Privacy policy

La presente informativa è resa ai sensi degli articoli 13 e 14 del Regolamento (UE) 2016/679 («GDPR») e descrive il trattamento dei dati personali di chi visita questo sito, di chi chiede l’accesso o si iscrive al servizio e di chi utilizza Soreva Labs.

Titolare del trattamento

Yuri Giglio — Soreva Labs di Yuri Giglio, partita IVA 01625090707, Roma (di seguito, «il Titolare»). Per l’esercizio dei diritti e per ogni domanda relativa al trattamento è possibile scrivere a l'indirizzo di posta pubblicato su sorevalabs.com.

Ruoli rispetto ai dati trattati

La qualificazione dipende dal rapporto, e la differenza è sostanziale:

• Visitatori del sito, richiedenti l’accesso, studi che si iscrivono o utilizzano il servizio: il Titolare tratta i relativi dati in qualità di titolare del trattamento.
• Clienti finali e invitati di uno studio che utilizza Soreva Labs — caricamento di fotografie tramite QR, conferma di presenza, selezione degli scatti di un album: titolare del trattamento è lo studio, che determina cosa raccogliere e per quali finalità. Soreva Labs opera quale responsabile del trattamento per conto dello studio e tratta tali dati unicamente per l’erogazione del servizio da questi attivato. L’esercizio dei diritti su tali dati va rivolto allo studio; le richieste ricevute direttamente sono indirizzate a quest’ultimo. Il rapporto fra il Titolare e lo studio è regolato dall’Allegato A — Accordo sul trattamento dei dati personali (art. 28 GDPR), che contiene le istruzioni impartite, le misure di sicurezza e i sub-responsabili.

Dati trattati e finalità

Richiesta di accesso al servizio

Sono raccolti nome, cognome, indirizzo di posta elettronica, eventualmente il numero di telefono e il sito web, il tipo di attività, il piano di interesse, le informazioni sull’attività che l’interessato sceglie di indicare (volume di eventi, fotografie e invitati, collaboratori, modalità di consegna attuali, come ha conosciuto il servizio) e il contenuto del campo libero. Sono conservati altresì l’indirizzo IP, il tipo di browser e i tempi di compilazione, al fine di riconoscere gli invii automatici.

I dati non sono utilizzati per comunicazioni commerciali diverse dal riscontro alla richiesta, né sono comunicati a terzi.

Iscrizione al servizio

Chi si iscrive indica nome, cognome, indirizzo di posta elettronica, eventualmente il numero di telefono, la denominazione dello studio, il piano scelto, i dati necessari alla fattura elettronica e una password, conservata soltanto in forma cifrata non reversibile. L’indirizzo di posta elettronica è verificato con un codice inviato all’indirizzo stesso. Sono registrate la data e l’indirizzo IP dell’accettazione dei termini di servizio, dell’Allegato A e dell’approvazione specifica delle clausole.

Utilizzo del servizio da parte di uno studio

Sono trattati i dati dell’account — denominazione, indirizzo di posta elettronica, credenziali in forma cifrata, dati necessari all’autenticazione a due fattori, dati di fatturazione, piano sottoscritto, preferenze — e i dati dei collaboratori che lo studio autorizza, nonché i log tecnici degli accessi e il registro delle operazioni per finalità di sicurezza, di prevenzione degli abusi e di diagnosi. Le basi giuridiche sono l’esecuzione del contratto, il legittimo interesse alla sicurezza del servizio e, per la fatturazione, l’adempimento di un obbligo di legge.

Sono conservate inoltre le accettazioni dei documenti contrattuali, con la versione accettata, la data e l’indirizzo IP, quale prova del contratto concluso: base giuridica è il legittimo interesse all’accertamento, all’esercizio e alla difesa di un diritto. Conservazione: per la durata del rapporto e, dopo la cancellazione dell’account, nella traccia descritta fra i tempi di conservazione.

Pagamenti

I pagamenti sono gestiti da Stripe, che riceve i dati di fatturazione dello studio e i dati necessari all’incasso, secondo il proprio ruolo e la propria informativa. I dati delle carte non transitano dai sistemi del Titolare — sono inseriti direttamente sulle pagine di Stripe e non sono in alcun momento visibili né conservati. Il Titolare conserva lo stato dei pagamenti, il piano e gli identificativi delle transazioni, per l’esecuzione del contratto e gli obblighi fiscali.

