1. Chi è il titolare
Per gli elenchi degli invitati, gli inviti e gli ingressi, l’organizzatore dell’evento determina le finalità e i mezzi del trattamento: ne è il titolare, e InviteKey agisce per suo conto in qualità di responsabile del trattamento, alle condizioni della sezione 6 delle condizioni d’uso.
Per gli account utente, la fatturazione, la sicurezza e questo sito, InviteKey è titolare del trattamento. Consigliamo agli invitati di consultare anche l’informativa sulla privacy dell’organizzatore.
2. Dati trattati e finalità
Account e assistenza: nome, indirizzo email professionale, organizzazione e ruolo, dati di autenticazione e scambi con l’assistenza. Servono a fornire gli account, rispondere alle richieste, amministrare e proteggere il servizio. Base giuridica: l’esecuzione del contratto, il nostro legittimo interesse a gestire un servizio sicuro o un obbligo di legge, a seconda dei casi.
Eventi e invitati: informazioni e immagini dell’evento, nome, indirizzo email e categoria degli invitati, qualsiasi altro campo inserito dall’organizzatore, stato dell’invito e della sua consegna, identificativi dei pass, ora, punto di controllo e dispositivo degli ingressi. Questi dati sono trattati su istruzione dell’organizzatore per creare, inviare e verificare gli accessi; spetta all’organizzatore determinare la propria base giuridica e spiegarla ai propri invitati.
Monitoraggio delle email: per ogni email di invito, il nostro fornitore di invio registra la consegna e, quando la casella dell’invitato lo consente, l’apertura e i clic sui link. Queste informazioni indicano all’organizzatore se l’invito è arrivato e consentono di gestire gli indirizzi errati.
Uso tecnico: indirizzo IP, log di accesso e di sicurezza, informazioni di sessione indispensabili e, per i dispositivi di verifica degli inviti (i telefoni e i tablet che leggono i codici QR all’ingresso di un evento) e i pass Apple Wallet, gli identificativi tecnici del dispositivo, per far funzionare e proteggere l’applicazione e l’API. Base giuridica: il nostro legittimo interesse alla sicurezza e all’affidabilità del servizio.
Controllo anti-bot: prima di un accesso, di una registrazione, dell’accettazione di un invito a unirsi a un team o del reinvio di un codice, Cloudflare Turnstile verifica che la richiesta provenga da una persona e non da un programma automatico. A tal fine analizza informazioni tecniche sul browser e sul dispositivo, tra cui l’indirizzo IP, quasi sempre senza chiedere nulla, talvolta facendo spuntare una casella. Base giuridica: il nostro legittimo interesse a proteggere il servizio e i suoi utenti dagli abusi.
Cloudflare — Misurazione dell’audience del sito: sul solo sito vetrina, pagine consultate, sito di provenienza, paese, tipo di dispositivo e di browser, senza cookie né memorizzazione nel vostro browser e senza tracciamento tra siti, per sapere come viene consultato il sito. L’applicazione, anche sui dispositivi di verifica, e le pagine di invito non sono misurate. Base giuridica: il nostro legittimo interesse a conoscere la frequentazione del sito.
Google Analytics: con il vostro consenso, Google Analytics misura, sul solo sito vetrina, le pagine consultate e i clic verso un’offerta a pagamento o un preventivo. Google può impostare cookie e ricevere dati tecnici sulla vostra visita, in particolare l’indirizzo IP e le caratteristiche del browser. Questa misurazione non riguarda l’applicazione, le pagine di invito, il controllo degli accessi né i pagamenti. Potete rifiutare o revocare il consenso in qualsiasi momento con «Scelte per le statistiche» nel piè di pagina. Base giuridica: il vostro consenso.
Fatturazione: ordini, offerte e transazioni, in caso di acquisto di un’offerta a pagamento, per gestire l’acquisto e rispettare i nostri obblighi contabili e fiscali. I pagamenti con carta sono incassati da Paypercut (sezione 3).
Nessuna decisione che produca effetti giuridici che vi riguardano o che incida in modo significativo sulla vostra persona è basata unicamente su un trattamento automatizzato.
