Informativa sulla privacy

1 · Chi è responsabile

Del trattamento dei vostri dati personali ai sensi della legge svizzera sulla protezione dei dati (DSG) risponde:

Michael Bolliger
Earhart-Strasse 19
8152 Glattpark (Opfikon)
Svizzera
info@migumento.com

Siamo una ditta individuale e non abbiamo un responsabile della protezione dei dati. Tutte le richieste arrivano direttamente all’indirizzo qui sopra, e a rispondere è la persona indicata lì.

2 · Quali dati trattiamo

Come organizzatori

• Il vostro indirizzo e-mail. Ci serve per mandarvi i link all’evento e perché possiate farveli rimandare. È l’unica cosa che vi chiediamo attivamente — non c’è nessun account, nessuna password e nessun profilo.
• I dati sull’occasione, che inserite voi: titolo, data, luogo, design, impostazioni dell’evento.
• Da dove arriva la vostra visita. Registrata una volta sola quando viene creato l’album, e mai più toccata: i dati di campagna contenuti nel link da cui siete arrivati («utm_source», «utm_medium», «utm_campaign»), il percorso della pagina su cui vi trovavate (per esempio «/hochzeit») e, se venite da un altro sito, il suo host — quindi per esempio «www.google.com» e mai l’indirizzo completo. In più la risposta facoltativa alla domanda «Come ci avete conosciuto?» nel modulo; quella potete lasciarla vuota. Serve a un’unica domanda, quante persone ci trovano e da dove — mai a riconoscervi. Quello che non succede: nessun cookie, nessun indirizzo IP, nessun user agent, nessun profilo su più visite. E se il vostro browser invia «Do Not Track» o «Global Privacy Control», non ne raccogliamo proprio niente. Questi dati sono legati all’album e vengono eliminati con esso.
• Dati di pagamento — vedi sezione 5.

Come ospite

• Il nome che inserite voi. A vostra scelta. Compare accanto alle vostre foto e ai vostri commenti, così gli altri sanno di chi sono.
• Una password, se ne impostate una. È facoltativa — nessuno è obbligato a crearne una. Vi serve per rientrare con il vostro nome da un telefono nuovo, per esempio se avete perso quello vecchio. Non la salviamo in chiaro, ma solo come hash, da cui la password non si può ricavare a ritroso — non riusciamo a leggerla nemmeno noi.
• Un codice d’accesso, se ne create uno voi o gli organizzatori. Otto caratteri, valido 30 minuti, utilizzabile una volta sola — vi serve per collegare un secondo dispositivo al vostro nome, per esempio un tablet accanto al telefono. Anche di questo salviamo solo un hash, mai il codice stesso. Perché possiate rientrare anche senza password, gli organizzatori possono creare un codice così per voi: chi lo riscatta entro quei 30 minuti, da quel momento carica con il vostro nome.
• Foto, video, commenti e reazioni, che caricate o lasciate.
• Quali foto avete contrassegnato tra i preferiti. Una voce per ogni foto e per ogni ospite, con l’orario. Questa lista la vede solo l’ospite che l’ha creata — non gli organizzatori, non gli altri ospiti. Non c’è nessun numero sulla foto, nessuna classifica e nessuna analisi di quali foto siano state contrassegnate più spesso. Non vi serve un nome per questo; senza nome, però, la lista resta su questo solo dispositivo finché non ne inserite uno. Viene eliminata insieme all’evento.
• Quali foto avete aperto nella vista ingrandita («Visto»). Il conteggio è per dispositivo e per foto, da circa un secondo di visione in su — una scorsa veloce non conta, le vostre foto non contano mai. Tutto questo resta dentro questo solo evento: accanto alla foto c’è scritto quanti ospiti diversi l’hanno aperta, e gli altri ospiti dello stesso evento possono aprire quella lista. Se avete inserito un nome, lì comparite con quel nome; se non ne avete inserito nessuno, comparite solo come numero («+ 3 altri ospiti») e lì non siete distinguibili. Un evento è una cerchia chiusa di persone che si conoscono — per questo lo riteniamo accettabile. Se non volete comparire in quella lista, non inserite un nome.
• Il conteggio va avanti anche quando la visualizzazione è disattivata. Gli organizzatori possono disattivare «Visto» per il loro evento; allora nessuno vede numeri né nomi. Il conteggio prosegue comunque, così i numeri sono completi se più avanti viene riattivato.
• Tipo di dispositivo, modello e sistema operativo del vostro browser, per quanto li riveli — ad es. «Pixel 7 · Android 15». Molti browser (tutti quelli su iPhone) non indicano il modello; allora lì c’è meno, o niente. Lo usiamo per migliorare Migumento sui dispositivi realmente in uso, e compare accanto a voi nell’elenco ospiti degli organizzatori — per i dispositivi senza nome è l’unica cosa con cui possono distinguere due dispositivi. Se usate più dispositivi con lo stesso nome — telefono e tablet, o un telefono nuovo dopo averne perso uno —, in quell’elenco li riuniamo: gli organizzatori vedono allora quanti dispositivi vi appartengono, i dati del primo e se avete impostato una password — mai la password stessa. È legato all’evento e viene eliminato insieme a esso.
• Senza password non c’è nessuna autenticazione: chi apre un evento non viene identificato da noi, e l’associazione «questi caricamenti sono miei» vive solo nella memoria del vostro browser e non lascia il vostro dispositivo. Se impostate una password o collegate un dispositivo con un codice d’accesso, per quel solo dispositivo questo non vale più — è esattamente a questo che servono i due.

