Informativa sulla privacy

1) Introduzione e dati di contatto del titolare del trattamento

1.1 Siamo lieti della Sua visita al nostro sito web e La ringraziamo per l'interesse. Di seguito La informiamo su come trattiamo i Suoi dati personali quando utilizza il nostro sito web e la nostra piattaforma. Per dati personali si intende qualsiasi informazione relativa a una persona fisica identificata o identificabile.

1.2 Il titolare del trattamento dei dati su questo sito web ai sensi del Regolamento generale sulla protezione dei dati (GDPR) è:

PortfolioReach UG (haftungsbeschränkt) Kolonnenstraße 8 10827 Berlino Germania Telefono: +49 30 23593066 E-mail: contact@portfolioreach.com

2) Raccolta dei dati durante la visita del nostro sito web

2.1 Quando utilizza il nostro sito web solo a scopo informativo, cioè se non si registra o non ci trasmette in altro modo informazioni, raccogliamo i dati che il Suo browser trasmette al server del nostro sito web. Ciò include in particolare:

• pagina visitata
• data e ora dell'accesso
• quantità di dati trasferiti
• URL referrer
• browser utilizzato
• sistema operativo utilizzato
• indirizzo IP

2.2 Questi dati sono trattati ai sensi dell'art. 6(1)(f) GDPR sulla base del nostro legittimo interesse alla stabilità, sicurezza e funzionalità del nostro sito web.

2.3 Questo sito web utilizza cifratura SSL o TLS per garantire la trasmissione sicura dei dati personali.

3) Hosting, infrastruttura e distribuzione dei contenuti

3.1 Per la fornitura tecnica del nostro sito web, delle funzioni della nostra piattaforma e delle nostre API, utilizziamo fornitori esterni di infrastruttura e hosting.

3.2 Nell'ambito dell'erogazione dei nostri servizi, i dati personali possono essere trattati sui server di fornitori di hosting, infrastruttura, sicurezza e content delivery, ove necessario per funzionamento, distribuzione dei contenuti, analisi degli errori, sicurezza e performance dei nostri servizi.

3.3 Ciò può includere in particolare dati di connessione, indirizzi IP, metadati e dati di log, dati tecnici di richiesta, informazioni sul browser, nonché contenuti e dati account trattati nel corso dell'utilizzo del nostro servizio.

3.4 Il trattamento avviene ai sensi dell'art. 6(1)(f) GDPR sulla base del nostro legittimo interesse al funzionamento sicuro, stabile e ad alte prestazioni del nostro sito web e della nostra piattaforma.

3.5 Per rilevare e risolvere malfunzionamenti nella registrazione, nell’accesso, nella gestione del profilo e nel caricamento e nella visualizzazione delle foto, trattiamo dati diagnostici limitati: data e ora e tipo di operazione, esito e durata, informazioni tecniche sull’errore, identificativi degli eventi correlati e, ove disponibili, identificativi interni dell’account e della foto. Conserviamo gli eventi nel nostro database diagnostico operativo per 30 giorni, dopodiché li eliminiamo durante la pulizia giornaliera.

3.6 Per analizzare gli errori lato server utilizziamo anche Sentry, un servizio di Functional Software, Inc. Trasmettiamo a Sentry il tipo e la posizione tecnica dell’errore, la versione dell’applicazione e, ove disponibili, gli identificativi degli eventi correlati e l’identificativo interno dell’account. Non alleghiamo a questi rapporti password, token, indirizzi e-mail, indirizzi IP degli utenti, contenuti del corpo delle richieste, URL, parametri di query, messaggi o foto. Gli identificativi consentono di collegare gli eventi a un account e non sono dati anonimi. Non utilizziamo questa integrazione per finalità pubblicitarie né per registrare le sessioni degli utenti.

3.7 La base giuridica è l’articolo 6, paragrafo 1, lettera f), del GDPR: il nostro legittimo interesse al funzionamento affidabile e sicuro della piattaforma. I dati diagnostici sono accessibili alle persone autorizzate responsabili del funzionamento del servizio. Per i dati degli eventi Sentry abbiamo scelto l’archiviazione in Germania; il trattamento da parte del fornitore può comportare anche accessi o trasferimenti al di fuori del SEE, con le garanzie descritte al punto 24. Con il nostro piano attuale, i dati degli eventi di errore sono disponibili in Sentry per un massimo di 30 giorni.

4) Gestione del consenso con Cookiebot

4.1 Questo sito web utilizza uno strumento di gestione del consenso per ottenere, gestire e documentare il consenso per cookie, tecnologie simili e servizi che richiedono consenso.

4.2 Le Sue scelte vengono memorizzate in modo che vengano caricati solo i servizi per i quali ha fornito consenso. Lo strumento serve anche per consentire la revoca del consenso e successive modifiche delle impostazioni.

4.3 Ove i dati personali siano trattati nell'ambito della gestione del consenso, ciò avviene ai sensi dell'art. 6(1)(c) GDPR per adempiere ai nostri obblighi legali e ai sensi dell'art. 6(1)(f) GDPR sulla base del nostro legittimo interesse a una gestione del consenso conforme alla legge e di facile utilizzo.

5) Cookie e local storage nel browser

5.1 Utilizziamo cookie e tecnologie simili, nonché meccanismi di local storage nel browser, ove ciò sia tecnicamente necessario o Lei abbia prestato consenso.

5.2 Tali meccanismi di memorizzazione possono in particolare servire a:

• memorizzare le Sue impostazioni lingua e preferenze dell'interfaccia utente,
• supportare funzioni di login e sicurezza,
• documentare decisioni di consenso,
• mantenere sessioni e determinati stati della piattaforma,
• prevenire abusi e migliorare la stabilità della piattaforma.

5.3 La base giuridica è l'art. 6(1)(f) GDPR ove il trattamento sia tecnicamente necessario o serva al nostro legittimo interesse alla fornitura sicura e funzionale dei nostri servizi. Ove legalmente richiesto, il trattamento avviene sulla base del Suo consenso ai sensi dell'art. 6(1)(a) GDPR.

6) Contatto via e-mail

6.1 Se ci contatta via e-mail, trattiamo i dati da Lei forniti esclusivamente per la gestione della Sua richiesta e della relativa comunicazione tecnica e organizzativa.

6.2 La base giuridica è l'art. 6(1)(b) GDPR se la Sua richiesta è finalizzata alla conclusione o all'esecuzione di un contratto, altrimenti l'art. 6(1)(f) GDPR sulla base del nostro legittimo interesse alla corretta gestione delle richieste.

6.3 Se ci invia richieste tramite moduli sulla nostra piattaforma, trattiamo i dati da Lei forniti e i dati di invio tecnicamente necessari al fine di gestire, documentare e, ove applicabile, rispondere alla Sua richiesta, risolvere problemi, prevenire abusi e migliorare i nostri servizi. Ciò può includere in particolare il Suo messaggio, la categoria selezionata, qualsiasi indirizzo e-mail fornito volontariamente, l'associazione al Suo account utente, la pagina o URL corrente, il momento dell'invio, informazioni browser/dispositivo, indirizzo IP e metadati di richiesta comparabili. La base giuridica è l'art. 6(1)(b) GDPR ove la richiesta riguardi il Suo account o l'utilizzo dei nostri servizi, altrimenti l'art. 6(1)(f) GDPR sulla base del nostro legittimo interesse alla gestione delle richieste, miglioramento del prodotto, prevenzione abusi e sicurezza della piattaforma. Se fornisce un indirizzo e-mail, lo utilizziamo solo per contattarLa in merito alla richiesta pertinente.

7) Registrazione, account utente e autenticazione

7.1 Può creare un account utente sulla nostra piattaforma. Nel corso della registrazione trattiamo i dati obbligatori forniti da Lei, nonché eventuali informazioni aggiuntive fornite volontariamente.

7.2 Utilizziamo i dati di registrazione per creare e gestire il Suo account utente, fornire accesso ad aree protette ed eseguire processi rilevanti per la sicurezza.

7.3 Durante l'uso dell'account, possiamo anche trattare dati necessari per autenticazione, sicurezza account, prevenzione abusi e amministrazione tecnica.

7.4 La base giuridica è l'art. 6(1)(b) GDPR ove il trattamento sia necessario per l'esecuzione del rapporto contrattuale con l'utente, e l'art. 6(1)(f) GDPR sulla base del nostro legittimo interesse alla prevenzione abusi, sicurezza IT e stabilità della piattaforma.

7.5 Se utilizzi account collegati, trattiamo gli identificativi degli account di cui confermi il controllo, la loro appartenenza al gruppo e la designazione dell’account principale, le conferme di accesso e le informazioni necessarie per gestire le sessioni collegate e revocare l’accesso. Il collegamento avviene su tua iniziativa; non creiamo questi gruppi automaticamente sulla base di un indirizzo IP condiviso, dati di pagamento o indirizzi e-mail simili. Usiamo i dati per fornire la funzione richiesta ai sensi dell’articolo 6, paragrafo 1, lettera b del GDPR e per proteggere l’accesso e prevenire abusi ai sensi dell’articolo 6, paragrafo 1, lettera f del GDPR.

7.6 I collegamenti tra account non sono pubblici. Le informazioni private sul controllo comune sono accessibili solo al personale autorizzato con uno specifico permesso operativo. Per impedire referral relativi ai propri account, riferimenti reciproci e aggiramento dei blocchi dei contatti, conserviamo un record minimo che identifica una coppia di account il cui controllo da parte della stessa persona è stato confermato e la data del primo collegamento confermato. Il record permane dopo lo scollegamento e viene eliminato quando uno dei due account viene eliminato. La sua eliminazione non rimuove di per sé un blocco dei contatti esistente che riguarda altri account. Il meccanismo di blocco conserva soltanto l’ambito necessario per applicare quel blocco fino alla sua rimozione consapevole o all’eliminazione del relativo account rimanente; non prolunga la conservazione dell’intera cronologia dei collegamenti né rivela un elenco privato a chi ha bloccato.

7.7 Le appartenenze attive vengono conservate finché rimangono attive. Tentativi e prove di accesso vengono eliminati nel ciclo periodico di pulizia esistente dopo 30 giorni dalla conclusione o scadenza. Gli eventi tecnici di audit e le appartenenze terminate vengono eliminati in tale ciclo dopo 90 giorni. Questi periodi non descrivono la conservazione di password o segreti di autenticazione riutilizzabili nei record di collegamento. L’esclusione permanente di uno specifico referral a un proprio account e la relativa correzione rimangono nella cronologia dei referral secondo le regole separate per tali record; lo scollegamento non ripristina idoneità né punti. Restano invariate le regole esistenti sui documenti contabili e sui premi liquidati.

