ELENCO SUB-PROCESSOR

Fornitori terzi che trattano Dati Personali per conto di Nagevo

Nagevo

Ultimo aggiornamento: 11 ottobre 2026

1. Premessa

Nel rispetto degli obblighi di trasparenza imposti dall'art. 28 del Regolamento (UE) 2016/679 (GDPR) e dall'art. 9 della Legge federale svizzera sulla protezione dei dati (nLPD), Nagevo pubblica l'elenco aggiornato dei Sub-processor utilizzati per l'erogazione del Servizio.

I Sub-processor sono fornitori terzi che trattano Dati Personali per conto di Nagevo e, indirettamente, del Cliente (l'Hotel), in qualità di Responsabili del trattamento di secondo livello. Per il quadro contrattuale di riferimento si rimanda al Data Processing Agreement (DPA) disponibile su nagevo.com/dpa.

Al momento della sottoscrizione del DPA, il Cliente conferisce a Nagevo un'autorizzazione generale all'utilizzo dei Sub-processor elencati nel presente documento e alla loro sostituzione o integrazione. Nagevo si impegna a notificare al Cliente ogni modifica sostanziale all'elenco con almeno 30 giorni di preavviso, tramite email o avviso nel pannello di controllo, riconoscendo al Cliente il diritto di opposizione motivata.

2. Classificazione dei Sub-processor

I Sub-processor di Nagevo sono raggruppati nelle seguenti categorie funzionali:

Infrastruttura e sviluppo: fornitori di hosting, database, CDN, storage e strumenti di sviluppo necessari al funzionamento del Servizio.
Pagamenti: elaboratori di pagamenti che gestiscono il flusso denaro Cliente→Nagevo e Ospite→Hotel.
Distribuzione: fornitori che collegano il gestionale ai portali di prenotazione (OTA), sincronizzando disponibilità e tariffe e trasmettendo le prenotazioni ricevute dai portali.
Comunicazioni: fornitori di servizi email transazionali e di posta elettronica aziendale.
Analytics: strumenti di analisi dell'utilizzo del Servizio e del sito (solo con consenso dell'utente).
Marketing e pubblicità: piattaforme utilizzate per campagne pubblicitarie e retargeting (solo previo consenso dell'utente).

3. Elenco riepilogativo

Segue una vista d'insieme di tutti i Sub-processor attualmente in uso. Il dettaglio completo per ciascun fornitore è nella sezione successiva.

Fornitore	Finalità	Categoria	Sede
Supabase	Database, autenticazione, storage	Infrastruttura	USA / UE
Vercel	Hosting applicazione web	Infrastruttura	Globale
Cloudflare	CDN, R2 object storage, sicurezza	Infrastruttura	Globale
Stripe	Elaborazione pagamenti, Connect	Pagamenti	Irlanda / USA
Channex	Channel manager, distribuzione OTA	Distribuzione	Regno Unito / UE
Resend	Email transazionali	Comunicazioni	USA
Google Workspace	Email aziendale e comunicazioni business	Comunicazioni	Irlanda / USA
Google Analytics 4	Analisi del traffico web (browser + server-side)	Analytics	Irlanda / USA
Meta (Facebook/Instagram)	Pixel pubblicitario + Conversions API, retargeting	Marketing	Irlanda / USA
Google Ads	Caricamento delle conversioni per conto della struttura (server-side)	Marketing	Irlanda / USA
Anthropic	Funzioni di intelligenza artificiale (importazione, traduzione, lettura documenti, assistente di supporto)	Intelligenza artificiale	Irlanda / USA

4. Dettaglio dei Sub-processor

Infrastruttura e sviluppo

4.1 Supabase

Fornitore	Supabase
Entità legale	Supabase Inc.
Finalità del trattamento	Database gestionale (PostgreSQL), autenticazione utenti, storage immagini hotel e camere, Row Level Security per multi-tenancy.
Categorie di dati trattati	Tutti i Dati Personali inseriti nel gestionale: anagrafiche ospiti, prenotazioni, camere, tariffe, dati di fatturazione, credenziali utente (password hashate).
Ubicazione del trattamento	USA (server principali), con possibilità di selezione regione UE (Francoforte) per nuovi progetti.
Garanzie per trasferimento extra-UE	Clausole Contrattuali Standard (SCC) approvate dalla Commissione Europea; Data Processing Addendum pubblicato da Supabase; conformità dichiarata a GDPR, SOC 2 Type II, HIPAA.
Privacy Policy del fornitore	supabase.com/privacy
Certificazioni di sicurezza	SOC 2 Type II, HIPAA (Supabase Team Plan), ISO 27001 in corso di certificazione.

