Elenco Sub-responsabili del Trattamento
Ai sensi dell'art. 28, par. 2 e 4, del Regolamento (UE) 2016/679 ("GDPR"), il presente documento elenca i sub-responsabili del trattamento di cui RegisPro si avvale per l'erogazione del Servizio. L'elenco e' versionato e ogni modifica sostanziale e' comunicata con preavviso di almeno 30 giorni ai titolari del trattamento (scuole e docenti).
1. Ruoli
RegisPro (Simone Frosini, P.IVA 07077510480) opera in due qualifiche distinte a seconda del flusso di dati:
- Titolare del trattamento per i dati dei docenti utenti della Piattaforma (registrazione, autenticazione, fatturazione, assistenza, sicurezza, marketing).
- Responsabile del trattamento per i dati di studenti, classi, voti, comunicazioni didattiche inseriti dal docente o dall'istituzione scolastica nell'ambito della propria funzione. Il titolare e' la scuola, oppure il docente quando opera come libero professionista (lezioni private). In tale ipotesi, i fornitori elencati nella tabella seguente operano come sub-responsabili.
2. Elenco aggiornato dei sub-responsabili
| Fornitore | Finalita' | Sede | Trasferimento extra-UE | Garanzie |
|---|---|---|---|---|
| Supabase Inc. | Database PostgreSQL, autenticazione, storage file lezioni, real-time | Sede legale: USA. Data center utilizzato: Stoccolma (eu-north-1) | Nessun trasferimento operativo: dati elaborati e conservati in UE | DPA Supabase + SCC 2021/914 modulo 3 (Processor-to-Processor) per eventuale supporto da personale extra-UE. Supabase DPA |
| Vercel Inc. | Hosting front-end, edge network, serverless functions, build pipeline | USA, edge globale | Si' — esportazione verso USA | DPA Vercel + adesione al EU-U.S. Data Privacy Framework (Decisione di adeguatezza UE 2023/1795). Vercel DPA |
| Functional Software GmbH (Sentry) | Error tracking, performance monitoring, session replay su errore (con mascheramento integrale di testi, input e media) e contesto tecnico diagnostico allegato alle segnalazioni inviate dagli utenti (pagina, browser, errori, identificativo tecnico con ruolo e scuola) | Germania (regione "de") | No, dati elaborati in UE | DPA Sentry, regione Francoforte, mascheramento by-design. Sentry DPA |
| Google Ireland Limited | Google OAuth 2.0 per l'autenticazione dei docenti (login "Accedi con Google") | Irlanda, UE | Possibile trasferimento USA per processing | SCC + EU-U.S. Data Privacy Framework (Google LLC certificata). Google DPA |
| Resend Inc. | Invio email transazionali (conferma registrazione, reset password, notifiche sistema) | USA | Si' | DPA Resend + SCC 2021/914 modulo 3. Resend DPA |
| Sendinblue SAS (Brevo) | Invio newsletter e comunicazioni di prodotto (solo a utenti che hanno prestato consenso marketing) | Francia, UE | No | DPA Brevo. Brevo DPA |
3. Titolari autonomi (non sub-responsabili) attivati con consenso
I seguenti soggetti sono titolari autonomi dei dati che raccolgono direttamente attraverso la Piattaforma: determinano in autonomia finalita' e mezzi del proprio trattamento e non trattano dati per conto di RegisPro. Per questa ragione non figurano nell'elenco dei sub-responsabili della sezione 2. Il loro caricamento e' subordinato al consenso dell'utente espresso via cookie banner, nella categoria analitica o nella categoria marketing a seconda del servizio. In assenza del consenso della categoria corrispondente, gli script non vengono mai caricati e nessun evento viene inviato, nemmeno dai nostri server.
| Fornitore | Finalita' | Categoria di consenso | Sede | Garanzie |
|---|---|---|---|---|
| Google Ireland Limited | Google Analytics 4 (ID G-3PXK2KY85C): statistiche di utilizzo aggregate, conversioni, pagine viste | Analitica | Irlanda, UE | EU-U.S. Data Privacy Framework + IP anonymization |
| Microsoft Corporation | Microsoft Clarity (ID vh9w9777v4): heatmap, registrazioni di sessione, click map. Mascheramento integrale di campi sensibili. | Analitica | USA | EU-U.S. Data Privacy Framework + SCC |
| Meta Platforms Ireland Ltd | Meta Pixel e Conversions API (dataset "RegisPro DATASET", ID 1752780572562468): misurazione delle campagne pubblicitarie e remarketing. Attivi solo sulle pagine pubbliche del sito, mai nel registro, nella dashboard docente o nei portali di studenti e genitori. | Marketing | Irlanda, UE. Trasferimento verso Meta Platforms, Inc. (USA) | SCC 2021/914 + EU-U.S. Data Privacy Framework, richiamate dalle condizioni degli strumenti aziendali di Meta. Meta Controller Addendum |
| Trustpilot A/S | Widget recensioni pubbliche sulla landing page | Analitica | Danimarca, UE | DPA Trustpilot |
3.1 Meta: perche' titolare autonomo e non sub-responsabile
Meta Platforms Ireland Ltd non tratta dati per conto di RegisPro: determina in autonomia finalita' e mezzi del trattamento pubblicitario, combina i dati con quelli gia' in suo possesso e li utilizza anche per proprie finalita'. Per questa ragione e' qualificata come titolare autonomo e non come sub-responsabile ai sensi dell'art. 28 GDPR. Non le viene percio' impartita alcuna istruzione di trattamento sui dati di studenti e classi, che restano fuori dal perimetro.
