Informativa privacy

1. Titolare del trattamento

Cloud Ninja Consulting ApS
Apeldoorn Allé 20, 2791 Dragør, Denmark
Partita IVA: DK46044118
Eventphoto.io è il titolare del trattamento dei dati personali raccolti tramite il servizio.
Contatti: support@eventphoto.io

La presente informativa riguarda Eventcam.dk, Eventphoto.io, Eventcam.se, Eventkamera.de, Eventphoto.fr, Eventcamera.es e Eventfoto.it, che sono lo stesso servizio con un unico gestore.

2. Quali dati raccogliamo?

• Dati dell'organizzatore e dell'evento: indirizzo e-mail dell'organizzatore, nome dell'evento, ID evento, token privato dell'organizzatore, lingua selezionata, orario di apertura, piano, data di scadenza ed eventuale PIN facoltativo per gli ospiti.
• Dati dell'account dell'organizzatore e dell'organizzazione (utenti della dashboard): e-mail di accesso, lingua dell'account e, per le organizzazioni, il nome dell'organizzazione, un eventuale nome del marchio, logo e colore, nonché il saldo dei crediti evento e il registro degli acquisti.
• Registrazione aziendale senza codice: finché non confermi l’email, l’indirizzo inserito è conservato con il tuo account di accesso (fino alla conferma o alla cancellazione della registrazione non confermata). Una registrazione non pagata e mai confermata viene cancellata circa 60 giorni dopo la registrazione; una registrazione pagata, anche se segnalata con «Non sono stato io», viene conservata insieme ai dati del pagamento. Per limitare le email di benvenuto e rispettare «Non sono stato io», conserviamo per 30 giorni un hash unidirezionale (HMAC) dell’indirizzo, mai l’indirizzo stesso. Per una registrazione a pagamento, nel pagamento Stripe è salvato anche un hash di un valore di controllo del browser. Base giuridica: esecuzione del contratto e nostro legittimo interesse a prevenire abusi.
• Contenuti caricati: foto, video, eventuali scelte dell'immagine di copertina e metadati come tipo di file, dimensione, ora del caricamento ed eventuale nome dell'ospite.
• Messaggi del libro degli ospiti: il testo del messaggio, l'eventuale nome dell'ospite e l'ora in cui è stato scritto, se l'organizzatore ha attivato il libro degli ospiti.
• Identificativi di sessione degli ospiti: un ID di sessione anonimo usato per collegare caricamenti e messaggi del libro degli ospiti allo stesso dispositivo dell'ospite e per applicare i limiti del piano.
• Registro delle attività dell'evento: una registrazione delle azioni compiute su un evento (ad esempio caricamenti, eliminazioni, download, avvio dell'upgrade) con l'ora e l'indicazione se l'autore era l'organizzatore o un ospite, così che gli organizzatori possano vedere cosa è successo al loro evento e noi possiamo esaminare le richieste di assistenza. Quando l'analisi statistica è attiva (sezione 8), registriamo anche, insieme a un evento che crei e a ogni acquisto, la provenienza della tua visita: il dominio del sito da cui arrivi (oppure il fatto che arrivi da una delle nostre pagine o torni dalla pagina di pagamento), i parametri di campagna del link, il tipo di clic sull'annuncio (non il suo ID) e la prima pagina che hai aperto.
• Riferimenti di pagamento e fatturazione per i piani a pagamento: i riferimenti Stripe a sessione, cliente, intento di pagamento (payment intent) e fattura, necessari per attivare e documentare l'acquisto. Stripe conserva i dati della carta e l'indirizzo di fatturazione; non vediamo mai i numeri completi delle carte.
• Dati di accesso e di login: sessioni di autenticazione alla dashboard e all'area admin, cookie di sblocco per gli eventi protetti da PIN e cookie di verifica dell'organizzatore per le azioni di download e di amministrazione.
• Dati delle richieste: il tuo indirizzo IP e l'identificazione del browser vengono usati in memoria per limitare la frequenza delle richieste abusive e compaiono nei log delle richieste, di breve durata, del nostro fornitore di hosting. Non li usiamo per creare profili.
• Tag generati dall'IA per i piani a pagamento: se un evento a pagamento usa l'etichettatura con IA, i tag ricavati dalle immagini vengono salvati nei record dei caricamenti.
• Feedback: se rispondi alle domande di feedback collegate a una precedente e-mail inviata dopo l'evento, la tua risposta e l'eventuale commento vengono salvati insieme all'evento.
• Riferimento al clic sull'annuncio: se provieni da uno dei nostri annunci in ChatGPT e l'analisi statistica è attiva (sezione 8), i nomi della campagna contenuti nel link dell'annuncio e il riferimento del clic che OpenAI vi ha aggiunto. Il tuo browser li conserva per 30 giorni. Un evento gratuito che crei in quel periodo li conserva fino all'eliminazione dell'evento, e un checkout che avvii li salva insieme al record del pagamento.
• Misurazione degli annunci tramite Microsoft: se l'analisi statistica è attiva (sezione 8), il tag di Microsoft Advertising presente sulle nostre pagine invia a Microsoft, per ogni pagina che apri qui, l'indirizzo e il titolo della pagina, la pagina da cui arrivi, dati tecnici sul tuo browser (lingua, dimensioni dello schermo, tempo di caricamento della pagina) e il tuo indirizzo IP, insieme agli identificativi che Microsoft associa al tuo browser: quelli contenuti nei cookie di Microsoft e, se arrivi da uno dei nostri annunci su Bing o sulla rete di Microsoft, l'ID del clic che Microsoft ha aggiunto al link dell'annuncio. Questo avviene indipendentemente dal fatto che tu arrivi o meno da un annuncio.

