Fornitori e Subprocessor

I nostri impegni di trasparenza

Quando aggiungiamo, sostituiamo o rimuoviamo un fornitore aggiorniamo questa pagina, riportiamo la modifica nel changelog in fondo e, se la modifica è sostanziale, te ne diamo comunicazione proattiva via email e tramite avviso nell’applicazione.

Per «sostanziale» intendiamo: cambio del paese di trattamento, cambio della categoria di servizio, ingresso di un nuovo fornitore extra-SEE, sostituzione del Merchant of Record dei pagamenti, sostituzione del fornitore di intelligenza artificiale che alimenta MINA.

I fornitori a cui affidiamo trattamenti di dati sono vincolati da un accordo scritto che li obbliga a:

• trattare i dati personali esclusivamente per le finalità che gli abbiamo affidato;
• applicare misure tecniche e organizzative di sicurezza adeguate;
• notificarci tempestivamente in caso di violazione di dati;
• non utilizzare i dati per finalità proprie, salvo le statistiche operative aggregate strettamente necessarie all’erogazione del servizio.

Legenda delle garanzie di trasferimento

• UE / SEE — il fornitore è stabilito nello Spazio Economico Europeo e i dati restano in giurisdizione SEE. Nessuna garanzia aggiuntiva richiesta.
• UK — il fornitore è stabilito nel Regno Unito. Il trasferimento è coperto dalla decisione di adeguatezza della Commissione Europea del 28 giugno 2021.
• DPF + SCC — il fornitore è stabilito negli Stati Uniti d’America. Applichiamo le Clausole Contrattuali Standard 2021/914/UE; laddove il fornitore aderisce all’EU-U.S. Data Privacy Framework, beneficiamo anche della decisione di adeguatezza del 10 luglio 2023.

Elenco dei fornitori

Infrastruttura, hosting e CDN

Fornitore	Categoria	Paese	Trasferimento
Hetzner Online GmbH	Hosting dei server applicativi, dei database (MariaDB) e di Redis. È l’infrastruttura su cui gira MINOMO.	Germania (Norimberga / Falkenstein)	UE / SEE
Amazon Web Services EMEA SARL — Amazon S3	Copie di sicurezza dei database: dump completo ogni notte e copie incrementali ogni 15 minuti. Le copie complete sono conservate 14 giorni.	Germania (Francoforte)	UE / SEE: dati nel SEE
Cloudflare, Inc.	Content Delivery Network (CDN), DNS, protezione anti-DDoS, Web Application Firewall, Turnstile (verifica anti-bot sostitutiva di reCAPTCHA) e R2 object storage per le immagini caricate (servite su cdn.minomo.io). Per le pagine dei Comuni pubblicate sui domini dei Comuni, emissione del certificato di sicurezza e instradamento del traffico (Cloudflare for SaaS e Workers). Su parte del sito un Worker Cloudflare serve lo script delle statistiche Matomo.	Stati Uniti d’America (con presenza edge nello SEE)	DPF + SCC

Comunicazioni email

Fornitore	Categoria	Paese	Trasferimento
vhosting solutions S.r.l. (vhosting cloud)	Server SMTP per il trasporto delle email transazionali (codici di accesso, conferme di iscrizione, ricevute, notifiche di sistema). Endpoint: mx1.vhostingcloud.com.	Italia (Salerno)	UE / SEE

Notifiche push

Fornitore	Categoria	Paese	Trasferimento
Google LLC — Firebase Cloud Messaging (FCM)	Gateway di consegna delle notifiche push ai dispositivi Android e, tramite il relay FCM, ai dispositivi iOS. Riceve il token del dispositivo e il titolo e il testo della notifica.	Stati Uniti d’America	DPF + SCC
Apple Inc. — Apple Push Notification service (APNs)	Consegna finale delle notifiche ai dispositivi iOS, ricevute da FCM. Riceve il token del dispositivo e il contenuto della notifica.	Stati Uniti d’America (con infrastruttura europea)	DPF + SCC

Per la versione web dell’app usiamo lo standard Web Push con chiavi VAPID gestite da AVi Kairos Srl: il contenuto è cifrato con le chiavi del browser dell’utente e transita dal servizio push del produttore del browser, che non può leggerlo.

