Elenco dei sub-responsabili del trattamento di Orderlion

Nota: la versione inglese di questo documento è la versione facente fede. Questa versione italiana è una traduzione automatica fornita esclusivamente per facilitarne la comprensione.

Orderlion GmbH, Himmelpfortgasse 17/7, 1010 Vienna, Austria Contatto per la protezione dei dati: privacy@orderlion.com

La presente pagina elenca i sub-responsabili del trattamento di cui Orderlion si avvale per trattare dati personali per conto dei propri clienti ai sensi dell'accordo sul trattamento dei dati. Essa corrisponde all'Allegato 2 di tale accordo.

I fornitori utilizzati esclusivamente per le operazioni interne proprie di Orderlion non sono sub-responsabili del trattamento ai sensi dell'accordo sul trattamento dei dati e non sono elencati qui.

Ove un middleware di integrazione o un fornitore EDI sia contrattualizzato dal cliente anziché da Orderlion, tale fornitore è il responsabile del trattamento proprio del cliente e non compare in questo elenco. Ove sia Orderlion a contrattualizzarlo, esso è elencato e contrassegnato come applicabile solo agli account la cui integrazione lo utilizza.

Informiamo i clienti di qualsiasi aggiunta o sostituzione prevista di un sub-responsabile del trattamento almeno 30 giorni prima del suo incarico, mediante email al contatto designato dal cliente e mediante aggiornamento della presente pagina. La Sezione 6 dell'accordo sul trattamento dei dati disciplina la procedura di preavviso e opposizione.

Sub-responsabili del trattamento attuali

Amazon Web Services

Entità giuridica e sede legale: Amazon Web Services EMEA SARL, 38 Avenue John F. Kennedy, L-1855 Luxembourg
Ruolo e finalità: Hosting di tutti i sistemi di produzione; email in entrata e in uscita tramite AWS SES; erogazione di modelli di IA ospitati nell'UE tramite AWS Bedrock
Luogo del trattamento: UE (Francoforte, eu-central-1)
Meccanismo di trasferimento: EU-US Data Privacy Framework, clausole contrattuali tipo come soluzione di ripiego
Conservazione presso il sub-responsabile del trattamento: Controllata da Orderlion; i dati persistono fino alla cancellazione su istruzione, nessuna conservazione autonoma dei contenuti

MongoDB Atlas

Entità giuridica e sede legale: MongoDB Limited, Building 2, Number One Ballsbridge, Shelbourne Road, Ballsbridge, Dublin 4, Ireland
Ruolo e finalità: Gestione del database applicativo
Luogo del trattamento: UE (AWS Francoforte)
Meccanismo di trasferimento: EU-US Data Privacy Framework, clausole contrattuali tipo come soluzione di ripiego
Conservazione presso il sub-responsabile del trattamento: Controllata da Orderlion; le istantanee di backup scadono secondo il calendario configurato

Anthropic

Entità giuridica e sede legale: Anthropic PBC, 548 Market Street, PMB 90375, San Francisco, CA 94104, USA
Ruolo e finalità: Fornitore di modelli linguistici di grandi dimensioni per l'estrazione degli ordini Inbox e le funzionalità di assistente IA
Luogo del trattamento: Stati Uniti per impostazione predefinita. Ove il cliente attivi l'opzione esclusivamente UE, il trattamento avviene esclusivamente tramite AWS Bedrock nell'UE (Francoforte) e non si verifica alcun trasferimento.
Meccanismo di trasferimento: EU-US Data Privacy Framework, clausole contrattuali tipo come soluzione di ripiego. Non applicabile ove sia attiva l'opzione esclusivamente UE.
Conservazione presso il sub-responsabile del trattamento: Input e output delle API cancellati entro 30 giorni. I contenuti segnalati dai sistemi automatizzati antiabuso sono conservati fino a 2 anni, i punteggi di classificazione fino a 7 anni. Con l'opzione UE, la conservazione segue la configurazione di Bedrock.

