Ultimo aggiornamento: 17 ottobre 2026 | Ai sensi dell'art. 28 par. 4 del Reg. UE 2016/679 (GDPR)
Questa pagina elenca tutti i Sub-processor (Responsabili del Trattamento secondari) di cui MASTER ACADEMY SRLS si avvale per l'erogazione del Servizio Business Tool Box, ai sensi dell'art. 28 par. 4 GDPR. Ogni Sub-processor è vincolato da un Data Processing Agreement che impone gli stessi obblighi di protezione dati del contratto principale tra Titolare e Utente.
Notifica di nuovi Sub-processor: il Titolare comunicherà l'aggiunta di nuovi Sub-processor tramite aggiornamento di questa pagina con almeno 15 giorni di preavviso. Gli Utenti che desiderano opporsi a un nuovo Sub-processor possono contattare masteracademysrls@legalmail.it entro il periodo di preavviso.
Dati trattati per conto degli Utenti: per i dati degli iscritti alle liste d'attesa delle landing di validazione pubblicate dagli Utenti, che MASTER ACADEMY SRLS tratta come Responsabile secondo le Condizioni per il trattamento dei dati per conto dell'Utente (art. 28 GDPR), i sub-responsabili coinvolti sono soltanto Supabase (database) e Vercel (hosting della pagina e ricezione del modulo). Anthropic, Resend, Stripe e Google non trattano tali dati.
Sub-processor Attivi
Supabase
- Entità giuridica
- Supabase Inc. (USA), con infrastruttura dati nell'UE
- Finalità del trattamento
- Database PostgreSQL, autenticazione, archiviazione privata dei file caricati, Row Level Security
- Categorie di dati
- Dati di profilo e di accesso, dati di progetto, documenti generati, file caricati, log delle elaborazioni AI, iscritti alle liste d'attesa delle landing pubblicate dagli Utenti (trattati per conto dell'Utente, vedi Condizioni art. 28), prove di trazione dichiarate
- Ubicazione
- UE (Francoforte, Germania), su AWS
- Garanzia trasferimento
- Dati conservati nell'UE; SCC UE incluse nel DPA di Supabase per eventuali accessi dagli USA (supporto tecnico)
- DPA
- https://supabase.com/legal/dpa
- Privacy Policy
- https://supabase.com/privacy
Vercel
- Entità giuridica
- Vercel Inc. (USA)
- Finalità del trattamento
- Hosting dell'applicazione Next.js, esecuzione delle funzioni applicative e del middleware di sessione, rete di distribuzione dei contenuti, statistiche aggregate senza cookie (Vercel Analytics e Speed Insights), hosting delle landing di validazione pubblicate dagli Utenti e ricezione dei relativi moduli di iscrizione
- Categorie di dati
- Indirizzo IP dei visitatori, user-agent, log tecnici delle richieste HTTP, dati transitati nelle richieste all'applicazione (incluso il cookie di sessione letto dal middleware)
- Ubicazione
- Funzioni applicative eseguite nella regione UE di Francoforte (Germania); il middleware di sessione gira sulla rete edge globale di Vercel (nodo più vicino al visitatore); distribuzione dei contenuti statici tramite rete globale di nodi
- Garanzia trasferimento
- SCC UE (Modulo 2 — da Titolare a Responsabile) incluse nel DPA di Vercel
- DPA
- https://vercel.com/legal/dpa
- Privacy Policy
- https://vercel.com/legal/privacy-policy
Anthropic
- Entità giuridica
- Anthropic, PBC (USA)
- Finalità del trattamento
- Elaborazione AI tramite Claude API: generazione documenti, consulente AI, estrazione dati da file, assistente dei campi, stime di mercato
- Categorie di dati
- Contenuto delle richieste all'AI: dati anagrafici dei founder, dati aziendali, dati finanziari, descrizioni di progetto, testo dei file caricati (quando elaborati per l'estrazione)
- Ubicazione
- USA (con sub-processor cloud — vedi link)
- Garanzia trasferimento
- SCC UE incorporate nel Data Processing Addendum di Anthropic, parte dei Commercial Terms accettati dal Titolare. In base ai Commercial Terms i dati non sono usati per addestrare i modelli; Anthropic può conservare input e output per un periodo limitato secondo la propria politica di conservazione, per sicurezza e prevenzione degli abusi.
