Informativa privacy di Kachunk

Kachunk è una fotocamera usa e getta che vive nel browser. A una festa, gli Ospiti scattano un numero limitato di fotografie e le rivedono tutti insieme il giorno dopo, quando la galleria si apre: il Reveal. Questa pagina dice cosa succede a quelle fotografie e a chi chiedere che non restino.

È scritta per essere letta da chi non ha scansionato nessun QR. Se stai per scattare, le tre cose che contano te le dice la schermata prima del Mirino, in tre righe: questa pagina è il resto.

1. Chi decide, e chi esegue

Questa è la prima cosa da capire, perché decide a chi scrivere. Kachunk porta due cappelli, e questa pagina ha due parti.

Per le foto della festa il titolare del trattamento è l'Host, cioè la persona o l'azienda che ha creato la festa su Kachunk: sceglie chi invitare, quanto dura l'Evento, quando è il Reveal, e se una fotografia resta in galleria. Il nome e l'indirizzo dell'Host della tua festa li trovi nella schermata di consenso e in fondo alla galleria di quell'Evento. Kachunk è il responsabile del trattamento, cioè chi fa funzionare la macchina per conto dell'Host: conserva le fotografie, le sviluppa, apre la galleria al Reveal, esegue le richieste di rimozione. Non decidiamo da soli cosa farne, e non le pubblichiamo da nessuna parte. L'unica eccezione è una foto illecita, che togliamo noi (punto 9). È la parte del punto 2.

Per altri dati il titolare è Kachunk, perché li decidiamo noi: l'account e i pagamenti dell'Host, la Persona, i Negativi, la prova del consenso, il conteggio delle feste, le Segnalazioni di contenuti illeciti, i registri del server. È la parte del punto 3.

Fra l'Host e Kachunk c'è un accordo sul trattamento dei dati ai sensi dell'art. 28 GDPR, che l'Host accetta registrandosi. Il modello è pubblico: /host/accordo.

2. Kachunk per conto dell'Host: le foto della festa

Qui decide l'Host, e noi eseguiamo le istruzioni che ci dà con l'accordo.

Le tue fotografie. Di ogni Scatto restano due file: la Stampa, l'immagine sviluppata che compare in galleria e che si scarica, e il Negativo, l'immagine come esce dal sensore, senza nessun trattamento. Le Stampe sono di questa parte. Il Negativo non lo vede nessuno — né gli Ospiti, né l'Host — e lo teniamo noi, per la ragione spiegata al punto 4, che va letto.

Quello che serve a far funzionare la fotocamera. Un identificativo casuale del tuo Dispositivo, scritto in un cookie: è il modo in cui la fotocamera sa che gli Scatti che ti restano sono i tuoi. Non contiene il tuo nome, non è collegato a nessun account e non ti segue fuori da Kachunk.

Se ci lasci la tua email al Reveal, dentro la galleria: l'indirizzo e nient'altro, per avvisarti prima che le foto di quella festa vengano tolte e mandarti il link per ritrovarle. È facoltativa — la data in cui le foto spariscono è scritta in galleria anche per chi non lascia niente — vale per quella festa sola, e si cancella insieme alle foto.

Se chiedi di togliere una foto: la richiesta, con un'impronta del cookie del telefono da cui arriva. Serve al tetto del punto 5, e non dice chi sei.

La foto della cartolina dell'Host, se la carica: quella che mette sulla cartolina del Kit di Benvenuto. Una sola per festa, rimpicciolita dal suo telefono alla misura della carta prima di partire e ripulita dei dati nascosti — il luogo in cui è stata fatta, il modello del telefono — prima di arrivare da noi. La vede solo chi apre la pagina del Kit di quella festa: non va nella galleria, né nell'invito che gira nelle chat, né nella sua anteprima. Spesso ritrae persone, gli sposi o chi si festeggia, e per questo l'Host la toglie quando vuole, con un tocco: i byte si cancellano davvero, non si nascondono.

Chi compare nelle fotografie. Le Stampe ritraggono persone che non hanno usato la fotocamera, e questa è la parte che nessuna informativa può risolvere da sola: ce ne occupiamo al punto 6.

Quello che non facciamo. Nessun riconoscimento facciale, nessun dato biometrico, nessun raggruppamento di fotografie per volto. Non è un'omissione da colmare: è una funzione che due prodotti concorrenti pubblicizzano e che qui non c'è.

