Informativa sulla privacy

Ultimo aggiornamento: 13 ottobre 2026

Questa informativa descrive come vengono trattati i dati personali tramite ShootOffice, il sito shootoffice.com, l’area personale, l’app desktop e le funzioni online collegate. ShootOffice è un gestionale destinato all’attività lavorativa di fotografi, videomaker e studi di produzione audiovisiva, anche quando l’attività è svolta occasionalmente o senza partita IVA.

Alcune funzioni lavorano esclusivamente sul dispositivo dell’utente; altre richiedono l’invio di dati ai sistemi ShootOffice o a servizi esterni scelti dall’utente. Le sezioni seguenti distinguono, per quanto possibile, i trattamenti svolti direttamente da ShootOffice da quelli effettuati per conto del professionista che utilizza il servizio.

1. Titolare del trattamento e contatti

Il titolare del trattamento per i dati trattati direttamente per la gestione di ShootOffice è Amaze Video Studio di Manuel Alexander Geraci, con sede in Via Antonio Banfi 24, 00166 Roma, P.IVA 14170501002.

Per richieste privacy, esercizio dei diritti o assistenza relativa ai dati personali: service@shootoffice.com. PEC: mageraci@pec.it.

Non è stato nominato un Responsabile della Protezione dei Dati (RPD/DPO). Le richieste in materia di protezione dei dati possono essere inviate direttamente ai recapiti indicati.

2. Ruoli privacy: ShootOffice, professionista e cliente finale

Amaze Video Studio di Manuel Alexander Geraci determina finalità e mezzi del trattamento per i dati necessari a gestire sito, registrazione, account, autenticazione, licenze, pagamenti, assistenza, sicurezza, prevenzione degli abusi, telemetria tecnica del servizio e comunicazioni relative a ShootOffice. Per questi trattamenti opera come titolare.

Il professionista che usa ShootOffice può inserire dati di propri clienti, collaboratori, invitati, fornitori, soggetti fotografati o filmati e altri terzi. Per tali dati è normalmente il professionista a determinare finalità, base giuridica, contenuti da raccogliere e tempi di conservazione. Se le informazioni restano esclusivamente nel database locale del computer, Amaze Video Studio non le riceve sui propri sistemi.

Quando il professionista usa Team, Preventivi, Delivery o altre funzioni online che trasferiscono tali dati ai sistemi ShootOffice, il servizio tratta le informazioni necessarie a eseguire la funzione richiesta. Ove ricorrano i presupposti dell’art. 28 GDPR, ShootOffice opera come responsabile del trattamento per conto del professionista, che resta titolare dei dati dei propri clienti o degli altri terzi.

Nelle pagine pubbliche rivolte ai clienti finali ShootOffice può mettere a disposizione del professionista un modello precompilato e modificabile di informativa, compilato anche con i dati del suo profilo. Per i normali flussi di Preventivi e Delivery può pubblicare un’informativa standard, oppure un testo personalizzato. Il professionista è responsabile di verificare che l’informativa attiva, le basi giuridiche dei propri trattamenti e gli ulteriori obblighi verso gli interessati siano adeguati alla propria attività; deve personalizzare il testo prima di usare trattamenti o funzioni non coperti dalla configurazione standard.

3. Account, autenticazione, licenze e sicurezza

La registrazione e l’uso dei servizi online possono comportare il trattamento di indirizzo email, nome visualizzato, password conservata mediante hash, stato dell’account, verifica dell’email, piano o licenza, periodo di prova, date di attivazione e scadenza, ultimo accesso e informazioni necessarie alla gestione delle sessioni.

Per sicurezza vengono trattati anche indirizzo IP, user-agent, dati tecnici del browser o dispositivo, token di sessione conservati in forma hashata, tentativi di accesso, blocchi anti-abuso e log relativi a operazioni rilevanti. Se l’utente abilita l’autenticazione a due fattori, vengono gestiti anche i dati tecnici necessari al secondo fattore. I segreti TOTP del secondo fattore sono cifrati e autenticati a riposo con una chiave dedicata e non vengono riportati nei log applicativi.

4. App desktop, dati locali e telemetria tecnica

ShootOffice conserva sul computer dell’utente il database operativo dell’app e i file locali associati alle funzioni che non richiedono il cloud. Progetti, anagrafiche, documenti, agenda, impostazioni e altri contenuti restano locali finché l’utente non usa una funzione che prevede espressamente sincronizzazione, pubblicazione, condivisione o caricamento online.

Anche in modalità locale l’app può collegarsi ai sistemi ShootOffice per autenticazione, verifica della licenza o del periodo di prova, aggiornamenti, telemetria tecnica e servizi online attivati dall’utente.

La telemetria può comprendere identificativo dell’account, versione di ShootOffice, piattaforma, sistema operativo, ultimo utilizzo, ultimo login, dimensione complessiva della cartella dati locale e, per determinati eventi tecnici, un payload diagnostico limitato. Non è utilizzata per pubblicità comportamentale e non ha lo scopo di leggere il contenuto dei documenti professionali dell’utente.

5. Team, progetti, agenda, collaboratori e allegati

Quando viene usata la modalità Team, i dati necessari al lavoro condiviso vengono sincronizzati con il backend ShootOffice e resi disponibili ai membri autorizzati secondo ruoli e permessi. Possono essere trattati nome e identificativo del team, membri, ruoli, inviti e relativi indirizzi email, progetti e stagioni, note, timeline, attività di agenda, incarichi, stati di lavorazione, lavagne, impostazioni condivise, eventi di calendario e collegamenti tra entità.

