Informativa sulla privacy

1 · Chi è responsabile

Del trattamento dei vostri dati personali ai sensi della legge svizzera sulla protezione dei dati (LPD) risponde:

Michael Bolliger
Earhart-Strasse 19
8152 Glattpark (Opfikon)
Svizzera
info@migumento.com

Non esiste un responsabile della protezione dei dati.

2 · Quali dati trattiamo

Come organizzatori

• Il vostro indirizzo e-mail. Ci serve per mandarvi i link all’evento e il codice per eliminare l’evento, perché possiate farvi rimandare i link e per mandarvi e-mail sul vostro evento. Potete disattivarle da ognuna di queste e-mail.
• I dati sull’occasione, che inserite voi: titolo, data, luogo, design, impostazioni dell’evento.
• Da dove arriva la vostra visita. Registrata quando viene creato l’album: i dati di campagna («utm_source», «utm_medium», «utm_campaign», «utm_content») della pagina su cui create l’album; se mancano, i primi della stessa visita; se mancano anche questi e il cookie «migu_d» è impostato (sezione 3), i primi dello stesso dispositivo nei 7 giorni precedenti. In più il percorso di quella pagina, l’host del sito da cui arrivate se il vostro browser lo trasmette (mai l’indirizzo completo), e la risposta facoltativa alla domanda «Come ci avete conosciuto?». Se «migu_d» è impostato, il suo identificativo del dispositivo e il suo identificativo di visita; se non avete ancora risposto alla domanda sul cookie, l’identificativo della visita senza cookie (qui sotto); e se il cookie era impostato, rifiutato, senza risposta o mancante. In più la versione del sito con cui è stato creato l’album e, se «migu_d» è impostato, l’identificativo di «migu_xp» (sezione 3). Finalità: sapere quante persone ci trovano e per quale via, associare l’album alle visualizzazioni di pagina dello stesso browser e imputare il primo acquisto all’offerta di questa versione. Questi dati li analizziamo solo noi e non li trasmettiamo a terzi; sul sito non è attivo alcun tracciamento di terzi. Sono legati all’album e vengono eliminati con esso, gli identificativi al più tardi dopo dodici mesi.
• Dati di pagamento — vedi sezione 5.

Come ospite

• Il nome che inserite voi. Compare accanto alle vostre foto e ai vostri commenti, così gli altri sanno di chi sono.
• Una password, se ne impostate una. Facoltativa. Vi serve per rientrare con il vostro nome da un altro dispositivo. Viene salvato solo un hash.
• Un codice d’accesso, se ne create uno voi o gli organizzatori. Otto caratteri, valido 30 minuti, utilizzabile una volta sola — vi serve per collegare un altro dispositivo al vostro nome. Viene salvato solo un hash. Gli organizzatori possono creare un codice così per voi: chi lo riscatta entro quei 30 minuti, da quel momento carica con il vostro nome.
• Foto, video, commenti e reazioni, che caricate o lasciate.
• Misurazioni di ogni caricamento. La durata di ogni fase, dall’invio alla visualizzazione, quante volte una fase è stata ripetuta, la velocità di trasferimento misurata e quale dei nostri server ha eseguito una fase. Scopo: migliorare i caricamenti e la loro elaborazione. Eliminate dodici mesi dopo il caricamento, o prima insieme all’evento.
• Quali foto avete contrassegnato tra i preferiti. Una voce per ogni foto e per ogni ospite, con l’orario. Questa lista la vede solo l’ospite che l’ha creata. Senza nome la lista resta su questo dispositivo finché non ne inserite uno. Viene eliminata insieme all’evento.
• Quali foto avete aperto nella vista ingrandita («Visto»). Il conteggio è per dispositivo e per foto, da circa un secondo di visione in su; le vostre foto non contano. Tutto questo resta dentro questo solo evento: accanto alla foto c’è scritto quanti ospiti diversi l’hanno aperta, e gli altri ospiti dello stesso evento possono aprire quella lista. Se avete inserito un nome, lì comparite con quel nome; se non ne avete inserito nessuno, comparite solo come numero («+ 3 altri ospiti») e lì non siete distinguibili.
• Il conteggio va avanti anche quando la visualizzazione è disattivata. Gli organizzatori possono disattivare «Visto» per il loro evento; allora nessuno vede numeri né nomi. Il conteggio prosegue.
• Tipo di dispositivo, modello e sistema operativo del vostro browser, per quanto li riveli — ad es. «Pixel 7 · Android 15». Finalità: migliorare Migumento per i dispositivi utilizzati; inoltre compare accanto a voi nell’elenco ospiti degli organizzatori. Se usate più dispositivi con lo stesso nome, in quell’elenco li uniamo: gli organizzatori vedono allora quanti dispositivi vi appartengono, i dati del primo e se avete impostato una password. È legato all’evento e viene eliminato insieme a esso.
• Segnalazioni. Se segnalate una foto, un video o un commento, registriamo: il contenuto segnalato, il motivo, la vostra aggiunta facoltativa, la vostra voce di ospite con il vostro nome, se ne avete inserito uno, e il momento. Finalità: esaminare e rimuovere contenuti non ammessi. Le segnalazioni di foto e video le vedono l’organizzatore e i moderatori dell’evento, quelle di commenti l’organizzatore.
• Chi porta via le foto in blocco. Se scaricate un archivio ZIP tramite il link degli ospiti o avviate un’esportazione su Google Drive o Google Foto, anche come organizzatori, registriamo: il vostro nome in quel momento, la via (ZIP, Google Drive o Google Foto), che cosa avete preso (l’intero evento, un album, i vostri preferiti o una selezione), il numero di foto e video, per lo ZIP la quantità di dati trasferita e il momento. Finalità: poter ricostruire chi ha portato via in blocco le foto di un evento.
• Uso dell’evento. Viene registrato l’uso: viste e azioni, app o browser, il momento. Insieme a questo l’evento, la vostra voce di ospite, se ce n’è una, l’identificativo del vostro browser e il vostro indirizzo IP abbreviato (qui sotto), e, se il cookie «migu_d» è impostato (sezione 3), il suo identificativo del dispositivo e il suo identificativo di visita; se non avete ancora risposto alla domanda sul cookie, l’identificativo della visita senza cookie (qui sotto). Dopo «Rifiuta», solo l’evento. Finalità: sapere quali funzioni di un evento vengono usate e come. Eliminato dopo dodici mesi.
• Valutazione. Se dopo l’evento lasciate una valutazione, anche come organizzatori, registriamo: le stelle, il testo facoltativo, la vostra voce di ospite o il fatto che siete organizzatori, il numero delle foto che avete caricato e di quelle che avete aperto nella vista ingrandita, app o browser, la lingua e il momento. Se chiudete la domanda, registriamo quante volte e quando. Finalità: migliorare Migumento e mostrare sul sito la media e il numero di tutte le valutazioni, senza nomi. Il testo lo leggiamo solo noi. I dati sono eliminati insieme all’evento.

