presenza piu vicino all'utente. |
| Garanzie | Cloudflare DPA con SCC, certificazioni ISO 27001 / SOC 2 Type II / SOC 3, crittografia TLS 1.3, EU-US Data Privacy Framework, log di accesso conservati max 72h |
| Meccanismo di trasferimento | SCC + EU-US Data Privacy Framework + Cloudflare DPA standard. Solo metadati di rete transitano, nessun dato applicativo. |
| Quando si attiva | Sempre attivo per tutte le richieste HTTP/HTTPS alla piattaforma (proxy trasparente) |
Notifica modifiche: Qualsiasi modifica alla lista dei sub-responsabili sara comunicata con almeno 30 giorni di preavviso tramite email e aggiornamento di questa pagina. Il Cliente puo opporsi entro 15 giorni dalla notifica.
Ultimo aggiornamento: 2 marzo 2026