Note legali

Informativa sulla privacy

Status: 21 ottobre 2026 · Tutti i documenti legali

Traduzione a scopo informativo. Solo la versione tedesca è giuridicamente vincolante.

Traduzione a scopo informativo. Solo la versione tedesca è giuridicamente vincolante.

---

1. Titolare e contatto

Il titolare ai sensi del Regolamento generale sulla protezione dei dati (DSGVO) è:

Matthias Anderer GmbH
Abt-Kaspar-Str. 19, 83607 Holzkirchen, Germania
Amministratore: Matthias Anderer
E-mail: privacy@snapories.com · Telefono: +49 151 22837719
Amtsgericht München HRB 224848 · P. IVA DE305934264

Per qualsiasi domanda relativa alla protezione dei dati e per l'esercizio dei tuoi diritti: privacy@snapories.com.

Attualmente non è stato nominato un responsabile della protezione dei dati; secondo la nostra valutazione non sussistono i presupposti di cui al § 38 BDSG. Qualora ciò dovesse cambiare, pubblicheremo in questo punto i relativi dati di contatto.

---

2. Di cosa siamo responsabili noi — e di cosa l'organizzatore

Snapories viene sempre utilizzato nell'ambito di un evento che qualcuno ha prenotato. Chi sia il titolare ai sensi della normativa sulla protezione dei dati dipende da chi effettua la prenotazione:

Indipendentemente da ciò, siamo sempre titolari autonomi per: esecuzione del contratto e fatturazione, sicurezza operativa e informatica, prevenzione degli abusi, dati di utilizzo aggregati senza riferimento a persone, la misurazione della nostra pubblicità (punto 4) nonché l'adempimento degli obblighi di legge.

Per l'app per gli ospiti abbiamo inoltre un rapporto diretto con te in quanto ospite: utilizzi l'app di tua iniziativa; la base giuridica a tal riguardo è l'Art. 6 Abs. 1 lit. b DSGVO (rapporto d'uso).

---

3. Le sei interfacce in sintesi

Snapories è costituito da sei siti web/applicazioni distinti. Si trovano su domini propri e non condividono alcuna memoria nel browser — ad eccezione dei cookie del pixel di Reddit, che si creano solo dopo il tuo consenso sul sito di marketing (punto 4.6):

---

4. Sito di marketing (snapories.com)

4.1 Dati di log del server. All'accesso vengono trattati dati tecnicamente necessari: indirizzo IP, data e ora, risorsa richiamata, codice di stato, quantità di dati trasmessa, referrer, user-agent. Finalità: erogazione, stabilità, sicurezza informatica. Base giuridica: Art. 6 Abs. 1 lit. f DSGVO (interesse legittimo a un'offerta sicura e funzionante). Durata di conservazione: a breve termine, nell'ambito dei log operativi del nostro fornitore di hosting.

La nostra rete di distribuzione registra inoltre, per il sito web di marketing, un protocollo di accesso con le stesse indicazioni. Lo analizziamo una volta al giorno per contare quali pagine vengono richiamate da programmi automatizzati (ad esempio i crawler dei motori di ricerca) e per riconoscere i programmi che si presentano come tali senza esserlo. Successivamente viene memorizzato soltanto quante volte un simile programma ha richiamato una pagina in un giorno — senza indirizzo IP. Il protocollo stesso viene cancellato dopo 7 giorni. Base giuridica: Art. 6 Abs. 1 lit. f DSGVO (interesse legittimo a monitorare la reperibilità del sito web e a riconoscere accessi abusivi).

4.2 Conteggio delle pagine senza cookie. Affinché sappiamo quali pagine sono utili e in quale punto il modulo di prenotazione perde i visitatori, ogni pagina invia al nostro server una breve segnalazione: quale pagina è stata richiamata, fino a che punto sei arrivato nel modulo di prenotazione, il dominio della pagina di provenienza (non il suo indirizzo completo) nonché i dati di campagna presenti nell'indirizzo tramite il quale sei giunto al sito web (ad esempio utm_source o l'identificativo di clic di una rete pubblicitaria). Questa segnalazione non contiene alcun identificativo e non imposta né un cookie né un'altra voce sul tuo dispositivo.

Per raggruppare le pagine di una visita, il nostro server genera un valore hash a partire dal tuo indirizzo IP — ridotto all'intervallo di rete (IPv4 /24, IPv6 /64) — e da un valore casuale rigenerato ogni giorno. Esso serve soltanto a ritrovare una visita in corso; per una visita viene memorizzato un numero casuale che scade dopo 30 minuti senza richiamo di pagina. Il valore casuale giornaliero viene cancellato dopo 2 giorni; dopodiché nemmeno noi possiamo più ricostruire quale intervallo di rete appartenesse a quale visita. L'user-agent del tuo browser lo leggiamo solo per escludere i crawler dichiarati; non viene memorizzato. Ciò che rimane sono cifre giornaliere aggregate — richiami di pagina, visite, passaggi nel modulo di prenotazione, provenienza delle visite — senza riferimento a una persona. I dati non lasciano i nostri sistemi.

Base giuridica: Art. 6 Abs. 1 lit. f DSGVO. Il nostro interesse legittimo consiste nel comprendere quali contenuti vengono utilizzati e dove la prenotazione fallisce, al fine di migliorare l'offerta. Riteniamo i tuoi interessi tutelati dal fatto che non viene generato alcun identificativo oltre la durata di una visita, che nulla viene memorizzato sul tuo dispositivo, che non viene creato alcun profilo e che nulla viene trasmesso a terzi. Puoi opporti a questo trattamento ai sensi dell'Art. 21 DSGVO (punto 13). Poiché il conteggio funziona senza identificativo, non ti riconosciamo in una visita successiva e pertanto non possiamo associare un'opposizione ad alcuna visita futura; la segnalazione stessa può tuttavia essere impedita in qualsiasi momento con un blocco dei contenuti nel tuo browser, senza che il sito web ne risulti limitato.

