Note legali
Lista dei Sub-responsabili
Versione 1.0 · Pubblicata il 16 settembre 2026 · In vigore dal 16 settembre 2026
URL canonico: https://irelia.ai/legal/subprocessors
Automation Genius By KDL, con sede in Contrada Santa Maria Maggiore 4, 66011 Bucchianico (CH), Italia (di seguito “Irelia”), pubblica in questa pagina l’elenco dei soggetti terzi che trattano dati personali nell’erogazione della piattaforma Irelia.
La pagina è organizzata in due sezioni:
- Sezione 1 — Sub-responsabili dei dati del Workspace. I soggetti che trattano, per conto di Irelia e su sue istruzioni, i dati gestiti dagli agenti AI (conversazioni, contatti, prenotazioni, knowledge base, log). Questa sezione è richiamata dal DPA Irelia↔Partner e dal DPA Partner↔Cliente: sottoscrivendo il DPA, il titolare del trattamento autorizza in via generale il ricorso a questi soggetti (art. 28, par. 2, GDPR).
- Sezione 2 — Destinatari dei dati di cui Irelia è titolare. I soggetti che ricevono i dati contrattuali, di account e di fatturazione di Partner, Affiliate e Utenti della piattaforma. Questa sezione è richiamata dalla privacy policy di Irelia (art. 13, par. 1, lett. e, GDPR).
Uno stesso fornitore può comparire in entrambe le sezioni. La lista riflette i fornitori effettivamente attivi in produzione alla data di pubblicazione.
Trasferimenti di dati fuori dall’Unione Europea
Alcuni fornitori trattano i dati negli Stati Uniti. Per questi trasferimenti Irelia adotta le seguenti garanzie.
Meccanismo di trasferimento. Clausole contrattuali standard adottate dalla Commissione europea (Decisione (UE) 2021/914), incorporate nel contratto di trattamento dati di ciascun fornitore (art. 46, par. 2, lett. c, GDPR). Dove il fornitore risulta certificato ai sensi del Data Privacy Framework UE-USA (decisione di adeguatezza della Commissione del 10 luglio 2023), la certificazione è indicata come garanzia aggiuntiva: lo stato è verificato sul registro ufficiale (dataprivacyframework.gov) alla data di pubblicazione di ogni versione di questa lista. L’eventuale invalidazione del Data Privacy Framework non incide sul meccanismo delle clausole contrattuali standard.
Misure supplementari.
- Pseudonimizzazione prima dell’invio ai modelli linguistici. I dati identificativi diretti (nome, numero di telefono, indirizzo email) sono sostituiti con segnaposto nei sistemi di Irelia prima che il contenuto delle conversazioni sia inviato ai fornitori di modelli linguistici, e ricostituiti dopo la risposta. Il testo libero dei messaggi non è filtrato.
- Cifratura in transito (TLS 1.2 o superiore) e a riposo (AES-256) su tutti i flussi.
- Nessun addestramento dei modelli sui dati trattati: garantito dai termini commerciali di ciascun fornitore di modelli linguistici.
Per i fornitori con sede e trattamento nell’Unione Europea non ricorre alcun trasferimento.