3. Finalità e base giuridica

Il regolamento generale sulla protezione dei dati (GDPR) richiede una base giuridica per ciascuna finalità:

• Creazione e gestione dell'evento (caricamenti degli ospiti, libro degli ospiti, accesso alla galleria, condivisione tramite QR, login dell'organizzatore, download, gestione della copertina, e-mail transazionali come conferme, link di accesso, codici di download, ricevute, notifiche del primo caricamento e promemoria di scadenza): esecuzione del contratto con l'organizzatore, art. 6, par. 1, lett. b), GDPR. Per gli ospiti, il nostro legittimo interesse a fornire il servizio richiesto dall'organizzatore, art. 6, par. 1, lett. f), GDPR.
• Pagamento, attivazione e contabilità: esecuzione del contratto, art. 6, par. 1, lett. b), GDPR, e il nostro obbligo legale di conservare le scritture contabili ai sensi della legge danese sulla contabilità (bogføringsloven), art. 6, par. 1, lett. c), GDPR.
• Sicurezza e prevenzione degli abusi (limiti di frequenza, protezione con PIN, verifica dell'organizzatore, registro delle attività, log delle richieste): il nostro legittimo interesse a mantenere sicuri il servizio e i suoi utenti, art. 6, par. 1, lett. f), GDPR.
• Etichettatura delle immagini con IA negli eventi a pagamento: esecuzione del contratto con l'organizzatore, art. 6, par. 1, lett. b), GDPR. L'etichettatura produce parole chiave descrittive per la ricerca; non viene usata per identificare le persone e non utilizza il riconoscimento facciale.
• Analisi statistica del sito web (Google Analytics 4): il tuo consenso all'analisi statistica, art. 6, par. 1, lett. a), GDPR, che sulle nostre pagine in inglese è attivo per impostazione predefinita per i visitatori nelle Americhe (sezione 8) e negli altri casi viene prestato tramite il banner dei cookie; puoi disattivarlo in qualsiasi momento tramite Impostazioni cookie nel piè di pagina.
• Misurazione dei nostri annunci in ChatGPT (sezione 5): il tuo consenso all'analisi statistica, art. 6, par. 1, lett. a), GDPR, che sulle nostre pagine in inglese è attivo per impostazione predefinita per i visitatori nelle Americhe (sezione 8). Disattivare l'analisi statistica in Impostazioni cookie interrompe questa misurazione ed elimina dal tuo browser la voce relativa al clic sull'annuncio; un riferimento già salvato con un evento resta fino all'eliminazione dell'evento.
• Misurazione dei nostri annunci su Bing e sulla rete di Microsoft (Microsoft Advertising, sezione 5): il tuo consenso all'analisi statistica, art. 6, par. 1, lett. a), GDPR, che sulle nostre pagine in inglese è attivo per impostazione predefinita per i visitatori nelle Americhe (sezione 8). Ci mostra quali dei nostri annunci Microsoft portano a visite e acquisti, così da poterli misurare e decidere dove fare pubblicità. Disattivare l'analisi statistica in Impostazioni cookie ferma il tag da quel momento ed elimina i suoi cookie su questo sito.
• Capire come nascono eventi e acquisti (la provenienza della tua visita, sezione 2): il tuo consenso all'analisi statistica, art. 6, par. 1, lett. a), GDPR, che sulle nostre pagine in inglese è attivo per impostazione predefinita per i visitatori nelle Americhe (sezione 8). In questo modo sappiamo quali siti, campagne e annunci portano a eventi e vendite. Disattivare l'analisi statistica in Impostazioni cookie interrompe la registrazione da quel momento in poi; i dati già registrati restano associati all'evento fino alla sua eliminazione, oltre che alla registrazione del pagamento (sezione 4).
• Misurazione delle prestazioni web (Vercel Speed Insights): il nostro legittimo interesse a mantenere veloce il sito, art. 6, par. 1, lett. f), GDPR. Invia a Vercel i tempi di caricamento delle pagine e l'URL della pagina; non imposta cookie e non salva alcun identificativo sul tuo dispositivo.
• Feedback sul prodotto (risposte a quelle domande di feedback): il nostro legittimo interesse a migliorare il servizio, art. 6, par. 1, lett. f), GDPR. Rispondere è facoltativo.
• E-mail di recensione e inviti: dopo un evento a pagamento, quando almeno sette ospiti hanno caricato contenuti e da due giorni non ci sono nuovi caricamenti, inviamo una sola volta un'e-mail all'organizzatore per chiedergli una recensione su Trustpilot; l'e-mail indica quanti ospiti hanno condiviso quante foto e quanti video. Quali organizzatori di eventi a pagamento la ricevono dipende esclusivamente da questa attività di caricamento, mai da come è andato l'evento o da cosa potrebbero dire. Una copia dell'e-mail viene inviata a Trustpilot, che circa una settimana dopo invia all'organizzatore un proprio invito. Gli organizzatori di eventi gratuiti ricevono la stessa e-mail solo se la inviamo manualmente, e per questi eventi Trustpilot non riceve nulla da noi. Gli eventi creati da uno spazio coordinatore non ricevono né l'e-mail né l'invito. Il nostro legittimo interesse a raccogliere recensioni autentiche dei clienti, art. 6, par. 1, lett. f), GDPR. Scrivere una recensione è facoltativo e puoi opporti in qualsiasi momento.