Quando qualcosa si rompe

• Rapporti di errore dal vostro browser. Se nell’app qualcosa va storto — un caricamento si blocca, una parte della pagina non si carica, compare un errore —, il vostro browser ci manda un breve rapporto. Contiene: il messaggio di errore con la riga tecnica da cui arriva, l’indirizzo della pagina su cui vi trovavate (cioè il link al vostro evento, che avete comunque aperto voi), la versione della nostra app e i dati sull’ambiente — browser, sistema operativo, dimensione dello schermo, qualità della connessione, memoria disponibile — e gli ultimi passaggi che hanno portato all’errore. Se un caricamento non è riuscito, dentro c’è anche il nome del file interessato, così noi e voi sappiamo di quale elemento si trattava.
• Cosa non c’è dentro: il vostro nome, il vostro indirizzo e-mail, nessuna password, nessuna foto e nessun contenuto video, e niente da cui potremmo riconoscervi come persone. Un rapporto nasce solo quando qualcosa va storto — su una pagina che funziona non viene mandato niente. Non lo usiamo per contare cosa guardate e non ne ricaviamo profili.
• Per che cosa e per quanto tempo. Solo per trovare e correggere gli errori — una festa di nozze c’è una volta sola, e vogliamo sapere di un problema mentre si può ancora risolvere, non settimane dopo. Gli errori uguali vengono raccolti in una sola voce ed eliminati dopo 90 giorni. I rapporti stanno sullo stesso server dell’evento; una volta all’ora ci arriva un riepilogo per e-mail, e lì dentro i link al vostro evento sono resi irriconoscibili.

Dati tecnici, a ogni richiesta

• Indirizzo IP e identificativo del browser. Si producono a ogni richiesta a un sito web e stanno — come su qualsiasi server web — nei nostri registri operativi, insieme all’indirizzo richiesto. Li usiamo per respingere gli abusi (limite di richieste per mittente) e per trovare i guasti. Non li analizziamo per farne statistiche, non li colleghiamo a niente di quanto sopra e non ne ricaviamo profili. In particolare «Visto» non è legato all’indirizzo IP, ma all’identificativo che il vostro browser ha creato per questo solo evento.
• Volumi di dati trasferiti per evento. Contiamo quanti byte un evento ha generato in download e riproduzioni video. È una semplice somma per evento — senza IP, senza dispositivo, senza persona — e serve a calcolare i nostri prezzi rispetto ai nostri costi reali.