Quando qualcosa si rompe

• Rapporti di errore dal vostro browser. Se nell’app qualcosa va storto, il vostro browser ci manda un rapporto. Contiene: il messaggio di errore con la riga tecnica da cui arriva, l’indirizzo della pagina su cui vi trovavate (cioè il link al vostro evento), la versione della nostra app e i dati sull’ambiente — browser, sistema operativo, dimensione dello schermo, qualità della connessione, memoria disponibile — e gli ultimi passaggi che hanno portato all’errore. Se un caricamento non è riuscito, dentro c’è anche il nome del file interessato. Se una parte della pagina non si carica, dentro c’è l’indirizzo del file mancante.
• Per che cosa e per quanto tempo. Finalità: trovare e correggere gli errori. Gli errori uguali vengono raccolti in una sola voce ed eliminati dopo 90 giorni. I rapporti stanno sullo stesso server dell’evento.

Con un account (facoltativo)

Un account è facoltativo. Finalità: ritrovare tutti i vostri eventi in un unico posto e su ogni dispositivo. Per questo salviamo:

• Il vostro indirizzo e-mail e il nome, che indicate nell’account. L’indirizzo è la chiave dell’account; ogni codice di accesso viene inviato a quello.
• Una password, se ne impostate una — come hash. Senza password accedete con un codice di sei cifre, valido dieci minuti; anche di questo salviamo solo un hash.
• Le vostre sessioni: per ogni dispositivo con l’accesso eseguito un identificativo, quando è stato usato l’ultima volta, l’indirizzo IP e l’identificativo del browser del dispositivo — così sotto «Sessioni» vedete dove avete eseguito l’accesso e potete far uscire i singoli dispositivi. Una sessione termina dopo un anno senza utilizzo, o quando la terminate voi.
• Quali eventi appartengono all’account — come organizzatori o come ospiti sotto il nome che vi usate.
• Un registro degli accessi — quando, da quale indirizzo IP, con quale esito —, così possiamo riconoscere gli abusi.

Accesso con Google. Se scegliete «Continua con Google», Google ci trasmette il vostro identificativo account («sub»), il vostro indirizzo e-mail e il vostro nome. Salviamo l’identificativo per riconoscervi la volta successiva. Quello che Google stessa registra riguardo all’accesso dipende dall’informativa sulla privacy di Google.