I sei mesi valgono per le feste create da quando questa regola è in vigore. Quelle nate prima tengono la durata che i loro Ospiti hanno letto: una regola nuova non cambia quello che qualcuno aveva letto prima di premere.

Prima di togliere le foto, avvisiamo. Tre email, a due settimane, una settimana e tre giorni dalla data: all'Host e a chi ha lasciato la propria in galleria. Se un avviso non risulta spedito, le foto non si tolgono finché non lo è: meglio tenerle qualche giorno in più che toglierle dopo aver promesso un avviso mai arrivato.

Chi vede la galleria dopo la festa. Chi c'era la riapre dal proprio telefono, dal link o dal QR della festa, per tutti i sei mesi. Chi ha cambiato telefono ha due strade: il link personale che arriva con gli avvisi a chi ha lasciato l'email, oppure il link della festa, che l'Host riceve con i suoi avvisi e può girare a chi c'era — per esempio nella chat del gruppo. Chi apre quel link vede tutte le Stampe senza essere passato dalla festa: a chi mandarlo lo decide l'Host, che è il titolare (punto 1), che si impegna con noi a non girarlo fuori dalla cerchia della festa, e che ne resta responsabile.

3. Kachunk come titolare

Questi dati li decidiamo noi, e per loro si scrive direttamente a noi: ema.qua8@gmail.com.

Dell'Host, che è anche nostro cliente: l'indirizzo di posta con cui si registra ed entra (con password, con il link che gli spediamo, o con Google, che ci dà anche il nome), i dati dell'Evento che crea, la versione delle condizioni di vendita che accetta, e quelli del pagamento. Se vuole la fattura come azienda, anche la ragione sociale, la partita IVA e il codice SDI o la PEC: li chiede la pagina di pagamento, e sono facoltativi. La stessa pagina chiede l'indirizzo di fatturazione quando serve al pagamento. Il pagamento lo incassa Stripe: la pagina in cui si scrive la carta è la sua, e il numero della carta non passa da noi. Sui dati di pagamento Stripe è in parte titolare autonomo — per esempio per prevenire le frodi — e per quella parte vale la sua informativa.

L'accettazione della schermata di consenso: il momento in cui hai premuto e un'impronta del testo esatto che avevi davanti. Serve a poter dimostrare, anche fra un anno, cosa diceva quella schermata quel giorno.

Se scegli di reclamare una Persona dopo aver finito il Rullino — cioè di poter ritrovare i tuoi album di più feste — il nome e l'indirizzo che ci dai in quel momento, e nient'altro. È una scelta tua, non una condizione per scattare, e senza si scatta uguale. Lega feste di Host diversi, e per questo la decidiamo noi e non uno di loro.

I Negativi, che conserviamo per il Risviluppo: punto 4.

Il conteggio delle feste per canale. Il cookie origine (punto 7) tiene solo il canale da cui sei arrivato la prima volta: passaparola, partner o campagna. Quando nasce una festa, il canale aggiunge uno al totale di quel mese, e il totale non dice di nessuna festa né di nessuna persona. Mentre una festa aspetta il pagamento, il suo canale sta accanto all'indirizzo di chi la sta comprando: quando la festa nasce se ne va. Se il pagamento non arriva, l'attesa scade dopo sette giorni e si cancella, con l'indirizzo e il canale, al primo giro di pulizia: di norma entro un'ora.

Le Segnalazioni di contenuti illeciti (punto 9): quale foto e quale festa l'indirizzo indicava — il link stesso no, perché è la chiave della galleria —, il testo della Segnalazione, la dichiarazione di buona fede, la tua email se la lasci, e la decisione con la sua motivazione. Sei mesi dopo la decisione la Segnalazione si cancella, email compresa. Una Segnalazione non ancora decisa resta finché non lo è.

