Informativa sulla privacy

Versione dell'8 novembre 2026.

1. Titolare del trattamento

Il titolare del trattamento dei dati personali su Bookfairy è:

• Orbita Media GmbH, Ericusspitze 4, 20457 Amburgo, Germania
• Amministratori: Noah Malik, Stefan Schott
• Tribunale di Amburgo (Amtsgericht Hamburg), HRB 161613

Le richieste in materia di protezione dei dati possono essere inviate a support@getbookfairy.com. Ulteriori informazioni sono riportate nelle Note legali.

2. Ambito di applicazione

La presente informativa descrive quali dati personali trattiamo quando Lei visita il sito https://getbookfairy.com, utilizza gli strumenti gratuiti, crea un account, acquista servizi e utilizza gli strumenti di Bookfairy oppure scansiona un QR code dinamico di Bookfairy. Si applica a visitatori, clienti, a chi scansiona i codici e a chiunque ci contatti o ci segnali qualcosa.

In sintesi:

• Senza il Suo consenso non impostiamo cookie di statistica o di marketing. Le nostre statistiche sui visitatori con Plausible funzionano senza cookie, sul nostro server in Germania.
• Trattiamo i Suoi manoscritti, testi e immagini per fornire il servizio prenotato. A tal fine i contenuti vengono inviati a fornitori di IA, che descriviamo nella sezione 4.9. Due di essi, con sede a Hong Kong e negli USA, operano senza un contratto sul trattamento dei dati e senza garanzie per il trasferimento verso paesi terzi (sezione 7).
• Noi non utilizziamo i Suoi contenuti per addestrare modelli di IA, salvo Suo consenso separato (§ 8, comma 3, delle Condizioni generali di contratto). Per questi due fornitori e per i soggetti di cui si avvalgono non possiamo escludere che utilizzino i contenuti per finalità proprie (sezione 4.9).
• Se scansiona un QR code dinamico, La inoltriamo senza cookie e senza JavaScript e contiamo la scansione soltanto per giorno, paese e tipo di dispositivo, senza memorizzare a tal fine il Suo indirizzo IP (sezione 4.16).
• Non vendiamo dati personali.

3. Basi giuridiche

Ci basiamo sulle seguenti basi giuridiche del Regolamento generale sulla protezione dei dati (GDPR):

• Art. 6, par. 1, lett. b) GDPR – esecuzione di un contratto e misure precontrattuali: account, ordine, credito, fornitura dei servizi degli strumenti, assistenza.
• Art. 6, par. 1, lett. c) GDPR – obbligo legale: in particolare la conservazione di documenti contabili e fatture ai sensi del § 147 del codice tributario tedesco (AO) e del § 257 del codice commerciale tedesco (HGB), nonché le registrazioni ai fini IVA; gestione delle segnalazioni e motivazione dei blocchi ai sensi del regolamento sui servizi digitali (sezione 4.16).
• Art. 6, par. 1, lett. f) GDPR – legittimo interesse: sicurezza e stabilità della piattaforma, prevenzione di abusi e frodi, misurazione degli accessi senza cookie, inoltro e controllo dei QR code dinamici, tutela dei diritti in sede giudiziaria, offerte via e-mail ai clienti (sezione 4.11), analisi di mercato sui libri modello (sezione 4.19).
• Art. 6, par. 1, lett. a) GDPR – consenso: servizi di statistica e marketing secondo la Sua scelta nel banner dei cookie, consigli e novità via e-mail (sezione 4.11) e la newsletter (sezione 4.12), liste d'attesa per le offerte in arrivo (sezione 4.17), eventuale utilizzo dei contenuti per l'addestramento. Può revocare il consenso in qualsiasi momento con effetto per il futuro.

Quando informazioni vengono memorizzate sul Suo dispositivo o lette da esso, si applica inoltre il § 25 della legge tedesca sulla protezione dei dati nelle telecomunicazioni e nei servizi digitali (TDDDG): il § 25, comma 2, n. 2 TDDDG per quanto strettamente necessario e il Suo consenso ai sensi del § 25, comma 1 TDDDG per tutto il resto.

4. Quali dati trattiamo e perché

4.1 Visita del sito e log del server

A ogni richiesta i nostri server trattano l'indirizzo IP, la data e l'ora, l'indirizzo richiesto, la pagina di provenienza, il browser e il sistema operativo. Finalità: fornitura delle pagine, sicurezza e risoluzione dei problemi. Base giuridica: art. 6, par. 1, lett. f) GDPR. Cancelliamo questi log dopo 7 giorni, salvo che servano per chiarire un determinato incidente di sicurezza.

Il sito, l'account cliente e gli strumenti funzionano su server di Hetzner Online GmbH in Germania. Font e librerie di programma vengono forniti dai nostri server; al caricamento di una pagina non vengono inviati dati a fornitori di font come Google Fonts.