Accesso con Apple. Se scegliete «Continua con Apple», Apple ci trasmette il vostro identificativo account («sub»), un indirizzo e-mail verificato e, solo la prima volta, il vostro nome. Se presso Apple scegliete «Nascondi la mia email», l’indirizzo è un indirizzo di inoltro di Apple. Salviamo l’identificativo per riconoscervi la volta successiva. Dell’accesso presso Apple risponde Apple in proprio; quello che Apple registra in quell’occasione dipende dall’informativa sulla privacy di Apple.

Protezione dagli accessi automatizzati. La pagina di accesso può integrare una verifica di Cloudflare («Turnstile»), che distingue i tentativi di accesso di una persona da quelli di un programma. In questo caso Cloudflare tratta l’indirizzo IP e le caratteristiche tecniche del vostro browser — solo durante la verifica, e solo su questa pagina.

Un account lo eliminate voi stessi sotto «Accesso → Elimina account». In questo modo vengono rimossi i collegamenti agli eventi e le sessioni; eventi, foto e nomi degli ospiti restano presso l’evento.

Con l’app per Android (facoltativa)

L’app è facoltativa. Mostra lo stesso sito, e tutto quanto scritto in questa sezione vale anche lì. In più:

• L’installazione dell’app. Al primo avvio l’app si registra presso di noi: con un identificativo, una chiave di cui salviamo solo un hash, la versione dell’app e la lingua in cui la usate. Registriamo inoltre quando si è fatta sentire l’ultima volta. Finalità: mandare a questo telefono notifiche nella vostra lingua, e solo questo telefono può impostarle.
• Notifiche, se le consentite. L’identificativo con cui Firebase Cloud Messaging di Google raggiunge il vostro telefono (un ID di installazione Firebase o un token di registrazione). Per ogni evento: a quale ospite appartiene lì il telefono, se possiede il link Gestisci, i vostri interruttori sotto «Notifiche», fino a quando avete visto le foto e quando abbiamo mandato quale notifica. Di ogni tentativo di invio registriamo inoltre: il tipo di notifica, se in quel momento il telefono contava come ospite o come organizzatore, la lingua, il sistema operativo, il canale su cui la notifica viene mostrata e il numero che indica. A questo si aggiunge l’esito: la risposta di Firebase Cloud Messaging oppure il motivo che indichiamo noi quando da lì non è arrivata nessuna risposta. Se toccate una notifica, l’app ce lo segnala e noi registriamo il momento. Finalità: vedere se le notifiche arrivano e se vengono toccate. Una notifica contiene il titolo dell’evento, un testo con un numero e i nomi degli ospiti che hanno caricato, il link all’album, l’identificativo del tentativo di invio — se siamo riusciti a registrarlo — e l’indirizzo di un’immagine di anteprima che potete vedere nell’album. Arriva al vostro telefono tramite Firebase Cloud Messaging, su un iPhone poi tramite l’Apple Push Notification Service (sezione 6). Se un interruttore è spento, quel tipo di notifica non lo mandiamo. Nelle impostazioni del telefono disattivate la visualizzazione per tutta l’app.
• Accesso alle foto e ai video del telefono, se lo consentite. L’app legge la libreria multimediale del telefono per mostrarla nella scelta e per suggerire foto scattate durante l’evento; per i suggerimenti anche quando l’app non è aperta. Una foto o un video lascia il telefono solo quando lo caricate. Perché l’app possa segnare le foto e i video che l’album ha già, e non suggerirli, prima ci manda la loro dimensione del file, il momento dello scatto e il nome del file. Rispondiamo quali di questi l’evento contiene già, e questi dati non li salviamo.
• Un codice di installazione, se importate eventi dal browser nell’app. Per questo il browser ottiene per ogni evento un codice valido 24 ore e utilizzabile una volta sola. L’app lo usa per aprire l’evento con il vostro nome. Del codice salviamo un hash e il codice stesso, cifrato: può essere ritirato per al massimo 15 minuti e viene poi cancellato.
• Scansione di un codice QR. L’immagine della fotocamera viene analizzata sul telefono dai servizi Google Play. L’app riceve solo il contenuto del codice.
• Accesso nell’app. L’accesso con Google avviene tramite i servizi Google Play del telefono. L’accesso con Apple e la connessione di un account Google per l’esportazione avvengono nel browser del telefono; il loro risultato lo passiamo all’app con un ticket valido una volta sola, che scade dopo cinque minuti.