7.8 Inviamo i messaggi di sicurezza necessari sulle modifiche agli account collegati e agli accessi utilizzando i recapiti dell’account interessato e la scelta della lingua descritta nella sezione 8. Questi messaggi sono indipendenti dal consenso alla newsletter. Puoi gestire gli account collegati e consultare o revocare le sessioni nelle impostazioni dell’account. Restano applicabili i tuoi diritti sulla protezione dei dati descritti nelle altre parti di questa informativa.

8) Invio di e-mail di sistema e comunicazioni relative all'account

8.1 In connessione con registrazione, login, conferma e-mail, reset password, notifiche di sicurezza e comunicazioni relative all'account, possiamo utilizzare fornitori di servizi e-mail.

8.2 In particolare, indirizzo e-mail, dati tecnici di invio e contenuto vengono trattati ove ciò sia necessario per consegna e documentazione della comunicazione rilevante.

8.3 La base giuridica è l'art. 6(1)(b) GDPR ove la comunicazione sia necessaria per l'esecuzione del rapporto contrattuale con l'utente, e l'art. 6(1)(f) GDPR per comunicazioni di sicurezza e amministrative.

8.4 Tali comunicazioni possono includere in particolare conferme di registrazione, verifica e-mail, messaggi di reset password, notifiche di login e sicurezza, importanti messaggi sullo stato account, avvisi legati all'inattività, avvisi di categoria account o riclassificazione, e altri messaggi amministrativi o relativi all'applicazione delle regole necessari al funzionamento, all'integrità e alla sicurezza della piattaforma.

8.5 Per fornire le comunicazioni di sistema e quelle relative all’account in una lingua appropriata, utilizziamo innanzitutto la lingua scelta esplicitamente dall’utente. Se non è stata selezionata alcuna lingua, possiamo utilizzare la lingua usata più di recente in PortfolioReach, una lingua del browser rilevata in precedenza oppure, se non sono disponibili altre informazioni linguistiche, un’assegnazione approssimativa del paese già a nostra disposizione per selezionare una lingua di comunicazione appropriata. La scelta esplicita della lingua ha sempre la precedenza. Se non è possibile determinare in modo affidabile una lingua supportata, utilizziamo l’inglese.

8.6 Se ti iscrivi separatamente, utilizziamo il tuo indirizzo email per inviarti la newsletter di PortfolioReach sulle novità e sulle funzionalità della piattaforma. L’iscrizione è facoltativa e non è necessaria per creare o utilizzare un account. La base giuridica dell’invio della newsletter è il tuo consenso ai sensi dell’art. 6, par. 1, lett. a), del GDPR. Puoi revocare il consenso in qualsiasi momento nelle impostazioni dell’account o tramite il link per annullare l’iscrizione presente in ogni newsletter. La revoca non pregiudica la liceità del trattamento precedente né l’invio dei messaggi necessari relativi all’account e alla sicurezza.

8.7 Trattiamo il tuo indirizzo email attuale e verificato, il riferimento all’account, la lingua di comunicazione, la decisione relativa all’iscrizione e la sua data, origine e versione del testo del consenso, insieme ai dati della campagna e ai dati tecnici di consegna. Scegliamo la lingua della newsletter secondo l’ordine descritto al punto 8.5. Utilizziamo Postmark come responsabile del trattamento per la consegna delle email. Quando il trattamento comporta trasferimenti al di fuori del SEE, si applicano le garanzie descritte nella presente Informativa sulla privacy.

8.8 Conserviamo le prove del consenso e della sua revoca durante la validità del consenso e per tre anni dopo la revoca o l’eliminazione dell’account, esclusivamente per documentare il rispetto dei requisiti e accertare, esercitare o difendere un diritto in sede giudiziaria. La base giuridica di questa conservazione limitata è l’art. 6, par. 1, lett. f), del GDPR. I dati che consentono di identificare i destinatari di una campagna e i relativi dati di consegna vengono eliminati o anonimizzati in modo irreversibile entro 90 giorni dalla fine della campagna. I totali della campagna che non identificano persone e il contenuto della campagna possono essere conservati. L’eliminazione dell’account interrompe le newsletter in attesa; continua ad applicarsi la conservazione limitata delle prove descritta sopra. Le copie residue nei backup a rotazione sono soggette alle regole di conservazione dei backup della presente informativa.

9) Profili pubblici, portfolio e contenuti pubblicati

9.1 La nostra piattaforma è progettata per consentire agli utenti di pubblicare profili pubblici, portfolio, contenuti media e altre informazioni relative alla piattaforma.

9.2 Se utilizza le relative funzioni, i dettagli profilo, i portfolio, i media, i commenti, le interazioni o altri contenuti da Lei pubblicati possono essere visibili pubblicamente o condivisi con altri utenti.

9.3 Quali contenuti siano visibili dipende dalla rispettiva funzione, dal tipo di contenuto, dai permessi concessi e dalle impostazioni della piattaforma.

9.4 La base giuridica è l'art. 6(1)(b) GDPR ove la pubblicazione sia parte del servizio che utilizza, e l'art. 6(1)(f) GDPR sulla base del nostro legittimo interesse a gestire una piattaforma portfolio e comunità.

10) Commenti, interazioni e sistema di segnalazione

10.1 Se utilizza funzioni commento o funzioni di interazione comparabili, trattiamo il Suo commento, il momento di creazione, l'associazione al Suo account utente o username e, ove applicabile, altri dati contestuali tecnicamente necessari.

10.2 Utilizziamo questi dati per fornire la funzione pertinente, mostrare contenuti, consentire comunicazione tra utenti e prevenire abusi o violazioni legali.

10.3 Gli utenti possono in determinate circostanze segnalare contenuti. In tale contesto trattiamo i dati necessari per revisione, moderazione, documentazione e, ove applicabile, applicazione delle nostre regole.

10.4 La base giuridica è l'art. 6(1)(b) GDPR ove il trattamento sia necessario per fornire la funzione pertinente, e l'art. 6(1)(f) GDPR sulla base del nostro legittimo interesse alla sicurezza, integrità e uso lecito della nostra piattaforma.

11) Web analytics proprietarie e tracciamento eventi

11.1 Possiamo utilizzare funzioni proprietarie di analytics e tracciamento eventi per valutare l'uso del nostro sito web e della piattaforma, migliorare la stabilità tecnica, rilevare abusi, analizzare la portata dei contenuti e supportare lo sviluppo continuo dei nostri servizi.

11.2 In particolare, possono essere trattate informazioni su pagine visitate, referrer, dati tecnici di richiesta, timestamp, parametri campagna, interazioni, eventi di condivisione e dati contestuali legati all'uso.

11.3 Ove l'analisi sia tecnicamente necessaria o serva alla sicurezza e al funzionamento dei nostri servizi, il trattamento avviene ai sensi dell'art. 6(1)(f) GDPR. Ove legalmente richiesto, il trattamento avviene solo sulla base del Suo consenso ai sensi dell'art. 6(1)(a) GDPR.

11.4 Per misurare l'efficacia dei nostri canali di acquisizione degli utenti, possiamo trattare informazioni sulla fonte e sulla campagna da cui ha avuto origine una visita, un identificatore pseudonimo del clic, la pagina di ingresso, il dominio referente, il Paese approssimativo e informazioni tecniche limitate che consentono di classificare in termini generali il tipo di traffico. Se l'utente crea un account nello stesso flusso, le informazioni sulla fonte di acquisizione possono essere collegate a tale account e successivamente utilizzate per una valutazione aggregata dell'efficacia dei nostri canali di acquisizione. A tale scopo non memorizziamo un identificatore di attribuzione nei cookie o nello storage del browser e non colleghiamo visite separate mediante fingerprinting, ossia creando un'impronta del dispositivo o del browser dalla combinazione di un indirizzo IP con altre informazioni tecniche.

11.5 I record grezzi dei clic utilizzati per l'attribuzione vengono generalmente eliminati dopo 180 giorni. Le informazioni sulla fonte di acquisizione collegate a un account possono essere conservate finché sono necessarie per analizzare l'efficacia dell'acquisizione e la qualità degli account acquisiti tramite i singoli canali, ma non oltre la durata dell'account. Quando l'account viene eliminato o anonimizzato, tali informazioni vengono eliminate o anonimizzate secondo necessità. Le statistiche aggregate che non consentono di identificare una persona specifica possono essere conservate più a lungo. La base giuridica di questo trattamento è l'art. 6(1)(f) GDPR: il nostro legittimo interesse a valutare l'efficacia dei nostri canali di acquisizione e a pianificare in modo ragionevole lo sviluppo del servizio. Le informazioni sul diritto di opposizione a tale trattamento sono riportate nella sezione 25.

12) Meta Pixel

12.1 Utilizziamo "Meta Pixel" (precedentemente "Facebook Pixel") sul nostro sito web, fornito da Meta Platforms Ireland Limited, 4 Grand Canal Square, Grand Canal Harbour, Dublin 2, Irlanda.

12.2 Il Meta Pixel ci consente di misurare l'efficacia delle nostre attività pubblicitarie su Facebook e Instagram e di determinare se gli utenti raggiungono il nostro sito web tramite i nostri annunci pubblicati lì. A seconda della configurazione delle nostre attività marketing, Meta Pixel può essere utilizzato anche per supportare la creazione di audience e ottimizzare l'erogazione pubblicitaria.

12.3 Durante l'uso del Meta Pixel, informazioni su pagine visitate, interazioni, informazioni tecniche su dispositivo e browser, nonché indirizzo IP possono in particolare essere trasmesse a Meta. Se ha effettuato accesso a Meta, Meta può, ove applicabile, associare tali informazioni al Suo account utente.

12.4 Il trattamento avviene esclusivamente sulla base del Suo consenso ai sensi dell'art. 6(1)(a) GDPR. Il consenso è ottenuto tramite il nostro strumento di gestione del consenso (Cookiebot). Senza il Suo consenso, Meta Pixel non viene caricato. Può revocare o modificare il consenso in qualsiasi momento con effetto per il futuro tramite le impostazioni Cookiebot.

12.5 Nella misura in cui i dati personali siano trasferiti negli USA, Meta dichiara di basarsi sulla propria certificazione ai sensi del Data Privacy Framework UE-USA. Su tale base esiste una decisione di adeguatezza della Commissione europea per le società statunitensi certificate.

13) Funzioni di mappa e localizzazione

13.1 Possiamo utilizzare funzioni di mappa e geolocalizzazione per fornire località, assegnazioni regionali, risultati di ricerca o informazioni legate alla posizione in modo visivo o funzionale.

