Informativa sulla privacy

Grazie del tuo interesse per aftersnap. La protezione dei tuoi dati personali è importante per noi. Qui di seguito ti informiamo, ai sensi del regolamento generale sulla protezione dei dati (GDPR), sul trattamento dei dati personali quando usi la nostra piattaforma.

1. Titolare del trattamento

Danyel André Maus
Cami des Jardi d'en Ferrer 72
ES-07141 Marratxí, Spagna
E-mail: [email protected]

Per le domande sulla protezione dei dati il riferimento è il titolare del trattamento sopra indicato; la legge non impone la nomina di un responsabile della protezione dei dati (DPO).

2. Aspetti generali e basi giuridiche

Trattiamo dati personali solo nella misura necessaria. A seconda del trattamento le basi giuridiche sono in particolare l'art. 6, par. 1, lett. b del GDPR (contratto e misure precontrattuali), la lett. a (consenso), la lett. c (obbligo legale) e la lett. f (legittimo interesse) e, per le categorie particolari di dati come i dati biometrici, l'art. 9, par. 2, lett. a del GDPR (consenso esplicito).

3. Hosting e infrastruttura tecnica

La nostra applicazione e i relativi dati sono gestiti presso fornitori nell'Unione europea: hosting web presso ALL-INKL.COM (Neue Medien Münnich, UE), capacità di calcolo ed elaborazione presso Hetzner Online GmbH (UE) e archiviazione a oggetti delle foto originali caricate presso Impossible Cloud GmbH (UE). Anche le analisi IA che richiedono molto calcolo (vedi il punto 9) girano lì, su capacità di calcolo che gestiamo presso questi fornitori all'interno dell'UE. Per queste analisi viene creata una copia ridotta delle foto («immagine di analisi») e salvata nell'archivio a oggetti appena citato (Impossible Cloud, UE). Con questi fornitori sono in essere contratti di nomina a responsabile del trattamento ai sensi dell'art. 28 del GDPR.

Per la consegna tramite i domini propri dei clienti e come livello di sicurezza e proxy (fra l'altro protezione dagli attacchi di sovraccarico e DDoS, cifratura TLS, distribuzione dei contenuti) usiamo Cloudflare, Inc. (USA). Cloudflare tratta in particolare indirizzi IP, dati di connessione e di handshake TLS, informazioni su browser e dispositivo e registri di sicurezza. In questo modo dati personali possono essere trasferiti anche negli Stati Uniti (vedi il punto 17).

Le anteprime delle gallerie pubbliche vengono distribuite tramite la rete di distribuzione dei contenuti di BunnyWay d.o.o. (bunny.net, Slovenia). In questo processo viene trattato il tuo indirizzo IP insieme ai dati della richiesta, come il momento, l’immagine richiesta e il tipo di browser; nei registri del fornitore l’indirizzo IP viene abbreviato. La distribuzione è limitata a sedi all’interno dell’Unione europea, quindi non avviene alcun trasferimento verso paesi terzi. Le immagini di gallerie protette da password, di bozze e di gallerie scadute restano sui nostri server. La base giuridica è l’art. 6, par. 1, lett. f GDPR (legittimo interesse a distribuire in modo rapido e affidabile gallerie con molte foto). È in essere un contratto di responsabile del trattamento ai sensi dell’art. 28 GDPR.

4. File di log del server

Quando la piattaforma viene aperta vengono trattati i dati di accesso tecnicamente necessari (per esempio indirizzo IP, data e ora, risorsa richiesta, informazioni su browser e sistema). Servono al funzionamento sicuro e stabile (art. 6, par. 1, lett. f del GDPR) e restano salvati solo per un periodo limitato, di norma alcuni giorni, al massimo 30.