I dati tecnici. Ogni richiesta al sito lascia una riga nel registro delle richieste: l'indirizzo IP da cui arriva, l'ora, la pagina chiesta e quello che il browser dice di sé. La chiave della galleria non ci finisce. Le righe restano al massimo quattordici giorni. Gli altri registri del server, quelli dei programmi che ci girano dentro, si sovrascrivono quando arrivano a una certa misura, e non dopo un tempo fisso. Quello degli accessi degli Host, che annota il loro indirizzo di posta, ha una misura piccola: con il traffico per cui il servizio è pensato le sue righe restano meno di quattordici giorni, ma nelle settimane con poche feste possono restare di più. Gli stessi accessi restano anche nel database, dove li scrive il programma con cui gli Host entrano: a ogni entrata, uscita o cambio dell'account, l'indirizzo di posta e un indirizzo IP. Quelle righe si cancellano dopo novanta giorni. Il registro dell'app non annota indirizzi di posta, nemmeno quando qualcosa va storto: al loro posto scrive un'impronta corta. Gli altri registri possono annotarne uno in quel caso, per capire il guasto. Ogni notte, poi, il database si copia, per poterlo ricostruire se il server si guasta: una copia resta sul server e una, cifrata, va in uno spazio separato (punto 8). Le copie si tolgono dopo trenta giorni, e un dato cancellato resta nei backup al massimo trentuno giorni, da dove si riprende solo per ricostruire il database dopo un guasto. Le fotografie non sono nei backup.

Le email sono solo di servizio. Quelle che spediamo servono al servizio e a niente altro: gli accessi dell'Host, gli avvisi prima che le foto vengano tolte, le ricevute e le risposte delle Segnalazioni. Non mandiamo pubblicità, e gli indirizzi lasciati dagli Ospiti — al Reveal, per una Persona, in una Segnalazione — non si usano mai per promozioni.

4. I Negativi, e perché li teniamo

Questo è il punto su cui vale la pena essere espliciti, perché è quello che un'informativa scritta di fretta nasconderebbe in una riga.

Di ogni Scatto conserviamo, oltre alla Stampa che vedi, il Negativo: la fotografia non trattata. Non lo mostriamo a nessuno — non c'è nessuna schermata, né per gli Ospiti né per l'Host, da cui un Negativo si possa guardare o scaricare. Lo teniamo per due ragioni, e la seconda è commerciale. Per questo il titolare dei Negativi siamo noi, e non l'Host: la scelta di tenerli è nostra, e vale per ogni festa.

La prima è un'assicurazione. Il trattamento estetico che rende le Stampe quello che sono è irreversibile: una volta cotta, un'immagine non torna indietro. Se su un matrimonio vero quel trattamento viene male, senza il Negativo quell'Evento è rovinato per sempre.

La seconda è che dai Negativi nasce un prodotto che vendiamo. Si chiama Risviluppo: per sei mesi l'Host può chiedere di rifare l'intero album con una resa diversa, e quella richiesta si paga. È una finalità ulteriore rispetto alla festa — la festa finisce al Reveal, i Negativi restano dopo — e per questo ha una riga sua in questa pagina, una base giuridica sua e una durata sua.

• La base giuridica è il legittimo interesse (art. 6.1.f): nostro, a poter offrire il servizio che il prodotto promette; dell'Host, a non perdere le fotografie della propria festa per un colore sbagliato.
• Puoi opporti, ed è un diritto vero e non una formula: scrivi a ema.qua8@gmail.com, o all'Host, che ce lo gira, e il Negativo di quella fotografia viene tolto. Togliere il Negativo non toglie la Stampa: se vuoi che sparisca anche quella, dillo — è la richiesta del punto 5, e le togliamo entrambe.
• Per quanto li teniamo, detto come sta. Sei mesi dal Reveal, come le Stampe: il tempo in cui il Risviluppo si può chiedere. Passati i sei mesi, un programma toglie Stampe e Negativi insieme — ma solo dopo che gli avvisi del punto 2 risultano spediti.
• Quindi un Negativo sparisce in quattro casi: quando si toglie la Stampa a cui appartiene (punto 5 — se ne va con lei), quando chiedi che se ne vada lui, quando togliamo una foto illecita (punto 9), oppure passati i sei mesi insieme a tutte le foto della festa.
• La regola vale solo per le feste nuove: cambiarla a fotografie già scattate vorrebbe dire cambiare quello che chi le ha scattate aveva letto prima di premere. Le feste nate prima tengono la durata che i loro Ospiti avevano letto.

