Sub-responsabili del trattamento

Il presente documento è pubblicato in più lingue. In caso di discrepanze tra le versioni linguistiche, fa fede la versione polacca.

Versione 1.1 · Ultimo aggiornamento: 22 ottobre 2026

Quali terzi ricevono dati presso formexposed, per quale finalità, dove e su quale base. Il presente elenco costituisce parte integrante dell'Accordo sul trattamento dei dati come Allegato 3. Sono sub-responsabili autorizzati ai sensi di tale accordo solo quelli elencati nella sezione 2; le sezioni da 3 a 6 forniscono informazioni su ulteriori destinatari e non costituiscono un'autorizzazione.

1. La risposta breve

Gestiamo direttamente in Polonia i server, il database e la capacità di calcolo, anche per il modello linguistico. Non è coinvolto alcun fornitore di hosting, cloud o IA. Sub-responsabili del trattamento ai sensi dell'art. 28(2) e (4) GDPR, ossia terzi che trattano per nostro conto i dati dei nostri Clienti, esistono per un solo compito: le e-mail.

Esistono inoltre destinatari che non sono sub-responsabili. Li elenchiamo comunque qui, suddivisi per motivo, affinché il quadro sia completo:

• destinatari che trattano i dati in qualità di titolari autonomi del trattamento (sezione 3),
• destinatari che il Cliente sceglie quando vi fa inviare gli avvisi (sezione 4),
• interrogazioni a terzi che non contengono alcun dato personale (sezione 5).

2. Sub-responsabili del trattamento

Destinatario e sede	Finalità	Dati	Luogo del trattamento	Base per il trasferimento
Namecheap, Inc. (Private Email), Phoenix, Arizona, USA	Invio delle e-mail del servizio (conferme, avvisi, report, report mensili agli iscritti di un portale clienti); casella di posta del controllo di recapito	Indirizzi e-mail dei destinatari, oggetto e contenuto delle e-mail. Nella casella del controllo di recapito: copie delle e-mail dei moduli dai siti web dei Clienti con tutto ciò che i visitatori vi inseriscono, finché non le elaboriamo	Ancora da verificare	L'accordo sul trattamento dei dati del fornitore; se i dati vengano trasferiti in un paese terzo e su quale base è ancora da verificare, vedi sezione 7
Namecheap, Inc., Phoenix, Arizona, USA	Registrazione dei domini, DNS; fino alla configurazione della casella di posta presso Namecheap, Inc. (Private Email), Phoenix, Arizona, USA, inoltro delle e-mail generiche agli indirizzi del nostro dominio. Le copie di controllo del controllo di recapito non passano per Namecheap; vanno direttamente alla casella di posta	Dati del dominio; per l'inoltro, contenuto e header delle e-mail generiche a noi indirizzate, nessuna copia delle e-mail dei moduli	USA, da verificare	Data Processing Addendum di Namecheap; clausole contrattuali tipo o Data Privacy Framework – da verificare, vedi sezione 7

Se i dati trattati per conto di un Cliente raggiungano effettivamente questi destinatari dipende dalle sue impostazioni: senza il controllo di recapito non vi giungono e-mail dei moduli; senza un portale clienti non vengono inviate e-mail ai suoi iscritti. Su richiesta forniamo il punto di contatto per la protezione dei dati di ciascun sub-responsabile.

Non coinvolti: nessun terzo è coinvolto nelle verifiche, negli screenshot, nelle credenziali per la scansione dietro il login, nei percorsi nel browser o in “Fix it for me”. Il modello linguistico funziona sul nostro server. Determiniamo il paese di un indirizzo IP da un file di database locale; nessun indirizzo viene inviato a un servizio di geolocalizzazione. Il nostro fornitore di accesso a Internet si limita a far transitare il traffico, per lo più cifrato, e non è un sub-responsabile.

3. Destinatari che agiscono come titolari autonomi del trattamento

Destinatario e sede	Finalità	Dati	Ubicazione	Base
Stripe Payments Europe, Ltd., Dublino, Irlanda; per i trasferimenti verso gli USA, Stripe, Inc.	Elaborazione dei pagamenti e fatture per gli account cliente	Indirizzo e-mail, nome, indirizzo di fatturazione, partita IVA, dati di pagamento (inseriti solo presso Stripe, non ci raggiungono mai); da parte nostra solo l'ID del cliente e dell'abbonamento e lo stato	UE / USA	Per i dati di pagamento, Stripe agisce in larga misura come titolare autonomo del trattamento; l'esatta ripartizione dei ruoli è da verificare. Trasferimento verso gli USA: Data Privacy Framework o clausole contrattuali tipo – da verificare
Google Ireland Limited, Dublino, Irlanda; Google LLC, USA	Protezione dai bot (reCAPTCHA) sui nostri moduli: registrazione, login, password, verifica gratuita, strumento header, opt-out, assistenza e contatto	Indirizzo IP, dati del browser e del dispositivo, comportamento sulla pagina, cookie di Google. Lo script viene caricato solo al momento dell'invio. Non viene eseguito sui siti web dei Clienti	UE / USA	Condizioni di Google; Data Privacy Framework o clausole contrattuali tipo – da verificare

