Sub-responsabili del trattamento
Fornitore: STL EMBEDED CREATIONS SRL, Cluj-Napoca, Romania.
Il presente elenco costituisce l'Allegato III dell'Accordo sul trattamento dei dati. Riguarda i dati personali che Consentl tratta per conto dei propri clienti in entrambi i servizi:
- Consentl per Shopify: l'app Shopify all'indirizzo
shopify.consentl.com; - Consentl per siti web: il pannello di controllo all'indirizzo
app.consentl.come l'API pubblica all'indirizzoapi.consentl.comrichiamata dallo snippet per siti web e dai plugin per le piattaforme.
Si tratta delle registrazioni del consenso, delle richieste sui dati personali e dei recessi dei visitatori dei negozi e dei siti web, nonché delle e-mail loro inviate. Gli stessi fornitori trattano anche i dati di cui noi siamo titolari del trattamento (account dei clienti, fatturazione, assistenza, log); tale trattamento è descritto nelle nostre informative sulla privacy.
Versione 3 · In vigore dal 2026-10-23
Questa è una traduzione. Per i clienti professionisti prevale la versione in lingua inglese. Per i consumatori con residenza abituale in un Paese in cui l'italiano è lingua ufficiale, la presente versione fa fede quanto la versione in lingua inglese; se le due versioni divergono, si applica il significato più favorevole al consumatore. Per gli altri consumatori prevale la versione in lingua inglese, salvo che le norme imperative a tutela dei consumatori del loro Paese dispongano diversamente.
Sub-responsabili del trattamento attuali
| # | Sub-responsabile del trattamento (entità, sede) | Utilizzato per | Servizio e trattamento | Dati interessati | Luogo del trattamento | Garanzia per il trasferimento |
|---|---|---|---|---|---|---|
| 1 | DigitalOcean, LLC, New York, USA | Shopify e siti web | Hosting: App Platform (applicazioni web, worker dello scanner, job di pre-distribuzione), banche dati Managed PostgreSQL, backup automatici delle banche dati, log di runtime | Tutti i dati delle banche dati Consentl (Allegato I del DPA) e i metadati delle richieste nei log | Francoforte, Germania (regione App Platform fra, cluster di banche dati in fra1) |
Dati a riposo nell'UE. Accesso remoto da paesi terzi (assistenza, operazioni) in base all'accordo sul trattamento dei dati di DigitalOcean, che incorpora le clausole contrattuali tipo dell'UE (2021/914) e l'UK Addendum. |
| 2 | Cloudflare, Inc., San Francisco, USA, incaricata da DigitalOcean (sub-responsabile del trattamento di DigitalOcean) | Shopify e siti web | La rete edge di App Platform: terminazione TLS, distribuzione dei contenuti, protezione da DDoS e da bot per ogni richiesta a shopify.consentl.com, app.consentl.com, api.consentl.com, consentl.com e ai relativi host di staging. Può impostare su tali host il cookie di sicurezza __cf_bm (30 minuti). Il rilevamento del paese di Consentl per il banner viene eseguito sui server di Consentl (banca dati locale DB-IP Lite), non presso Cloudflare. |
Indirizzi IP dei visitatori e dei clienti, metadati delle richieste, corpo delle richieste in transito (beacon del consenso, invii di moduli) | Rete edge globale (il data center più vicino al richiedente); il corpo delle richieste non viene conservato | Le clausole contrattuali tipo che DigitalOcean conclude con Cloudflare nell'ambito dell'accordo sul trattamento dei dati di DigitalOcean. |
| 3 | Brevo SAS (già Sendinblue SAS), 106 boulevard Haussmann, 75008 Parigi, Francia | Shopify e siti web | E-mail transazionali tramite l'API di Brevo: verifica e conferma delle richieste sui dati personali, avvisi di ricevimento dei recessi (agli acquirenti e ai visitatori); notifiche, rapporti di scansione ed e-mail relative all'account e alla fatturazione (ai clienti) | Indirizzo e-mail e nome del destinatario, contenuto dell'e-mail (può includere numeri d'ordine, il tipo di richiesta e il messaggio del richiedente), eventi di consegna, mancato recapito e reclamo (tracciamento di aperture e clic anonimizzato) | Unione europea | Fornitore dell'UE; nessun trasferimento da parte di Consentl. Sub-responsabili del trattamento di Brevo: si veda l'elenco pubblicato da Brevo. Il tracciamento di aperture e clic è anonimizzato: nessun dato di interazione è collegato al destinatario. |
