Informativa sulla privacy

1 · Chi è responsabile

Del trattamento dei vostri dati personali ai sensi della legge svizzera sulla protezione dei dati (LPD) risponde:

Michael Bolliger
Earhart-Strasse 19
8152 Glattpark (Opfikon)
Svizzera
info@migumento.com

Siamo una ditta individuale e non abbiamo un responsabile della protezione dei dati. Tutte le richieste arrivano direttamente all’indirizzo qui sopra, e a rispondere è la persona indicata lì.

2 · Quali dati trattiamo

Come organizzatori

• Il vostro indirizzo e-mail. Ci serve per mandarvi i link all’evento e perché possiate farveli rimandare. È l’unica cosa che vi chiediamo attivamente — non c’è nessun account, nessuna password e nessun profilo.
• I dati sull’occasione, che inserite voi: titolo, data, luogo, design, impostazioni dell’evento.
• Da dove arriva la vostra visita. Registrata una volta sola quando viene creato l’album, e mai più toccata: i dati di campagna contenuti nel link da cui siete arrivati («utm_source», «utm_medium», «utm_campaign»), il percorso della pagina su cui vi trovavate (per esempio «/hochzeit») e, se venite da un altro sito, il suo host — quindi per esempio «www.google.com» e mai l’indirizzo completo. In più la risposta facoltativa alla domanda «Come ci avete conosciuto?» nel modulo; quella potete lasciarla vuota. Serve a un’unica domanda, quante persone ci trovano e da dove — mai a riconoscervi. Quello che non succede: nessun cookie, nessun indirizzo IP, nessun user agent, nessun profilo su più visite. E se il vostro browser invia «Do Not Track» o «Global Privacy Control», non ne raccogliamo proprio niente. Questi dati sono legati all’album e vengono eliminati con esso.
• Dati di pagamento — vedi sezione 5.

Come ospite

• Il nome che inserite voi. A vostra scelta. Compare accanto alle vostre foto e ai vostri commenti, così gli altri sanno di chi sono.
• Una password, se ne impostate una. È facoltativa — nessuno è obbligato a crearne una. Vi serve per rientrare con il vostro nome da un telefono nuovo, per esempio se avete perso quello vecchio. Non la salviamo in chiaro, ma solo come hash, da cui la password non si può ricavare a ritroso — non riusciamo a leggerla nemmeno noi.
• Un codice d’accesso, se ne create uno voi o gli organizzatori. Otto caratteri, valido 30 minuti, utilizzabile una volta sola — vi serve per collegare un secondo dispositivo al vostro nome, per esempio un tablet accanto al telefono. Anche di questo salviamo solo un hash, mai il codice stesso. Perché possiate rientrare anche senza password, gli organizzatori possono creare un codice così per voi: chi lo riscatta entro quei 30 minuti, da quel momento carica con il vostro nome.
• Foto, video, commenti e reazioni, che caricate o lasciate.
• Quali foto avete contrassegnato tra i preferiti. Una voce per ogni foto e per ogni ospite, con l’orario. Questa lista la vede solo l’ospite che l’ha creata — non gli organizzatori, non gli altri ospiti. Non c’è nessun numero sulla foto, nessuna classifica e nessuna analisi di quali foto siano state contrassegnate più spesso. Non vi serve un nome per questo; senza nome, però, la lista resta su questo solo dispositivo finché non ne inserite uno. Viene eliminata insieme all’evento.
• Quali foto avete aperto nella vista ingrandita («Visto»). Il conteggio è per dispositivo e per foto, da circa un secondo di visione in su — una scorsa veloce non conta, le vostre foto non contano mai. Tutto questo resta dentro questo solo evento: accanto alla foto c’è scritto quanti ospiti diversi l’hanno aperta, e gli altri ospiti dello stesso evento possono aprire quella lista. Se avete inserito un nome, lì comparite con quel nome; se non ne avete inserito nessuno, comparite solo come numero («+ 3 altri ospiti») e lì non siete distinguibili. Un evento è una cerchia chiusa di persone che si conoscono — per questo lo riteniamo accettabile. Se non volete comparire in quella lista, non inserite un nome.
• Il conteggio va avanti anche quando la visualizzazione è disattivata. Gli organizzatori possono disattivare «Visto» per il loro evento; allora nessuno vede numeri né nomi. Il conteggio prosegue comunque, così i numeri sono completi se più avanti viene riattivato.
• Tipo di dispositivo, modello e sistema operativo del vostro browser, per quanto li riveli — ad es. «Pixel 7 · Android 15». Molti browser (tutti quelli su iPhone) non indicano il modello; allora lì c’è meno, o niente. Lo usiamo per migliorare Migumento sui dispositivi realmente in uso, e compare accanto a voi nell’elenco ospiti degli organizzatori — per i dispositivi senza nome è l’unica cosa con cui possono distinguere due dispositivi. Se usate più dispositivi con lo stesso nome — telefono e tablet, o un telefono nuovo dopo averne perso uno —, in quell’elenco li riuniamo: gli organizzatori vedono allora quanti dispositivi vi appartengono, i dati del primo e se avete impostato una password — mai la password stessa. È legato all’evento e viene eliminato insieme a esso.
• Senza password non c’è nessuna autenticazione: chi apre un evento non viene identificato da noi, e l’associazione «questi caricamenti sono miei» vive solo nella memoria del vostro browser e non lascia il vostro dispositivo. Se impostate una password o collegate un dispositivo con un codice d’accesso, per quel solo dispositivo questo non vale più — è esattamente a questo che servono i due.