3. Destinatari e fornitori
Non vendiamo dati personali e non comunichiamo elenchi di invitati a inserzionisti o a partner estranei al servizio. L’accesso è riservato agli utenti autorizzati dell’organizzatore, alle persone che ne hanno bisogno per il servizio e ai seguenti fornitori:
Brevo invia le email di invito e di account; riceve l’indirizzo email e il contenuto del messaggio, e misura consegna, apertura e clic; conserva la cronologia degli invii per un mese, senza conservare il contenuto dei messaggi. Backblaze B2 archivia in uno spazio privato le immagini degli eventi e, per la durata di un’importazione, il file dell’elenco degli invitati importato, cancellato al più tardi tre giorni dopo il suo caricamento. Railway ospita l’API, le elaborazioni e il database; i suoi log tecnici conservano per trenta giorni le richieste ricevute, compreso l’indirizzo IP del dispositivo. Cloudflare distribuisce il sito e l’applicazione, misura l’audience del sito vetrina e verifica, prima di un accesso o di una registrazione, che la richiesta non provenga da un programma automatico. Paypercut incassa i pagamenti con carta delle offerte acquistate online; riceve l’indirizzo email dell’acquirente, per precompilare la sua pagina di pagamento, e i dati della carta, inseriti direttamente su quella pagina e mai trasmessi a InviteKey. Google: quando un invitato sceglie «Aggiungi a Google Wallet», le informazioni del suo pass — nome, evento, categoria, codice QR — sono trasmesse a Google, che le tratta secondo le proprie regole. Apple: quando un invitato sceglie «Aggiungi a Apple Wallet», il pass viene scaricato direttamente sul suo dispositivo, senza che InviteKey ne trasmetta il contenuto ad Apple; i servizi di Apple, come iCloud, possono poi sincronizzarlo tra i suoi dispositivi, secondo le regole di Apple.
Per un pass aggiunto a un Wallet, consultate l’informativa sulla privacy di Apple o le norme sulla privacy di Google. Descrivono i trattamenti di queste società; questa pagina resta quella dei trattamenti di InviteKey.
L’organizzatore può dare accesso al proprio team e ai propri dispositivi di verifica. Possiamo anche comunicare informazioni quando la legge lo richiede o per proteggere diritti o la sicurezza delle persone, nella stretta misura necessaria.
4. Trasferimenti al di fuori dell’Unione europea
I nostri dati sono ospitati nell’Unione europea. Tuttavia, alcuni fornitori, o le loro infrastrutture, possono trattare dati al di fuori dello Spazio economico europeo. Tali trasferimenti sono allora disciplinati da un meccanismo riconosciuto, come una decisione di adeguatezza o le clausole contrattuali tipo della Commissione europea. Contattateci per conoscere le garanzie applicabili ai vostri dati. Apple e Google possono inoltre trattare i dati Wallet secondo le proprie regole.
5. Periodi di conservazione
Il periodo di conservazione dei dati di un evento dipende dall’offerta scelta; è indicato nel servizio e decorre dal giorno di inizio dell’evento, che non può essere posticipato oltre il periodo coperto dall’offerta. Alla sua scadenza, l’accesso termina e i dati sono cancellati dai nostri sistemi attivi secondo la nostra procedura di cancellazione automatizzata. Finché non è stato inviato alcun invito per un evento, i suoi dati sono conservati fino alla scadenza dell’offerta utilizzata — con l’offerta gratuita, dodici mesi dopo la creazione dell’evento — e poi cancellati allo stesso modo. Copie limitate possono permanere temporaneamente dopo la scadenza: al massimo quattro settimane nei backup del database, trenta giorni nei log tecnici del nostro fornitore di hosting e un mese nella cronologia degli invii del nostro fornitore di email. Se un backup viene ripristinato, questi dati restano inaccessibili e vengono cancellati di nuovo. Non promettiamo la cancellazione istantanea di ogni copia alla scadenza.
Tre tipi di copie sfuggono al nostro controllo e possono permanere dopo la fine dell’accesso.
Le esportazioni scaricate dall’organizzatore sono conservate sotto la sua esclusiva responsabilità; spetta a lui cancellarle.
