Sub-responsabili del trattamento

Versione

• Versione: 1.2
• Notifica pubblicata: 2026-07-23
• Primo utilizzo previsto di Plaid: 2026-08-22, dopo il periodo di preavviso di 30 giorni contrattuale
• Proprietario: Kotao GmbH, Colonia, Germania
• Revisione legale: la classificazione dei ruoli e la formulazione delle basi per i trasferimenti fino alla v1.1 sono state esaminate e approvate dal consulente legale il 2026-07-03. La voce Plaid della v1.2 è pubblicata come preavviso e non attesta una nuova approvazione legale. Questa pagina è la pubblicazione operativa utilizzata insieme all’Accordo sul trattamento dei dati e non sostituisce la consulenza legale per valutare i trasferimenti specifici di ciascun cliente.

Ambito

Questa pagina elenca i fornitori terzi che possono trattare dati personali per Kotao nell’ambito della piattaforma, del sito promozionale, dell’invio di email, dei pagamenti, dell’osservabilità, delle analisi e delle funzioni AI facoltative. Riunisce le informazioni sui sub-responsabili richiamate dall’Informativa sulla privacy e dall’Accordo sul trattamento dei dati.

Elenco dei sub-responsabili del trattamento

Sub-responsabile	Ruolo	Finalità	Categorie di dati	Regione di trattamento	Base per il trasferimento
Cloudflare	Responsabile del trattamento.	DNS, CDN, WAF, sicurezza edge, distribuzione delle immagini, cache e instradamento del traffico per siti pubblici e applicazioni.	Dati di rete, richieste, account, sicurezza e contenuti multimediali pubblici.	Rete edge globale; l’accesso ad account e assistenza può avvenire dagli Stati Uniti.	EU-U.S. Data Privacy Framework (DPF) per i trasferimenti certificati negli Stati Uniti e clausole contrattuali standard (SCC), secondo quanto richiesto dal DPA di Cloudflare.
Neon	Responsabile del trattamento.	Database Postgres gestiti, pool di connessioni, backup e operazioni sui database per i dati applicativi.	Dati di account della piattaforma, clienti, commercio, finanza e operazioni archiviati da Kotao.	Regioni UE selezionate per i database di produzione, dove configurate; assistenza e gestione del servizio possono coinvolgere gli Stati Uniti e sub-responsabili del fornitore.	DPA/SCC di Neon per i trasferimenti fuori dal SEE; DPF/SCC possono applicarsi ai fornitori statunitensi certificati di Neon, ove disponibili.
Fornitori di servizi di Kotao Payments	Responsabile del trattamento o titolare autonomo, in base al servizio di pagamento applicabile.	Elaborazione dei pagamenti, fatturazione, checkout, controlli antifrode, registrazioni fiscali e dei pagamenti, operazioni relative agli accrediti.	Dati su metodo di pagamento, pagatore, transazione, frodi, imposte e regolamento dei pagamenti.	SEE/Regno Unito e rete del fornitore applicabile, in base al metodo di pagamento e alla sede dell’esercente e del cliente finale.	DPF, SCC o garanzie equivalenti per i trasferimenti, ove richieste per il fornitore applicabile.
Resend	Responsabile del trattamento.	Invio di email transazionali e relative al prodotto, comprese newsletter con doppia conferma e notifiche operative.	Dati di destinatario, mittente, messaggio, consegna ed esclusione dagli invii.	Stati Uniti.	Certificazione DPF e DPA/SCC di Resend.
Amazon SES	Sub-responsabile per l’inoltro delle email.	Infrastruttura di inoltro email e log di consegna utilizzati direttamente o tramite fornitori di servizi email.	Dati di mittente, destinatario, instradamento dei messaggi e log di consegna.	Regioni AWS selezionate per l’erogazione del servizio e instradamento globale delle email; è possibile l’accesso dagli Stati Uniti per assistenza e operazioni.	Certificazione DPF di AWS e DPA/SCC di AWS ai sensi del GDPR.
PostHog	Responsabile del trattamento.	Analisi del prodotto subordinate al consenso, percorsi di conversione, analisi dell’uso delle funzioni e telemetria del prodotto.	Dati pseudonimizzati su utilizzo, dispositivo, campagna e stato del consenso.	PostHog Cloud EU, ospitato a Francoforte, Germania; i sub-responsabili di PostHog possono trattare dati di assistenza o di servizio fuori dal SEE.	Hosting UE per i dati analitici principali; garanzie SCC/DPF per l’accesso da paesi terzi da parte di PostHog o dei suoi sub-responsabili, ove applicabili.
Sentry	Responsabile del trattamento.	Monitoraggio degli errori e dello stato delle versioni, stack trace, telemetria delle prestazioni ed elaborazione delle source map.	Dati tecnici su errori, versioni, dispositivi, browser e richieste ridotti al minimo necessario.	Stati Uniti e sedi di servizio utilizzate da Sentry per la propria piattaforma di osservabilità ospitata.	Data Privacy Framework (DPF) di Sentry e SCC/Addendum del Regno Unito, come indicato nel DPA di Sentry.
OpenAI	Responsabile del trattamento per le funzioni AI abilitate dal cliente.	Funzioni AI facoltative, elaborazione di prompt e risposte, embedding e monitoraggio della sicurezza e degli abusi quando i moduli AI sono attivi.	Prompt inviati dal cliente, contesto selezionato della piattaforma, contenuti generati e metadati di sicurezza.	OpenAI Ireland per i dati dei clienti del SEE e della Svizzera ai sensi del DPA di OpenAI; possono avvenire trasferimenti a società affiliate di OpenAI o terzi fuori dal SEE per fornire i servizi.	DPA di OpenAI con SCC o decisione di adeguatezza per i trasferimenti fuori dal SEE/Svizzera.
Plaid — previsto; non utilizzato prima del 2026-08-22	Responsabile o sub-responsabile del trattamento quando agisce su istruzioni di Kotao; Plaid può agire separatamente come titolare per servizi regolamentati agli utenti finali secondo le proprie condizioni.	Collegamento facoltativo di conti bancari aziendali selezionati, sincronizzazione dei pagamenti in entrata e riconciliazione delle fatture.	Istituto finanziario e paese, identificativi del fornitore e del conto, nome del conto/dati mascherati/tipologia/valuta, importi/date/riferimenti/descrizioni/etichette delle controparti dei movimenti in entrata e metadati di connessione/consenso.	Internazionale; Plaid dichiara che i dati del SEE e del Regno Unito possono essere trasferiti negli Stati Uniti e archiviati in regioni AWS negli Stati Uniti.	Condizioni applicabili di Plaid sui dati e meccanismi di trasferimento approvati, comprese le SCC ove richieste e le decisioni di adeguatezza ove applicabili.

