Informativa sulla privacy

Titolare del trattamento

Daniele Stumpo, Ekenknick 7, 22523 Hamburg, Deutschland. Per qualunque richiesta relativa ai tuoi dati puoi scrivere a support@getconvivio.com. Non siamo tenuti a nominare un responsabile della protezione dei dati.

Quali dati trattiamo

• Account organizzatore: email, password (conservata in forma protetta dal nostro fornitore di autenticazione), nome dell'organizzazione.
• Dati degli invitati inseriti dall'organizzatore o dagli invitati stessi tramite il modulo di risposta: nomi, risposte alle domande del modulo (definite dall'organizzatore), lingua scelta, data delle aperture dell'invito.
• Contenuti caricati nella galleria e nel guestbook: foto, video, messaggi audio/video, con il nome facoltativo di chi carica.
• Contatti e luoghi dell'evento inseriti dall'organizzatore (nomi, foto, telefono, email, indirizzi).
• Dati tecnici: indirizzo IP (nei log dell'infrastruttura e per i limiti anti-abuso), identificativo casuale del dispositivo salvato nel browser per le reazioni alle foto (nessun account richiesto agli invitati) ed eventi aggregabili del percorso pubblico (per esempio apertura della homepage o della demo e clic sui pulsanti principali). Questi eventi non contengono URL, email o identificatori, non usano cookie e non vengono inviati se il browser segnala Do Not Track o Global Privacy Control.
• Dati di acquisto: importo, pacchetto acquistato, email e indirizzo di fatturazione, paese di connessione, paese di emissione della carta e data/versione del consenso all'avvio immediato del servizio digitale. Il pagamento è gestito da Stripe: i dati della carta non transitano né vengono conservati sui nostri sistemi. I dati di paese servono a documentare dove è dovuta l'imposta, come richiesto dalla normativa UE sui servizi digitali. Se al pagamento viene chiesto il telefono, conserviamo solo il prefisso internazionale (es. +39), mai il numero.
• Modulo di contatto: nome, email e testo del messaggio che ci scrivi. Li usiamo solo per risponderti; il messaggio arriva alla nostra casella di posta e non viene salvato nei nostri database (base giuridica: art. 6(1)(b) e (f) GDPR).

Perché li trattiamo (finalità e basi giuridiche)

• Erogare il servizio richiesto — creare l'evento, mostrare l'invito, raccogliere le risposte, ospitare la galleria, inviare le email di servizio (art. 6.1.b GDPR, esecuzione del contratto). Senza email e password non è possibile creare un account; gli invitati non devono fornire alcun dato oltre a quelli che decidono di inserire.
• Sicurezza, prevenzione abusi e miglioramento del percorso pubblico — limiti di caricamento, limitazione delle richieste per IP, log tecnici ed eventi aggregati senza identificatori (art. 6.1.f GDPR, legittimo interesse a un servizio sicuro e comprensibile).
• Adempimenti di legge — obblighi fiscali e contabili sugli acquisti (art. 6.1.c GDPR).
• Comunicazioni di servizio — conferme d'acquisto, riepilogo quotidiano delle novità del tuo evento, avvisi su spazio e scadenza della galleria, promemoria di fine prova. Nessuna email di marketing e nessuna newsletter.
• Non prendiamo decisioni automatizzate né facciamo profilazione ai sensi dell'art. 22 GDPR.

Il ruolo dell'organizzatore

Per i dati dei propri invitati (nomi, risposte, foto dei partecipanti) l'organizzatore dell'evento decide quali dati raccogliere col proprio modulo e chi invitare. Quando l'organizzatore è soggetto al GDPR (per esempio un'azienda o un'associazione), noi trattiamo quei dati per suo conto come responsabili del trattamento (art. 28 GDPR), esclusivamente per fornire il servizio; su richiesta forniamo un accordo per il trattamento dei dati. Per le feste private dell'organizzatore valgono comunque le garanzie descritte in questa informativa.