Quello che dai Negativi non facciamo: non ci addestriamo nessun modello, non li usiamo per costruire vetrine o portfolio, non li diamo a nessuno. Se un giorno volessimo farne una di queste cose, sarebbe una finalità nuova, e questa informativa dovrebbe cambiare prima, non dopo.

5. Se una fotografia non deve restare

Le Stampe restano sei mesi. Prima di allora, se una non deve restare c'è una via di rimozione, e funziona così:

1. Dal telefono con cui sei entrato alla festa, in galleria, per tre giorni dal Reveal: apri la foto e tocca «Chiedi di toglierla». La richiesta arriva all'Host, che è il titolare, e la esegue: non ha un modo di rifiutare. Dopo i tre giorni, o se preferisci, scrivi all'Host della festa, il cui indirizzo sta nella schermata di consenso e in fondo alla galleria.
2. Se l'Host non risponde, o se preferisci non passare da lui, scrivi a ema.qua8@gmail.com.
3. Nei primi trenta giorni dopo la festa la rimozione si esegue subito. Più tardi si chiede esattamente allo stesso modo: il diritto di chiedere non scade mai, cambia solo che non è immediata. Nemmeno i tre giorni del telefono sono una scadenza: dopo, cambia solo la strada.
4. Le richieste arrivano all'Host anche in un riepilogo per email, una volta al giorno. Se l'Host non risponde entro tre giorni dalla richiesta, la eseguiamo lo stesso. Non è una decisione che prendiamo sul momento: è un'istruzione che l'Host ci dà una volta per tutte accettando l'accordo del punto 1.
5. I tetti. Dalla 21ª richiesta dello stesso telefono nella stessa festa, o dalla 201ª di tutta la festa, la richiesta arriva comunque all'Host, e non si rifiuta mai, ma non si esegue da sola dopo tre giorni: decide l'Host, e deve risponderti entro un mese. Lo leggi nel momento in cui chiedi. Non è un limite al tuo diritto di chiedere la cancellazione, che non ne ha: è la regola dell'art. 12.5 GDPR sulle richieste manifestamente eccessive o ripetitive.

Una foto illecita — non solo una in cui ci sei e che non ti va — si segnala a noi, con la via del punto 9: lì decidiamo noi, e se è illecita la togliamo subito, senza aspettare l'Host.

Quando una Stampa viene tolta, viene tolto anche il suo Negativo. Dalla galleria nessuno toglie una Stampa da solo: chi la chiede manda una richiesta all'Host, e la richiesta si esegue — l'Host non ha un «No», e se non fa niente dopo tre giorni la eseguiamo noi. Un pulsante che cancella subito in mano a chiunque apra una galleria condivisa sarebbe il modo più veloce di far sparire le fotografie di qualcun altro, ed è per questo che non c'è.

6. Chi c'è nelle fotografie e non ha scattato

Una fotografia di festa ritrae quasi sempre qualcuno che non ha premuto il pulsante. Le regole non ci chiedono di raccogliere un consenso da ognuno — sono l'Host e chi scatta a rispondere di quello che fotografano — ma se in una Stampa ci sei tu e non ti va, hai comunque una via: è quella del punto 5, e vale identica anche se non hai mai aperto Kachunk.

7. Cookie e dati salvati nel telefono

Su Kachunk non c'è nessuno strumento di analisi, nessun pixel pubblicitario e nessun cookie di terze parti: non c'è niente da chiedere a nome di qualcun altro. I cookie sono cinque, tutti nostri:

I primi quattro sono strettamente necessari al servizio che hai chiesto. Il quinto serve a una statistica nostra, fatta solo in totale e per noi soli. Per le linee guida del Garante del 2021 sui cookie, né gli uni né l'altro chiedono un consenso: per questo non c'è un banner.

Nel telefono, oltre ai cookie, Kachunk salva queste cose. Nessuna esce dal telefono, tranne le foto della coda, che sono lì apposta per arrivare a noi:

8. A chi diamo i dati, e dove stanno

Non vendiamo niente a nessuno e non cediamo le fotografie a nessuno. Kachunk gira su un server suo, e per farlo funzionare usiamo dei fornitori, che trattano i dati per nostro conto e con gli stessi vincoli che abbiamo noi. I nomi non sono ancora scelti: dove una riga dice [da #293], quello che c'è scritto accanto è la condizione con cui lo sceglieremo.