4.3 Modulo di prenotazione. Per la prenotazione trattiamo nome, indirizzo e-mail, indirizzo di fatturazione e paese, nome e periodo dell'evento, numero di ospiti selezionato e contingenti, nonché un eventuale codice sconto. Base giuridica: Art. 6 Abs. 1 lit. b DSGVO (esecuzione del contratto), per i dati di fatturazione e fiscali inoltre Art. 6 Abs. 1 lit. c DSGVO (§ 14 UStG, § 147 AO).

Se sei giunto al sito web tramite un annuncio o un link di campagna, per la prenotazione memorizziamo inoltre i dati di campagna contenuti nell'indirizzo di accesso (fonte, campagna, identificativo di clic della rete pubblicitaria), l'indirizzo di accesso stesso e la provenienza della prenotazione da essi derivata. In questo modo riconosciamo quale pubblicità porta a prenotazioni. Base giuridica: Art. 6 Abs. 1 lit. f DSGVO (interesse legittimo a misurare il successo della propria pubblicità). Questi dati restano presso di noi. A una rete pubblicitaria vengono trasmessi solo con il tuo consenso ai sensi del punto 4.6; solo in tal caso rileviamo al momento della prenotazione anche il tuo indirizzo IP e il tuo identificativo di browser (user-agent), e precisamente solo per breve tempo per questa segnalazione (punto 4.6, 14).

4.4 Contatto. Se ci scrivi, trattiamo i tuoi dati per rispondere. Base giuridica: Art. 6 Abs. 1 lit. b ovvero lit. f DSGVO. Cancelliamo la corrispondenza non appena non è più necessaria e non vi osta alcun obbligo di conservazione.

4.5 La tua scelta alla prima visita. Alla prima visita del sito web di marketing ti chiediamo se consenti la misurazione pubblicitaria di cui al punto 4.6. Rifiutare è altrettanto semplice che acconsentire e, finché non hai acconsentito, non ne viene caricato nulla. Se il tuo browser invia il segnale «Global Privacy Control», lo consideriamo un rifiuto e non chiediamo. Memorizziamo la tua scelta nella memoria locale del tuo browser (data, versione di questa richiesta e la tua risposta, senza identificativo), affinché non ti chiediamo nuovamente a ogni richiamo di pagina; essa vale 12 mesi o fino a quando modifichiamo il contenuto della richiesta. Tramite il link «Cookies» nel piè di pagina di ogni pagina puoi visualizzare e modificare la tua scelta in qualsiasi momento. Base giuridica: Art. 6 Abs. 1 lit. c DSGVO in combinato disposto con l'Art. 7 Abs. 1 DSGVO (prova del consenso); la memorizzazione della scelta è esente da consenso ai sensi del § 25 Abs. 2 Nr. 2 TDDDG. L'app per gli ospiti, la dashboard dell'organizzatore e le nostre altre interfacce non chiedono, poiché lì non ha luogo alcuna misurazione pubblicitaria.

4.6 Misurazione dei nostri annunci su Reddit (solo con il tuo consenso). Facciamo pubblicità sulla piattaforma Reddit. Affinché riconosciamo quali di questi annunci portano a visite e prenotazioni, e affinché Reddit possa mostrare i nostri annunci a coloro per i quali sono interessanti, utilizziamo — solo sul sito web di marketing e solo se hai acconsentito — due modalità di misurazione di Reddit:

a) Il pixel di Reddit nel browser. Dopo il tuo consenso, la pagina carica uno script da www.redditstatic.com. Esso crea sul nostro dominio fino a due cookie: _rdt_uuid, un numero casuale dal quale Reddit riconosce il tuo browser attraverso più visite, e — se sei giunto tramite un annuncio Reddit — _rdt_cid con l'identificativo di clic di tale annuncio. Entrambi valgono 90 giorni. Risiedono sul dominio snapories.com e pertanto vengono tecnicamente inviati anche in occasione dei richiami delle nostre altre interfacce; lì nessuno li legge. Lo script segnala a Reddit, a ogni richiamo di pagina, un evento visita della pagina e, dopo una prenotazione pagata, un evento acquisto con l'importo netto, la valuta e un identificativo di evento. In tale occasione Reddit riceve l'indirizzo della pagina, la pagina di provenienza, i valori dei cookie indicati, informazioni sul tuo browser e sulla dimensione dello schermo nonché — per ragioni tecniche — il tuo indirizzo IP. Se hai effettuato l'accesso a Reddit, il tuo browser invia anche i cookie di reddit.com; Reddit può allora associare la segnalazione al tuo account Reddit. Non forniamo al pixel alcun indirizzo e-mail né alcun numero di telefono, e il confronto automatico dei dati di contatto visualizzati sulla pagina è disattivato.

