Versione del 28 settembre 2026
Sub-responsabili, tutti.
Chi gestisce quale parte di Union AI, dove avviene e sotto quale giurisdizione ricade la capogruppo. Comprese le parti che non sono europee, perché un elenco che le lascia fuori non è trasparenza ma pubblicità.
L’elenco completo dei sub-responsabili
| Soggetto | Ruolo | Regione di trattamento | Entità |
|---|---|---|---|
| Scaleway SAS | Inferenza AI: tutti i prompt e le risposte | Unione europea (fr-par) | Francia |
| Cloudflare, Inc. | Hosting, CDN e terminazione TLS | Unione europea (regione UE di Cloudflare) | Stati Uniti |
| Neon (Databricks) | Database: account, credito, utilizzo | Regione UE (su AWS) | Stati Uniti |
| Stripe | Pagamenti e determinazione dell’IVA | Trattamento nell’UE tramite Stripe Payments Europe Ltd, Irlanda | Stati Uniti (capogruppo) |
| Scaleway SAS | Email transazionali | Francia | Francia |
| Linkup Technologies SAS | Ricerca web, solo quando la attivi: la query di ricerca, nient’altro | Non fissa: Linkup può instradare una query verso Stati Uniti, UE, Canada o Asia-Pacifico | Francia |
| Google Ireland Ltd | Statistiche del sito (Google Analytics) e misurazione degli annunci (Google Ads): senza cookie finché non clicchi su Accetta, poi cookie e un indirizzo email in forma di hash. Mai la chat o l’API | Non fissa: Google può trattare i dati negli Stati Uniti, nell’ambito dell’EU-US Data Privacy Framework | Stati Uniti (capogruppo) |
| Meta Platforms Ireland Ltd | Misurazione degli annunci (Meta Pixel e Conversions API), solo dopo che hai cliccato su Accetta: il clic sull’annuncio e un indirizzo email in forma di hash. Mai la chat o l’API | Non fissa: Meta può trattare i dati negli Stati Uniti, nell’ambito dell’EU-US Data Privacy Framework | Stati Uniti (capogruppo) |
Se questo elenco cambia, avvisiamo in anticipo i clienti business con un accordo sul trattamento dei dati, così puoi opporti prima che la modifica abbia effetto.
Google Drive e OneDrive (compreso SharePoint) non sono in questo elenco, perché non sono nostri: sono account tuoi. Se ne colleghi uno, conserviamo l’indirizzo email dell’account e un token di accesso cifrato, e recuperiamo un file solo quando lo scegli nella chat. Il file viene poi trattato come un caricamento: letto sui nostri server, con la risposta del modello generata dentro l’Unione europea. Se scolleghi l’account, il token viene cancellato.
Cosa affermiamo, quindi, e cosa no
Ogni livello di Union AI gira in una regione europea. Tre dei soggetti dietro questi livelli hanno una capogruppo statunitense, e regione non vuol dire giurisdizione, quindi limitiamo le nostre promesse a ciò che controlliamo: dove vengono elaborati i tuoi prompt e dove gira il modello. Linkup, per la ricerca web, è un’azienda francese, ma di default non promette di trattare una query dentro l’UE.
- Vero: Tutta l’inferenza AI gira su infrastruttura dentro l’Unione europea.
- Vero: I tuoi prompt e output non vanno mai negli Stati Uniti o in Cina.
- Vero: Con la ricerca web attiva esce una sola cosa: una breve query di ricerca che il nostro modello scrive a partire dal tuo messaggio, con l’istruzione di tralasciare nomi e altri dati personali. La tua conversazione, i tuoi file e il tuo account non arrivano mai al fornitore di ricerca.
- Vero: I modelli girano sotto la nostra gestione e non vengono addestrati sui dati dei clienti.
- Non vero: «La ricerca web resta nell’UE.» Non garantito. La documentazione di Linkup dice che le query possono essere instradate tra Stati Uniti, UE, Canada e Asia-Pacifico, salvo diverso accordo enterprise, e che la conservazione zero dei dati è riservata ai clienti enterprise. Una query riflette quello che hai chiesto, quindi lascia la ricerca disattivata per un messaggio che non vorresti vedere trasformato in una query.
