Responsabili e sub-responsabili del trattamento
Fornitori di servizi terzi che trattano dati per nostro conto
Versione 1.5 · Ultimo aggiornamento: 17 agosto 2026
Versione giuridicamente vincolante
La versione tedesca del presente documento è giuridicamente vincolante. Le traduzioni in altre lingue sono fornite unicamente per comodità; in caso di conflitto o discrepanza prevale la versione tedesca.
Ai sensi dell’articolo 28 del GDPR e della Legge federale svizzera sulla protezione dei dati (LPD), rendiamo noti i fornitori terzi di cui CHW-Services GmbH si avvale per erogare il servizio preparAItor. Ogni fornitore è stato selezionato con cura ed è vincolato da un contratto di trattamento dei dati conforme ai nostri standard di sicurezza e conformità.
Questo elenco comprende sia responsabili del trattamento (quando agiamo come titolare per gli utenti finali) sia sub-responsabili del trattamento (quando agiamo come responsabile per clienti business con un accordo per il trattamento dei dati). Gli obblighi previsti dall’art. 28 GDPR e dall’art. 9 LPD si applicano in modo analogo in entrambi i casi.
| Sub-responsabile | Finalità | Categorie di dati | Ubicazione |
|---|---|---|---|
| Google LLC (Firebase) | Autenticazione, database (Firestore), archiviazione di file, App Check | Dati dell’account, contenuto del CV, documenti generati, dati di utilizzo | europe-west6 (Zurigo, Svizzera) |
| Google LLC (Vertex AI / Gemini) | Generazione di documenti tramite IA, analisi dei contenuti, grounding web per l’arricchimento aziendale, simulazione di colloqui (incluso il trattamento transitorio di dati audio durante le sessioni di colloquio vocale; le registrazioni vocali non vengono conservate, solo le trascrizioni cifrate). Google non utilizza i dati dei clienti per addestrare i propri modelli. | Contenuto del CV, offerte di lavoro, dati aziendali, audio del colloquio (transitorio) e trascrizioni | Unione europea — multiregione UE di Google Cloud (esclusivamente regioni situate in Stati membri dell’UE) |
| Google LLC (Cloud KMS) | Gestione delle chiavi di crittografia per la crittografia a livello di campo dei dati sensibili | Solo chiavi di crittografia (nessun dato personale) | europe-west6 (Zurigo, Svizzera) |
| Google LLC (Cloud Run) | Generazione di documenti PDF/DOCX ed elaborazioni onerose | Contenuti dei documenti durante la generazione | europe-west6 (Zurigo, Svizzera) |
| Google LLC (reCAPTCHA Enterprise) | Rilevamento di bot e prevenzione delle frodi tramite Firebase App Check su ogni richiesta API | Indirizzo IP, fingerprint del dispositivo, segnali di interazione | Infrastruttura globale — garanzie di trasferimento: DPA di Google Cloud con SCC |
| Stripe, Inc. | Elaborazione dei pagamenti per gli acquisti una tantum di crediti, gestione dei webhook | Dati di pagamento, indirizzo di fatturazione, ID cliente, metadati delle transazioni | Data center europei (primari), con fallback negli Stati Uniti |
| Resend (Resend, Inc.) | Invio di e-mail transazionali (conferma account, reimpostazione della password, notifiche di fatturazione, notifiche sui documenti pronti) | Indirizzo e-mail, nome visualizzato, contenuto dell’e-mail | Stati Uniti — garanzie di trasferimento: clausole contrattuali tipo per i trasferimenti da SEE, Regno Unito e Svizzera |
| Microsoft Corporation | Sincronizzazione dei file su OneDrive (facoltativa, solo se l’utente collega esplicitamente il proprio account OneDrive) | Documenti generati, token OAuth (crittografati) | Data center europei (primari) |
| Google LLC (Google Drive) | Sincronizzazione dei file su Google Drive (facoltativa, solo se l’utente collega esplicitamente il proprio account Google) | Documenti generati, token OAuth (crittografati) | Regione del Google Drive dell’utente — garanzie di trasferimento: DPA di Google Cloud con SCC |