Le anagrafiche dei collaboratori possono includere nome, cognome, email, telefono, ruoli professionali, note e preferenze operative. Gli allegati caricati in funzioni online possono comprendere nome del file, dimensione, tipo MIME, identificatori, metadati tecnici e contenuto del file.

6. Preventivi, contratti e pagine condivise con il cliente

La funzione Preventivi può memorizzare sul backend anche preventivi personali non appartenenti a un Team. Sono trattati i dati inseriti dal professionista, fra cui nome, email e telefono del cliente, eventuale secondo referente, descrizione del servizio, date e luogo dell’evento, voci economiche, IVA, sconti, note, clausole, contenuti grafici e collegamenti a progetti. Le revisioni pubblicate possono essere conservate come snapshot non modificabili e associate a un hash di integrità.

I link del Preventivo usano identificatori non facilmente enumerabili e possono richiedere un codice comunicato separatamente. Il backend conserva gli hash necessari alla verifica e, per permettere al solo proprietario autorizzato di rivedere o reinviare un link esistente, una copia cifrata dei relativi segreti con chiave dedicata. La ri-visualizzazione richiede una nuova conferma della password e, se configurato, del secondo fattore; i segreti non vengono riportati nei log applicativi.

Prima di rendere disponibile la pagina del preventivo viene mostrata al cliente l’informativa pubblicata dal professionista. Il cliente deve prenderne visione prima di proseguire; la registrazione conserva la versione, l’hash, uno snapshot del testo e data e ora, così da poter dimostrare quale informativa è stata mostrata. La presa visione non è un “consenso privacy” e non costituisce consenso a trattamenti facoltativi.

Durante l’adeguamento della funzione, i collegamenti pubblicati prima dell’attivazione di questo controllo possono restare disponibili per un periodo transitorio massimo di 30 giorni se il professionista non ha ancora pubblicato la propria informativa. In tale periodo non viene raccolto alcun dato di utilizzo facoltativo.

Dopo l’accesso, il professionista può chiedere separatamente al cliente se desidera consentire la raccolta di dati di utilizzo facoltativi relativi alla consultazione del preventivo. La raccolta è disattivata per impostazione predefinita e solo dopo una scelta positiva possono essere registrati, per esempio, ingressi, tempo attivo, clic sui controlli e tipo di dispositivo, dimensioni della viewport, percentuale massima di scorrimento, sezioni consultate e un identificatore pseudonimo del visitatore. Prima di tale scelta non viene raccolto alcun dato di consultazione facoltativo, compresa la rilevazione dell’apertura a tali fini. I dettagli dei clic indicano il tipo di controllo utilizzato, senza registrare il testo digitato nei campi. Il rifiuto non impedisce di visualizzare, modificare o accettare il preventivo.

La scelta può essere modificata o revocata in seguito tramite Preferenze privacy. La revoca interrompe la raccolta futura e non limita le funzioni principali; non incide sulla liceità della raccolta effettuata prima della revoca.

Tali dati di utilizzo dettagliati sono messi a disposizione del professionista che ha pubblicato il preventivo e non sono utilizzati da ShootOffice per creare profili autonomi del cliente finale o per proprie finalità pubblicitarie. ShootOffice può trattare dati tecnici strettamente necessari a sicurezza, prevenzione abusi e funzionamento della pagina indipendentemente dalla scelta sui dati di utilizzo facoltativi.

Le azioni richieste direttamente dal cliente, come selezioni, richieste di modifica, messaggi e accettazione del preventivo, vengono invece memorizzate perché necessarie a eseguire la funzione richiesta e a comunicarla al professionista.

L’accettazione elettronica può richiedere un codice monouso inviato al recapito indicato. Del codice viene conservato l’hash, insieme a scadenza e numero di tentativi. La prova di accettazione può includere nome dichiarato, recapito verificato, firma disegnata o nome scritto in alternativa, indirizzo IP della connessione alla conferma, data e ora, revisione e relativo hash, dichiarazioni accettate, ricevuta e dati tecnici necessari a documentare l’operazione. Non viene qualificata come firma digitale.

Per documentare l’accettazione del preventivo, vengono conservati il nome dichiarato, la conferma tramite codice email, la firma disegnata o il nome scritto in alternativa, la data e l’ora e l’indirizzo IP della connessione utilizzata per confermare. Queste informazioni sono associate alla versione del preventivo accettata e sono consultabili dal cliente e dallo studio tramite le funzioni riservate. Il trattamento si fonda sul legittimo interesse del professionista alla documentazione dell’accettazione e alla tutela dei diritti delle parti (art. 6, par. 1, lett. f GDPR). La firma conserva soltanto il disegno: non raccogliamo pressione, velocità o altri parametri biometrici. Firma e IP non sono utilizzati per statistiche o profilazione e la loro conservazione non dipende dal consenso alle statistiche facoltative. Restano esercitabili i diritti previsti dal GDPR, inclusa l’opposizione nei casi applicabili, contattando il professionista ai recapiti della sua informativa.

La prova di accettazione viene conservata come snapshot autonomo, anche se in seguito il preventivo o la versione originaria vengono eliminati, per un periodo tecnico di almeno 10 anni calcolati secondo il calendario dalla data dell’accettazione, compresi firma e IP. Il periodo e la sua applicazione concreta devono essere verificati dal professionista con il proprio consulente privacy, in relazione al contratto e agli obblighi applicabili.

