Allegato al DPA § 6
Questa pagina è la fonte ufficiale dell'elenco. Il cliente, che è titolare del trattamento, autorizza in via generale il ricorso a sub-responsabili (DPA § 6.1); ogni aggiunta o sostituzione è comunicata ai clienti con almeno 30 giorni di preavviso, con diritto di opposizione motivata secondo il § 6.3 del DPA. Copia degli accordi ex art. 28 conclusi con ciascun sub-responsabile, per le parti che riguardano la protezione dei dati, è fornita al cliente che la chiede. Referente: doconure@limepeak.it.
L'elenco ha due parti, perché i ruoli sono due (vedi l'Informativa Privacy):
- Sub-responsabili dei dati dei clienti (i dati dei firmatari e dei documenti, che trattiamo come responsabili per conto del cliente);
- Altri destinatari dei dati per i quali siamo noi titolari (account, pagamenti, sito), compresi gli strumenti di misurazione che si attivano solo con il consenso di chi visita il sito.
1. Sub-responsabili dei dati dei clienti
| Sub-responsabile | Servizio | Dati trattati | Ubicazione | Extra-SEE |
|---|---|---|---|---|
| OVH SAS / OVHcloud — Roubaix, Francia | infrastruttura di calcolo e archiviazione a oggetti | tutti i dati del Servizio, in quanto ospitante | server a Varsavia (PL), copie di sicurezza cifrate a Gravelines (FR) | no |
| Brevo SAS — Parigi, Francia | invio di email transazionali e di SMS (unico fornitore per entrambi) | indirizzo email, numero di cellulare, oggetto e testo integrale dei messaggi — quindi anche collegamenti di firma e codici monouso | UE | no |
| Openapi S.p.A. Unipersonale — Viale Filippo Tommaso Marinetti 221, 00143 Roma — P.IVA IT12485671007 · REA 1378273 · capitale EUR 50.000 i.v. | intermediario per il sigillo elettronico qualificato e per la marca temporale qualificata (solo se il cliente li richiede) | per il sigillo: il documento intero (è inviato a Openapi perché sia sigillato); per la marca temporale: l'impronta del documento, nell'ambito del sigillo | dati su Google Cloud, regione europe-west1 (Belgio) | sì, limitato: un suo sub-responsabile è nel Regno Unito (vedi sotto) |
| Namirial S.p.A. — Via Caduti sul Lavoro 4, 60019 Senigallia (AN) — P.IVA IT02046570426 · REA AN-157295 | prestatore di servizi fiduciari qualificato dietro Openapi: emette il certificato qualificato del sigillo e la marca temporale | quanto serve a emettere il sigillo e la marca; è titolare autonomo per i dati della propria clientela | server nell'UE | no |
Che cosa ricevono i prestatori del sigillo. Il documento intero va a Openapi solo quando il cliente (o la configurazione dell'organizzazione) chiede il sigillo qualificato: senza questa richiesta nessun documento lascia il Servizio verso di loro. Il sigillo è un sigillo del Fornitore, non una firma del firmatario: non cambia il livello della firma, che resta semplice.
Gli accordi. Il trattamento da parte di Openapi è disciplinato dal suo accordo ex art. 28 GDPR («GDPR, Data Retention Policy & DPA», versione 4.0 del 30 settembre 2026): il cliente è titolare, Openapi responsabile (per alcuni servizi, in base alla propria licenza, anche titolare autonomo); i dati sono cifrati a riposo (AES-256) e in transito (TLS 1.2); Openapi ci avvisa di una violazione entro 48 ore; alla fine del rapporto cancella o restituisce i dati entro 30 giorni; ci dà 15 giorni di preavviso per ogni suo nuovo sub-responsabile, con diritto di opposizione. Per i sub-responsabili di Openapi e di Namirial (e non per i nostri) il preavviso ai clienti è quindi quello che il fornitore ci concede, non inferiore a 15 giorni: lo trasmettiamo il giorno stesso in cui lo riceviamo (DPA § 6.3). Namirial tratta i dati dei propri clienti come titolare secondo la propria informativa (Mod.NAM GDPR03, rev. 08/10.2026; DPO: dpo@namirial.com); i dati sono trattati su server nell'UE. Poiché il sigillo è acquistato tramite un intermediario (Openapi) e non direttamente dal prestatore (Namirial), le voci sono due, con due accordi.
I sub-responsabili di Openapi. Openapi dichiara nel proprio accordo i seguenti sub-responsabili: Innolva S.p.A., Younique Business S.r.l., 1-Reputo S.r.l., Smart Business Solution S.r.l., Sevendata S.p.A., Infocert S.p.A., Namirial S.p.A., Aruba S.p.A., Yousign S.r.l., Mcloud Ltd (Regno Unito) e Google Ireland Ltd. È l'elenco generale dei servizi di Openapi: non tutti partecipano al servizio di sigillo. L'unico stabilito fuori dallo Spazio Economico Europeo è Mcloud Ltd: il trasferimento si fonda sulla decisione di adeguatezza della Commissione europea per il Regno Unito (art. 45 GDPR), in vigore alla data di questa versione (rinnovata nel dicembre 2025, con scadenza al 27 dicembre 2031). Google Ireland Ltd appartiene a un gruppo con capogruppo extra-UE; i dati restano nella regione europea indicata sopra.
