Sub-responsabili del trattamento

1.Modalità “Bring Your Own Key” per i provider AI

La piattaforma supporta due modalità di utilizzo dei modelli di intelligenza artificiale. La distinzione ha conseguenze giuridiche rilevanti sulla qualificazione dei provider AI come sub-responsabili.

Modalità A: Chiave API gestita da Stepcode (default)

Il Cliente utilizza i modelli AI tramite le chiavi API gestite da Stepcode. In questo caso i provider AI sono sub-responsabili di Stepcode ai sensi dell’art. 28 GDPR, vincolati dai relativi DPA e dal divieto di utilizzo dei dati per addestramento di modelli.

Modalità B: Bring Your Own Key (BYOK)

Il Cliente può configurare i propri Chatbot con una chiave API di propria intestazione verso un provider AI (es. la chiave OpenAI del proprio account aziendale). In questo caso:

• I dati conversazionali transitano direttamente dal sistema Stepcode al provider AI utilizzando le credenziali del Cliente.
• Il rapporto contrattuale per quel trattamento specifico è direttamente tra Cliente e provider AI, non mediato da Stepcode.
• Stepcode non agisce come Responsabile per il trattamento effettuato dal provider AI in modalità BYOK; il provider AI non è qualificabile come sub-responsabile di Stepcode per quel Cliente.
• Il Cliente è tenuto a verificare autonomamente i termini di servizio, l’informativa privacy e il DPA del provider AI scelto.
• Restano invariate le altre componenti del trattamento svolto da Stepcode (storage, log, infrastruttura), per cui Stepcode resta Responsabile esterno.

2.Sub-processor core

Fornitori essenziali al funzionamento di base del servizio. Sono attivi per ogni Cliente, indipendentemente dai moduli specifici utilizzati.

Infrastruttura e dati di servizio

Modelli di intelligenza artificiale (modalità Stepcode)

Stepcode valuta periodicamente l’integrazione di ulteriori provider AI come alternative selezionabili dal Cliente in console. All’atto dell’attivazione effettiva, ciascun provider sarà aggiunto alla tabella sopra con relativa data di entrata in vigore e ai Clienti sarà inviata la notifica con preavviso di 30 giorni prevista dal DPA.

3.Sub-processor opzionali

Fornitori coinvolti nel trattamento solo se il Cliente attiva il canale o la funzionalità corrispondente. Se il Cliente non utilizza WhatsApp, ad esempio, Meta non riceve alcun dato.

Canali di messaggistica

Modulo voce – Centralino AI

4.Fornitori di Stepcode – uso interno aziendale

Fornitori utilizzati da Stepcode SRL per la propria operatività aziendale interna. Non trattano i Dati Cliente (dati conversazionali degli utenti finali) ma possono trattare dati di contatto e fatturazione del Cliente B2B. Sono elencati per trasparenza, sebbene non rientrino strettamente nei sub-responsabili ex art. 28 relativi al trattamento dei Dati Cliente.

Strumenti marketing sul sito vetrina

Gli strumenti elencati di seguito sono installati sul sito vetrina supportfast.ai per finalità di marketing e statistica web. Ai sensi delle linee guida EDPB e del Garante italiano, tali fornitori operano come Titolari autonomi del trattamento dei dati di navigazione raccolti, e non come sub-responsabili di Stepcode. Sono elencati per piena trasparenza. Il dettaglio dei cookie utilizzati è nella Cookie Policy.

Microsoft Clarity e PostHog sono invece utilizzati anche all’interno della console autenticata e operano come Responsabili esterni di Stepcode (vedi Sezione 2 – Sub-processor core).

5.Verifica indipendente delle certificazioni

Lo stato di certificazione al EU-U.S. Data Privacy Framework dei fornitori statunitensi è verificabile in modo indipendente sul registro ufficiale gestito dal Dipartimento del Commercio degli Stati Uniti d’America. Il registro è aggiornato in tempo reale e indica anche eventuali sospensioni o ritiri di certificazione.

