Allegato II all’accordo sul trattamento dei dati: sub-responsabili

1.Prima parte. Sub-responsabili

N. e fornitore

1. OVHcloud (OVH SAS)

Servizio

Managed Kubernetes, Managed PostgreSQL e Object Storage; registri tecnici su OVHcloud Logs Data Platform (Graylog, GELF su TLS). L'inferenza di IA della stessa entità (OVHcloud AI Endpoints) è elencata separatamente, nella riga 7

Finalità

Ospitare la Piattaforma, il database e i file caricati

Luogo del trattamento

Gravelines, Francia (UE); registri in gra2 (Gravelines), conservazione di 1 anno

Dati ricevuti

Tutti i Dati del Cliente conservati; nei registri tecnici, identificativo del tenant, identificativo dell'utente, hash con salt dell'indirizzo IP, percorso, paese e il testo e il contesto di ogni riga

Dati del Cliente?

Sì. Ospita il database, i file e il calcolo in cui sono trattati tutti i Dati del Cliente

Garanzia di trasferimento

All'interno del SEE: nessun trasferimento

N. e fornitore

2. Aiven Oy (Helsinki, Finlandia; codice d'impresa 2795743-5), ulteriore sub-responsabile (Hodeitek → OVHcloud → Aiven): gestisce il servizio OVHcloud Managed PostgreSQL. Hodeitek contrae con OVHcloud e OVHcloud si avvale di Aiven

Servizio

Piattaforma che esegue il PostgreSQL gestito di OVHcloud, gestita da remoto da Aiven.

Finalità

Eseguire il database gestito

Luogo del trattamento

UE (Francia, Gravelines; i backup gestiti anche a Strasburgo, Francia: Allegato I, I.2)

Dati ricevuti

Gli stessi Dati del Cliente del database della riga 1, nella misura in cui Aiven vi abbia accesso

Dati del Cliente?

Possibile. Il database contiene tutti i Dati del Cliente, e Aiven può aver bisogno di trattarli, da remoto, per gestire il servizio

Garanzia di trasferimento

Server nell'UE; per qualsiasi trattamento al di fuori del SEE, clausole contrattuali tipo ai sensi della decisione di esecuzione (UE) 2021/914, secondo l'accordo sul trattamento dei dati di Aiven

N. e fornitore

3. Cloudflare, Inc.

Servizio

DNS, rete di distribuzione, firewall e terminazione TLS; verifica antibot Turnstile del Trust Center pubblico; API dei domini personalizzati (custom hostnames) dei Trust Center

Finalità

Consegnare e proteggere il traffico della Piattaforma

Luogo del trattamento

Rete globale; entità negli Stati Uniti

Dati ricevuti

Tutto il traffico in transito, che Cloudflare vede in chiaro poiché termina il TLS sul bordo e lo riapre verso l'origine con TLS reciproco (include i Dati del Cliente che viaggiano in ogni richiesta), con IP e dati tecnici del browser. Turnstile: il token e l'IP del visitatore. API dei domini personalizzati: il nome host che il cliente vuole associare al proprio Trust Center

Dati del Cliente?

Sì (terminazione TLS: vede il contenuto delle richieste). Possibile in Turnstile (IP dei visitatori del Trust Center pubblico). No nell'API dei domini personalizzati (un nome host, in principio non personale)

Garanzia di trasferimento

EU-U.S. Data Privacy Framework finché Cloudflare, Inc. figuri come partecipante attivo e, se cessa di applicarsi, Clausole contrattuali tipo (Decisione (UE) 2021/914)

N. e fornitore

4. Resend (Stati Uniti; entità contraente: Plus Five Five, Inc. (opera come Resend), 2261 Market Street #5039, San Francisco, CA, Stati Uniti, secondo il DPA e le condizioni di servizio del fornitore, consultati il 2026-10-14)