5. Cookie e memorizzazione locale

Usiamo cookie tecnicamente necessari e memorizzazione locale, per esempio per la sessione (login), per la protezione dal cross-site request forgery (CSRF) e per le impostazioni funzionali. La base giuridica è l’art. 6, par. 1, lett. f del GDPR e l’Art. 22.2 LSSI-CE (stretta necessità), nella misura in cui vengono salvate o lette informazioni sul tuo dispositivo. Cookie pubblicitari e statistici di terzi li usiamo esclusivamente sulle nostre pagine informative e solo con il tuo consenso (vedi sotto, «Tracciamento pubblicitario con consenso»). Nelle gallerie dei fotografi e nella dashboard non c’è alcun tracciamento pubblicitario.

Al momento della registrazione annotiamo nel tuo account tramite quale campagna sei arrivato da noi: i parametri utm_source, utm_medium, utm_campaign, utm_content e utm_term dell'indirizzo aperto. Fino alla registrazione restano soltanto nella tua sessione sul nostro server; per questo non impostiamo alcun cookie nostro. La finalità è misurare l'efficacia della nostra pubblicità. La base giuridica è l'art. 6, par. 1, lett. f, del GDPR (legittimo interesse a valutare l'efficacia della nostra pubblicità). Non ne ricaviamo alcun profilo e nessun terzo li riceve. Dopo 24 mesi li cancelliamo (punto 18).

La frequenza con cui vengono aperte le nostre pagine pubbliche viene misurata con Matomo su un server di nostra proprietà presso Hetzner Online GmbH (UE, vedi punto 3). La misurazione avviene sul nostro server, non nel tuo browser: valutiamo solo ciò che ci raggiunge comunque con la richiesta, cioè l'indirizzo aperto, la pagina visitata prima, il tipo di browser e di dispositivo e il tuo indirizzo IP, che viene subito abbreviato. A questo scopo sul tuo dispositivo non viene memorizzato né letto nulla; non c'è alcun cookie di analisi né JavaScript di misurazione. Non ne ricaviamo alcun profilo e i dati non lasciano il nostro server. La base giuridica è l'art. 6, par. 1, lett. f, del GDPR (legittimo interesse a sapere quali contenuti vengono trovati e letti). Se il tuo browser invia «Do Not Track» o «Global Privacy Control», non conteggiamo la visita. Non misuriamo le gallerie dei fotografi. Dopo 24 mesi cancelliamo i dati di misurazione (punto 18).

Tracciamento pubblicitario con consenso. Sulle nostre pagine informative (aftersnap.io senza dashboard e senza gallerie) un banner ti chiede alla prima visita se possiamo usare servizi per misurare l’efficacia della nostra pubblicità. Senza il tuo consenso nessuno di questi servizi viene caricato e nessun cookie corrispondente viene impostato; «Rifiuta» è semplice quanto «Accetta», e il sito funziona allo stesso modo in entrambi i casi. Categoria Marketing: il Meta Pixel di Meta Platforms Ireland Ltd., Dublino (caratteristiche della visita e della registrazione, cookie _fbp e _fbc; per la raccolta noi e Meta siamo contitolari del trattamento ai sensi dell’art. 26 del GDPR, il contenuto essenziale dell’accordo è consultabile su facebook.com/legal/controller_addendum; del trattamento successivo è responsabile soltanto Meta) e Google Ads tramite il Google Tag Manager di Google Ireland Ltd., Dublino (misurazione delle conversioni, cookie _gcl_*). Sempre nella categoria Marketing: il pixel di OpenAI per gli annunci in ChatGPT, di OpenAI Ireland Ltd., Dublino (caratteristiche della visita e della registrazione, cookie __oppref con l’identificativo del clic dall’annuncio, 30 giorni, e __obref, un identificativo casuale del browser, dodici mesi; indirizzi e-mail dai moduli solo sottoposti a hash; noi e OpenAI siamo titolari autonomi del trattamento). Categoria Statistiche: Google Analytics 4 di Google Ireland Ltd. (statistiche d’uso delle nostre pagine informative, cookie _ga*, indirizzo IP abbreviato). Non appena hai confermato il tuo indirizzo e-mail, trasmettiamo inoltre la registrazione e, se del caso, l’inizio del tuo periodo di prova lato server a Meta, a OpenAI o a Google, esclusivamente con il consenso dato per la rispettiva categoria e solo con indirizzo e-mail sottoposto a hash, indirizzo IP abbreviato e identificativo del clic ricavato dal cookie. Poiché il link di conferma si apre spesso su un altro dispositivo, all’invio del modulo conserviamo la tua scelta e questi identificativi cifrati nel tuo account, fino alla conferma e per non più di sette giorni. I fornitori possono trasferire dati negli USA; il fondamento è l’EU-U.S. Data Privacy Framework oppure le clausole contrattuali tipo dell’UE (punto 17). La base giuridica è il tuo consenso (art. 6, par. 1, lett. a del GDPR, § 25 (1) TDDDG); puoi revocarlo o modificarlo in qualsiasi momento con effetto per il futuro tramite il link «Impostazioni dei cookie» nel piè di pagina. Salviamo la tua decisione in un cookie (aftersnap_consent, dodici mesi) e la registriamo senza riferimento alla tua persona (data e ora, versione, decisione, indirizzo IP abbreviato) per tre anni come prova. Se i servizi utilizzati cambiano, te lo chiediamo di nuovo.