3 · Cosa resta sul vostro dispositivo, e i due cookie

Quasi tutto quello che Migumento si ricorda sta in locale sul vostro dispositivo e non viene mai mandato a un server: l’identificativo con cui il vostro browser riconosce i vostri caricamenti, quali album hanno foto nuove dalla vostra ultima visita, le vostre impostazioni di colore e di visualizzazione, e i caricamenti ancora in coda.

Un’eccezione, da quando c’è «Visto»: quali singole foto avete aperto viene mandato al server — vedi sezione 2. «Quali album sono nuovi per me» resta invece puramente locale; è un’altra cosa e non lascia il vostro dispositivo.

Anche i vostri preferiti stanno sul server, e di proposito: perché la lista sia la stessa su tutti i vostri dispositivi e perché possiate scaricare esattamente quelle foto, il server deve sapere quali sono. Leggerla può comunque solo chi l’ha creata. Sul vostro dispositivo c’è in più una copia, così le stelle ci sono già dal primo momento invece di comparire dopo.

Due piccoli cookie viaggiano comunque a ogni richiesta, perché il server ne ha bisogno per disegnare bene la prima pagina invece di doverla correggere subito dopo:

• quale vista avevate aperto per ultima in questo evento;
• se questo dispositivo possiede il link Gestisci — così la vista Gestisci c’è subito e non compare solo dopo.

Valgono entrambi solo per questo evento, non contengono nessun identificativo che vi riguardi e non servono a nessuna analisi. Non sono cookie di tracciamento, non vengono da nessun altro che da noi, e per questo qui non c’è nemmeno un banner dei cookie. Ve ne liberate, insieme a tutto il resto, eliminando i dati dei siti web nel vostro browser.

4 · I dati di posizione nelle vostre foto

Una fotocamera scrive in ogni foto dati aggiuntivi invisibili — l’ora, il modello della fotocamera e, su molti telefoni, le coordinate del luogo dello scatto. Questi dati non li rimuoviamo: fanno parte dello scatto, e chi più tardi scarica il proprio evento deve riavere esattamente il file che è stato scattato — con l’ora reale e tutto quello che ne fa parte.

Ma questo vuol dire anche: chi ha accesso a un evento e scarica un originale può leggerci il luogo dello scatto. Se non lo volete, disattivate la rilevazione della posizione nell’app della fotocamera prima di fotografare. Sul sito stesso non viene mai mostrato nessun luogo e non viene disegnata nessuna mappa.

Per i video questo vale solo per l’originale. La versione che viene riprodotta nell’app la ricodifichiamo noi — e così i dati aggiuntivi del dispositivo cadono, coordinate comprese. Quindi chi un video lo guarda soltanto non vede nessun luogo; chi scarica l’originale sì.

5 · Pagamenti

Si paga tramite Stripe. Numeri di carta, dati TWINT e tutto ciò che è paragonabile vengono raccolti e trattati direttamente da Stripe — noi non li vediamo mai e non li salviamo da nessuna parte. A noi torna solo: che un pagamento è andato a buon fine, per quale importo, e un numero di riferimento.

Il fornitore per i pagamenti europei è Stripe Payments Europe Ltd., Irlanda, con Stripe, Inc. (USA) come società madre. La loro informativa sulla privacy: stripe.com/privacy.

Se il vostro indirizzo di fatturazione è fuori dalla Svizzera, Stripe è il commerciante registrato dell’acquisto (Link, LLC) e per quel pagamento risponde in proprio — raccoglie i vostri dati di fatturazione per sé, emette la ricevuta e ne ha bisogno per i propri obblighi fiscali.