4. Conservazione e cancellazione

La scadenza dell'evento dipende dal piano scelto:

• Piano gratuito: l'evento scade 14 giorni dopo la creazione.
• Piano a pagamento: l'evento scade 365 giorni dopo la creazione.

Quando un evento è scaduto, i caricamenti si interrompono e la galleria si chiude. Una procedura automatica elimina poi definitivamente l'evento, le sue foto e i suoi video, i messaggi del libro degli ospiti, le immagini di copertina, gli archivi di download, il registro delle attività e il record dell'evento stesso; solo un registro tecnico della creazione degli archivi di download (ID evento, dimensioni, tempi) e il registro dei crediti di un'organizzazione possono conservare l'ID evento. La procedura viene eseguita una volta al giorno, quindi la cancellazione avviene il giorno successivo alla data di scadenza, di norma entro 48 ore dalla scadenza. Gli organizzatori possono anche eliminare un evento o singoli file in qualsiasi momento dalla dashboard, e noi possiamo effettuare la cancellazione su richiesta. I contenuti eliminati non possono essere recuperati, quindi scarica ciò che ti serve prima della data di scadenza. Prima della scadenza inviamo e-mail di promemoria.

Le altre categorie di dati sono conservate per i periodi indicati di seguito:

• Dati dell'account dell'organizzatore e dell'organizzazione: finché non ci chiedi di eliminare l'account.
• Registrazioni di pagamenti e fatture: 5 anni dalla fine dell'esercizio finanziario dell'acquisto, come previsto dalla legge danese sulla contabilità. Stripe conserva le proprie registrazioni secondo la propria informativa. La provenienza della tua visita, se è stata registrata con un acquisto (sezione 2), fa parte della registrazione di quel pagamento presso Stripe e viene conservata con essa, anche dopo l'eliminazione dell'evento.
• Corrispondenza con l'assistenza: fino a 2 anni dopo la chiusura della richiesta.
• Risposte di feedback: fino a 2 anni.
• Log delle richieste presso il nostro fornitore di hosting: un breve periodo, attualmente pochi giorni.
• Dati di analisi statistica: Google Analytics 4 conserva i dati a livello di evento per 14 mesi.
• Misurazione degli annunci tramite Microsoft: i cookie del tag su questo sito durano 1 giorno (_uetsid), 90 giorni (_uetmsclkid) e 390 giorni (_uetvid), e il cookie di Microsoft MUID 13 mesi; disattivando l'analisi statistica vengono eliminati quelli presenti su questo sito. Microsoft conserva per 390 giorni i dati che riceve tramite il tag.

