Subprocessor list

Ultimo aggiornamento: 2 maggio 2026 (aggiunto Plausible Insights OÜ — analytics EU)

Elenco completo dei responsabili esterni del trattamento (subprocessor) ai sensi dell'art. 28 GDPR. Tutti i trasferimenti extra-UE sono regolati da Standard Contractual Clauses (SCC 2021/914) e, dove applicabile, dal Data Privacy Framework EU-USA. Per modifiche sostanziali a questa lista, gli utenti Pro/Impresa ricevono notifica via email con 30 giorni di preavviso e diritto di opposizione.

Subprocessor	Finalità	Dati trattati	Sede	Base giuridica
Supabase Inc.	Database PostgreSQL, Auth, Storage allegati	Email cifrate AES-256, profili utente, sessioni, allegati	EU (Frankfurt)	DPA + SCC 2021/914
Vercel Inc.	Hosting e CDN dell'applicazione Next.js	Log richieste HTTP (30gg), build artifacts	USA + edge globale	DPA + SCC 2021/914
Cloudflare Inc.	DNS, Email Routing inbound, Workers, WAF	Email in transito (parsing+forward), traffico DNS	USA + edge globale	DPA + SCC 2021/914
Google LLC	OAuth Sign-in, Gmail API (reply Pro), Calendar+Meet (modulo)	Email Google, token OAuth (cifrati), eventi calendario creati	USA	DPA + SCC + Data Privacy Framework
Resend Inc.	Invio email transazionali (notifiche, fallback reply)	Indirizzi destinatari, oggetto, corpo email outbound	USA	DPA + SCC 2021/914
Stripe Inc.	Pagamenti, abbonamenti Pro/Impresa, fatturazione	Email, nome, ultimi 4 cifre carta, importi	USA + EU	DPA + SCC + PCI DSS Level 1
Sentry (Functional Software Inc.)	Monitoraggio errori e performance	Stack trace, user-id, URL. NESSUN corpo email o token	USA + EU	DPA + SCC 2021/914
Plausible Insights OÜ	Analytics aggregato (pageview, referrer, device, country)	NO cookie, NO PII, NO fingerprint. Solo dati aggregati anonimi	EU (Frankfurt, Germania)	GDPR-by-design — titolare EU, no trasferimento extra-UE, no consent richiesto per analytics aggregato
Groq Inc.	Inferenza AI (Llama 3.3 70B): auto-tag, riassunti, suggerimenti — solo se opt-in attivato	Oggetto + corpo email troncato (solo con consenso esplicito utente)	USA	DPA + SCC. Default OFF. Nessuna ritenzione contrattuale dei prompt.
Register.it S.p.A.	Registrar dominio emailho.me	Dati registrante (whois)	Italia (EU)	Contratto + GDPR diretto (titolare EU)
cron-job.org	Scheduler IMAP sync ogni 5 minuti	URL endpoint con secret. Nessun dato utente trasmesso.	Germania (EU)	GDPR diretto (titolare EU)

Notifica modifiche

Per aggiungere o sostituire un subprocessor diamo preavviso di 30 giorni via email agli utenti Pro/Impresa e tramite aggiornamento di questa pagina. Se non concordi con un nuovo subprocessor, puoi recedere dall'abbonamento prima dell'entrata in vigore con rimborso pro-quota del periodo non goduto.

Per richieste o opposizioni: privacy@emailho.me