# I fornitori di 1HERO: chi tocca quali dati, e dove ## 1. In breve - **In UE**: le funzioni del servizio, gli ambienti separati dove Hero costruisce le app, le app pubblicate e i loro database stanno a Francoforte. - **Non solo in UE**: quasi tutti i fornitori sono aziende statunitensi, e questo è un trasferimento anche quando i dati stanno a Francoforte. Le conversazioni con Hero passano da OpenRouter, che non ha una regione europea nel piano che usiamo, e da fornitori di modelli che possono stare fuori dall'Unione: quasi tutti hanno sede negli Stati Uniti, fra cui OpenAI, Anthropic, Microsoft, Amazon e Google (§2.1). - Non promettiamo che i dati restino solo in UE. ## 2. L'elenco | Fornitore | Per cosa | Dati che tocca | Dove sono i dati | Sede | Garanzia del trasferimento | Sub-responsabile per le app | | ---------------------------------------------------------------- | ---------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------- | ----------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------- | ------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------ | --------------------------------------------------------------------- | ----------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------- | ------------------------------------------------------------------------------------------------------------------------------------------------- | | Vercel | Il servizio di 1HERO (`api.1hero.dev`), gli ambienti separati dove Hero costruisce, l'ospitalità delle app, l'archivio di oggetti, i registri tecnici | Tutto ciò che passa dal servizio; le app e i loro utenti; foto, file e archivi | Funzioni e sandbox a Francoforte (`fra1`); l'archivio di oggetti nella regione scelta alla creazione (proposta: Francoforte) | Stati Uniti | Clausole contrattuali standard del 2021 ([Vercel DPA](https://vercel.com/legal/dpa)) | Sì | | Neon | Il database del servizio (`1hero-control`) e un database per ogni app | Account, progetti, run, profilo, eventi d'uso; i dati degli utenti delle app | Francoforte (`aws-eu-central-1`) | Stati Uniti (gruppo Databricks) | Clausole contrattuali standard nell’accordo di trattamento di Neon; Neon dichiara anche l’adesione al Data Privacy Framework ([Neon DPA](https://neon.com/dpa)) | Sì | | GitHub | I repository del codice delle app e dei template (organizzazione `Sicilean-devs`) | Codice, testi, dati dell'attività del proprietario; mai i dati degli utenti delle app | Stati Uniti | Stati Uniti | Clausole contrattuali standard del 2021 e Data Privacy Framework ([GitHub DPA](https://github.com/customer-terms/github-data-protection-agreement)) | No: nessun dato degli utenti delle app | | OpenRouter | Il passaggio verso i modelli di intelligenza artificiale, per Hero | Ciò che la persona scrive a Hero, il piano, il codice dell'app, le parti del profilo che servono | Fuori dall'UE (nessuna regione europea nel piano in uso) | Stati Uniti | Clausole contrattuali standard nell’accordo di trattamento di OpenRouter ([privacy](https://openrouter.ai/privacy)). A ogni richiesta diciamo quali fornitori dei modelli può usare, solo fra quelli che non raccolgono ciò che ricevono (§2.1) | No: le app non mandano dati ai modelli | | Fornitori dei modelli | Rispondere a Hero: i sette modelli fra cui ogni progetto sceglie (DeepSeek V4.1 Flash, GLM 5.3 Flash, GLM 5.2, GPT-6 Luna, GPT-6 Astra, Claude