13.2 Durante l'uso delle relative funzioni, in particolare indirizzo IP, dati tecnici di richiesta, riferimenti di posizione, dettagli di ricerca o dati d'uso legati alle mappe possono essere trasmessi ai servizi di mappe utilizzati di volta in volta o a fornitori di geodati di supporto.

13.3 La base giuridica è l'art. 6(1)(f) GDPR sulla base del nostro legittimo interesse a una fornitura di facile utilizzo e orientata alle esigenze delle funzioni di mappa e localizzazione. Ove legalmente richiesto, il trattamento avviene sulla base del Suo consenso ai sensi dell'art. 6(1)(a) GDPR.

14) Protezione bot e prevenzione abusi con Cloudflare Turnstile

14.1 Per prevenire inserimenti automatizzati, richieste abusive, attività spam e altri accessi automatizzati dannosi, possiamo utilizzare il servizio Cloudflare Turnstile.

14.2 Nel corso dell'uso di Turnstile, possono essere trattati in particolare indirizzo IP, informazioni su browser e dispositivo, informazioni sul sistema operativo, ora e durata di una visita e ulteriori segnali tecnici, ove necessario per distinguere uso umano da uso automatizzato o abusivo.

14.3 Il trattamento avviene ai sensi dell'art. 6(1)(f) GDPR sulla base del nostro legittimo interesse a proteggere il nostro sito web e la piattaforma contro abusi, spam, attacchi DDoS e altre interruzioni automatizzate. Ove legalmente richiesto, otteniamo a tal fine il consenso ai sensi dell'art. 6(1)(a) GDPR.

15) Verifica dell'età e controlli relativi alla tutela dei minori con Ondato

15.1 Ove utilizziamo procedure di verifica dell'età, age assurance, identificazione o controlli legati alla tutela dei minori sulla nostra piattaforma, possiamo utilizzare Ondato come fornitore di servizi a tale scopo.

15.2 Tali trattamenti possono avvenire in particolare per limitare l'accesso a determinate aree, contenuti, funzioni o gruppi di utenti ai soli adulti, per attuare requisiti di tutela dei minori, prevenire abusi e applicare regole di controllo accessi o meccanismi di protezione comparabili. Ove rilevante per il nostro assetto di tutela dei minori, l'attivazione di tali controlli può dipendere dalla giurisdizione da noi determinata lato server a partire da dati legati alla richiesta, incluse informazioni sul Paese derivate dalla richiesta, e non esclusivamente da informazioni autodichiarate dall'utente.

15.3 A seconda del flusso di verifica utilizzato nel singolo caso, possono in particolare essere trattate da noi e/o da Ondato per nostro conto le seguenti categorie di dati personali:

• nome e cognome
• data di nascita
• informazioni da documenti di identità
• foto, selfie o altra acquisizione facciale della persona
• foto del documento di identità
• indirizzo IP
• dati tecnici legati a richiesta, dispositivo, sessione e consenso
• dati biometrici facciali o caratteristiche biometriche facciali usate per age assurance biometrica o controlli legati all'identità
• risultato, stato e dati di riferimento del controllo dell'età o dell'identità
• ove applicabile, registrazioni video o altri dati di verifica, ove richiesti per la specifica procedura o flusso di fallback

15.4 Ove siano trattate categorie particolari di dati personali, in particolare dati biometrici, ciò avviene solo ove e nella misura in cui ciò sia necessario per la relativa procedura. Il trattamento si basa su una base giuridica applicabile ai sensi del diritto in materia di protezione dati. A seconda del contesto, ciò può includere in particolare art. 6(1)(b) GDPR, art. 6(1)(f) GDPR e, ove richiesto per il trattamento di categorie particolari di dati personali, il Suo consenso esplicito ai sensi dell'art. 9(2)(a) GDPR.

15.5 Trattiamo l'esito di tali controlli solo nella misura necessaria per age assurance, controllo accessi, applicazione tutela minori, prevenzione abusi, finalità probatorie, gestione controversie e conformità ad obblighi legali. In generale puntiamo a conservare nei nostri sistemi solo il minimo di dati di esito e di riferimento necessario per tali finalità. Materiali di verifica aggiuntivi possono essere trattati e conservati nei sistemi di Ondato fino a 60 giorni dopo la relativa verifica, in base alle impostazioni di conservazione configurate e salvo un diverso periodo di conservazione richiesto dalla legge o necessario nel singolo caso. Dopo cancellazione o oscuramento, possono rimanere informazioni limitate su stato, timestamp, riferimento e audit ove necessario per finalità di documentazione, sicurezza, conformità o prova.

15.6 Ondato agisce per tali finalità generalmente come nostro responsabile del trattamento sulla base degli accordi contrattuali applicabili. In base all'attuale quadro contrattuale, il trattamento è previsto all'interno del SEE e non è previsto trasferimento fuori dal SEE senza previo consenso scritto del titolare.

15.7 Un esito positivo della verifica dell'età non necessariamente scade automaticamente dopo un periodo fisso. Tuttavia, possiamo revocare, riesaminare o richiedere una nuova verifica ove ciò sia necessario per motivi legali, normativi, di sicurezza, prevenzione abusi o operativi, inclusi casi in cui vi siano indicazioni di uso improprio, modifiche delle regole applicabili o dubbi giustificati sulla validità continuativa dell'esito precedente.

16) Conservazione di media e contenuti caricati

16.1 Se carica immagini, avatar, portfolio, file o altri contenuti sulla nostra piattaforma, trattiamo tali contenuti per conservazione, messa a disposizione, distribuzione, protezione e, a seconda dei permessi concessi, pubblicazione.

16.2 Possono essere trattati anche metadati tecnici e dati di accesso ove ciò sia necessario per upload, conservazione, protezione accessi, visualizzazione e distribuzione.

16.3 La base giuridica è l'art. 6(1)(b) GDPR ove il trattamento sia necessario per la fornitura di funzioni di upload e piattaforma, e l'art. 6(1)(f) GDPR sulla base del nostro legittimo interesse a una fornitura sicura, ad alte prestazioni e di facile utilizzo dei media.

16.4 Indipendentemente da Ondato, possiamo chiedere a determinati titolari di account un selfie in cui tengono un foglio con il nome utente e la data dello scatto, scritti a mano. Gli amministratori autorizzati utilizzano la fotografia per esaminare l’account ed eventuali indizi di impersonificazione o abuso. A questo scopo trattiamo la fotografia, il riferimento all’account, le informazioni sul foglio, le date di invio, le decisioni e i registri di accesso. Questa procedura manuale non utilizza il riconoscimento facciale automatizzato e non certifica l’identità o l’età. La base giuridica è il nostro legittimo interesse a prevenire abusi ai sensi dell’art. 6, par. 1, lett. f del GDPR.

16.5 La fotografia è privata, accessibile solo al titolare dell’account e agli amministratori autorizzati, e trattata attraverso i nostri attuali fornitori di hosting e archiviazione privata. Non viene pubblicata sul profilo né inviata a Ondato nell’ambito di questa procedura.

16.6 Le fotografie vengono eliminate entro 30 giorni dalla chiusura della verifica e non oltre 90 giorni dal caricamento. I registri dettagliati delle verifiche chiuse vengono eliminati dopo 90 giorni. Una conservazione documentata delle prove può mantenere gli elementi specificamente necessari secondo le apposite regole. Le attestazioni minime delle decisioni di sicurezza e i backup seguono le rispettive regole di conservazione. La procedura non limita di per sé l’accesso al portale né assegna premi per le segnalazioni.

17) Elaborazione pagamenti con Stripe

17.1 Ove offriamo servizi a pagamento, abbonamenti o altre funzioni a pagamento, i pagamenti possono essere elaborati tramite il fornitore di servizi di pagamento Stripe.

17.2 In particolare, dati anagrafici, dati di contatto, dati transazionali, informazioni di pagamento, dati di fatturazione e informazioni rilevanti per la sicurezza possono essere trattati ove necessario per elaborazione pagamento, prevenzione frodi, fatturazione ed esecuzione del rapporto contrattuale.

17.3 La base giuridica è l'art. 6(1)(b) GDPR.

18) Login o collegamento tramite piattaforme terze, in particolare Meta/Instagram

18.1 Ove offriamo funzioni che consentono di collegare il Suo account utente a servizi terzi o di effettuare login tramite servizi terzi, trattiamo i dati necessari a tale scopo.

18.2 A seconda della funzione, ciò può includere in particolare il Suo identificatore utente esterno, informazioni profilo, dati tecnici di autenticazione e informazioni account rese disponibili da Lei.

18.3 Il trattamento avviene ai sensi dell'art. 6(1)(b) GDPR ove la funzione pertinente sia necessaria per la fornitura del servizio e, ove richiesto, sulla base del Suo consenso ai sensi dell'art. 6(1)(a) GDPR.

18.4 Se collega un account Instagram Professional (Business o Creator) a PortfolioReach, possiamo trattare dati tecnici di collegamento account, dati di autenticazione, media Instagram importati e metadati correlati necessari per fornire la funzione di import Instagram nella nostra piattaforma.

18.5 Dopo l'import, può nascondere manualmente dalla vista pubblica in PortfolioReach i media Instagram importati selezionati. Nascondere media Instagram importati modifica solo la loro visibilità in PortfolioReach e non elimina di per sé la connessione Instagram o i dati Instagram importati memorizzati per questa funzione.

18.6 Può inoltre aggiornare, riconnettere o disconnettere la connessione Instagram in PortfolioReach. Se disconnette Instagram in PortfolioReach, rimuoviamo da PortfolioReach i dati di connessione Instagram associati a questa funzione, inclusi token o credenziali memorizzati, media Instagram importati e metadati di import correlati da noi memorizzati per la funzione. I media Instagram importati vengono quindi rimossi dal Suo profilo PortfolioReach e dallo storage PortfolioReach o dai record database utilizzati per questa funzione.

18.7 La disconnessione di Instagram in PortfolioReach incide solo sui dati memorizzati in PortfolioReach per la funzione di import Instagram. Non elimina i Suoi contenuti da Instagram stesso e non revoca di per sé la connessione app lato Instagram/Meta. Se revoca l'accesso a PortfolioReach lato Instagram/Meta, trattiamo tale evento tramite il relativo flusso di deauthorization e applichiamo la stessa pulizia locale in PortfolioReach.

18.8 Se riceviamo una valida richiesta Meta di cancellazione dati o un segnale comparabile di deauthorization relativo alla connessione Instagram, la trattiamo tramite lo stesso flusso di pulizia locale in PortfolioReach, fatti salvi eventuali limiti di conservazione necessari per sicurezza, prevenzione frodi, conformità legale o finalità probatorie.

