MARCØ — Sub-Processors List (Public)

Document version: 1.1 Last updated: 2026-09-11 Next scheduled review: Quarterly (next: 2026-12-11) Notification mechanism: 30-day notice via email + this page changelog before adding/replacing any Sub-Processor

1. Cos'è questa pagina

Questa pagina elenca i Sub-Processors (sub-responsabili) utilizzati da MARCØ per fornire il Servizio. Ai sensi dell'Art. 28(2)+(4) GDPR, MARCØ è tenuta a:

Informare i propri Clienti (Controllers) sui Sub-Processors utilizzati;
Notificare con almeno 30 giorni di anticipo ogni aggiunta o sostituzione;
Consentire diritto di obiezione motivata.

Per dettagli contrattuali sulla cascade Sub-Processor, consultare il DPA principale (DPA.md) §6 e l'Annex III dello stesso documento.

2. Lista Sub-Processors Attivi (16)

L'infrastruttura di produzione (database, API, servizi interni) non è esternalizzata: è gestita direttamente da Telos Intelligence LLC su hardware proprio situato in Italia (UE) ed è raggiungibile dall'esterno solo tramite Cloudflare Tunnel (voce 1). Vedi §4.

2.1 Infrastruttura & Storage

1. Cloudflare, Inc. — Tunnel & Access

Servizio: Accesso pubblico all'applicazione e alle API (app-marco.schedy.app) tramite Cloudflare Tunnel; protezione degli accessi amministrativi con Cloudflare Access
Categorie dati trattate: Tutto il traffico HTTP in transito (richieste e risposte, inclusi Dati Personali dell'account e dei contenuti), indirizzi IP, metadati di connessione
Sede legale: San Francisco, US
Sede dati: Rete globale Cloudflare (edge)
Garanzie trasferimento: EU-US Data Privacy Framework (DPF certified) + SCCs Modulo 3
Certificazioni: ISO/IEC 27001, SOC 2 Type II, EU DPF
DPA link: https://www.cloudflare.com/cloudflare-customer-dpa/
Dichiarato dal: 2026-09-11 (già in uso prima di tale data)

2. Cloudflare, Inc. — R2 Object Storage

Servizio: Asset storage (image, video, music) generati dal Servizio + backup giornaliero del database (bucket privato, conservazione 30 giorni)
Categorie dati trattate: Asset binari (immagini, video, audio) + metadati (URL, mime, size); nel backup, tutti i Dati Personali del Cliente
Sede legale: San Francisco, US
Sede dati: Europa orientale (location hint R2 EEUR, verificato il 2026-09-11); non è un bucket con giurisdizione UE garantita
Garanzie trasferimento: EU-US Data Privacy Framework (DPF certified) + SCCs Modulo 3
Certificazioni: ISO/IEC 27001, SOC 2 Type II, EU DPF
DPA link: https://www.cloudflare.com/cloudflare-customer-dpa/
Privacy Policy: https://www.cloudflare.com/privacypolicy/
Active since: 2026-04-15

3. Cloudflare, Inc. — Pages

Servizio: Deploy siti generati dal Site Builder agent (static HTML/CSS/JS)
Categorie dati trattate: Site content (no Dati Personali inherent; eventuali Dati inseriti dal Cliente sotto sua responsabilità)
Sede legale: San Francisco, US
Sede dati: EU + global CDN (edge cache)
Garanzie trasferimento: EU-US DPF + SCCs Modulo 3
Certificazioni: come Cloudflare R2
DPA link: https://www.cloudflare.com/cloudflare-customer-dpa/
Active since: 2026-04-15

2.2 AI / LLM Providers

4. OpenRouter Inc.

Servizio: Unico canale verso i modelli di testo usati dal Servizio (analisi, ricerca, copy, brand, strategia, siti)
Categorie dati trattate: Prompt input + output dei modelli, inclusi i contenuti forniti dal Cliente
Modelli a valle: z-ai GLM 5.3, MiniMax M3 — i fornitori che eseguono il modello ricevono i prompt tramite OpenRouter, secondo il suo instradamento
Sede legale: US
Sede dati: US
Garanzie trasferimento: SCCs Modulo 3
DPA link: https://openrouter.ai/terms
Active since: 2026-05-01