| 4 | Proton AG, Route de la Galaise 32, 1228 Plan-les-Ouates, Ginevra, Svizzera | Shopify e siti web | Hosting di posta elettronica delle caselle consentl.com [email protected] (assistenza) e [email protected] (protezione dei dati; anche mittente delle nostre e-mail transazionali): corrispondenza di assistenza e relativa alla privacy, richieste che i clienti ci inoltrano, risposte, mancati recapiti e risposte automatiche alle nostre e-mail | Indirizzi e-mail, nomi e messaggi dei clienti, degli acquirenti e dei visitatori che rispondono alle nostre e-mail, nonché degli acquirenti e dei visitatori le cui richieste i clienti ci inoltrano | Svizzera | Decisione di adeguatezza della Commissione europea per la Svizzera (2000/518/CE). In uso dal 2026-10-22 (entrambe le caselle attive). |
Soggetti che non sono sub-responsabili del trattamento (per trasparenza)
| Soggetto | Utilizzato per | Perché non è un sub-responsabile del trattamento |
|---|---|---|
| Shopify (Shopify International Limited, Dublino, Irlanda; Shopify Inc., Ottawa, Canada) | Shopify | La piattaforma su cui il commerciante gestisce il negozio e installa l'app. Shopify tratta i dati del negozio in base al proprio accordo con il commerciante, inoltra le richieste dell'app proxy e i webhook, ospita gli script della vetrina sulla propria CDN e fattura l'app. Su istruzione del commerciante trasmettiamo dati a Shopify in quanto piattaforma propria del commerciante (opposizioni alla vendita o alla condivisione, richieste di cancellazione inoltrate, configurazione pubblicata del banner); non incarichiamo Shopify di trattare dati per nostro conto. |
| Piattaforme di siti web (WordPress, Shopware, PrestaShop, Magento, website builder, Google Tag Manager) | Siti web | La piattaforma propria del cliente. I nostri plugin e template vi funzionano e non conservano dati dei visitatori; non incarichiamo la piattaforma. |
| Stripe (Stripe Payments Europe, Limited, 1 Grand Canal Street Lower, Dublin 2, Irlanda) | Siti web (fatturazione) | Tratta i dati di fatturazione e di pagamento dei nostri clienti (e-mail dell'account, nome, dati di pagamento, indirizzo di fatturazione, codice fiscale o partita IVA) per nostro conto e, per la prevenzione delle frodi e i propri obblighi regolamentari, in qualità di titolare autonomo del trattamento. Non riceve dati dei visitatori. Descritto nell'informativa sulla privacy per i siti web. |
| DB-IP (db-ip.com) | Siti web | Editore della banca dati dei paesi DB-IP Lite (CC BY 4.0). Una copia è integrata nei nostri server e il rilevamento del paese viene eseguito lì, in memoria; DB-IP non riceve dati da noi. |
| Google (Google Ireland Limited, Dublino, Irlanda; Google LLC, USA) | Solo il nostro sito web consentl.com | Google Analytics 4 funziona solo su consentl.com e solo dopo che il visitatore ha accettato le statistiche. Tratta i dati dei visitatori del nostro sito web in qualità di nostro responsabile del trattamento; non riceve mai dati dei negozi, dei siti web o dei visitatori dei nostri clienti. Descritto nell'informativa sulla privacy del sito web. |
| GitHub, Inc., San Francisco, USA | Sviluppo | Ospita il codice sorgente e la CI. Nessun dato personale di produzione viene inserito nel repository, nelle issue, nelle pull request, nei log della CI, nei dati di test o negli screenshot. |
| Assistenti di programmazione basati sull'IA (ad esempio Claude di Anthropic PBC, USA) | Sviluppo | Utilizzati dal nostro personale solo su codice sorgente e dati di test; non ricevono banche dati di produzione, log di produzione o dati personali dei clienti. Se uno strumento di IA dovesse mai ricevere accesso a dati o log di produzione, il relativo fornitore verrà aggiunto alla tabella sopra con un preavviso di 30 giorni. |
Meccanismo di comunicazione delle modifiche
- Preavviso. Almeno 30 giorni prima che un nuovo sub-responsabile del trattamento inizi a trattare dati personali dei clienti (o che uno esistente venga utilizzato per una nuova finalità o in un nuovo luogo):
- aggiungiamo una voce al registro delle modifiche riportato di seguito con la data di efficacia prevista;
- inviamo un'e-mail all'Indirizzo per le comunicazioni di ogni cliente: per Shopify, il contatto per la privacy che il commerciante ha impostato nell'app o, in mancanza, l'indirizzo e-mail del titolare del negozio; per i siti web, l'indirizzo per le comunicazioni impostato nella pagina Account o, se nessuno è confermato, i proprietari e gli amministratori dell'account. Oggetto: «Consentl: planned sub-processor change» («Consentl: modifica prevista dei sub-responsabili del trattamento»).