b) La segnalazione di una prenotazione dal nostro server. Poiché browser e ad blocker impediscono spesso le segnalazioni provenienti dal browser, il nostro server segnala in aggiunta una prenotazione pagata a Reddit (Conversions API) — anch'essa solo se al momento della prenotazione avevi acconsentito alla misurazione pubblicitaria. Vengono trasmessi: l'evento «acquisto» e il suo momento, l'importo netto e la valuta, lo stesso identificativo di evento presente nel browser (affinché Reddit non conteggi due volte una prenotazione), un valore hash SHA-256 del tuo indirizzo e-mail, l'identificativo di clic di Reddit, il valore del cookie _rdt_uuid, l'indirizzo tramite il quale sei giunto al sito web, nonché l'indirizzo IP e l'identificativo di browser (user-agent) con cui hai inviato la prenotazione. Reddit utilizza l'indirizzo IP e l'identificativo di browser per associare la prenotazione all'annuncio tramite il quale sei giunto. Entrambi li rileviamo al clic su «Paga» solo se in quel momento hai acconsentito alla misurazione pubblicitaria, e non li memorizziamo insieme alla tua prenotazione, bensì separatamente da essa solo fino a quando la segnalazione è stata inviata a Reddit: cancelliamo la nostra copia non appena la segnalazione è stata trasmessa, ma al più tardi dopo 14 giorni — anche nel caso in cui la segnalazione non vada a buon fine. Il tuo nome, il tuo indirizzo e le indicazioni relative al tuo evento non li trasmettiamo. Un valore hash non è un'anonimizzazione: Reddit lo confronta con i valori hash degli indirizzi e-mail dei suoi utenti e può così associare la prenotazione a un account Reddit.

Cosa ne fa Reddit. Reddit utilizza questi dati secondo le proprie condizioni per mostrarci quante visite e prenotazioni sono riconducibili ai nostri annunci, per ottimizzare la distribuzione dei nostri annunci e per migliorare i propri servizi pubblicitari; Reddit può inoltre ricavarne gruppi target per la pubblicità su Reddit. Da Reddit riceviamo solo analisi aggregate, nessuna indicazione su singole persone.

Base giuridica. La memorizzazione dei cookie e la lettura di informazioni dal tuo browser: § 25 Abs. 1 TDDDG, ossia il tuo consenso. L'ulteriore trattamento, compresa la segnalazione dal nostro server: Art. 6 Abs. 1 lit. a DSGVO, parimenti il tuo consenso.

Contitolarità e titolarità propria. Per la raccolta dei dati sul nostro sito web e la loro trasmissione a Reddit, noi e Reddit decidiamo congiuntamente in merito a finalità e mezzi; in tale misura siamo contitolari insieme a Reddit ai sensi dell'Art. 26 DSGVO (CGUE, sentenza del 29 luglio 2019, C-40/17 — Fashion ID). Per l'acquisizione del tuo consenso e per l'informazione ai sensi della presente dichiarazione siamo competenti noi. Per tutto ciò che Reddit fa con i dati dopo averli ricevuti, Reddit è l'unico responsabile; le condizioni pubblicitarie di Reddit (Reddit Business Tool Terms e Reddit Advertising Data Processing Agreement) descrivono Reddit, in tale misura, come titolare autonomo. Puoi far valere i tuoi diritti di cui al punto 13 nei nostri confronti e nei confronti di Reddit; ciò che indirizzi a noi e che riguarda il trattamento di Reddit, lo inoltriamo. Il modo in cui Reddit tratta i dati è descritto nell'informativa sulla privacy di Reddit.

Destinatari. La controparte contrattuale per i clienti pubblicitari nello Spazio economico europeo è Reddit Netherlands B.V., Euro Business Center, Looiersgracht 43, 1016 VR Amsterdam, Paesi Bassi. I dati vengono inoltre trattati da Reddit, Inc., 548 Market St. #16093, San Francisco, CA 94104, USA. Contatto per la protezione dei dati di Reddit: dpo@reddit.com.

Trasferimento verso paesi terzi. Reddit, Inc. è certificata ai sensi dell'EU-US Data Privacy Framework; il trasferimento verso gli USA si fonda sulla decisione di adeguatezza della Commissione UE del 10 luglio 2023. Nel caso in cui tale base non trovi applicazione o venga meno, Reddit e noi abbiamo concordato in via integrativa le clausole contrattuali tipo della Commissione UE (Modulo 1, trasferimento tra titolari) (punto 11).

Durata di conservazione. I cookie _rdt_uuid e _rdt_cid valgono 90 giorni. Per una prenotazione memorizziamo che avevi acconsentito e il valore di _rdt_uuid, per tutto il tempo in cui conserviamo la prenotazione (punto 14). L'indirizzo IP e l'identificativo di browser della prenotazione li cancelliamo non appena la segnalazione è stata inviata a Reddit, al più tardi dopo 14 giorni. Per quanto tempo Reddit conservi i dati dipende dall'informativa sulla privacy di Reddit.

Revoca. Puoi revocare il tuo consenso in qualsiasi momento con effetto per il futuro — nel modo più semplice tramite il link «Cookies» nel piè di pagina di ogni pagina. Da quel momento il sito web non segnala più nulla a Reddit e non carica più il pixel nelle visite successive, i due cookie vengono rimossi dal nostro dominio e il nostro server non segnala più alcuna prenotazione a Reddit. La liceità del trattamento effettuato fino a quel momento non ne è pregiudicata. Ciò che Reddit ha già ricevuto si trova presso Reddit; puoi richiederne la cancellazione a Reddit, noi ti assistiamo in ciò. Senza consenso puoi utilizzare il sito web e la prenotazione senza alcuna limitazione.

---

5. App per gli ospiti (app.snapories.com)

5.1 Identità senza account

Non crei alcun account. Affinché le tue immagini e il tuo rullino restino associati a te, il nostro server ti rilascia un pass di accesso firmato. Questo pass risiede in tre punti: nella memoria locale del tuo browser, in un cookie impostato da noi (spr_id) e — per la chiamata corrente — in una seconda voce di breve durata.

