Vai al contenuto
gitogi
Prenota

Fornitori e sub-responsabili

Versione del 21 ottobre 2026In vigore dal 21 ottobre 2026

Indice
  1. Che cosa trovi in questa pagina
  2. Fornitori del sito
  3. Fornitori dell'attività di Gitogi
  4. Fornitori nei progetti per i clienti
  5. Responsabili, sub-responsabili e altri destinatari
  6. Servizi utilizzati e ambiti
  7. Localizzazione e trasferimenti
  8. Fornitori nei progetti dei clienti
  9. Modifiche ai sub-responsabili

Che cosa trovi in questa pagina

Gitogi Srl, Piazza IV Novembre 4, 20124 Milano, partita IVA e codice fiscale 14288420962, utilizza servizi esterni per il Sito, l'attività aziendale e, secondo il progetto, le prestazioni ai clienti.

Ultimo aggiornamento: 21 ottobre 2026.

Questa pagina costituisce il registro pubblico dei fornitori: descrive servizi, società e informazioni disponibili su localizzazione e trasferimenti. Le categorie di dati e le finalità sono descritte nella Privacy policy. Per i progetti dei clienti occorre inoltre l'elenco specifico previsto dal DPA.

Fornitori del sito

Fornitori coinvolti nei servizi del sito. I dati che ricevono dipendono dalle funzioni che usi e, quando richiesto, dal tuo consenso.

  • Vercel

    Hosting del Sito, distribuzione dei contenuti e funzioni server.

    Società
    Vercel Inc. (USA)
    Dati trattati
    Dati delle richieste, inclusi IP, browser e pagine richieste; dati tecnici e contenuti dei moduli e della chat trattati dalle funzioni server.
    Luoghi di trattamento
    Funzioni server a Francoforte, UE; distribuzione dei contenuti tramite rete globale.
    Garanzie per i trasferimenti
    Trasferimenti disciplinati dalle clausole contrattuali tipo previste nel DPA di Vercel, secondo il modulo applicabile.

    La regione delle funzioni server non garantisce che ogni trattamento della filiera avvenga nell'UE.

    Accordo sul trattamento dei dati del fornitore

  • Supabase

    Database del Sito e autenticazione degli amministratori.

    Società
    Supabase Pte. Ltd. (Singapore)
    Dati trattati
    Richieste di contatto, schede commerciali, iscrizioni alla newsletter, conversazioni, registri dei consensi e delle prese visione, registro tecnico dell’IA, dati delle richieste sui diritti e account amministrativi.
    Luoghi di trattamento
    Database nella regione AWS eu-central-1, Francoforte, UE; importatore contrattuale a Singapore.
    Garanzie per i trasferimenti
    DPA con clausole contrattuali tipo, modulo 2, per il trasferimento all'importatore di Singapore; la conservazione a Francoforte non esclude accessi da paesi terzi.

    Le conversazioni non hanno campi IP o browser; i registri delle scelte contengono invece un'impronta pseudonimizzata dell'IP e informazioni sul browser.

    Accordo sul trattamento dei dati del fornitore

  • Amazon Web Services (Bedrock)

    Solo con il tuo consenso

    Esecuzione di Claude Sonnet e, in alternativa, Mistral Large per Gitogi AI.

    Società
    Amazon Web Services EMEA SARL (Lussemburgo / Luxembourg)
    Dati trattati
    Messaggi e contesto inviati al modello e risposte generate.
    Luoghi di trattamento
    Inferenza nell'Unione europea mediante profili UE di AWS Bedrock.
    Garanzie per i trasferimenti
    L'inferenza descritta avviene nell'UE. Eventuali trasferimenti relativi ad altre attività della filiera richiedono una garanzia applicabile, quale una decisione di adeguatezza o clausole contrattuali tipo.

    Secondo le condizioni Bedrock, AWS non conserva i contenuti e non li usa per addestramento. Gitogi conserva separatamente le conversazioni. Eventuali impieghi nei progetti richiedono una valutazione e un'autorizzazione riferite al progetto.

    Accordo sul trattamento dei dati del fornitore

  • Resend

    Invio di conferme, email di iscrizione, codici di verifica e notifiche interne del Sito; servizio predisposto per la newsletter.

