Cosa sono i sub-responsabili del trattamento?
I sub-responsabili del trattamento sono terze parti che trattano i dati personali per conto di Vytrix. Ai sensi del GDPR siamo obbligati a identificarli, a concludere con loro un accordo di trattamento (DPA) e ad apportare modifiche almeno a questo elenco 30 giorni prima della data di entrata in vigore annunciare.
Ti opponi a un nuovo sub-responsabile per motivi di protezione dei dati? Contattaci a privacy@vytrix.app prima della data di entrata in vigore.
Attuali sub-responsabili del trattamento (agosto 2026)
| Sub-responsabile del trattamento | Obiettivo | Posizione | Meccanismo di trasferimento |
|---|---|---|---|
| Supabase Inc. | Funzioni Edge di database, autenticazione, archiviazione e backend | Regione principale del progetto per database, autenticazione e archiviazione: UE (Irlanda - AWS eu-west-1); altri trattamenti secondo le condizioni Supabase | DPA + SCC |
| Servizi Web di Amazon (AWS) | Infrastruttura cloud (sub-responsabile di Supabase) | Progetto primario di infrastrutture UE (Irlanda); supporto e altri trattamenti secondo il Supabase DPA | Tramite Supabase DPA |
| Google Irlanda limitata (Firebase Crashlytics + Messaggistica cloud) | Segnalazione di arresti anomali e notifiche push | UE + transfrontaliero | DPF+ UE-USA Protezione della privacy di Google con SCC |
| RevenueCat Inc. | Gestione degli abbonamenti e diritti IAP | Stati Uniti | DPF+ UE-USA RevenueCat Protezione dei dati personali con SCC |
| Stripe Pagamenti Europa, Ltd. | Elaborazione dei pagamenti (pagamento web e pagamenti di affiliazione) | UE (Irlanda)/USA | DPF+ UE-USA Stripe Protezione dei dati personali con SCC |
| Google Cloud (Vertex AI) | AI Coach (chat) e analisi fotografica di pasti/prodotti | Multiregione dell’UE (eu) | Protezione della privacy di Google Cloud + elaborazione UE configurata |
| OpenAI | Leggere l'etichetta nutrizionale, gli ingredienti e le foto opzionali dei prodotti nello scanner delle etichette dei prodotti | Elaborazione internazionale | DPA + SCC ove applicabile |
| Apple Inc. (App Store, IAP, accedi con Apple) | Distribuzione e autenticazione delle app | USA/UE | DPF + Apple Contratto per gli sviluppatori |
| Google LLC (Google Play, Fatturazione Play, Accedi con Google) | Distribuzione e autenticazione delle app | USA/UE | DPF + Google Play Contratto di distribuzione per gli sviluppatori |
| Invia nuovamente (Plus Five Five, Inc.) | Conferma double opt-in e, solo dopo la conferma, scala gli aggiornamenti del prodotto | Stati Uniti (elaborazione e archiviazione primarie) | Invia nuovamente il DPA + DPF UE-USA + SCC |
| Vercel Inc. | Hosting del sito web, Vercel Analytics e Speed Insights | UE + infrastrutture internazionali | DPA + SCC ove applicabile |
| PostHog Inc. | Analisi facoltativa del prodotto del sito web, solo dopo esplicita autorizzazione | Endpoint cloud UE + fornitore di servizi internazionale | DPA + SCC ove applicabile |
Per ampliare l'interesse tramite l'app o il sito Web, Supabase memorizza l'indirizzo e-mail, il singolo prodotto, l'intento, l'origine, le impostazioni locali, il paese/regione facoltativo, la versione del consenso e i metadati di conferma, annullamento dell'iscrizione e accettazione del fornitore. Resend riceve solo ciò che è necessario per il destinatario, il contenuto dell'email e la consegna. I dati su allenamento, salute, alimentazione e ciclo non vengono inviati di nuovo. Solo i record con doppio consenso esplicito completati che non hanno annullato l'iscrizione potranno ricevere successivamente gli aggiornamenti del prodotto.