7. Delivery

Delivery permette al professionista di pubblicare foto, video e documenti e condividerli con i clienti tramite link. Per erogare il servizio vengono trattati contenuti caricati, miniature e anteprime, nomi originali dei file, tipo, dimensioni, durata o risoluzione ove pertinenti, hash tecnici, cartelle, impostazioni della galleria, filigrane, scadenze e permessi del link. Se viene indicato un destinatario, può essere conservato anche il suo indirizzo email.

I link possono essere protetti da password. I segreti e le password sono protetti con tecniche di hashing o cifratura in funzione dell’uso previsto. Alcuni cataloghi possono usare cifratura dei contenuti; l’architettura supporta sia cataloghi nei quali il server custodisce una chiave necessaria al recupero sia modalità nelle quali la chiave del catalogo non è disponibile al server. La presenza della funzione di cifratura non significa quindi che ogni Delivery sia, per definizione, cifrata end-to-end.

Nei flussi Delivery ordinari, prima di accedere viene mostrata al cliente l’informativa pubblicata dal professionista. La presa visione viene registrata con versione, hash, snapshot e data e ora e non equivale al consenso per trattamenti facoltativi.

In un passaggio separato il professionista può chiedere al cliente se desidera consentire la raccolta di dati di utilizzo relativi alla consultazione della Delivery, come durata della visita, tipo di dispositivo, eventi di visualizzazione o zoom e altri eventi di navigazione non necessari all’erogazione del contenuto. La raccolta è disattivata per impostazione predefinita: questi dati dettagliati vengono raccolti soltanto dopo scelta positiva e sono destinati al professionista. Il cliente può continuare ad accedere alla Delivery anche senza consentirli e può modificare o revocare in seguito la scelta tramite Preferenze privacy; la revoca interrompe la raccolta futura.

Scelte, valutazioni, note, marker video, commenti, file caricati dal cliente e altre azioni che il cliente decide di inviare costituiscono invece contenuti necessari alla funzione e vengono memorizzati per renderli disponibili al professionista. Per sicurezza possono essere conservati dati tecnici e log essenziali anche senza consenso ai dati di utilizzo facoltativi. Quando viene usato un identificatore derivato dall’indirizzo IP per distinguere sessioni o visitatori, l’IP viene trasformato mediante funzione crittografica keyed nei registri applicativi dedicati; restano possibili i normali log infrastrutturali di rete e sicurezza.

7.1 Shop e riconoscimento facciale facoltativo

Lo Shop offre una galleria riservata e un accesso con password personale. Lo studio può aggiungere il riconoscimento facciale. L'analisi e il raggruppamento delle fotografie sul desktop, la creazione dei riferimenti per i clienti abilitati e il confronto durante l'accesso utilizzano dati biometrici per identificare una persona. Anche il trattamento temporaneo di un volto poi escluso dalla revisione richiede una base giuridica adeguata.

Lo studio che determina l'utilizzo delle fotografie è il titolare del trattamento e deve fornire un'informativa specifica, raccogliere preventivamente il consenso esplicito ai sensi degli articoli 6, paragrafo 1, lettera a), e 9, paragrafo 2, lettera a), GDPR e conservarne la prova nel proprio archivio. Ciò vale per tutte le persone analizzate, inclusi invitati e persone successivamente scartate: il consenso dei committenti o una liberatoria per le fotografie non autorizzano automaticamente l'analisi degli altri volti. Per i minori lo studio verifica la capacità di prestare il consenso, la responsabilità genitoriale o tutela e le autorizzazioni pertinenti, e usa informative comprensibili.

Prima dell'analisi l'operatore conferma esplicitamente le autorizzazioni per conto dello studio, il perimetro delle foto e la scadenza del trattamento, incluso l'uso previsto nello Shop. Lo studio conserva fuori dall'app le prove e la valutazione d'impatto quando richiesta; ShootOffice non richiede codici di prova o dichiarazioni sulla presenza di minori. La stessa dichiarazione valida viene riutilizzata per caricamento, sincronizzazione e pubblicazione degli stessi dati, con ricevuta sincronizzata prima dei riferimenti biometrici. Una nuova conferma occorre soltanto se manca una dichiarazione valida, è scaduta o revocata, oppure non copre le nuove persone o finalità. La dichiarazione non è il consenso della persona fotografata. Non vengono richieste copie dei consensi, documenti d'identità o documenti sulla tutela nel registro di ShootOffice. Se mancano le autorizzazioni di una qualsiasi persona raffigurata, lo studio utilizza l'assegnazione manuale e la password oppure seleziona soltanto fotografie integralmente autorizzate.

Il desktop analizza gli originali selezionati localmente; i vettori provvisori sono eliminati dopo la revisione. I riferimenti confermati sono cifrati sul dispositivo fino alla sincronizzazione e poi rimossi dalla cache biometrica locale dopo la conferma del server. Possono restare anteprime del volto cifrate per le schede del cliente fino alla rimozione del riferimento o del cliente. Il backend conserva i riferimenti cifrati e li decifra temporaneamente per il confronto: questa funzione non costituisce cifratura end-to-end dei dati biometrici. Il confronto viene eseguito sull'infrastruttura di ShootOffice; i dati non sono inviati a fornitori esterni di IA per il riconoscimento e non vengono utilizzati per addestrare modelli, profilare le persone o riconoscerle in altri cataloghi.