4.2 Vercel

Fornitore	Vercel
Entità legale	Vercel Inc.
Finalità del trattamento	Hosting dell'applicazione web Nagevo, serverless functions per API, edge network globale, gestione dominio, variabili d'ambiente, Vercel Web Analytics e Speed Insights.
Categorie di dati trattati	Dati di accesso al servizio (log di connessione, indirizzi IP), contenuti trasmessi tramite le funzioni serverless (tra cui le chiamate API che veicolano Dati Personali), metriche aggregate di performance.
Ubicazione del trattamento	Infrastruttura edge globale con server in più regioni (UE, USA, Asia).
Garanzie per trasferimento extra-UE	Clausole Contrattuali Standard (SCC) approvate dalla Commissione Europea; Data Processing Addendum pubblicato da Vercel; conformità dichiarata a GDPR.
Privacy Policy del fornitore	vercel.com/legal/privacy-policy
Certificazioni di sicurezza	SOC 2 Type II, ISO 27001, PCI DSS.

4.3 Cloudflare

Fornitore	Cloudflare
Entità legale	Cloudflare Inc.
Finalità del trattamento	Content Delivery Network (CDN) per distribuzione asset statici, R2 object storage per file immagine caricati dagli hotel, protezione DDoS, WAF (Web Application Firewall).
Categorie di dati trattati	Metadati di connessione (IP, user agent), file caricati tramite il Servizio, dati di navigazione al solo scopo di sicurezza e performance.
Ubicazione del trattamento	Edge network globale con oltre 300 data center.
Garanzie per trasferimento extra-UE	Clausole Contrattuali Standard (SCC); Data Processing Addendum pubblicato da Cloudflare; conformità dichiarata a GDPR e nLPD.
Privacy Policy del fornitore	cloudflare.com/privacypolicy/
Certificazioni di sicurezza	SOC 2 Type II, ISO 27001, ISO 27018, PCI DSS, FedRAMP.

Pagamenti

4.4 Stripe

Fornitore	Stripe
Entità legale	Stripe Payments Europe Ltd. (controllata di Stripe Inc., USA).
Finalità del trattamento	Elaborazione pagamenti per l'abbonamento al Servizio (Cliente → Nagevo) e per le prenotazioni ospiti tramite Stripe Connect (Ospite → Hotel). Gestione metodi di pagamento, fatturazione, rimborsi, antifrode.
Categorie di dati trattati	Dati di pagamento (numero carta, scadenza, CVC) NON memorizzati da Nagevo ma gestiti direttamente da Stripe in ambiente PCI-DSS. Nagevo riceve solo token di pagamento e metadati (ultime 4 cifre, tipo carta, Paese). Dati di fatturazione del Cliente e dell'Ospite finale.
Ubicazione del trattamento	Irlanda (entità UE) con trasferimenti a Stripe Inc. (USA) per parte dell'elaborazione.
Garanzie per trasferimento extra-UE	Clausole Contrattuali Standard (SCC); certificazione PCI-DSS Level 1; Data Processing Agreement pubblicato da Stripe; conformità a GDPR, nLPD e normative finanziarie europee (PSD2).
Privacy Policy del fornitore	stripe.com/privacy
Certificazioni di sicurezza	PCI-DSS Level 1, SOC 1/2, ISO 27001, ISO 22301.

Comunicazioni

4.5 Resend

Fornitore	Resend
Entità legale	Resend Inc.
Finalità del trattamento	Invio di email transazionali: conferme prenotazione agli ospiti, promemoria, ricevute, reset password, notifiche di sistema al Cliente (es. pagamenti falliti). Le email sono inviate dal sender noreply@nagevo.com tramite il sottodominio dedicato send.nagevo.com.
Categorie di dati trattati	Indirizzi email del destinatario, nome, contenuto delle email inviate dal Servizio, metadati di consegna (recapito, apertura, click).
Ubicazione del trattamento	USA.
Garanzie per trasferimento extra-UE	Clausole Contrattuali Standard (SCC); Data Processing Agreement pubblicato da Resend; conformità dichiarata a GDPR.
Privacy Policy del fornitore	resend.com/legal/privacy-policy
Certificazioni di sicurezza	SOC 2 Type II.