Non utilizziamo espressamente alcun fingerprinting del dispositivo. Una procedura impiegata in passato, che riconosceva il tuo dispositivo in base a caratteristiche tecniche, è stata rimossa completamente: poteva confondere due dispositivi identici e non era giustificabile sotto il profilo della protezione dei dati. Un dispositivo senza un pass valido è per noi una persona nuova e sconosciuta.

Base giuridica: Art. 6 Abs. 1 lit. b DSGVO. L'impostazione del pass è tecnicamente strettamente necessaria e pertanto non richiede consenso ai sensi del § 25 Abs. 2 Nr. 2 TDDDG.

5.2 Il tuo nome

Il nome inserito al momento dell'adesione è liberamente scelto. Viene mostrato agli altri partecipanti di questo evento, se l'organizzatore lo ha impostato. Base giuridica: Art. 6 Abs. 1 lit. b DSGVO.

5.3 Foto e immagini

Trattiamo le immagini da te acquisite, le versioni tecnicamente derivate (anteprime) nonché i metadati (momento, dimensioni, associazione a te e all'evento). Finalità: messa a disposizione della galleria dell'evento. Base giuridica: Art. 6 Abs. 1 lit. b DSGVO nei tuoi confronti; per quanto riguarda le ulteriori persone ritratte, Art. 6 Abs. 1 lit. f DSGVO (legittimo interesse dei partecipanti alla documentazione comune di un evento in una cerchia chiusa).

Le persone ritratte che non utilizzano l'app hanno i diritti di cui al punto 13 — in particolare il diritto di opposizione ai sensi dell'Art. 21 DSGVO. In pratica sono percorribili due vie: l'organizzatore può bloccare immediatamente una singola immagine e noi cancelliamo le immagini su richiesta. Non ha luogo alcun riconoscimento facciale automatico, alcun occultamento automatico né alcun confronto con un'immagine di riferimento.

Nessun dato biometrico. Snapories non crea modelli facciali (template) né vettori facciali e non effettua alcun confronto biometrico. Non riconosciamo nessuno dal suo volto, non confrontiamo le immagini con un'immagine di riferimento e non possiamo desumere da un'immagine chi vi sia raffigurato. Una funzione un tempo prevista per rendere irriconoscibile il proprio volto è stata eliminata prima del lancio sul mercato e non è presente nel sistema.

Cosa descrive l'analisi IA. Quando un'immagine viene analizzata per la fotobox IA (punto 6), ne deriva una breve descrizione di ogni persona raffigurata in primo piano — compresi il suo apparente tono della pelle e la sua apparente origine etnica. Essa serve a far sì che l'immagine generata preservi l'aspetto delle persone raffigurate e non lo sostituisca con uno estraneo. Si tratta di informazioni di una categoria particolare ai sensi dell'Art. 9 DSGVO, e le indichiamo qui, invece di sostenere che non vengano trattate. Esse vengono utilizzate esclusivamente per questa unica finalità: non le usiamo per classificare, profilare, segmentare, valutare o riconoscere qualcuno, e nel servizio non influenzano nulla al di fuori dell'immagine che viene generata. Non vengono scritte nel nostro database. Per una generazione vengono trasportate, cifrate, nel token di sessione che la tua app conserva per la durata di quella sessione; in occasione della verifica automatica di cui al punto 6.1a vengono scartate non appena da esse è stata ricavata la risposta sì/no. Dettagli sulla trasmissione, sulla base giuridica e sulla conservazione presso il fornitore IA: punto 6.

5.4 Contingenti e condivisione

Conteggiamo quante acquisizioni e crediti hai consumato e se un'immagine è stata condivisa. Questi contatori sono necessari per il funzionamento (gestione dei contingenti) e confluiscono in statistiche aggregate e non riferite a persone. Base giuridica: Art. 6 Abs. 1 lit. b e lit. f DSGVO.

5.5 Accesso alla galleria

La galleria di un evento è raggiungibile tramite il codice di adesione casuale a sette caratteri. Il codice è praticamente non indovinabile, ma non costituisce un accesso autenticato: chi lo conosce può vedere le immagini rilasciate dell'evento. Lo segnaliamo affinché tu possa valutare chi può vedere le tue immagini.

Questo accesso esiste solo durante il periodo dell'evento. Con la fine dell'evento la galleria non è più raggiungibile per gli ospiti; la persona organizzatrice può successivamente mettere a disposizione le immagini tramite un link di condivisione a tempo limitato (punto 14).

5.6 Link personale di ripristino

Tramite la funzione «Salva le foto» generi un link che contiene il tuo identificativo. Chi possiede il link ottiene l'accesso alle tue immagini e ai tuoi contingenti. Trattalo come una password. Il link è valido fino a 400 giorni e può essere utilizzato solo per assumere l'identità, non come chiave di accesso generale.

---

6. Fotobox IA e verifica automatica delle immagini — trasmissione al fornitore IA

6.1 Cosa accade nella fotobox. La fotobox non ha una propria fotocamera. Tu scatti con l'unica fotocamera dell'app; successivamente selezioni una delle tue immagini già presenti nella galleria e descrivi cosa deve esserne fatto. Questa immagine viene trasmessa insieme al tuo testo immesso al fornitore di IA Google (Gemini API, generativelanguage.googleapis.com). Lì, in più passaggi, viene determinato il numero di persone raffigurate, vengono generate proposte di costume e infine viene generata l'immagine risultante. Il risultato viene salvato come immagine aggiuntiva del tuo evento.

La tua immagine originale non viene né modificata né sostituita — rimane nella galleria esattamente come l'hai scattata. Se applichi l'IA due volte alla stessa immagine, ottieni due immagini risultanti.

