Documento legale
Sub-responsabili
Art. 28 GDPR — Ultimo aggiornamento: 11 agosto 2026
Licitatio si avvale dei fornitori elencati di seguito, che trattano dati per conto del Titolare in qualità di Responsabili del trattamento, nominati ai sensi dell'art. 28 GDPR. Ognuno opera sulla base di un accordo che ne limita il trattamento alle sole finalità indicate. Dove il trattamento avviene fuori dallo Spazio Economico Europeo, il trasferimento è coperto dalle clausole contrattuali standard approvate dalla Commissione europea.
Pubblichiamo l'elenco invece di fornirlo su richiesta perché è il primo documento che un ufficio acquisti chiede, e perché un elenco che si aggiorna in pubblico è più difficile da lasciare indietro.
Fornitori attivi
| Fornitore | Finalità | Categorie di dati | Collocazione |
|---|---|---|---|
| Supabase | Database applicativo, autenticazione, configurazione dei workspace | Dati identificativi e di contatto, dati aziendali, metadati dei documenti, log applicativi | UE — AWS eu-west-1 (Irlanda), verificato |
| Cloudflare R2 | Archiviazione dei file: documenti di gara, allegati, moduli caricati | Documenti caricati dall’utente e documenti di gara scaricati dai portali | UE — giurisdizione R2 «EEUR», verificato sui bucket in uso |
| Cloudflare Turnstile | Verifica anti-bot su accesso, recupero password e accettazione invito | Dati tecnici di navigazione (indirizzo IP, caratteristiche del browser) raccolti al momento della sfida | Non confermata — la rete anycast di Turnstile instrada la verifica su data center globali, inclusi quelli extra-SEE; il DPA Cloudflare copre i trasferimenti con le clausole contrattuali standard. Da confermare col DPO prima che il presidio serva traffico reale |
| Neo4j Aura | Grafo della conoscenza: gare, requisiti, normativa, relazioni di mercato | Contenuto dei documenti di gara e del profilo aziendale in forma indicizzata | UE — Google Cloud europe-west1 (Belgio), verificato |
| Anthropic | Modelli linguistici: analisi documentale, estrazione requisiti, redazione assistita, assistente | Contenuto dei prompt: estratti di documenti di gara e di profilo aziendale | Extra-SEE — SCC. DPA con esclusione contrattuale dell’addestramento |
| OpenAI | Modelli linguistici di ripiego a pagamento ed embedding per la ricerca semantica | Contenuto dei prompt e testo da vettorializzare | Extra-SEE — SCC. DPA con esclusione contrattuale dell’addestramento |
| Modal | Esecuzione dei processi asincroni: riconoscimento ottico dei PDF, scraping dei portali | File di gara in transito durante l’elaborazione, non conservati al termine | UE per il riconoscimento ottico dei documenti, verificato; extra-SEE (us-east) per scraping e indicizzazione — SCC |
| PostHog | Rilevazione e raggruppamento degli errori applicativi | Traccia tecnica dell’errore — tipo, messaggio, file, funzione e riga — e identificatori di gara e workspace. Nessun contenuto dei documenti, dei prompt o delle variabili in memoria | UE — PostHog Cloud EU (Francoforte) |
| Resend | Invio delle email transazionali: inviti, notifiche di servizio | Indirizzo email e nome del destinatario, contenuto della notifica | Extra-SEE — SCC |
| Slack | Canale interno su cui arrivano le segnalazioni degli utenti e gli allarmi di piattaforma | Testo della segnalazione (troncato a 500 caratteri), identificativo del workspace, pagina di provenienza e numero di allegati. Non l’indirizzo email di chi segnala, non gli allegati | Extra-SEE — SCC |
«Verificato» significa interrogato, non dichiarato. Le collocazioni marcate così sono state lette dall'infrastruttura stessa: la region del progetto Supabase dall'API, la giurisdizione dei bucket R2 dalla loro location, l'indirizzo del grafo risolto e confrontato con gli intervalli IP pubblicati da Google. Non sono prese da una pagina commerciale. Dove il marchio manca — la rilevazione degli errori — la collocazione è quella dichiarata dal fornitore per la sua istanza europea, e lo diciamo invece di marcarla.
Ne segue il fatto che conta: i tuoi documenti e i dati che ne derivano restano nello Spazio Economico Europeo — database, file, grafo, diagnostica. Il contenuto dei documenti che carichi non lascia il SEE nemmeno in elaborazione: il riconoscimento ottico gira in Europa. Escono dal SEE le chiamate ai modelli linguistici e i processi asincroni di scraping e indicizzazione, entrambi di transito e senza conservazione al termine.
Una sola cosa viene conservata fuori dal SEE, e la diciamo perché è una conservazione e non un transito: il testo delle segnalazioni che ci mandi dall'interfaccia resta nella cronologia del canale Slack su cui arriva. Non riguarda i documenti di gara né il profilo aziendale — riguarda ciò che scrivi tu quando ci segnali un problema. Se preferisci non passare di lì, scrivici a info@licitatio.ai.
Fornitori attivabili
Entrano in funzione solo per configurazioni specifiche — la modalità GDPR con residenza europea dei modelli, la fatturazione a consumo, il download da portali protetti da CAPTCHA. Sono elencati perché la piattaforma può instradarli, non perché siano attivi su ogni workspace.
| Fornitore | Finalità | Categorie di dati | Collocazione |
|---|---|---|---|
| Amazon Bedrock | Modelli Claude in modalità GDPR, per clienti con requisiti di residenza dei dati | Come Anthropic, con elaborazione in region europea | UE — eu-central-1 (Francoforte) |
| Azure OpenAI | Modelli GPT in modalità GDPR, ripiego del precedente | Come OpenAI, con elaborazione in region europea | UE — region configurata sulla risorsa |
| Stripe | Incasso degli abbonamenti e dei consumi | Dati di fatturazione. I dati della carta non transitano dai nostri sistemi | Extra-SEE — SCC |
| CapSolver | Risoluzione dei CAPTCHA sui portali di e-procurement, quando il download automatico li incontra | Elementi della pagina del portale necessari alla risoluzione. Nessun dato del cliente | Extra-SEE — SCC |
Nessun addestramento sui tuoi dati
I fornitori di modelli linguistici sono selezionati esclusivamente tra quelli che escludono contrattualmente l'utilizzo dei dati trasmessi per l'addestramento. I pool gratuiti, le cui condizioni consentono quell'uso, non sono raggiungibili dal layer di astrazione dei modelli: non esiste un percorso di ripiego che vi arrivi. Il dettaglio è nella pagina Trasparenza AI.
Cosa non viene comunicato
Il testo delle pagine che sono un documento di identità — carta d'identità, passaporto, patente, allegati alle dichiarazioni sostitutive per obbligo dell'art. 38 del D.P.R. 445/2000 — viene riconosciuto e scartato prima dell'indicizzazione, quindi non è trasmesso a nessuno dei fornitori elencati sopra. Il file originale resta nell'archivio documentale del workspace. Vedi la Privacy Policy, punto 4.1.
Modifiche
L'elenco è aggiornato quando cambia la configurazione della piattaforma. I clienti con contratto enterprise ricevono comunicazione preventiva delle sostituzioni, secondo quanto previsto dal contratto. Per obiezioni motivate a un sub-responsabile scrivi a info@licitatio.ai.