Servizio

API di posta transazionale, chiamata da n8n

Finalità

Inviare le e-mail della Piattaforma: inviti, avvisi, notifiche, inviti ai questionari e avvisi di vulnerabilità ai fornitori

Luogo del trattamento

Stati Uniti (trattamento principale, secondo il suo DPA); regione di invio: eu-west-1 (Irlanda), misurata tramite l'API di Resend e registrata dalla console (2026-10-14). Amazon Web Services, Inc. figura come fornitore di hosting e invio nella pagina dei sub-responsabili di Resend (aggiornata il 27-08-2026, verificata il 2026-10-06)

Dati ricevuti

E-mail e nome del destinatario (utenti del Cliente e contatti dei fornitori) e contenuto dell'avviso

Dati del Cliente?

Sì. Riceve nome ed e-mail di persone e il testo degli avvisi che contengono dati del Cliente

Garanzia di trasferimento

Resend è un'impresa statunitense e il suo accordo sul trattamento dei dati (DPA) indica che il suo trattamento principale avviene negli Stati Uniti (clausola 6.1). Garanzie secondo tale DPA: Clausole contrattuali tipo della Decisione (UE) 2021/914, modulo due e, se il Cliente è responsabile del trattamento, modulo tre (clausola 6.2), e adesione dichiarata all'EU-U.S. DPF (clausola 11.1).

N. e fornitore

5. Functional Software, Inc. (Sentry), per la console, l'API pubblica e il server MCP (fornitore di Hodeitek in qualità di titolare; non sub-responsabile del Cliente)

Servizio

Monitoraggio degli errori (browser, server ed edge della console; API pubblica e server MCP)

Finalità

Diagnosticare errori tecnici della Piattaforma, finalità propria di Hodeitek in qualità di titolare (clausola 2.2)

Luogo del trattamento

Conservazione nella regione UE di Sentry. Possibili accessi dagli Stati Uniti da parte di Functional Software, Inc.

Dati ricevuti

Report di errore filtrati (senza utente, cookie né intestazioni; e-mail, IP e segreti del testo oscurati); tracce di prestazione campionate; registri dell'applicazione con un elenco chiuso di attributi (tenant, richiesta, paese, percorso, stato), senza identificativo di utente né impronta dell'IP; riproduzione dello schermo solo con errore e mascherata. Vedere dettaglio sotto

Dati del Cliente?

Non come sub-responsabile: Hodeitek tratta queste segnalazioni in qualità di titolare (clausola 2.2). Possibile. Il testo libero di messaggi e tracce può contenere nomi o dati del Cliente che il filtro non riconosce (rimuove e-mail, IP, token e segreti, non nomi). L'elenco chiuso di attributi dei registri non include dati di persone

Garanzia di trasferimento

Regione di conservazione: nessun trasferimento. Accessi dagli Stati Uniti: EU-U.S. DPF e, se non si applica, Clausole contrattuali tipo, moduli 2 e 3, secondo il DPA pubblico di Sentry v5.1.0 (29-05-2024), https://sentry.io/legal/dpa/

N. e fornitore

6. Functional Software, Inc. (Sentry), per l'agente di endpoint (fornitore di Hodeitek in qualità di titolare; non sub-responsabile del Cliente)

Servizio

Monitoraggio degli errori dell'agente installato negli apparecchi del Cliente

Finalità

Diagnosticare guasti dell'agente, finalità propria di Hodeitek in qualità di titolare (clausola 2.2)

Luogo del trattamento

Regione UE di Sentry. Possibili accessi dagli Stati Uniti come nella riga precedente

Dati ricevuti

Solo errori e guasti: messaggio e traccia filtrati, versione, ambiente, sistema operativo e versione del kernel, architettura. L'IP della connessione dell'apparecchio arriva ai server di Sentry; con l'opzione del progetto che impedisce di conservare l'IP e la regola di depurazione dei dati di Sentry che elimina la posizione derivata, l'evento conservato non mantiene né l'IP né la città (misurato il 2026-10-06). Tale regola è configurazione di Sentry e non codice

Dati del Cliente?