18.9 Può accedere o registrarsi tramite Google. Verifichiamo la conferma di accesso di Google e trattiamo l’identificativo dell’account, l’indirizzo e-mail e le informazioni sulla sua verifica. Memorizziamo il collegamento al Suo account PortfolioReach e le date di creazione e di ultimo utilizzo di tale collegamento. Non riceviamo la Sua password Google né conserviamo token di accesso o di aggiornamento di Google. Non trasferiamo il Suo nome o la Sua foto da Google al Suo profilo pubblico PortfolioReach. Inserisce separatamente i dati del profilo ed effettua le scelte richieste durante la registrazione.

18.10 Al momento dell’accesso possiamo collegare automaticamente il Suo account Google a un account PortfolioReach esistente se lo stesso indirizzo Gmail o Google Workspace è già verificato su tale account e Google conferma che Lei controlla attualmente quell’indirizzo. Restano applicabili le limitazioni di accesso e l’eventuale autenticazione aggiuntiva richiesta da PortfolioReach. Dopo aver scollegato Google, può ricollegarlo esclusivamente nelle impostazioni di sicurezza.

18.11 Il caricamento dell’interfaccia di accesso Google nelle pagine di accesso, registrazione o sicurezza collega il Suo browser a Google e gli trasmette i dati tecnici necessari per tale connessione. Questa funzione non richiede l’iscrizione alla newsletter né il consenso alle analisi facoltative. I dati temporanei dei tentativi di accesso proteggono dal riutilizzo della risposta di Google e dalla sostituzione dell’account. Il tentativo iniziale di conferma dell’account Google è valido per 5 minuti. La conferma che consente di completare la registrazione è valida per 15 minuti, mentre l’eventuale fase aggiuntiva di autenticazione o di conferma di una modifica della sicurezza è valida per 5 minuti dall’inizio di tale fase. I record dei tentativi utilizzati o scaduti vengono eliminati alla successiva esecuzione riuscita del nostro processo quotidiano di pulizia dei dati. La conferma di registrazione viene conservata temporaneamente nella scheda del browser ed eliminata quando la registrazione viene completata o annullata, oppure quando viene rilevata la sua scadenza.

18.12 Può scollegare Google nelle impostazioni di sicurezza dopo aver impostato una password PortfolioReach. Lo scollegamento elimina il collegamento memorizzato da noi e termina le sessioni esistenti di tale account. Non elimina la connessione nelle impostazioni del Suo account Google, che gestisce separatamente. L’eliminazione del Suo account PortfolioReach elimina anche il collegamento Google memorizzato da noi. I dati relativi alla sicurezza dell’account e le copie di backup sono soggetti alle regole di conservazione descritte nelle altre parti della presente informativa.

18.13 Può copiare foto selezionate dal Suo account Instagram collegato nel Suo portfolio SFW su PortfolioReach. Salviamo queste copie nel nostro spazio di archiviazione come normali foto del portfolio, pubbliche per impostazione predefinita, insieme a un identificativo minimo del contenuto Instagram per evitare importazioni duplicate. Scollegando Instagram vengono eliminati i dati di collegamento e della galleria Instagram descritti sopra, ma non queste copie del portfolio selezionate separatamente. Può gestirle ed eliminarle nel Suo portfolio; continuano ad applicarsi le consuete regole sui diritti relativi ai contenuti, sulla cancellazione dell’account e sulla conservazione dei dati.

Pubblicare sul Suo account Instagram collegato

18.14 Quando utilizza questa funzione, trattiamo gli identificativi del Suo account e del collegamento, il riferimento alla foto selezionata, l’immagine finale e la didascalia da Lei approvate, nonché i risultati tecnici della pubblicazione. La preparazione dell’immagine da pubblicare, inclusi il ritaglio e le eventuali modifiche con l’Editor di foto, avviene nel Suo browser. Dopo che seleziona «Pubblica ora», carichiamo l’immagine approvata e la trasmettiamo insieme alla didascalia a Meta per eseguire la Sua richiesta, sulla base descritta nella sezione 18.3. Meta recupera l’immagine tramite un link di accesso di breve durata e tratta la pubblicazione secondo i propri termini e le proprie regole sulla privacy. Questa esportazione non sostituisce la foto originale del Suo portfolio. Se attiva il tagging dei collaboratori, trattiamo anche i loro nomi utente Instagram e le posizioni dei tag nella foto, ricavati dai dati attuali dei collaboratori disponibili per la foto in PortfolioReach, e li trasmettiamo a Meta insieme alla pubblicazione. Utilizziamo dati limitati dei collaboratori sulla base dell’articolo 6, paragrafo 1, lettera f del GDPR per attribuire correttamente il loro contributo, tenendo conto dei loro diritti e interessi. Ciò non sostituisce i diritti o i consensi necessari per pubblicare la foto o l’immagine di una persona. I collaboratori possono chiedere la rettifica o opporsi al tagging contattandoci come indicato nella sezione 20, anche senza un account PortfolioReach.

18.15 L’immagine caricata per la pubblicazione, la didascalia, i nomi utente Instagram dei collaboratori e le posizioni dei loro tag sono destinati alla cancellazione 24 ore dopo la creazione della richiesta di pubblicazione e vengono rimossi dal nostro processo di pulizia programmato. Conserviamo una registrazione minima della pubblicazione per 30 giorni da tale richiesta, poi la rimuoviamo mediante lo stesso processo: identificativi dell’account e della foto, impronte digitali dell’approvazione e del file, identificativi dei tentativi, date, stato, codici di errore e di avviso ed eventuali identificativi e link della pubblicazione Instagram. Queste registrazioni ci consentono di mostrare il risultato e aiutano a evitare pubblicazioni duplicate dopo una risposta incerta. I token di accesso e i link firmati ai contenuti multimediali non fanno parte di queste registrazioni di pubblicazione. In caso di insuccesso, la pulizia viene ritentata; si applicano anche le eccezioni della sezione 18.19.

18.16 Lo scollegamento di Instagram, la revoca dell’accesso tramite Meta o una richiesta valida di cancellazione dei dati da parte di Meta interrompe le pubblicazioni successive e mette in coda le immagini e le registrazioni di pubblicazione correlate per la cancellazione locale. Anche l’eliminazione del Suo account PortfolioReach rimuove questi dati tramite il nostro processo di cancellazione dell’account. Può applicarsi un obbligo legale di conservazione strettamente circoscritto o una conservazione autorizzata delle prove ai sensi delle sezioni 22–23; ciò non consente ulteriori pubblicazioni né la conservazione dei token di accesso come prove. La pulizia locale non rimuove i post da Instagram. I diritti in materia di protezione dei dati descritti nella presente informativa continuano ad applicarsi.

Messaggi nella Sua casella di posta Instagram

18.17 Se la funzione è disponibile, attivando la casella di posta Instagram incarica PortfolioReach della gestione tecnica dei messaggi del Suo account Instagram professionale collegato. Dopo l’attivazione riceviamo, conserviamo e mostriamo i nuovi messaggi supportati e trasmettiamo le risposte che sceglie di inviare. Trattiamo il testo dei messaggi, gli identificativi degli account e dei partecipanti, gli identificativi dei messaggi e delle conversazioni, le date, gli stati di consegna e lettura, lo stato di lettura locale nella casella di posta e i codici tecnici delle operazioni e degli errori. Questa funzione non importa l’intera cronologia precedente dei Suoi messaggi Instagram e non crea account PortfolioReach per i Suoi corrispondenti su Instagram. Trattiamo la corrispondenza per Suo conto, nella misura necessaria a fornire la funzione di casella di posta richiesta e secondo le regole di conservazione e cancellazione indicate sotto. Quando Lei agisce come titolare del trattamento di questa corrispondenza ai sensi della normativa applicabile sulla protezione dei dati, PortfolioReach agisce come Suo responsabile del trattamento per questa gestione, secondo le Sue istruzioni documentate.

18.18 Per aiutarLa a riconoscere chi scrive, possiamo recuperare da Meta i nomi utente e le immagini del profilo Instagram e mostrarli nella casella di posta. Non conserviamo i risultati di queste consultazioni come una registrazione del profilo separata e duratura. Le immagini del profilo vengono caricate dall’infrastruttura di distribuzione di Meta, che riceve i dati tecnici della richiesta necessari a fornirle. La casella di posta attuale supporta messaggi testuali. Non memorizziamo il contenuto degli allegati né il testo dei messaggi che supera il limite supportato, anche se può rimanere una registrazione della ricezione di contenuti non supportati. Contrassegnare un messaggio come letto in PortfolioReach aggiorna lo stato locale della casella di posta e, di per sé, non invia una conferma di lettura a Meta. Le risposte che invia vengono trasmesse a Meta e trattate secondo i suoi termini e le sue regole sulla privacy. Il trattamento da parte dei fornitori di infrastruttura e i trasferimenti internazionali sono descritti anche nelle sezioni 3 e 24.

18.19 I messaggi e i relativi metadati a livello di singolo messaggio diventano indisponibili nella casella di posta PortfolioReach 30 giorni dopo l’evento del messaggio e vengono rimossi dal nostro processo di pulizia programmato. Le registrazioni delle conversazioni vengono rimosse quando non contengono più messaggi conservati. Lo scollegamento di Instagram, una revoca dell’autorizzazione o una richiesta di cancellazione dei dati valida da parte di Meta, oppure l’eliminazione del Suo account PortfolioReach interrompe l’ulteriore utilizzo del collegamento e avvia la cancellazione locale. In caso di insuccesso, la pulizia viene ritentata. Può applicarsi un obbligo legale di conservazione strettamente circoscritto o una conservazione autorizzata delle prove ai sensi delle sezioni 22–23. I backup e il ripristino seguono le regole comuni delle sezioni 23.3–23.4. Rimuovere i dati da PortfolioReach non elimina i messaggi conservati da Instagram o da un altro partecipante alla conversazione.

18.20 Il contenuto dei messaggi Instagram è cifrato durante la conservazione. Il nostro servizio lo decifra per mostrare i messaggi all’utente autorizzato dell’account e fornire le funzioni descritte nella presente informativa. Il pannello di amministrazione di PortfolioReach non offre funzioni per visualizzare o esportare il contenuto di questi messaggi, compreso il contenuto conservato come prova. Gli operatori autorizzati mantengono l’accesso ai metadati diagnostici, quali identificativi, date, direzione del messaggio, stato e codici di errore.