Dati tecnici, a ogni richiesta

• Indirizzo IP e identificativo del browser. Si producono a ogni richiesta a un sito web e stanno nei nostri registri operativi, insieme all’indirizzo richiesto. Finalità: respingere gli abusi (limite di richieste per mittente) e trovare i guasti.
• Una visualizzazione di pagina, contata dal server. Viene registrato: la pagina richiesta, come suo indirizzo di base tedesco (per esempio «/hochzeit») — in questo conteggio non compare mai il link di un album, un album conta soltanto come album, Gestisci o accesso di caricamento; la lingua e la regione di prezzo dell’indirizzo; i dati di campagna presi dal link; l’identificativo che una piattaforma pubblicitaria aggancia da sé al proprio link; la chiave breve contenuta in uno dei nostri link; e, se siete arrivati da un altro sito, il suo host — quindi per esempio «www.google.com» e mai l’indirizzo completo. Finalità: sapere quali pagine vengono aperte, quante volte e per quale via. Se il cookie «migu_d» è impostato (sezione 3), il suo identificativo del dispositivo e il suo identificativo di visita figurano nella riga; se non avete ancora risposto alla domanda sul cookie, l’identificativo della visita senza cookie (qui sotto). Nella riga figura inoltre se il cookie era impostato, rifiutato o senza risposta, e quale versione del sito è stata consegnata; se «migu_d» è impostato, anche l’identificativo di «migu_xp» (sezione 3). Se create una demo, per questo viene registrata una riga con gli stessi dati. Dal vostro dispositivo vengono letti solo la lingua che avete scelto, «migu_d» e «migu_xp» (sezione 3).
• Uso del sito. Viene registrato l’uso del sito: viste e azioni, il momento. Insieme a questo la pagina come suo indirizzo di base tedesco, la lingua e la regione di prezzo dell’indirizzo, l’identificativo del vostro browser e il vostro indirizzo IP abbreviato (qui sotto), e, se il cookie «migu_d» è impostato (sezione 3), il suo identificativo del dispositivo e il suo identificativo di visita; se non avete ancora risposto alla domanda sul cookie, l’identificativo della visita senza cookie (qui sotto). In più la versione del sito che è stata consegnata e, se «migu_d» è impostato, l’identificativo di «migu_xp» (sezione 3). Dopo «Rifiuta», lo stesso senza l’identificativo del vostro browser, l’indirizzo IP e gli identificativi del dispositivo e della visita. Finalità: sapere quali parti di queste pagine vengono usate e come. Eliminato dopo dodici mesi.
• Un identificativo al giorno. Perché più pagine di una stessa visita non contino come più visitatori, il nostro server calcola una somma di controllo a partire dal vostro indirizzo IP, dall’identificativo del vostro browser e dalla vostra impostazione della lingua. Nel calcolo entra un valore segreto che viene generato nuovo per ogni giorno ed eliminato dopo due giorni. Per questo viene salvata solo la somma di controllo. L’identificativo del vostro browser risponde inoltre alla domanda se la richiesta sia arrivata da un programma automatico. Dopo «Rifiuta» (sezione 3) questa somma di controllo non viene calcolata.
• Identificativo del browser e indirizzo IP abbreviato con la visualizzazione di pagina. Nella riga di una visualizzazione di pagina e di una demo ci sono inoltre l’identificativo del vostro browser e il vostro indirizzo IP senza la sua ultima parte: per IPv4 senza l’ultimo dei quattro numeri, per IPv6 solo i primi tre blocchi. Finalità: riconoscere le nostre stesse richieste secondo regole che stabiliamo noi e contrassegnarle come interne, e riconoscere le richieste di programmi automatici. Eliminiamo entrambi dalla riga dodici mesi dopo la richiesta.
• Una visita senza cookie. Se vi trovate nell’UE, nel SEE, nel Regno Unito o non si può attribuire nessun paese, e non avete ancora risposto alla domanda sul cookie «migu_d» (sezione 3), il nostro server raggruppa le vostre visualizzazioni di pagina in una visita. Per questo calcola una somma di controllo a partire dal vostro indirizzo IP, dall’identificativo del vostro browser, dalla caratteristica della vostra connessione cifrata che forma il nostro fornitore di rete («JA4») e dalla vostra impostazione della lingua. Nel calcolo entra il valore segreto del giorno del punto precedente, che viene eliminato dopo due giorni. Vengono salvati la somma di controllo, un identificativo di visita casuale e l’inizio e l’ultima richiesta della visita. Una visita termina dopo 30 minuti senza richieste o 24 ore dopo il suo inizio. Finalità: associare tra loro le visualizzazioni di pagina di una visita e a un album creato durante quella visita. Dopo «Rifiuta» non viene calcolato niente di tutto ciò.
• Dati di campagna nei link. Se arrivate da un link con dati di campagna («utm_source», «utm_medium», «utm_campaign», «utm_content») e non avete ancora risposto alla domanda sul cookie «migu_d» o l’avete rifiutata, il nostro server aggiunge questi dati ai link della pagina che portano avanti su Migumento. Se il cookie è impostato, la pagina toglie dalla barra degli indirizzi i dati di campagna, l’identificativo di una piattaforma pubblicitaria e la nostra chiave breve non appena la visualizzazione di pagina è contata.