Registro ufficiale DPF: dataprivacyframework.gov

Glossario delle basi giuridiche

• Intra-UE: il trattamento avviene all’interno dello Spazio Economico Europeo, senza necessità di basi specifiche per il trasferimento internazionale.
• DPF (EU-U.S. Data Privacy Framework): decisione di adeguatezza della Commissione Europea del 10 luglio 2023 per i fornitori USA certificati. Costituisce base giuridica autonoma per il trasferimento.
• SCC (Standard Contractual Clauses): clausole tipo adottate con decisione 2021/914/UE, sottoscritte tra Stepcode e il sub-responsabile, integrate da misure tecniche supplementari sulla base di Transfer Impact Assessment.
• SCC + DPF: doppia base – il fornitore è certificato al DPF ma le SCC sono sottoscritte come misura supplementare, per fornire la massima garanzia ai Clienti.

6.Notifica di modifiche all’elenco

Ogni aggiunta o sostituzione di un sub-responsabile è comunicata ai Clienti con un preavviso di almeno 30 giorni, secondo quanto previsto dal DPA Sezione 8.4. Le modalità di comunicazione sono cumulative: aggiornamento di questa pagina, avviso in console e per modifiche sostanziali e-mail diretta al referente registrato.

Durante il periodo di preavviso, il Cliente può opporsi alla modifica per motivi legittimi e documentati. In tal caso, le Parti negoziano in buona fede una soluzione; in assenza di accordo, il Cliente può recedere dal Contratto senza penalità (DPA Sezione 8.5).

Per ricevere notifica via e-mail di ogni modifica all’elenco, scrivere a [email protected] indicando l’indirizzo a cui ricevere gli aggiornamenti.

7.Storico modifiche

Cronologia delle modifiche all’elenco dei sub-responsabili. Le voci più recenti compaiono in cima. Le date si riferiscono all’entrata in vigore della modifica.

Pre-2026 — Versione 1

Lista informale costituita da OpenAI come unico provider AI, Hetzner per l’hosting, Cloudflare per CDN/WAF, Stripe per i pagamenti, AWS S3 per la CDN, Meta per i canali messaggistica.

8.Criteri di selezione dei sub-responsabili

Ogni sub-responsabile è valutato e periodicamente rivisto secondo criteri documentati che privilegiano la sicurezza dei dati dei Clienti e la conformità alla normativa europea.

• Ubicazione UE preferenziale: a parità di qualità tecnica e prezzo, è preferito il fornitore con server in UE.
• Certificazione DPF: per i fornitori USA, è preferito il fornitore certificato al Data Privacy Framework.
• DPA pubblico e art. 28 GDPR: il fornitore deve mettere a disposizione un DPA conforme all’art. 28 GDPR, sottoscritto prima dell’avvio del trattamento.
• Misure di sicurezza dimostrabili: certificazioni ISO 27001, SOC 2 o audit indipendenti equivalenti sono criterio di preferenza.
• No training AI: per i provider di modelli AI, divieto contrattuale o configurazione tecnica esplicita di non utilizzo dei dati trasmessi per addestramento.
• Stabilità finanziaria e operativa: privilegiati fornitori con storicità documentabile e supporto tecnico in lingua inglese o europea.
• Reversibilità: preferenza per fornitori che consentono migrazione o export dei dati senza vincoli di lock-in.

La revisione dei sub-responsabili principali è effettuata almeno una volta all’anno e ogni volta che si verificano eventi rilevanti (incidenti di sicurezza, perdita di certificazione, modifiche sostanziali dei termini di servizio).

9.Contatti e documenti correlati

Per qualunque chiarimento, richiesta di copia dei DPA sottoscritti con i singoli sub-responsabili, richiesta di SCC, opposizione a una modifica o segnalazione:

• Privacy: [email protected]
• Security: [email protected]

Documenti correlati:

• Data Processing Agreement — disciplina contrattuale completa
• Privacy Policy — Sezione 7 sui sub-responsabili
• Condizioni Generali di Servizio
• Cookie Policy