Dichiarazione di residenza dei dati

Bozza, non in vigore. Versione 0.1 del 6 ottobre 2026.

Entra in vigore il {{EFFECTIVE_DATE}}.

Questa dichiarazione è l'Allegato V dell'accordo sul trattamento dei dati personali ed è pubblicata su app.socializza.com. In questa dichiarazione "Socializza" indica ITALDRONI S.r.l., che fornisce il servizio Socializza.

Il principio

Il Regolamento (UE) 2016/679 (GDPR) non impone di conservare i dati nell'Unione europea. Impone che ogni trasferimento verso un paese terzo rispetti le condizioni del capo V. La residenza nell'Unione è quindi un impegno che Socializza assume di propria iniziativa. Per questo ogni eccezione è elencata qui prima della firma del contratto.

Socializza conserva tutti i dati dei clienti nell'Unione europea, con le sole eccezioni elencate sotto per i pagamenti e per i canali che il cliente attiva.

Socializza sceglie inoltre fornitori di proprietà europea. Per questo la tabella delle eccezioni indica anche i fornitori di proprietà non europea che trattano dati nell'Unione.

Dati conservati nell'Unione europea

Dati	Dove	Fornitore
Database PostgreSQL con i dati del workspace descritti nell'Allegato II dell'accordo sul trattamento, gli account dei membri e i dati di fatturazione. I token delle piattaforme sono cifrati con una chiave propria di ciascun workspace.	Server virtuale Amazon Lightsail, regione eu-central-1, Francoforte, Germania.	Amazon Web Services EMEA SARL, Lussemburgo, eccezione 6
Media dei post, cancellati al più tardi 7 giorni dopo la pubblicazione o l'annullamento.	Server Amazon Lightsail della prima riga, regione eu-central-1, Francoforte, Germania.	Amazon Web Services EMEA SARL, Lussemburgo, eccezione 6
Backup del database e delle istantanee del deposito delle chiavi, cifrati prima dell'invio. Socializza conserva 30 giorni a rotazione e una copia mensile per 12 mesi.	AWS S3, regione eu-central-1, Francoforte, Germania.	Amazon Web Services EMEA SARL, eccezione 2
Log di sicurezza degli accessi e della prevenzione degli abusi, che conservano l'indirizzo IP per 30 giorni. Log operativi e metriche dei server, da cui i dati personali sono rimossi all'ingresso, conservati 30 giorni.	Log di sicurezza, log operativi e metriche sul server della prima riga.	Amazon Web Services EMEA SARL, Lussemburgo, eccezione 6
Deposito delle chiavi OpenBao, che custodisce la chiave con cui sono cifrate le chiavi dei singoli workspace. Le quote di sblocco sono custodite fuori dai server.	Sul server Amazon Lightsail della prima riga, regione eu-central-1, Francoforte, Germania.	Amazon Web Services EMEA SARL, Lussemburgo, eccezione 6. Socializza non usa servizi di gestione delle chiavi di fornitori statunitensi.

Eccezioni

Ogni riga descrive un flusso che esce dall'Unione o che un soggetto di proprietà non europea tratta.