6. Account dei fotografi

Per l'uso come fotografo trattiamo dati anagrafici e di contatto (per esempio nome, e-mail e la password, che viene salvata soltanto come hash crittografico) e, per la fatturazione, i dati di fatturazione (per esempio ragione sociale, indirizzo, partita IVA). La base giuridica è l'art. 6, par. 1, lett. b del GDPR; restano impregiudicati gli obblighi di conservazione fiscali e commerciali (lett. c). Questi dati servono per aprire l'account e per eseguire il contratto; senza di essi l'account non può essere creato e il contratto non può essere eseguito.

7. Gallerie e foto caricate (trattamento per conto del titolare)

I fotografi caricano le foto e le mettono a disposizione dei propri clienti come galleria online. Se in queste foto sono ritratte delle persone, trattiamo le foto per conto del fotografo; il titolare del trattamento di questi contenuti è il fotografo. aftersnap tratta le foto soltanto su istruzione documentata del fotografo. I dati personali delle persone ritratte non li riceviamo direttamente da loro, ma tramite il fotografo che carica le immagini. La base è un contratto di nomina a responsabile del trattamento.

8. Ospiti della galleria e download

Quando una galleria viene aperta trattiamo i dati tecnici necessari alla consegna. Nelle gallerie protette da password la password inserita viene verificata (art. 6, par. 1, lett. b del GDPR). Se un ospite richiede un download ZIP, trattiamo l'indirizzo e-mail indicato soltanto per avvisare che il file è pronto (art. 6, par. 1, lett. b e f del GDPR).

9. Funzioni IA: ricerca per volto, analisi dei contenuti e delle persone (anche dati biometrici)

Se la funzione è attiva per una galleria, gli ospiti possono caricare un selfie per trovare automaticamente le foto in cui compaiono. Vengono così trattati dati biometrici, una categoria particolare di dati ai sensi dell'art. 9 del GDPR. Il trattamento avviene solo dopo un consenso esplicito (art. 9, par. 2, lett. a del GDPR). Il selfie caricato viene elaborato esclusivamente sui nostri server nell'UE, resta memorizzato in via temporanea solo per la durata dell'analisi e viene cancellato automaticamente subito dopo la fine della ricerca; non viene conservato in modo permanente. Serve soltanto a ritrovare la persona nelle foto di quella galleria e non viene usato fra gallerie diverse; non avviene alcuna identificazione di persone sconosciute. Per rendere possibile la ricerca, i tratti dei volti nelle foto della galleria vengono analizzati in anticipo e conservati come modelli biometrici di confronto; servono solo al confronto all'interno della stessa galleria e non vengono usati fra gallerie diverse. Anche questa analisi gira sui nostri server nell'UE (vedi il punto 3). Il consenso è facoltativo e revocabile in qualsiasi momento con effetto per il futuro; senza consenso la galleria si usa normalmente.