Quali dati vanno a quale sub-responsabile?
| Categoria | Supabase | Base di fuoco | RevenueCat | Vertex AI |
|---|---|---|---|---|
| Account (nome, email) | Sì | Solo ID, per push | Solo ID, diritti | No |
| Date della formazione | Sì | No | No | No |
| Date nutrizionali | Sì | No | No | Solo tramite AI fotografica |
| Sonno/corpo/frequenza cardiaca | Sì | No (escluso dalle chiavi Crashlytics) | No | Solo se richiesto dall'utente |
| Foto dei progressi | Sì (bucket privato) | No | No | No |
| Foto dei pasti/foto dei prodotti Vertex | No (a breve termine nella memoria) | No | No | Sì (di breve durata, non mantenuto - UE) |
| Ciclo mestruale | Sì (regione del progetto principale Irlanda) | No | No | No |
| Contenuti sociali | Sì | No | No | No |
| Registri degli arresti anomali (nessuna PII/nessuna integrità) | No | Sì | No | No |
| Dati transazionali dell'abbonamento | Stato dei diritti | No | Sì | No |
Al di fuori di questa matrice compatta, lo scanner delle etichette del prodotto può inviare a OpenAI le foto dell'etichetta, dell'elenco degli ingredienti e della parte anteriore della confezione, oltre a qualsiasi codice a barre e nome del prodotto esistente. Vercel elabora i dati relativi al traffico del sito Web e alle prestazioni tecniche. PostHog elabora gli eventi del sito Web cancellati solo dopo un'autorizzazione esplicita; Le query URL e gli snippet non sono inclusi e le pagine legali sono escluse.
Garanzie speciali per sub-responsabile
Supabase —Art. 9 dati sanitari
- Vytrix ha ottenuto/richiesto riconoscimento scritto del trattamento di cui all'art. I dati sanitari 9 rientrano nell'ambito concordato
- La regione principale del progetto per database, autenticazione e archiviazione è l'Irlanda (
eu-west-1). I backup, il supporto e altri trattamenti sono soggetti alle attuali condizioni del Supabase DPA e del sub-responsabile; questa non è una garanzia assoluta valida solo per l’UE.
Firebase Crashlytics: esclusione dei dati sanitari
- La raccolta IP è disabilitata
- Contiene chiavi e log personalizzati geen dati relativi all'allenamento personale, alla salute, all'alimentazione o al ciclo
- Solo campi tecnici (versione dell'app, versione del sistema operativo, modello del dispositivo) e user_id pseudonimizzato
RevenueCat — esclusione dell'art. 9
- Il DPA di RevenueCat vieta l'art. 9 dati
- Inviamo solo ID di attributo e dati transazionali; nessun collegamento ai dati sanitari o ai dati relativi al ciclo
Google Vertex AI: residenza nell'UE + striscia di metadati
- Elaborazione tramite la multiregione dell'UE
eu; Vertex AI non utilizza prompt o immagini per l'addestramento del modello - I metadati EXIF vengono rimossi dalle foto prima del caricamento
- Nessun identificatore di account o indirizzo email nei messaggi
- Foto-AI ha un flag kill switch per la disabilitazione globale
OpenAI: scanner di etichette di prodotti
- Per questa scansione vengono inviate solo le foto del prodotto e il contesto necessario scelto dall'utente (possibilmente codice a barre e nome del prodotto esistente); nessun ID account o indirizzo email.
- Il trattamento internazionale è soggetto al DPA applicabile e alle garanzie di trasferimento successivo.
Vercel e PostHog — sito web
- Vercel fornisce hosting di siti Web e statistiche web tecniche senza cookie; Le query URL e gli snippet vengono rimossi.
- PostHog viene caricato solo dopo un'autorizzazione esplicita. DNT e Global Privacy Control valgono come rifiuto; le pagine legali non utilizzano PostHog.
Reinvia: date di posta minime e trasferimento negli Stati Uniti
- L'elaborazione e l'archiviazione primaria hanno luogo negli Stati Uniti; una regione di spedizione europea non cambia il luogo di stoccaggio.
- I trasferimenti si basano su Resend DPA, DPF e SCC.
- Solo i record confermati con doppio consenso esplicito e non sottoscritti possono ricevere aggiornamenti. Ogni aggiornamento contiene un link personale di cancellazione che revoca immediatamente il consenso; La nuova registrazione richiede un nuovo double opt-in.
Come gestiamo i cambiamenti?
- Nuovo sub-responsabile: pubblicazione con almeno 30 giorni prima su questa pagina + notifica via email agli utenti registrati.
- Obiezione: via privacy@vytrix.app. In caso di contestazione fondata cercheremo un'alternativa; Se il problema persiste, puoi cancellare il tuo account con il rimborso delle quote di abbonamento prepagate.
- Cambio di ubicazione o meccanismo di trasferimento: pubblicazione + e-mail.
- Rimozione di un subresponsabile del trattamento: pubblicazione; i dati verranno cancellati o restituiti dal responsabile del trattamento entro 90 giorni.
Contatto
Domande sui sub-responsabili del trattamento? privacy@vytrix.app