Prima di accendere la fotocamera il visitatore vede un avviso specifico e può scegliere se acconsentire al confronto e alla verifica della presenza di una persona reale. I fotogrammi e i dati biometrici temporanei del tentativo non vengono archiviati. Versione, testo, hash, data e scelta sono registrati separatamente, senza fotografie o vettori. Una sessione tecnica e cookie brevi permettono di gestire il tentativo; prima del confronto il visitatore non è identificato dal registro.

La password è disponibile senza penalizzazioni anche per chi rifiuta la scansione. Dalla galleria, anche dopo l'accesso con password, Revoca accesso facciale cancella il riferimento condiviso dagli Shop del medesimo catalogo e invalida le sessioni facciali; l'accesso con password rimane disponibile. È possibile anche contattare lo studio senza effettuare una nuova scansione. La revoca non pregiudica la liceità del trattamento effettuato prima di essa. Lo studio deve applicarla anche alle copie locali, alle attività successive e agli eventuali archivi esterni.

Per i dati dei clienti, i riferimenti e il registro delle operazioni dello Shop, il Fornitore opera quale responsabile del trattamento su istruzioni dello studio, secondo la sezione 21 dei Termini. Lo studio documenta necessità e proporzionalità, effettua la valutazione d'impatto quando richiesta e determina una durata coerente con la finalità. L'esito automatico può fallire o produrre corrispondenze errate: sono previste revisione dello studio, alternativa password e assistenza umana.

8. Integrazione opzionale con Google Calendar e Google Drive

ShootOffice ha predisposto un’integrazione facoltativa con Google Calendar e Google Drive. Al momento l’integrazione è tecnicamente disabilitata in attesa del completamento della verifica Google: non vengono avviati flussi OAuth, non vengono usati gli scope sotto indicati e ShootOffice non accede a dati Calendar o Drive. Quando la funzione sarà resa disponibile, l’accesso avverrà soltanto se l’utente sceglierà di collegare il proprio account e autorizzerà gli ambiti OAuth richiesti. ShootOffice richiederà esclusivamente gli scope necessari alle funzioni dichiarate:

https://www.googleapis.com/auth/calendar.events.owned
https://www.googleapis.com/auth/calendar.calendarlist.readonly
https://www.googleapis.com/auth/drive.file

ShootOffice non richiede scope Gmail e non accede a Gmail. Quando l’integrazione sarà disponibile, le eventuali email di invito o aggiornamento relative agli eventi saranno gestite da Google Calendar mediante le funzioni dell’API Calendar.

8.1 Calendari ed eventi

Quando l’integrazione sarà disponibile, l’ambito calendar.calendarlist.readonly consentirà di leggere l’elenco dei calendari associati all’account Google affinché l’utente possa scegliere quello da usare. Potranno essere letti identificativo, nome visualizzato, indicazione del calendario principale, colore e ruolo di accesso. La sincronizzazione degli eventi sarà limitata ai calendari di cui l’utente è proprietario tramite calendar.events.owned.

Per sincronizzare gli eventi ShootOffice potrà leggere e scrivere identificativi e metadati di sincronizzazione, stato, titolo, descrizione, luogo, data e ora, fuso orario, ricorrenze, creatore e organizzatore, colore, link dell’evento, reminder, proprietà estese usate dalla sincronizzazione e, se abilitati, dati relativi a Google Meet. Se l’evento conterrà invitati, potranno essere trattati indirizzo email, nome visualizzato, stato della risposta e gli altri dati sugli attendee restituiti dalla Calendar API.

I dati sincronizzati saranno memorizzati nel database locale dell’app per mostrare il calendario e riconciliare le modifiche. Quando l’utente userà un evento anche in Team, Agenda, Preventivi, Timeline, Collaboratori o altri contenuti condivisi di ShootOffice, i dati necessari a quella funzione potranno essere trasmessi al backend e resi disponibili ai membri autorizzati. Questo non consentirà al backend di usare autonomamente il token Google.

8.2 Allegati Google Drive

Se l’utente sceglierà di allegare un documento a un evento, ShootOffice potrà caricare il file su Google Drive e collegarlo all’evento Calendar. Per il file saranno trattati contenuto, nome, tipo MIME, identificativo Drive, collegamento e metadati tecnici necessari.

L’ambito drive.file consentirà a ShootOffice di creare file o operare sui file creati dall’app o messi specificamente a disposizione dell’app; non concederà accesso generale a tutti i contenuti presenti nel Google Drive dell’utente.

8.3 Token, disconnessione e conservazione

Quando l’integrazione sarà disponibile, gli eventuali access token e refresh token Google dell’utente saranno conservati sul dispositivo in un archivio locale protetto mediante i meccanismi di sicurezza del sistema operativo e non saranno memorizzati come normali credenziali in chiaro nel backend ShootOffice.

Quando la funzione sarà disponibile, con Disconnetti Google ShootOffice tenterà la revoca dell’autorizzazione e rimuoverà dal dispositivo le credenziali OAuth locali. La revoca interromperà le successive operazioni Calendar e Drive ma non eliminerà automaticamente da Google Drive file già creati o caricati nell’account dell’utente. I dati trasformati dall’utente in contenuti autonomi di ShootOffice seguiranno la conservazione prevista per la relativa funzione.