    Società
    Plus Five Five, Inc. (USA)
    Dati trattati
    Indirizzi email, contenuti dei messaggi ed esiti di consegna. Le notifiche di ricontatto includono i dati forniti, il telefono se presente e un estratto della chat.
    Luoghi di trattamento
    Regione di invio in Irlanda; trattamento principale negli Stati Uniti.
    Garanzie per i trasferimenti
    EU-U.S. Data Privacy Framework per i trasferimenti coperti; clausole contrattuali tipo secondo il DPA applicabile.

    Rilevazione delle aperture e dei clic disattivata. Al 15 settembre 2026 non sono ancora state inviate newsletter.

    Accordo sul trattamento dei dati del fornitore

  • Upstash

    Limitazione delle richieste per contrastare abusi.

    Società
    Upstash, Inc. (USA)
    Dati trattati
    Identificativi pseudonimizzati mediante HMAC-SHA-256 con chiave segreta e contatori temporanei; finestre di controllo fino a 24 ore.
    Luoghi di trattamento
    Database su AWS eu-west-2, Londra, Regno Unito; fornitore statunitense.
    Garanzie per i trasferimenti
    Decisione di adeguatezza per il Regno Unito; per i trasferimenti verso gli USA, Data Privacy Framework ove applicabile e clausole contrattuali tipo quando non coperti.

    Le statistiche Upstash sono disattivate. Le impronte sono dati pseudonimizzati, non dati anonimi o IP cifrati in modo reversibile.

    Accordo sul trattamento dei dati del fornitore

  • PostHog

    Solo con il tuo consenso

    Statistiche d'uso, raccolta delle interazioni e possibile registrazione delle sessioni, con consenso agli analitici.

    Società
    PostHog, Inc. (USA)
    Dati trattati
    Identificativi pseudonimi, pagine visitate, interazioni, dati tecnici del dispositivo ed eventuali registrazioni della sessione con input mascherati.
    Luoghi di trattamento
    PostHog EU Cloud; fornitore statunitense.
    Garanzie per i trasferimenti
    Dati ospitati nell'UE; Data Privacy Framework per i trasferimenti coperti verso gli USA e clausole contrattuali tipo secondo il DPA.

    L'attivazione richiede consenso agli analitici. Il mascheramento degli input non rende anonimi tutti i dati raccolti.

    Accordo sul trattamento dei dati del fornitore

  • Sentry

    Diagnostica degli errori e delle prestazioni; registrazione delle sessioni solo con consenso agli analitici.

    Società
    Functional Software, Inc. (USA)
    Dati trattati
    Dati tecnici su errori e prestazioni, con filtri per rimuovere email e IP; con consenso, registrazioni con testi, campi e contenuti multimediali mascherati.
    Luoghi di trattamento
    Regione dati UE in Germania; fornitore statunitense.
    Garanzie per i trasferimenti
    Dati ospitati nell'UE; Data Privacy Framework per i trasferimenti coperti verso gli USA e clausole contrattuali tipo secondo il DPA.

    La diagnostica è sempre attiva sulla base del legittimo interesse. Il consenso agli analitici abilita separatamente la registrazione delle sessioni.

    Accordo sul trattamento dei dati del fornitore

  • Google Analytics e reCAPTCHA v3

    Google Analytics 4: statistiche con consenso. reCAPTCHA v3: protezione dei moduli da richieste automatiche e abusi.

    Società
    Google Ireland Limited
    Dati trattati
    Analytics: identificativi, navigazione e dati tecnici. reCAPTCHA v3: indirizzo IP, caratteristiche di browser e dispositivo e interazioni.
    Luoghi di trattamento
    UE e Stati Uniti, secondo il servizio.
    Garanzie per i trasferimenti
    Data Privacy Framework per destinatari e trasferimenti coperti; clausole contrattuali tipo previste dai termini applicabili al singolo servizio.

    Analytics usa la modalità di consenso di base. reCAPTCHA si carica all'interazione nei moduli pubblici e subito nelle pagine di accesso amministrativo. I termini Analytics non sostituiscono quelli Google Cloud per reCAPTCHA.