Per l'Host ci sono due fornitori in più, che non toccano le foto:

Le fotografie, il database e il server stanno nello Spazio economico europeo, cioè nell'Unione Europea o in Islanda, Liechtenstein e Norvegia: è la condizione con cui si scelgono i fornitori, e se un giorno cambiasse cambierebbe prima questa riga. Se uno di loro fosse una società con sede fuori da quello Spazio, o facesse capo a una, lo scriveremmo qui accanto al suo nome anche con i dati in Europa, insieme allo strumento che rende lecito il trasferimento: il Data Privacy Framework o le clausole contrattuali standard.

Oltre a questi, i dati possono essere comunicati a chi ce lo impone la legge — anche alle autorità, se una Segnalazione fa sospettare un reato grave (punto 9) — e ai nostri consulenti contabili e legali per quello che serve loro.

9. Segnalare un contenuto illecito

Kachunk conserva le fotografie che gli Ospiti caricano, e per il Digital Services Act (Reg. UE 2022/2065) è un servizio di hosting. Se in una galleria c'è una foto illecita — non soltanto una in cui ci sei e che non ti va: per quella c'è il punto 5 — la si segnala a noi.

• Dal modulo, a /segnala. Ricevi subito un numero di Segnalazione e, se lasci la tua email, la stessa ricevuta per posta.
• Il punto di contatto per le autorità e per chi usa Kachunk (DSA, artt. 11 e 12) è Dati del venditore in arrivo. Rispondiamo in italiano e in inglese.

Una Segnalazione la legge e la decide una persona, che guarda la foto segnalata. Se la ritiene illecita, la toglie subito, con il suo Negativo, senza aspettare l'Host. Se hai lasciato la tua email ti scriviamo la decisione e il perché. Se una Segnalazione fa sospettare un reato grave — per esempio con dei minori — avvisiamo le autorità, come chiede l'art. 18. Cosa non si può caricare, e come decidiamo: le condizioni d'uso.

Point of contact for authorities and users (Digital Services Act, arts. 11-12): the address above, or the form at /segnala. We answer in Italian and English.

10. Da sedici anni in su

Per usare la fotocamera bisogna avere almeno sedici anni. È l'età che il GDPR fissa per decidere da soli su un servizio online; l'Italia ne permetterebbe quattordici, ma la teniamo a sedici in tutta Europa perché sia una sola, e non una diversa per ogni Paese da cui qualcuno si collega.

Non chiediamo un documento e non verifichiamo l'età: sarebbe raccogliere molti più dati di quanti se ne raccolgono adesso, su ogni Ospite, per un controllo che a una festa si aggira in dieci secondi. Se scopriamo che a scattare è stato qualcuno che non ha l'età, togliamo le sue fotografie: basta scriverlo a ema.qua8@gmail.com, e può farlo anche un genitore.

11. I tuoi diritti

Hai diritto di sapere quali dati abbiamo, di ottenerne una copia, di farli correggere, di chiederne la cancellazione, di limitarne l'uso, di opporti al trattamento fondato sul legittimo interesse — i Negativi del punto 4 — e di ricevere in un formato leggibile quelli che ci hai dato tu. Se hai reclamato una Persona, puoi ritirare quel consenso quando vuoi, senza che questo tocchi ciò che è successo prima.

A chi scriverli. Per le foto della festa (punto 2) il titolare è l'Host, quindi la strada principale è il suo indirizzo. Se preferisci non passare da lui, o se non risponde, scrivi a ema.qua8@gmail.com: giriamo la richiesta all'Host e, per le rimozioni, vale la regola dei tre giorni del punto 5, con i suoi tetti. Per i dati del punto 3 il titolare siamo noi: scrivi direttamente a ema.qua8@gmail.com.

Rispondiamo entro un mese. Se pensi che qualcosa non vada, puoi rivolgerti al Garante per la protezione dei dati personali (www.gpdp.it) o all'autorità del Paese in cui vivi.

12. Quando questa pagina cambia

Se cambia, la sua versione cambia con lei, e le versioni precedenti le conserviamo: chi ne vuole una ce la chiede. Se il cambiamento tocca qualcosa che riguarda fotografie già scattate, lo diciamo all'Host, che è il titolare, e non lo lasciamo scoprire qui.