Per la durata di una generazione creiamo, nella regione dati dell'evento, una copia di lavoro dell'immagine da te scelta. Non viene mostrata da nessuna parte; esiste affinché un'immagine che rifiutiamo come inadatta possa essere scartata senza toccare la tua foto nella galleria. Se la tua immagine viene rifiutata, cancelliamo immediatamente questa copia. In caso contrario appartiene ai dati dell'evento e viene cancellata con esso; puoi richiederne la cancellazione in qualsiasi momento (punto 13).

6.1a Verifica automatica di ogni immagine caricata. Affinché l'app sappia per quali immagini può offrirti la funzione IA, ogni immagine da te caricata viene verificata automaticamente — non solo quelle che effettivamente utilizzi in seguito. Ciò avviene senza il tuo intervento, immediatamente dopo il caricamento, e a tale scopo l'immagine viene trasmessa allo stesso fornitore di IA alle stesse condizioni di cui al punto 6.1 (Google, Gemini API) — ridimensionata a una lunghezza dei lati di al massimo 1.280 pixel, nella misura in cui il nostro software è in grado di ricodificare l'immagine, altrimenti non ridimensionata.

Cosa chiediamo e cosa conserviamo. Chiediamo due cose: se nell'immagine è presente una persona e se l'inquadratura è sufficientemente ampia da lasciare spazio a un costume. Da ciò ricaviamo un'unica risposta Sì/No, e solo questa risposta — un valore, nient'altro — viene salvata insieme all'immagine. La risposta del fornitore stesso non viene salvata; viene scartata non appena ne è stata ricavata la risposta Sì/No (cosa essa contenga lo descrive il riquadro al punto 5.3).

Quando non ha luogo. La verifica viene eseguita solo per gli eventi per i quali la persona organizzatrice ha prenotato immagini IA. Per un evento senza di esse non viene trasmesso né verificato nulla. Se la verifica fallisce o dura troppo a lungo, la tua immagine rimane semplicemente non valutata — viene caricata, salvata e mostrata come prima, e nulla di essa cambia.

Cosa significa per te. La risposta decide unicamente se la funzione IA viene offerta per questa immagine. Non è un giudizio sull'immagine o sulle persone in essa raffigurate, non viene mostrata a nessuno, non viene trasmessa e non ha alcun effetto su nient'altro nel servizio.

6.2 Base giuridica. Per una generazione da te richiesta: Art. 6 Abs. 1 lit. b DSGVO — la generazione è la prestazione da te richiesta. Per la verifica automatica di cui al punto 6.1a: Art. 6 Abs. 1 lit. f DSGVO — il nostro legittimo interesse e quello della persona organizzatrice a offrire la funzione IA prenotata solo dove essa può effettivamente funzionare, invece di offrire un'azione destinata a fallire. Puoi opporti in qualsiasi momento ai sensi dell'Art. 21 DSGVO (punto 13); è sufficiente scriverci un messaggio.

6.3 Cosa ne fa il fornitore. In base alle condizioni applicabili all'utilizzo a pagamento, Google non utilizza gli input e i risultati per addestrare i propri modelli. Google registra input e risultati per un periodo limitato esclusivamente per il rilevamento di abusi e per l'adempimento di obblighi di legge.

6.4 Luogo del trattamento e trasferimento verso paesi terzi. L'interfaccia utilizzata tratta i dati, anche per gli eventi con regione dati UE, al di fuori dell'Unione Europea, in particolare negli Stati Uniti. La base è costituita dalla decisione di adeguatezza della Commissione UE per l'EU-US Data Privacy Framework, nella misura in cui il destinatario è certificato, integrata dalle clausole contrattuali tipo della Commissione UE unitamente a misure di protezione aggiuntive. Nonostante questi strumenti, in caso di trasferimento verso gli USA permangono rischi residui, in particolare per quanto riguarda le possibilità di accesso da parte delle autorità statali.

6.5 Limiti. Trasmettiamo immagini e, per una generazione, il tuo testo immesso — nient'altro: non il tuo nome, non il tuo identificativo, non il tuo indirizzo e-mail e non le immagini di altri ospiti. Per una generazione si tratta esattamente dell'unica immagine da te scelta. Per la verifica automatica di cui al punto 6.1a si tratta della rispettiva immagine caricata, singolarmente al momento del caricamento — mai la tua galleria nel suo insieme.

6.6 Etichettatura. I risultati della fotobox vengono etichettati nell'applicazione in modo visibile come generati dall'IA (Art. 50 Abs. 4 KI-VO).

---

7. Protezione contro l'abuso automatizzato (Cloudflare Turnstile)

7.1 Nei moduli che attivano una generazione o inviano un'e-mail utilizziamo Cloudflare Turnstile — un'alternativa rispettosa della privacy ai rompicapo basati su immagini.

7.2 Cosa viene trattato. Il modulo di verifica viene caricato da challenges.cloudflare.com e valuta i segnali del tuo browser. In occasione della conferma lato server trasmettiamo a Cloudflare il token di verifica emesso e il tuo indirizzo IP.

7.3 Cosa non accade. Abbiamo misurato che Turnstile non lascia né un cookie né un'altra voce nella memoria del tuo browser sul nostro dominio. Non viene impostato alcun identificativo pubblicitario e non viene creato alcun profilo trasversale tra siti.

7.4 Base giuridica. Art. 6 Abs. 1 lit. f DSGVO (considerando 49: sicurezza delle reti e delle informazioni, prevenzione delle frodi). Il caricamento del modulo di verifica è tecnicamente strettamente necessario per la funzione da te richiesta e pertanto non richiede consenso ai sensi del § 25 Abs. 2 Nr. 2 TDDDG.