8.4 Google API Services User Data Policy e Limited Use

Quando l’integrazione sarà attiva, l’uso da parte di ShootOffice delle informazioni ricevute dalle API Google sarà limitato alle funzioni visibili richieste dall’utente e avverrà nel rispetto della Google API Services User Data Policy, inclusi i requisiti di Limited Use applicabili. I dati ottenuti tramite le API Google non saranno venduti, non saranno utilizzati per pubblicità personalizzata e non saranno impiegati per addestrare modelli di intelligenza artificiale generali. L’accesso umano sarà limitato ai casi consentiti dalle policy applicabili, come assistenza richiesta e autorizzata dall’utente, sicurezza o obblighi di legge.

L’uso delle API Google non implica partnership, certificazione o approvazione commerciale di ShootOffice da parte di Google.

9. Sito, pagine pubbliche, cookie e altri strumenti tecnici

Il sito e le aree pubbliche possono trattare IP, user-agent, data e ora della richiesta, URL richiesto, codice di risposta e altri dati tecnici normalmente presenti nei log web o di sicurezza. Queste informazioni servono a erogare le pagine, diagnosticare errori, contrastare abusi e proteggere il servizio.

Le aree che richiedono autenticazione usano cookie o strumenti tecnici necessari a mantenere la sessione e proteggere le richieste. Le pagine Preventivi e Delivery possono utilizzare un cookie o altro identificatore tecnico per ricordare la scelta del visitatore sui dati di utilizzo facoltativi ed evitare di richiederla nuovamente. Gli strumenti strettamente necessari al servizio o alla memorizzazione della scelta non sono usati per finalità pubblicitarie.

Nei Preventivi l'accesso è riservato a un browser alla volta e termina dopo 60 minuti dall'ingresso oppure premendo «Esci». Un identificatore tecnico limitato al singolo link ricorda per un massimo di 90 giorni la presa visione dell'informativa e le preferenze già espresse. Questo identificatore non permette di consultare il preventivo senza autenticazione: dopo la scadenza occorre inserire nuovamente il codice di accesso. Una nuova versione dell'informativa richiede una nuova presa visione.

Nel Portale del progetto, dopo l’autenticazione o la verifica richiesta, la presa visione dell’informativa del professionista viene richiesta una sola volta per la relativa versione. Le singole sezioni del Portale possono invece presentare separatamente una scelta facoltativa e non bloccante sui dati di consultazione della sezione interessata.

I dati di utilizzo facoltativi descritti ai punti 6 e 7 non vengono raccolti prima della scelta positiva del visitatore. ShootOffice non utilizza Google Analytics, Meta Pixel o altri strumenti pubblicitari di terze parti sulle pagine pubbliche descritte in questa informativa.

Alcune pagine del sito caricano attualmente caratteri tipografici tramite infrastruttura Google. La richiesta della risorsa può comportare la comunicazione a Google dei normali dati di connessione, fra cui indirizzo IP e informazioni tecniche del browser. Questo trattamento è distinto dall’integrazione OAuth con Calendar e Drive.

10. Pagamenti, fatturazione, email e comunicazioni

Per acquisti e abbonamenti ShootOffice utilizza Stripe. Il backend conserva gli identificativi necessari a collegare l’account al rapporto di pagamento, come customer ID, subscription ID, price ID, stato dell’abbonamento e periodo di validità. Quando viene creato un cliente Stripe possono essere comunicati a Stripe email, nome visualizzato e un identificativo tecnico dell’account. I dati completi della carta non vengono memorizzati nel database ShootOffice; la raccolta e il trattamento dei dati di pagamento avvengono tramite Stripe e i soggetti del circuito di pagamento.

Le email transazionali, come verifica dell’indirizzo, recupero password, inviti, notifiche e messaggi di servizio, vengono inviate tramite infrastruttura email Aruba. L’indirizzo del destinatario, oggetto, contenuto e metadati tecnici del messaggio sono trattati dal provider nella misura necessaria alla consegna.

Al momento ShootOffice non invia newsletter o email promozionali e non utilizza i recapiti dell’account per marketing diretto. Se in futuro verranno introdotte comunicazioni commerciali facoltative, l’informativa e le relative preferenze verranno aggiornate prima dell’attivazione e, quando necessario, sarà richiesto un consenso separato e revocabile.

11. Finalità e basi giuridiche

I dati necessari a creare e gestire l’account, autenticare l’utente, fornire la licenza, erogare le funzioni online richieste, gestire pagamenti e fornire assistenza sono trattati per eseguire il contratto o misure precontrattuali ai sensi dell’art. 6, par. 1, lett. b) GDPR.

Sicurezza, prevenzione di accessi abusivi, audit, protezione dell’infrastruttura, diagnosi dei malfunzionamenti e telemetria tecnica necessaria all’affidabilità del servizio si fondano sul legittimo interesse del titolare ai sensi dell’art. 6, par. 1, lett. f) GDPR, con misure di minimizzazione e tempi di conservazione definiti.

I trattamenti necessari a rispettare obblighi fiscali, contabili, amministrativi o richieste delle autorità competenti si fondano sull’art. 6, par. 1, lett. c) GDPR.

