Registro dei responsabili e sub-responsabili del trattamento

1Come leggere il registro

Ruolo — «Trattamento affidato» indica chi riceve dati personali per svolgere un’attività (generazione di risposte IA · Invio di e-mail · Autenticazione); «Archiviazione» indica l’infrastruttura di memorizzazione ed esecuzione.
Uso per l’addestramento e conservazione presso il fornitore sono colonne distinte — tutti e tre i fornitori IA non usano i dati per l’addestramento, ma li conservano per un periodo per monitorare gli abusi. Non promettiamo quindi la «conservazione zero» (allegato 3 all’accordo sul trattamento dei dati).
Le politiche dei fornitori cambiano. I link alle fonti e le date di verifica di ogni riga saranno ricontrollati al momento della stipula.

2Registro

Le politiche dei fornitori e le condizioni applicabili saranno ricontrollate al momento della stipula.

Responsabile del trattamento	provider	Ruolo	Dati trattati	Paese	Fuori dalla Corea	Uso per l’addestramento	Conservazione presso il fornitore (durata · Finalità)	Conservazione zero	Fonte
Anthropic (Claude API) Anthropic, PBC 【Entità contraente da verificare — soggetto giuridico contraente dell’account della console】	`anthropic`	Trattamento affidato (chiamate API per generare risposte)	Messaggi dei clienti finali (mascherati) · Documenti di conoscenza dell’azienda cliente · Istruzioni di assistenza	Stati Uniti 【Regione di trattamento da verificare — politica infrastrutturale del fornitore】	Fuori dalla Corea	Gli input e output dell’API aziendale non sono usati per addestrare i modelli (condizioni commerciali)	Input e output API eliminati dal sistema del fornitore entro 30 giorni dalla ricezione o generazione · In caso di violazione accertata delle regole d’uso: input e output fino a 2 anni · Punteggi di classificazione fino a 7 anni · Eccezioni per conservazione prevista dalla legge Finalità: monitoraggio degli abusi (applicazione delle regole d’uso) · Conformità legale	Nessun accordo di conservazione zero (ZDR) — possibile solo con accordo separato 【Verificare se un accordo è stato sottoscritto】	www.anthropic.com/legal/commercial-terms privacy.claude.com/en/articles/7996866-how-long-
Google Gemini API (Gemini Developer API) Google LLC 【Entità contraente da verificare】	`google`	Trattamento affidato (chiamate API per generare risposte · Passaggio ad altro fornitore in caso di guasto)	Messaggi dei clienti finali (mascherati) · Documenti di conoscenza dell’azienda cliente · Istruzioni di assistenza	Infrastruttura Google negli Stati Uniti e in altri paesi 【Regione di trattamento da verificare】	Fuori dalla Corea	Prompt e risposte dei progetti con fatturazione attiva (servizi a pagamento) non sono usati per migliorare o sviluppare prodotti 【Verificare che la fatturazione sia attiva nel progetto Google Cloud della chiave API — le condizioni del livello gratuito sono diverse】	Prompt e risposte dei servizi a pagamento registrati per 55 giorni per rilevare abusi e adempiere agli obblighi legali di divulgazione (nessun uso per l’addestramento) · La registrazione del progetto è distinta (55 giorni predefiniti · Riducibili a 7/14/28 giorni) Finalità: rilevamento degli abusi · Obblighi legali di divulgazione	L’esenzione dai registri di monitoraggio degli abusi (conservazione zero) per Gemini Developer API non è stata confermata nella documentazione ufficiale 【Verifica necessaria】	ai.google.dev/gemini-api/docs/logs-policy
OpenAI API 【Entità contraente da verificare — controparte dell’account organizzazione OpenAI】	`openai`	Trattamento affidato (chiamate API per generare risposte · Passaggio ad altro fornitore in caso di guasto)	Messaggi dei clienti finali (mascherati) · Documenti di conoscenza dell’azienda cliente · Istruzioni di assistenza	Stati Uniti 【Regione di trattamento da verificare】	Fuori dalla Corea	I dati inviati tramite API non sono usati per addestrare o migliorare i modelli senza consenso esplicito (opt-in)	Registri di monitoraggio degli abusi conservati fino a 30 giorni (eccezioni per richieste legali e prevenzione dei danni) · L’opzione di memorizzazione (store) di Chat Completions non è attivata 【Ricontrollare al momento della stipula】 Finalità: monitoraggio degli abusi · Conformità legale	La conservazione zero (ZDR) e il monitoraggio modificato degli abusi richiedono l’approvazione preventiva di OpenAI — nessuna richiesta presentata 【Verifica necessaria】	developers.openai.com/api/docs/guides/your-data
Google Cloud — Firebase / Cloud Firestore · Cloud Functions · Hosting Google LLC 【Entità contraente da verificare — in base all’account di fatturazione Google Cloud】	`gcp`	Archiviazione (memorizzazione dei dati · Esecuzione server)	Sessioni e messaggi di assistenza (mascherati) · Richieste di contatto umano (recapiti originali) · Documenti di conoscenza · Registro di utilizzo · Registri di audit · Richieste di adozione	Repubblica di Corea (regione di Seul asia-northeast3)	In Corea	Non applicabile (archiviazione · Esecuzione)	Originali di produzione secondo la tabella di conservazione dell’informativa privacy · Backup: ripristino a un punto nel tempo (PITR) + backup giornalieri conservati per 7 giorni 【Verificare il completamento della configurazione dei backup】 Finalità: ripristino dopo guasti	Non applicabile	— cloud.google.com/firestore/docs/backups
Firebase Authentication (account della pagina di amministrazione) Google LLC	`firebase-auth`	Trattamento affidato (autenticazione degli account dei referenti dell’azienda cliente)	E-mail del referente dell’azienda cliente · Hash della password · Ora di accesso — nessun dato dei clienti finali	【Verifica necessaria — Firebase Authentication non consente di scegliere la regione】	【Da verificare】	Non applicabile	Le appartenenze terminate sono conservate con un indicatore di cessazione · Gli account sono eliminati alla fine del contratto (eliminazione del tenant); per gli account usati anche nelle app consumer viene rimossa solo l’appartenenza Finalità: autenticazione	Non applicabile	— firebase.google.com/support/privacy
Gmail SMTP (e-mail in uscita) Google LLC 【Verifica del rappresentante — account Google Workspace o normale account Gmail】	`smtp`	Trattamento affidato (invio di e-mail)	E-mail di passaggio a un referente (recapiti del cliente finale · Richiesta · Conversazione recente) · E-mail di invito, allerta e rapporto	Infrastruttura di posta Google negli Stati Uniti e in altri paesi 【Verifica necessaria】	Fuori dalla Corea	【Verifica necessaria — le condizioni variano in base al tipo di account】	Le copie nella posta inviata seguono la politica dell’account mittente · Le e-mail già inviate restano nella casella del destinatario (azienda cliente) — soggette a richieste di eliminazione Finalità: registrazione degli invii di e-mail	Non applicabile	—

4In caso di modifiche

Preavviso all’azienda cliente prima dell’applicazione (articolo 5, paragrafo 3 dell’accordo sul trattamento dei dati) → Indicazioni per aggiornare il paragrafo da inserire nell’informativa privacy dell’azienda cliente (D-3).