4.6 Google Workspace

Fornitore	Google Workspace
Entità legale	Google Ireland Ltd. (controllata di Google LLC, USA).
Finalità del trattamento	Posta elettronica aziendale di Nagevo (claudio@nagevo.com e alias info@, support@, hello@, legal@, partnership@, dmarc-reports@), per comunicazioni business con i Clienti e ricezione di richieste relative al Servizio. Non utilizzato per email transazionali del prodotto, gestite tramite Resend.
Categorie di dati trattati	Indirizzi email di mittente e destinatario, contenuto delle email scambiate, metadati di consegna.
Ubicazione del trattamento	Irlanda (entità UE) con trasferimenti a Google LLC (USA).
Garanzie per trasferimento extra-UE	Clausole Contrattuali Standard (SCC); Data Processing Amendment pubblicato da Google; conformità dichiarata a GDPR.
Privacy Policy del fornitore	workspace.google.com/terms/dpa_terms.html
Certificazioni di sicurezza	ISO 27001, ISO 27017, ISO 27018, SOC 2/3, FedRAMP Moderate.

Analytics (solo con consenso dell'utente finale)

4.7 Google Analytics 4

Fornitore	Google Analytics 4 (GA4)
Entità legale	Google Ireland Ltd. (controllata di Google LLC, USA).
Finalità del trattamento	Analisi aggregata del traffico web sul sito nagevo.com. Misurazione conversioni, provenienza visitatori, percorso utente. Il trattamento avviene sia lato browser (tramite GA4 tag con cookie) sia server-side tramite Measurement Protocol per eventi di conversione, in entrambi i casi previo consenso dell'utente per la categoria analytics.
Categorie di dati trattati	Identificatori pseudonimi (cookie _ga, _ga_T6TFFEL1QF, _gid), indirizzo IP (anonimizzato tramite IP masking), pagine visitate, dispositivo, Paese. Per Measurement Protocol server-side: eventi di conversione aggregati senza identificatori individuali persistenti.
Ubicazione del trattamento	Irlanda (entità UE) con trasferimenti a Google LLC (USA).
Garanzie per trasferimento extra-UE	Clausole Contrattuali Standard (SCC); Data Processing Terms pubblicate da Google; Google Consent Mode v2 implementato lato Nagevo; IP anonymization attiva; ritenzione dati limitata a 14 mesi.
Privacy Policy del fornitore	policies.google.com/privacy
Certificazioni di sicurezza	ISO 27001, ISO 27017, ISO 27018, SOC 2/3.

Marketing e pubblicità (solo con consenso dell'utente finale)

4.8 Meta Pixel e Conversions API

Fornitore	Meta Pixel e Conversions API
Entità legale	Meta Platforms Ireland Ltd. (controllata di Meta Platforms Inc., USA).
Finalità del trattamento	Tracciamento conversioni da inserzioni pubblicitarie Meta (Facebook, Instagram). Creazione di audience personalizzate e lookalike. Ottimizzazione campagne pubblicitarie. Il trattamento avviene sia lato browser (Meta Pixel con cookie) sia server-side tramite Conversions API per eventi di conversione, in entrambi i casi previo consenso dell'utente per la categoria marketing.
Categorie di dati trattati	Identificatori pseudonimi (cookie _fbp, _fbc), indirizzo IP, user agent, eventi di interazione sul sito (PageView, Lead, Subscribe, ecc.). Per Conversions API server-side: dati identificativi sottoposti ad hashing SHA-256 prima dell'invio per migliorare la corrispondenza degli eventi (Event Match Quality), eventi di conversione aggregati.
Ubicazione del trattamento	Irlanda (entità UE) con trasferimenti a Meta Platforms Inc. (USA).
Garanzie per trasferimento extra-UE	Clausole Contrattuali Standard (SCC); Data Processing Terms pubblicati da Meta; hashing SHA-256 dei dati identificativi prima della trasmissione.
Privacy Policy del fornitore	facebook.com/privacy/policy
Certificazioni di sicurezza	ISO 27001, ISO 27018, SOC 2 (infrastruttura Meta).