| Cloudflare, Inc. | Rilevazione aggregata e senza cookie delle visite, esclusivamente sul nostro sito vetrina pubblico (preparaitor.ch) — visualizzazioni di pagina, siti di provenienza e Paese approssimativo. Non utilizza cookie statistici né identificatori client persistenti; non esegue fingerprinting né tracciamento da un sito all’altro. Non viene caricata dall’applicazione su app.preparaitor.ch. | Informazioni tecniche necessarie a gestire la richiesta, incluso l’indirizzo IP; indirizzo della pagina, sito di provenienza, Paese approssimativo, tipo di browser e di dispositivo | Stati Uniti — garanzie di trasferimento: certificazioni di Cloudflare nell’ambito del Data Privacy Framework, con le clausole contrattuali tipo in via subordinata |
| PostHog, Inc. | Misurazione di prodotto aggregata e senza cookie all’interno dell’applicazione (app.preparaitor.ch) — quante persone raggiungono ciascun passaggio, su quale tipo di dispositivo e da quale campagna. Non imposta cookie, non scrive nulla nella memoria del browser e non conserva alcun identificativo persistente; nessuna registrazione di sessione, nessuna profilazione, nessun tracciamento da un sito all’altro. Il conteggio si basa su un hash irreversibile calcolato sui server di PostHog con un segreto che cambia ogni giorno e viene poi cancellato. Mai collegata a un account: non vengono trasmessi nome, indirizzo e-mail, identificativo utente né contenuti di CV o di annunci. Disattivabile nelle Impostazioni. | Informazioni tecniche necessarie a elaborare la richiesta, compreso l’indirizzo IP (scartato una volta calcolato l’hash giornaliero, mai conservato); indirizzo della pagina, sito di provenienza, browser, sistema operativo, tipo di dispositivo e dimensioni dello schermo; lingua dell’interfaccia; parametri di campagna; nome del passaggio di prodotto raggiunto | Unione europea (Francoforte) — ospitato su PostHog Cloud EU. PostHog, Inc. è una società statunitense; garanzie di trasferimento: clausole contrattuali tipo ai sensi del suo accordo sul trattamento dei dati |
| Google LLC (Google Ads) | Misurazione delle conversioni pubblicitarie. Riguarda esclusivamente i visitatori che ci raggiungono facendo clic su uno dei nostri annunci Google. Google aggiunge un identificativo di clic all’indirizzo di atterraggio; se viene poi creato un account, conserviamo tale identificativo e comunichiamo successivamente a Google che si è verificata una registrazione e, in seguito, una prima generazione di documenti. La comunicazione avviene da server a server: non vengono utilizzati pixel pubblicitari, tag o cookie e nulla viene memorizzato o letto sul dispositivo del visitatore. | Identificativo di clic pubblicitario Google (GCLID/GBRAID/WBRAID) e parametri della campagna, unitamente al verificarsi, all’orario e al valore attribuito a un evento di conversione. Non vengono trasmessi nome, indirizzo e-mail, CV, dati delle offerte di lavoro né contenuti dell’account. | Stati Uniti — garanzie di trasferimento: Google LLC è certificata nell’ambito dell’EU-US Data Privacy Framework e delle relative estensioni svizzera e britannica, con le clausole contrattuali tipo in via subordinata |
Garanzie di trasferimento
- • Clausole contrattuali tipo (SCC) stipulate con tutti i fornitori, ove applicabile
- • Accordi sul trattamento dei dati (DPA) in essere con ogni fornitore
- • Crittografia in transito (HTTPS/TLS) e a riposo
- • Crittografia a livello di campo tramite Google Cloud KMS per i dati personali sensibili
- • Localizzazione dei dati nei data center europei ove tecnicamente fattibile
- • Audit periodici di sicurezza e conformità
- • Transfer Impact Assessment (TIA) per tutti i flussi transfrontalieri secondo i requisiti Schrems II