4.2 Cloudflare

Utilizziamo Cloudflare per la risoluzione dei nomi (DNS), la distribuzione rapida delle pagine (CDN) e la protezione da attacchi e bot. Il traffico passa attraverso server di Cloudflare, che trattano l'indirizzo IP e dati tecnici di connessione. Il fornitore è Cloudflare, Inc., 101 Townsend St., San Francisco, CA 94107, USA. Base giuridica: art. 6, par. 1, lett. f) GDPR, il nostro interesse a un sito sicuro e veloce. Cloudflare è certificata ai sensi dell'EU-US Data Privacy Framework (sezione 7).

4.3 Statistiche sui visitatori con Plausible (senza cookie)

Per capire quali pagine vengono lette e da dove arrivano i visitatori utilizziamo Plausible Analytics. Gestiamo Plausible direttamente su un server di Orbita Media presso Hetzner in Germania; nessun dato viene trasmesso a Plausible Insights OÜ o ad altri terzi. Plausible non imposta cookie e non legge nulla dal Suo dispositivo. Dall'indirizzo IP e dall'identificativo del browser viene ricavato un valore, cifrato con un valore casuale che cambia ogni giorno, e non memorizzato in modo permanente; l'indirizzo IP in sé non viene memorizzato. Vengono salvati soltanto dati aggregati come visualizzazioni di pagina, pagina di provenienza, paese, tipo di dispositivo e browser. Non è possibile riconoscerLa su più giorni o più dispositivi.

Base giuridica: art. 6, par. 1, lett. f) GDPR. Il nostro legittimo interesse è migliorare il sito senza invadere la Sua sfera privata. Può opporsi (sezione 9); tecnicamente è sufficiente uno strumento del browser che blocchi Plausible.

4.4 Banner dei cookie e registrazione della Sua scelta

Alla prima visita Le chiediamo se acconsente ai servizi di statistica e marketing. Memorizziamo la Sua scelta nel cookie bs_consent del Suo browser per 6 mesi. Per poter dimostrare la Sua scelta (art. 7, par. 1, GDPR) registriamo sul nostro server un ID di consenso casuale, le categorie scelte, la versione del banner, la data e l'ora, senza alcun collegamento a un account. Base giuridica: art. 6, par. 1, lett. c) in combinato disposto con l'art. 7, par. 1, GDPR; per il cookie il § 25, comma 2, n. 2 TDDDG.

Può modificare o revocare la Sua scelta in qualsiasi momento tramite "Impostazioni cookie" in fondo a ogni pagina.

4.5 Statistica e marketing solo con consenso

Prima del Suo consenso i seguenti servizi non vengono caricati e nessun dato viene inviato a Google o Microsoft. Li utilizziamo soltanto sulle pagine pubbliche del sito (comprese le pagine degli strumenti gratuiti), non nell'account cliente, nel checkout o negli strumenti a pagamento.

Categoria "Statistica":

• Google Analytics 4 conta le visite, le pagine visualizzate, la provenienza (pagina di provenienza, parametri di campagna), il tipo di dispositivo e la regione approssimativa, e misura eventi come lo scorrimento, i clic su link verso altri siti e la compilazione di moduli. Lo script viene caricato da www.googletagmanager.com; in questo modo Google riceve il Suo indirizzo IP. Cookie: _ga e _ga_<ID>, 2 anni ciascuno. Google non memorizza l'indirizzo IP completo. I dati vengono cancellati dopo 14 mesi.
• Microsoft Clarity crea registrazioni delle sessioni e mappe di calore: quali pagine visualizza e come scorre, fa clic e muove il mouse. Gli inserimenti nei campi dei moduli sono mascherati e non vengono registrati. Cookie: _clck (1 anno), _clsk (1 giorno) e, sui domini Microsoft, ulteriori cookie tecnici come MUID (13 mesi). Le registrazioni vengono cancellate dopo 30 giorni; quelle contrassegnate come esempi al più tardi dopo 13 mesi.
• Identificativo del visitatore nel registro degli strumenti e punto di ingresso: con il Suo consenso salviamo nel registro degli strumenti gratuiti (sezione 4.10) un identificativo pseudonimo del visitatore, un hash abbreviato (HMAC) del Suo ID di consenso, per poter associare tra loro più creazioni dello stesso browser. Inoltre il Suo browser ricorda nella memoria bf_attr (sessionStorage) il punto di ingresso della Sua visita: pagina di ingresso, host della pagina di provenienza e parametri UTM. La voce termina con la sessione. Entrambi i dati restano presso di noi e non vengono inviati a Google o Microsoft.

Categoria "Marketing":

• Progressi con gli strumenti gratuiti: memorizziamo nella memoria locale del Suo browser quali dei sei strumenti gratuiti ha già usato, così che i progressi "x di 6" e il bonus per la quarta di copertina continuino a contare da una pagina all'altra (sezione 5). L'elenco resta nel Suo browser e non viene inviato a Google o Microsoft.