5. Responsabili del trattamento e trasferimenti al di fuori dell'UE

Non vendiamo né condividiamo i tuoi dati con terzi, ad eccezione dei seguenti responsabili del trattamento, che agiscono secondo le nostre istruzioni in base ad accordi sul trattamento dei dati, e della misurazione degli annunci descritta dopo l'elenco:

• Supabase Inc. – database, autenticazione e archiviazione dei file. Il nostro progetto è ospitato nella regione di Londra di Supabase (Regno Unito). Il Regno Unito è coperto da una decisione di adeguatezza dell'UE, quindi non sono necessarie ulteriori garanzie.
• Vercel Inc. (USA) – hosting dell'applicazione, distribuzione e Speed Insights. Le nostre funzioni server vengono eseguite a Francoforte; la rete edge e i sistemi di assistenza di Vercel sono globali. I trasferimenti si basano sulla certificazione di Vercel nell'ambito del quadro UE-USA per la protezione dei dati personali (EU-US Data Privacy Framework) e sulle clausole contrattuali standard dell'UE.
• Brevo (Sendinblue SAS, Francia) – e-mail transazionali come conferme, link di accesso, promemoria e notifiche. Trattamento nell'UE.
• Stripe (Stripe Payments Europe Ltd., Irlanda, e Stripe Inc., USA) – elaborazione dei pagamenti, fatture, calcolo delle imposte e metadati relativi ai pagamenti per i piani a pagamento. I trasferimenti verso gli USA si basano sulla certificazione di Stripe nell'ambito del Data Privacy Framework e sulle clausole contrattuali standard.
• OpenAI (OpenAI Ireland Ltd. e OpenAI, L.L.C., USA) – etichettatura delle immagini con IA negli eventi a pagamento. Le foto vengono inviate come miniature a dimensione ridotta tramite link di breve durata; OpenAI le elabora per restituire parole chiave e non usa i dati dell'API per addestrare i propri modelli. I trasferimenti si basano sulla certificazione di OpenAI nell'ambito del Data Privacy Framework e sulle clausole contrattuali standard.
• Trustpilot A/S (Danimarca) – inviti a lasciare una recensione per gli organizzatori di eventi a pagamento. Riceve una copia dell'e-mail di recensione inviata dopo l'evento, compresi l'indirizzo e-mail dell'organizzatore, il nome dell'evento e il numero di ospiti, foto e video dell'evento. Una recensione che decidi di scrivere è trattata secondo l'informativa privacy di Trustpilot.
• Google (Google Ireland Ltd. e Google LLC, USA) – analisi statistica del sito web basata sul consenso tramite Google Analytics 4. I trasferimenti si basano sulla certificazione di Google nell'ambito del Data Privacy Framework e sulle clausole contrattuali standard. Google Analytics 4 non registra né conserva gli indirizzi IP.

Se provieni da un annuncio mostrato in ChatGPT e l'analisi statistica è attiva, comunichiamo a OpenAI (OpenAI, L.L.C., USA) che l'annuncio ha portato a un evento gratuito, a un checkout o a un acquisto, così da poter misurare l'annuncio. Inviamo il riferimento del clic sull'annuncio che OpenAI ha aggiunto al link, un nostro ID per quel passaggio (il riferimento di pagamento Stripe per un checkout o un acquisto, un codice derivato dal riferimento del clic per un evento gratuito), il valore e la valuta dell'ordine, l'indirizzo della pagina (mai la pagina di un evento o di un account) e l'ora. Non inviamo il tuo nome, il tuo indirizzo e-mail, il tuo indirizzo IP né altri dati di contatto. I trasferimenti si basano sulla certificazione di OpenAI nell'ambito del Data Privacy Framework e sulle clausole contrattuali standard.

Se l'analisi statistica è attiva, le nostre pagine caricano il tag di Microsoft Advertising (UET) e Microsoft (Microsoft Ireland Operations Ltd., Irlanda, e Microsoft Corporation, USA) riceve i dati descritti nella sezione 2 alla voce «Misurazione degli annunci tramite Microsoft». Microsoft non li tratta secondo le nostre istruzioni: è un titolare autonomo del trattamento e usa i dati per misurare i nostri annunci e gestire il proprio servizio pubblicitario, anche per finalità proprie come il miglioramento dei suoi servizi, come descritto nell'Informativa sulla privacy di Microsoft. Microsoft dichiara di non rivendere questi dati e di non condividerli con altri inserzionisti. I trasferimenti verso gli USA si basano sulla certificazione di Microsoft nell'ambito del Data Privacy Framework e sulle clausole contrattuali standard.