Quando qualcosa si rompe

• Rapporti di errore dal vostro browser. Se nell’app qualcosa va storto — un caricamento si blocca, una parte della pagina non si carica, compare un errore —, il vostro browser ci manda un breve rapporto. Contiene: il messaggio di errore con la riga tecnica da cui arriva, l’indirizzo della pagina su cui vi trovavate (cioè il link al vostro evento, che avete comunque aperto voi), la versione della nostra app e i dati sull’ambiente — browser, sistema operativo, dimensione dello schermo, qualità della connessione, memoria disponibile — e gli ultimi passaggi che hanno portato all’errore. Se un caricamento non è riuscito, dentro c’è anche il nome del file interessato, così noi e voi sappiamo di quale elemento si trattava. Se una parte della pagina non si carica, dentro c’è l’indirizzo del file mancante — altrimenti sapremmo soltanto che manca qualcosa, e non cosa.
• Cosa non c’è dentro: il vostro nome, il vostro indirizzo e-mail, nessuna password, nessuna foto e nessun contenuto video, e niente da cui potremmo riconoscervi come persone. Un rapporto nasce solo quando qualcosa va storto — su una pagina che funziona non viene mandato niente. Non lo usiamo per contare cosa guardate e non ne ricaviamo profili.
• Per che cosa e per quanto tempo. Solo per trovare e correggere gli errori — una festa di nozze c’è una volta sola, e vogliamo sapere di un problema mentre si può ancora risolvere, non settimane dopo. Gli errori uguali vengono raccolti in una sola voce ed eliminati dopo 90 giorni. I rapporti stanno sullo stesso server dell’evento; una volta all’ora ci arriva un riepilogo per e-mail, e lì dentro i link al vostro evento sono resi irriconoscibili.

Dati tecnici, a ogni richiesta

• Indirizzo IP e identificativo del browser. Si producono a ogni richiesta a un sito web e stanno — come su qualsiasi server web — nei nostri registri operativi, insieme all’indirizzo richiesto. Li usiamo per respingere gli abusi (limite di richieste per mittente) e per trovare i guasti. Non li analizziamo per farne statistiche, non li colleghiamo a niente di quanto sopra e non ne ricaviamo profili. In particolare «Visto» non è legato all’indirizzo IP, ma all’identificativo che il vostro browser ha creato per questo solo evento.
• Volumi di dati trasferiti per evento. Contiamo quanti byte un evento ha generato in download e riproduzioni video. È una semplice somma per evento — senza IP, senza dispositivo, senza persona — e serve a calcolare i nostri prezzi rispetto ai nostri costi reali.

3 · Cosa resta sul vostro dispositivo, e i due cookie

Quasi tutto quello che Migumento si ricorda sta in locale sul vostro dispositivo e non viene mai mandato a un server: l’identificativo con cui il vostro browser riconosce i vostri caricamenti, quali album hanno foto nuove dalla vostra ultima visita, le vostre impostazioni di colore e di visualizzazione, e i caricamenti ancora in coda.

Un’eccezione, da quando c’è «Visto»: quali singole foto avete aperto viene mandato al server — vedi sezione 2. «Quali album sono nuovi per me» resta invece puramente locale; è un’altra cosa e non lascia il vostro dispositivo.

Anche i vostri preferiti stanno sul server, e di proposito: perché la lista sia la stessa su tutti i vostri dispositivi e perché possiate scaricare esattamente quelle foto, il server deve sapere quali sono. Leggerla può comunque solo chi l’ha creata. Sul vostro dispositivo c’è in più una copia, così le stelle ci sono già dal primo momento invece di comparire dopo.