Opus 5.5, Claude Sonnet 5.5) e gli altri che fanno i lavori di contorno e servono i progetti nati prima (DeepSeek, Kimi, MiMo, GLM, Qwen). Chi li serve è in §2.1 | Come OpenRouter | Secondo il fornitore a cui arriva la richiesta, fra quelli che ammettiamo per quel modello (§2.1): sede nello Spazio economico europeo o negli Stati Uniti, nessun centro di calcolo dichiarato fuori da lì. I modelli che disegnano hanno la riga qui sotto | Spazio economico europeo o Stati Uniti; quasi tutti negli Stati Uniti | Quelle di OpenRouter, che è il nostro solo interlocutore; l’elenco dei fornitori ammessi è riletto a ogni cambio dei modelli | No | | Fornitori dei modelli che disegnano | Fare le immagini e i video delle app (Qwen Image, Seedream, Wan) | Solo una descrizione di ciò che l'immagine deve mostrare, scritta da Hero dal piano: mai una foto o un file, mai l'identificativo della persona, senza nome, contatti e indirizzo dell'attività. Può contenere parole della persona, ripulite dei dati veri, di email, telefoni e indirizzi web | Fuori dallo Spazio economico europeo e dagli Stati Uniti: per questi modelli OpenRouter non ha fornitori lì | Fuori dallo Spazio economico europeo e dagli Stati Uniti | Quelle di OpenRouter, che è il nostro solo interlocutore. Chiediamo a ogni richiesta che nulla sia conservato. Nessun dato che identifica una persona parte | No | | Resend | Le email delle app, quando un'app ne manda; le email di 1HERO; dal 2026-10-24 la posta scritta all'indirizzo di un'app (`@mail.1hero.ai`), ricevuta da Resend, letta dal servizio una volta e consegnata per email al contatto dell'app; Resend tiene la posta ricevuta 30 giorni | Indirizzo email e contenuto delle email | Stati Uniti (la regione europea di Resend riguarda solo l’invio) | Stati Uniti | Clausole contrattuali standard nell’accordo di trattamento di Resend; Resend dichiara anche l’adesione al Data Privacy Framework ([Resend DPA](https://resend.com/legal/dpa)) | Sì, se l'app manda email | | Grafana | L’osservabilità di 1HERO: tracce, log, metriche, cruscotti, errori | Registri tecnici, tracce e dati delle run, senza segreti. Le tracce dei modelli e i dati delle run possono contenere parti di ciò che la persona scrive: si filtrano prima di aprire il servizio a persone esterne | Grafana Cloud nella regione europea scelta alla creazione; poi un server in UE | Stati Uniti (Raintank Inc., che opera come Grafana Labs) | Clausole contrattuali standard nell’accordo di trattamento di Grafana Labs; Grafana Labs dichiara anche l’adesione al Data Privacy Framework ([Grafana DPA](https://grafana.com/legal/dpa/)) | No | | Cloudflare | Solo il DNS del dominio `1hero.dev` | Nessun dato degli utenti: il traffico non passa da Cloudflare | | Stati Uniti | | No | ### 2.1 Chi risponde per i modelli Ogni chiamata a un modello dice a OpenRouter quali fornitori può usare, e solo quelli: per ogni modello, quelli che OpenRouter elenca con sede nello Spazio economico europeo o negli Stati Uniti e senza centri di calcolo dichiarati fuori da lì. Quando un fornitore serve lo stesso modello anche da una regione che sceglie lui, in qualunque parte del mondo, si ammettono solo le sue regioni nominate. Fra loro OpenRouter sceglie solo chi non raccoglie i dati che riceve. Per i sette modelli dei progetti la chiamata nomina anche tre fornitori in ordine, così una conversazione resta