bozza in revisione legale. questo testo non è ancora in vigore: lo diventa quando lo avrà rivisto un legale. versione del 01/11/2026.
sub-responsabili di tuttotorna
scritto da claude, un modello di intelligenza artificiale: non è un avvocato e questo non è un parere legale. il testo non vale finché un professionista non l'ha rivisto (vedi le note per il legale).
questa pagina dice chi tratta dati per thesmall, per cosa e dove. la prima parte elenca i sub-responsabili: i fornitori che trattano i dati degli studi per conto di thesmall. è l'allegato c dell'accordo sul trattamento dei dati che firmiamo con ogni studio (trattamento dei dati (dpa)). la seconda parte elenca i fornitori del sito e di thesmall, che non toccano i dati degli studi.
- preavviso. prima di aggiungere o sostituire un sub-responsabile, avvisiamo per email i titolari di ogni studio almeno 30 giorni prima e aggiorniamo questa pagina. se un nostro fornitore cambia i suoi fornitori con un preavviso più breve, lo diciamo appena lo sappiamo, al più tardi entro 5 giorni lavorativi.
- opposizione. lo studio può opporsi; se non troviamo una soluzione, può recedere senza penali.
- urgenza. se un fornitore va sostituito subito, per sicurezza o perché smette di funzionare, lo diciamo subito e spieghiamo perché. il diritto di opporsi resta.
- stessi obblighi. ogni fornitore ha con noi un contratto con obblighi di protezione dei dati non meno rigorosi dei nostri, e ne rispondiamo come di noi stessi. su richiesta diamo allo studio l'identità completa di tutta la catena.
le date diventano quelle del primo rilascio con dati veri [da completare: data].
sub-responsabili: trattano i dati degli studi
| fornitore | servizio | dati | sede dei dati | garanzie |
|---|---|---|---|---|
| aruba s.p.a. (italia) | server di tuttotorna, database degli studi, area dei file, copia ogni 5 minuti | tutti i dati degli studi, cifrati con la chiave di ciascuno studio | italia ([da verificare: arezzo o ponte san pietro]) | dpa; iso/iec 27001, 27017, 27018; qualificazione acn |
| amazon web services emea sarl (lussemburgo) | gestione delle chiavi (aws kms) | chiavi degli studi avvolte; nessun dato in chiaro | italia (milano, eu-south-1) |
dpa aws con clausole contrattuali tipo; capogruppo amazon.com, inc. aderente al data privacy framework |
| amazon web services emea sarl (lussemburgo) | intelligenza artificiale: modelli claude su amazon bedrock | solo i campi necessari alla domanda, con iban, codici fiscali, partite iva e carte mascherati | irlanda (eu-west-1) |
come sopra. conservazione delle richieste a zero, imposta da una regola dell'account; solo modelli che la ammettono. anthropic non riceve le richieste |
| hetzner online gmbh (germania) | copia di sicurezza oraria, non cancellabile per 30 giorni | database degli studi, cifrati due volte | germania | contratto art. 28 gdpr; iso/iec 27001 |
| plus five five, inc. (resend, usa) | mail di accesso e avvisi | indirizzi email, codici di accesso, avvisi senza contenuti contabili; mail e log tenuti 30 giorni | stati uniti | dpa con clausole contrattuali tipo; adesione al data privacy framework; soc 2 type ii |
[da verificare prima della pubblicazione: per hetzner, che il blocco in sola scrittura regga la prova; se no, al suo posto scaleway sas (francia), con il preavviso di 30 giorni. per aruba, sede esatta e dpa.]
la terza copia. una terza copia, solo cifrata e senza chiavi, sta su un archivio di thesmall in italia, non raggiungibile da internet. non è un fornitore esterno.
la voce nell'app. trascrizione e sintesi della voce girano sul server di tuttotorna, da aruba. nessun fornitore in più.
previsto, non attivo: un secondo fornitore di posta con dati in ue, come riserva [da scegliere]. entra con il preavviso di 30 giorni.
fornitori del sito e di thesmall: non trattano i dati degli studi
trattano dati di chi visita il sito, ci scrive o lavora con noi. thesmall ne è titolare: sono descritti nell'informativa privacy, parte a.
| fornitore | servizio | dati | sede dei dati | garanzie |
|---|---|---|---|---|
| netlify, inc. (usa) | sito e vetrina (solo dati di fantasia); moduli del sito | indirizzo ip nei log; nei moduli: nome, studio, email, telefono, messaggio. ogni invio è controllato contro lo spam da akismet (automattic inc., usa) | stati uniti | dpa; adesione al data privacy framework |
| plausible insights oü (estonia) | statistiche del sito, senza cookie | nessun dato personale conservato | unione europea | dpa |
| eleven labs inc. (usa) | voce del sito, solo se accesa | voce, che non viene registrata; testo della conversazione con il sito | stati uniti | dpa con clausole contrattuali tipo e data privacy framework; uso dei dati per l'addestramento disattivato |
| github, inc. (usa) | deposito del codice | nessun dato degli studi né dei visitatori | stati uniti | — |
| healthchecks | battito della sorveglianza | nessun dato | unione europea | — |
| [da verificare: google workspace, entità e contratto] | caselle di posta di thesmall | le mail che ci mandate | [da verificare] | [da verificare] |
| [da verificare: fattureincloud, entità del gruppo teamsystem] | fatture agli studi | dati di fatturazione degli studi | italia | dpa del fornitore |
ultimo aggiornamento: [da completare: data di pubblicazione]. per domande: privacy@tuttotorna.com.