Google Signals (il collegamento con gli account Google per report su più dispositivi) è disattivato nella nostra proprietà Google Analytics; le impostazioni ad_storage e ad_user_data della modalità di consenso di Google restano quindi sempre su "negato". Non mostriamo annunci e non facciamo retargeting.

Fornitori: Google Ireland Limited, Gordon House, Barrow Street, Dublino 4, Irlanda, e Microsoft Ireland Operations Limited, One Microsoft Place, South County Business Park, Leopardstown, Dublino 18, Irlanda. Entrambi operano per questi servizi come nostri responsabili del trattamento; Microsoft utilizza inoltre alcuni dati per finalità proprie, come descritto nella sua informativa sulla privacy. Abbiamo disattivato in Google Analytics le impostazioni di condivisione dei dati che consentirebbero a Google di utilizzarli per finalità proprie. Google LLC e Microsoft Corporation negli Stati Uniti possono accedere ai dati (sezione 7).

Base giuridica: il Suo consenso, art. 6, par. 1, lett. a) GDPR e § 25, comma 1 TDDDG. Può revocarlo in qualsiasi momento tramite "Impostazioni cookie"; i servizi non vengono più caricati e cancelliamo dal Suo browser i cookie indicati.

4.6 Account e accesso

Per un account trattiamo il Suo indirizzo e-mail, il Suo nome se lo indica, una password in forma cifrata oppure l'identificativo di un servizio di accesso, la lingua, la valuta, nonché la data della registrazione e della conferma del Suo indirizzo e-mail. Per le fatture può aggiungere indirizzo di fatturazione, ragione sociale e partita IVA.

Registrazione, accesso e gestione delle sessioni sono gestiti per nostro conto da Clerk, Inc., USA. A tal fine Clerk tratta il Suo indirizzo e-mail, i dati di accesso, l'indirizzo IP e i dati del browser e imposta i cookie necessari per l'accesso. Clerk è certificata ai sensi dell'EU-US Data Privacy Framework (sezione 7).

Finalità: accesso al Suo account e attribuzione di progetti, acquisti e credito. Base giuridica: art. 6, par. 1, lett. b) GDPR.

Prove gratuite. Nei primi 14 giorni un nuovo account può provare gratuitamente fino a tre strumenti, ciascuno una volta per account e dispositivo. Gli indirizzi di servizi e-mail usa e getta non ricevono prove e da uno stesso indirizzo IP ricevono prove al massimo tre nuovi account al giorno. Per ogni prova memorizziamo l'ID dell'account, l'indirizzo e-mail confermato, un identificativo del dispositivo ricavato dal cookie di sicurezza del Suo browser (sezione 5) e l'ora. Non memorizziamo il Suo indirizzo IP, ma solo un valore cifrato con una chiave che cambia ogni giorno (HMAC), che cancelliamo dopo 7 giorni. Base giuridica: art. 6, par. 1, lett. f) GDPR, il nostro interesse a prevenire abusi dei servizi gratuiti; può opporsi ai sensi della sezione 9. Bonus di benvenuto. A tal fine memorizziamo l'ora della Sua prima prova, la scadenza calcolata da essa e se ha ricevuto il bonus (art. 6, par. 1, lett. b) GDPR).

4.7 Ordini, credito e pagamenti

Trattiamo i Suoi ordini, i servizi e i contingenti acquistati, il Suo credito con tutti i movimenti (ricarica, bonus, utilizzo, scadenza, rimborso), i codici sconto utilizzati, gli accrediti da segnalazione, le fatture e lo stato dei pagamenti.

I pagamenti sono elaborati da Stripe Payments Europe, Ltd., 1 Grand Canal Street Lower, Grand Canal Dock, Dublino, D02 H210, Irlanda. Lei inserisce i dati della carta o del conto direttamente presso Stripe; noi non li memorizziamo. Da Stripe riceviamo soltanto la conferma di pagamento, l'importo, il metodo di pagamento, per le carte le ultime quattro cifre, e un ID di transazione. Stripe calcola inoltre per noi l'IVA in base al Suo paese e, se del caso, alla Sua partita IVA, ed emette la fattura. Per la prevenzione delle frodi, il rispetto delle norme antiriciclaggio e i propri obblighi legali Stripe opera come titolare autonomo del trattamento. Se sceglie PayPal, Satispay, Apple Pay o Google Pay, anche il rispettivo servizio di pagamento riceve, sotto la propria responsabilità, i dati necessari al pagamento.

Finalità: esecuzione del contratto, fatturazione, contabilità e prevenzione delle frodi. Base giuridica: art. 6, par. 1, lett. b) e c) GDPR; per la prevenzione delle frodi art. 6, par. 1, lett. f) GDPR. In caso di storno di un addebito (chargeback) sospendiamo provvisoriamente l'account; una persona esamina il caso prima di una decisione definitiva.

