Cosa conserviamo, dove e per quanto tempo.

1. Titolare del trattamento

Divil d.o.o., Glinškova ulica 9, 2000 Maribor, Slovenia, rappresentata dal suo amministratore, Sašo Radović. Email: hello@gatheredphotos.com. Altri dati nelle note legali.

2. Visita del sito web (hosting)

Il sito funziona su Vercel (Vercel Inc., USA). Quando apri una pagina, Vercel tratta i dati tecnicamente necessari: indirizzo IP, data e ora, pagina richiesta (URL), browser e sistema operativo. Questo serve a fornire la pagina e a proteggerla dagli abusi. La base giuridica è il nostro legittimo interesse a un funzionamento sicuro (art. 6, par. 1, lett. f GDPR). Vercel tratta questi dati come responsabile del trattamento per nostro conto e li conserva solo per il tempo necessario al funzionamento e alla sicurezza. Non usiamo cookie.

3. Organizzatori (acquirenti)

• Al momento del pagamento, Stripe raccoglie il tuo indirizzo email, i tuoi dati di pagamento e il tuo paese di fatturazione. Stripe agisce come venditore (Merchant of Record) e tratta questi dati come titolare autonomo, secondo la propria informativa sulla privacy. Noi riceviamo il tuo indirizzo email e il numero d’ordine, mai i dati della tua carta. Comunichiamo a Stripe il nome e la data dell’evento perché compaiano sulla ricevuta.
• I dati dell’album comprendono il nome e la data dell’evento così come li hai scritti, il tuo indirizzo email (per l’email di benvenuto e i promemoria prima della cancellazione), il numero d’ordine, la lingua dell’album, la fine del periodo dei caricamenti e la data di eliminazione. Sono conservati in forma cifrata e vengono eliminati insieme all’album.
• Le email (benvenuto, promemoria, risposte alle tue domande) le inviamo tramite Resend (Plus Five Five, Inc., USA) come responsabile del trattamento.
• La base giuridica è l’esecuzione del contratto per l’album (art. 6, par. 1, lett. b GDPR). Senza indirizzo email, nome e data dell’evento non possiamo creare l’album; a parte questo, non sei obbligato a fornire alcun dato.

4. Invitati

• Gli invitati non hanno bisogno di un account e non chiediamo loro né il nome né l’indirizzo email. Con il caricamento viene trasmessa solo la foto stessa, nessun dato identificativo dell’invitato (per i dati di connessione tecnicamente necessari, vedi il punto 2); non conserviamo indirizzi IP associati alle foto.
• Prima del caricamento, la nostra pagina di caricamento rimuove, direttamente sul telefono dell’invitato, i dati di posizione GPS dalle foto JPEG. Gli altri metadati (fotocamera, ora) restano nel file, perché l’organizzatore riceve gli originali.
• Nelle foto possono comparire delle persone. L’organizzatore è responsabile di informare gli invitati; chiunque può chiedere, con il pulsante «Segnala» o via email, che venga tolta una foto in cui compare.
• La base giuridica è il nostro legittimo interesse e quello dell’organizzatore a riunire in un unico posto le foto di un evento (art. 6, par. 1, lett. f GDPR).

5. Luogo e periodo di conservazione

• Le foto e i record degli album sono conservati in Vercel Blob, a Francoforte (UE).
• L’album viene cancellato con tutte le sue foto 12 mesi dopo la data dell’evento (o dell’acquisto, se successiva). La cancellazione è automatica; non conserviamo copie di backup delle foto.
• I dati dell’ordine restano presso Stripe per il tempo richiesto dalla normativa fiscale.
• Le email che ci invii e i messaggi del modulo di contatto li conserviamo per il tempo necessario a gestire la richiesta e a rispondere a eventuali domande successive.

6. Trasferimenti verso gli USA

Vercel e Resend sono società con sede negli USA. Vercel Inc. è certificata nell’ambito del Quadro UE-USA per la protezione dei dati personali (EU-U.S. Data Privacy Framework), per il quale la Commissione europea ha riconosciuto un livello di protezione adeguato (art. 45 GDPR). Resend protegge i trasferimenti con le clausole contrattuali tipo della Commissione europea (art. 46 GDPR) e partecipa anch’essa al Data Privacy Framework. Supabase Inc. (USA) ospita le statistiche delle visite come responsabile del trattamento in un centro dati di Francoforte (UE).

7. Contatto via email o modulo di contatto

Se ci scrivi, trattiamo il tuo indirizzo email e il tuo messaggio per risponderti. Il modulo di contatto invia entrambi alla nostra casella di posta tramite Resend e non conserva nient’altro. La base giuridica è l’esecuzione di misure precontrattuali o di un contratto (art. 6, par. 1, lett. b GDPR) oppure il nostro legittimo interesse a rispondere alle richieste (art. 6, par. 1, lett. f GDPR).

8. Statistiche delle visite

Le nostre pagine caricano un piccolo script di hotelchrono.com (gestito anch’esso da Divil d.o.o.) che conta le visite alle pagine. Non usa cookie e non salva nulla nel browser. Vengono trasmessi la pagina visitata (senza parametri), il sito da cui sei arrivato (solo il dominio) e, quando fai clic su un indirizzo email o invii un modulo, solo il tipo di quell’evento, mai il suo contenuto. Il server aggiunge il paese e il tipo di dispositivo e genera, a partire dall’indirizzo IP, un hash con un valore casuale (salt) che cambia ogni giorno; l’indirizzo IP in sé non viene conservato, e il giorno dopo l’hash non può più essere collegato a nessuna persona. I singoli record vengono eliminati dopo un’ora; si conservano in modo permanente solo i totali giornalieri per pagina (visite, provenienza, paese, tipo di dispositivo) e i valori hash giornalieri con cui ogni visitatore viene contato una sola volta al giorno. I dati sono conservati in Supabase, a Francoforte (UE). Le pagine degli album non caricano lo script. La base giuridica è il nostro legittimo interesse a una misurazione del pubblico semplice e che usi il minor numero possibile di dati (art. 6, par. 1, lett. f GDPR).

9. Cosa non facciamo

Niente pubblicità, nessuna vendita di dati né comunicazione a terzi, salvo ai fornitori indicati sopra; niente riconoscimento facciale, nessun uso delle foto per addestrare l’IA o per la pubblicità, e nessuna decisione automatizzata. Gli album non compaiono mai nei motori di ricerca.

10. I tuoi diritti

Hai diritto di accesso (art. 15 GDPR), rettifica (art. 16), cancellazione (art. 17), limitazione del trattamento (art. 18), portabilità dei dati (art. 20) e opposizione ai trattamenti basati sul nostro legittimo interesse (art. 21). Per esercitarli, scrivi a hello@gatheredphotos.com. Gli organizzatori possono eliminare da soli qualsiasi foto in qualsiasi momento; la cancellazione dell’intero album si chiede via email.

Puoi anche proporre reclamo a un’autorità di controllo per la protezione dei dati (art. 77 GDPR), ad esempio quella del tuo paese di residenza, come il Garante per la protezione dei dati personali in Italia, oppure l’autorità slovena competente per noi (Informacijski pooblaščenec, IP-RS).