5. fal.ai

Servizio: Generazione di immagini e video per post e reel
Categorie dati trattate: Prompt immagine/video + immagini di riferimento, incluse le foto caricate dal Cliente per i video da foto
Modelli a valle: ByteDance Seedream, MiniMax (video), OpenAI GPT-Image, FLUX
Sede legale: US
Sede dati: US
Garanzie trasferimento: SCCs Modulo 3
DPA link: https://fal.ai/legal/dpa
Active since: 2026-05-01

6. Suno, Inc.

Servizio: AI music generation per video/asset library
Categorie dati trattate: Music spec prompt (no PII)
Sede legale: US
Sede dati: US
Garanzie trasferimento: SCCs Modulo 3
DPA link: https://suno.com/legal/dpa
Active since: 2026-05-01

7. Higgsfield

Servizio: Generazione video alternativa, selezionabile per i video da foto
Categorie dati trattate: Prompt video + immagini di riferimento, incluse le foto caricate dal Cliente
Sede legale: US
Sede dati: US
Garanzie trasferimento: SCCs Modulo 3
DPA: in fase di acquisizione
Dichiarato dal: 2026-09-11 (già configurato prima di tale data)

2.3 Research & Scraping

8. Tavily

Servizio: Web research API (deep research engine)
Categorie dati trattate: Query input (no PII)
Sede legale: US
Sede dati: US
Garanzie trasferimento: SCCs Modulo 3
DPA link: https://tavily.com/terms
Active since: 2026-04-15

9. Firecrawl

Servizio: Web scraping strutturato (competitor analysis, GEO audit, import del sito del Cliente)
Categorie dati trattate: URL input + scraped HTML content
Sede legale: US
Sede dati: US
Garanzie trasferimento: SCCs Modulo 3
DPA link: https://www.firecrawl.dev/dpa
Active since: 2026-04-15

10. Composio, Inc.

Servizio: Social OAuth + dispatch posting (IG / LinkedIn / TikTok / YouTube)
Categorie dati trattate: OAuth tokens encrypted at rest + post payload + scheduling metadata
Sede legale: US
Sede dati: US
Garanzie trasferimento: SCCs Modulo 3 + per-tenant scope (NO global tokens)
DPA link: https://composio.dev/legal/dpa
Active since: 2026-05-01

11. Meta Platforms Ireland Ltd (Instagram / Facebook)

Servizio: Pubblicazione e insights tramite Composio; sincronizzazione dell'identità del profilo e analytics tramite Graph API diretta
Categorie dati trattate: OAuth tokens IG/FB + post content + dati del profilo (nome, bio, immagine)
Sede legale: Dublin, IE (controlled by Meta Platforms Inc., US)
Sede dati: US (Meta US) / EU (Meta IE)
Garanzie trasferimento: EU-US DPF (Meta US) + SCCs
Certificazioni: ISO/IEC 27001 (specific systems), SOC 2
DPA link: https://www.facebook.com/legal/terms/dataprocessing
Active since: 2026-05-01

12. LinkedIn Ireland Unlimited Company

Servizio: LinkedIn API (posts + analytics insights) — tramite Composio o API diretta
Categorie dati trattate: OAuth tokens LinkedIn + post content
Sede legale: Dublin, IE (controlled by Microsoft Corporation, US)
Sede dati: US (Microsoft Azure) / EU (LinkedIn IE)
Garanzie trasferimento: EU-US DPF + SCCs
Certificazioni: ISO/IEC 27001, SOC 2 Type II (Microsoft umbrella)
DPA link: https://legal.linkedin.com/dpa
Active since: 2026-05-01

13. TikTok Pte. Ltd (parent: ByteDance Ltd)

Servizio: TikTok API (posts + insights) — accesso via Composio
Categorie dati trattate: OAuth tokens TikTok + post content
Sede legale: Singapore (controlled by ByteDance, Cayman Islands)
Sede dati: US (TikTok US) / Singapore / China (concerns)
Garanzie trasferimento: SCCs Modulo 3 + Transfer Impact Assessment extra (vedi avviso sotto)
DPA link: https://www.tiktok.com/legal/dpa
Active since: 2026-05-01

⚠️ AVVISO TikTok: Dato il contesto regolatorio UE in evoluzione (procedimenti EDPB in corso, decisione DPC Ireland 2023 €345M), MARCØ raccomanda al Cliente di valutare attentamente l'attivazione del canale TikTok. Opt-out granulare per canale disponibile in dashboard /integrations.