4.8 I Suoi progetti, manoscritti e risultati

Quando utilizza gli strumenti, memorizziamo i Suoi progetti editoriali con tutti i file caricati (ad esempio manoscritti, immagini, copertine), i Suoi inserimenti e impostazioni e i risultati generati (ad esempio struttura e capitoli, testo revisionato con revisioni visibili, file di copertina, PDF di stampa, EPUB, quarte di copertina, titoli, parole chiave, categorie, moduli A+) con le relative versioni. Questi dati sono memorizzati sui nostri server presso Hetzner in Germania.

I Suoi contenuti possono contenere dati personali, ad esempio il Suo nome d'autore, una foto dell'autore, una biografia o informazioni su persone che compaiono nel libro. Finalità: fornitura del servizio prenotato e messa a disposizione della Sua libreria con download ed esportazione dei dati. Base giuridica: art. 6, par. 1, lett. b) GDPR.

Se i Suoi contenuti contengono dati personali di terzi, ne è Lei stesso responsabile (§ 17, comma 3, delle Condizioni generali di contratto). Nella misura in cui trattiamo tali dati per Suo conto, si applica l'accordo sul trattamento dei dati di cui al § 17, comma 4, delle Condizioni generali di contratto.

Per convertire i file di stampa nel formato di stampa PDF/X utilizziamo il servizio pdfRest di Datalogics, Inc., USA, esclusivamente tramite i suoi data center nell'UE.

4.9 Elaborazione con IA negli strumenti

Gli strumenti "Scrivere un libro", editing, copertina, quarta di copertina, titoli, categorie, parole chiave e A+ funzionano con modelli di IA (dettagli nella nota sulla trasparenza dell'IA). A tal fine inviamo a fornitori esterni di IA i contenuti necessari per ciascun risultato: ad esempio l'idea e la struttura del libro, parti del Suo manoscritto, immagini per la copertina o la Sua descrizione del libro. Non inviamo dati di pagamento e, salvo che servano per il risultato, nemmeno il Suo nome o il Suo indirizzo e-mail.

Attualmente utilizziamo i seguenti fornitori:

I due intermediari trasmettono i contenuti per l'elaborazione al produttore del rispettivo modello, in particolare Anthropic PBC (USA), OpenAI (USA), Google (USA) e, per singole funzioni di immagine, ByteDance o BytePlus (fuori dall'UE). Secondo quanto dichiarato dall'intermediario di Hong Kong, a seconda del prezzo e della disponibilità le richieste passano anche attraverso altri rivenditori e attraverso la capacità di abbonamenti; l'intermediario non comunica quali siano, caso per caso, questi soggetti né in quale paese abbiano sede. Il modello utilizzato da uno strumento può cambiare se un modello non è disponibile o se passiamo a uno migliore. Su richiesta a support@getbookfairy.com Le comunichiamo i destinatari concreti (art. 15, par. 1, lett. c) GDPR).

I fornitori trattano i contenuti per generare il risultato per noi. Noi stessi non utilizziamo i Suoi contenuti per addestrare, perfezionare o migliorare modelli di IA, salvo Suo consenso separato ed esplicito (§ 8, comma 3, delle Condizioni generali di contratto). Ci rivolgiamo a tutti i fornitori tramite le loro interfacce di programmazione (API); attraverso quali canali e account gli intermediari gestiscano poi le richieste lo decidono loro.

Con i due intermediari non abbiamo stipulato né un contratto ai sensi dell'art. 28 GDPR né un accordo che escluda l'uso dei Suoi contenuti per l'addestramento. Non possiamo quindi escludere che gli intermediari o i soggetti di cui si avvalgono conservino i contenuti secondo le proprie condizioni o li utilizzino per gestire e migliorare i propri servizi e modelli. La durata della conservazione dipende dalle loro condizioni; non siamo in grado di farne disporre la cancellazione presso di loro. Per questo motivo La invitiamo a non caricare negli strumenti documenti d'identità, dati fiscali o sanitari, né fotografie di altre persone.

Base giuridica: art. 6, par. 1, lett. b) GDPR, perché l'elaborazione con IA è il servizio da Lei prenotato. Per i trasferimenti verso paesi terzi si veda la sezione 7.

I risultati dell'IA sono proposte; non costituiscono una decisione che La riguarda ai sensi dell'art. 22 GDPR.

