Sub-processor di Kulmin
Elenco aggiornato dei sub-processor di Kulmin ai sensi dell'art. 28 del Regolamento UE 2016/679 (GDPR), comprensivo di paese, finalità del trattamento, meccanismo di trasferimento extra-UE (ove applicabile) e data di adozione. L'informativa privacy completa è disponibile alla pagina /privacy.
| Sub-processor | Paese | Finalità | Meccanismo di trasferimento | In uso da |
|---|---|---|---|---|
| Anthropic Inc. | Stati Uniti | Modelli Claude per analisi, estrazione e sintesi AI: call, documenti, email dei deal, AI Desk, Live Coach, contatti e Brain. | Meccanismo di trasferimento in corso di verifica. Nessun accordo di conservazione zero. Prima dell'invio nomi, codici e recapiti diventano segnaposto in ogni richiesta all'AI: documenti, email dei deal, call e loro allegati, AI Desk, Live Coach, contatti, Brain, suggerimenti di due diligence, Leverage Brief, sintesi del periodo, lettura dei siti web e testo del mandato. Restano in chiaro i nomi di aziende e luoghi che non contengono il nome di una persona, le date e le cifre. Uno studio può coprire anche aziende e luoghi con l'impostazione «Nascondi anche le società». | 2026-01 |
| Deepgram Inc. | Stati Uniti | Trascrizione vocale in diretta delle call, sui server di Deepgram nell'Unione europea. Riceve l'audio così com'è: la voce non si può pseudonimizzare. | Meccanismo di trasferimento in corso di verifica. Con ogni registrazione Kulmin chiede a Deepgram di non usare l'audio per migliorare i suoi modelli. Per quanto tempo Deepgram lo conserva lo decidono le sue condizioni. | 2026-01 |
| Voyage AI | Stati Uniti | Ricerca semantica: oggi NON attiva, Kulmin non invia dati a Voyage AI. Se verrà attivata, questa pagina sarà aggiornata prima. | Non applicabile finché il servizio non è attivo. | 2026-03 |
| Resend | Stati Uniti | Invio delle email del servizio: inviti, reimpostazione della password, promemoria delle scadenze. Le email possono contenere nomi, nome dell'organizzazione, credenziali di primo accesso, testo delle scadenze (che può venire dalle call) e nomi dei progetti. | In corso di verifica. | 2026-04 |
| Microsoft (Microsoft 365) | Secondo l'account del cliente | Fonte collegata dall'utente, in sola lettura: calendario, posta in arrivo, conversazioni email importate in un deal, report di presenza delle riunioni Teams. | Kulmin legge i dati dall'account Microsoft 365 del cliente; dove risiedono dipende dal contratto Microsoft del cliente. | 2026-02 |
| Google (Gmail) | Secondo l'account dell'utente | Fonte collegata dall'utente, in sola lettura: messaggi della posta in arrivo, salvati solo come estratti pseudonimizzati o importati in un deal con la stessa pseudonimizzazione. | Kulmin legge i dati dall'account Google dell'utente; dove risiedono dipende dal contratto Google dell'utente. | 2026-06 |
| Railway | Stati Uniti | Hosting dell'applicazione e del database operativo. Server nella regione US West (California, Stati Uniti). | Meccanismo di trasferimento in corso di verifica. | 2026-01 |
| Vercel Inc. | Stati Uniti | Hosting del frontend (edge network) e delle pagine pubbliche. Funzioni server nella regione di Washington DC (Stati Uniti). | Meccanismo di trasferimento in corso di verifica. | 2026-01 |
| Stripe Payments Europe Ltd. | Irlanda (EEA) | Pagamenti online dei piani a pagamento: oggi non attivi, nessun pagamento passa da Stripe. | N/A — controparte contrattuale nella regione EEA. | 2026-05 |
Per i fornitori con sede fuori dallo Spazio Economico Europeo (SEE) il GDPR richiede una base per il trasferimento, tipicamente le Clausole Contrattuali Standard (SCC) approvate dalla Commissione Europea (art. 46(2)(c) GDPR) con una valutazione d'impatto del trasferimento (TIA), come indicato dalla sentenza Schrems II (CGUE C-311/18). Dove la tabella dice «in corso di verifica», la verifica del meccanismo in essere con quel fornitore non è ancora conclusa. Per domande scrivi a [email protected].
Microsoft e Google compaiono nell'elenco come fonti: Kulmin vi accede solo se l'utente collega il proprio account, e solo in lettura. Le pagine di Teams e di Google Meet lette dall'estensione per browser sono descritte alla pagina /legal/extension-privacy. Cosa viene pseudonimizzato prima dell'invio all'AI è spiegato nell'informativa alla pagina /privacy.
Le modifiche all'elenco (aggiunte, sostituzioni o rimozioni di sub-processor) sono comunicate ai clienti contrattualmente vincolati con un preavviso conforme al DPA sottoscritto.