- Opposizione. Il cliente può opporsi per iscritto all'indirizzo [email protected] entro il periodo di preavviso, per motivi ragionevoli relativi alla protezione dei dati. Rispondiamo entro 14 giorni e cerchiamo di risolvere l'opposizione (ad esempio non utilizzando il sub-responsabile del trattamento per tale cliente). Se l'opposizione non è risolta entro 30 giorni, il cliente può recedere prima che la modifica gli si applichi; i corrispettivi pagati in anticipo per il periodo non utilizzato sono rimborsati (clausole 6.3 e 6.4 del DPA: tramite Shopify come rimborso o credito per l'app, oppure tramite Stripe).
- Sostituzione d'urgenza. Se un sub-responsabile del trattamento deve essere sostituito con urgenza (incidente di sicurezza, insolvenza, cessazione da parte del sub-responsabile), possiamo effettuare la modifica con un preavviso più breve e informare i clienti il prima possibile. Il diritto di opposizione continua ad applicarsi e un eventuale rimborso è calcolato a partire dalla data della modifica.
- Altri indirizzi. I clienti che desiderano ricevere le comunicazioni a un altro indirizzo possono comunicarcelo all'indirizzo [email protected].
Registro delle modifiche
| Data | Modifica | Comunicazione inviata | Efficacia |
|---|---|---|---|
| 2026-10-20 | Elenco iniziale (DigitalOcean, Cloudflare tramite DigitalOcean, Brevo). | — (prima del lancio) | al lancio |
| 2026-10-21 | Versione 2: l'elenco comprende anche Consentl per siti web; voce di Cloudflare corretta (ruolo, host, nessun rilevamento del paese); denominazione dell'entità di Brevo aggiornata; Proton AG aggiunta per le caselle di posta consentl.com; Stripe, Google, piattaforme di siti web e assistenti di programmazione basati sull'IA elencati come soggetti che non sono sub-responsabili del trattamento. | — (prima del lancio) | al lancio; Proton dalla data di attivazione delle sue caselle di posta |
| 2026-10-22 | Voce di Proton AG estesa: ospita entrambi gli indirizzi pubblici, [email protected] e [email protected], compresa la corrispondenza di assistenza e le richieste che i clienti inoltrano. Non viene utilizzato alcun altro fornitore di caselle di posta. | — (prima del lancio) | 2026-10-22 (caselle attive) |
| 2026-10-22 | Revisione pre-pubblicazione: voce di Cloudflare aggiornata (protezione da bot e cookie __cf_bm, host consentl.com; il rilevamento del paese viene eseguito sui nostri server con la banca dati DB-IP Lite); DB-IP elencata come soggetto che non è sub-responsabile del trattamento; Stripe in modalità live, entità contraente Stripe Payments Europe, Limited; i destinatari delle comunicazioni seguono le impostazioni dell'indirizzo per le comunicazioni di entrambi i servizi. |
— (prima del lancio) | al lancio |
| 2026-10-23 | Versione 3, prima versione pubblicata: l'elenco come sopra, con le conferme del titolare (gli assistenti di programmazione basati sull'IA non ricevono mai dati o log di produzione; Brevo con tracciamento di aperture e clic anonimizzato). Nessun nuovo sub-responsabile del trattamento. | — (prima pubblicazione) | 2026-10-23 |
Fonte: docs/legal/it/SUBPROCESSORS.md nel repository Consentl.