6 · Chi altro tratta i dati

Il minor numero possibile, e tutti come responsabili del trattamento per conto nostro — possono trattare i dati esclusivamente per noi, non per scopi propri.

Un’eccezione: con un indirizzo di fatturazione fuori dalla Svizzera, per il pagamento in sé Stripe non tratta i dati per conto nostro, ma ne risponde in proprio come commerciante registrato (vedi sezione 5).

Nella misura in cui in questo modo dei dati arrivano negli USA, ci basiamo sulle clausole contrattuali tipo della Commissione europea e sulla decisione di adeguatezza del Consiglio federale relativa allo Swiss-U.S. Data Privacy Framework. Non vendiamo dati e non li trasmettiamo a nessuno che non sia elencato qui — a meno che la legge ci obblighi a farlo.

7 · Cosa non facciamo

• Nessuna pubblicità, nessuna rete pubblicitaria, nessuna rivendita di dati.
• Nessun software di analisi, nessun pixel di tracciamento, nessun Google Analytics — Migumento non carica proprio nessuno script esterno.
• Nessun cookie di terze parti e nessun cookie pubblicitario o di tracciamento — solo i due funzionali della sezione 3.
• Nessun riconoscimento facciale, nessun riconoscimento automatico delle persone, nessuna decisione individuale automatizzata.
• Non guardiamo le vostre foto — a meno che non ci chiediate aiuto o che una segnalazione ci costringa a farlo.

8 · Per quanto tempo conserviamo le cose

• L’evento e tutto quello che contiene: finché esiste. Alla scadenza della durata di accesso (vedi Condizioni generali) l’evento viene bloccato, ma non eliminato automaticamente — così nessuno perde le proprie foto per essersi lasciato sfuggire una data. Viene eliminato quando lo eliminate voi o quando ce lo chiedete.
• Eventi demo: automaticamente e per intero dopo 48 ore.
• Caricamenti non riusciti: dopo 7 giorni.
• Indirizzo e-mail dell’organizzatore: finché l’evento esiste.
• Registri operativi: di breve durata. Vengono sovrascritti a rotazione e non sono archiviati né analizzati da nessuna parte.
• Documenti di pagamento: dieci anni, perché lo impone la legge (Art. 958f OR, il Codice svizzero delle obbligazioni).

9 · I vostri diritti

Avete diritto di accesso ai dati che trattiamo su di voi, alla rettifica di quelli sbagliati, alla loro cancellazione, alla consegna in un formato corrente e a opporvi a un trattamento. Basta una e-mail a info@migumento.com — non ci servono moduli né motivazioni.

Se comparite in una foto di un evento e non lo volete, scriveteci lo stesso. Non vi serve né il link all’evento né il consenso dell’organizzatore.

Potete inoltre presentare reclamo all’Incaricato federale della protezione dei dati e della trasparenza (IFPDT / EDÖB) a Berna.

10 · Sicurezza

Tutto passa esclusivamente per connessioni cifrate (TLS). Un evento è raggiungibile attraverso un link lungo e non indovinabile; chi non ce l’ha non entra. I file originali vengono consegnati solo tramite link di breve durata, firmati uno per uno. Il link Gestisci e il link per gli ospiti sono separati — uno si può condividere senza rivelare l’altro.

Ma questo vuol dire anche: chi ha il link è dentro. Non passate ad altri il link Gestisci.

Controlliamo il nostro codice di continuo — in modo automatico e con l’aiuto dell’IA — e ogni modifica attraversa un percorso fisso di test e verifiche prima della pubblicazione. Questa è diligenza e non una garanzia: la sicurezza assoluta su internet non esiste, e per questo non la promettiamo. Cosa comporti per la responsabilità sta nella sezione 12 delle Condizioni generali.

11 · Modifiche

Adattiamo questa informativa quando qualcosa cambia nel prodotto. Vale di volta in volta la versione pubblicata qui; la data in fondo dice quando è stata modificata l’ultima volta.