18.21 I diritti e i recapiti delle sezioni 20–21 si applicano a questo trattamento anche quando comunica con un account Instagram collegato senza avere un account PortfolioReach. Può contattare il titolare dell’account collegato oppure noi all’indirizzo contact@portfolioreach.com. Quando agiamo come responsabile del trattamento, assistiamo il titolare dell’account nella gestione delle richieste relative ai dati e gli inoltriamo le richieste quando opportuno. Potremmo richiedere le informazioni necessarie per verificare la Sua identità e individuare la corrispondenza pertinente. Se disponibile, l’esportazione dei dati del titolare dell’account include i messaggi Instagram conservati e i metadati associati, nel rispetto dei diritti delle altre persone. Le registrazioni storiche degli accessi amministrativi al contenuto, precedenti alla rimozione delle funzioni di consultazione, vengono conservate per 30 giorni dall’evento di accesso registrato, poi rimosse tramite il nostro processo di pulizia programmato. Questo periodo decorre indipendentemente dalla data di cancellazione del messaggio. Le registrazioni storiche degli accessi alle prove conservate separatamente seguono le regole di conservazione dei fascicoli previste nelle sezioni 22–23; i backup seguono la sezione 18.19.

Avviare la registrazione e proteggere il collegamento

18.22 Se sceglie «Inizia con Instagram», riceviamo da Meta l’identificativo del Suo account Instagram, il nome utente, il tipo di account, le autorizzazioni concesse, il token di accesso e la sua scadenza e le informazioni sulle anteprime multimediali supportate. Utilizziamo questi dati per suggerire un nome del profilo, stabilire il collegamento con Instagram al completamento della registrazione, aggiungere il Suo link social di Instagram e popolare la Sua galleria Instagram. L’indirizzo e-mail, la password, i dati del profilo richiesti e le conferme di registrazione vengono forniti separatamente in PortfolioReach e la verifica dell’e-mail rimane obbligatoria. Trattiamo questi dati per effettuare la registrazione da Lei richiesta sulla base descritta nelle sezioni 7.4 e 18.3. Copiare foto selezionate nel portfolio è facoltativo e segue la sezione 18.13.

18.23 Un contesto temporaneo di registrazione è valido per 30 minuti dall’inizio del tentativo. Include le informazioni di collegamento descritte sopra, la Sua lingua, il punto di accesso alla registrazione e le eventuali informazioni fornite sull’invito o informazioni limitate di acquisizione utilizzate nel normale processo di registrazione. Un cookie necessario di prima parte lega il tentativo al Suo browser; il contesto temporaneo memorizza un hash del suo valore segreto e un token di accesso Instagram cifrato. Il completamento della registrazione trasferisce i dati di collegamento necessari al Suo account ed elimina il contesto temporaneo. L’annullamento o la sostituzione del tentativo ne rimuove il contesto; i contesti scaduti vengono rimossi tramite la pulizia giornaliera programmata. Gli stati di autorizzazione utilizzati possono essere consumati una sola volta e anche quelli scaduti vengono rimossi. Queste registrazioni tecniche aiutano a impedire il riutilizzo di una risposta di autorizzazione e il collegamento di un account da un browser diverso. Un collegamento Instagram completato viene conservato finché rimane collegato ed è soggetto alle regole di scollegamento e cancellazione indicate sopra.

18.24 Su tua richiesta, salviamo bozze di pubblicazione: un riferimento alla foto e all’account Instagram selezionati, le impostazioni di modifica e aspetto, la didascalia e le preferenze di tagging. Non creiamo una copia separata della foto per questo scopo. I modelli contengono un nome, impostazioni di aspetto e un modello facoltativo di didascalia; non salvano la foto, le modifiche di censura o un elenco di persone da taggare. Conserviamo bozze e modelli finché non li elimini o non viene eliminato il tuo account PR. Eliminiamo le bozze anche quando viene eliminata la foto, Instagram viene scollegato o l’accesso viene revocato; i modelli possono rimanere. L’eliminazione viene completata dal successivo processo di pulizia riuscito, fatte salve le eccezioni per la conservazione delle prove e le copie di backup descritte nelle sezioni 22–23. Salvare una bozza o un modello non costituisce un ordine di pubblicazione su Instagram.

19) Monetizzazione pubblicitaria con ExoClick

19.1 Ove utilizziamo servizi pubblicitari o monetizzazione basata su pubblicità, possiamo utilizzare fornitori esterni di servizi pubblicitari come ExoClick a tale scopo.

19.2 Nell'ambito di tali servizi, cookie, tecnologie simili, identificatori dispositivo, indirizzi IP, informazioni browser, dati di interazione e informazioni legate all'uso possono essere trattati al fine di erogare pubblicità, misurare portata, prevenire abusi o implementare limiti di frequenza.

19.3 Tali servizi vengono utilizzati solo ove ciò sia legalmente consentito e, ove richiesto, sulla base del Suo consenso ai sensi dell'art. 6(1)(a) GDPR.

20) Esercizio dei Suoi diritti in qualità di interessato

20.1 La normativa applicabile in materia di protezione dati Le riconosce i diritti di legge dell'interessato, in particolare:

• accesso ai sensi dell'art. 15 GDPR
• rettifica ai sensi dell'art. 16 GDPR
• cancellazione ai sensi dell'art. 17 GDPR
• limitazione del trattamento ai sensi dell'art. 18 GDPR
• diritto a essere informato su rettifica, cancellazione o limitazione ai sensi dell'art. 19 GDPR
• portabilità dei dati ai sensi dell'art. 20 GDPR
• revoca dei consensi prestati ai sensi dell'art. 7(3) GDPR
• reclamo a un'autorità di controllo ai sensi dell'art. 77 GDPR

20.2 Per esercitare i Suoi diritti, può contattarci a contact@portfolioreach.com.

20.3 Ci riserviamo il diritto di richiedere idonea prova della Sua identità prima di trattare una richiesta, ove ciò sia necessario per la protezione dei dati personali.

21) Esportazione dati e processo DSAR

21.1 Ove forniamo funzioni corrispondenti, gli utenti possono inviare richieste relative alla protezione dei dati, in particolare richieste di accesso ed esportazione, anche tramite funzioni della piattaforma o tramite supporto.

21.2 A tal fine trattiamo i dati identificativi, i dati di contatto e le informazioni relative alla richiesta necessari per verificare, assegnare, trattare e documentare la Sua richiesta.

21.3 La base giuridica è l'art. 6(1)(c) GDPR e l'art. 6(1)(f) GDPR sulla base del nostro legittimo interesse alla corretta, tempestiva e sicura gestione delle richieste in materia di protezione dati.

22) Cancellazione account e richieste di cancellazione

22.1 Può eliminare il Suo account utente utilizzando la funzione "Elimina account" nelle impostazioni profilo o contattandoci a contact@portfolioreach.com.

22.2 In caso di cancellazione account, in linea generale cancelliamo o anonimizziamo i dati personali, salvo obblighi legali di conservazione, interessi di sicurezza, interessi probatori o altre ragioni legittime che impediscano cancellazione completa immediata.

22.3 I contenuti pubblici o legati alla comunità possono in determinati casi essere tecnicamente o organizzativamente adattati, anonimizzati o rimossi ove ciò sia previsto dalla natura della funzione e dallo specifico contenuto.

22.4 Ove il Suo account includa una connessione Instagram e media Instagram importati in PortfolioReach, la cancellazione account può includere anche la rimozione dei relativi dati di connessione Instagram, dei media Instagram importati e dei metadati di import associati memorizzati in PortfolioReach per tale funzione, fatti salvi eventuali obblighi legali di conservazione, interessi di sicurezza, interessi probatori o altre ragioni legittime che possano richiedere conservazione limitata.

23) Periodo di conservazione dei dati

23.1 Conserviamo dati personali solo per il tempo necessario alle rispettive finalità di trattamento.

23.2 Oltre a ciò, conserviamo dati solo ove esistano periodi legali di conservazione o ove abbiamo legittimi interessi alla costituzione, esercizio o difesa di pretese legali.

23.3 Conserviamo backup della banca dati per proteggerne disponibilità e integrità, recuperare i dati dopo guasti e verificare il recupero. La finestra di ripristino a un momento precedente di Render è di 3 giorni. I backup cifrati sul NAS seguono una rotazione di 14 copie giornaliere, 8 settimanali e 12 mensili. I dati cancellati dalla banca dati attiva possono restare in copie ad accesso limitato fino alla rotazione, per un massimo di 12 mesi nel ciclo ordinario. Ciò non ne prolunga la disponibilità nel servizio.

23.4 L’accesso ai backup è limitato alle persone autorizzate per recupero e verifica; non sono un archivio ordinario per utilizzare dati cancellati. La cancellazione o la cifratura dei record attivi non riscrive le copie precedenti. Prima di riaprire l’accesso dopo un ripristino, riapplichiamo cancellazioni, rettifiche, restrizioni di accesso e revoche delle sessioni attuali e manteniamo le scadenze originali di conservazione. Ripristinare una copia non rinnova il periodo di conservazione né ripristina autorizzazioni revocate. Continuano a valere le regole attuali di accesso dell’applicazione.

24) Trasferimenti di dati verso Paesi terzi

24.1 Nell'ambito dell'utilizzo di fornitori di servizi esterni, i dati personali possono essere trasferiti o trattati in Stati al di fuori dell'Unione europea o dello Spazio economico europeo.

24.2 In tali casi, ci assicuriamo che siano in essere garanzie adeguate ai sensi dell'art. 44 e segg. GDPR, come decisioni di adeguatezza, clausole contrattuali standard o meccanismi di protezione comparabili.

24.3 Ove un fornitore di servizi tratti i dati all'interno dello Spazio economico europeo o il trattamento fuori dal SEE avvenga solo a condizioni aggiuntive, ne teniamo conto nella selezione e nell'ingaggio contrattuale del relativo fornitore.

25) Diritto di opposizione

25.1 Se trattiamo i Suoi dati personali sulla base dei nostri legittimi interessi, ha il diritto di opporsi a tale trattamento in qualsiasi momento con effetto per il futuro per motivi legati alla Sua situazione particolare.

25.2 Se esercita il Suo diritto di opposizione, cesseremo il trattamento dei dati interessati, salvo che possiamo dimostrare motivi legittimi cogenti per il trattamento oppure che il trattamento serva alla costituzione, all'esercizio o alla difesa di pretese legali.

26) Traduzione automatica su richiesta dei contenuti degli utenti

26.1 Quando questa funzione è disponibile, gli utenti autenticati possono richiedere la traduzione automatica di un singolo post del Feed, commento o risposta selezionando attivamente il comando di traduzione. Il contenuto non viene tradotto automaticamente durante la visualizzazione.