7.5 Destinatario e paese terzo. Cloudflare, Inc., USA, ovvero Cloudflare Germany GmbH. I trasferimenti verso gli USA avvengono sulla base dell'EU-US Data Privacy Framework e, in via integrativa, delle clausole contrattuali tipo.

---

8. Ulteriori trattamenti nell'ambito dell'attività

8.1 Limiti contro gli abusi della demo gratuita. Affinché la funzione di prova gratuita non venga sfruttata in modo automatizzato, contiamo le generazioni per ciascun pass di accesso e per ciascun intervallo di rete. Il tuo indirizzo IP non viene memorizzato: viene dapprima troncato a un intervallo di rete (IPv4 /24, IPv6 /64) e questo valore viene poi ridotto in modo irreversibile mediante un procedimento crittografico di hash. Vengono memorizzati soltanto questo hash e un contatore. Durata di conservazione: 2 giorni. Base giuridica: Art. 6 Abs. 1 lit. f DSGVO (protezione da abusi e da costi incontrollati).

8.2 Gestione dei pagamenti. I pagamenti vengono gestiti tramite Stripe (Stripe Payments Europe, Ltd., Irlanda). In tale ambito i dati di pagamento e di fatturazione vengono trasmessi direttamente a Stripe; i dati completi della carta non raggiungono i nostri sistemi. Se paghi con PayPal, ciò avviene come metodo di pagamento all'interno di Stripe. Base giuridica: Art. 6 Abs. 1 lit. b DSGVO, per la documentazione fiscale Art. 6 Abs. 1 lit. c DSGVO. Stripe tratta i dati di pagamento in parte anche come titolare autonomo del trattamento ai fini della prevenzione delle frodi e dell'adempimento dei propri obblighi di vigilanza.

8.3 Accesso tramite codice monouso. Per l'accesso al dashboard dell'organizzatore e alla console interna inviamo un codice monouso di sei cifre all'indirizzo indicato. Il codice è valido 10 minuti e viene successivamente eliminato. Base giuridica: Art. 6 Abs. 1 lit. b DSGVO.

8.3a Recupero delle chiavi di amministrazione. Tramite la funzione di recupero inviamo le chiavi di amministrazione di un evento esclusivamente all'indirizzo registrato. Base giuridica: Art. 6 Abs. 1 lit. b DSGVO.

8.4 Dati degli organizzatori, dei partner e del programma di segnalazione. Trattiamo nome, indirizzo e-mail, regione, eventi prenotati, dati di fatturazione e di pagamento nonché — per i partner — ragione sociale, sito web, Paese, logo e colore del marchio e — nel programma di segnalazione — il codice personale, i relativi riscatti e il saldo punti. Base giuridica: Art. 6 Abs. 1 lit. b DSGVO, per i dati fiscalmente rilevanti Art. 6 Abs. 1 lit. c DSGVO.

8.5 Console interna. I nostri collaboratori visualizzano nella console interna indicatori aziendali, dati anagrafici degli eventi e degli account, codici, riscatti e dati dei partner. L'accesso è limitato a un elenco di indirizzi espressamente registrato e tutti i collaboratori sono vincolati alla riservatezza.

8.6 Attività successive a un evento: le immagini e una domanda via e-mail. Circa 35 ore dopo la fine di un evento prenotato scriviamo all'indirizzo e-mail con cui l'evento è stato prenotato. Il messaggio contiene un link a tempo limitato tramite il quale è possibile scaricare tutte le immagini dell'evento come archivio, e la richiesta di risponderci brevemente su come è andata. Viene inviato esclusivamente alla persona che ha effettuato la prenotazione — per gli ospiti non conserviamo alcun indirizzo e-mail (punto 5.1). A tal fine trattiamo l'indirizzo e-mail e il nome della persona che ha effettuato la prenotazione, il nome e il periodo dell'evento nonché il link di condivisione generato per esso.

Due finalità, due basi giuridiche. La messa a disposizione delle immagini è la prestazione da te acquistata: Art. 6 Abs. 1 lit. b DSGVO. La domanda è pubblicità diretta di prestazioni proprie simili: Art. 6 Abs. 1 lit. f DSGVO (interesse legittimo a promuovere e migliorare la propria offerta), disciplinata in modo settoriale dal § 7 Abs. 3 UWG. Ne rispettiamo i presupposti: abbiamo ottenuto il tuo indirizzo nel contesto della vendita, lo utilizziamo solo per prestazioni proprie simili, non scriviamo a nessuno che si sia opposto e ti informiamo del tuo diritto di opposizione sia al momento della raccolta dell'indirizzo sia in ogni e-mail di questo tipo.

8.7 Opposizione a questa e-mail e ciò che conserviamo in merito. Puoi opporti in qualsiasi momento all'utilizzo del tuo indirizzo per la domanda — tramite il link presente in ogni e-mail di questo tipo o in forma libera all'indirizzo support@snapories.com. In tal caso non ti derivano costi oltre a quelli di trasmissione secondo le tariffe di base. Dopo un'opposizione continui a ricevere l'e-mail con le tue immagini, poiché essa costituisce l'adempimento del contratto; la domanda viene omessa. Maggiori dettagli sul diritto di opposizione sono riportati al punto 13.

In merito all'opposizione stessa conserviamo il tuo indirizzo e-mail, il momento e la via attraverso cui ci è pervenuta. Base giuridica: Art. 6 Abs. 1 lit. c DSGVO in combinato disposto con § 7 Abs. 3 Nr. 3 UWG nonché Art. 6 Abs. 1 lit. f DSGVO (interesse legittimo a poter rispettare in modo permanente un'opposizione una volta dichiarata). Questa registrazione non viene eliminata; il motivo è indicato al punto 14.