Cosa vede ogni livello del tuo prompt
Non tutti i sub-responsabili vedono la stessa cosa. In concreto:
| Livello | Vede | Non vede |
|---|---|---|
| Scaleway (inferenza) | Il prompt e la risposta generata | La tua identità, i tuoi dati di pagamento, la tua cronologia di utilizzo |
| Cloudflare | Traffico cifrato; il TLS viene terminato all’edge nella regione UE di Cloudflare, quindi il contenuto della richiesta passa per la memoria di quell’edge | Niente che venga conservato: il traffico API non viene messo in cache |
| Neon | Account, saldo, conteggi di token e orari per richiesta | Il contenuto dei tuoi prompt e delle risposte |
| Stripe | Nome, email, partita IVA, dati di pagamento e importi | Tutto quello che fai con il modello |
| Linkup (solo con la ricerca attiva) | Una breve query di ricerca per messaggio, scritta dal nostro modello a partire dal tuo messaggio | La tua conversazione, i tuoi file, il tuo account e il tuo indirizzo IP |
Cloudflare gira nella sua regione UE
Perché non ogni soggetto è europeo
Tecnicamente è possibile far girare tutto lo stack solo su aziende europee. Oggi non è possibile farlo, gestirlo in modo affidabile e applicare i prezzi della nostra pagina dei prezzi. Abbiamo scelto di mantenere interamente europea la parte che conta di più nella sostanza, cioè dove viene elaborato il tuo prompt e dove gira il modello, e di essere trasparenti sul resto invece di costruirci sopra una storia di sovranità.
Siamo un’azienda giovane e questo stack è un lavoro in corso. Se un’alternativa europea può assumere in modo affidabile uno di questi ruoli, ci spostiamo, e lo scriveremo qui.
Cosa può e non può leggere ogni livello è spiegato passaggio per passaggio in dove vanno i tuoi prompt: la residenza dei dati AI nell’UE. I periodi di conservazione di questi soggetti sono nell’informativa sulla privacy, e i clienti business ricevono lo stesso elenco per contratto tramite l’accordo sul trattamento dei dati.
Domande frequenti
Cos’è un sub-responsabile del trattamento?
Un sub-responsabile è un soggetto terzo che tratta dati personali per conto di un responsabile del trattamento. Se usi un servizio AI per gestire dati di altre persone, i suoi sub-responsabili trattano quei dati un passo più in giù nella catena: per questo l’elenco completo deve essere pubblico e per questo dovresti essere avvisato prima che cambi.
I miei dati escono dall’UE quando uso un’API AI?
Dipende da quali dati e da quale fornitore. Con Union AI prompt e risposta vengono elaborati su infrastruttura dentro l’Unione europea e non vanno mai negli Stati Uniti o in Cina, mentre hosting, database e pagamenti coinvolgono aziende con una capogruppo statunitense. Se attivi la ricerca web, una breve query di ricerca va a Linkup, che può trattarla fuori dall’UE. Chiedi a ogni fornitore di rispondere a queste domande separatamente, perché la maggior parte risponde solo alla prima.
La ricerca web manda il mio prompt a un motore di ricerca?
No. Quando attivi la ricerca web, il nostro modello dentro l’UE scrive una breve query a partire dal tuo messaggio, e solo quella query va a Linkup, un’API di ricerca francese. Linkup può instradare le query fuori dall’UE, salvo diverso accordo enterprise, quindi la query può uscire dall’UE anche se la tua conversazione no. Con la ricerca disattivata, a Linkup non va niente.
Un cloud europeo può ricadere sotto il CLOUD Act statunitense?
Sì, se il gestore è un’azienda statunitense o una sua controllata. Il CLOUD Act riguarda i dati in possesso, custodia o controllo di un fornitore, ovunque siano conservati, quindi un data center a Francoforte non basta da solo a metterli fuori dalla sua portata. Tre soggetti nella nostra catena hanno una capogruppo statunitense, e nessuno di loro è il luogo in cui vengono elaborati i tuoi prompt: questo avviene presso Scaleway, un’azienda francese, dentro l’Unione europea.
Chi può leggere i miei prompt?
Con Union AI solo il livello di inferenza vede il contenuto di un prompt e della sua risposta, e non vede identità, dati di pagamento o cronologia. Il database vede il tuo account, il saldo e i conteggi di token, e il fornitore dei pagamenti vede solo i dati di fatturazione. Con la ricerca web attiva, il fornitore di ricerca vede una breve query scritta a partire dal tuo messaggio, mai la conversazione.
Cosa deve contenere l’elenco dei sub-responsabili di un fornitore AI?
Quattro colonne: il soggetto, cosa fa, la regione in cui tratta i dati e l’entità giuridica che c’è dietro. Un elenco con le regioni ma senza entità nasconde la questione della giurisdizione, che è quella che conta per le richieste di accesso da parte di autorità straniere. Dovrebbe anche dire con quanto preavviso vieni informato prima che l’elenco cambi.
Vengo avvisato quando cambia un sub-responsabile?
Sì. I clienti business con un accordo sul trattamento dei dati ricevono un preavviso di almeno 30 giorni prima che una modifica abbia effetto, così c’è tempo per opporsi. Se ti opponi e non troviamo una soluzione, puoi recedere dall’accordo e riavere il credito non utilizzato.