    Accordo sul trattamento dei dati del fornitore

  • Google Workspace

    Posta aziendale, strumenti di lavoro e calendario, prenotazioni di call e riunioni con Google Meet.

    Società
    Google Cloud Italy S.r.l. (Italia / Italy)
    Dati trattati
    Email e allegati, comprese notifiche del Sito e richieste di ricontatto con estratti della chat; contenuti di lavoro, appuntamenti e dati dei partecipanti.
    Luoghi di trattamento
    UE e Stati Uniti; non è attestata una configurazione di residenza esclusivamente UE.
    Garanzie per i trasferimenti
    Data Privacy Framework per destinatari e trasferimenti coperti; clausole contrattuali tipo secondo il DPA Google Workspace applicabile.

    Le copie nelle email hanno una conservazione distinta dai record del database del Sito. L'uso nei progetti deve rispettare gli accordi e le istruzioni del cliente.

    Accordo sul trattamento dei dati del fornitore

Fornitori dell'attività di Gitogi

Fornitori coinvolti nella gestione dell'azienda. Possono trattare dati di clienti, potenziali clienti, fornitori e relativi referenti, secondo il servizio e il ruolo indicati.

  • Google Workspace

    Posta aziendale, strumenti di lavoro e calendario, prenotazioni di call e riunioni con Google Meet.

    Società
    Google Cloud Italy S.r.l. (Italia / Italy)
    Dati trattati
    Email e allegati, comprese notifiche del Sito e richieste di ricontatto con estratti della chat; contenuti di lavoro, appuntamenti e dati dei partecipanti.
    Luoghi di trattamento
    UE e Stati Uniti; non è attestata una configurazione di residenza esclusivamente UE.
    Garanzie per i trasferimenti
    Data Privacy Framework per destinatari e trasferimenti coperti; clausole contrattuali tipo secondo il DPA Google Workspace applicabile.

    Le copie nelle email hanno una conservazione distinta dai record del database del Sito. L'uso nei progetti deve rispettare gli accordi e le istruzioni del cliente.

    Accordo sul trattamento dei dati del fornitore

  • OpenAI (ChatGPT Business e Codex)

    Strumenti business di supporto al lavoro, alla redazione e allo sviluppo software.

    Società
    OpenAI (servizi business / business services)
    Dati trattati
    Contenuti immessi negli strumenti business. Questa voce non attesta né autorizza il trattamento di dati personali dei clienti.
    Luoghi di trattamento
    Dipende dal servizio, dal contratto e dalla configurazione; questa voce non attesta una residenza UE.
    Garanzie per i trasferimenti
    Prima di eventuali trasferimenti di dati personali occorre individuare nel contratto una garanzia applicabile, come clausole contrattuali tipo o una decisione di adeguatezza; questa voce non attesta il meccanismo del contratto sottoscritto.

    Le condizioni business escludono l'uso dei dati per addestramento. L'identità della società contraente dello SEE deve risultare dal contratto; l'inserimento nel registro non costituisce autorizzazione come sub-responsabile di un progetto.

    Accordo sul trattamento dei dati del fornitore

  • Odoo

    Gestione aziendale di clienti, offerte e fatture.

    Società
    Odoo S.A. (Belgio / Belgium)
    Dati trattati
    Dati identificativi e di contatto contenuti nelle anagrafiche aziendali e nei documenti commerciali e contabili.
    Luoghi di trattamento
    Per Odoo Cloud in regione Europa: produzione Francia e Belgio; backup Francia, Paesi Bassi e Svezia. Per versioni precedenti alla 19 può permanere un backup aggiuntivo in Canada durante la transizione.
    Garanzie per i trasferimenti
    Per eventuali backup in Canada, la decisione di adeguatezza vale solo per destinatari rientranti nel suo ambito; altrimenti occorrono garanzie applicabili, come clausole contrattuali tipo. Versione e configurazione determinano il flusso effettivo.

    Odoo S.A. opera come responsabile per i database ospitati su Odoo Cloud. La descrizione della regione Europa non conferma da sola hosting, regione o versione del database di Gitogi.