Due piccoli cookie viaggiano comunque a ogni richiesta, perché il server ne ha bisogno per disegnare bene la prima pagina invece di doverla correggere subito dopo:

• quale vista avevate aperto per ultima in questo evento;
• se questo dispositivo possiede il link Gestisci — così la vista Gestisci c’è subito e non compare solo dopo.

Valgono entrambi solo per questo evento, non contengono nessun identificativo che vi riguardi e non servono a nessuna analisi. Non sono cookie di tracciamento, non vengono da nessun altro che da noi, e per questo qui non c’è nemmeno un banner dei cookie. Ve ne liberate, insieme a tutto il resto, eliminando i dati dei siti web nel vostro browser.

4 · I dati di posizione nelle vostre foto

Una fotocamera scrive in ogni foto dati aggiuntivi invisibili — l’ora, il modello della fotocamera e, su molti telefoni, le coordinate del luogo dello scatto. Questi dati non li rimuoviamo: fanno parte dello scatto, e chi più tardi scarica il proprio evento deve riavere esattamente il file che è stato scattato — con l’ora reale e tutto quello che ne fa parte.

Ma questo vuol dire anche: chi ha accesso a un evento e scarica un originale può leggerci il luogo dello scatto. Se non lo volete, disattivate la rilevazione della posizione nell’app della fotocamera prima di fotografare. Sul sito stesso non viene mai mostrato nessun luogo e non viene disegnata nessuna mappa.

Per i video questo vale solo per l’originale. La versione che viene riprodotta nell’app la ricodifichiamo noi — e così i dati aggiuntivi del dispositivo cadono, coordinate comprese. Quindi chi un video lo guarda soltanto non vede nessun luogo; chi scarica l’originale sì.

5 · Pagamenti

Si paga tramite Stripe. Numeri di carta, dati TWINT e tutto ciò che è paragonabile vengono raccolti e trattati direttamente da Stripe — noi non li vediamo mai e non li salviamo da nessuna parte. A noi torna solo: che un pagamento è andato a buon fine, per quale importo, e un numero di riferimento.

Il fornitore per i pagamenti europei è Stripe Payments Europe Ltd., Irlanda, con Stripe, Inc. (USA) come società madre. La loro informativa sulla privacy: stripe.com/privacy.

Se il vostro indirizzo di fatturazione è fuori dalla Svizzera, Stripe è il commerciante registrato dell’acquisto (Link, LLC (Stripe)) e per quel pagamento risponde in proprio — raccoglie i vostri dati di fatturazione per sé, emette la ricevuta e ne ha bisogno per i propri obblighi fiscali.

6 · Chi altro tratta i dati

Il minor numero possibile, e tutti come responsabili del trattamento per conto nostro — possono trattare i dati esclusivamente per noi, non per scopi propri.

Un’eccezione: con un indirizzo di fatturazione fuori dalla Svizzera, per il pagamento in sé Stripe non tratta i dati per conto nostro, ma ne risponde in proprio come commerciante registrato (vedi sezione 5).

Nella misura in cui in questo modo dei dati arrivano negli USA, ci basiamo sulle clausole contrattuali tipo della Commissione europea e sulla decisione di adeguatezza del Consiglio federale relativa allo Swiss-U.S. Data Privacy Framework. Non vendiamo dati e non li trasmettiamo a nessuno che non sia elencato qui — a meno che siate voi stessi a disporre un’esportazione nel vostro account Google (sezione 7) o la legge ci obblighi a farlo.

Google non compare nella tabella proprio per questo motivo: durante l’esportazione Google non lavora per noi, ma per voi, nel vostro account e in base al vostro accordo con Google. Che cosa succede in quel caso è scritto nella sezione successiva.

7 · Esportazione nel vostro account Google

Migumento può copiare le foto e i video di un evento nel vostro Google Drive o nella vostra libreria di Google Foto. Questo avviene soltanto se siete voi stessi a connettere un account Google e ad avviare l’esportazione. Senza questo passaggio a Google non va nulla — non esiste un’esportazione automatica, né programmata, né successiva, e per gli ospiti non esiste affatto. Quando vi connettete vi indirizziamo a Google; in quel momento Google vede il vostro indirizzo IP, come a ogni apertura di un sito web.