Questi destinatari riguardano i nostri trattamenti, non i dati trattati per conto dei Clienti. I dettagli si trovano nell'Informativa sulla privacy.

4. Destinatari scelti dal Cliente

Avvisi e riepiloghi vengono inviati dove il Cliente desidera: via e-mail (tramite il fornitore del servizio di posta di cui alla sezione 2), a un indirizzo webhook o a un servizio di chat. Le opzioni attuali sono:

• Slack, Discord, Microsoft Teams e Google Chat tramite un indirizzo che il Cliente crea nel proprio account presso tale servizio;
• Telegram: una destinazione scelta dal Cliente; inviamo il messaggio tramite il nostro bot dopo che il destinatario ha collegato egli stesso la chat al bot;
• webhook verso qualsiasi indirizzo HTTPS pubblico sulla porta standard, firmati su richiesta.

Dati: dominio, evento, ora e un link al servizio, per gli avvisi relativi a una verifica al relativo report, che può essere letto tramite questo link senza login; per i webhook, gli stessi dati in formato leggibile da macchina. Nessun contenuto delle e-mail dei moduli; un avviso del controllo di recapito può indicare il dominio e-mail del mittente se non appartiene al sito web.

Ruolo: Slack, Discord, Microsoft Teams, Google Chat e i destinatari dei webhook non sono nostri sub-responsabili. Il trasferimento avviene solo perché il Cliente configura la destinazione; si tratta dell'istruzione del Cliente. Per Slack, Discord, Microsoft Teams, Google Chat e i webhook, il rapporto contrattuale con il rispettivo fornitore e l'eventuale base necessaria per un trasferimento verso un paese terzo spettano al Cliente. Per Telegram inviamo il messaggio tramite il nostro bot; anche in questo caso la scelta della destinazione costituisce l'istruzione espressa del Cliente a trasferirvi gli avvisi. Se Telegram sia al riguardo nostro sub-responsabile e su quale base avvenga tale trasferimento non è ancora stato definitivamente chiarito ed è all'esame del nostro avvocato. Qualora Telegram fosse un sub-responsabile, la scelta di questa destinazione da parte del Cliente vale come autorizzazione specifica del Cliente ai sensi dell'art. 28(2) GDPR a tal fine. Diversi di questi fornitori trattano dati negli USA; Telegram ha sede al di fuori dell'UE in un paese privo di decisione di adeguatezza, e la base ai sensi del capo V GDPR su cui avviene il trasferimento verso Telegram non è ancora stata definitivamente chiarita. Chi non lo desidera sceglie l'e-mail o un'altra destinazione.

5. Interrogazioni senza dati personali

Alcune funzioni interrogano terzi. Vengono trasmessi solo nomi di dominio, indirizzi di server, valori di controllo o numeri di versione, nessun dato relativo a Clienti o visitatori. Questi terzi non sono quindi sub-responsabili.

Destinatario	Finalità	Che cosa viene trasmesso
Servizi RDAP dei registri dei domini, individuati tramite la directory IANA; per la verifica dell'età del dominio nella verifica gratuita, tramite il servizio di inoltro rdap.org	Età e scadenza di un dominio	solo il nome di dominio
WPVulnerability (wpvulnerability.net)	Vulnerabilità di sicurezza note in WordPress, nelle estensioni e nei temi di WordPress	solo l'identificativo di un'estensione o di un tema, oppure il numero di versione di WordPress
Pagine di stato dei fornitori utilizzati dai Clienti (come servizi CAPTCHA e di posta)	Segnalazione di disservizi presso questi fornitori	nulla oltre alla richiesta stessa
Autorità di marcatura temporale Certum (Asseco Data Systems S.A., Polonia), in alternativa DigiCert, Inc. (USA)	Marche temporali per i log probatori	solo un valore di controllo (SHA-512) del log, non il suo contenuto
Blocklist DNS per lo spam: SpamCop, PSBL, Mailspike e SURBL (Spamhaus solo con accesso proprio)	Verifica se il server di posta o il dominio di un Cliente è elencato	domini e indirizzi IP di server (server di posta, server web), nessun dato personale dei visitatori
Google Web Risk, solo se configurato	Verifica della home page di un Cliente per segnalazioni dovute a malware o phishing	solo l'indirizzo della home page
Telegram, notifiche operative	Segnali al gestore in caso di disservizi e di nuove richieste di assistenza	testi fissi senza mittente, contenuto o indirizzi
Autorità di certificazione per TLS	Emissione dei certificati per i nostri domini	solo i nostri nomi di dominio