OpenAI

Entità giuridica e sede legale: OpenAI Ireland Ltd, company registration 737350, 1st Floor, The Liffey Trust Centre, 117-126 Sheriff Street Upper, Dublin 1, D01 YC43, Ireland
Ruolo e finalità: Fornitore di modelli linguistici di grandi dimensioni per l'estrazione degli ordini Inbox e le funzionalità di assistente IA. Non utilizzato per gli account con opzione esclusivamente UE.
Luogo del trattamento: Stati Uniti
Meccanismo di trasferimento: EU-US Data Privacy Framework, clausole contrattuali tipo come soluzione di ripiego
Conservazione presso il sub-responsabile del trattamento: Input e output delle API conservati fino a 30 giorni per il monitoraggio degli abusi, poi cancellati

Microsoft Azure

Entità giuridica e sede legale: Microsoft Ireland Operations Limited, One Microsoft Place, South County Business Park, Leopardstown, Dublin 18, D18 P521, Ireland
Ruolo e finalità: Azure OpenAI Whisper speech-to-text, per la trascrizione dei messaggi vocali dell'Inbox prima dell'estrazione
Luogo del trattamento: UE
Meccanismo di trasferimento: Entità UE, nessun trasferimento verso paesi terzi
Conservazione presso il sub-responsabile del trattamento: Il monitoraggio degli abusi è attivo per impostazione predefinita e non può essere disattivato nel piano di Orderlion. Un campione di dati audio e le corrispondenti trascrizioni sono conservati fino a 30 giorni in un archivio isolato accessibile solo a revisori Microsoft autorizzati, e sono poi cancellati.

Mailgun

Entità giuridica e sede legale: Mailgun Technologies, Inc. (Sinch group), 112 E Pecan St, Suite 1135, San Antonio, TX 78205, USA
Ruolo e finalità: Ricezione delle email di ordine in entrata e invio delle email transazionali in uscita
Luogo del trattamento: UE (regione UE di Mailgun)
Meccanismo di trasferimento: EU-US Data Privacy Framework, clausole contrattuali tipo come soluzione di ripiego. I dati sono conservati nell'UE, ma l'entità contraente è una società statunitense, pertanto il meccanismo è mantenuto anziché indicare "nessun trasferimento".
Conservazione presso il sub-responsabile del trattamento: Corpi dei messaggi fino a 30 giorni; dati di eventi e log fino a 30 giorni

Google Firebase

Entità giuridica e sede legale: Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Ireland
Ruolo e finalità: Notifiche push mobili per l'app Orderlion e le app white-label
Luogo del trattamento: Al di fuori dell'UE (USA)
Meccanismo di trasferimento: EU-US Data Privacy Framework, clausole contrattuali tipo come soluzione di ripiego
Conservazione presso il sub-responsabile del trattamento: I messaggi push non consegnati scadono dopo un tempo di vita massimo di 4 settimane; i messaggi consegnati non sono conservati

ONLINECITY.IO (GatewayAPI)

Entità giuridica e sede legale: ONLINECITY.IO ApS, Buchwaldsgade 50, 5000 Odense C, Denmark
Ruolo e finalità: Invio di messaggi SMS: inviti agli utenti acquirenti attivati dal cliente, contenenti il link di invito, il codice di invito e il nome del cliente
Luogo del trattamento: UE (Danimarca)
Meccanismo di trasferimento: Entità UE, nessun trasferimento verso paesi terzi
Conservazione presso il sub-responsabile del trattamento: Numeri del destinatario e del mittente, contenuto del messaggio e metadati di consegna conservati per un massimo di 30 giorni, poi eliminati o anonimizzati irreversibilmente in modo automatico