Flusso	Dati che escono o che un soggetto non europeo tratta	Destinatario	Motivo	Meccanismo del capo V	Disattivabile dal cliente
1. Posta transazionale con Amazon SES	Indirizzo email del destinatario, nome utente dell'account, nome dell'agente e un link all'app. I messaggi non contengono mai il testo dei post, i media o i commenti.	Amazon Web Services EMEA SARL, 38 Avenue John F. Kennedy, L-1855 Lussemburgo, società di un gruppo statunitense. Regione eu-central-1, Francoforte, Germania. Sub-responsabile.	Invio delle approvazioni, delle notifiche, dei link di accesso e dei messaggi della lista d'attesa. Socializza non usa altri canali di posta.	I dati restano nella regione eu-central-1. Si applicano le clausole contrattuali tipo della decisione di esecuzione (UE) 2021/914 della Commissione, che l'AWS GDPR Data Processing Addendum, parte degli AWS Service Terms, applica a ogni trasferimento fuori dallo Spazio economico europeo.	No
2. Backup cifrati con Amazon S3	Copia del database e delle istantanee del deposito delle chiavi, solo in forma cifrata. AWS non riceve mai la chiave.	Amazon Web Services EMEA SARL, come alla riga 1. Regione eu-central-1, Francoforte, Germania. Sub-responsabile.	Archivio dei backup con blocco della cancellazione (Object Lock).	Come alla riga 1.	No
3. Pagamenti degli abbonamenti via web con Stripe	Dati di fatturazione e di pagamento del cliente, come ragione sociale, paese, partita IVA, piano e riferimento cliente. Socializza non inserisce mai contenuti del workspace nei campi descrittivi o nei metadati di Stripe.	Stripe Payments Europe, Limited, Dublino, Irlanda, e Stripe, LLC, Stati Uniti. Stripe agisce come titolare autonomo e come responsabile.	Incasso degli abbonamenti, addebito diretto SEPA, calcolo delle imposte e fatture. Stripe non offre la conservazione dei dati di pagamento solo nell'Unione.	Accordo sul trattamento di Stripe, parte dello Stripe Services Agreement. Il Data Transfer Addendum di Stripe applica in primo luogo la decisione di adeguatezza sul quadro UE-USA per la protezione dei dati personali (Data Privacy Framework), in cui Stripe, LLC è certificata, e in subordine le clausole contrattuali tipo.	No, per i pagamenti via web. L'acquisto nell'app sostituisce questo flusso con l'eccezione 4, che pure esce dall'Unione. Il piano Agenzia si acquista solo sul web. Il piano Gratis non richiede pagamenti.
4. Acquisti nell'app con Apple e Google	Dati dell'acquirente e del pagamento, raccolti dallo store. Socializza riceve dallo store i dati dell'abbonamento al piano acquistato.	Apple Distribution International Ltd, Hollyhill Industrial Estate, Hollyhill, Cork, Irlanda, per l'App Store. Google, per Google Play. Entrambi agiscono come venditori (merchant of record).	Vendita degli abbonamenti dentro le app iOS e Android, agli stessi prezzi del web.	Nessun accordo sul trattamento è disponibile. Apple e Google trattano i dati di acquisto come titolari autonomi secondo i propri termini. Apple Inc., Stati Uniti, non è certificata nell'ambito del quadro UE-USA per la protezione dei dati personali (Data Privacy Framework); l'informativa privacy di Apple indica come meccanismo le clausole contrattuali tipo. Google LLC, Stati Uniti, è certificata nell'ambito del Data Privacy Framework, quindi il trasferimento si basa sulla decisione di adeguatezza, la decisione di esecuzione (UE) 2023/1795 della Commissione, del 10 luglio 2023.	No, per gli acquisti nell'app. Il pagamento via web sostituisce questo flusso con l'eccezione 3, che pure esce dall'Unione.
5. Notifiche push con APNs e FCM	Un identificativo opaco e il token del dispositivo. L'app scarica il contenuto dal server nell'Unione quando l'utente apre la notifica.	Apple Inc., One Apple Park Way, Cupertino, California, per Apple Push Notification service (APNs), e Google LLC, 1600 Amphitheatre Parkway, Mountain View, California, per Firebase Cloud Messaging (FCM), entrambe negli Stati Uniti. Destinatari indicati nell'informativa privacy, non sub-responsabili.	Recapito delle notifiche alle app iOS e Android.	Nessun contenuto del cliente lascia l'Unione. Per APNs, Apple Inc. non è certificata nell'ambito del quadro UE-USA per la protezione dei dati personali (Data Privacy Framework), e l'informativa privacy di Apple indica come meccanismo le clausole contrattuali tipo. Per FCM, Google LLC agisce come responsabile del trattamento di Socializza secondo i Firebase Data Processing and Security Terms. Google LLC è certificata nell'ambito del Data Privacy Framework, quindi il trasferimento si basa sulla decisione di adeguatezza, la decisione di esecuzione (UE) 2023/1795 della Commissione, del 10 luglio 2023, e in subordine sulle clausole contrattuali tipo di quei termini.	Sì, disattivando le notifiche push.
6. Hosting con Amazon Lightsail	Le categorie dell'Allegato II dell'accordo sul trattamento e i media caricati dal cliente. I token delle piattaforme sono conservati solo in forma cifrata.	Amazon Web Services EMEA SARL, come alla riga 1. Regione eu-central-1, Francoforte, Germania. Sub-responsabile.	Server virtuale che ospita il database, l'applicazione, il deposito delle chiavi e i media.	Come alla riga 1.	No

Le righe 3 e 4 riguardano dati di fatturazione e la riga 5 dati delle notifiche push, che Socializza tratta come titolare secondo l'informativa privacy. Questi dati restano fuori dall'accordo sul trattamento. Rientrano però nell'impegno di residenza, e per questo compaiono qui. AWS, per le righe 1, 2 e 6, figura anche nell'elenco dei sub-responsabili, Allegato IV dell'accordo sul trattamento.

Piattaforme social

Su istruzione del cliente, Socializza pubblica sulle piattaforme social e ne legge i dati. Al lancio le piattaforme sono X e, tramite Meta, le Pagine Facebook, Instagram e Threads. Le piattaforme sono destinatari che il cliente sceglie, indicati nell'Allegato II dell'accordo sul trattamento. Ciascuna tratta i dati come titolare autonomo, nel proprio rapporto con il cliente e secondo i propri termini. Questi flussi restano quindi fuori dall'impegno di residenza di questa dichiarazione.

Servizi che non trattano dati dei clienti

Questi servizi non sono sub-responsabili e non compaiono nell'elenco dei sub-responsabili.

Servizio	Cosa tratta	Perché non tratta dati dei clienti
Cloudflare	Solo i record DNS di socializza.com, senza proxy e senza firewall applicativo.	Il traffico dei clienti non passa da Cloudflare.
Tailscale	Il piano di controllo della rete privata tra i server di Socializza, con le chiavi e i metadati dei server, come nomi e indirizzi dei nodi.	Il piano di controllo scambia solo chiavi e metadati, e nessun contenuto dei clienti vi transita. ITALDRONI ha valutato il servizio rispetto all'impegno di proprietà europea e lo ha accettato. Il passo previsto è Headscale, ospitato nell'Unione.
GitHub	Codice sorgente, integrazione continua e immagini dei container.	I processi di compilazione non accedono ai dati dei clienti.
Codemagic	Compilazione delle app iOS e Android.	Compila il codice e non riceve dati dei clienti.

Canali esclusi al lancio

Le approvazioni via Telegram e WhatsApp non sono offerte al lancio e non compaiono in questa dichiarazione. Ogni canale aggiunto in seguito entra con il preavviso di 30 giorni dell'articolo 5.5 dell'accordo sul trattamento e porta una nuova riga nella tabella delle eccezioni.