Vengono trasferiti: le foto e i video che avete scelto per questa esportazione, i loro nomi di file e il momento dello scatto. A questo si aggiunge il nome dell’evento e quello dell’album — su Google Drive come nome delle cartelle in cui stanno i file, su Google Foto come testo accanto a ogni immagine, così da ritrovarli lì. A ogni file su Google Drive alleghiamo inoltre un identificativo tecnico della foto o del video; e se chiedete l’esportazione su Google Drive come un unico archivio (ZIP), quell’archivio porta l’identificativo dell’esportazione. Da questi una seconda esportazione riconosce che cosa è già lassù, invece di caricare tutto una seconda volta. Sono sequenze di caratteri senza significato fuori dal nostro servizio, e Google le comunica soltanto alla nostra applicazione — nel vostro Google Drive non ne vedete nulla.

Un originale passa così com’è stato ripreso — con tutti i dati aggiuntivi invisibili della fotocamera descritti nella sezione 4, coordinate del luogo di ripresa comprese. Non li togliamo con l’esportazione, così come non li togliamo con il download. Solo se per l’esportazione su Google Drive scegliete la versione più piccola di una foto o la versione convertita di un video, passa il file ricalcolato, e quello non porta più questi dati. Su Google Foto vanno sempre gli originali.

Non vengono trasferiti i nomi degli ospiti, i commenti, i preferiti e gli indirizzi e-mail. Nel vostro account Google finiscono le foto e i video stessi, non le indicazioni su chi li ha caricati, aggiunti ai preferiti, commentati o guardati.

Le copie restano poi nel vostro account, in base al vostro accordo con Google. Noi siamo soltanto la strada e non il destinatario; per queste copie Google non tratta i dati per conto nostro e per questo non compare nella tabella della sezione 6. Che cosa fa Google con i dati nel vostro account dipende dall’informativa sulla privacy di Google: policies.google.com/privacy.

Nel vostro account Google possiamo scrivere, ma non leggere. Per le vostre foto e i vostri video chiediamo esattamente due autorizzazioni, ed entrambe sono ristrette quanto Google le offre: per Google Drive soltanto l’accesso ai file e alle cartelle che la nostra applicazione ha creato lì (drive.file) — tutto quello che era già nel vostro Google Drive resta per noi invisibile. Per Google Foto soltanto l’aggiunta (photoslibrary.appendonly): possiamo depositare foto e video e creare un album per raccoglierli, ma la vostra libreria non possiamo né consultarla, né guardarla, né eliminarne qualcosa. A questo si aggiunge, al momento dell’accesso, la condivisione dell’indirizzo del vostro account (openid, email). Non chiediamo altro.

Della connessione stessa conserviamo da noi solo ciò che serve a un’esportazione: un accesso che ci concedete presso Google e che custodiamo unicamente in forma cifrata, perché un’esportazione possa svolgersi senza che dobbiate accedere di nuovo ogni volta; l’indirizzo e-mail dell’account connesso, perché vediate in quale account si esporta — molte persone ne hanno più di uno, ed esportare in quello sbagliato non sarebbe reversibile; quali autorizzazioni ci avete concesso; nonché l’identificativo della cartella e degli album creati, perché una seconda esportazione riutilizzi gli stessi invece di creare dei doppioni. Nessuna password, e nessun accesso a Gmail, ai contatti o al calendario.

Potete disconnettere l’account in qualsiasi momento. Nella vista Gestisci dell’evento c’è «Disconnetti». Succedono allora due cose, e non sono ugualmente affidabili. Quello che conserviamo lo eliminiamo in ogni caso — dopodiché non abbiamo più né quell’accesso né l’indirizzo del vostro account Google, e un’esportazione in corso viene fermata. E chiediamo a Google di revocare l’autorizzazione — questa è una richiesta rivolta a Google, e normalmente Google la esegue. Se non arriva a Google, oppure se Google la rifiuta, l’autorizzazione può restare in piedi nel vostro account Google anche se da noi non ne è rimasto nulla. La revoca, in quel caso, non possiamo recuperarla: l’accesso con cui si potrebbe fare è stato eliminato insieme a tutto il resto. Da noi in entrambi i casi compare «Account Google disconnesso» — questa scritta descrive quello che conserviamo noi, non il vostro account Google.

L’autorizzazione potete controllarla e ritirarla voi stessi in qualsiasi momento, indipendentemente da noi e senza il nostro intervento: nel vostro account Google alla voce «Sicurezza», tra le app di terze parti con accesso all’account: myaccount.google.com. Lì c’è scritto che cosa ci è ancora permesso nel vostro account, ed è lì che lo togliete. Quel posto è vostro, ed è l’unico che vi dà la risposta con certezza.

