Lista Sub-Responsabili autorizzati
Il presente documento elenca, in conformità all'art. 28 c. 2 GDPR e al Data Processing Agreement (04-dpa.md), i Sub-Responsabili (di seguito "Subprocessor") di cui Kiwi Network si avvale per l'erogazione dei Servizi Kiwi Network. Il Cliente, in qualità di Titolare, conferisce a Kiwi Network autorizzazione generale a utilizzare i Subprocessor qui elencati e quelli che saranno successivamente aggiunti nel rispetto della procedura di notifica di cui al punto "Procedura di notifica e opposizione".
La lista è pubblicata anche all'URL
https://kiwienterprise.it/legal/subprocessorse costituisce parte integrante del DPA come Allegato III.
1. Subprocessor infrastrutturali
| # | Nome | Servizio | Tipologia di dati | Sede principale | Località dei dati | Garanzia di trasferimento extra-SEE | Link DPA / Privacy del fornitore |
|---|---|---|---|---|---|---|---|
| 1 | Supabase Inc. | Database PostgreSQL, autenticazione, storage oggetti, realtime | Tutti i dati applicativi: account, contenuti Cliente, log, asset | San Francisco, CA — USA | Frankfurt (eu-central-1) | DPF + SCC 2021/914 Modulo 3 (back-to-back); cifratura at-rest; hosting EU | https://supabase.com/legal/dpa |
| 2 | Vercel Inc. | Hosting applicativo, edge network, build pipeline, hosting siti KiwiWeb | Log di richiesta, contenuti pubblici dei siti, asset statici | New York / San Francisco — USA | Multi-region (con preferenza EU per i dati a riposo) | DPF + SCC 2021/914 Modulo 3 | https://vercel.com/legal/dpa |
| 3 | Cloudflare Inc. (in caso di adozione per CDN/WAF) | CDN, DDoS protection, WAF, DNS | Indirizzi IP, log di richiesta | San Francisco, CA — USA | Edge globale; PoP EU privilegiati | DPF + SCC 2021/914 Modulo 3 | https://www.cloudflare.com/cloudflare-customer-dpa/ |
Cloudflare è elencato come Subprocessor potenziale: la sua attivazione effettiva sarà comunicata in occasione del primo utilizzo, secondo la procedura di notifica.
2. Subprocessor — Pagamenti e fatturazione
| # | Nome | Servizio | Tipologia di dati | Sede principale | Località dei dati | Garanzia di trasferimento extra-SEE | Link DPA / Privacy del fornitore |
|---|---|---|---|---|---|---|---|
| 4 | Stripe Payments Europe Limited (per le operazioni nello SEE) + Stripe, Inc. (per servizi infrastrutturali) | Elaborazione pagamenti, gestione abbonamenti (Billing), Stripe Tax, prevenzione frodi (Radar) | Dati di pagamento (Stripe è Titolare autonomo per i dati di carta), email, ragione sociale, P.IVA, fatturazione | Dublino, IRL (Stripe Payments Europe) — San Francisco, USA (Stripe, Inc.) | EU + USA | DPF + SCC 2021/914; Stripe è Titolare autonomo per i dati di pagamento | https://stripe.com/legal/dpa — https://stripe.com/privacy |
3. Subprocessor — Comunicazione
| # | Nome | Servizio | Tipologia di dati | Sede principale | Località dei dati | Garanzia di trasferimento extra-SEE | Link DPA / Privacy del fornitore |
|---|---|---|---|---|---|---|---|
| 5 | Resend, Inc. | Email transazionali (notifiche, conferme, reset password, fatturazione, unsubscribe) ed email marketing autorizzato | Indirizzi email mittente/destinatario, contenuti email, log di consegna | Delaware — USA | USA, con repliche regionali | DPF + SCC 2021/914 Modulo 3 | https://resend.com/legal/dpa |
| 6 | Telnyx LLC | Voice (SIP), SMS, numerazione telefonica per KiwiCall | Numero di telefono chiamante/chiamato, audio chiamate (in transito), metadati (CDR), log di firma webhook | Chicago, IL — USA (PoP EU disponibili) | USA + PoP EU | DPF + SCC 2021/914 Modulo 3; verifica firma webhook attiva | https://telnyx.com/dpa |
| 7 | Telegram FZ-LLC (esclusivamente per @KiwiAssist_bot — accesso super-admin) | Bot Telegram per cockpit interno super-admin (no dati Cliente trasmessi) | Username Telegram super-admin, comandi inviati, output testuali del bot | Dubai, UAE — distribuzione globale | Globale | SCC 2021/914 ove applicabili; uso ristretto al solo personale super-admin Kiwi, no dati Cliente in transito sul canale Telegram | https://telegram.org/privacy |
4. Subprocessor — Intelligenza artificiale
| # | Nome | Servizio | Tipologia di dati | Sede principale | Località dei dati | Garanzia di trasferimento extra-SEE | Link DPA / Privacy del fornitore |
|---|---|---|---|---|---|---|---|