Nessun dato riferibile a studenti raggiunge Meta. Il pixel browser vive solo sulla superficie pubblica di acquisizione (home, pagine di prodotto, blog, guide, risorse, contatto e registrazione) ed e' escluso per costruzione da dashboard, registro, portali /s/ e /g/, accessi tramite invito o codice classe, aree amministrative e pagine legali. Gli eventi server-to-server inviati con la Conversions API riguardano solo l'azione compiuta dal docente o dal visitatore adulto e contengono email, nome, cognome e identificativo dell'account unicamente in forma cifrata con SHA-256. Voti, presenze, note, contenuti delle lezioni e anagrafiche degli studenti non vengono mai comunicati.
4. Fornitori di pagamento
I fornitori elencati in questa sezione trattano esclusivamente i dati del docente che sottoscrive l'abbonamento RegisPro Premium. Non ricevono, in nessuna forma, dati di studenti, genitori, classi, voti, presenze o comunicazioni didattiche: per questa ragione non figurano fra i sub-responsabili della sezione 2, che riguarda i soli trattamenti svolti per conto delle scuole e dei docenti titolari. Il loro intervento non dipende dal consenso ai cookie, perche' e' necessario a eseguire il contratto di abbonamento.
| Fornitore | Finalita' | Ruolo | Sede | Garanzie |
|---|---|---|---|---|
| Stripe Payments Europe, Limited | Esecuzione dei pagamenti dell'abbonamento, rinnovi, rimborsi, ricevute e portale di gestione. I dati completi della carta non transitano mai dai sistemi di RegisPro. | Responsabile del trattamento per l'esecuzione del pagamento; titolare autonomo per antifrode, obblighi antiriciclaggio e regolamentari e miglioramento dei propri servizi | Irlanda, UE. Trasferimento verso Stripe, Inc. (USA) | DPA Stripe + SCC 2021/914 + EU-U.S. Data Privacy Framework. Stripe DPA |
| PayPal (Europe) S.à r.l. et Cie, S.C.A. | Esecuzione del pagamento per gli utenti che scelgono PayPal come metodo, tramite il checkout Stripe | Titolare autonomo per i dati del conto del pagatore | Lussemburgo, UE | Informativa privacy di PayPal, rapporto diretto fra l'utente e PayPal. Privacy PayPal |
Nessun dato scolastico raggiunge i fornitori di pagamento. Il checkout vive su una pagina esterna dedicata e riceve soltanto l'identificativo tecnico dell'account, l'email del docente e l'importo. Gli script del fornitore di pagamento non sono caricati nel registro, nella dashboard del docente e nei portali di studenti e genitori.
5. Infrastruttura tecnica accessoria
I seguenti servizi tecnici sono utilizzati come componenti dell'infrastruttura e non eseguono profilazione utente:
- Pusher Ltd. (WebSocket real-time per sincronizzazione lezioni e calendario) — sede USA, dati di sessione anonimi, DPA disponibile.
- Google Fonts (Google LLC) — self-hosted via <link> preconnect; nessun trasferimento di IP quando i font sono in cache locale.
6. Aggiornamenti
L'elenco e' aggiornato ad ogni modifica sostanziale. Le scuole e i docenti che hanno sottoscritto un accordo di nomina a responsabile del trattamento (DPA) ai sensi dell'art. 28 GDPR vengono notificati via email all'indirizzo associato al loro account con almeno 30 giorni di preavviso. Il titolare ha diritto di opporsi alla sostituzione del sub-responsabile entro tale termine ai sensi dell'art. 28, par. 2 GDPR.
7. Contatti
Per richieste relative all'elenco dei sub-responsabili o per sottoscrivere il DPA con RegisPro:
- Email: simone@regispro.it
- Pagina DPA: Data Processing Agreement