3 · Cosa resta sul vostro dispositivo, e i cookie

In locale sul vostro dispositivo, senza essere mandati a un server: quali album hanno foto nuove dalla vostra ultima visita, le vostre impostazioni di colore e di visualizzazione, e i caricamenti ancora in coda. Sul vostro dispositivo c’è inoltre una copia dei vostri preferiti (sezione 2).

Cookie per questo solo evento. Cinque, impostati dal vostro browser, validi al massimo un anno. Il server li legge per consegnare la prima pagina nello stato che descrivono:

• quale vista avevate aperta per ultima in questo evento;
• se questo dispositivo possiede il link Gestisci;
• le vostre impostazioni di visualizzazione e fino a che punto avete visto le foto di questo evento;
• quante foto avete segnato come preferite — un numero, non un elenco;
• una somma di controllo (SHA-256) dell’identificativo che il vostro browser ha creato per questo evento. Con quella il server riconosce i vostri caricamenti e non ve li mostra come nuovi.

Cookie per tutto il sito. Se scegliete una lingua o una regione di prezzo, due cookie conservano quella scelta per un anno. Un terzo ricorda per questa visita che avete chiuso l’avviso su un’altra regione di prezzo.

Con un account (sezione 2) se ne aggiungono altri. Valgono per l’intero sito, finché avete eseguito l’accesso:

• un cookie che attesta il vostro accesso e alla visita successiva ritrova la sessione giusta — termina dopo un anno senza utilizzo, o quando uscite dall’account;
• un secondo che registra soltanto che avete eseguito l’accesso e tiene pronte le vostre iniziali per il simbolo in alto a destra;
• se accedete con Google o Apple, in più uno che protegge quella singola procedura di accesso dalle manipolazioni e dopo dieci minuti scade da sé, che portiate a termine l’accesso oppure no.

Ve ne liberate, insieme a tutto il resto, uscendo dall’account o eliminando i dati dei siti web nel vostro browser.

Nell’app per Android questi cookie e tutto quanto sopra stanno nella memoria dell’app invece che nel browser. In più l’app salva sul telefono l’elenco dei vostri eventi con i relativi accessi, l’identificativo dell’installazione con la sua chiave, quali foto e video della libreria multimediale ha caricato e quali suggerimenti avete scartato. Questi due elenchi restano sul telefono. Ve ne liberate disinstallando l’app o eliminando i suoi dati nelle impostazioni di Android.

Un cookie che riconosce questo browser: «migu_d». Impostato dal nostro server quando consegna una pagina di Migumento. Valido 400 giorni dall’ultima richiesta. Contenuto: un identificativo del dispositivo casuale, un identificativo di visita casuale, l’inizio e l’ultima richiesta della visita e se avete dato il vostro consenso. Una visita termina dopo 30 minuti senza richieste o 24 ore dopo il suo inizio. Finalità: associare tra loro le visualizzazioni di pagina di un browser su più giorni e dal sito fino a un album, e un nuovo album alla visita da cui è stato creato (sezione 2). I suoi identificativi non vanno a nessuno.

Dove viene impostato senza chiedere: in Svizzera e in ogni paese al di fuori dell’UE, del SEE e del Regno Unito. Conta il paese che il nostro fornitore di rete attribuisce alla vostra connessione. Nell’UE, nel SEE, nel Regno Unito e quando non si può attribuire nessun paese, viene impostato solo con il vostro consenso; senza di esso lì non viene impostato niente e un cookie già presente non viene letto. Finché non avete risposto, lì vale «Una visita senza cookie» (sezione 2).

La vostra scelta: Non riconoscere più questo browser — il cookie viene sostituito da uno che per 400 giorni registra solo il vostro rifiuto. Consentire il riconoscimento — è il vostro consenso, dove ne serve uno. Potete cambiare la scelta in qualsiasi momento.

Un cookie che stabilisce quale versione del sito vedete: «migu_xp». Impostato dal nostro server quando consegna una pagina di Migumento, in ogni paese. Valido 400 giorni. Contenuto: un identificativo casuale e, dopo una visita da un annuncio di Google, un’annotazione in merito. Finalità: far sì che questo browser veda a ogni visita la stessa versione del sito e gli stessi prezzi. Il suo identificativo non va a nessuno.

Ogni altro cookie di questo elenco è necessario per il servizio che avete richiesto.