26.2 A tale scopo trattiamo il contenuto corrente in testo semplice selezionato dall'utente, il relativo tipo, identificativo interno e revisione, le lingue di origine e di destinazione richieste e le informazioni minime sull'account e sul controllo degli accessi necessarie per verificare che l'utente richiedente possa visualizzare il contenuto originale. La finalità è rendere comprensibili i contenuti generati dagli utenti nelle lingue supportate.

26.3 PortfolioReach invia il testo autorizzato e i codici lingua richiesti dal backend dell'applicazione a Microsoft Azure Translator, un servizio di traduzione cloud di Microsoft. Il browser non comunica direttamente con Azure e non inviamo al servizio di traduzione identificatori interni del contenuto, dell'account o dell'utente. Quando viene utilizzato l'endpoint globale, una richiesta può essere elaborata nel data center disponibile più vicino, anche potenzialmente al di fuori del SEE; le garanzie per i trasferimenti internazionali sono descritte nella sezione 24. Secondo la documentazione attuale di Microsoft, Text Translation elabora il testo inviato per gestire la richiesta e non conserva in modo persistente i dati dei clienti inviati per la traduzione.

26.4 La traduzione avviene su richiesta. Per i post del Feed e i commenti del Feed o delle foto, un risultato tradotto può attualmente essere conservato per un massimo di 15 minuti in una cache server limitata, affinché richieste autorizzate ripetute non replichino inutilmente il trattamento. La cache non conserva una copia separata del testo di origine e diventa inaccessibile quando il contenuto viene modificato, eliminato, nascosto o cambia altrimenti revisione o stato di accesso. I log e le metriche operative sono progettati per non contenere il testo di origine né quello tradotto. Se in futuro la traduzione sarà resa disponibile per i messaggi privati, le traduzioni dei messaggi saranno trattate al momento della richiesta e non saranno archiviate in questa cache né conservate in altro modo come copia tradotta del messaggio.

26.5 La base giuridica è l'art. 6, par. 1, lett. b), GDPR, nella misura in cui il trattamento sia necessario per fornire la funzione di traduzione richiesta dall'utente, e l'art. 6, par. 1, lett. f), GDPR, sulla base dei nostri legittimi interessi a facilitare la comunicazione tra lingue, garantire un controllo degli accessi sicuro, prevenire gli abusi e assicurare il funzionamento affidabile della funzione.

26.6 Gli utenti possono scegliere la lingua di destinazione, correggere la lingua di origine rilevata e tornare in qualsiasi momento all'originale invariato. I risultati sono indicati come generati automaticamente e possono essere imprecisi o incompleti. La modifica o l'eliminazione dell'originale invalida il risultato visualizzato e la relativa revisione della cache.

26.7 La moderazione, le segnalazioni, la ricerca, le notifiche e le decisioni relative ad abusi o applicazione delle regole continuano a utilizzare il contenuto originale creato dall'utente, non la traduzione automatica.

27) Google Analytics 4 (GA4)

27.1 Utilizziamo Google Analytics 4 ("GA4"), un servizio di analisi fornito da Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irlanda ("Google").

27.2 GA4 ci aiuta a comprendere come i visitatori raggiungono PortfolioReach e utilizzano il servizio, quali fonti di traffico e campagne sono efficaci e se le visite portano a una registrazione. Utilizziamo GA4 per analizzare il traffico e l'efficacia dell'acquisizione degli utenti. Non utilizziamo GA4 per determinare l'identità di persone specifiche, per il remarketing o per creare audience pubblicitarie.

27.3 Dopo aver prestato il consenso, GA4 può trattare informazioni sull'uso del servizio, in particolare dati sulle pagine visitate, sulla fonte della visita, sulla campagna, sulle interazioni di base con la pagina, sulla sessione, sul tipo di browser e dispositivo e sulla posizione approssimativa. Durante la connessione tecnica ai servizi Google viene trattato anche l'indirizzo IP. Google dichiara di non registrare né conservare i singoli indirizzi IP degli utenti nell'UE, in Svizzera o nel Regno Unito e di eliminarli dopo averli utilizzati per ricavare la posizione approssimativa.

27.4 Limitiamo l'ambito dei dati trasmessi a GA4. In particolare, non trasmettiamo deliberatamente nomi, nomi utente, indirizzi e-mail, identificatori degli account PortfolioReach, token di autenticazione, contenuti pubblicati o inviati dagli utenti o dati di posizione precisa. Gli indirizzi delle pagine e i parametri trasmessi a GA4 sono ulteriormente limitati affinché i dati di autenticazione e altri valori tecnici sensibili non vengano inviati a Google. Sostituiamo le parti dinamiche degli indirizzi delle pagine con modelli generali di percorso, in modo che, ad esempio, il nome utente presente nell'indirizzo di un profilo pubblico non venga trasmesso a GA4. Non trasmettiamo a GA4 un identificatore utente PortfolioReach. Google Signals e le funzioni di personalizzazione pubblicitaria rimangono disabilitati.

27.5 Dopo aver ottenuto il consenso richiesto, GA4 può utilizzare cookie per distinguere utenti e sessioni. I cookie standard di GA4 possono avere una durata fino a due anni, sebbene la durata effettiva possa essere limitata dalle impostazioni del browser o dalla nostra configurazione. Il periodo di conservazione dei dati relativi agli utenti e agli eventi nella nostra configurazione GA4 è di 14 mesi. Questa impostazione non limita il periodo di conservazione dei report standard contenenti dati aggregati.

27.6 GA4 viene utilizzato esclusivamente dopo aver ottenuto il Suo consenso. La base giuridica per il trattamento dei dati personali è l'art. 6(1)(a) GDPR e, nella misura in cui le informazioni siano memorizzate sul dispositivo dell'utente o si acceda a informazioni ivi memorizzate, anche l'articolo 25, paragrafo 1, della legge tedesca TDDDG. GA4 è assegnato alla categoria statistica nel nostro sistema di gestione del consenso Cookiebot e non viene avviato prima che sia prestato il consenso alle statistiche. Può modificare o revocare il consenso in qualsiasi momento con effetto per il futuro tramite le impostazioni Cookiebot. La revoca non pregiudica la liceità del trattamento effettuato prima della revoca.

27.7 In relazione alla fornitura del servizio, Google può trasferire o trattare dati anche al di fuori dello Spazio economico europeo, in particolare tramite società del gruppo Google o suoi sub-responsabili. Qualora avvenga tale trasferimento, si applicano i meccanismi appropriati richiesti dalla normativa sulla protezione dei dati, in particolare decisioni di adeguatezza o clausole contrattuali standard, conformemente ai principi descritti nella sezione 24. Ulteriori informazioni sul trattamento dei dati da parte di Google sono disponibili nell'informativa sulla privacy di Google e nei termini di Google Analytics.

28) Programma di segnalazione e premi delle campagne

28.1 Quando utilizza un link o un codice di segnalazione, oppure una registrazione Le viene attribuita nell'ambito del programma di segnalazione, trattiamo il codice di segnalazione, i riferimenti agli account coinvolti e lo stato, i riferimenti temporali e la cronologia dell'attribuzione. Questi dati vengono generati dall'utilizzo del servizio e possono comprendere registrazioni che non soddisfano le condizioni della campagna applicabile.

28.2 Utilizziamo l'attribuzione delle segnalazioni e lo stato di soddisfacimento dei requisiti per gestire il programma, mantenerne i registri e determinare l'idoneità in base alle condizioni della campagna applicabile. A tali fini trattiamo anche le voci del registro dei punti, la posizione in classifica nella campagna e lo stato del premio, nonché le registrazioni dell'accettazione delle condizioni della campagna, inclusi la versione accettata e il momento dell'accettazione. Le condizioni della campagna stabiliscono le regole del programma; questa sezione descrive il trattamento dei dati personali associati.

28.3 Per individuare e indagare gli abusi, trattiamo valori hash derivati dall'indirizzo IP e dall'identificazione del browser al momento della registrazione, indicatori automatici di rischio e registrazioni di verifiche umane, incluse osservazioni pertinenti, decisioni e relative motivazioni. L'hashing non rende di per sé anonimi questi dati. Li utilizziamo per identificare registrazioni potenzialmente collegate o attività che richiedono una verifica e per documentare la gestione di un caso.

Confrontiamo inoltre le osservazioni di rete dell'account invitante e di quello invitato provenienti dalla registrazione, dall'accesso, dal rinnovo della sessione e dall'attività autenticata, tenendo conto della fonte e del momento dell'osservazione. Conserviamo registrazioni pseudonimizzate limitate delle corrispondenze rilevate, anziché una cronologia completa degli indirizzi IP. Un indirizzo IP condiviso è un segnale da sottoporre a verifica umana e non dimostra, da solo, che la stessa persona controlli gli account.

28.4 I controlli automatici supportano la valutazione di possibili abusi. I relativi indicatori di rischio vengono esaminati da personale autorizzato; le decisioni sull'assegnazione dei premi sono prese da una persona. Può contattarci ai recapiti indicati nella sezione 20 per richiedere informazioni sul trattamento o esercitare i Suoi diritti in materia di protezione dei dati, inclusa la rettifica di dati personali inesatti.

28.5 Trattiamo i dati necessari per amministrare la Sua partecipazione e adempiere agli obblighi della campagna sulla base dell'art. 6(1)(b) GDPR. Il trattamento per prevenire abusi, tutelare l'integrità del programma e garantire la sicurezza e la tracciabilità degli accessi interni si basa sull'art. 6(1)(f) GDPR, in ragione dei nostri legittimi interessi a prevenire abusi e proteggere i partecipanti e i dati di pagamento. Quando i documenti di pagamento devono essere conservati per adempiere a obblighi contabili o ad altri obblighi di legge, la base è l'art. 6(1)(c) GDPR. L'accettazione delle condizioni della campagna registra il Suo accordo con tali condizioni; non costituisce consenso a tutti i trattamenti descritti in questa sezione.

28.6 Dopo l'eliminazione di un account con una segnalazione registrata, conserviamo un identificatore pseudonimo derivato dal suo indirizzo e-mail mediante una funzione hash con chiave. Consente il confronto con una registrazione successiva per individuare la partecipazione ripetuta ed evitare attribuzioni duplicate di segnalazioni. L'identificatore non viene memorizzato insieme all'indirizzo e-mail, al nome utente o a un riferimento all'account eliminato. Rimane un dato personale pseudonimo, poiché può essere confrontato con un indirizzo e-mail utilizzando la nostra chiave protetta. Questo trattamento si basa sull'art. 6(1)(f) GDPR per la finalità di prevenzione degli abusi sopra descritta. Conserviamo l'identificatore per la durata del programma di segnalazione e per 24 mesi dopo la chiusura dell'ultima campagna che potrebbe esserne interessata, quindi lo eliminiamo. Si applica il diritto di opposizione previsto nella sezione 25.