Comunicazioni di servizio

Agli studi sono inviate le comunicazioni necessarie al rapporto: conferme, codici e collegamenti di accesso, recupero delle credenziali, avvisi sull’utilizzo e sui pagamenti, comunicazioni di sicurezza e modifiche dei documenti contrattuali. Non costituiscono comunicazioni promozionali; queste ultime sono inviate soltanto nei limiti consentiti dalla legge e con le relative modalità di opposizione.

Statistiche di lettura del sito

Previo consenso dell’interessato, il sito utilizza Google Analytics per rilevare quante persone leggono le pagine, quali pagine sono consultate e da quale provenienza (motore di ricerca, collegamento, social). Non è effettuata alcuna profilazione, non è svolta attività pubblicitaria e i dati non sono incrociati con quelli del modulo.

In assenza di consenso non viene caricato alcuno script: il codice di Google non è eseguito e non riceve pertanto l’indirizzo IP dell’interessato. Il consenso è revocabile in ogni momento dalla cookie policy, che riporta anche l’elenco dei cookie e la relativa durata.

Nell’ambito di tale trattamento Google opera quale responsabile e, per alcune finalità proprie, quale autonomo titolare, secondo le condizioni applicabili ai propri servizi di misurazione. Quanto precede riguarda la parte di competenza del Titolare.

Clienti finali e invitati di uno studio

I dati trattati sono quelli caricati dall’interessato o inseriti dallo studio: fotografie, video, nominativo, risposte all’invito, eventuali intolleranze alimentari, selezioni e note. Sono trattati esclusivamente per il funzionamento delle pagine utilizzate. Non sono impiegati per finalità pubblicitarie, non sono ceduti a terzi e non sono utilizzati per l’addestramento di sistemi di intelligenza artificiale.

Riconoscimento dei volti, ove attivato

Qualora lo studio attivi la funzione per un evento, le fotografie sono analizzate mediante un servizio di riconoscimento facciale. L’analisi genera un modello biometrico per ciascun volto presente nelle immagini e costituisce trattamento di dati appartenenti a categorie particolari (art. 9). Titolare di tale trattamento è lo studio, che prima dell’attivazione dichiara le circostanze dell’evento e individua la base giuridica; Soreva Labs opera quale responsabile.

Il consenso richiesto all’invitato non impedisce la generazione del modello — escludere preventivamente un volto presupporrebbe averlo già identificato, ossia averlo già trattato — bensì governa la possibilità, per quella persona, di ricercare le proprie fotografie mediante una propria immagine. L’informazione sull’analisi è resa a tutti gli invitati nell’invito e nella galleria, indipendentemente dalla scelta espressa.

L’archivio biometrico dell’evento è conservato per sessanta giorni dall’indicizzazione, decorsi i quali è cancellato integralmente e la ricerca cessa di essere disponibile. Per l’esercizio dei diritti, ivi compresa l’opposizione, l’interessato può rivolgersi allo studio in qualità di titolare del trattamento.

Richieste di assistenza

La conversazione, il contenuto della segnalazione e gli allegati trasmessi dall’interessato sono trattati per fornire riscontro e per ricostruire l’accaduto. Un’immagine dello schermo può contenere quanto era visualizzato al momento della cattura: la scelta di cosa allegare spetta a chi scrive, e quanto trasmesso è letto da chi fornisce il riscontro. Base giuridica: esecuzione del contratto (art. 6.1.b). Conservazione: la conversazione per la durata del rapporto; gli allegati sono cancellati alla chiusura della richiesta e comunque entro centottanta giorni dal conferimento.

Luogo del trattamento

Le fotografie, i video e gli altri file sono ospitati su Amazon Web Services, nella regione di Milano (eu-south-1). Il database — che contiene i dati degli account, degli eventi e degli invitati, non le immagini — è ospitato su Supabase, nella regione di Francoforte (eu-central-1). In entrambi i casi i dati sono conservati nell’Unione europea.

Supabase, Inc. è una società con sede negli Stati Uniti: l’infrastruttura che ospita il database si trova in Europa, mentre il personale tecnico del fornitore può accedervi dall’estero per la sola assistenza, sulla base delle clausole contrattuali standard richiamate dal suo accordo sul trattamento dei dati.

L’invio delle comunicazioni di posta elettronica — inviti, notifiche, comunicazioni di servizio — avviene attraverso il server di posta di Register.it, situato in Italia: gli indirizzi dei destinatari e il contenuto dei messaggi transitano da tale server ai fini della consegna.