Un ulteriore cookie lo impostiamo esclusivamente dietro l’accesso alla nostra amministrazione interna. Contenuto: l’indicazione che le visualizzazioni di questo dispositivo non entrano nei nostri numeri. Durata: un anno.

Non da noi: la verifica di Cloudflare («Turnstile») sui due campi di accesso può impostare un cookie. Finalità: distinguere un essere umano da un programma. Fornitore: sezione 6. Secondo la nostra valutazione è strettamente necessario per l’operazione che avete richiesto e quindi non richiede consenso.

4 · I dati di posizione nelle vostre foto

Una fotocamera scrive in ogni foto dati aggiuntivi invisibili — l’ora, il modello della fotocamera e, su molti telefoni, le coordinate del luogo dello scatto. Questi dati non li rimuoviamo.

Chi ha accesso a un evento e scarica un originale può leggerci il luogo dello scatto.

Tramite l’app per Android foto e video arrivano con questi dati, coordinate comprese. Se li scegliete in un browser su Android, Android toglie le coordinate prima del caricamento; nell’app lo stesso, se non ha accesso alla libreria multimediale.

Gli organizzatori possono far togliere questi dati per gli altri ospiti. Se disattivano «Includi i metadati» sotto «Download degli originali», al download e all’esportazione da parte degli ospiti togliamo dalle foto e dai video degli altri ospiti le coordinate, i dati sul dispositivo come il numero di serie, i nomi registrati, i testi e le immagini di anteprima incorporate. Ogni ospite riceve le proprie foto e i propri video invariati, e lo stesso vale per tutto ciò che passa dal link Gestisci.

Per i video questo vale solo per l’originale. La versione che viene riprodotta nell’app la ricodifichiamo noi — e così i dati aggiuntivi del dispositivo cadono, coordinate comprese.

5 · Pagamenti

Si paga tramite Stripe. Numeri di carta, dati TWINT e tutto ciò che è paragonabile vengono raccolti e trattati direttamente da Stripe. A noi torna solo: che un pagamento è andato a buon fine, per quale importo, e un numero di riferimento.

Il fornitore per i pagamenti europei è Stripe Payments Europe Ltd., Irlanda, con Stripe, Inc. (USA) come società madre. La loro informativa sulla privacy: stripe.com/privacy.

Se il vostro indirizzo di fatturazione è fuori dalla Svizzera, Stripe è il commerciante registrato dell’acquisto (Link, LLC (Stripe)) e per quel pagamento risponde in proprio — raccoglie i vostri dati di fatturazione per sé, emette la ricevuta e ne ha bisogno per i propri obblighi fiscali.

6 · Chi altro tratta i dati

Li impieghiamo tutti come responsabili del trattamento; trattano i dati esclusivamente per noi.

Un’eccezione: con un indirizzo di fatturazione fuori dalla Svizzera, per il pagamento in sé Stripe non tratta i dati per conto nostro, ma ne risponde in proprio come commerciante registrato (vedi sezione 5).

Nella misura in cui in questo modo dei dati arrivano negli USA, ci basiamo sulle clausole contrattuali tipo della Commissione europea e sulla decisione di adeguatezza del Consiglio federale relativa allo Swiss-U.S. Data Privacy Framework. Non trasmettiamo dati a nessuno che non sia elencato qui — a meno che siate voi stessi a disporre un’esportazione nel vostro account Google (sezione 7) o la legge ci obblighi a farlo.

7 · Esportazione nel vostro account Google

Migumento può copiare le foto e i video di un evento nel vostro Google Drive o nella vostra libreria di Google Foto. Questo avviene soltanto se siete voi stessi a connettere un account Google e ad avviare l’esportazione. L’esportazione esiste per gli organizzatori e per gli ospiti; ogni persona connette il proprio account Google ed esporta solo in quello. Quando vi connettete vi indirizziamo a Google; in quel momento Google vede il vostro indirizzo IP, come a ogni apertura di un sito web.

Vengono trasferiti: le foto e i video che avete scelto per questa esportazione, i loro nomi di file e il momento dello scatto. A questo si aggiunge il nome dell’evento e quello dell’album — su Google Drive come nome delle cartelle in cui stanno i file, su Google Foto come testo accanto a ogni immagine. A ogni file su Google Drive alleghiamo inoltre un identificativo tecnico della foto o del video; e se chiedete l’esportazione su Google Drive come un unico archivio (ZIP), quell’archivio porta l’identificativo dell’esportazione. Finalità: una seconda esportazione riconosce così che cosa è già stato trasferito.

