English
Italiano
Español
Français
Deutsch
Português
ไทย
日本語
Ultimo aggiornamento: 25 ottobre 2026 (versione 1.1).
1. Finalità
Il presente documento identifica i sub-responsabili del trattamento terzi incaricati da GlobeID Limited
(“GlobeID”) di trattare Dati Personali per conto dei Clienti in relazione ai
servizi PassportScan Cloud, in conformità all'articolo 28, paragrafi 2 e 4, del GDPR.
Il presente Elenco dei Sub-responsabili costituisce parte integrante dell'Accordo sul Trattamento dei Dati (DPA).
2. Principi generali
- I sub-responsabili vengono incaricati solo ove strettamente necessario alla fornitura dei Servizi
- Tutti i sub-responsabili sono vincolati da accordi scritti in materia di protezione dei dati che impongono obblighi non meno protettivi di quelli previsti dal DPA
- GlobeID rimane pienamente responsabile degli atti e delle omissioni dei propri sub-responsabili in conformità all'articolo 28, paragrafo 4, del GDPR
- I database principali della piattaforma sono ospitati esclusivamente all'interno dell'Unione Europea (AWS eu-west-1 – Irlanda)
- Ove sia attivata l'archiviazione S3 regionale, le immagini dei documenti vengono conservate nella regione AWS corrispondente alla giurisdizione operativa dell'hotel
- Non è configurata alcuna replica inter-regionale dei database principali
- PassportScan Cloud non gestisce un Cardholder Data Environment (CDE)
3. Sub-responsabili autorizzati (tabella unificata)
| Sub-responsabile | Categoria di servizio | Finalità / Funzione | Categorie di dati trattati | Luogo del trattamento |
|---|---|---|---|---|
| Amazon Web Services, Inc. (AWS) | Infrastruttura cloud e hosting | Hosting dei servizi applicativi, database, archiviazione crittografata di oggetti (S3), backup, sicurezza dell'infrastruttura | Dati identificativi, dati di prenotazione, log, immagini dei documenti (ove abilitato) | Core: UE (Irlanda – eu-west-1). S3: regione allineata alla giurisdizione dell'hotel — attualmente UE (Irlanda), Stati Uniti (us-east-1), Brasile (sa-east-1), Singapore (ap-southeast-1) e Australia (ap-southeast-2) |
| Clerk, Inc. | Identità e autenticazione | Autenticazione degli utenti, verifica dell'identità, gestione del ciclo di vita delle sessioni | Indirizzo e-mail, indirizzo IP, metadati del dispositivo, token di sessione | Come indicato nella documentazione di Clerk |
| Datadog, Inc. | Logging e monitoraggio | Monitoraggio dell'infrastruttura, monitoraggio delle prestazioni applicative, registrazione di sicurezza, rilevamento di anomalie | Log applicativi e dell'infrastruttura: metadati delle richieste e, ove acquisiti, contenuto di richieste e risposte; indirizzi IP; eventi di autenticazione; diagnostica tecnica. I dati personali e i segreti vengono mascherati nei servizi prima dell'invio dei log a Datadog | UE (sito Datadog EU – datadoghq.eu) |
| Google LLC (reCAPTCHA Enterprise) | Protezione da bot e prevenzione degli abusi | Protezione da bot e abusi per l'applicazione di self-check-in rivolta agli ospiti | Indirizzi IP degli ospiti, segnali del dispositivo e del browser | Come indicato da Google |
| Google LLC (Google Workspace) | Comunicazioni aziendali | E-mail e documenti utilizzati per la corrispondenza di assistenza clienti; eventuali Dati Personali del Cliente sono accessori a tale corrispondenza | Dati di contatto e contenuto della corrispondenza di assistenza (accessori) | Come indicato da Google |
| Stripe, Inc. | Elaborazione dei pagamenti | Transazioni di acquisto di crediti e attivazione dell'account | Trattati da Stripe: dati delle carte di pagamento, dati di fatturazione, identificativi delle transazioni. Ricevuti da PassportScan Cloud: ID transazione, stato del pagamento, importo, valuta, e-mail di fatturazione (se fornita) | Come indicato nella documentazione di Stripe |
4. Esclusioni esplicite
- L'OCR dei documenti di identità viene eseguito da un motore gestito interamente all'interno dell'ambiente AWS di GlobeID: le immagini dei documenti non vengono mai inviate a un fornitore OCR esterno
- Gli strumenti interni gestiti da GlobeID (piattaforma operativa, CI/CD, VPN) non costituiscono sub-responsabili terzi; l'hosting sottostante è coperto dalla voce AWS di cui sopra
- Gli strumenti di sviluppo software utilizzati internamente, compresi gli strumenti di sviluppo assistiti da IA, non hanno accesso ai Dati Personali del Cliente e pertanto non costituiscono sub-responsabili
- Gli ambienti di sviluppo e di test non contengono Dati Personali del Cliente
- Nessun sub-responsabile, ad eccezione di AWS, che in qualità di fornitore di hosting gestisce la crittografia lato server dei dati a riposo, ha accesso ai dati dei documenti di identità
- PassportScan Cloud non conserva né tratta numeri di carte di pagamento in chiaro, codici CVV o date di scadenza
- Stripe tratta i dati dei titolari di carta all'interno della propria infrastruttura conforme allo standard PCI-DSS
- Non è attiva alcuna replica inter-regionale dei database di produzione primari
5. Trasferimenti internazionali di dati
Ove i sub-responsabili trattino dati al di fuori dello Spazio Economico Europeo (SEE),
GlobeID garantisce l'adozione di garanzie adeguate, incluse le Clausole
Contrattuali Tipo (SCC) o altri meccanismi di trasferimento leciti in conformità al Capo V del GDPR.
Per l'archiviazione S3 regionale al di fuori del SEE, i trasferimenti si basano sull'AWS Data Processing Addendum e sulle SCC applicabili.
6. Aggiornamenti e Notifiche
GlobeID può aggiornare di volta in volta il presente Elenco dei Sub-responsabili.
In conformità all'Articolo 28, paragrafo 2, del GDPR e al meccanismo di notifica e al periodo di preavviso stabiliti nel DPA, GlobeID informerà preventivamente i Clienti di qualsiasi aggiunta o sostituzione prevista di sub-responsabili, dando ai Clienti la possibilità di opporsi, e pubblicherà un Elenco dei Sub-responsabili aggiornato.
Ove richiesto dalla legge applicabile o dal DPA, i Clienti possono opporsi in conformità alla procedura contrattuale stabilita nel DPA.
La versione più recente del presente documento sarà sempre pubblicata con la data di aggiornamento.