Avviso di modifica e obiezioni

Kotao darà un preavviso di almeno 30 giorni prima di aggiungere un nuovo sub-responsabile o modificare in modo sostanziale la finalità, la regione o la base per il trasferimento di un sub-responsabile esistente. Il preavviso può essere inviato al referente dell’account, pubblicato su questa pagina oppure comunicato tramite un altro canale contrattuale. I clienti possono opporsi durante il periodo di preavviso di 30 giorni secondo l’Accordo sul trattamento dei dati.

Per iscriverti agli avvisi di modifica o per sollevare un’obiezione, contatta legal@kotao.com con oggetto Sub-processor notice.

Plaid è attualmente un sub-responsabile previsto. Questa pubblicazione v1.2 avvia il periodo di preavviso il 2026-07-23. Kotao non attiverà il trattamento tramite Plaid dei dati di produzione dei clienti prima del 2026-08-22 e prima di aver completato il processo applicabile relativo al fornitore e alle opposizioni dei clienti.

Registro modifiche

• 2026-07-23 — v1.2: preavviso anticipato del sub-processore di connettività bancaria Plaid previsto, inclusi ruolo, scopo, categorie di dati, regione di elaborazione, base di trasferimento e primo utilizzo previsto il 2026-08-22.
• 2026-07-03 — v1.1: revisione legale completata e approvazione documentata; segnalatore di revisione rimosso. Nessuna modifica sostanziale all’elenco.
• 2026-06-25 — v1.0: pubblicazione iniziale dei sub-processori nominati, scopi, regioni di elaborazione, basi di trasferimento, procedura di preavviso di 30 giorni e segnalatore di revisione legale.