14. Google LLC

Servizio: Accesso con Google per gli amministratori della piattaforma; YouTube Data API per la pubblicazione su YouTube (tramite Composio; accesso diretto solo se attivato)
Categorie dati trattate: Email e profilo Google degli amministratori; per YouTube: OAuth tokens + metadati dei post
Sede legale: Mountain View, US
Sede dati: US / EU multi-region
Garanzie trasferimento: EU-US DPF + SCCs Modulo 3
Certificazioni: ISO/IEC 27001, ISO/IEC 27017, ISO/IEC 27018, SOC 2/3, EU DPF
DPA link: https://cloud.google.com/terms/data-processing-addendum
Active since: 2026-04-15

2.5 Billing & Comms

15. Stripe Payments Europe Limited

Servizio: Payment processing, subscription billing, metering, top-up packs
Stato: previsto per la fatturazione; non ancora attivo alla data di questa versione
Categorie dati trattate: Stripe customer + payment data (NO MARCØ-side card data — PCI gestito Stripe)
Sede legale: Dublin, IE (Stripe Payments Europe)
Sede dati: EU (Dublin) — fallback US per redundancy
Garanzie trasferimento: N/A primary (UE) + SCCs Modulo 3 per US fallback
Certificazioni: PCI-DSS Level 1, ISO/IEC 27001, SOC 2 Type II, EU DPF
DPA link: https://stripe.com/legal/dpa

16. Brevo (Sendinblue) SAS

Servizio: Email transactional (approval HITL magic-links, password reset, breach notifications, account emails)
Categorie dati trattate: Email destinatario + email body + delivery metadata
Sede legale: Paris, FR
Sede dati: EU (Paris) — datacenter France
Garanzie trasferimento: N/A — Dati interamente UE
Certificazioni: ISO/IEC 27001, French CNIL compliance, EU DPF
DPA link: https://www.brevo.com/legal/dataprocessing/
Active since: 2026-04-15

3. Sub-Processors Opzionali (BYOK Cliente)

I seguenti sono Sub-Processors opzionali attivabili dal Cliente tier Pro+ tramite BYOK (Bring Your Own Key):

Sub-processor	Servizio	Note
LangSmith (LangChain Inc.)	LLM observability + tracing + evals	Cliente BYOK API key; retention 90gg cliente-side

L'attivazione BYOK fa sì che MARCØ NON sia coinvolta nel rapporto contrattuale tra Cliente e LangChain.

4. Sub-Processors Internal / Self-Hosted (NON esternalizzati)

I seguenti componenti sono interni: girano su hardware gestito direttamente da Telos Intelligence LLC in Italia (UE) e NON costituiscono Sub-Processors esterni:

PostgreSQL (database)
Redis (cache, queue)
Apache Kafka (federated event streaming)
ChromaDB (vector store)
OpenSwarm sidecar (execution layer), rete Docker internal-only

5. Categorie di Dati per Sub-Processor (Riepilogo)

Sub-Processor	Account Data	Content Data	Asset Binari	OAuth Tokens	Payment Data	Federated Metadata
Cloudflare Tunnel & Access	✓ (in transito)	✓ (in transito)	—	—	—	—
Cloudflare R2	✓ (backup)	✓ (backup)	✓	✓ (backup)	—	✓ (backup)
Cloudflare Pages	—	✓ (site content)	—	—	—	—
OpenRouter	—	✓ (prompt)	—	—	—	—
fal.ai	—	✓ (prompt)	✓ (immagini, video)	—	—	—
Suno	—	✓ (prompt music)	✓ (music gen)	—	—	—
Higgsfield	—	✓ (prompt)	✓ (video)	—	—	—
Tavily	—	✓ (query)	—	—	—	—
Firecrawl	—	✓ (URL)	—	—	—	—
Composio	—	✓ (post payload)	—	✓	—	—
Meta	—	✓ (post, profilo)	—	✓	—	—
LinkedIn	—	✓ (post)	—	✓	—	—
TikTok	—	✓ (post)	—	✓	—	—
Google	✓ (amministratori)	—	—	✓ (YT)	—	—
Stripe	✓ (customer)	—	—	—	✓	—
Brevo	✓ (email)	✓ (email body)	—	—	—	—

6. Diritto di Obiezione

Ai sensi del DPA principale §6.3, i Clienti hanno diritto di obiettare motivatamente all'aggiunta/sostituzione di un Sub-Processor entro 30 giorni dalla notifica.