Dettatura. Nei campi di testo lunghi può dettare il testo anziché digitarlo. La registrazione inizia solo quando tocca il pulsante del microfono e il Suo browser ha consentito l'accesso al microfono; se scarta la registrazione, non viene trasmesso nulla. Quando la conclude con «Fatto», inviamo la registrazione a Groq (Groq UK Limited, 3 Hammersmith Grove, London W6 0ND, Regno Unito, insieme a Groq LLC negli USA), dove il modello vocale Whisper large-v3 la trascrive. La registrazione contiene la Sua voce e tutto ciò che dice, quindi può contenere anche dati personali che riguardano Lei o altre persone. La Sua voce viene soltanto trascritta e non viene analizzata per riconoscerLa. Il testo compare nel campo affinché Lei possa controllarlo; viene trattato oltre solo quando è Lei a inviare il modulo (in tal caso si applica la sezione 4.8).

La finalità è l'inserimento di testo tramite la voce. Base giuridica: art. 6, par. 1, lett. b) GDPR; l'uso della dettatura è facoltativo e ogni testo può essere anche digitato. Non conserviamo né la registrazione né il testo trascritto. Per il limite giornaliero e il nostro riepilogo dei costi registriamo per ogni registrazione soltanto data e ora, durata, lingua riconosciuta e costo, collegati al Suo account. Groq opera come nostro responsabile del trattamento sulla base di un contratto ai sensi dell'art. 28 GDPR, che non le consente di utilizzare registrazioni e testi per addestrare modelli di IA. Secondo quanto dichiarato da Groq, di norma le richieste non vengono conservate; solo per risolvere malfunzionamenti o in caso di sospetto abuso Groq può registrare richieste e risultati per un massimo di 30 giorni, salvo che la legge imponga una conservazione più lunga. Per i trasferimenti verso il Regno Unito e gli USA si veda la sezione 7.

4.10 Strumenti gratuiti senza account

Il generatore di codici QR, il calcolatore del dorso, il modello di copertina KDP, il codice a barre ISBN, il calcolatore dei costi di stampa e la stima da parole a pagine funzionano senza account. Utilizziamo i Suoi inserimenti (ad esempio numero di pagine, tipo di carta, ISBN o contenuto di un codice QR) per calcolare il risultato o creare il file. Base giuridica per questo: art. 6, par. 1, lett. b) GDPR.

File. Le immagini e i PDF degli strumenti vengono creati a ogni richiesta nella memoria di lavoro, Le vengono inviati e non vengono mai salvati, né su disco né nel database. I download non contengono metadati che rimandino a Lei o a noi come persone (autore del PDF vuoto, creatore soltanto il nome dello strumento).

Registro. Teniamo però un registro di ciò che viene creato con gli strumenti. Per ogni creazione salviamo una voce con:

• data e ora, strumento, tipo (anteprima, download o risultato) e formato del file,
• i Suoi inserimenti in forma ridotta: ISBN e testo del codice a barre; per i codici QR, di un indirizzo di destinazione solo schema, host e percorso (senza parametri), di un testo solo la lunghezza, per e-mail, telefono e SMS solo il tipo, per il Wi-Fi solo il tipo di cifratura, per una vCard solo quali campi sono compilati e l'host del sito web; del logo solo "sì" o "no", nessun dato dell'immagine; gli indirizzi e-mail nei testi liberi vengono sostituiti da un segnaposto,
• per i calcolatori, i valori inseriti e i dati numerici del risultato,
• la provenienza: host della pagina di provenienza, parametri UTM, pagina di ingresso, pagina corrente e lingua,
• il Suo ID cliente, soltanto se ha effettuato l'accesso,
• il collegamento con la Sua iscrizione alla newsletter (sezione 4.12), se si iscrive subito dopo una creazione.

Le anteprime di una stessa visualizzazione di pagina vengono riunite in un'unica voce (con un contatore). Nel registro non salviamo alcun indirizzo IP e, senza il Suo consenso alla statistica, una voce non contiene alcun identificativo del visitatore.

Solo con il Suo consenso (statistica, sezione 4.5) si aggiungono un identificativo pseudonimo del visitatore nel registro e la memoria bf_attr nel Suo browser, che contiene il punto di ingresso della Sua visita (pagina di ingresso, host della pagina di provenienza, parametri UTM). Senza consenso la voce contiene soltanto i valori della pagina corrente.

Finalità, base giuridica, durata. Vogliamo migliorare gli strumenti e valutare per quali libri (ISBN) e per quali scopi vengono usati e attraverso quali canali i visitatori arrivano da noi. La base giuridica del registro è l'art. 6, par. 1, lett. f) GDPR; per l'identificativo del visitatore e per bf_attr è il Suo consenso ai sensi dell'art. 6, par. 1, lett. a) GDPR e del § 25, comma 1 TDDDG. Può opporsi al registro ai sensi della sezione 9 (art. 21 GDPR). Cancelliamo le voci automaticamente dopo 14 mesi (cancellazione giornaliera), per poter confrontare un anno intero con quello precedente; per lo stesso periodo conserva i dati anche Google Analytics.