28.7 Per pagare un premio in denaro, raccogliamo dal destinatario il nome dell'intestatario del conto, l'IBAN e, ove necessario, il BIC. Utilizziamo questi dati per effettuare il bonifico bancario e risolvere eventuali problemi connessi sulla base dell'art. 6(1)(b) GDPR. Il conferimento è volontario, ma senza dati bancari utilizzabili non possiamo effettuare un bonifico. Le scadenze e le altre condizioni di pagamento sono stabilite nelle condizioni della campagna.

28.8 Proteggiamo i dati bancari memorizzati mediante cifratura e limitiamo l'accesso al personale autorizzato che ne ha bisogno per gestire i pagamenti. Le normali visualizzazioni dei pagamenti utilizzano dati mascherati. L'accesso ai dati bancari completi richiede un'autenticazione aggiuntiva ed è registrato per ragioni di sicurezza e tracciabilità. I fornitori di infrastruttura e archiviazione trattano i dati per nostro conto come descritto nella sezione 3; a questo trattamento si applicano anche le garanzie per i trasferimenti al di fuori del SEE indicate nella sezione 24.

28.9 Forniamo alla nostra banca i dati necessari per eseguire il bonifico. Le banche coinvolte nell'esecuzione e nella ricezione del bonifico trattano i dati di pagamento come titolari autonomi del trattamento secondo le proprie informative sulla privacy e gli obblighi applicabili.

28.10 Trattiamo gli importi, la valuta, le date, lo stato e i riferimenti dei pagamenti, il documento bancario del bonifico e un'attestazione di pagamento per il destinatario. Il documento bancario contiene dati del conto bancario ed è conservato come prova contabile ad accesso limitato. L'attestazione del destinatario contiene i dettagli del premio e del pagamento, senza dati bancari né riferimento della transazione. Per produrla non raccogliamo un indirizzo postale né un numero di identificazione fiscale. L'accesso del personale alle attestazioni è sottoposto ad audit; non creiamo una voce di audit dedicata all'accesso all'attestazione quando i destinatari leggono la propria.

28.11 Rimuoviamo i dati bancari cifrati dalla registrazione operativa del pagamento 90 giorni dopo il regolamento o la chiusura del pagamento e, in ogni caso, non oltre 12 mesi dal loro conferimento. I dati mascherati e la cronologia dei pagamenti restano soggetti alle regole di conservazione seguenti. Questa rimozione non cancella i dati bancari contenuti nel documento bancario del bonifico, conservato separatamente come prova contabile.

28.12 I registri di pagamento, i documenti dei bonifici, le attestazioni e le registrazioni delle decisioni a supporto sono conservati per il periodo legale applicabile ai documenti contabili. Le registrazioni delle verifiche e delle decisioni relative a candidati che non hanno ricevuto un pagamento sono conservate per 24 mesi dopo la finalizzazione della campagna. Gli altri dati delle segnalazioni sono soggetti ai criteri di necessità e conservazione della sezione 23, salvo i periodi specifici indicati nei punti 28.6 e 28.11. I dati eliminati possono rimanere in copie di backup ad accesso limitato fino alla loro rotazione, per un massimo di 12 mesi.

28.13 Se elimina il Suo account, i dati relativi a segnalazioni e pagamenti vengono eliminati, anonimizzati o conservati conformemente alle sezioni 22 e 23 e ai periodi specifici sopra indicati. L'eliminazione dell'account non cancella i documenti che dobbiamo conservare per adempiere a obblighi di legge. L'accesso alle attestazioni tramite l'account termina con la sua eliminazione; può continuare a esercitare i Suoi diritti in materia di protezione dei dati attraverso i recapiti e le procedure di richiesta delle sezioni 20 e 21. Tali diritti e il diritto di opposizione della sezione 25 restano soggetti alle condizioni di legge applicabili.

29) Prenotazioni Studio e voci private del calendario

29.1 Per fornire il coordinamento delle prenotazioni richiesto trattiamo gli identificativi degli account dei partecipanti, la sala e le date, l’attrezzatura e l’assistenza scelte, l’eventuale stima di prezzo fornita e le condizioni facoltative (o il prezzo e le condizioni concordati e registrati per le prenotazioni precedenti), i momenti del consenso e la cronologia degli stati. Il calendario pubblico mostra la disponibilità, non le identità dei clienti o le note private. L’indirizzo privato esatto dello Studio viene comunicato ai partecipanti alla prenotazione solo dopo l’accettazione da parte dello Studio e la conferma della sua condivisione. I recapiti facoltativi dello Studio sono forniti separatamente dalle credenziali di accesso.

29.2 Le richieste non accettate si conservano per 90 giorni dalla chiusura. Le prenotazioni accettate e la cronologia si conservano per 12 mesi di calendario dalla data successiva tra fine e annullamento. Lo stesso termine vale per le voci private dello Studio, inclusi un nome facoltativo e un collegamento a un account PR. Indicare un utente non lo notifica e non dimostra il suo consenso.

29.3 L’eliminazione di un account annulla le prenotazioni in corso e future e rimuove i dati identificativi del partecipante eliminato dalla cronologia minima conservata. Eliminare un account indicato manualmente rimuove il collegamento, ma la nota privata dello Studio resta entro il suo periodo di conservazione. Eliminare lo Studio cancella le sue note private. Gli operatori autorizzati hanno accesso di assistenza separato e tracciato. I dati rientrano nelle procedure applicabili di esportazione ed eliminazione; le note private appartengono all’esportazione dello Studio. Restano valide le disposizioni su backup e diritti degli interessati.

30) Promozione facoltativa delle foto e richieste di autorizzazione

30.1 Se sceglie di autorizzare la promozione di una foto selezionata, trattiamo tale foto e le informazioni pubbliche della sua didascalia per preparare e pubblicare post sugli account ufficiali Facebook e Instagram di PortfolioReach. La finalità è promuovere PortfolioReach e il Suo account PortfolioReach. Le informazioni della didascalia possono includere il Suo nome pubblico e il link al Suo profilo, nonché i nomi, i ruoli e i link ai profili o i nomi utente forniti per le persone indicate nei crediti della foto. L'autorizzazione comprende anche il ridimensionamento, il ritaglio e l'aggiunta del marchio PortfolioReach descritti nei Termini. Il consenso comprende la promozione a pagamento di questi stessi post esclusivamente per promuovere PortfolioReach e l’account dell’utente su PortfolioReach. I costi della promozione a pagamento sono a carico di PortfolioReach. I consensi precedenti che escludevano la promozione a pagamento restano limitati alla pubblicazione senza promozione a pagamento fino alla conferma esplicita dell’ambito ampliato. L’accettazione dei Termini o dell’Informativa sulla privacy aggiornati non costituisce tale conferma. La visibilità pubblica di una foto o di un profilo non è considerata consenso a questa promozione.

30.2 Per questo uso promozionale dei Suoi dati personali ci basiamo sul Suo consenso ai sensi dell'art. 6(1)(a) GDPR. L'autorizzazione deve comprendere anche tutte le altre persone identificabili ritratte. Il Suo consenso non sostituisce quello di un'altra persona se non è autorizzato a prestarlo per suo conto. Trattiamo le informazioni limitate relative ai crediti, fornite da chi carica la foto o ricavate dal profilo pubblico PortfolioReach della persona accreditata, ai sensi dell'art. 6(1)(f) GDPR, per una corretta attribuzione e per gestire questioni relative ai diritti, nel rispetto dei diritti e degli interessi della persona. Questa base per l'attribuzione non costituisce autorizzazione a utilizzare l'immagine della persona a fini promozionali. Può chiedere una rettifica, segnalare una questione relativa ai diritti oppure opporsi a tale attribuzione tramite i recapiti indicati nella sezione 20, anche se non possiede un account PortfolioReach.

30.3 Un post comunica la foto selezionata e le informazioni della didascalia a Meta, che gestisce Facebook e Instagram, e al pubblico di tali servizi. Le persone possono visualizzare, condividere o salvare il post al di fuori di PortfolioReach. Meta tratta i dati secondo le proprie disposizioni applicabili in materia di privacy; ciò può comportare un trattamento al di fuori del SEE. Le informazioni e le garanzie applicabili ai trasferimenti sono descritte nella sezione 24. Non includiamo nei post le registrazioni private delle autorizzazioni, i recapiti privati né i documenti probatori. Collegare un account Instagram per la funzione di importazione della sezione 18 non conferisce questa autorizzazione promozionale.

30.4 Ove il contatto sia consentito, un operatore autorizzato può inviare una richiesta tramite un messaggio privato PortfolioReach e una notifica nell'app. Trattiamo i riferimenti agli account del mittente e del destinatario, il riferimento alla foto selezionata, il testo e la lingua della richiesta, lo stato di consegna e la decisione del destinatario. Ciò risponde ai nostri legittimi interessi a gestire richieste di autorizzazione specifiche, rispettare le restrizioni di contatto ed evitare messaggi duplicati ai sensi dell'art. 6(1)(f) GDPR. Questa dichiarazione non sostituisce l'eventuale consenso richiesto per il contatto stesso. La richiesta non viene inviata tramite Instagram, Messenger o e-mail. Leggere una richiesta, aprire il relativo link o rispondere in un messaggio non concede l'autorizzazione. Entrambi i canali di consegna conducono alla stessa decisione facoltativa.

30.5 Conserviamo una registrazione limitata dell'account autenticato e del profilo che hanno espresso la decisione, della foto selezionata e della sua versione, dell'ambito e del testo mostrati, della lingua e della versione del testo e del momento in cui l'autorizzazione è stata data o revocata. Ove pertinente, ciò comprende il riferimento al gruppo selezionato o alla richiesta. Colleghiamo questa registrazione ai post che l'hanno utilizzata e al loro stato di pubblicazione e rimozione. Utilizziamo queste registrazioni per dimostrare e gestire l'autorizzazione, dare seguito alle revoche e accertare, esercitare o difendere un diritto in sede giudiziaria ai sensi dell'art. 6(1)(f) GDPR. L'accesso è limitato al personale autorizzato che ne ha bisogno per tali finalità. Non raccogliamo documenti d'identità, liberatorie per l'uso dell'immagine, indirizzi IP né impronte digitali dei dispositivi al solo scopo di creare questa registrazione ordinaria dell'autorizzazione. Ciò comprende l’eventuale conferma separata dell’ambito ampliato alla promozione a pagamento e le registrazioni di avvio, interruzione e tentativi di interruzione non risolti per ciascun post promosso.