Il fotografo può inoltre attivare per una galleria un'analisi dei contenuti e delle persone assistita dall'IA: un'IA associa automaticamente le foto ai soggetti raffigurati (per esempio torta, fiori, ballo) e raggruppa i volti simili all'interno della stessa galleria in persone, a cui il fotografo o la sua clientela possono dare un nome; gli ospiti possono poi filtrare la galleria per contenuto o per persona. Il raggruppamento dei volti tratta dati biometrici (art. 9 del GDPR), avviene solo all'interno della singola galleria (nessun confronto fra gallerie, nessuna identificazione di persone sconosciute) e, come il resto del trattamento delle foto, per conto del fotografo, che risponde della base giuridica nei confronti delle persone ritratte. Le analisi girano su infrastruttura propria nell'UE (vedi il punto 3). Non ne deriva alcuna decisione automatizzata con effetti giuridici (vedi il punto 20).

10. Portale per i fornitori

Se i fotografi invitano dei fornitori (per esempio per la selezione delle immagini), trattiamo i loro dati di contatto e la conferma dell'accettazione delle condizioni in vigore (per poterlo dimostrare, art. 6, par. 1, lett. b e f del GDPR).

11. Invio di e-mail

Per fornire il servizio inviamo e-mail (per esempio link alle gallerie, notifiche, messaggi di sistema) tramite il server di posta del nostro provider di hosting. Per motivi di prova e di funzionamento registriamo l'invio in misura adeguata (art. 6, par. 1, lett. b e f del GDPR).

11a. Newsletter

Dalla nostra pagina della newsletter puoi iscriverti alla newsletter per fotografi. Esce al massimo due volte al mese e contiene indicazioni su selezione delle immagini, presentazione e consegna, oltre a novità sulle funzioni di aftersnap. A questo scopo trattiamo il tuo indirizzo e-mail e la lingua della pagina su cui hai effettuato l'iscrizione. L'iscrizione diventa efficace solo quando clicchi sul link nella nostra e-mail di conferma (double opt-in). Come prova conserviamo data e ora dell'iscrizione e della conferma, oltre all'indirizzo IP abbreviato al momento della conferma. La base giuridica è il tuo consenso (art. 6, par. 1, lett. a del GDPR), che puoi revocare in qualsiasi momento con effetto per il futuro.

Quando registri un account puoi iscriverti alla newsletter con una casella di spunta apposita, che non è preselezionata. L'iscrizione si conferma con il link contenuto nell'e-mail di conferma del tuo account, che in questo caso lo indica espressamente. Se hai già un account, ti iscrivi alla newsletter nella dashboard, alla voce Profilo, dove puoi anche disiscriverti in qualsiasi momento. Senza questo consenso non inviamo la newsletter ai titolari di un account. La prova e la base giuridica sono le stesse dell'iscrizione tramite la pagina della newsletter.

Inviamo la newsletter tramite il server di posta del nostro provider di hosting ALL-INKL.COM (vedi il punto 3). Se un invio torna indietro come non recapitabile, analizziamo la risposta del server di posta destinatario: se la casella di posta o il dominio non esistono, oppure se la casella è risultata piena più volte nell'arco di almeno una settimana, non inviamo più la newsletter a quell'indirizzo e annotiamo il motivo. La base giuridica è il nostro legittimo interesse a un invio funzionante (art. 6, par. 1, lett. f del GDPR).