    Accordo sul trattamento dei dati del fornitore

  • Aruba PEC

    Gestione della casella di posta elettronica certificata.

    Società
    Aruba PEC S.p.A. (Italia / Italy)
    Dati trattati
    Messaggi PEC, allegati e informazioni di trasmissione e ricevuta.
    Luoghi di trattamento
    Italia, per il servizio PEC descritto nel registro.
    Garanzie per i trasferimenti
    Per il trattamento indicato in Italia non è necessario un meccanismo di trasferimento extra-SEE; eventuali ulteriori flussi vanno valutati secondo il contratto applicabile.

    Il ruolo del fornitore per il servizio e per gli eventuali obblighi propri di legge va distinto secondo i termini applicabili.

    Accordo sul trattamento dei dati del fornitore

Fornitori nei progetti per i clienti

Il loro coinvolgimento dipende dal progetto. Sono sub-responsabili quando Gitogi li incarica di trattare dati per conto del cliente, secondo il DPA e le autorizzazioni applicabili; l'uso di un account del cliente non determina da solo il ruolo.

  • Amazon Web Services (Bedrock)

    Solo con il tuo consenso

    Esecuzione di Claude Sonnet e, in alternativa, Mistral Large per Gitogi AI.

    Società
    Amazon Web Services EMEA SARL (Lussemburgo / Luxembourg)
    Dati trattati
    Messaggi e contesto inviati al modello e risposte generate.
    Luoghi di trattamento
    Inferenza nell'Unione europea mediante profili UE di AWS Bedrock.
    Garanzie per i trasferimenti
    L'inferenza descritta avviene nell'UE. Eventuali trasferimenti relativi ad altre attività della filiera richiedono una garanzia applicabile, quale una decisione di adeguatezza o clausole contrattuali tipo.

    Secondo le condizioni Bedrock, AWS non conserva i contenuti e non li usa per addestramento. Gitogi conserva separatamente le conversazioni. Eventuali impieghi nei progetti richiedono una valutazione e un'autorizzazione riferite al progetto.

    Accordo sul trattamento dei dati del fornitore

  • Google Workspace

    Posta aziendale, strumenti di lavoro e calendario, prenotazioni di call e riunioni con Google Meet.

    Società
    Google Cloud Italy S.r.l. (Italia / Italy)
    Dati trattati
    Email e allegati, comprese notifiche del Sito e richieste di ricontatto con estratti della chat; contenuti di lavoro, appuntamenti e dati dei partecipanti.
    Luoghi di trattamento
    UE e Stati Uniti; non è attestata una configurazione di residenza esclusivamente UE.
    Garanzie per i trasferimenti
    Data Privacy Framework per destinatari e trasferimenti coperti; clausole contrattuali tipo secondo il DPA Google Workspace applicabile.

    Le copie nelle email hanno una conservazione distinta dai record del database del Sito. L'uso nei progetti deve rispettare gli accordi e le istruzioni del cliente.

    Accordo sul trattamento dei dati del fornitore

  • OpenAI (ChatGPT Business e Codex)

    Strumenti business di supporto al lavoro, alla redazione e allo sviluppo software.

    Società
    OpenAI (servizi business / business services)
    Dati trattati
    Contenuti immessi negli strumenti business. Questa voce non attesta né autorizza il trattamento di dati personali dei clienti.
    Luoghi di trattamento
    Dipende dal servizio, dal contratto e dalla configurazione; questa voce non attesta una residenza UE.
    Garanzie per i trasferimenti
    Prima di eventuali trasferimenti di dati personali occorre individuare nel contratto una garanzia applicabile, come clausole contrattuali tipo o una decisione di adeguatezza; questa voce non attesta il meccanismo del contratto sottoscritto.

    Le condizioni business escludono l'uso dei dati per addestramento. L'identità della società contraente dello SEE deve risultare dal contratto; l'inserimento nel registro non costituisce autorizzazione come sub-responsabile di un progetto.