30.6 Può revocare il consenso nella stessa interfaccia della foto in cui lo ha prestato, oppure contattarci tramite i recapiti della sezione 20. Interrompiamo ogni ulteriore uso promozionale, annulliamo i post non inviati e provvediamo alla rimozione dai nostri account ufficiali senza ingiustificato ritardo. Anche l'eliminazione del Suo account o della foto, oppure il passaggio della foto a privata, pone fine a questa autorizzazione. La revoca non pregiudica la liceità del trattamento precedente. Monitoriamo la rimozione separatamente dalla revoca, perché un'operazione sul social network può essere ancora in corso o richiedere ulteriori interventi. Non possiamo rimuovere le copie detenute autonomamente da altre persone né prometterne l'eliminazione dai dati conservati dal social network stesso. I Suoi diritti previsti nella sezione 20 continuano ad applicarsi. Dopo la revoca, interrompiamo anche senza ingiustificato ritardo ogni promozione a pagamento in corso di questi post.

30.7 Conserviamo la registrazione dell'autorizzazione finché questa è attiva e finché è necessario per completare la revoca o la rimozione. Se una foto è stata utilizzata in un post promozionale, conserviamo in seguito soltanto le prove limitate dell'autorizzazione, dell'uso e della revoca fino alla fine del terzo anno solare successivo all'anno in cui l'autorizzazione è cessata e la rimozione è stata completata. Se non è mai stata utilizzata, eliminiamo la registrazione chiusa dell'autorizzazione entro 90 giorni dalla cessazione dell'autorizzazione. Le registrazioni separate delle richieste e della consegna vengono eliminate entro 90 giorni dalla risposta, dall'annullamento o dalla scadenza della richiesta, salvo il riferimento minimo alla richiesta e il testo necessari in una registrazione dell'autorizzazione conservata. Le richieste senza risposta scadono dopo 30 giorni. Un messaggio di richiesta in una conversazione privata resta soggetto alle normali regole sulle conversazioni e sull'eliminazione dell'account; non viene conservato più a lungo soltanto come seconda copia della prova dell'autorizzazione.

30.8 Eliminiamo le copie di lavoro promozionali quando non sono più necessarie per la pubblicazione o la rimozione; il periodo di conservazione delle prove previsto nella sezione 30.7 non giustifica la conservazione della foto originale né di una copia completa dell'account. Uno specifico obbligo di legge o un'esigenza documentata di preservazione può richiedere che registrazioni limitate siano conservate più a lungo. Tali registrazioni sono circoscritte a questa finalità e sottoposte a riesame, anziché essere utilizzate per la promozione. L'eliminazione dell'account rimane possibile mentre sono necessari questi limitati interventi successivi o questa conservazione. Le regole generali sulla conservazione e i diritti in materia di protezione dei dati delle sezioni 20 e 22–25 continuano ad applicarsi.

30.9 Il consenso facoltativo e separato alla promozione del profilo comprende nome pubblico, nome utente, ruolo, città, paese e link al profilo, nonché avatar pubblici attuali e futuri, per gli stessi post sugli account ufficiali Facebook e Instagram. Le foto della galleria richiedono un consenso separato. Puoi acconsentire alla registrazione, nelle impostazioni o tramite una richiesta sul profilo e revocare il consenso nelle impostazioni di promozione del profilo. Si applicano anche basi, destinatari, diritti e garanzie dei punti 30.2–30.8. Le richieste identificano inoltre il profilo selezionato; la lingua può essere scelta automaticamente o dall’operatore senza modificare le tue preferenze linguistiche. Il registro identifica profilo, dichiarazione e ambito accettati, lingua e versione, e data della decisione. Ogni utilizzo registra la versione esatta del materiale, compreso l’avatar usato, e lo stato di pubblicazione e ritiro. Rimuovere il profilo dall’accesso pubblico o eliminare l’account termina il consenso; sostituire l’avatar no. Restano gli stessi termini di 90 giorni per consensi inutilizzati e richieste, la scadenza delle richieste dopo 30 giorni e la regola probatoria di tre anni solari, senza prolungare la conservazione né mantenere immagini di lavoro solo come prova. Il consenso comprende la promozione a pagamento di questi stessi post esclusivamente per promuovere PortfolioReach e l’account dell’utente su PortfolioReach. Le impostazioni di condivisione pubblica del profilo e delle foto controllano le funzioni di condivisione pubblica. Sono indipendenti dalle richieste di promozione e dal tuo consenso esplicito alla pubblicazione delle foto selezionate o del profilo da parte di PortfolioReach sui suoi account ufficiali. Modificare queste impostazioni non blocca le richieste di promozione e non concede né revoca tale consenso. Puoi disattivare separatamente le richieste di promozione e revocare il consenso alla promozione nelle relative impostazioni di consenso o contattandoci. I consensi già revocati restano revocati.

30.10 Nell’ambito del consenso esplicito alla promozione delle foto, quando necessario per la pubblicazione sui social media, prepariamo versioni promozionali censurate di foto selezionate mediante sfocatura, pixelatura o copertura. Trattiamo le istruzioni di modifica, l’immagine derivata e una registrazione limitata della versione di origine, del permesso, della verifica dell’operatore e dell’identificatore di esportazione per preparare, verificare e pubblicare tale versione. L’originale e la sua classificazione NSFW restano invariati. Finalità, basi giuridiche, destinatari, diritti e garanzie delle sezioni 30.1–30.8 si applicano entro questo ambito. L’immagine derivata viene inviata a Meta solo per la pubblicazione consentita; le istruzioni private e le prove del permesso non sono incluse nel post. Registriamo l’autorizzazione alla promozione delle foto e la sua revoca; la revoca interrompe ogni ulteriore uso promozionale, comprese la promozione a pagamento e le versioni censurate, e avvia la rimozione dei post collegati. Si applicano i periodi di conservazione esistenti e le istruzioni di lavoro e i file derivati vengono eliminati quando non sono più necessari per pubblicare o rimuovere, salvo un’esigenza documentata di conservazione delle prove; il consenso non autorizza la conservazione indefinita né l’uso promozionale dopo la revoca.

31) Video incorporati di YouTube e Vimeo

31.1 I post e i commenti possono contenere video di YouTube o Vimeo. La nostra anteprima video non collega il tuo browser a questi fornitori. Prima della prima attivazione, spieghiamo il trattamento effettuato dal fornitore selezionato e chiediamo il tuo consenso per tale fornitore. L’attivazione carica il lettore e avvia il video selezionato. Questa scelta è indipendente dalla categoria marketing di Cookiebot e non attiva Meta Pixel né altri servizi di marketing. Rifiutare il marketing non impedisce di autorizzare separatamente un fornitore video.

31.2 Il caricamento del lettore stabilisce una connessione con Google (YouTube) o Vimeo. Il fornitore riceve dati tecnici di connessione e riproduzione, tra cui il tuo indirizzo IP, informazioni sul browser e il sito web di provenienza, e può utilizzare cookie o la memoria del browser. Se hai effettuato l’accesso al fornitore, questo può associare l’utilizzo al tuo account. Il trattamento può avvenire al di fuori del SEE; si applica la sezione 24. I dettagli sul trattamento e sulla conservazione da parte del fornitore sono disponibili nell’Informativa sulla privacy di Google e nell’Informativa sulla privacy di Vimeo. Utilizziamo la modalità di privacy avanzata di YouTube su youtube-nocookie.com e l’impostazione DNT di Vimeo. Queste impostazioni non eliminano ogni trattamento né ogni archiviazione di informazioni sul dispositivo o accesso alle stesse. YouTube può utilizzare la memoria del browser per la riproduzione, la sicurezza e la misurazione dell’utilizzo. Con DNT, Vimeo limita i nuovi cookie a finalità di sicurezza, ma i cookie già memorizzati, compresi quelli analitici, possono continuare a essere trasmessi.

31.3 Abilitiamo questa integrazione facoltativa sulla base del tuo consenso ai sensi dell’art. 6, par. 1, lett. a del GDPR e, quando l’archiviazione di informazioni sul dispositivo o l’accesso alle stesse richiede il consenso, del §25, par. 1, TDDDG. Restano applicabili le eccezioni per le operazioni strettamente necessarie previste dal §25, par. 2. Puoi revocare l’autorizzazione di un fornitore in qualsiasi momento sotto un video o nella sezione dei video incorporati della nostra pagina sui cookie. La revoca elimina l’autorizzazione memorizzata e interrompe il lettore caricato di quel fornitore sulle nostre pagine, senza modificare le tue scelte di marketing né pregiudicare la liceità del trattamento precedente. Non elimina i dati già detenuti dal fornitore né i suoi cookie. Puoi anche aprire un video direttamente sul sito del fornitore, dove si applicano le sue regole sulla privacy.

31.4 Memorizziamo il permesso separatamente per ciascun fornitore per 180 giorni. Se hai effettuato l'accesso, salviamo la versione del consenso e le date di concessione e scadenza nel tuo account PortfolioReach, affinché la scelta valga anche sugli altri dispositivi da cui accedi allo stesso account. Questa registrazione non contiene una cronologia delle visualizzazioni. La riproduzione non rinnova il permesso. La revoca elimina il permesso attivo dall'account e arresta immediatamente il lettore nella pagina corrente; le altre pagine aperte verificano la scelta dell'account ogni 30 secondi mentre sono visibili, quando vi ritorni e prima della riproduzione. Se la verifica non riesce, la riproduzione non viene avviata. I permessi dell'account scaduti non vengono più accettati e sono eliminati alla successiva pulizia giornaliera completata correttamente; vengono eliminati anche con la cancellazione dell'account, fatta salva la conservazione documentata delle prove ai sensi della sezione 23. Se non hai effettuato l'accesso, il permesso vale solo in questo browser: le voci localStorage proprie `pr_video_consent_youtube` e `pr_video_consent_vimeo` contengono soltanto la versione del consenso e le date di concessione e scadenza, senza identificatori di account, video o tracciamento. Una voce scaduta del browser può restare memorizzata fino alla revoca, alla sostituzione o alla cancellazione dei dati del sito. Le scelte precedenti salvate solo nel browser non vengono trasferite automaticamente a un account. Finché il permesso è valido, per i video successivi basta avviare la riproduzione, anche dopo la navigazione o il ricaricamento della pagina. Senza attivazione, l'anteprima e il collegamento esterno restano disponibili senza aprire ripetutamente la finestra di consenso.

Questa traduzione è fornita per facilitare la lettura. In caso di discrepanze, fa fede la versione tedesca.