Misuriamo come viene accolto un invio nel suo complesso, senza attribuire il dato a una persona. A questo scopo la newsletter contiene un'immagine invisibile, caricata dal nostro server all'apertura, e link che passano dal nostro server prima di portare alla destinazione. Contiamo quante volte un invio è stato aperto e quale link è stato cliccato, separatamente per lingua, e inoltre per ogni invio il numero di disiscrizioni e di iscrizioni avvenute da invii inoltrati. Perché lo stesso dispositivo non venga contato più volte nello stesso giorno, ricaviamo dall'indirizzo IP, dall'identificativo del browser e da un valore casuale generato ogni giorno una somma di controllo non reversibile. Sostituiamo il valore casuale il giorno successivo; da quel momento la somma di controllo non è più riconducibile a nessuno. Indirizzo IP e identificativo del browser non vengono salvati, non registriamo chi ha aperto o cliccato e la misurazione non imposta alcun cookie. La base giuridica è il nostro legittimo interesse a migliorare i contenuti della newsletter (art. 6, par. 1, lett. f del GDPR). Puoi impedire il conteggio dell'apertura disattivando il caricamento delle immagini nel tuo programma di posta.

Ogni invio contiene un link per annullare l'iscrizione e uno per cambiare la lingua della newsletter. Dopo la disiscrizione conserviamo il tuo indirizzo e-mail con un'annotazione di blocco, per non scriverti di nuovo per errore, per esempio se il tuo indirizzo ci arriva ancora una volta per un'altra via (art. 6, par. 1, lett. f del GDPR). Se vuoi che venga cancellata anche questa annotazione, scrivici; in quel caso però non possiamo più escludere di scriverti di nuovo.

12. Modulo di contatto

Con il modulo sulla nostra pagina dei contatti puoi scriverci senza avere un account. Trattiamo i dati che inserisci tu: nome, indirizzo e-mail, oggetto e testo del messaggio. Questi dati arrivano come e-mail nella nostra casella e lì vengono gestiti come qualsiasi altra richiesta; non li salviamo in aggiunta in un database.

La finalità è soltanto rispondere alla tua richiesta. La base giuridica è l'art. 6, par. 1, lett. f del GDPR (legittimo interesse a rispondere alle richieste); se la richiesta riguarda un contratto in essere o in fase di trattativa, si aggiunge l'art. 6, par. 1, lett. b del GDPR. Cancelliamo il messaggio appena è stato evaso, se non vi si oppongono termini di conservazione di legge.

Per difenderci dagli invii automatici il modulo contiene un campo che tu non vedi e misura quanto tempo hai impiegato a compilarlo. Limitiamo inoltre il numero di invii per indirizzo IP. Non nascono profili e non vengono trasmessi dati a terzi.

13. Pagamenti e fatturazione

Per i piani a pagamento ci serviamo di Stripe Payments Europe, Ltd. (Irlanda) come prestatore di servizi di pagamento. Quando apri la pagina di pagamento trasmettiamo a Stripe il tuo indirizzo e-mail, il tuo nome o la tua ragione sociale e il tuo indirizzo di fatturazione (via, CAP, città, paese). I dati di pagamento come il numero della carta li inserisci soltanto da Stripe; non arrivano ai nostri server e noi non li salviamo né li trattiamo. Da Stripe riceviamo soltanto l'informazione se un pagamento è andato a buon fine, oltre alle ultime quattro cifre e al tipo di strumento di pagamento usato. La base giuridica è l'art. 6, par. 1, lett. b del GDPR (esecuzione del contratto). Stripe è una società controllata di Stripe, Inc. (USA); sul trasferimento verso paesi terzi vedi il punto 17.

Per la contabilità e per adempiere agli obblighi fiscali di conservazione trasmettiamo i dati di fatturazione a sevDesk GmbH (Offenburg, Germania). Si tratta del tuo nome o della tua ragione sociale, del tuo indirizzo di fatturazione, del numero della fattura, delle prestazioni fatturate e degli importi. La base giuridica è l'art. 6, par. 1, lett. c del GDPR (adempimento di un obbligo legale, in particolare § 14b UStG, § 147 AO e § 257 HGB per le operazioni imponibili in Germania). Con entrambi i fornitori sono in essere contratti di nomina a responsabile del trattamento ai sensi dell'art. 28 del GDPR.

