DUBHCORE — Elenco Sub-processors
Versione 1.0 — Data: 30 agosto 2026 — Versione finale Sono elencati solo i fornitori effettivamente utilizzati (verificati su codice/config). Le dipendenze presenti nel progetto ma non attivamente usate NON sono incluse. DPA/accordi: ove il DPA del fornitore è incorporato nei termini o perfezionato tramite accettazione elettronica valida, non è richiesta una firma autografa separata; l'evidenza è l'accettazione online (non si dichiara il possesso di copie "firmate"). La durata dei log infrastrutturali Emergent non è stata comunicata né confermata dal provider (gestita da Emergent nell'ambito della propria infrastruttura; nessun periodo numerico dichiarato) e non costituisce un blocker di lancio.
| Fornitore | Servizio / Finalità | Categorie di dati | Luogo del trattamento | Trasferimento internazionale | Meccanismo/Garanzia | Note |
|---|---|---|---|---|---|---|
| Stripe | A) Abbonamenti/billing DUBHCORE; B) Stripe Connect per acconti degli Studi; webhook eventi | Dati di pagamento/fatturazione, identificativi transazione | UE/USA (PARTIAL — non verificata) | Sì | DPA/DPP Stripe + SCC perfezionati via accettazione online dei termini | Stripe può operare come Titolare autonomo per determinati trattamenti (pagamenti, compliance, antifrode, obblighi propri) secondo la documentazione Stripe applicabile; non è un semplice sub-responsabile |
| Solo OAuth + Google Calendar (import sola lettura) | Identificativi account (email/profilo), eventi calendario importati | UE/USA (PARTIAL — non verificata) | Sì | Data Processing Terms Google + SCC via accettazione online | Token OAuth conservati cifrati (Fernet). Esclusi: analytics, advertising, Google Fonts, servizi AI e altri servizi Google non utilizzati | |
| Emergent | Hosting/infrastruttura backend (K8s), Object Storage privato gestito, invio email transazionali (Resend/SES gestito), Hub | Tutte le categorie ospitate (account, richieste, immagini, documenti, ecc.); indirizzi email destinatari | Stati Uniti (VERIFIED) | Sì (USA) | DPA Emergent + SCC UE 2021/914 | Piattaforma di deployment; catena sub-fornitori infra sotto |
Expo / EAS (nota tecnica — NON sub-responsabile runtime): utilizzato esclusivamente come strumento di build/distribuzione dell'app mobile. Secondo l'audit tecnico non tratta i dati personali degli utenti finali DUBHCORE durante il normale utilizzo dell'app; pertanto non è incluso nell'elenco pubblico dei sub-processors e non è presentato come sub-responsabile runtime dei dati cliente.
Apple Calendar: l'accesso avviene sul dispositivo dell'utente (expo-calendar); non configura un sub-responsabile lato server DUBHCORE (nessun dato del calendario Apple inviato ai server).
Dati sulla salute (Art. 9) presso i sub-responsabili: i dati sulla salute (Tatuaggio/Piercing) sono ospitati sull'infrastruttura Emergent (già elencata) insieme alle altre categorie; l'accesso è limitato lato server ai soli ruoli autorizzati (least privilege). La conferma di Emergent circa l'ammissibilità del trattamento di tali dati per l'applicazione non costituisce la condizione di liceità ex art. 9, che resta consenso esplicito (art. 9(2)(a)) individuato dallo Studio Titolare. Nessun altro sub-responsabile riceve specificamente i dati sulla salute.
Analytics/advertising/tracking: assenti sia nell'app sia nel sito Hub (dubhcore.com) — audit verificato (nessun sub-processor di analytics).
DUBHCORE Hub (dubhcore.com): il modulo di contatto /contact (nome, studio, email, paese, messaggio) invia i dati al backend della Hub, memorizzati nella collezione MongoDB contact_requests del progetto Hub (ospitato su infrastruttura Emergent, già elencata). Nessun provider email esterno/newsletter riceve tali dati. I pagamenti avvengono tramite Payment Link esterni di Stripe (buy.stripe.com), già coperti dalla voce Stripe.
Google Fonts e Unsplash: NON sono più servizi esterni attivi — font e immagine "Origin" della Hub sono ora ospitati localmente. Pertanto non figurano tra i fornitori/destinatari esterni.
Infrastruttura verificata (Emergent Labs Inc.): DUBHCORE utilizza l'infrastruttura gestita da Emergent Labs Inc. Sub-fornitori infrastrutturali con ruolo verificato/ragionevolmente documentato nel flusso dati DUBHCORE:
| Fornitore | Servizio / Finalità | Luogo | Trasferimento internazionale | Garanzia |
|---|---|---|---|---|
| Emergent Labs Inc. | Piattaforma/infrastruttura gestita (deployment, orchestrazione) | Stati Uniti | Sì (USA) | DPA + SCC (Dec. UE 2021/914) |
| MongoDB Atlas | Database gestito dell'applicazione | Stati Uniti | Sì (USA) | via DPA Emergent + SCC |
| Amazon Web Services (AWS) | Cloud hosting / object storage / email, ove applicabile | Stati Uniti | Sì (USA) | via DPA Emergent + SCC |
| Cloudflare | Edge/CDN/serving applicativo | Edge/distribuito globale (PARTIAL — regione non verificata) | Sì | via DPA Emergent + SCC |
Backup di produzione: automatici a rotazione, archiviati negli Stati Uniti (dettaglio nel Data Retention Schedule). Ruoli DPA: Cliente = Titolare, Emergent = Responsabile; se il Cliente è a sua volta Responsabile, Emergent = Sub-responsabile.
Non sono elencati tutti i fornitori presenti nella pagina generale Sub-processors di Emergent, ma solo quelli con
ruolo verificato nel flusso dati DUBHCORE. Nessun servizio AI/LLM (Gemini/Vertex/Bedrock, ecc.) tratta dati
utente DUBHCORE (l'audit tecnico non ha rilevato trattamenti AI runtime).
Nota finale: i DPA/accordi con i fornitori sono perfezionati via accettazione elettronica valida (nessuna firma autografa separata richiesta; l'evidenza è l'accettazione online). Il periodo di conservazione dei log infrastrutturali Emergent (indirizzo IP, posizione approssimativa, browser, identificatori sessione/dispositivo, telemetria) non è stato comunicato né confermato dal provider: tali log sono gestiti da Emergent nell'ambito della propria infrastruttura e delle condizioni/documentazione applicabili; DUBHCORE non dichiara un periodo numerico non verificato. Ciò non costituisce un blocker di lancio.