4.11 E-mail

Le inviamo le e-mail necessarie all'esecuzione del contratto, ad esempio per confermare il Suo indirizzo e-mail, conferme d'ordine e di contratto, fatture, avvisi su risultati pronti, credito in scadenza o modifiche delle condizioni. Base giuridica: art. 6, par. 1, lett. b) e c) GDPR.

Tra le e-mail necessarie all'esecuzione del contratto rientrano anche un'e-mail di benvenuto dopo la creazione dell'account, il messaggio che la Sua prova gratuita è pronta, un promemoria prima della scadenza delle prove non utilizzate e un messaggio se un pagamento non è stato completato. Queste e-mail non contengono pubblicità. Offerte via e-mail. Se ha un account, Le inviamo offerte relative a strumenti e servizi analoghi di Bookfairy, ad esempio per sbloccare uno strumento provato, sul bonus di benvenuto prima della scadenza, su altri strumenti adatti, sul credito non utilizzato o dopo una pausa più lunga. Base giuridica: § 7, comma 3, della legge tedesca contro la concorrenza sleale (UWG), art. 13, par. 2, della direttiva 2002/58/CE e art. 130, comma 4, del Codice privacy; nella misura in cui si applica anche il GDPR, art. 6, par. 1, lett. f) GDPR, il nostro interesse al marketing diretto. Quale e-mail riceve dipende dal Suo account: prove utilizzate, acquisti, pagamenti aperti, credito, scadenza del bonus e ultimo utilizzo. Con il consenso dato alla creazione dell'account (art. 6, par. 1, lett. a) GDPR) Le inviamo anche consigli e novità. Può opporsi alle offerte e revocare il consenso in qualsiasi momento, senza costi oltre a quelli di trasmissione secondo le tariffe di base: con il link presente in ogni e-mail di questo tipo, nelle impostazioni dell'account o scrivendo a support@getbookfairy.com; l'effetto è immediato. Memorizziamo la Sua opposizione per non contattarLa di nuovo. Come prova del Suo consenso memorizziamo l'ora, il testo e la lingua del testo di consenso e la conferma del Suo indirizzo e-mail da parte di Clerk (art. 6, par. 1, lett. c), in combinato disposto con l'art. 7, par. 1, GDPR).

Le e-mail vengono inviate tramite Amazon Simple Email Service di Amazon Web Services EMEA SARL, 38 Avenue John F. Kennedy, L-1855 Lussemburgo, con data center nell'UE. Non si può escludere l'accesso da parte di Amazon.com, Inc. negli Stati Uniti (sezione 7).

4.12 Newsletter, PDF gratuito e codici personali

Dopo aver usato uno degli strumenti gratuiti può iscriversi alla nostra newsletter e ricevere in cambio un PDF gratuito. A tal fine trattiamo:

• il Suo indirizzo e-mail, la lingua e la valuta del sito,
• lo strumento presso cui si è iscritto, il momento dell'iscrizione (dopo un risultato o all'uscita dalla pagina) e gli strumenti gratuiti che, secondo il Suo browser, ha già usato (al massimo sei),
• data e ora dell'iscrizione, della conferma ed eventualmente della disiscrizione,
• come prova del Suo consenso, la versione e il testo completo del consenso che ha visto, oltre a un valore cifrato (HMAC) del Suo indirizzo IP e dell'identificativo del Suo browser; l'indirizzo IP e l'identificativo del browser in quanto tali non vengono memorizzati,
• quali e-mail Le abbiamo inviato e quando, con l'identificativo di invio di Amazon SES, e i codici personali collegati alla Sua iscrizione.

Double opt-in. Dopo l'iscrizione riceve un'e-mail con un link di conferma. L'iscrizione diventa efficace solo quando la conferma nella pagina collegata. Questa e-mail non contiene pubblicità; la inviamo al massimo ogni 10 minuti e al massimo tre volte allo stesso indirizzo. Se non conferma, non riceve altre e-mail e cancelliamo l'iscrizione dopo 30 giorni.

Contenuto e frequenza. Nelle prime due settimane dopo la conferma riceve fino a sei e-mail: il PDF gratuito, indicazioni sui file di stampa, un esempio di calcolo, un codice sconto personale con un promemoria prima della scadenza e una panoramica delle anteprime gratuite. In seguito inviamo al massimo due e-mail al mese con consigli su come scrivere, impaginare, stampare e pubblicare libri, novità e offerte di Bookfairy.