Un’eccezione dichiarata riguarda la funzione di riconoscimento dei volti, che ove attivata utilizza un servizio Amazon disponibile in Irlanda — quindi ancora nell’Unione europea, ma non a Milano. Sono trasmesse le sole immagini necessarie all’elaborazione.

Un’eccezione al di fuori dell’Unione europea, dal 18 agosto 2026: in presenza di consenso alle statistiche, i dati raccolti da Google Analytics possono essere trattati anche negli Stati Uniti. Il trasferimento avviene sulla base della decisione di adeguatezza dell’Unione europea relativa al quadro UE-USA sulla protezione dei dati, cui Google ha aderito, integrata dalle clausole contrattuali standard. In assenza di consenso il trasferimento non ha luogo, poiché nulla viene trasmesso.

Responsabili e altri destinatari

Amazon Web Services EMEA SARL, per l’infrastruttura e il riconoscimento dei volti, e Supabase, Inc., per il database, in qualità di responsabili del trattamento.

Register.it S.p.A. (gruppo team.blue), società italiana, per la consegna delle comunicazioni di posta elettronica: gli indirizzi dei destinatari e il testo dei messaggi transitano dai suoi server ai fini del recapito.

Stripe Payments Europe Ltd, per i pagamenti e la fatturazione degli abbonamenti, come descritto più sopra. Stripe non tratta i dati degli eventi né quelli dei clienti finali e degli invitati degli studi.

Google Ireland Limited (e Google LLC per la parte statunitense), per le statistiche di lettura del sito, unicamente previo consenso dell’interessato.

Il professionista che cura la contabilità del Titolare riceve i soli documenti fiscali, per gli adempimenti di legge; consulenti tecnici o legali possono accedere ai dati strettamente necessari, vincolati alla riservatezza, quando il loro intervento lo richieda.

Fatta eccezione per Analytics, il sito non utilizza servizi di pubblicità, social network o mappe di terzi e non carica caratteri tipografici o icone da server esterni: ogni altro elemento è servito dal dominio del Titolare.

Misure di sicurezza

Dati cifrati in transito e in archivio, autenticazione a due fattori obbligatoria per gli account degli studi, permessi per area, registro delle azioni, sorveglianza continua del servizio e un accesso amministrativo tecnicamente limitato: il pannello del Titolare si collega alla banca dati con un’utenza ristretta, che non può leggere le anagrafiche dei clienti finali né il contenuto dei messaggi. Qualora una violazione riguardi i dati di uno studio, essa è comunicata allo studio senza ingiustificato ritardo e comunque entro 48 ore, con le informazioni disponibili, affinché questi possa effettuare la notifica di propria competenza. Nessun sistema informatico può tuttavia garantire una sicurezza assoluta.

Trattamenti automatizzati

Il servizio esegue elaborazioni automatiche sui contenuti caricati: generazione di anteprime, estrazione delle dimensioni e dei fotogrammi di copertina dei video, composizione degli archivi scaricabili e, ove la funzione sia attivata dallo studio, analisi delle immagini per il riconoscimento dei volti descritta più sopra.

Nessuno di tali trattamenti comporta decisioni automatizzate produttive di effetti giuridici o di effetti analogamente significativi sugli interessati ai sensi dell’articolo 22 del Regolamento. Il riconoscimento dei volti restituisce una stima di somiglianza destinata a chi la richiede per reperire le proprie fotografie: non attribuisce identità, non produce valutazioni sulle persone e non determina alcuna conseguenza sul loro accesso al servizio.

I contenuti non sono impiegati per l’addestramento di sistemi di intelligenza artificiale, né dal Titolare né dai fornitori indicati più sopra.