    Accordo sul trattamento dei dati del fornitore

Responsabili, sub-responsabili e altri destinatari

La qualifica dipende dal trattamento effettivo:

  • quando Gitogi è titolare, il fornitore che tratta dati per suo conto è un responsabile del trattamento; la Privacy policy descrive queste attività;
  • quando Gitogi è responsabile per un cliente, un soggetto cui affida parte di quel trattamento può essere un sub-responsabile;
  • un soggetto che determina autonomamente finalità e mezzi può essere un titolare autonomo;
  • per LinkedIn Page Insights si applica la contitolarità descritta nella Privacy policy.

I rapporti con responsabili e sub-responsabili devono rispettare l'art. 28 GDPR. Questa pagina non sostituisce gli accordi necessari e non attesta, da sola, che ogni contratto sia stato perfezionato.

Servizi utilizzati e ambiti

AmbitoServiziPrecisazioni
Infrastruttura del SitoVercel, Supabase, UpstashFunzioni server a Francoforte, database Supabase a Francoforte e database Upstash a Londra; la localizzazione non esclude altri accessi o trasferimenti
Email del SitoResendTrattamento principale negli Stati Uniti; regione di invio in Irlanda
Gitogi AIAmazon Web Services BedrockClaude Sonnet e Mistral Large eseguiti nell'UE; non vengono utilizzate API dirette di altri fornitori di modelli
Statistiche e diagnosticaGoogle Analytics 4, PostHog, SentryGli strumenti di analisi e le registrazioni delle sessioni richiedono il consenso; la diagnostica Sentry opera separatamente
Protezione dei moduliGoogle reCAPTCHA v3Attivazione all'interazione sui moduli pubblici e immediata nelle pagine di accesso amministrativo
Attività aziendaleGoogle Workspace, Google Meet, Odoo, Aruba PECPosta, riunioni, gestione di clienti, offerte e fatture, posta certificata
Strumenti business di supporto al lavoroOpenAI, per ChatGPT Business e CodexLe condizioni business escludono l'uso dei dati per l'addestramento; questa indicazione non autorizza l'invio di dati personali di un progetto

Microsoft Teams, quando la riunione è organizzata dal cliente, WhatsApp, Google Calendar per le prenotazioni e i social non sono automaticamente sub-responsabili di Gitogi. Il ruolo dipende dal servizio, dall'organizzazione che lo gestisce e dai termini applicabili. Gitogi si avvale anche di un commercialista esterno e, secondo il progetto, di collaboratori o società partner: i loro ruoli devono essere individuati in base alle attività effettive.

Gli sviluppatori dei modelli Claude Sonnet e Mistral Large non diventano fornitori diretti di Gitogi AI per il solo fatto che i loro modelli siano disponibili su Bedrock. Mistral AI SAS non è un fornitore diretto di Gitogi: Mistral Large è utilizzato soltanto tramite Bedrock.

Il piano Claude Max è distinto dalla chat del Sito: è regolato dalle condizioni per consumatori di Anthropic, che opera come titolare, senza DPA. Non deve ricevere dati personali dei clienti e non è un sub-responsabile. Perplexity è usata soltanto per ricerche su fonti pubbliche, senza dati personali.

Localizzazione e trasferimenti

Una regione UE indica dove viene svolta una determinata attività o conservato un archivio: non dimostra, da sola, che l'intera filiera sia confinata nell'UE.

Per i trasferimenti si applicano, secondo destinatario e trattamento, decisioni di adeguatezza, l'EU-U.S. Data Privacy Framework per destinatari e trasferimenti coperti, oppure clausole contrattuali tipo e le eventuali misure supplementari necessarie. I meccanismi non sono intercambiabili senza verificarne i presupposti.

Per Odoo Cloud, la regione Europa comprende produzione in Francia e Belgio e backup in Francia, Paesi Bassi e Svezia. Fino al completamento della transizione annunciata da Odoo può essere presente un backup aggiuntivo in Canada. Questa descrizione della regione non identifica da sola la configurazione del database di Gitogi.

Per i servizi business OpenAI, società contraente, localizzazione e garanzie applicabili dipendono dal contratto e dalla configurazione del servizio; il registro non attesta opzioni contrattuali non documentate.