| 8 | Anthropic, PBC | LLM API (Claude) per generazione email KiwiLeads, chat KiwiChat, idee KiwiSocial, AI editor | Prompt testuali (contesto Cliente, contenuti, query), output generati | San Francisco, CA — USA | USA | DPF + SCC 2021/914 Modulo 3; commercial terms con divieto di addestramento sui dati API; conservazione limitata | https://www.anthropic.com/legal/commercial-terms — https://www.anthropic.com/legal/dpa |
| 9 | ElevenLabs, Inc. | Text-to-Speech (TTS) per AI voice agent KiwiCall | Testi convertiti in audio (script delle chiamate), audio sintetico generato | New York, NY — USA | USA | DPF + SCC 2021/914 Modulo 3 | https://elevenlabs.io/dpa — https://elevenlabs.io/privacy |
5. Subprocessor — Osservabilità ed errori
| # | Nome | Servizio | Tipologia di dati | Sede principale | Località dei dati | Garanzia di trasferimento extra-SEE | Link DPA / Privacy del fornitore |
|---|---|---|---|---|---|---|---|
| 10 | Functional Software, Inc. d/b/a Sentry | Error tracking, session replay, monitoring | Stack trace, identificativi anonimi di sessione, eventi di errore con scrubbing PII automatico (email, password, numeri carta, token) | San Francisco, CA — USA | USA (con possibilità di residenza EU su piano dedicato) | DPF + SCC 2021/914 Modulo 3; PII scrubbing pre-trasmissione | https://sentry.io/legal/dpa/ |
6. Categorie di trattamento e prodotti coinvolti
| Subprocessor | KiwiLeads | KiwiCall | KiwiWeb | KiwiSocial | Piattaforma core |
|---|---|---|---|---|---|
| Supabase | X | X | X | X | X |
| Vercel | X | X | X | X | X |
| Cloudflare (potenziale) | X | X | X | X | X |
| Stripe | X | ||||
| Resend | X | X | X | X | X |
| Telnyx | X | ||||
| Telegram | X (super-admin only) | ||||
| Anthropic | X | X | X | X | X |
| ElevenLabs | X | ||||
| Sentry | X | X | X | X | X |
7. Procedura di notifica e opposizione
In conformità all'art. 6 del DPA (04-dpa.md):
- Notifica: Kiwi Network comunica con un preavviso di almeno 30 giorni l'intenzione di aggiungere o sostituire un Subprocessor, mediante: - email all'indirizzo del referente privacy comunicato dal Cliente al momento dell'attivazione del Servizio (in mancanza, all'email del legale rappresentante); - aggiornamento di questa lista pubblica con l'indicazione della data di efficacia della modifica; - eventuale annotazione nel changelog (sezione 9).
- Diritto di opposizione: il Cliente può opporsi entro il termine di preavviso, per motivi ragionevoli connessi alla protezione dei dati, scrivendo a
privacy@kiwienterprise.it.
- Buona fede: a seguito dell'opposizione, le Parti si confrontano in buona fede per individuare una soluzione (es. configurazione che esclude il Subprocessor, mantenimento del precedente Subprocessor, recesso parziale).
- Recesso: in mancanza di accordo entro 30 giorni dall'opposizione, il Cliente ha diritto di recedere dal MSA limitatamente ai Servizi che non possono essere erogati senza il Subprocessor contestato, con rimborso pro-quota dei corrispettivi anticipati e non maturati.
- Mancata opposizione: l'assenza di opposizione entro il termine di preavviso costituisce conferma dell'autorizzazione.
8. Misure di garanzia trasversali
Per tutti i Subprocessor stabiliti al di fuori dello Spazio Economico Europeo, Kiwi Network applica:
- DPA back-to-back con clausole equivalenti a quelle del DPA Kiwi-Cliente;
- SCC della Commissione Europea (Decisione UE 2021/914) Modulo 3 (Responsabile-Sub-Responsabile), qualora non sia applicabile una decisione di adeguatezza, incorporando ove previsto le clausole opzionali di docking, autorizzazione generale ai sub-Responsabili e foro;
- DPF ove il Subprocessor sia certificato (validità verificata sul registro pubblico
https://www.dataprivacyframework.gov); - Misure tecniche supplementari secondo le Raccomandazioni EDPB 01/2020 (cifratura, pseudonimizzazione, controllo accessi);
- Transfer Impact Assessment (TIA) documentata internamente.
9. Changelog
| Versione | Data | Modifica | Diritto di opposizione |
|---|---|---|---|
| 1.0 | 2026-05-08 | Prima pubblicazione della lista. | N/A — autorizzazione iniziale conferita con la sottoscrizione del DPA |
Le successive modifiche saranno annotate qui con preavviso di 30 giorni rispetto alla data di efficacia.
10. Contatti
Per qualsiasi richiesta inerente la presente lista o l'esercizio del diritto di opposizione:
- Email: privacy@kiwienterprise.it
- PEC: kiwinetwork@pec.it
- Posta: KIWI NETWORK S.R.L. — Via Repubblica 56, 13900 Biella (BI), Italia
Versione 1.0 — Pubblicata in data 8 maggio 2026. URL pubblica: https://kiwienterprise.it/legal/subprocessors.