Non come sub-responsabile: Hodeitek tratta queste segnalazioni in qualità di titolare (clausola 2.2). Possibile. Le osservazioni dell'agente non vanno a Sentry e il nome dell'apparecchio e dell'account sono oscurati, ma il testo di un errore può contenere dati che il filtro non riconosce; l'IP della connessione arriva a Sentry anche se non viene conservato

Garanzia di trasferimento

Come la riga precedente

N. e fornitore

7. OVH SAS (Francia), la stessa entità della riga 1

Servizio

OVHcloud AI Endpoints (inferenza di IA), un'API compatibile con quella di OpenAI, tramite n8n, nei cinque flussi con modello: HodeiAI, CISO virtuale, redazione di politiche (l'analisi di copertura non arriva al modello), analisi del rischio delle scansioni dei fornitori e classificazione delle novità normative (vedere dettaglio sotto). Condizioni del servizio: Appendice 10 («AI Endpoints») delle Condizioni Particolari dei Servizi Public Cloud di OVHcloud (OVHcloud Public Cloud, Appendix 10 (26-08-2026), pp. 52-53). Sub-responsabili di OVH: quelli del suo proprio accordo sul trattamento dei dati; l'Appendice 10 non li menziona

Finalità

HodeiAI, CISO virtuale, report, redazione di politiche e parte dell'analisi del rischio delle scansioni dei fornitori

Luogo del trattamento

UE (Francia, Gravelines, secondo la documentazione del servizio di OVH), pagina del servizio aggiornata il 03-02-2026, non contrattuale; il contratto non fissa una regione. Secondo il contratto, il servizio non conserva le richieste né i dati, nemmeno temporaneamente, salvo la Batch API, che HodeiShield non usa, e OVHcloud non li riutilizza, nemmeno per addestrare modelli (OVHcloud Public Cloud, Appendix 10 (26-08-2026), pp. 52-53). Conservazione propria di Hodeitek delle conversazioni: 90 giorni

Dati ricevuti

HodeiAI e CISO virtuale: la domanda, gli ultimi 20 messaggi, il contesto del tenant e i risultati degli strumenti consultati dall'agente (fornitori, rischi, prove, conformità), pseudonimizzati. Politiche: il quadro, la categoria, il tono, la lingua e il nome dell'organizzazione per redigere la politica, pseudonimizzati. Scansioni dei fornitori: dominio, tipo, punteggio, riscontri e dati di Shodan in chiaro, con la sola sostituzione per schemi di e-mail, telefono, IBAN e DNI/NIE. Novità normative: solo fonti pubbliche

Dati del Cliente?

Sì, mentre il tenant ha HodeiAI attivato (tutti i flussi tranne le novità normative dipendono da tale interruttore). No nella classificazione delle novità normative (solo testi pubblici)

Garanzia di trasferimento

Nello SEE: OVH SAS ha sede in Francia e l'ubicazione del servizio è UE (Francia, Gravelines, secondo la documentazione del servizio di OVH); non vi è alcun trasferimento internazionale.

N. e fornitore

8. Microsoft Corporation (Microsoft 365), con Microsoft Ireland Operations Ltd. come rappresentante nel SEE

Servizio

Caselle di posta di assistenza, di sicurezza e di protezione dei dati (info@hodeitek.com, security@hodeitek.com, privacy@hodeitek.com)

Finalità

Rispondere via e-mail alle richieste di assistenza e alle comunicazioni di sicurezza

Luogo del trattamento

Irlanda (UE), all'interno del SEE (EU Data Boundary); accessi puntuali di Microsoft Corporation (Stati Uniti)

Dati ricevuti

Solo ciò che il Cliente scrive o allega nel messaggio, se invia Dati del Cliente tramite questo canale; inoltre l'e-mail e il nome del mittente

Dati del Cliente?