Le informazioni verificate sui principali fornitori sono:

Servizio e societàLocalizzazione e garanzie documentate
Vercel — Vercel Inc.Funzioni server a Francoforte; DPA con clausole contrattuali tipo, moduli 1–3, secondo il rapporto applicabile
Supabase — Supabase Pte. Ltd, SingaporeDatabase e autenticazione a Francoforte; clausole contrattuali tipo, modulo 2
Resend — Plus Five Five, Inc., Stati UnitiTrattamento principale negli Stati Uniti, regione di invio in Irlanda; EU-U.S. Data Privacy Framework e clausole contrattuali tipo, nei rispettivi ambiti
Upstash — Upstash, Inc., Stati UnitiDatabase a Londra; decisione UE di adeguatezza per il Regno Unito in vigore; Data Privacy Framework per i trasferimenti coperti verso gli Stati Uniti e clausole contrattuali tipo se il quadro non copre il trasferimento
PostHog — PostHog, Inc.EU Cloud; Data Privacy Framework e clausole contrattuali tipo, nei rispettivi ambiti
Sentry — Functional Software, Inc.Regione dati UE; Data Privacy Framework e clausole contrattuali tipo, nei rispettivi ambiti
Bedrock — Amazon Web Services EMEA SARLModelli eseguiti nell'UE; il servizio non conserva i contenuti e non li usa per addestramento
Google Cloud e Google Workspace — Google Cloud Italy S.r.l. per la fatturazione in ItaliaStrumenti aziendali Google (posta, calendario, archiviazione); localizzazioni e garanzie pertinenti devono essere individuate nei contratti e nelle configurazioni applicabili
Google Analytics 4Si applicano i Google Ads Data Processing Terms; Google Ireland Limited è fra le entità indicate. L'entità pertinente e le garanzie vanno individuate per il rapporto applicabile
Odoo — Odoo S.A., BelgioPer Odoo Cloud opera come responsabile; produzione e backup della regione Europa sono descritti sopra, compresa l'eventuale copia transitoria in Canada
LinkedIn Page Insights — LinkedIn Ireland Unlimited CompanyContitolare nei limiti delle statistiche della pagina, secondo l'accordo di contitolarità

La società contraente per ChatGPT Business e Codex e le informazioni contrattuali mancanti sugli altri servizi restano da verificare. La presenza di una regione europea non attesta che ogni accesso avvenga dallo Spazio economico europeo.

Per informazioni e copia delle garanzie applicabili scrivi a info@gitogi.com.

Fornitori nei progetti dei clienti

I progetti possono utilizzare account del cliente o di Gitogi e coinvolgere collaboratori o società partner.

L'intestazione dell'account non determina da sola la qualifica privacy. Un fornitore incaricato direttamente dal cliente può essere un suo responsabile; un soggetto cui Gitogi affida un trattamento svolto per il cliente può essere un sub-responsabile anche se opera su infrastruttura del cliente.

Prima di affidare dati a un sub-responsabile occorrono:

  • l'autorizzazione scritta del cliente, specifica o generale;
  • l'individuazione del soggetto, delle attività e dei dati interessati;
  • obblighi di protezione dei dati conformi all'art. 28 GDPR;
  • le garanzie necessarie per eventuali trasferimenti internazionali.

Gli strumenti elencati per il Sito o per l'attività aziendale non sono automaticamente autorizzati per tutti i progetti. Per ciascun incarico rilevano l'Accordo sul trattamento dei dati, gli allegati applicabili e le istruzioni del cliente.

Modifiche ai sub-responsabili

In presenza di autorizzazione generale, l'art. 28.2 GDPR richiede di informare il cliente delle aggiunte o sostituzioni previste, dandogli la possibilità di opporsi prima del coinvolgimento del nuovo sub-responsabile.

Per i rapporti regolati dal DPA, l'art. 7 del DPA prevede una comunicazione scritta almeno 15 giorni prima dell'accesso ai dati e la possibilità di opporsi entro tale termine. Il nuovo soggetto non tratta i dati durante il termine né, in caso di opposizione, finché questa non sia risolta. Un termine più breve richiede una preventiva autorizzazione scritta specifica del Cliente. La pubblicazione di una modifica su questa pagina non sostituisce la comunicazione e non vale come autorizzazione.