Modalità

Email a [email protected] con oggetto "Obiezione Sub-Processor";
Specificare: identificativo tenant, sub-processor oggetto di obiezione, motivazione documentata (es. richiesta specifica autorità DPO Cliente, conflitto compliance settoriale).

Procedura

MARCØ valuta l'obiezione entro 15 giorni lavorativi;
Le Parti dialogano in buona fede per identificare soluzione alternativa (es. opt-out canale specifico, BYOK, fallback Sub-Processor);
Se non raggiunto accordo entro 45 giorni dalla notifica originale, il Cliente può risolvere il MSA con preavviso di 30 giorni, senza penali e con rimborso pro-quota delle fees prepagate.

7. Changelog

Data	Versione	Modifiche
2026-05-18	1.0	Versione iniziale con 16 Sub-Processors attivi
2026-09-11	1.1	Allineamento al Servizio reale: rimossi Hetzner (la produzione gira su infrastruttura propria di Telos Intelligence LLC in Italia), Anthropic (non più usato) e Google Gemini (mai attivato); dichiarati Cloudflare Tunnel & Access e Higgsfield, già in uso prima di questa data; Google limitato all'accesso degli amministratori e a YouTube; dichiarati i modelli a valle di OpenRouter e fal.ai; Stripe indicato come non ancora attivo.

Le modifiche future saranno comunicate con 30 giorni di preavviso tramite:

Email all'indirizzo privacy del Cliente (tenant.settings.privacy_email o fallback registration email);

Aggiornamento di questa pagina pubblica + endpoint API GET /api/v1/legal/sub-processors.

8. Contatti

Per domande, chiarimenti o obiezioni:

Email privacy e DPO: [email protected]

8-bis. Conversion tracking — beacon first-party (Director di Nicchia, Ondata 5)

Stato: instrumentation attiva opt-in per-sito; base giuridica in review counsel M9. NON ancora attivata in produzione.

MARCØ misura la conversione business dei contenuti pubblicati tramite un beacon first-party iniettato nei siti generati (Cloudflare Pages, già Sub-Processor §2). Il beacon:

NON introduce nuovi Sub-Processors: l'endpoint di raccolta (/c/ingest) gira sull'infrastruttura propria di Telos Intelligence LLC in Italia (UE, §4) e riceve il traffico tramite Cloudflare Tunnel (§2.1, voce 1), già elencato; nessun terzo (es. Google Analytics) è coinvolto.
Consenso fail-closed (ePrivacy Art. 5.3): non viene inviata alcuna richiesta — nemmeno una visit — senza consenso esplicito dell'utente del sito; rispetta Do-Not-Track. Assenza di consenso → beacon silente.
Dati minimizzati, no PII: identificatore visitatore anonimo (opaco, localStorage, no fingerprint), token UTM a vocabolario chiuso (utm_source/medium/campaign/content/term), tipo di conversione (es. whatsapp) + peso. IP non persistito (o troncato /24). Mai contenuto di form, email o numeri di telefono.
Retention esplicita: job di cancellazione (CONVERSION_RETENTION_DAYS, default 365gg).
Tenant-isolated: conversion_events RLS per-tenant; recipe_hash resta per-tenant (mai federato).

Pending M9: review external counsel su base giuridica ePrivacy Art. 5.3 + aggiornamento DPA.md/DPA-WL.md (categorie dati: identificatori anonimi di conversione) prima dell'attivazione in produzione. Vietato auto-dichiarare "no banner".

9. Documenti Correlati

DPA principale: docs/legal/DPA.md
DPA cascade White-Label: docs/legal/DPA-WL.md
Privacy Policy: docs/PRIVACY_POLICY.md
Terms of Service: docs/TERMS_OF_SERVICE.md
GDPR Compliance overview: docs/GDPR_COMPLIANCE.md
DPIA: docs/DPIA.md

Pagina pubblica aggiornata al 2026-05-18. Versione 1.0. Notifica modifiche: 30gg pre-attivazione via email + changelog.