Quando ShootOffice tratta dati dei clienti finali per conto del professionista, la base giuridica del trattamento del cliente viene determinata dal professionista titolare. Per i dati di utilizzo facoltativi delle pagine Preventivi e Delivery, quando il professionista sceglie di raccoglierli sulla base del consenso, ShootOffice attiva la raccolta soltanto dopo una scelta positiva separata del visitatore. La revoca non pregiudica la liceità del trattamento effettuato prima della revoca.

Quando l’integrazione Google sarà disponibile, l’autorizzazione OAuth sarà il meccanismo con cui l’utente concederà l’accesso tecnico agli scope selezionati e non sostituirà la valutazione della base giuridica GDPR per gli eventuali dati personali di terzi inseriti negli eventi.

12. Destinatari, fornitori e sub-responsabili

I dati sono accessibili ai soggetti autorizzati soltanto nei limiti necessari alle loro funzioni. Possono inoltre essere comunicati ai fornitori tecnici utilizzati per erogare il servizio, alle autorità quando previsto dalla legge e ai destinatari scelti dall’utente, come membri del Team, collaboratori, clienti o invitati a un evento.

I principali fornitori utilizzati o previsti per le funzioni descritte sono:

Aruba: infrastruttura VPS/backend e servizi email, con infrastruttura utilizzata da ShootOffice in Italia;
Scaleway: object storage in regione Milano (it-mil) per fotografie Delivery e media dei Preventivi;
Cloudflare: R2 con giurisdizione Unione europea per video e documenti Delivery e, ove utilizzati, servizi tecnici di rete e sicurezza;
Stripe: checkout, pagamenti e gestione degli abbonamenti; il ruolo privacy di Stripe può variare in funzione dello specifico servizio di pagamento;
Google: Calendar e Drive quando l’integrazione, attualmente disabilitata in attesa della verifica Google, sarà resa disponibile e l’utente la collegherà volontariamente; Google fornisce inoltre alcune risorse web, come i font.

Per i trattamenti svolti da ShootOffice come responsabile ai sensi dell’art. 28 GDPR, l’impiego di sub-responsabili è disciplinato dalle condizioni contrattuali applicabili. L’elenco dei principali sub-responsabili viene mantenuto aggiornato. In caso di inserimento o sostituzione di un sub-responsabile che incida in modo sostanziale sul trattamento dei dati affidati a ShootOffice, gli utenti interessati vengono informati con anticipo ragionevole e possono formulare un’opposizione motivata per ragioni di protezione dei dati, secondo quanto previsto dalle condizioni applicabili.

13. Trasferimenti fuori dallo Spazio Economico Europeo

I dati applicativi affidati a Scaleway nelle funzioni sopra indicate sono configurati nella regione Milano. Per i contenuti Delivery conservati in Cloudflare R2 viene utilizzata la giurisdizione Unione europea. L’infrastruttura principale ShootOffice è ospitata su Aruba in Italia.

Alcuni fornitori, in particolare Google, Stripe e Cloudflare, operano tramite gruppi internazionali e possono utilizzare società o sub-fornitori situati anche fuori dallo Spazio Economico Europeo. Quando un trattamento comporta un trasferimento internazionale, vengono applicati i meccanismi previsti dal Capo V GDPR pertinenti al caso, come decisioni di adeguatezza, Clausole Contrattuali Standard della Commissione europea e le eventuali misure supplementari necessarie.

14. Conservazione

I dati vengono conservati per il tempo necessario alla funzione per cui sono stati raccolti, tenendo conto del rapporto contrattuale, delle richieste dell’utente, della sicurezza, degli obblighi di legge e dell’eventuale necessità di documentare operazioni o difendere un diritto. I principali criteri tecnici sono i seguenti:

le sessioni web hanno una durata massima di 30 giorni e una scadenza per inattività di 7 giorni, salvo revoca o chiusura anticipata;
i log di audit applicativi vengono eliminati dopo 180 giorni, salvo specifiche esigenze di sicurezza o obblighi di legge;
il registro dedicato IA facciale è separato dall'audit ordinario: conserva dichiarazioni, scelte della fotocamera, revoche e cancellazioni per il periodo di utilizzo del catalogo; dopo l'eliminazione definitiva del catalogo resta per 30 giorni per restituzione ed esportazione, poi viene cancellato. Contiene anche l'email dell'operatore al momento della dichiarazione, se disponibile, e non foto o vettori biometrici;
i riferimenti biometrici hanno una scadenza indicata dallo studio, con 90 giorni proposti e un massimo tecnico di un anno per ciascuna autorizzazione nell'app. La revoca, la rimozione del cliente o del catalogo ne interrompono l'uso; alla scadenza l'uso è bloccato e la cancellazione viene eseguita dal ciclo di manutenzione. Per riattivarli servono un nuovo consenso valido e una nuova dichiarazione, senza rinnovo automatico;
le prove originali dei consensi restano presso lo studio per la durata del trattamento e, successivamente, soltanto per il tempo strettamente necessario e giustificato da obblighi applicabili o tutela di diritti; il GDPR non stabilisce un unico numero di anni per tutte le prove del consenso. Lo studio deve esportare i registri utili prima della cancellazione dell'account o del team e gestire autonomamente i propri archivi;
gli eventi grezzi della telemetria e i dati diagnostici di dettaglio vengono aggregati e rimossi dopo 180 giorni; le metriche effettivamente aggregate e non riferibili a un singolo utente possono essere mantenute per analisi storiche del servizio;
i dati di utilizzo facoltativi di dettaglio relativi alla consultazione di Preventivi e Delivery sono conservati per un massimo di 90 giorni, dopodiché possono restare esclusivamente dati aggregati che non consentano di ricostruire il comportamento del singolo visitatore;
la rimozione dei dati di utilizzo facoltativi non elimina dati funzionali quali accettazioni, messaggi, selezioni, valutazioni, note, marker, commenti, download o file caricati dal cliente, che seguono la conservazione della funzione che li richiede;
le entità applicative messe nel cestino o sottoposte a soft-delete seguono, salvo eccezioni espressamente indicate dalla funzione, una finestra ordinaria di 30 giorni prima della purga definitiva;
la distinta finestra di recupero dello storage Photo Events, quando prevista dalla funzione, resta di 90 giorni e non rientra nel sistema di dati di utilizzo facoltativi di Preventivi e Delivery;
i backup ordinari dell’infrastruttura seguono una rotazione massima di 30 giorni, salvo copie separate che debbano essere conservate più a lungo per una specifica esigenza di sicurezza, incidente, obbligo di legge o difesa di un diritto;
i contenuti professionali, i preventivi, i messaggi, i file e le prove di accettazione restano disponibili finché necessari alla funzione o finché il professionista titolare non li elimina, salvo obblighi di legge o necessità di tutela di diritti;
quando l’integrazione Google sarà disponibile, access token e refresh token saranno conservati finché resterà collegata e saranno rimossi localmente con la disconnessione; i file già caricati su Google Drive seguiranno la conservazione dell’account Google dell’utente.