Contenuti in base allo strumento. Le indicazioni e gli esempi contenuti nelle e-mail dipendono dallo strumento presso cui si è iscritto, per esempio i file di stampa dopo il codice a barre, il modello di copertina o il calcolo del dorso. Non creiamo alcun profilo ulteriore. Non misuriamo se Lei personalmente apre le nostre e-mail o fa clic sui link. Solo nelle e-mail con offerte contiamo in forma anonima quante volte un pulsante al loro interno è stato cliccato: un totale per tipo di e-mail e giorno, senza memorizzare indirizzo e-mail, account, indirizzo IP o dispositivo, in modo che il numero non possa essere ricondotto a una persona (art. 6, par. 1, lett. f GDPR, miglioramento delle nostre offerte). A tal fine queste e-mail fanno passare i pulsanti dal nostro indirizzo; le e-mail di servizio no. Le nostre e-mail non contengono alcuna immagine di conteggio né altre misurazioni dell'apertura.

Codici personali. Con la newsletter riceve un codice sconto personale per il primo ordine, valido 48 ore. Se al momento dell'iscrizione aveva usato almeno tre strumenti gratuiti diversi, dopo la conferma riceve anche un codice per una quarta di copertina gratuita, uno per indirizzo e-mail. Il numero di strumenti usati viene contato dal Suo browser; noi lo riprendiamo dall'iscrizione. Se utilizza un codice, lo trattiamo come qualsiasi utilizzo di un codice nel checkout (sezione 4.7).

Collegamento con il registro degli strumenti. Se si iscrive subito dopo una creazione, colleghiamo l'iscrizione alla voce corrispondente nel registro degli strumenti gratuiti (sezione 4.10), per vedere quale strumento ha portato all'iscrizione. Il registro stesso non contiene il Suo indirizzo e-mail.

Facoltatività. L'iscrizione è facoltativa. Gli strumenti gratuiti funzionano completamente senza iscrizione e senza consenso; solo il PDF e i codici personali sono legati alla newsletter.

Basi giuridiche. Per la newsletter, il Suo consenso (art. 6, par. 1, lett. a) GDPR; per la pubblicità via e-mail anche il § 7, comma 2, n. 2 della legge tedesca contro la concorrenza sleale, UWG). Per la registrazione del consenso, l'art. 6, par. 1, lett. c) in combinato disposto con l'art. 7, par. 1 GDPR. Per impedire iscrizioni di massa limitiamo il numero di iscrizioni per indirizzo IP; a tal fine un valore cifrato dell'indirizzo IP resta per 10 minuti nella memoria temporanea del nostro server. La base giuridica è l'art. 6, par. 1, lett. f) GDPR, il nostro interesse a prevenire abusi.

Revoca. Può revocare il consenso in qualsiasi momento con effetto per il futuro: con un clic sul link di disiscrizione presente in ogni e-mail, con la funzione di disiscrizione del Suo programma di posta oppure scrivendo a support@getbookfairy.com. La disiscrizione ha effetto immediato; le e-mail della sequenza ancora in programma non vengono più inviate.

Invio. Le e-mail vengono inviate da Amazon Simple Email Service di Amazon Web Services EMEA SARL, 38 Avenue John F. Kennedy, L-1855 Lussemburgo, in qualità di nostro responsabile del trattamento, tramite il data center di Stoccolma, Svezia (regione eu-north-1). Gli indirizzi non recapitabili, o i cui destinatari hanno segnalato un'e-mail come spam, vengono inseriti da Amazon SES in una lista di blocco del nostro account, così da non scrivere loro di nuovo.

Conservazione. Cancelliamo le iscrizioni non confermate dopo 30 giorni. Finché è iscritto, conserviamo i dati per la newsletter. Dopo la disiscrizione cancelliamo il Suo indirizzo e-mail entro 30 giorni; la registrazione di consenso e revoca, con un valore cifrato dell'indirizzo al posto dell'indirizzo stesso, la conserviamo per altri 3 anni come prova e poi la cancelliamo.

4.13 Segnalazioni

Se arriva da noi tramite un link di segnalazione, al momento della registrazione assegniamo il Suo account alla persona che L'ha segnalata. Se in un unico ordine acquista almeno per l'importo minimo indicato nella pagina delle segnalazioni, Lei e la persona segnalante ricevete ciascuno un accredito in token dopo il periodo di attesa lì indicato, purché l'acquisto non sia stato rimborsato o stornato; se viene rimborsato o stornato in seguito, annulliamo l'accredito. Prima dell'accredito verifichiamo che nessuno si sia segnalato da solo. A tal fine confrontiamo i due account in base all'indirizzo e-mail, all'identificativo del dispositivo usato per le anteprime gratuite, agli indirizzi IP registrati all'accesso e al codice identificativo della carta di pagamento generato dal nostro fornitore di pagamenti Stripe (non il numero della carta). La persona segnalante vede soltanto la prima lettera del Suo nome o del Suo indirizzo e-mail, se un acquisto ha generato l'accredito e quando verrà registrato; non vede il Suo indirizzo e-mail, i Suoi ordini né i Suoi contenuti, né il motivo per cui una segnalazione non è stata riconosciuta. Base giuridica: art. 6, par. 1, lett. b) GDPR nei confronti della persona segnalante e art. 6, par. 1, lett. f) GDPR nei Suoi confronti (legittimo interesse: gestire il programma e prevenire abusi); può opporsi.