Un originale passa così com’è stato ripreso — con tutti i dati aggiuntivi invisibili della fotocamera descritti nella sezione 4, coordinate del luogo di ripresa comprese. Solo se per l’esportazione su Google Drive scegliete la versione più piccola di una foto o la versione convertita di un video, passa il file ricalcolato, e quello non porta più questi dati. Su Google Foto vanno sempre gli originali.

Le copie restano poi nel vostro account, in base al vostro accordo con Google. Per queste copie Google non tratta i dati per conto nostro. Che cosa fa Google con i dati nel vostro account dipende dall’informativa sulla privacy di Google: policies.google.com/privacy.

Nel vostro account Google possiamo scrivere, ma non leggere. Per ogni connessione chiediamo esattamente un’autorizzazione per le vostre foto e i vostri video — quella della destinazione che avete scelto: per Google Drive soltanto l’accesso ai file e alle cartelle che la nostra applicazione ha creato lì (drive.file). Per Google Foto soltanto l’aggiunta (photoslibrary.appendonly): possiamo depositare foto e video e creare un album per raccoglierli, ma la vostra libreria non possiamo né consultarla, né guardarla, né eliminarne qualcosa. Se volete usare entrambe le destinazioni, vi connettete due volte, e allora deteniamo entrambe le autorizzazioni. A questo si aggiunge, al momento dell’accesso, la condivisione dell’indirizzo del vostro account (openid, email).

Della connessione stessa conserviamo da noi solo ciò che serve a un’esportazione: un accesso che ci concedete presso Google e che custodiamo unicamente in forma cifrata, perché un’esportazione possa svolgersi senza un nuovo accesso; l’indirizzo e-mail dell’account connesso, perché vediate in quale account si esporta; quali autorizzazioni ci avete concesso; nonché l’identificativo della cartella e degli album creati, perché una seconda esportazione riutilizzi gli stessi.

Potete disconnettere l’account in qualsiasi momento. Nell’esportazione, la pagina di Google Drive e quella di Google Foto hanno «Disconnetti», per gli ospiti come per gli organizzatori; scollega solo la propria connessione. Quello che conserviamo lo eliminiamo in ogni caso — dopodiché non abbiamo più né quell’accesso né l’indirizzo del vostro account Google, e la vostra esportazione in corso viene fermata. E chiediamo a Google di revocare l’autorizzazione — questa è una richiesta rivolta a Google, e normalmente Google la esegue. Se non arriva a Google, oppure se Google la rifiuta, l’autorizzazione può restare in piedi nel vostro account Google anche se da noi non ne è rimasto nulla.

L’autorizzazione potete controllarla e ritirarla voi stessi in qualsiasi momento nel vostro account Google alla voce «Sicurezza», tra le app di terze parti con accesso all’account: myaccount.google.com.

Se l’evento viene eliminato, quello che conserviamo sparisce con lui; a Google in quel caso non chiediamo nulla. Con una revoca direttamente presso Google il nostro accesso perde subito validità; ciò che conserviamo con l’indirizzo del vostro account resta allora, finché scegliete «Disconnetti» o l’evento viene eliminato. Quello che è già stato esportato resta nel vostro account.

8 · Cosa non facciamo

• Nessuna decisione individuale automatizzata.