Possiamo inoltre comunicare dati quando la legge lo richiede, ad esempio alle autorità fiscali o in base a un valido provvedimento dell'autorità.

6. Ospiti e altre persone presenti nelle foto

Gli ospiti caricano contenuti su invito dell'organizzatore. Usiamo i contenuti degli ospiti solo per gestire l'evento dell'organizzatore: mostrarli nella galleria dell'evento, renderli disponibili all'organizzatore per il download e, negli eventi a pagamento, etichettarli per la ricerca. Non li pubblichiamo mai, non li usiamo per il marketing e non li condividiamo con nessuno oltre all'organizzatore e agli ospiti di quell'evento. L'organizzatore è responsabile di informare gli ospiti che vengono raccolte foto e di ottenere le eventuali autorizzazioni richieste dall'evento.

7. I tuoi diritti

Ai sensi del GDPR hai diritto:

• all'accesso ai dati personali che conserviamo su di te e a riceverne una copia;
• alla rettifica dei dati inesatti;
• alla cancellazione («diritto all'oblio»), ad esempio di una tua foto caricata da un ospite;
• alla limitazione del trattamento mentre una richiesta è in corso di gestione o è aperta una contestazione;
• alla portabilità dei dati che ci hai fornito, in un formato leggibile da dispositivo automatico;
• di opporti al trattamento basato sui nostri legittimi interessi, compresi il registro delle attività e la misurazione delle prestazioni;
• di revocare il consenso in qualsiasi momento, quando il trattamento si basa sul consenso (cookie analitici e pubblicitari), senza che ciò incida sul trattamento effettuato prima della revoca.

Scrivi a support@eventphoto.io per esercitare uno qualsiasi di questi diritti. Rispondiamo entro un mese. Se sei un ospite e vuoi che una foto venga rimossa, indicaci l'ID evento e il file; anche l'organizzatore può rimuoverla direttamente.

Puoi anche proporre reclamo all'autorità danese per la protezione dei dati, Datatilsynet, Carl Jacobsens Vej 35, 2500 Valby, Danimarca, oppure all'autorità di controllo del paese dell'UE o del SEE in cui vivi.

8. Cookie e archiviazione nel browser

Usiamo cookie necessari e relative forme di archiviazione nel browser, indispensabili per il login, lo sblocco degli eventi, la verifica dell'organizzatore, la scelta della lingua, la continuità della sessione degli ospiti e la memorizzazione della tua scelta sui cookie. L'analisi statistica è facoltativa: Google Analytics 4 per misurare il traffico, il tag di Microsoft Advertising e i suoi cookie per misurare i nostri annunci su Bing e sulla rete di Microsoft (sezione 5) e, se provieni da uno dei nostri annunci in ChatGPT, una memoria di 30 giorni di quel clic sull'annuncio nel tuo browser (sezione 5). Sulle nostre pagine in inglese, per i visitatori nelle Americhe (in base al fuso orario impostato sul dispositivo) l'analisi statistica è attiva per impostazione predefinita, senza banner; per tutti gli altri è attiva solo dopo aver premuto Accetta. Chiunque può disattivarla in Impostazioni cookie. A parte il tag di Microsoft Advertising, non usiamo cookie pubblicitari né pixel di marketing. L'elenco completo è nella Policy sui cookie.

9. Sicurezza

I dati sono cifrati in transito (TLS) e a riposo presso il nostro fornitore di archiviazione. Le gallerie degli eventi sono accessibili solo tramite l'ID evento e, se l'organizzatore lo imposta, un PIN per gli ospiti; le azioni dell'organizzatore richiedono un link firmato dell'organizzatore o un login. L'accesso ai sistemi di produzione è limitato al gestore. Nessun metodo di trasmissione o di archiviazione è completamente sicuro, quindi non possiamo garantire una sicurezza assoluta.

10. Modifiche alla presente informativa

Aggiorniamo questa informativa quando cambiano il servizio o la legge e indichiamo in alto la data dell'ultimo aggiornamento. Le modifiche sostanziali al modo in cui usiamo i dati degli organizzatori vengono comunicate via e-mail agli organizzatori con eventi attivi.