- • Nessuna analisi basata su cookie né tracciamento da un sito all’altro in uso (nessun Google Analytics, nessun SDK di tracciamento errori, nessun pixel marketing né tag pubblicitari). Esistono tre forme di rilevazione, nessuna delle quali memorizza o legge alcunché sul dispositivo del visitatore: un conteggio aggregato e senza cookie delle visite al nostro sito vetrina pubblico, che non identifica i visitatori né esegue fingerprinting; una misurazione di prodotto aggregata e senza cookie all’interno dell’applicazione, che non conserva alcun identificativo persistente, non è mai collegata a un account ed è disattivabile nelle Impostazioni; e una misurazione lato server delle conversioni pubblicitarie, che segnala una registrazione a Google Ads tramite l’identificativo di clic inserito da Google stessa nell’indirizzo di atterraggio, e soltanto per i visitatori giunti tramite uno dei nostri annunci
- • Conformità alla LPD svizzera e al GDPR dell’UE
Cronologia delle modifiche
- 17 agosto 2026—Versione 1.5 — Aggiunta di PostHog, Inc. come responsabile del trattamento per la misurazione di prodotto aggregata e senza cookie all’interno dell’applicazione, ospitata nell’Unione europea. La dichiarazione secondo cui nell’applicazione non viene svolta alcuna analisi è stata modificata di conseguenza; confermiamo tuttora che non è in uso alcuna analisi basata su cookie, su profili o su tracciamento da un sito all’altro, che a fini di misurazione nulla viene memorizzato o letto sul Suo dispositivo e che la misurazione è disattivabile nelle Impostazioni.
- 31 luglio 2026—Versione 1.4 — Aggiunta di Google LLC (Google Ads) come destinatario per la misurazione delle conversioni pubblicitarie. Quando un visitatore ci raggiunge facendo clic su uno dei nostri annunci Google, l’identificativo di clic inserito da Google nell’indirizzo di atterraggio viene conservato insieme all’account creato e segnalato a Google per registrare l’avvenuta registrazione. Non vengono introdotti pixel pubblicitari, tag o cookie e nulla viene memorizzato o letto sul dispositivo del visitatore; la segnalazione avviene da server a server e non contiene nome, indirizzo e-mail, CV, dati delle offerte di lavoro né contenuti dell’account. La dichiarazione sulle garanzie di trasferimento è stata modificata di conseguenza.
- 27 luglio 2026—Versione 1.3 — Postmark (AC PM LLC) è stata sostituita da Resend, Inc. come fornitore di e-mail transazionali. L’invio delle e-mail continua ad avvenire negli Stati Uniti; le categorie di dati trattati restano invariate. Resend, Inc. è certificata ai sensi dell’EU-US Data Privacy Framework e della relativa estensione per il Regno Unito; i trasferimenti dalla Svizzera e dal SEE sono inoltre tutelati da clausole contrattuali tipo.
- 21 luglio 2026—Versione 1.2 — Brevo SAS è stata sostituita da Postmark (AC PM LLC) come fornitore di e-mail transazionali; l’invio delle e-mail avviene ora negli Stati Uniti anziché nell’Unione Europea. Aggiunta di Cloudflare, Inc. come responsabile del trattamento per la rilevazione aggregata e senza cookie delle visite al nostro sito vetrina pubblico. La dichiarazione sulle garanzie di trasferimento è stata modificata di conseguenza: non indichiamo più che non viene utilizzato alcun servizio di analisi, ma confermiamo che non è in uso alcuna analisi basata su cookie né alcun tracciamento da un sito all’altro.
- 26 aprile 2026—Versione 1.1 — Chiarito il ruolo titolare vs. responsabile del trattamento. Specificato che i dati audio dei colloqui vocali sono trattati in modo transitorio da Vertex AI e non vengono conservati. Aggiunta dichiarazione esplicita che non vengono utilizzati servizi di analisi o telemetria.
- 10 aprile 2026—Versione 1.0 — Pubblicazione iniziale.
Per domande sui nostri responsabili e sub-responsabili, per richiedere un DPA o per opporsi alle modifiche, ci contatti all’indirizzo admin@preparaitor.ch.
Vedi anche: Politica sulla privacy · Termini di servizio