- DPA
- https://www.anthropic.com/legal/data-processing-addendum
- Privacy Policy
- https://www.anthropic.com/privacy
- Sub-processor a cascata
- https://www.anthropic.com/subprocessors
Stripe
- Entità giuridica
- Stripe Payments Europe, Ltd. (Irlanda); possibili trasferimenti verso Stripe, Inc. (USA)
- Finalità del trattamento
- Pagina di pagamento ospitata (Stripe Checkout), gestione abbonamenti, fatturazione, portale clienti, prevenzione frodi
- Categorie di dati
- Email del cliente, nome o ragione sociale, indirizzo di fatturazione, partita IVA, importi e stato delle transazioni. I dati della carta sono inseriti direttamente sulla pagina di Stripe e non transitano dai server di Business Tool Box.
- Ubicazione
- UE (Irlanda); USA per alcune elaborazioni (es. prevenzione frodi)
- Garanzia trasferimento
- SCC UE incluse nel DPA di Stripe (parte dello Stripe Services Agreement); certificazione PCI-DSS Level 1
- DPA
- https://stripe.com/legal/dpa
- Privacy Policy
- https://stripe.com/privacy
Resend
- Entità giuridica
- Resend, Inc. (USA)
- Finalità del trattamento
- Invio delle email transazionali: link di accesso, reimpostazione della password, conferma dell'iscrizione alla newsletter, email di benvenuto dopo l'attivazione di un piano, promemoria di rinnovo e di fine prova
- Categorie di dati
- Indirizzo email del destinatario, nome ove presente, contenuto del messaggio, dati tecnici di consegna
- Ubicazione
- USA
- Garanzia trasferimento
- SCC UE incluse nel DPA di Resend
- DPA
- https://resend.com/legal/dpa
- Privacy Policy
- https://resend.com/legal/privacy-policy
Google
- Entità giuridica
- Google Ireland Limited (Irlanda); possibili trasferimenti verso Google LLC (USA)
- Finalità del trattamento
- Accesso con Google (OAuth) su scelta dell'utente; Google Analytics 4 (statistiche ed eventi di conversione) attivato solo con il consenso ai cookie analitici, con Google Signals e personalizzazione degli annunci disattivati
- Categorie di dati
- Accesso con Google: nome, email e immagine del profilo. Google Analytics: dati di navigazione, identificativi dei cookie analitici, identificativo casuale e parametri di campagna degli eventi di conversione (senza IP e user-agent del visitatore per gli eventi inviati dal server)
- Ubicazione
- UE e USA
- Garanzia trasferimento
- SCC UE incluse nei termini per il trattamento dei dati di Google; adesione di Google LLC al Data Privacy Framework UE-USA
- DPA
- https://business.safety.google/adsprocessorterms/
- Privacy Policy
- https://policies.google.com/privacy
Catena di Notifica Data Breach
In caso di violazione presso un Sub-processor, le tempistiche di notifica sono le seguenti:
- Sub-processor → Titolare: senza ingiustificato ritardo dalla scoperta della violazione, secondo i termini del rispettivo DPA
- Titolare → Garante per la protezione dei dati personali: entro 72 ore da quando il Titolare ne è venuto a conoscenza (art. 33 GDPR)
- Titolare → Utenti interessati: senza ingiustificato ritardo, quando la violazione comporta un rischio elevato per i diritti e le libertà delle persone fisiche (art. 34 GDPR)
Audit Rights
Gli Utenti con esigenze di audit più approfondite (es. clienti del piano Studio o titolari con requisiti SOC 2 / ISO 27001 / regolamentari) possono richiedere copia dei DPA sottoscritti, evidenze delle SCC, e (ove disponibili) report di certificazione dei singoli Sub-processor contattando masteracademysrls@legalmail.it.
Contatti
Titolare del Trattamento:
MASTER ACADEMY SRLS
Via Costantino Corvisieri n. 10, 00162 Roma (RM)
P.IVA / C.F.: 17698961004
REA: RM – 1735710
PEC (contatto per la protezione dei dati): masteracademysrls@legalmail.it