Sezione 1 — Sub-responsabili dei dati del Workspace
| Fornitore | Entità contraente | Servizio | Dati trattati e conservazione presso il fornitore | Paese di trattamento | Meccanismo di trasferimento | Documento contrattuale |
|---|---|---|---|---|---|---|
| Amazon Web Services | Amazon Web Services EMEA SARL, Lussemburgo | Infrastruttura di calcolo, code e storage; Amazon Bedrock per l’esecuzione dei modelli DeepSeek; distribuzione e connessioni in tempo reale per la Webchat | Tutti i dati del Workspace in transito e in storage. Per Bedrock: contenuto conversazionale pseudonimizzato; Bedrock non conserva richieste e risposte e il logging delle invocazioni è disattivato | Stati Uniti (regione us-east-1) | Clausole contrattuali standard (AWS GDPR Data Processing Addendum, incorporato negli AWS Service Terms). Garanzia aggiuntiva: certificazione Data Privacy Framework di Amazon.com, Inc. e Amazon Web Services, Inc. | AWS Service Terms · AWS GDPR Center |
| Bubble | Bubble Group, Inc., New York (USA) | Database centrale e applicazione della dashboard | Tutti i dati del Workspace; dati di account di Partner, Clienti e Utenti | Stati Uniti | Clausole contrattuali standard (Bubble Data Processing Addendum). Garanzia aggiuntiva: certificazione Data Privacy Framework di Bubble Group, Inc. | Bubble Data Processing Addendum |
| Gupshup | Gupshup Inc., Fremont, California (USA) | Business Solution Provider WhatsApp: instradamento dei messaggi, gestione dei template, onboarding delle app | Numero di telefono, contenuto dei messaggi WhatsApp, metadati di consegna. Conservazione presso Gupshup: 2 anni con cancellazione trimestrale; log accessibili al supporto per 7 giorni | Stati Uniti | Clausole contrattuali standard (Modulo 3) incorporate nel Data Processing Agreement sottoscritto tra Gupshup Inc. e Irelia | Data Processing Agreement Gupshup Inc. (accordo bilaterale, non pubblico; copia delle clausole disponibile secondo il DPA) |
| OpenAI | OpenAI OpCo, LLC, San Francisco, California (USA) | Modelli linguistici, embeddings, trascrizione dei messaggi vocali | Contenuto conversazionale pseudonimizzato; audio dei messaggi vocali per la trascrizione. Conservazione presso OpenAI: fino a 30 giorni per il rilevamento di abusi, poi cancellazione; nessun uso per addestramento | Stati Uniti | Clausole contrattuali standard (OpenAI Data Processing Addendum). OpenAI non risulta certificata ai sensi del Data Privacy Framework | OpenAI Data Processing Addendum |
| Anthropic | Anthropic, PBC, San Francisco, California (USA) | Modelli linguistici | Contenuto conversazionale pseudonimizzato. Conservazione presso Anthropic: cancellazione entro 30 giorni; fino a 2 anni solo per i contenuti segnalati per violazione delle politiche d’uso; nessun uso per addestramento | Stati Uniti | Clausole contrattuali standard (Data Processing Addendum incorporato nei Commercial Terms of Service). Certificazione Data Privacy Framework non dichiarata | Anthropic Commercial Terms · Anthropic Data Processing Addendum |
| Google Cloud | Google Cloud Italy S.r.l., Milano | Vertex AI: modelli Gemini | Contenuto conversazionale pseudonimizzato. Conservazione presso Google: cache fino a 24 ore; i soli prompt segnalati dai sistemi automatici di sicurezza sono conservati fino a 30 giorni, nella regione del progetto, per la verifica di eventuali abusi; nessun uso per addestramento | Stati Uniti (regione us-east1) | Clausole contrattuali standard (Google Cloud Data Processing Addendum). Garanzia aggiuntiva: certificazione Data Privacy Framework di Google LLC | Google Cloud Data Processing Addendum |
| Qdrant | Qdrant Solutions GmbH, Berlino | Database vettoriale per la ricerca semantica sulla knowledge base | Embeddings e porzioni di testo della knowledge base del Workspace | Germania | Nessun trasferimento (Unione Europea) | Qdrant Cloud Data Processing Agreement |
| Postmark | ActiveCampaign, LLC, Chicago, Illinois (USA) | Email transazionali | Indirizzo email e nome degli Utenti con account; contenuto delle notifiche (soglie crediti, ricevute di accettazione, avvisi) | Stati Uniti | Clausole contrattuali standard (ActiveCampaign Data Processing Addendum, che copre Postmark). Garanzia aggiuntiva: certificazione Data Privacy Framework di ActiveCampaign, LLC | ActiveCampaign Data Processing Addendum |
Fornitori di modelli linguistici. La piattaforma instrada le richieste a OpenAI, Anthropic, Google Cloud o ai modelli DeepSeek su Amazon Bedrock in base alla configurazione del Workspace. Tutti ricevono lo stesso perimetro di dati, pseudonimizzato come descritto sopra.