6. Predisposto, attualmente non in uso

Il servizio può far confermare ulteriormente le verifiche nel browser e le richieste ai moduli da una seconda sede indipendente. Questo punto di controllo non è attualmente configurato. Se in futuro lo gestirà un terzo, questi sarà un sub-responsabile e verrà annunciato preventivamente conformemente alla sezione 8. Riceverebbe il dominio, la configurazione ripulita del percorso nel browser e un ID del lavoro, ma nessuna credenziale e nessun dato dei visitatori.

7. Che cosa è ancora aperto

Il presente elenco è una bozza precedente al lancio. Diciamo apertamente che cosa non è ancora stato chiarito:

• Fornitore del servizio di posta: è previsto Namecheap, Inc. (Private Email), Phoenix, Arizona, USA. Dove il fornitore tratti i dati e su quale base possano essere trasferiti in un paese terzo è ancora da verificare. Se l'accordo sul trattamento dei dati del fornitore sia stato accettato per questo utilizzo, dove si trovino effettivamente le caselle di posta, a quali ulteriori sub-responsabili ricorra il fornitore e quale modulo delle clausole contrattuali tipo si applichi deve ancora essere documentato. Il Data Processing Addendum disponibile pubblicamente non dimostra da solo che sia stato concluso un contratto. Finché ciò non è documentato, nessun dato trattato per conto dei Clienti viene trasmesso tramite questo fornitore; la questione deve quindi essere chiarita prima del lancio.
• Data Privacy Framework: per questa versione non abbiamo verificato se Namecheap, Stripe e Google siano certificati nell'ambito del quadro UE-USA per la protezione dei dati personali (EU-U.S. Data Privacy Framework) per i servizi interessati. Non lo affermiamo quindi; in mancanza di certificazione si applicano le clausole contrattuali tipo.
• Ruolo di Stripe per i singoli dati.
• Avvisi Telegram: la base per il trasferimento quando un Cliente sceglie Telegram come destinazione e inviamo il messaggio tramite il nostro bot.

8. Modifiche al presente elenco

Ricorriamo ai sub-responsabili sulla base dell'autorizzazione generale contenuta nell'Accordo sul trattamento dei dati. Prima che un nuovo sub-responsabile inizi il trattamento o che uno esistente venga sostituito, informiamo i Clienti con almeno 30 giorni di anticipo tramite e-mail all'indirizzo del titolare dell'account e annunciamo la modifica in questa pagina e nella panoramica Modifiche ai documenti contrattuali. La comunicazione indica il destinatario, la sede, la finalità, i dati, l'ubicazione e la base per il trasferimento.

Entro tale periodo il Cliente può opporsi in forma testuale per un motivo ragionevole attinente alla protezione dei dati. Finché non è stata trovata una soluzione, non utilizziamo il nuovo sub-responsabile per i dati trattati per conto del Cliente oppure sospendiamo per il Cliente la funzione interessata. Se non è possibile trovare una soluzione, il Cliente può recedere dal contratto relativo al servizio o alla componente del servizio interessata; rimborsiamo pro rata i corrispettivi pagati in anticipo per il periodo successivo al recesso. I dettagli sono stabiliti nell'Accordo sul trattamento dei dati. Rispondiamo nei confronti del Cliente dei sub-responsabili come per i nostri atti.

Pubblichiamo qui, con un nuovo numero di versione e senza preavviso, le modifiche alle sezioni da 3 a 5 che non riguardano sub-responsabili.

9. Stato e versione

• Versione 1.1 · Ultimo aggiornamento: 22 ottobre 2026 · in caso di discrepanze tra le versioni linguistiche, prevale la versione polacca anziché quella tedesca; nessun’altra modifica.
• Versione 1.0 · Ultimo aggiornamento: 11 ottobre 2026 · prima versione come pagina separata; in precedenza Allegato 3 all'Accordo sul trattamento dei dati. Novità: suddivisione in sub-responsabili, destinatari che agiscono come titolari autonomi, destinazioni scelte dal Cliente e interrogazioni senza dati personali; punti aperti espressamente indicati.
• In caso di discrepanze tra le versioni linguistiche prevale la versione polacca.