Documenti e registrazioni soggetti a obblighi contabili e fiscali possono essere conservati per dieci anni e, quando la normativa lo richiede, più a lungo fino alla definizione degli accertamenti relativi al periodo d’imposta. I dati necessari a gestire contestazioni o esercitare o difendere diritti possono essere mantenuti per il periodo in cui tali pretese possono essere fatte valere.

15. Cancellazione dell’account e dei dati

La cancellazione dell’account può essere richiesta attraverso la procedura disponibile nel servizio o scrivendo a service@shootoffice.com. Il backend può richiedere la risoluzione preventiva di condizioni incompatibili con la cancellazione, per esempio un abbonamento ancora attivo o la proprietà di un Team che deve essere trasferito o eliminato.

Dopo la conferma, l’accesso dell’account viene disabilitato immediatamente e viene creata una procedura di cancellazione durevole. La cancellazione definitiva dell’account e la purga dei dati online riferibili all’utente si completano dopo la pulizia del database di telemetria separato. In caso di indisponibilità temporanea fra i database, la procedura resta in corso e viene ritentata senza riattivare l’account.

Nel database di telemetria vengono eliminati UserState e ogni record individuale ancora conservato che contiene user_id, inclusi gli eventi tecnici e i dati sui download delle release. Restano soltanto eventuali metriche aggregate realmente anonime e non riferibili a un utente. Le eventuali copie presenti nei backup ordinari decadono con la rotazione prevista, entro 30 giorni, salvo le eccezioni indicate al punto 14.

Restano esclusi dalla cancellazione immediata i dati che devono essere mantenuti per obblighi fiscali o legali, prevenzione e documentazione di abusi, prova dell’avvenuta cancellazione o difesa di diritti, nei limiti dei rispettivi tempi di conservazione.

La cancellazione dell’account online non elimina automaticamente il database e i file che l’utente conserva sul proprio computer né i contenuti che rimangono presso servizi terzi sotto il controllo dell’utente. Per Google si applica anche la procedura di disconnessione e revoca descritta al punto 8.

16. Sicurezza

ShootOffice adotta misure tecniche e organizzative proporzionate alla natura del servizio e ai rischi trattati, tra cui HTTPS per le comunicazioni web, protezione dei cookie di sessione, password memorizzate mediante hash, token di sessione hashati, controlli di autenticazione e autorizzazione, rate limit contro tentativi abusivi, registri di audit, backup protetti, cifratura autenticata a riposo dei segreti TOTP e protezione locale delle credenziali Google. Password, token OAuth e segreti TOTP non vengono registrati nei log.

Nessuna misura tecnica elimina ogni rischio. L’utente deve proteggere il proprio dispositivo, le credenziali, i link condivisi e le copie locali, assegnare i permessi Team con criterio e rimuovere gli accessi non più necessari.

17. Diritti degli interessati

Nei casi previsti dal GDPR l’interessato può chiedere accesso ai propri dati, rettifica, cancellazione, limitazione del trattamento, portabilità, opposizione al trattamento basato sul legittimo interesse e revoca del consenso. Può inoltre chiedere informazioni sui destinatari e sulle garanzie applicate agli eventuali trasferimenti internazionali.

Per i trattamenti di cui ShootOffice è titolare, le richieste possono essere inviate a service@shootoffice.com. Quando ShootOffice tratta dati esclusivamente per conto di un professionista, il cliente finale deve di norma rivolgersi al professionista titolare indicato nell’informativa della pagina; ShootOffice collabora con il titolare secondo le istruzioni legittime ricevute.

L’interessato ha diritto di proporre reclamo al Garante per la protezione dei dati personali ai sensi dell’art. 77 GDPR oppure di rivolgersi all’autorità di controllo competente. Informazioni e modulistica sono disponibili sul sito garanteprivacy.it.