14. Collegamento del profilo dell'attività su Google

I fotografi possono collegare a scelta il proprio profilo dell'attività su Google tramite la Google Business Profile API con OAuth. Dopo l'autorizzazione esplicita nell'account Google accediamo, solo nella misura necessaria, ai dati della scheda propria, in particolare i dati di posizione e di recensione (fra cui l'ID Google della sede e il link alle recensioni), per fornire il link alle recensioni e, se la funzione è attiva, mostrare la valutazione complessiva sulla pagina del profilo. La base giuridica è il tuo consenso o l'esecuzione del contratto (art. 6, par. 1, lett. a e b del GDPR).

I dati ricevuti dalle API di Google li usiamo soltanto per fornire e migliorare queste funzioni visibili all'utente. Non vendiamo questi dati, non li usiamo per la pubblicità e non li cediamo, salvo quanto necessario per fornire la funzione, imposto dalla legge o espressamente richiesto da te. L'uso dei dati di Google avviene nel rispetto della Google API Services User Data Policy, comprese le condizioni di uso limitato (Limited Use). Il fornitore è Google Ireland Limited o Google LLC; i dati personali possono quindi essere trattati anche fuori dall'UE, in particolare negli Stati Uniti (vedi il punto 17). Valgono in aggiunta le informazioni sulla privacy di Google. Il collegamento può essere revocato in qualsiasi momento dall'account («Scollega») e nelle impostazioni di sicurezza del tuo account Google.

15. Dominio proprio

Se colleghi un (sotto)dominio tuo, la consegna passa tecnicamente da Cloudflare (vedi il punto 3). Vengono trattati i dati di connessione necessari alla consegna e alla cifratura TLS (in particolare l'indirizzo IP); in questo modo dati personali possono essere trasferiti anche negli Stati Uniti (art. 6, par. 1, lett. b e f del GDPR, vedi il punto 17).

16. Destinatari e responsabili del trattamento

Per fornire il servizio ci avvaliamo di fornitori scelti con cura come responsabili del trattamento, fra cui: ALL-INKL.COM (hosting web ed e-mail, UE), Hetzner Online GmbH (elaborazione, UE), Impossible Cloud GmbH (archiviazione a oggetti, UE), BunnyWay d.o.o. (distribuzione delle immagini, Slovenia), Cloudflare, Inc. (CDN e proxy, USA), Stripe Payments Europe, Ltd. (pagamenti, Irlanda) e sevDesk GmbH (contabilità, UE). Se usi il collegamento con Google si aggiunge Google (Irlanda/USA). Per i nostri contenuti (modelli di e-mail, la musica della nostra libreria audio e i contratti con i nostri fornitori) utilizziamo inoltre servizi di IA di Anthropic, PBC, OpenAI, LLC ed ElevenLabs, Inc. (ciascuno USA, clausole contrattuali standard UE); foto, gallerie e dati dei clienti non vi arrivano mai. Servizi pubblicitari e di analisi (Meta Platforms Ireland Ltd. con il Meta Pixel; OpenAI Ireland Ltd. con il pixel di OpenAI per gli annunci in ChatGPT; Google Ireland Ltd. con Google Tag Manager, Google Analytics 4 e Google Ads) li usiamo esclusivamente sulle nostre pagine informative e solo con il tuo consenso (punto 5).

17. Trasferimenti verso paesi terzi

Quando dati personali vengono trasferiti a fornitori fuori dall'UE e dallo SEE (per esempio Cloudflare, Google, Meta, OpenAI oppure, tramite la capogruppo statunitense Stripe, Inc., anche Stripe), ciò avviene sulla base di garanzie adeguate ai sensi degli artt. 44 e seguenti del GDPR, in particolare delle clausole contrattuali tipo della Commissione europea attualmente in vigore (decisione di esecuzione (UE) 2021/914) oppure, dove applicabile, di una decisione di adeguatezza (EU-U.S. Data Privacy Framework).