Tempi di conservazione

• Account attivo: per l’intera durata del rapporto.
• In caso di disdetta: fino al termine del periodo pagato, successivamente secondo quanto disposto dal cliente (voce seguente).
• In caso di cancellazione dell’account: i contenuti e i dati sono cancellati immediatamente, comprese le copie derivate quali anteprime e archivi. Restano, per un tempo limitato, le copie di sicurezza (voce seguente), e una traccia della cancellazione — denominazione dello studio, nome e indirizzo di posta elettronica del titolare, data e causa della cancellazione, documenti accettati con la versione e la data — conservata per 10 anni, il termine ordinario di prescrizione, per l’accertamento e la difesa dei diritti.
• Copie di sicurezza: il database e i file sono protetti da copie di sicurezza, che servono soltanto a ripristinare il servizio dopo un guasto o un errore. Un dato cancellato vi resta al più 14 giorni, poi è eliminato automaticamente; le copie non sono usate per ripristinare un account su richiesta.
• In caso di mancato pagamento: sospensione, quindi 30 giorni durante i quali tutto resta recuperabile, quindi cancellazione integrale.
• Alla scadenza del Pay-per-Event: sospensione, e cancellazione possibile da quel momento (articolo 5 dei termini di servizio).
• Archivio biometrico: sessanta giorni dall’indicizzazione, poi cancellazione integrale.
• Richieste di accesso e iscrizioni non concluse: secondo le tabelle più sopra.
• Fatture e documenti fiscali: conservati per 10 anni, in adempimento di un obbligo di legge. Con la traccia della cancellazione, sono gli unici dati che sopravvivono a una richiesta di cancellazione, e contengono i dati di fatturazione, non i contenuti dell’interessato.

Diritti dell’interessato

L’interessato può chiedere al Titolare l’accesso ai propri dati, la rettifica, la cancellazione, la limitazione del trattamento e la portabilità, nonché opporsi ai trattamenti fondati sul legittimo interesse, e ha diritto di non essere sottoposto a una decisione basata unicamente su un trattamento automatizzato nei casi dell’articolo 22. Ove il trattamento si fondi sul consenso, questo è revocabile in qualsiasi momento senza pregiudizio della liceità del trattamento effettuato anteriormente alla revoca.

Le richieste vanno inviate a l'indirizzo di posta pubblicato su sorevalabs.com: il riscontro è fornito entro un mese, prorogabile di due mesi ove necessario per la complessità o il numero delle richieste, nel qual caso l’interessato ne è informato entro il primo mese con i relativi motivi. Per i dati che Soreva Labs tratta quale responsabile per conto di uno studio, la richiesta va rivolta allo studio, al quale il Titolare presta l’assistenza prevista dall’Allegato A.

Chi ritenga che il trattamento violi la normativa può proporre reclamo al Garante per la protezione dei dati personali, Piazza Venezia 11, 00187 Roma.

Minori

Il servizio è destinato a professionisti e non è rivolto ai minori. Gli studi che lo utilizzano valutano gli eventuali trattamenti riguardanti minori nell’ambito dei propri eventi, quali titolari, e adottano le misure e le informazioni richieste dalla normativa.

Cookie

Il sito utilizza cookie tecnici necessari al suo funzionamento e, previo consenso, cookie di misurazione. L’elenco completo, la durata di ciascuno e le modalità di revoca del consenso sono indicati nella cookie policy.

Definizioni e riferimenti normativi

Dato personale: qualsiasi informazione riguardante una persona fisica identificata o identificabile (art. 4.1 GDPR). Trattamento: qualsiasi operazione compiuta su dati personali, dalla raccolta alla cancellazione (art. 4.2). Titolare del trattamento: chi determina finalità e mezzi del trattamento (art. 4.7). Responsabile del trattamento: chi tratta dati personali per conto del titolare (art. 4.8). Interessato: la persona fisica cui i dati si riferiscono. Dati biometrici: dati ottenuti da un trattamento tecnico specifico relativi alle caratteristiche fisiche di una persona che ne consentono l’identificazione univoca (art. 4.14), appartenenti alle categorie particolari di cui all’articolo 9.

Il trattamento è svolto in conformità a:

• Regolamento (UE) 2016/679 — Regolamento generale sulla protezione dei dati;
• Decreto legislativo 30 giugno 2003, n. 196, come modificato dal decreto legislativo 10 agosto 2018, n. 101 — Codice in materia di protezione dei dati personali;
• provvedimenti e linee guida del Garante per la protezione dei dati personali, in particolare le Linee guida sull’uso dei cookie dell’8 luglio 2021;
• Decreto legislativo 9 aprile 2003, n. 70, in materia di commercio elettronico.

Modifiche

La presente informativa può essere modificata per adeguarla a cambiamenti normativi, tecnologici o del servizio. In caso di modifica sono aggiornati la versione e la data indicate in testa al documento; le modifiche sostanziali sono comunicate agli studi con rapporto in essere, anche mediante avviso all’interno del servizio.