Intelligenza artificiale

Fornitore	Categoria	Paese	Trasferimento
Anthropic, PBC	Modelli di intelligenza artificiale generativa usati per: MINA, il nostro assistente conversazionale (domande, preferenze e, se scegli di partire da dove sei, coordinate di partenza); la verifica automatica del testo delle segnalazioni civiche (solo testo e categoria, senza dati dell’autore); la lettura delle fonti di eventi indicate dai City Agent; l’arricchimento delle descrizioni dei commercianti a partire da fonti pubbliche sul web; l’assistenza alla compilazione della scheda del commerciante in fase di registrazione.	Stati Uniti d’America	DPF + SCC

Pagamenti

Fornitore	Categoria	Paese	Trasferimento
Paddle.com Market Ltd	Processore di pagamento che agisce come Merchant of Record per le ricariche del wallet MINOMO e per l’acquisto di crediti di intelligenza artificiale da parte dei City Agent. Gestisce direttamente IVA UE, fatturazione e rimborsi. Le credenziali di pagamento (numero di carta, ecc.) sono trattate esclusivamente da Paddle, secondo gli standard PCI-DSS: MINOMO non vede né conserva i dati della carta.	Regno Unito (Londra)	UK

Autenticazione tramite social («Accedi con…»)

Questi fornitori sono coinvolti soltanto se l’utente sceglie di accedere a MINOMO usando un’identità esistente di terze parti. Lo script di Google si carica solo quando scegli di accedere con Google. Se accedi con il codice monouso via email, nessuno di questi fornitori viene coinvolto.

Fornitore	Categoria	Paese	Trasferimento
Google LLC — Google Sign-In (Google Identity Services)	«Accedi con Google» su web, Android e iOS. Riceviamo nome, email verificata, identificativo Google dell’utente e l’indirizzo della sua foto del profilo Google, che salviamo nel profilo.	Stati Uniti d’America	DPF + SCC
Apple Inc. — Sign in with Apple	«Accedi con Apple». Riceviamo identificativo univoco e, opzionalmente, email (anche in forma di alias privato fornito da Apple).	Stati Uniti d’America (con infrastruttura europea)	DPF + SCC

Mappe e servizi geografici

Fornitore	Categoria	Paese	Trasferimento
Google LLC — Geocoding API	Conversione in coordinate degli indirizzi di commercianti e luoghi inseriti dai pannelli. Non riceve dati dei cittadini.	Stati Uniti d’America	DPF + SCC

Servizi di terzi contattati dal tuo dispositivo

Questi servizi non sono fornitori a cui affidiamo il trattamento dei tuoi dati: sono servizi che il tuo browser o la tua app contatta direttamente quando usi la funzione corrispondente, e che quindi ricevono il tuo indirizzo IP e il tipo di browser. Non ricevono il tuo nome né il tuo account. Per sede e garanzie applicate a ciascuno puoi scrivere a [email protected].

• InfoPilot (it.infopilot.ai) — assistente di chat basato su intelligenza artificiale sul sito minomo.io. Lo script si carica solo quando clicchi sul pulsante della chat; riceve ciò che scrivi nella chat. Nel pannello dei commercianti lo stesso assistente, spento di default e dove è acceso, riceve anche l’identificativo, l’email e la ragione sociale del commerciante. Per la chat vale anche l’informativa del fornitore.
• CARTO e OpenStreetMap Foundation (Regno Unito) — immagini delle mappe nell’app e nelle pagine pubbliche. Ricevono l’area di mappa visualizzata, che può essere centrata sulla tua posizione. Sulle pagine dei Comuni le immagini delle mappe sono caricate solo quando ci sono segnalazioni da mostrare.
• OpenStreetMap Nominatim (OpenStreetMap Foundation, Regno Unito) — ricava il nome della tua località dalle coordinate nella pagina eventi; riceve le tue coordinate.
• OSRM — calcolo del percorso a piedi dei giri MINA; riceve le coordinate di partenza e delle tappe.
• Open-Meteo — meteo della città mostrato in home; riceve le coordinate della città, non le tue.
• api.qrserver.com — genera l’immagine del codice QR della tessera fedeltà; riceve il valore del codice.
• unpkg.com — libreria di mappe Leaflet sulle schermate dell’app che mostrano una mappa interattiva (le pagine dei Comuni e le pagine pubbliche dei commercianti la ricevono invece dai server di MINOMO).