---

9. Memorizzazione sul tuo dispositivo

Senza il tuo consenso Snapories memorizza solo ciò che è assolutamente necessario per il servizio richiesto. Concretamente si tratta di: alcuni cookie da noi impostati — spr_id nell'app per gli ospiti, affinché le tue immagini restino associate a te, spr_oclaim durante una prenotazione, con cui riconosciamo che la tua pagina di conferma è quella da cui hai effettuato il pagamento, e spr_lang per la lingua da te scelta — nonché alcune voci nella memoria locale del tuo browser per il pass di accesso, la scelta della lingua, l'aspetto, l'ultimo evento aperto, la tua scelta nella richiesta di consenso e la versione offline dell'app. Per questa memorizzazione il § 25 Abs. 2 Nr. 2 TDDDG richiede un'informativa, non un consenso.

Con il tuo consenso si aggiungono sul sito web di marketing i cookie del Reddit-Pixel (punto 4.6). Vengono impostati solo dopo che hai acconsentito alla misurazione pubblicitaria e rimossi quando revochi il tuo consenso. Nell'app per gli ospiti, nel dashboard dell'organizzatore e sulle nostre restanti interfacce non vi è alcuna memorizzazione soggetta a consenso; per questo motivo lì non compare alcuna richiesta.

L'elenco completo e sempre aggiornato di ogni singola voce — chiave, finalità, durata, fornitore — è disponibile all'indirizzo snapories.com/de/cookies. Questo elenco viene generato direttamente dal codice sorgente e imposto tramite un confronto automatico: una nuova voce di memorizzazione nel codice fa fallire il test finché non vi è dichiarata. In questo modo l'indicazione non può diventare obsoleta.

---

10. Destinatari dei tuoi dati

Comunichiamo i dati personali solo nella misura in cui ciò è necessario per l'attività o siamo legalmente obbligati a farlo. Categorie di destinatari:

• Hosting e memorizzazione: Amazon Web Services (data center a Francoforte o in Virginia del Nord, a seconda della regione dati dell'evento; i record dell'account e commerciali sempre a Francoforte — punto 12) nonché la distribuzione delle immagini tramite la rete di content delivery dello stesso fornitore (punto 12)
• Generazione tramite IA e verifica automatica delle immagini: Google (punto 6)
• Protezione dagli abusi: Cloudflare (punto 7)
• Misurazione pubblicitaria, solo con il tuo consenso: Reddit (punto 4.6) — non in qualità di responsabile del trattamento, bensì come contitolare insieme a noi o titolare autonomo
• Gestione dei pagamenti: Stripe (punto 8.2)
• Invio di e-mail: il nostro fornitore di servizi di invio
• Consulenti e autorità: consulenza fiscale, consulenza legale, revisione contabile nonché autorità e tribunali, nella misura in cui previsto dalla legge

L'elenco nominativo e sempre aggiornato, con sede, luogo del trattamento e base del trasferimento, è riportato nella Lista dei sub-responsabili del trattamento.

Ad eccezione di Reddit, nell'ambito del tuo consenso ai sensi del punto 4.6, non cediamo i tuoi dati a reti pubblicitarie, e non li cediamo a intermediari di dati o fornitori di servizi di analisi. Non ha luogo alcuna vendita.

---

11. Trasferimento verso Paesi terzi

Un trasferimento verso Paesi al di fuori dello Spazio economico europeo ha luogo nella generazione mediante IA e nel controllo automatico delle immagini (Google, USA — punto 6), nella protezione dagli abusi (Cloudflare, USA), nella misurazione pubblicitaria con il tuo consenso (Reddit, USA — punto 4.6) nonché nella distribuzione delle immagini (Amazon Web Services): mentre un evento è in corso, le immagini vengono temporaneamente memorizzate nella cache presso postazioni edge ai fini della distribuzione, anche al di fuori dell'UE (punto 12). La base è:

• la decisione di adeguatezza della Commissione UE del 10 luglio 2023 relativa all'EU-US Data Privacy Framework, nella misura in cui l'impresa destinataria sia certificata, nonché
• in via complementare, le clausole contrattuali tipo della Commissione UE (decisione di esecuzione (UE) 2021/914) unitamente a una valutazione d'impatto del trasferimento e a ulteriori misure di protezione (cifratura in transito e a riposo, minimizzazione dei dati, nessun trasferimento di nomi o identificativi al fornitore di IA).

Una copia delle rispettive garanzie è disponibile su richiesta all'indirizzo privacy@snapories.com.

---

12. Regione dei dati (UE / USA)

Per ogni evento, al momento della prenotazione viene stabilita una regione dei dati. Essa determina in quale regione i dati di tale evento vengono conservati e trattati da noi:

• UE → Frankfurt am Main (eu-central-1)
• USA → Virginia del Nord (us-east-1)

Non ha luogo alcuna duplicazione dei dati di un evento tra le regioni. A tal fine, ogni regione dispone di propri database e di propri spazi di archiviazione.

Dati dell'account e di fatturazione. Il tuo account presso di noi — indirizzo e-mail, codici di accesso e gli eventi gestiti tramite esso — si trova nell'Unione europea (Frankfurt am Main), e ciò per ogni evento, indipendentemente dalla sua regione dei dati. Lo stesso vale per gli account dei partner e dei referenti, per i codici sconto e i loro utilizzi, per i diritti derivanti dalle segnalazioni nonché per il destinatario della fattura e per la fattura relativa a una prenotazione. Questi record sono conservati una sola volta e vengono letti da entrambe le regioni: un account gestisce eventi in entrambe le regioni, e un buono emesso in una regione deve essere utilizzabile nell'altra — una suddivisione tra le regioni significherebbe che un codice venga rifiutato nella regione in cui non è stato emesso. Per un evento con regione dei dati USA ciò significa: le immagini dell'evento e i dati dei suoi ospiti si trovano in Virginia del Nord, mentre l'account con cui è stato prenotato e la relativa fattura si trovano a Frankfurt am Main.