L’elenco degli invitati conservato offline sui dispositivi di verifica (nomi, categorie e, se l’organizzatore lo attiva, indirizzi email) viene cancellato dal dispositivo alla sua disconnessione o, in mancanza, non appena l’applicazione vi viene riaperta dopo la fine del suo accesso. Un dispositivo che non viene mai riaperto lo conserva finché i dati del suo browser non vengono cancellati: l’organizzatore deve quindi disconnettere i propri dispositivi alla fine dell’evento.
I pass salvati nell’app Wallet di un invitato restano sul suo dispositivo: l’invitato può eliminarli in qualsiasi momento, e Apple e Google decidono la propria conservazione dei dati Wallet. Alla cancellazione dei dati dell’evento, InviteKey sostituisce il pass con una versione che non contiene più il nome dell’invitato né il suo codice QR; un dispositivo rimasto spento o offline per più di 30 giorni può conservarne la versione precedente.
I dati di account e di assistenza sono conservati finché l’account esiste e le richieste lo rendono necessario, poi per un periodo limitato quando lo richiedono la sicurezza, una controversia o un obbligo di legge. I dati di fatturazione sono conservati per i periodi contabili e fiscali applicabili. Potete chiederci il periodo applicabile a un dato specifico.
Il registro di sicurezza e di audit è conservato per un anno, e almeno sei mesi dopo la cancellazione dei dati dell’evento a cui si riferisce; le tracce degli invii, dei pagamenti e delle decisioni sulle offerte sono conservate per cinque anni.
6. I vostri diritti
A seconda della vostra situazione e del trattamento in questione, potete chiedere l’accesso ai vostri dati, la rettifica, la cancellazione, la limitazione del trattamento o la portabilità, opporvi al trattamento e revocare il consenso quando ne costituisce la base. Questi diritti possono essere limitati dalla legge. Scrivete a support@invitekey.app; potremmo dover verificare la vostra identità prima di procedere.
Se siete invitati a un evento, l’organizzatore è in linea di principio il primo interlocutore per qualsiasi richiesta sul vostro invito o sulla vostra presenza. Potete anche scriverci: trasmetteremo o tratteremo la richiesta a seconda dei casi. Potete proporre reclamo all’autorità francese per la protezione dei dati (Commission nationale de l’informatique et des libertés, CNIL), www.cnil.fr, o all’autorità di protezione dei dati del vostro paese.
7. Sicurezza e memorizzazione sul vostro dispositivo
Applichiamo controlli di accesso e altre misure tecniche e organizzative volte a proteggere i dati. Nessun servizio online può garantire una sicurezza assoluta. Segnalate qualsiasi abuso sospetto a support@invitekey.app.
Il sito memorizza nel vostro browser la lingua, la preferenza di tema chiaro o scuro e la vostra scelta sulle statistiche. L’applicazione vi memorizza la lingua, il tema, il metodo di accesso scelto, gli avvisi che avete nascosto e, per ventiquattro ore, l’acquisto da riprendere dopo l’accesso; durante un accesso o una registrazione, la scheda conserva anche la richiesta in corso — indirizzo inserito e riferimento —, cancellata alla chiusura della scheda. Utilizza un cookie di sessione indispensabile per mantenere connessi gli utenti e proteggere l’accesso, e i dispositivi di verifica conservano i dati dell’evento necessari alla verifica offline. I caratteri e le immagini dell’interfaccia sono forniti da InviteKey stesso; solo il controllo anti-bot di Cloudflare, sulle pagine di accesso e di registrazione — compresa quella che permette di unirsi a un team —, e Google Analytics, sul sito vetrina e con il vostro consenso, caricano uno script di terzi.
8. Modifiche e domande
Possiamo modificare la presente informativa quando il servizio o la normativa evolvono. La versione in vigore e la sua data figurano in cima a questa pagina. Per qualsiasi domanda o richiesta: support@invitekey.app.
Il titolare del trattamento è Adrian Tanasescu EI, imprenditore individuale registrato in Francia (SIREN 529 157 810), 9 rue des Grisemottes, 69220 Belleville-en-Beaujolais, France, editore di InviteKey.