Quando. Il sigillo e la marca temporale qualificati sono offerti dalla versione 1.3 del Servizio. Per i clienti che hanno già un account, la prima attivazione avviene non prima di 30 giorni dopo la pubblicazione di questa versione dell'elenco (DPA § 6.3): nel frattempo si può opporsi.
2. Altri destinatari dei dati per i quali siamo titolari
| Destinatario | Servizio | Dati | Ubicazione | Extra-SEE |
|---|---|---|---|---|
| Revolut, fornitore di pagamento | riscossione dei pagamenti dei crediti e degli abbonamenti, e dei rinnovi | nome e dati di fatturazione, importo ed esito del pagamento. I dati della carta non transitano dal Servizio: sono digitati nella pagina o nel modulo del fornitore. Conserviamo solo il riferimento (token) del cliente e del metodo di pagamento, la scadenza (mese e anno) e le ultime quattro cifre | UE | no |
| Commissione europea — servizio VIES | verifica della partita IVA | la partita IVA di un'impresa | UE | no |
| Agenzia delle Entrate (SdI); consulente fiscale e fornitore del software di contabilità e fatturazione elettronica | fatture, registri IVA, comunicazioni fiscali | dati di fatturazione e ordini | Italia | no |
Il pagamento è collegato a Revolut; gli acquisti online sono aperti ai clienti da quando si apre la registrazione dopo il rilascio 1.3, e fino ad allora nessun importo viene addebitato.
Strumenti di misurazione e pubblicità: solo con il consenso
Sul sito pubblico (non nelle pagine di firma, nell'app, nella console o nell'area amministrativa) possono essere attivati i seguenti strumenti, soltanto per chi ha dato il consenso dal banner o dal collegamento «Gestisci cookie». Fino al consenso nessuna richiesta parte verso questi soggetti. Cookie, durate e finalità sono nella cookie policy.
| Destinatario | Strumento | Finalità | Ubicazione e garanzie |
|---|---|---|---|
| Google Ireland Ltd | Google Analytics 4; Google Ads (conversioni); Consent Mode v2 | misurare le visite e le campagne; misurare le conversioni pubblicitarie | Irlanda; trasferimenti verso gli Stati Uniti sulla base dell'EU-US Data Privacy Framework |
| OpenAI Ireland Ltd | pixel di misurazione e interfaccia per le conversioni di OpenAI Ads | misurare le conversioni delle campagne su ChatGPT | Irlanda; garanzie indicate dal fornitore |
| LinkedIn Ireland Unlimited Company | Insight Tag e interfaccia per le conversioni | misurare le conversioni delle campagne LinkedIn | Irlanda; garanzie indicate dal fornitore |
| Meta Platforms Ireland Ltd | pixel di Meta (nessun evento dal nostro server) | misurare le conversioni delle campagne su Facebook e Instagram | Irlanda; garanzie indicate dal fornitore |
Gli eventi di conversione che inviamo dal nostro server (a Google Analytics, OpenAI e LinkedIn; a Meta nessuno) e le conversioni che carichiamo in Google Ads con un file (CSV) riguardano soltanto chi ha acconsentito.
Perché questi e non altri
Il criterio di preferire fornitori con soggetto contraente europeo ha guidato la scelta del fornitore di posta e di hosting nel 2026: sono stati esclusi i fornitori il cui soggetto contraente è statunitense anche quando i server sono in Europa, per ridurre l'esposizione al CLOUD Act. Il ragionamento è documentato internamente ed è disponibile su richiesta. Le deroghe sono quelle dichiarate sopra: un sub-responsabile di Openapi nel Regno Unito, uno appartenente a un gruppo extra-UE, e gli strumenti di misurazione, attivi solo con il consenso.
Un solo fornitore per email e SMS. Quando è stato necessario scegliere un fornitore di SMS, l'alternativa tecnicamente migliore è stata scartata a favore di Brevo proprio per non aggiungere una voce a questa tabella: un sub-responsabile in più è un accordo in più da negoziare e mantenere, e una riga in più da mostrare a ogni cliente per tutta la vita del prodotto.
Fornitori che non sono sub-responsabili
Elencati perché la domanda arriva, e la risposta è più chiara scritta che improvvisata.
| Fornitore | Perché non lo è |
|---|---|
| Registrar del dominio e fornitore DNS | non accede a dati personali trattati per conto dei clienti |
| Autorità di certificazione TLS | rilascia certificati per il nome a dominio; nessun dato personale |
| Repository del codice sorgente | contiene codice, non dati di esercizio |
Come si aggiorna questa pagina
- Il fornitore entra prima in questa tabella, poi in produzione. Mai il contrario.
- Comunicazione ai clienti con 30 giorni di preavviso, che decorrono dalla pubblicazione.
- Accordo ex art. 28 sottoscritto con il sub-responsabile prima che tratti qualunque dato.
- Verifica dei suoi trasferimenti fuori dal SEE e delle garanzie.
- Aggiornamento coerente dell'Informativa Privacy, della cookie policy e dell'inventario degli asset interno.
Un fornitore attivato senza passare da qui è un inadempimento contrattuale verso ogni cliente, non una dimenticanza amministrativa. È la ragione per cui l'elenco è pubblicato e versionato insieme al Servizio e non vive in un foglio di calcolo.