Subprocessor list

Ultimo aggiornamento: 17 maggio 2026 (aggiunta sezione Stanze Smart Impresa/Impresa+ + add-on caselle aggiuntive €9/€7 mese)

Elenco completo dei responsabili esterni del trattamento (subprocessor) ai sensi dell'art. 28 GDPR. Tutti i trasferimenti extra-UE sono regolati da Standard Contractual Clauses (SCC 2021/914) e, dove applicabile, dal Data Privacy Framework EU-USA. Per modifiche sostanziali a questa lista, gli utenti Pro/Impresa ricevono notifica via email con 30 giorni di preavviso e diritto di opposizione.

Subprocessor	Finalità	Dati trattati	Sede	Base giuridica
Supabase Inc.	Database PostgreSQL, Auth, Storage allegati	Email cifrate AES-256, profili utente, sessioni, allegati	EU (Frankfurt)	DPA + SCC 2021/914
Vercel Inc.	Hosting e CDN dell'applicazione Next.js	Log richieste HTTP (30gg), build artifacts	USA + edge globale	DPA + SCC 2021/914
Cloudflare Inc.	DNS, Email Routing inbound, Workers, WAF	Email in transito (parsing+forward), traffico DNS	USA + edge globale	DPA + SCC 2021/914
Google LLC	OAuth Sign-in, Gmail API (reply Pro), Calendar + Meet (modulo Evento), People API (Google Contacts sync per autocomplete email — solo Pro+), Safe Browsing API (scan link phishing/malware automatico sulle email in arrivo)	Email Google, token OAuth (cifrati at-rest), eventi calendario creati, contatti Google (nome + email + foto, scope contacts.readonly), URL estratti dal body delle email per scan phishing (solo URL, no contenuto email)	USA	DPA + SCC + Data Privacy Framework
Resend Inc.	Invio email transazionali (notifiche, fallback reply)	Indirizzi destinatari, oggetto, corpo email outbound	USA	DPA + SCC 2021/914
Stripe Inc.	Pagamenti, abbonamenti Pro/Impresa, fatturazione	Email, nome, ultimi 4 cifre carta, importi	USA + EU	DPA + SCC + PCI DSS Level 1
Sentry (Functional Software Inc.)	Monitoraggio errori e performance	Stack trace, user-id, URL. NESSUN corpo email o token	USA + EU	DPA + SCC 2021/914
Plausible Insights OÜ	Analytics aggregato (pageview, referrer, device, country)	NO cookie, NO PII, NO fingerprint. Solo dati aggregati anonimi	EU (Frankfurt, Germania)	GDPR-by-design — titolare EU, no trasferimento extra-UE, no consent richiesto per analytics aggregato
Groq Inc.	Inferenza AI (Llama 3.3 70B): auto-tag, riassunti, suggerimenti, espansione query di ricerca con sinonimi/typo — solo se opt-in attivato	Oggetto + corpo email troncato per AI categorizzazione e riassunti; SOLO la query string (max 100 char, no contenuto stanza) per espansione ricerca. Tutto solo con consenso esplicito utente.	USA	DPA + SCC. Default OFF. Nessuna ritenzione contrattuale dei prompt.
Register.it S.p.A.	Registrar dominio emailho.me	Dati registrante (whois)	Italia (EU)	Contratto + GDPR diretto (titolare EU)
cron-job.org	Scheduler IMAP sync ogni 5 minuti	URL endpoint con secret. Nessun dato utente trasmesso.	Germania (EU)	GDPR diretto (titolare EU)

📧 Stanze Smart (piano Impresa / Impresa+) — provider esterni di posta

I piani Impresa €49/mese e Impresa+ €149/mese permettono di importare la propria casella email esterna (es. Gmail, Libero, Outlook, PEC) tramite protocollo IMAP/SMTP. Impresa include 1 casella, Impresa+ ne include 5. Caselle aggiuntive disponibili come add-on (€9/mese cad. per Impresa, €7/mese cad. per Impresa+).

Per ogni casella esterna collegata, il provider scelto dal cliente(Google, Aruba/Libero, Microsoft Outlook, Poste Italiane PEC, ecc.) diventa un subprocessor indiretto sotto il diretto controllo del cliente stesso. mailho.me agisce esclusivamente come connettore tecnico (relay IMAP sync ogni 5 min): non modifica, non rivende e non arricchisce i dati con quelli di altri clienti.

Le credenziali IMAP/SMTP sono cifrate at-rest (AES-256-GCM) nel database e mai loggate. Disconnettendo la casella, tutti i dati associati vengono eliminati entro 30 giorni. Per dettagli sui DPA dei singoli provider, fare riferimento alla documentazione del provider scelto.

Notifica modifiche

Per aggiungere o sostituire un subprocessor diamo preavviso di 30 giorni via email agli utenti Pro/Impresa e tramite aggiornamento di questa pagina. Se non concordi con un nuovo subprocessor, puoi recedere dall'abbonamento prima dell'entrata in vigore con rimborso pro-quota del periodo non goduto.

Per richieste o opposizioni: privacy@emailho.me