Se l’evento viene eliminato, quello che conserviamo sparisce con lui; a Google in quel caso non chiediamo nulla — qui la strada che passa dal vostro account Google vale quindi a maggior ragione. Con una revoca direttamente presso Google il nostro accesso perde subito validità; ciò che conserviamo con l’indirizzo del vostro account resta però ancora, perché possiamo comunque dirvi quale connessione non vale più — sparisce con «Disconnetti» o con l’evento. Quello che è già stato esportato resta nel vostro account — è vostro, e dopo non possiamo più raggiungerlo.

8 · Cosa non facciamo

• Nessuna pubblicità, nessuna rete pubblicitaria, nessuna rivendita di dati.
• Nessun software di analisi, nessun pixel di tracciamento, nessun Google Analytics — Migumento non carica proprio nessuno script esterno.
• Nessun cookie di terze parti e nessun cookie pubblicitario o di tracciamento — solo i due funzionali della sezione 3.
• Nessun riconoscimento facciale, nessun riconoscimento automatico delle persone, nessuna decisione individuale automatizzata.
• Non guardiamo le vostre foto — a meno che non ci chiediate aiuto o che una segnalazione ci costringa a farlo.

9 · Per quanto tempo conserviamo le cose

• L’evento e tutto ciò che contiene: finché scorre la durata di accesso (vedi Condizioni generali). Poi l’evento viene bloccato e da quel momento possiamo cancellarlo in qualsiasi istante. Non garantiamo alcuna conservazione oltre la durata di accesso. Di regola teniamo un evento bloccato più a lungo, perché possiate riaprirlo — ma non potete farci affidamento. Prima di allora, viene cancellato quando lo cancellate voi o quando ce lo chiedete.
• Eventi mai usati: eliminiamo automaticamente un evento che 12 mesi dopo la creazione è ancora completamente intatto. Intatto vuol dire: mai caricata una foto o un video, mai inserito un nome da un ospite, l’indirizzo e-mail mai confermato, mai pagato nulla, nessun segnaposto creato. In un evento così non c’è niente che qualcuno possa perdere. Appena anche una sola di queste cose è successa, vale il primo punto, invariato.
• Eventi demo: automaticamente e per intero dopo 48 ore.
• Caricamenti non riusciti: dopo 7 giorni.
• Indirizzo e-mail dell’organizzatore: finché l’evento esiste.
• Connessione a un account Google: finché non la disconnettete, al massimo finché l’evento esiste — dopodiché sparisce tutto quello che ne conserviamo, accesso e indirizzo dell’account (vedi sezione 7).
• Registri operativi: di breve durata. Vengono sovrascritti a rotazione e non sono archiviati né analizzati da nessuna parte.
• Documenti di pagamento: dieci anni, perché lo impone la legge (art. 958f CO, il Codice svizzero delle obbligazioni).

10 · I vostri diritti

Avete diritto di accesso ai dati che trattiamo su di voi, alla rettifica di quelli sbagliati, alla loro cancellazione, alla consegna in un formato corrente e a opporvi a un trattamento. Basta una e-mail a info@migumento.com — non ci servono moduli né motivazioni.

Se comparite in una foto di un evento e non lo volete, scriveteci lo stesso. Non vi serve né il link all’evento né il consenso dell’organizzatore.

Potete inoltre presentare reclamo all’Incaricato federale della protezione dei dati e della trasparenza (IFPDT / EDÖB) a Berna.

11 · Sicurezza

Tutto passa esclusivamente per connessioni cifrate (TLS). Un evento è raggiungibile attraverso un link lungo e non indovinabile; chi non ce l’ha non entra. I file originali vengono consegnati solo tramite link di breve durata, firmati uno per uno. Il link Gestisci e il link per gli ospiti sono separati — uno si può condividere senza rivelare l’altro.

Ma questo vuol dire anche: chi ha il link è dentro. Non passate ad altri il link Gestisci.

Controlliamo il nostro codice di continuo — in modo automatico e con l’aiuto dell’IA — e ogni modifica attraversa un percorso fisso di test e verifiche prima della pubblicazione. Questa è diligenza e non una garanzia: la sicurezza assoluta su internet non esiste, e per questo non la promettiamo. Cosa comporti per la responsabilità sta nella sezione 12 delle Condizioni generali.

12 · Modifiche

Adattiamo questa informativa quando qualcosa cambia nel prodotto. Vale di volta in volta la versione pubblicata qui; la data in fondo dice quando è stata modificata l’ultima volta.