Possibile. L'assistenza via e-mail può ricevere Dati del Cliente se il partecipante li incolla o li allega

Garanzia di trasferimento

All'interno del SEE per l'archiviazione; gli accessi puntuali dagli Stati Uniti si fondano sul EU-U.S. DPF e, in subordine, sulle Clausole contrattuali tipo

N. e fornitore

9. UptimeRobot s. r. o. (Bratislava, Slovacchia, UE)

Servizio

Pagina di stato e avvisi di incidenti e di manutenzione via e-mail a chi si iscrive: status.hodeishield.com, una pagina di stato pubblica di UptimeRobot, con gli incidenti e gli avvisi pubblicati da Hodeitek

Finalità

Informare sullo stato del servizio e sugli incidenti, e avvisare via e-mail chi si iscrive

Luogo del trattamento

Primario nell'UE e secondario negli Stati Uniti, in centri dati gestiti dai suoi sub-responsabili (DPA di UptimeRobot, Allegato 1 e clausola 11.1)

Dati ricevuti

Se qualcuno si iscrive agli avvisi, il suo indirizzo e-mail, che UptimeRobot conserva nella propria base di dati e che il titolare della pagina non può vedere (informativa sulla privacy di UptimeRobot); per i visitatori della pagina, l'indirizzo IP e i registri di utilizzo (DPA, Allegato 1). I monitor verificano soltanto indirizzi pubblici della Piattaforma

Dati del Cliente?

Possibile. Un iscritto può essere un utente del Cliente; la pagina non riceve alcun dato dello spazio di lavoro.

Garanzia di trasferimento

L'entità ha sede nell'UE. Per quanto è trattato negli Stati Uniti o in altri paesi terzi, Clausole Contrattuali Tipo (Decisione (UE) 2021/914), modulo due o tre a seconda del ruolo del cliente (DPA di UptimeRobot, clausole 11.2 e 11.3). UptimeRobot non dichiara l'adesione al DPF UE-USA

2.Destinazioni scelte dal Cliente (non sono sub-responsabili)

I servizi verso i quali il Cliente indirizza dati per proprio conto non sono sub-responsabili di Hodeitek: le destinazioni degli avvisi (Slack, Microsoft Teams, PagerDuty, Opsgenie, webhook propri, SIEM in formato CEF, Jira e ServiceNow) e i provider di identità per l'accesso unico (Google, Microsoft Entra, Okta, OneLogin o uno proprio). Il Cliente sceglie la destinazione, la configura e ne risponde; Hodeitek invia solo ciò che il Cliente configura. L'informativa della console lo dice allo stesso modo.

3.Stripe e Holded: figurano nell'elenco della console e non ricevono Dati del Cliente

Stripe e Holded sono responsabili del trattamento di Hodeitek per incassare e fatturare l'abbonamento, solo quando si sottoscrive online. Ricevono soltanto dati di fatturazione, che Hodeitek tratta in qualità di titolare, e nulla dello spazio di lavoro (fornitori, prove, utenti). Non sono sub-responsabili del presente accordo e per questo non hanno una riga nella prima parte. La fatturazione è disattivata finché BILLING_ENABLED non valga true, e la beta è gratuita.

4.Seconda parte. Fonti di dati pubblici (non sono sub-responsabili)

Questo elenco è distinto dalla prima parte. La console lo presenta a parte, come «Fonti pubbliche di sicurezza e servizio di loghi»: servizi di dati pubblici ai quali il motore di automazione (n8n) invia identificativi di ciò che viene analizzato, non account di utenti. Non sono sub-responsabili. Sono dichiarate affinché il Cliente sappia che cosa esce dalla Piattaforma: un dominio aziendale di norma non è un dato personale, ma lo è se identifica una persona fisica, e l'insieme di ciò che viene consultato rivela quali fornitori e quale software utilizza il Cliente. Il presente accordo non indica dove questi servizi trattano i dati: non sono sub-responsabili e ricevono solo ciò che indica la tabella.