sullo stesso: passa al secondo solo se il primo non risponde, e agli altri ammessi solo se nessuno dei tre risponde. I fornitori ammessi, letti da OpenRouter il 17 ottobre 2026: | Fornitore | Sede | Centri di calcolo dichiarati | Modelli dei progetti | Altri modelli | | ------------------------ | ----------- | ---------------------------- | ------------------------------------------------------------------------------------------------- | ----------------------------------------------------------------------------- | | Amazon Bedrock | Stati Uniti | Non dichiarati | GPT-6 Luna, Claude Opus 5.5 (solo Irlanda e Stati Uniti), GPT-6 Astra | Kimi K2.5, Kimi K3 | | Anthropic | Stati Uniti | Non dichiarati | Claude Opus 5.5, Claude Sonnet 5.5 | - | | AtlasCloud | Stati Uniti | Non dichiarati | DeepSeek V4.1 Flash, GLM 5.3 Flash, GLM 5.2 | DeepSeek V4 Flash, DeepSeek V4 Pro, Kimi K2.5, GLM 5.3 | | BaseTen | Stati Uniti | Non dichiarati | DeepSeek V4.1 Flash, GLM 5.3 Flash, GLM 5.2 | DeepSeek V4 Flash, Kimi K3, GLM 5.3 | | Chutes | Stati Uniti | Non dichiarati | - | Kimi K3 | | Claude Platform on AWS | Stati Uniti | Non dichiarati | Claude Opus 5.5, Claude Sonnet 5.5 | - | | Cloudflare | Stati Uniti | Non dichiarati | GLM 5.2 | DeepSeek V4 Flash, DeepSeek V4 Pro, GLM 5.3 | | Cohere | Stati Uniti | Non dichiarati | - | DeepSeek V4 Flash | | CoreWeave | Stati Uniti | Stati Uniti | DeepSeek V4.1 Flash, GLM 5.3 Flash, GLM 5.2 | DeepSeek V4 Flash, DeepSeek V4 Pro, GLM 5.3 | | Crusoe | Stati Uniti | Non dichiarati | DeepSeek V4.1 Flash, GLM 5.3 Flash | GLM 5.3 | | Decart | Stati Uniti | Stati Uniti | DeepSeek V4.1 Flash, GLM 5.3 Flash, GLM 5.2 | Kimi K3, GLM 5.3 | | DeepInfra | Stati Uniti | Non dichiarati | DeepSeek V4.1 Flash, GLM 5.3 Flash, GLM 5.2 | DeepSeek V4 Flash, DeepSeek V4 Pro, Kimi K3, Qwen3 VL, MiMo V2.6 Pro, GLM 5.3 | | DigitalOcean | Stati Uniti | Non dichiarati | DeepSeek V4.1 Flash, GLM 5.3 Flash, GLM 5.2 | DeepSeek V4 Flash, DeepSeek V4 Pro, Kimi K3, GLM 5.3 | | Fireworks | Stati Uniti | Non dichiarati | DeepSeek V4.1 Flash, GLM 5.3 Flash | Kimi K3, GLM 5.3 | | Friendli | Stati Uniti | Non dichiarati | GLM 5.3 Flash, GLM 5.2 | GLM 5.3 | | GMICloud | Stati Uniti | Stati Uniti | DeepSeek V4.1 Flash, GLM 5.3 Flash, GLM 5.2 | DeepSeek V4 Flash, DeepSeek V4 Pro, MiMo V2.6 Pro, GLM 5.3 | | Google Cloud (Vertex AI) | Stati Uniti | Non dichiarati | Claude Opus 5.5 (solo Europa e Stati Uniti), Claude Sonnet 5.5 (solo Europa e Stati Uniti) | - | | Inceptron | Svezia | Finlandia | GLM 5.3 Flash, GLM 5.2 | DeepSeek V4 Flash, GLM 5.3 | | InferenceNet | Stati Uniti | Non dichiarati | DeepSeek V4.1 Flash, GLM 5.3 Flash | Kimi K3, GLM 5.3 | | Io Net | Stati Uniti | Non dichiarati | - | GLM 5.3 | | Ionstream | Stati Uniti | Stati Uniti | DeepSeek V4.1 Flash | DeepSeek V4 Pro | | Microsoft Azure | Stati Uniti | Non dichiarati | GPT-6 Luna, Claude Opus 5.5 (solo Stati Uniti), Claude Sonnet 5.5 (solo Stati Uniti), GPT-6 Astra | - | | Mistral | Francia | Non dichiarati | GLM 5.2 | GLM 5.3 | | Modal | Stati Uniti | Non dichiarati | DeepSeek V4.1 Flash, GLM 5.3 Flash | Kimi K3, GLM 5.3 | | ModelRun | Stati Uniti | Stati Uniti | - | GLM 5.3 | | Morph | Stati Uniti | Stati Uniti | DeepSeek V4.1 Flash, GLM 5.3 Flash, GLM 5.2 | Kimi K3, GLM 5.3 | | Nebius | Paesi Bassi | Non dichiarati | DeepSeek V4.1 Flash, GLM 5.2 | GLM 5.3 | | NextBit | Spagna | Spagna | GLM 5.3 Flash | - | | Novita | Stati Uniti | Non dichiarati | DeepSeek V4.1 Flash, GLM 5.3 Flash, GLM 5.2 | DeepSeek V4 Flash, DeepSeek V4 Pro, Kimi K2.5, MiMo V2.6 Pro, GLM 5.3 | | OpenAI | Stati Uniti | Non dichiarati | GPT-6 Luna, GPT-6 Astra | - | | OpenInference | Stati Uniti | Non dichiarati | DeepSeek V4.1 Flash, GLM 5.3 Flash | DeepSeek V4 Flash | | Parasail | Stati Uniti | Non dichiarati | DeepSeek V4.1 Flash, GLM 5.3 Flash, GLM 5.2 | DeepSeek V4 Flash, DeepSeek V4 Pro, Kimi K3, Qwen3 VL, GLM 5.3 | | Phala | Stati Uniti | Non dichiarati | DeepSeek V4.1 Flash, GLM 5.3 Flash, GLM 5.2 | DeepSeek V4 Flash, DeepSeek V4 Pro, Kimi K3, GLM 5.3 | | Sail Research | Stati Uniti | Non dichiarati | DeepSeek V4.1 Flash, GLM 5.3 Flash | DeepSeek V4 Flash, DeepSeek V4 Pro, Kimi K3, GLM 5.3 | | Tenstorrent | Stati Uniti | Stati Uniti | - | GLM 5.3 | | Together | Stati Uniti | Non dichiarati | DeepSeek V4.1 Flash, GLM 5.3 Flash, GLM 5.2 | DeepSeek V4 Flash, DeepSeek V4 Pro, Kimi K3, GLM 5.3 | | Venice | Stati Uniti | Stati Uniti | DeepSeek V4.1 Flash, GLM 5.3 Flash, GLM 5.2 | DeepSeek V4 Flash, DeepSeek V4 Pro, Kimi K2.5, Qwen3 VL, GLM 5.3 | | Wafer | Stati Uniti | Non dichiarati | DeepSeek V4.1 Flash, GLM 5.3 Flash, GLM 5.2 | DeepSeek V4 Flash, DeepSeek V4 Pro, Kimi K3, GLM 5.3 | «Non dichiarati» vuol dire che il fornitore non ha detto a OpenRouter dove stanno i suoi centri di calcolo: la sua sede è nello Spazio economico europeo o negli Stati Uniti, ma non sappiamo da dove risponde. I fornitori a cui una conversazione chiede, in ordine: | Modello | Primo | Secondo | Terzo | | ------------------- | --------- | ---------------------- | --------------------------------------- | | DeepSeek V4.1 Flash | CoreWeave | DeepInfra | GMICloud | | GLM 5.3 Flash | Novita | GMICloud | DigitalOcean | | GPT-6 Luna | OpenAI | Microsoft Azure | Amazon Bedrock (Stati Uniti, us-east-1) | | GLM 5.2 | Morph | DigitalOcean | Novita | | Claude Opus 5.5 | Anthropic | Claude Platform on AWS | Amazon Bedrock (Irlanda, eu-west-1) | | Claude Sonnet 5.5 | Anthropic | Claude Platform on AWS | Microsoft Azure (Stati Uniti) | | GPT-6 Astra | OpenAI | Microsoft Azure | Amazon Bedrock (Stati Uniti, us-west-2) | - **Cosa tengono.** OpenRouter ammette solo fornitori che non raccolgono i dati che ricevono. Alcuni, fra cui OpenAI e Anthropic, tengono le richieste per un tempo limitato per controllare gli abusi, come dicono i loro termini: non promettiamo che nessun fornitore tenga nulla. ## 3. Copie di sicurezza | Fornitore | Finestra di ripristino | | --------- | -------------------------------------------------------------------------------------------------------------------------------------------------------------- | | Neon | Quella del piano del progetto: sei ore nel piano gratuito, da uno a trenta giorni nei piani a pagamento. Un progetto cancellato si recupera entro sette giorni | | Vercel | L'archivio di oggetti non ha una copia di sicurezza propria: ciò che vi si cancella non si recupera | | GitHub | Un repository cancellato resta recuperabile per novanta giorni | ## 4. Cambi Un fornitore nuovo o cambiato si scrive qui prima di usarlo. Per i sub-responsabili delle app, i titolari ricevono un avviso almeno 30 giorni prima ([Accordo per il trattamento dei dati delle app (art. 28 GDPR)](https://api.1hero.dev/legal/dpa) §7).