Programma Test Founder, età e segnalazioni

La registrazione richiede nome, cognome, nome visualizzato, email, password, età in anni compiuti (almeno 18) e data della dichiarazione dell’età. Non raccogliamo la data di nascita completa né il sesso. L’età dichiarata indica l’età al momento della dichiarazione, non viene presentata come età corrente certificata.

Le candidature Test Founder sono collegate all’account. Raccogliamo professione, attività svolte, eventuali specifiche “Altro”, uso di un gestionale e relativo nome; sono facoltativi sistema operativo, anni di esperienza, struttura lavorativa, dimensione del gruppo, funzioni di interesse e motivazione. Registriamo data della candidatura, stato, selezione e attivazione, condizioni accettate con versione, testo e data, impegno a provare il servizio e condividere feedback, preferenze e comunicazioni di servizio. L’ammissione è decisa dall’amministrazione, senza una decisione automatizzata con effetti giuridici.

Account, candidatura, selezione, assegnazione dei benefici, offerte personali e comunicazioni necessarie alla partecipazione sono trattati per eseguire misure precontrattuali richieste e il rapporto con l’utente (art. 6, par. 1, lett. b GDPR). Gli aggiornamenti non pubblicitari generali sul prodotto, inviti a questionari e comunicazioni facoltative del programma sono inviati soltanto con la preferenza positiva separata; possono essere disattivati nell’area personale. Nessun consenso viene presunto da una candidatura o dalla sola verifica email.

La diagnostica tecnica già descritta nella sezione 4 è distinta dalla futura raccolta facoltativa di dati dettagliati d’uso: tipi di funzioni utilizzate, frequenza, completamento dei flussi, tempi indicativi e errori, associati a un identificativo account. L’amministrazione può consultare informazioni individuali limitate e statistiche aggregate per assistenza e miglioramento del prodotto. Gli identificativi account sono pseudonimi, non rendono anonimi i dati riferibili alla persona. La futura raccolta facoltativa richiede consenso separato (art. 6, par. 1, lett. a GDPR), revocabile senza conseguenze sulla selezione; sarà attivata solo dopo aver definito gli eventi e aggiornato l’informazione quando necessario. Non comprende il contenuto di documenti o il testo digitato nei campi.

La funzione “Segnala un problema” è disponibile agli account autenticati. Con un invio esplicito raccogliamo titolo, descrizione, tipo di feedback, scheda, versione dell’app, piattaforma e sistema operativo; il report è collegato all’account e all’email per ricontattare l’autore. Gli screenshot sono facoltativi, selezionati o catturati sulla sola finestra ShootOffice e mostrati prima dell’invio. Possono contenere dati di clienti o terzi: controllali e limita quanto invii al necessario. Non vengono acquisiti automaticamente file, database locali o contenuti delle altre applicazioni. Il report viene trattato per assistenza richiesta e, nei limiti necessari, diagnosi e miglioramento del servizio. Le immagini sono accessibili all’amministrazione autorizzata, con le misure di sicurezza del servizio.

Le bozze non inviate restano nel database locale sul computer e possono essere riaperte con lo stesso account. Gli screenshot del report sono eliminati dopo 180 giorni dalla chiusura; i dati personali delle segnalazioni e della candidatura sono conservati durante il rapporto e per un massimo di 12 mesi dopo la conclusione della partecipazione o chiusura della segnalazione, salvo una specifica necessità documentata di tutela di diritti. Restano informazioni tecniche effettivamente anonime. La cancellazione dell’account elimina anche i record personali di candidature e segnalazioni; i file residui sono rimossi dal ciclo tecnico di manutenzione.

Il programma può proseguire dopo il lancio commerciale e non ha durata prestabilita. Dopo la fine della partecipazione, comunicata con almeno 30 giorni di anticipo, i contenuti cloud possono essere esportati per 30 giorni; dal giorno 31 l’accesso cloud è sospeso e al giorno 90 sono cancellati definitivamente, salvo un piano cloud a pagamento o un accesso omaggio applicabile attivo. Il periodo si conta dalla fine della partecipazione. Una proposta commerciale non acquistata non prolunga la conservazione. I file esclusivamente locali restano sotto il controllo dell’utente. L’account può restare disponibile per offerte e preferenze, salvo cancellazione richiesta. Le prove contrattuali soggette a obblighi di conservazione seguono le regole delle rispettive funzioni.

I destinatari, fornitori, trasferimenti internazionali, contatti del titolare, diritti e modalità di reclamo sono quelli descritti nelle sezioni di questa informativa. Le nuove finalità non sono autorizzate dalla sola pubblicazione di un aggiornamento: quando necessario verrà richiesta una scelta aggiuntiva prima dell’attivazione.

18. Minori

ShootOffice è destinato all’attività lavorativa di fotografi, videomaker e studi e non è progettato come servizio rivolto direttamente ai minori. I contenuti gestiti dai professionisti possono tuttavia riguardare minori. In tali casi il professionista che raccoglie, inserisce, condivide o pubblica i dati deve verificare gli obblighi applicabili, limitare i dati a quanto necessario e acquisire le autorizzazioni o i consensi eventualmente richiesti dalla normativa.

19. Modifiche all’informativa

Questa informativa può essere aggiornata quando cambiano le funzioni di ShootOffice, i fornitori, le modalità di trattamento o la normativa applicabile. La versione pubblicata riporta la data dell’ultimo aggiornamento. In presenza di modifiche sostanziali verrà fornita un’informazione adeguata attraverso il sito, l’applicazione o i contatti disponibili, quando richiesto.