18. Periodo di conservazione

Conserviamo i dati personali solo per il tempo necessario alle rispettive finalità o per la durata dei termini di conservazione di legge. Di norma vale quanto segue:

Account dei fotografi (dati anagrafici e di contatto): fino alla cancellazione dell'account;
Dati di fatturazione e di contabilità: secondo i termini di conservazione fiscali e commerciali (almeno il termine di legge, tecnicamente 10 anni; per le fatture con IVA tedesca § 14b UStG);
File di log del server e dell'applicazione: da alcuni giorni a un massimo di 30;
Contenuti della galleria (foto originali, anteprime, immagine di analisi): secondo le impostazioni del fotografo o fino alla cancellazione della galleria o dell'account; l'immagine di analisi viene cancellata insieme alla foto a cui appartiene;
Selfie della ricerca per volto: subito dopo la fine della ricerca; la prova del consenso prestato (data e ora, indirizzo IP) resta conservata fino alla cancellazione della galleria;
Modelli biometrici di confronto delle foto della galleria: finché esiste la galleria a cui appartengono; vengono cancellati con la galleria;
Origine della registrazione (parametri della campagna): 24 mesi dalla registrazione; poi vengono cancellati;
Misurazione degli accessi (pagine aperte, indirizzo IP abbreviato): 24 mesi; poi vengono cancellati;
Registro dei consensi al tracciamento pubblicitario (data e ora, versione, decisione, indirizzo IP abbreviato): 3 anni; il cookie con la tua decisione: 12 mesi;
Newsletter: fino alla tua disiscrizione, poi l'indirizzo e-mail come annotazione di blocco (vedi il punto 11a); iscrizioni non confermate dalla pagina della newsletter: 30 giorni;
Password: fino alla cancellazione dell'account o della galleria.

19. I tuoi diritti

Il GDPR ti riconosce il diritto di accesso (art. 15), di rettifica (art. 16), di cancellazione (art. 17), di limitazione del trattamento (art. 18) e alla portabilità dei dati (art. 20). Hai inoltre il diritto, ai sensi dell'art. 21 del GDPR, di opporti in qualsiasi momento, per motivi legati alla tua situazione particolare, al trattamento dei dati personali che ti riguardano fondato su un legittimo interesse (art. 6, par. 1, lett. f del GDPR); da quel momento non trattiamo più i dati, salvo che possiamo dimostrare motivi legittimi cogenti. I consensi prestati puoi revocarli in qualsiasi momento con effetto per il futuro (art. 7, par. 3 del GDPR). Hai infine il diritto di proporre reclamo a un'autorità di controllo per la protezione dei dati (art. 77 del GDPR). Per esercitare questi diritti basta un messaggio a [email protected].

20. Decisioni automatizzate

Non avviene alcun processo decisionale automatizzato, compresa la profilazione, con effetti giuridici ai sensi dell'art. 22 del GDPR.

21. Misure tecniche e organizzative

Adottiamo misure tecniche e organizzative adeguate a proteggere i dati personali, in particolare:

Cifratura del trasporto (TLS/HTTPS) per tutte le connessioni alla piattaforma;
Password degli account salvate soltanto come hash crittografico; le password delle gallerie vengono salvate cifrate;
Un sistema di accessi e autorizzazioni basato sui ruoli (fotografo, assistenza, amministrazione) secondo il principio di minimizzazione dei dati;
Trattamento e conservazione all'interno dell'UE e dello SEE (vedi il punto 3) sulla base di contratti di nomina a responsabile del trattamento;
Gallerie protette da password e link di condivisione e download ad accesso limitato, non reperibili pubblicamente;
Registrazione degli eventi rilevanti per la sicurezza e backup periodici a livello dell'infrastruttura di hosting utilizzata.

Verifichiamo e miglioriamo queste misure con continuità, secondo lo stato dell'arte.

22. Modifiche

Adeguiamo questa informativa quando cambia il quadro normativo o il nostro trattamento. Vale la versione di volta in volta pubblicata su questa pagina.

Aggiornato a ottobre 2026 · Versione 1.4

Questa pagina è una traduzione. In caso di difformità tra le versioni linguistiche prevale il testo tedesco; il diritto applicabile è indicato nelle condizioni d’uso.