Trasparenza
Sub-responsabili del trattamento
- Ultimo aggiornamento
- 30 ottobre 2026
La presente pagina elenca tutti i sub-responsabili che Marco Carletti, titolare della ditta individuale Eativia («Responsabile»), incarica per il trattamento di dati personali nell’esecuzione dei servizi descritti negli Accordi per il trattamento dei dati: DPA ristoratori e DPA hotel. È inoltre l’elenco nominativo dei destinatari richiamato dalle informative privacy di Eativia. Modifiche a questo elenco non comportano una nuova versione del DPA; sono notificate ai Titolari con almeno 30 giorni di preavviso ai sensi dell’art. 28 par. 2 GDPR, consentendo loro di sollevare obiezioni motivate.
Elenco dei sub-responsabili
| Sub-responsabile | Sede legale | Categorie di dati | Trasferimento extra-UE (SCC) | Rappresentante UE |
|---|---|---|---|---|
| Supabase, Inc. | USA, con regione di hosting Frankfurt (eu-central-1) | Database PostgreSQL, file storage, realtime, autenticazione applicativa | SCC modulo 2 (esportatore→importatore titolare) — Decisione UE 2021/914 | OS-Data Privacy Ltd. (Irlanda) |
| Resend, Inc. | USA | Email transazionali (consegna PIN, conferme ospite, conferme e promemoria di prenotazione dei ristoranti, avvisi di sistema e — previo consenso — comunicazioni commerciali ai ristoratori) | SCC modulo 2 | Nessun rappresentante UE attualmente designato |
| Vercel, Inc. | USA, con regioni edge/serverless EU (Francoforte, Dublino) | Hosting Next.js, edge runtime, cron job, log applicativi | SCC modulo 2 | Vercel Germany GmbH (Berlino) |
| Cloudflare, Inc. | USA, con storage R2 in regione EU | Asset statici (immagini di menu) | SCC modulo 2 | Cloudflare Germany GmbH (Monaco) |
| Upstash, Inc. | USA, con regioni Redis EU (Francoforte, Irlanda) | Rate limiting, contatori scansione QR, sessioni effimere, deduplicazione dei webhook e avviso ai numeri WhatsApp non collegati | SCC modulo 2 | Nessun rappresentante UE attualmente designato |
| Stripe Payments Europe, Ltd. | Irlanda | Abbonamenti ristoratori e hotel, pacchetti di crediti, email transazionali di pagamento, dati di fatturazione | Trattamento intra-UE | Stripe Payments Europe Ltd. è essa stessa stabilita nello SEE |
| Google Ireland Ltd. / Google LLC | Irlanda / USA | Autenticazione OAuth dei ristoratori; modelli di intelligenza artificiale (Gemini) per l’Assistente AI: messaggi della chat, contenuti del menu, documenti e immagini importati. Nessun uso per addestramento. | Google Ireland è stabilita nello SEE; trasferimenti verso Google LLC coperti da SCC e Data Privacy Framework UE-USA | Google Ireland Ltd. (Dublino) |
| OpenRouter, Inc. | USA | Instradamento delle richieste dell’Assistente AI (chat del ristoratore e degli ospiti, controllo di pertinenza, trascrizione della dettatura, testi delle campagne) verso fornitori di modelli linguistici scelti da Eativia e, in alternativa a BytePlus, generazione e modifica delle immagini dell’Image creator (foto della sala, del tavolo, dei piatti). Ogni richiesta impone la policy «nessuna raccolta dei dati»: sono usati solo i fornitori che non conservano i contenuti né li usano per addestramento; OpenRouter stesso non conserva i prompt. L’elenco dei modelli attivi è disponibile scrivendo a support@eativia.com. | SCC modulo 2 (decisione UE 2021/914) incorporate nel Data Processing Agreement di OpenRouter | Nessun rappresentante UE attualmente designato |
| BytePlus Pte. Ltd. | Singapore (elaborazione nei data center BytePlus, anche UE/SEE e Malesia) | Generazione e modifica delle immagini dell’Image creator (modello Seedream, servizio ModelArk): riceve le foto caricate dal ristoratore (sala, tavolo, piatti) e restituisce le foto elaborate. I dati non sono usati per addestrare i modelli senza autorizzazione; le richieste e le immagini segnalate dal filtro di sicurezza dei contenuti possono essere conservate fino a 180 giorni in Malesia. | Clausole contrattuali standard (decisione UE 2021/914) nel Data Processing Addendum di BytePlus | Nessun rappresentante UE attualmente designato |
| Meta Platforms Ireland Ltd. | Irlanda | WhatsApp Business Platform (Cloud API) per il canale WhatsApp dell’Assistente AI dei ristoratori: numero di telefono e nome del personale collegato, contenuto dei messaggi e degli avvisi di prenotazione (inclusi nome, numero di persone, data, ora e richieste dell’Ospite); per gli hotel che collegano un proprio numero WhatsApp tramite Meta, i promemoria agli ospiti. Trattamento regolato dai WhatsApp Business Data Processing Terms. | Meta Platforms Ireland è stabilita nello SEE; trasferimenti verso Meta Platforms, Inc. (USA) coperti da SCC e Data Privacy Framework UE-USA | Meta Platforms Ireland Ltd. (Dublino) |