9 · Per quanto tempo conserviamo le cose

• L’evento e tutto ciò che contiene: finché scorre la durata di accesso (vedi Condizioni generali). Poi l’evento viene bloccato e da quel momento possiamo eliminarlo in qualsiasi istante. Di regola teniamo un evento bloccato più a lungo, perché possiate riaprirlo. Prima di allora viene eliminato se lo eliminate voi o se ce lo chiedete. Se eliminate voi stessi un evento con foto o video, non è più raggiungibile da subito e viene eliminato definitivamente sette giorni dopo; fino ad allora viene usato solo per ripristinarlo.
• Eventi mai usati: eliminiamo automaticamente un evento che 12 mesi dopo la creazione è ancora completamente intatto. Intatto vuol dire: mai caricata una foto o un video, mai inserito un nome da un ospite, l’indirizzo e-mail mai confermato, mai pagato nulla, nessun segnaposto creato. Appena anche una sola di queste cose è successa, vale il primo punto.
• Eventi demo: automaticamente e per intero dopo 48 ore.
• Caricamenti non riusciti: dopo 30 giorni.
• File di foto e video eliminati: cancellati definitivamente entro 30 giorni dall’eliminazione, anche dalle copie di sicurezza. Fino ad allora vengono usati solo per ripristinarli. A questo scopo conserviamo per ogni eliminazione, per 45 giorni, una registrazione: gli identificativi della foto o del video, dell’album, dell’evento e dell’ospite, i percorsi di archiviazione dei file e il momento e il motivo dell’eliminazione. Poi la registrazione viene cancellata.
• Indirizzo e-mail dell’organizzatore: finché l’evento esiste.
• Connessione a un account Google: finché non la disconnettete, al massimo finché l’evento esiste — dopodiché sparisce tutto quello che ne conserviamo, accesso e indirizzo dell’account (vedi sezione 7).
• Segnalazioni: finché l’evento esiste. Se l’organizzatore annulla le segnalazioni su un contenuto, vengono eliminate.
• Registro dei download e delle esportazioni in blocco: finché l’evento esiste. Se un ospite viene rimosso, il suo nome vi resta.
• Installazione dell’app e notifiche: la voce di questo telefono relativa a un evento (sezione 2) non sopravvive mai né all’evento né all’installazione. La eliminiamo, per esempio, quando spegnete tutti gli interruttori sotto «Notifiche», quando togliete l’evento dall’elenco dell’app oppure quando il link per gli ospiti viene assegnato di nuovo e la voce apparteneva a un ospite o a un link Gestisci più vecchio. Se togliete l’ultimo evento, l’app elimina la propria installazione presso di noi e il proprio ID di installazione Firebase presso Google; Google rimuove poi quell’ID anche dai propri backup entro 180 giorni. L’installazione la eliminiamo quando per 270 giorni non si fa sentire da noi, per esempio dopo la disinstallazione. Per la voce relativa a un tentativo di invio vale il punto successivo.
• Voce relativa a un tentativo di invio: 270 giorni dal tentativo, poi eliminata. Rimanda all’evento, all’installazione e alla voce di questo telefono relativa a questo evento; se uno di questi viene eliminato, ne togliamo soltanto il riferimento.
• Notifiche che non raggiungono il telefono: al massimo 24 ore presso Firebase Cloud Messaging.
• Visualizzazioni di pagina conteggiate: a tempo indeterminato.
• Identificativo del browser e indirizzo IP abbreviato di una visualizzazione di pagina (sezione 2): dodici mesi dopo la richiesta.
• Il valore segreto della somma di controllo giornaliera della sezione 2: due giorni.
• Identificativo del dispositivo e identificativo di visita di «migu_d» (sezione 3): dodici mesi — nella riga di una visualizzazione di pagina dalla richiesta, su un album dalla creazione. Il cookie stesso: 400 giorni dopo l’ultima richiesta, o finché non lo eliminate nel vostro browser.
• L’identificativo di «migu_xp» (sezione 3): dodici mesi — nella riga di una visualizzazione di pagina dalla richiesta, su un album dalla creazione. Il cookie stesso: 400 giorni dopo la prima richiesta, o finché non lo eliminate nel vostro browser.
• Somma di controllo di una visita senza cookie (sezione 2): eliminata al più tardi due giorni dopo l’ultima richiesta. Il suo identificativo di visita nella riga di una visualizzazione di pagina e su un album: dodici mesi, come gli identificativi di «migu_d».
• L’identificativo che una piattaforma pubblicitaria ha agganciato al proprio link: dodici mesi. Finalità: poter comunicare alla piattaforma quale annuncio ha portato a un album. Eliminato dodici mesi dopo la richiesta.
• Registri operativi: finché la rotazione non li sovrascrive.
• Copie di sicurezza della banca dati: al massimo 16 mesi, poi cancellate. Vengono usate solo per ripristinare dati.
• Documenti di pagamento: dieci anni (Art. 958f OR, il Codice svizzero delle obbligazioni).

10 · I vostri diritti

Avete diritto di accesso ai dati che trattiamo su di voi, alla rettifica di quelli sbagliati, alla loro cancellazione, alla consegna in un formato corrente e a opporvi a un trattamento. Basta una e-mail a info@migumento.com.

Se comparite in una foto di un evento e non lo volete, scriveteci lo stesso.

Potete inoltre presentare reclamo all’Incaricato federale della protezione dei dati e della trasparenza (IFPDT / EDÖB) a Berna.

11 · Sicurezza

Tra il vostro dispositivo e noi tutto passa esclusivamente per connessioni cifrate (TLS). Un evento è raggiungibile attraverso un link lungo e non indovinabile; chi non ce l’ha non entra. I file originali vengono consegnati solo tramite link firmati uno per uno, che scadono dopo 24 ore. Il link Gestisci e il link per gli ospiti sono separati. Chi ha il link è dentro.

Su internet non esiste una sicurezza assoluta. Cosa comporti per la responsabilità sta nella sezione 12 delle Condizioni generali.

12 · Modifiche

Adattiamo questa informativa quando qualcosa cambia nel prodotto. Vale di volta in volta la versione pubblicata qui; la data in fondo dice quando è stata modificata l’ultima volta.