Distribuzione delle immagini. Affinché le immagini arrivino ovunque in modo rapido e affidabile, le distribuiamo tramite una rete di distribuzione dei contenuti (Amazon CloudFront). In tale contesto esse vengono temporaneamente memorizzate nella cache presso postazioni edge — anche al di fuori dell'UE; l'ambito delle postazioni comprende gli Stati Uniti, il Canada, l'Europa e Israele. Questa memorizzazione temporanea sussiste solo per il tempo in cui l'evento è in corso; al termine dell'evento svuotiamo la cache e un recupero attraverso questa via non è più possibile. La versione memorizzata di un'immagine non lascia la regione dei dati.

Che cosa copre la regione dei dati e che cosa no: la regione dei dati disciplina i dati di questo evento — le sue immagini e ciò che viene rilevato in merito all'evento e alle persone che vi partecipano — e stabilisce dove essi vengono conservati, trattati e cancellati. Tre cose restano al di fuori. Essa non descrive ogni luogo in cui un byte viene brevemente conservato ai fini della distribuzione (sopra). Essa non comprende i record dell'account e i record commerciali (sopra), che vengono conservati una sola volta nell'UE e letti da entrambe le regioni. E non copre le chiamate a fornitori esterni descritte al punto 6 e al punto 7; questi trattano indipendentemente dalla regione dei dati scelta, e in tale ambito è determinante il punto 11.

---

13. I tuoi diritti

Ai sensi del DSGVO hai diritto a:

Come esercitare i tuoi diritti: in forma libera via e-mail all'indirizzo privacy@snapories.com. Rispondiamo senza indebito ritardo e al più tardi entro un mese. Qualora non possiamo identificarti senza informazioni aggiuntive — il che costituisce il caso ordinario in caso di utilizzo dell'app per gli ospiti senza account —, abbiamo bisogno di informazioni che consentano l'attribuzione (Art. 11 Abs. 2 DSGVO), ad esempio il codice di adesione dell'evento, il nome utilizzato e il momento approssimativo.

Caso particolare persone raffigurate: Se compari in un'immagine senza utilizzare l'app, rivolgiti a privacy@snapories.com e descrivi l'evento e l'immagine nel modo più preciso possibile. Rimuoviamo l'immagine oppure inoltriamo la richiesta — nel caso di eventi aziendali in cui siamo responsabili del trattamento su incarico — senza indugio all'organizzazione titolare e la supportiamo nell'evasione.

Caso particolare pubblicità diretta. Al trattamento dei tuoi dati a fini di pubblicità diretta — che presso di noi consiste unicamente nella richiesta contenuta nell'e-mail di riepilogo (punto 8.6) — puoi opporti in qualsiasi momento ai sensi dell'art. 21, par. 2 DSGVO. Tale opposizione è incondizionata: non ha luogo alcun bilanciamento degli interessi e non devi motivarla. In seguito non tratteremo più i tuoi dati per tale finalità. Il modo più rapido è il link presente in ciascuna di queste e-mail; è altresì sufficiente un messaggio in forma libera a support@snapories.com.

Diritto di reclamo. Hai il diritto di proporre reclamo a un'autorità di controllo in materia di protezione dei dati, in particolare a quella competente per noi:

Bayerisches Landesamt für Datenschutzaufsicht (BayLDA)
Promenade 27, 91522 Ansbach
https://www.lda.bayern.de

---

14. Durate di conservazione in sintesi

---

15. Nessun processo decisionale automatizzato

Non ha luogo alcun processo decisionale automatizzato nel singolo caso, compresa la profilazione ai sensi dell'art. 22 DSGVO. La fotobox con IA genera un'immagine; non prende alcuna decisione relativa a una persona e non produce alcun effetto giuridico. La verifica automatica dell'immagine (punto 6.1a) decide unicamente se la funzione IA venga offerta per una singola immagine; non valuta alcuna persona, non produce alcun effetto giuridico e non determina neppure un pregiudizio in modo analogo significativo. Le decisioni relative alla rimozione di contenuti sono prese da persone.

---

16. Sicurezza

Adottiamo misure tecniche e organizzative ai sensi dell'art. 32 DSGVO. Tra queste figurano la cifratura del trasporto (TLS), la cifratura dei dati a riposo, la rigorosa separazione delle regioni dati per i dati degli eventi, sistemi interni ad accesso limitato, token di accesso firmati e di breve durata per i file immagine, una protezione lato server contro gli abusi nonché il regolare aggiornamento dei componenti impiegati. I dettagli sono riportati nell'Allegato 2 del contratto di trattamento su incarico.

---

17. Modifiche della presente dichiarazione

Adeguiamo la presente dichiarazione quando mutano il servizio, i fornitori impiegati o la situazione giuridica. La versione di volta in volta aggiornata è consultabile all'indirizzo snapories.com/privacy.html; la data in testa ne indica lo stato.

---

18. Versione linguistica determinante

È determinante esclusivamente la versione tedesca della presente informativa sulla protezione dei dati. Le versioni in altre lingue vengono messe a disposizione esclusivamente a fini informativi. In caso di difformità prevale la versione tedesca. Nei confronti delle persone interessate che abbiano fatto affidamento su una versione in altra lingua da noi fornita, ciò vale solo nella misura in cui la versione tedesca non risulti per esse meno favorevole.