Modelli DeepSeek. Sono eseguiti esclusivamente su infrastruttura Amazon Web Services (Amazon Bedrock, regione us-east-1). Hangzhou DeepSeek Artificial Intelligence Co. non riceve alcun dato e non è sub-responsabile.
Sezione 2 — Destinatari dei dati di cui Irelia è titolare
| Destinatario | Ruolo | Servizio | Dati | Paese di trattamento | Trasferimento |
|---|---|---|---|---|---|
| Stripe Payments Europe, Ltd, Dublino | Titolare autonomo | Pagamenti tra Irelia e Partner; infrastruttura Stripe Connect su cui il Partner collega il proprio account Stripe | Dati di pagamento e di fatturazione del Partner. I dati dei Clienti presenti sull’account Stripe del Partner sono trattati da Stripe nel rapporto diretto con il Partner | Unione Europea, con trasferimenti infragruppo verso Stripe, LLC (USA) | Gestito da Stripe in qualità di titolare (clausole contrattuali standard infragruppo; certificazione Data Privacy Framework di Stripe, LLC). Informativa privacy Stripe |
| Aruba S.p.A., Bibbiena (AR) | Responsabile | Fatturazione elettronica (Sistema di Interscambio) | Dati anagrafici e di fatturazione del Partner | Italia | Nessuno |
| Amazon Web Services, Bubble, Postmark | Responsabili | Come in Sezione 1 | Dati di account e contrattuali di Partner, Affiliate e Utenti | Come in Sezione 1 | Come in Sezione 1 |
Soggetti che non rientrano nella Lista
I seguenti soggetti trattano dati personali in relazione alla piattaforma Irelia ma non sono sub-responsabili di Irelia, per le ragioni indicate.
| Soggetto | Ragione |
|---|---|
| Meta Platforms Ireland Ltd (WhatsApp, Instagram, Facebook Messenger) | Titolare autonomo dei dati trattati sui propri canali di messaggistica, per le proprie finalità e secondo la propria informativa privacy. Il ruolo di Meta è descritto nel DPA e nelle informative rese agli utenti finali. |
| Servizi collegati dal titolare del Workspace (es. Google Calendar) | Servizi che il titolare del Workspace collega alla piattaforma con le proprie credenziali. Irelia vi accede su istruzione del titolare; il rapporto contrattuale con il fornitore del servizio è del titolare. |
| Fornitore di servizi di pagamento sull’account del Partner | Tratta i dati degli abbonamenti dei Clienti nel rapporto diretto con il Partner. Non è ingaggiato da Irelia. |
| Istituti bancari | Ricevono nome e coordinate bancarie dei beneficiari dei bonifici (es. Affiliate) per l’esecuzione del pagamento, come titolari autonomi e per propri obblighi di legge. |
| Hangzhou DeepSeek Artificial Intelligence Co. | Non è controparte di Irelia: i modelli DeepSeek sono eseguiti su Amazon Bedrock (vedi Sezione 1). |
Aggiornamenti della Lista
L’aggiunta o la sostituzione di un sub-responsabile è pubblicata su questa pagina con almeno 60 giorni di preavviso rispetto alla data in cui il nuovo soggetto inizia a trattare dati del Workspace, ed è comunicata ai Partner secondo quanto previsto dal DPA. Entro tale termine il titolare del trattamento può opporsi per motivi fondati di protezione dei dati, con le modalità e gli effetti previsti dal DPA. Le sostituzioni necessarie per ragioni di sicurezza, cessazione o inadempimento del fornitore, o per provvedimento di un’autorità, possono avvenire con preavviso ridotto.
Lo stato delle certificazioni Data Privacy Framework è verificato a ogni nuova versione.
Registro delle versioni
| Versione | Data di pubblicazione | Data di efficacia | Modifica |
|---|---|---|---|
| 1.0 | 16 settembre 2026 | 16 settembre 2026 | Prima pubblicazione |
Per domande su questa lista: info@irelia.ai