5.Dettaglio di OVHcloud AI Endpoints

6.Dettaglio di Sentry

Console, API pubblica e server MCP:

• sendDefaultPii: false in browser, server, edge, API e server MCP.
• Filtro beforeSend: cancella l'utente, i cookie e le intestazioni della richiesta; in server ed edge cancella inoltre le chiavi con nome di dato personale in extra e tags, e infine oscura forme di segreti, token negli URL, e-mail e indirizzi IP del testo. Non riconosce i nomi di persone all'interno del testo di un errore.
• Registri inviati a Sentry (enableLogs: true): un elenco chiuso di attributi (tenantId, requestId, cfRay, country, component, level, route, durationMs, statusCode, method, status, errorCode), solo come testo, numero o booleano; tutto il resto viene scartato, e il messaggio e i testi passano per il filtro di segreti ed e-mail. L'identificativo dell'utente e l'impronta salata dell'IP non escono verso Sentry; vanno invece ai registri interni e a OVHcloud Logs Data Platform (riga 8).
• Riproduzione di sessione: mai nelle sessioni normali; in produzione, solo se c'è un errore, con maskAllText, maskAllInputs e blockAllMedia e con blocco degli elementi con link di accesso.
• Tracce di prestazione campionate (10 % in produzione in browser ed edge; campionamento per percorso nel server) e profili del server al 10 %.
• Invio dal browser tramite un relay proprio (POST /monitoring) che inoltra solo a un host di ingestione dell'UE e ai progetti dell'elenco consentito, e che non passa alla destinazione le intestazioni del browser (solo il tipo di contenuto e la codifica), per cui Sentry vede l'IP del server della console e non quello dell'utente.
• L'API pubblica (api/) e il server MCP inviano solo errori, senza richiesta, utente, breadcrumb né registri, anch'essi tramite il relay; senza interruttore di progetti compilato, il relay li rifiuta.
• Come si disattiva: può farlo solo Hodeitek, nella distribuzione. Sentry non invia nulla con SENTRY_ENVIRONMENT=development, ma l'avvio in produzione richiede un DSN configurato e il DSN del browser viene fissato alla compilazione dell'immagine. Non esiste un interruttore per cliente.

Agente:

• Il DSN viene incorporato alla compilazione dei binari ufficiali da un segreto di CI; per questo i binari pubblicati segnalano per impostazione predefinita.
• Invia solo errori, panic e certe anomalie interne dell'agente; senza sessioni, tracce, registri né metriche.
• Come si disattiva, nelle versioni pubblicate `v2.12.2` e `v2.12.3`: (1) file marcatore /etc/hodei-shield/telemetry-off in Linux e macOS o %ProgramData%\Hodei-Shield\telemetry-off in Windows, che prevale su qualsiasi DSN e sopravvive agli aggiornamenti; (2) HODEI_SENTRY_DSN con valore off, false, 0, no, none, disabled o vuoto. È documentato nelle guide di installazione dell'agente. In Windows il servizio non vede una nuova variabile di macchina finché non si riavvia l'apparecchio, per cui si raccomanda il file marcatore.
• Nella `v2.12.1` non esiste il file marcatore: la disattivazione era una variabile HODEI_SENTRY_DSN con un valore che non è un DSN valido (ad esempio off), e il nome dell'apparecchio poteva arrivare all'interno del testo dei breadcrumb.
• Posizione approssimativa: Sentry deduce paese e città dall'IP della connessione dopo che l'evento esce dall'apparecchio; nessun codice dell'agente può impedirlo. La regola di depurazione dei dati del progetto hodeishield-agent che la elimina è configurazione di Sentry, misurata il 2026-10-06, non codice.
• I moduli caricati in Windows sono inviati per nome del file e identificativo di debug, senza directory.