Distribuzione

4.9 Channex

Fornitore	Channex
Entità legale	Channex.io LTD, società registrata in Inghilterra e Galles al n. 09250795, con sede legale in Castell Pigyn Lodge, Abergwili, Carmarthen, SA31 2JL, Regno Unito.
Finalità del trattamento	Channel manager: collegamento del gestionale ai portali di prenotazione (Booking.com, Expedia, Airbnb e altre OTA). Sincronizzazione di disponibilità, tariffe e restrizioni di soggiorno da Nagevo verso i portali, e trasmissione a Nagevo delle prenotazioni ricevute dai portali.
Categorie di dati trattati	In uscita da Nagevo: esclusivamente dati di inventario — disponibilità per tipologia di camera, prezzi, restrizioni di soggiorno. Nessun Dato Personale. In entrata da Channex: dati della prenotazione effettuata sul portale — anagrafica dell'ospite prenotante (nome, cognome, indirizzo email, numero di telefono), date di arrivo e partenza, numero e composizione degli ospiti (adulti, bambini ed età), tipologia di camera, importo e valuta, canale di provenienza e codice di prenotazione OTA, eventuali note lasciate dall'ospite. Nessun dato di pagamento. Non transitano da o verso Channex numeri di carta, dati di carte virtuali o credenziali di pagamento: l'incasso delle prenotazioni da portale resta fuori dal Servizio, e il trattamento è pertanto fuori dal perimetro PCI DSS.
Ubicazione del trattamento	Unione Europea. Piattaforma e database sono ospitati su infrastruttura europea (Amazon Web Services e DigitalOcean), per dichiarazione del fornitore. La società titolare è stabilita nel Regno Unito.
Garanzie per trasferimento extra-UE	I dati risiedono nello Spazio Economico Europeo: piattaforma e database sono ospitati su infrastruttura europea. Per il rapporto con la società titolare, stabilita nel Regno Unito, si applica la decisione di adeguatezza della Commissione Europea per il Regno Unito, rinnovata il 19 dicembre 2025 e valida fino al 27 dicembre 2031: i trasferimenti dallo Spazio Economico Europeo verso il Regno Unito non richiedono garanzie ulteriori. Per i trasferimenti dalla Svizzera, il Regno Unito figura nell'elenco degli Stati che assicurano una protezione adeguata riconosciuto dal Consiglio federale. In aggiunta, Data Processing Agreement sottoscritto con il fornitore ai sensi dell'art. 28 GDPR.
Privacy Policy del fornitore	channex.io/policy#privacy
Certificazioni di sicurezza	Conformità a GDPR e PCI DSS dichiarata dal fornitore. Nessuna certificazione ulteriore risulta pubblicata al momento dell'aggiornamento del presente elenco.