Stripe

Entità giuridica e sede legale: Stripe Payments Europe, Limited, 1 Grand Canal Street Lower, Grand Canal Dock, Dublin 2, D02 H210, Ireland
Ruolo e finalità: Elaborazione dei pagamenti degli ordini effettuati sulla piattaforma. Stripe agisce in parte come responsabile del trattamento di Orderlion e in parte come titolare del trattamento autonomo ai fini della prevenzione delle frodi e della regolamentazione dei servizi finanziari.
Luogo del trattamento: Al di fuori dell'UE (USA)
Meccanismo di trasferimento: EU-US Data Privacy Framework, clausole contrattuali tipo come soluzione di ripiego
Conservazione presso il sub-responsabile del trattamento: I registri delle transazioni sono conservati per i periodi prescritti dalla regolamentazione in materia di servizi finanziari, antiriciclaggio e contrasto al finanziamento del terrorismo

Zendesk

Entità giuridica e sede legale: Zendesk International Limited, 55 Charlemont Place, Saint Kevin's, Dublin 2, D02 F002, Ireland
Ruolo e finalità: Piattaforma di ticketing per le richieste di assistenza, che possono contenere dati personali dei clienti
Luogo del trattamento: UE
Meccanismo di trasferimento: EU-US Data Privacy Framework, clausole contrattuali tipo come soluzione di ripiego
Conservazione presso il sub-responsabile del trattamento: Ticket archiviati 120 giorni dopo la chiusura; cancellazione definitiva 3 anni dopo la chiusura

Aircall

Entità giuridica e sede legale: Aircall SAS, 11-15 rue Saint Georges, 75009 Paris, France
Ruolo e finalità: Piattaforma di telefonia per le chiamate di assistenza e commerciali e per gli SMS
Luogo del trattamento: UE
Meccanismo di trasferimento: Entità UE, nessun trasferimento verso paesi terzi
Conservazione presso il sub-responsabile del trattamento: Contenuti cancellati mediante eliminazione trimestrale programmata con soglia a 90 giorni, con un'età massima di poco inferiore a 6 mesi. Aircall conserva i dati per un massimo di 30 giorni dopo la cessazione dell'account.

Datadog

Entità giuridica e sede legale: Datadog, Inc., 620 8th Avenue, 45th Floor, New York, NY 10018, USA
Ruolo e finalità: Monitoraggio dell'infrastruttura e delle applicazioni e tracciamento degli errori
Luogo del trattamento: UE (sito datadoghq.eu)
Meccanismo di trasferimento: EU-US Data Privacy Framework, clausole contrattuali tipo come soluzione di ripiego
Conservazione presso il sub-responsabile del trattamento: Log conservati 14 giorni secondo la configurazione di Orderlion

Sentry

Entità giuridica e sede legale: Functional Software, Inc. dba Sentry, 45 Fremont Street, 8th Floor, San Francisco, CA 94105, USA
Ruolo e finalità: Tracciamento degli errori lato client
Luogo del trattamento: Al di fuori dell'UE (USA)
Meccanismo di trasferimento: EU-US Data Privacy Framework, clausole contrattuali tipo come soluzione di ripiego
Conservazione presso il sub-responsabile del trattamento: Eventi di errore conservati da 30 a 90 giorni a seconda del tipo di dato

Mixpanel

Entità giuridica e sede legale: Mixpanel, Inc., One Front Street, 28th Floor, San Francisco, CA 94111, USA
Ruolo e finalità: Analisi di prodotto su eventi di utilizzo della piattaforma pseudonimizzati. Solo un identificativo utente pseudonimo, l'utilizzo delle funzionalità e le informazioni sul dispositivo; non sono trasmessi nomi, dati di contatto o contenuti degli ordini.
Luogo del trattamento: Al di fuori dell'UE (USA)
Meccanismo di trasferimento: EU-US Data Privacy Framework, clausole contrattuali tipo come soluzione di ripiego
Conservazione presso il sub-responsabile del trattamento: Conservazione dei dati di evento configurata a 2 anni, trascorsi i quali i dati sono cancellati o anonimizzati

Cronologia delle modifiche

Nessuna modifica dalla prima pubblicazione del presente elenco il 17 agosto 2026.

Le aggiunte e le rimozioni saranno registrate qui con le relative date.

Domande sul presente elenco: privacy@orderlion.com

‍