| Twilio Ireland Limited | Irlanda | Invio di promemoria d’ordine via WhatsApp agli ospiti hotel (numero di telefono, nome, contenuto del messaggio) — provider di messaggistica (BSP) per conto della struttura | Trattamento intra-UE; eventuali trasferimenti verso Meta Platforms Ireland (rete WhatsApp) coperti da SCC modulo 3 | Twilio Ireland Limited è stabilita nello SEE |
| Telnyx LLC | USA | Telefonia dell'assistente telefonico dei ristoranti: numero chiamante e chiamato, orario, durata ed esito delle chiamate | EU-US Data Privacy Framework e SCC | Nessun rappresentante UE attualmente designato |
| Eleven Labs Inc. | USA | Assistente vocale per le prenotazioni telefoniche: voce del chiamante trasformata in testo in tempo reale e non registrata, testo della conversazione cancellato entro 1 giorno, riassunto della chiamata; comprende i modelli linguistici usati dal servizio | EU-US Data Privacy Framework e SCC | Nessun rappresentante UE attualmente designato |
Servizi di messaggistica scelti dall’utente
Telegram Messenger Inc. (Isole Vergini Britanniche, sede operativa a Dubai) non è un sub-responsabile di Eativia: Telegram non offre accordi ex art. 28 GDPR né clausole contrattuali standard. Riceve i messaggi dell’Assistente AI e gli avvisi di prenotazione soltanto quando un ristoratore o un suo collaboratore sceglie di collegare la propria chat Telegram, con la stessa logica con cui riceverebbe una email sul proprio provider di posta. Chi non intende avvalersi di Telegram può usare il canale WhatsApp (Meta Platforms Ireland, sopra) o le notifiche nell’applicazione.
Responsabili per i dati di cui Eativia è titolare
Per i dati dei propri clienti (ristoratori, hotel, collaboratori, richiedenti demo) Eativia è titolare e si avvale, oltre ai fornitori sopra elencati, di TeamSystem S.p.A. (Italia) per il servizio di fatturazione elettronica Fatture in Cloud: dati di fatturazione (ragione sociale, partita IVA, indirizzo, codice destinatario o PEC) ed estremi delle fatture emesse, con trasmissione al Sistema di Interscambio dell’Agenzia delle Entrate. Trattamento intra-UE.
Per le email che Eativia invia come titolare — follow-up delle richieste di demo, guida all’avvio dell’account, comunicazioni ai contatti commerciali con disiscrizione in ogni messaggio — si avvale di Resend, Inc. (USA, SCC modulo 2), lo stesso fornitore delle email transazionali: indirizzo email, nome, contenuto del messaggio ed eventi di consegna, apertura e clic.
Per le proprie campagne pubblicitarie Eativia riceve da Meta Platforms Ireland Ltd. (Irlanda) i dati dei moduli Lead Ads compilati dagli interessati e comunica a Meta, tramite la Conversions API, gli eventi di conversione (richiesta di demo, registrazione, primo pagamento) con email e telefono in forma di hash SHA-256, solo per i contatti arrivati da un annuncio Meta o che hanno accettato i cookie di attribuzione sul sito. Meta agisce come titolare autonomo alle condizioni dei Termini degli strumenti di business di Meta; trasferimenti verso Meta Platforms, Inc. (USA) coperti da SCC e Data Privacy Framework UE-USA. Per la ricerca di potenziali clienti Eativia consulta i dati pubblici delle attività su Google Places (Google Ireland Ltd.), che è una fonte e non un responsabile.
Per le statistiche del sito www.eativia.com, attive solo con il consenso del visitatore (Cookie Policy), Eativia si avvale di PostHog Inc. (USA), con dati ospitati nella regione UE (Francoforte): pagine visitate e clic sui pulsanti principali associati a un identificativo casuale del browser, senza indirizzo IP né registrazione delle sessioni. Eventuali accessi dagli Stati Uniti sono coperti da SCC modulo 2.
Aggiornamenti e obiezioni
Modifiche all’elenco dei sub-responsabili saranno comunicate ai Titolari attraverso il canale di contatto registrato all’onboarding, con almeno 30 giorni di preavviso ai sensi dell’art. 28 par. 2 GDPR. Il Titolare può sollevare obiezioni motivate contattando support@eativia.com. In caso di obiezione accolta, il Titolare può richiedere la migrazione o la cancellazione dei propri dati ai sensi del DPA applicabile.
Contatti
Per richieste relative ai sub-responsabili: support@eativia.com.