Intelligenza artificiale

4.10 Anthropic

Fornitore	Anthropic
Entità legale	Anthropic Ireland, Limited, con sede in Irlanda: la società del gruppo Anthropic che è controparte dei termini commerciali per i clienti nello Spazio economico europeo, in Svizzera e nel Regno Unito.
Finalità del trattamento	Importazione delle prenotazioni da file (proposta delle colonne): Riconoscere le colonne del file di prenotazioni caricato dall'Hotel e proporre come abbinarle ai campi del gestionale e alle camere. Importazione delle prenotazioni da foglio-calendario: Leggere un foglio-calendario dell'Hotel (una colonna per giorno) e ricavarne le prenotazioni candidate, che l'Hotel controlla e conferma prima di qualsiasi scrittura. Traduzione dei contenuti del sito: Tradurre in inglese, tedesco e francese i testi che l'Hotel pubblica sulla propria pagina (presentazione, camere, servizi, FAQ, esperienze, territorio). Lettura del documento per la schedina Alloggiati: Leggere il documento d'identità dell'ospite e precompilare la schedina per la comunicazione alla Polizia di Stato (art. 109 TULPS). Nagevo controlla automaticamente i dati letti (le righe a lettura ottica del documento, il codice fiscale, le tabelle ufficiali del portale) e segnala quelli da verificare; l'Hotel controlla e conferma i dati prima del salvataggio. Assistente di supporto nella dashboard: Rispondere alle domande dell'Hotel sull'uso del gestionale, tramite un modello Claude di Anthropic, a partire dalle guide di Nagevo e da una parte della configurazione dell'Hotel; l'assistente spiega e indica la schermata giusta, ma non scrive dati e non compie azioni al posto dell'Hotel. Nessuna delle funzioni elencate scrive dati nel gestionale senza la conferma dell'Hotel: il risultato è una proposta che l'Hotel controlla, corregge e approva. L'uso di queste funzioni è facoltativo: l'importazione, la traduzione e la schedina possono essere compilate interamente a mano.
Categorie di dati trattati	Importazione delle prenotazioni da file (proposta delle colonne): Le intestazioni e fino a 200 righe del file caricato, così come sono: tipicamente nome dell'ospite, email, telefono, date di soggiorno, camera, importo e note, se presenti nel file; l'elenco delle camere dell'Hotel. Importazione delle prenotazioni da foglio-calendario: Il testo delle celle non vuote del foglio (fino a 80 righe): tipicamente nome dell'ospite, numero di camera, importi, scadenze di caparra e annotazioni libere. Traduzione dei contenuti del sito: Solo testi pubblici scritti dall'Hotel per la propria pagina. Nessun dato degli ospiti; eventuali nomi di persona presenti nei testi (per esempio del titolare) sono inviati così come scritti. Lettura del documento per la schedina Alloggiati: Le immagini del documento d'identità dell'ospite (fronte e retro, anche in un unico PDF) e i dati che vi compaiono: cognome, nome, sesso, data e luogo di nascita, cittadinanza, codice fiscale, tipo, numero, scadenza e luogo di rilascio del documento, le righe a lettura ottica, oltre a quanto altro è visibile. La lettura è fatta da un modello Claude di Anthropic; una seconda lettura, con un altro modello Claude, avviene solo quando i controlli automatici non tornano. Assistente di supporto nella dashboard: La domanda scritta dall'Hotel, dopo che Nagevo ne ha mascherato le forme riconoscibili di dati personali (indirizzi email, numeri di telefono e altri numeri lunghi, codici fiscali, IBAN); le guide di Nagevo; una parte della configurazione dell'Hotel: nome, città, stelle, numero di camere, categoria, lingue e impostazioni di vendita attive, nomi delle tipologie di camera e dei listini. Nessun dato degli ospiti, delle prenotazioni o dei recapiti dell'Hotel; un nome proprio scritto dall'Hotel nella domanda è inviato così come scritto. Le immagini dei documenti d'identità, anche quando arrivano in un PDF, non sono conservate da Nagevo: sono trasmesse ad Anthropic per la sola lettura e scartate al termine della richiesta, senza essere salvate nel database né nell'archivio dei file. Quando il documento è fotografato col telefono, i dati letti passano dal database di Nagevo solo per il tempo necessario a consegnarli alla schedina aperta sul computer, cifrati con una chiave che Nagevo non conserva, e poi sono cancellati. Nagevo conserva soltanto i dati della schedina che l'Hotel conferma.
Condizioni del fornitore sui dati	Secondo i termini commerciali di Anthropic, i dati inviati tramite le API non possono essere usati per addestrare i modelli di Anthropic. Secondo la documentazione di Anthropic sulla conservazione dei dati, gli input e gli output sono cancellati automaticamente dai sistemi di Anthropic entro 30 giorni, con le eccezioni previste dalle condizioni di Anthropic.
Ubicazione del trattamento	Stati Uniti d'America, dove Anthropic conserva i dati; l'elaborazione da parte dei modelli può avvenire anche in altri Paesi in cui Anthropic opera. Il servizio non offre un'elaborazione limitata all'Unione europea.
Garanzie per trasferimento extra-UE	Clausole Contrattuali Standard adottate dalla Commissione europea (moduli 2 e 3), con l'addendum per il Regno Unito e l'addendum per la Svizzera, incorporate nell'accordo sul trattamento dei dati (DPA) di Anthropic, che fa parte dei termini commerciali accettati da Nagevo.
Privacy Policy del fornitore	anthropic.com/legal/privacy
Certificazioni di sicurezza	Il programma di sicurezza di Anthropic è verificato ogni anno da revisori indipendenti; rapporti e certificazioni sono disponibili su richiesta sul portale di sicurezza di Anthropic, https://trust.anthropic.com.

5. Altri fornitori di servizi non classificati come Sub-processor

I seguenti fornitori sono utilizzati da Nagevo per finalità interne o tecniche che non comportano trattamento di Dati Personali dei Clienti o degli Ospiti. Pertanto non sono qualificati come Sub-processor ai sensi del GDPR:

GitHub (Microsoft Corporation): repository del codice sorgente. Nessun Dato Personale dei Clienti è archiviato nel codice.
Namecheap: registrazione dominio nagevo.com e gestione DNS. Nessun Dato Personale dei Clienti coinvolto.
Strumenti interni di produttività (es. editor di codice): utilizzati da personale Nagevo per lo sviluppo del Servizio, senza accesso ai dati di produzione.

6. Aggiornamenti dell'elenco

Nagevo si impegna a:

Aggiornare tempestivamente il presente documento ogni volta che si aggiungono, rimuovono o sostituiscono Sub-processor.
Notificare ai Clienti con almeno 30 (trenta) giorni di preavviso l'attivazione di nuovi Sub-processor, tramite email all'indirizzo associato all'account e/o avviso nel pannello di controllo.
Consentire al Cliente di opporsi a nuovi Sub-processor secondo le modalità previste all'art. 7.4 del DPA.

7. Contatti per questioni relative ai Sub-processor

Per richieste di informazioni, chiarimenti o opposizione all'utilizzo di Sub-processor:

E-mail privacy: legal@nagevo.com

Indirizzo postale: Nagevo — Claudio Berardi — Via Silvio Calloni 11, 6900 Lugano, Svizzera