Build delle applicazioni native

Fornitore	Categoria	Paese	Trasferimento
Nevercode Ltd — Codemagic	Piattaforma di continuous integration per la compilazione, la firma e la distribuzione delle applicazioni iOS e Android di MINOMO verso App Store e Google Play. Codemagic accede al codice sorgente delle app, non a dati personali degli utenti finali.	Estonia	UE / SEE

Cosa NON utilizziamo (e perché te lo diciamo)

Per riferimento esplicito e per chiarezza, su MINOMO non sono presenti i seguenti servizi di terze parti che si trovano comunemente su piattaforme analoghe:

• Google Analytics, Google Tag Manager;
• Google Fonts: i caratteri tipografici sono serviti da MINOMO;
• Meta Pixel, Facebook Conversions API;
• LinkedIn Insight Tag;
• TikTok Pixel;
• Hotjar, Mixpanel, FullStory, LogRocket o altri strumenti di session replay;
• OneSignal, Pushwoosh o altri provider commerciali di push notification (le gestiamo internamente);
• data broker, exchange pubblicitari, ad-tech di alcun tipo;
• Stripe, PayPal o altri payment processor diversi da Paddle.

Se in futuro avremo necessità di introdurre uno di questi strumenti — o uno equivalente — lo aggiungeremo a questa pagina con anticipo, motivando la scelta.

Documenti contrattuali su richiesta

Su domanda formale puoi richiedere informazioni sulle garanzie che applichiamo a un determinato fornitore extra-SEE, comprese le Clausole Contrattuali Standard 2021/914/UE dove stipulate. Le richieste vanno indirizzate a [email protected].

I commercianti che operano sulla piattaforma MINOMO e che, per loro conto, ci affidano trattamenti di dati personali (tipicamente: gestione di segmenti di follower per l’invio di notifiche) possono richiedere un Addendum sul Trattamento dei Dati (DPA) dedicato. Lo trovi alla pagina /legal/dpa/.

Storico delle modifiche

Versione	Data	Modifica
1.2	7 ottobre 2026	Aggiunti: Anthropic per gli usi diversi da MINA, Google Geocoding, Google Sign-In, servizi di mappe e di terzi contattati dal dispositivo (CARTO, OpenStreetMap, Nominatim, OSRM, Open-Meteo, api.qrserver.com, unpkg), chat InfoPilot, Cloudflare Workers e for SaaS per le pagine dei Comuni; Paddle anche per i crediti dei City Agent. Tolto Google Fonts, ora servito da MINOMO. Corretta la descrizione del Web Push. Aggiunti il fornitore delle copie di sicurezza dei database (Amazon Web Services EMEA SARL), la foto del profilo Google, il Worker Cloudflare per Matomo e il dettaglio di InfoPilot nel pannello dei commercianti.
1.1	11 giugno 2026	Rimosso il login con Facebook (Meta Platforms, Inc.): non è più un metodo di accesso supportato da MINOMO.
1.0	15 maggio 2026	Prima pubblicazione: elenco completo dei fornitori MINOMO in accompagnamento alla nuova Informativa sulla Privacy v3.0.

Contatti

Per domande, richieste di documenti o segnalazioni relative a questa pagina: [email protected].