Se sei un invitato e vuoi che un contenuto che ti riguarda venga rimosso, puoi rivolgerti all'organizzatore dell'evento (che ha gli strumenti di moderazione ed eliminazione) oppure scriverci direttamente.

Fornitori che trattano dati per nostro conto e trasferimenti

Usiamo pochi fornitori, tutti vincolati da un accordo per il trattamento dei dati (art. 28 GDPR). Quando un fornitore ha sede negli Stati Uniti o può accedere ai dati da lì, il trasferimento si basa sulla decisione di adeguatezza UE-USA (EU-U.S. Data Privacy Framework) per le società certificate e/o sulle clausole contrattuali standard della Commissione europea.

• Supabase (Supabase Inc., USA) — database, archivio dei file e autenticazione; server nella regione di Francoforte (Germania).
• Vercel (Vercel Inc., USA) — hosting del sito; le funzioni che leggono i dati girano nella regione di Francoforte.
• Upstash (Upstash Inc., USA) — limiti anti-abuso basati sull'indirizzo IP, conservato al massimo per 24 ore.
• Resend (Resend Inc., USA) — invio delle email di servizio, dal dominio getconvivio.com.
• Stripe (Stripe Payments Europe Ltd., Irlanda) — pagamenti, ricevute e fatture. Per la verifica dei pagamenti e la prevenzione delle frodi Stripe agisce anche come titolare autonomo secondo la propria informativa privacy.

Per quanto conserviamo i dati

• Contenuti della galleria e del guestbook: per la durata di conservazione del pacchetto acquistato (6 o 12 mesi a seconda del pacchetto, indicata su ciascuno al momento della scelta), contata dalla data di attivazione della galleria che scegli tu. Alla scadenza, dopo 30 giorni di grazia, foto, video e messaggi vengono eliminati definitivamente e automaticamente.
• Ciò che elimini manualmente (inviti, invitati, foto…) viene prima nascosto e reso recuperabile, poi eliminato definitivamente al termine dei 30 giorni di grazia successivi alla scadenza del pacchetto.
• Dati dell'account: finché l'account resta attivo. Puoi chiederne la cancellazione scrivendoci.
• Dati di acquisto e fatture: per i termini di conservazione previsti dalla legge fiscale e commerciale tedesca (di norma da 8 a 10 anni).
• Eventi aggregati del percorso pubblico: 180 giorni. Log tecnici e dati anti-abuso: per brevi periodi tecnici definiti dai fornitori dell'infrastruttura.

I tuoi diritti

Hai diritto di accesso, rettifica, cancellazione, limitazione, portabilità e opposizione (artt. 15–22 GDPR). Puoi esercitarli scrivendo a support@getconvivio.com. Hai inoltre il diritto di presentare reclamo a un'autorità di controllo: quella competente per noi è il Garante per la protezione dei dati di Amburgo (Der Hamburgische Beauftragte für Datenschutz und Informationsfreiheit); puoi rivolgerti anche all'autorità del tuo paese di residenza (in Italia il Garante per la protezione dei dati personali).

Minori

Il servizio è rivolto a organizzatori maggiorenni. Le foto e i contenuti che ritraggono minori possono essere caricati solo da chi ha il diritto di farlo — tipicamente i genitori o chi ha ottenuto il loro consenso. L'organizzatore dispone di strumenti di moderazione per rimuovere contenuti inappropriati.

Sicurezza

Le gallerie private sono accessibili solo tramite link con codice personale; i file sono serviti con link firmati a scadenza. Le foto caricate dagli invitati sono visibili nella galleria dell'evento subito dopo il caricamento; l'organizzatore può nasconderle o eliminarle in qualsiasi momento con gli strumenti di moderazione. Dalle immagini caricate rimuoviamo automaticamente i metadati EXIF (inclusa la posizione GPS).

Modifiche a questa informativa

Se questa informativa cambia in modo sostanziale, aggiorneremo la data in alto e, per modifiche rilevanti, avviseremo gli organizzatori via email o tramite l'applicazione.