4.14 Contatto e assistenza

Se ci scrive, trattiamo il Suo messaggio, i Suoi dati di contatto ed eventuali allegati per gestire la Sua richiesta. Base giuridica: art. 6, par. 1, lett. b) GDPR per domande relative al contratto, altrimenti art. 6, par. 1, lett. f) GDPR.

4.15 Esportazione dei dati e cancellazione dell'account

Può esportare in qualsiasi momento i Suoi dati e contenuti dal Suo account. Se cancella il Suo account, lo spostiamo prima in un cestino da cui può ripristinarlo; viene cancellato definitivamente solo in un secondo passaggio. I dati che siamo tenuti a conservare (ad esempio le fatture) vengono limitati fino alla scadenza del periodo di conservazione anziché cancellati.

4.16 Indirizzi brevi e inoltro dei QR code (QR code dinamici)

Con l'abbonamento "QR code dinamici" i clienti creano QR code che contengono un indirizzo breve su un nostro dominio separato, utilizzato solo a questo scopo (dominio di inoltro). Chi scansiona uno di questi codici apre l'indirizzo breve e il nostro server lo inoltra subito alla destinazione stabilita dal cliente. La presente sezione riguarda chiunque scansioni o segnali un codice e i clienti che gestiscono i codici. È consultabile anche sul dominio di inoltro all'indirizzo /privacy.

Chi è responsabile. Per l'inoltro, la sicurezza del servizio, la prevenzione degli abusi e la gestione delle segnalazioni siamo noi il titolare del trattamento (sezione 1). Le statistiche delle scansioni le elaboriamo per conto del cliente che distribuisce il codice, ad esempio su un libro, un manifesto o un volantino (trattamento per conto ai sensi dell'art. 28 GDPR). Per queste statistiche il titolare è il cliente, che ne informa nella propria informativa sulla privacy. Le richieste relative alle statistiche che riceviamo le inoltriamo al cliente.

Cosa viene trattato durante la scansione. Quando viene aperto un indirizzo breve, i nostri server ricevono, come per qualsiasi sito web, il Suo indirizzo IP, la data e l'ora, l'indirizzo breve richiesto e le informazioni che il Suo browser invia di per sé (user agent, impostazione della lingua). Il traffico passa attraverso Cloudflare (sezione 4.2); Cloudflare ricava il paese dall'indirizzo IP e ci trasmette soltanto il codice del paese. Utilizziamo questi dati per inoltrarLa o mostrarLe una pagina informativa nella Sua lingua, per contare la scansione e per proteggere il servizio da abusi e sovraccarichi. A differenza del sito web (sezione 4.1), non registriamo le richieste al dominio di inoltro nei log del server; trattiamo l'indirizzo IP solo per la durata della richiesta. Al sito di destinazione non trasmettiamo alcuna informazione su di Lei; ciò che avviene lì è disciplinato dall'informativa sulla privacy di quel sito.

Nessun cookie, nessun JavaScript, nessun riconoscimento. Gli indirizzi brevi e tutte le pagine del dominio di inoltro non impostano cookie, non utilizzano la memoria del Suo browser e non contengono JavaScript. Non memorizziamo nulla sul Suo dispositivo e non leggiamo nulla da esso. Dall'indirizzo IP e dallo user agent non ricaviamo alcun identificativo né alcun valore hash e non La riconosciamo in caso di una nuova scansione. Contiamo le scansioni, non le persone.

Statistiche delle scansioni. Per ogni scansione aumentiamo un contatore giornaliero. Memorizziamo soltanto il codice, il giorno (tempo coordinato universale, UTC), il paese come codice del paese oppure "sconosciuto", la categoria di dispositivo (smartphone, tablet, computer, richiesta automatica, altro), la famiglia del sistema operativo (iOS, Android, Windows, macOS, Linux, altro) e il numero. Categoria di dispositivo e sistema operativo vengono ricavati dallo user agent al momento della richiesta; lo user agent stesso e l'indirizzo IP non vengono memorizzati per le statistiche. Le richieste automatiche, come le anteprime dei link nelle app di messaggistica, vengono contate separatamente. I contatori restano fino a 3 giorni nella memoria temporanea del nostro server e vengono trasferiti ogni minuto nel database. I valori giornalieri memorizzati non consentono di risalire a singole persone. Il cliente li vede nel proprio account e può scaricarli come file CSV.

Pagine informative. Al posto dell'inoltro immediato può comparire una pagina del dominio di inoltro: "Codice in verifica", finché una destinazione nuova o modificata non è ancora stata controllata; un avviso con la destinazione e il pulsante "Continua" nei primi 3 giorni dopo il primo abbonamento di un cliente e mentre un codice segnalato o sospetto è in verifica; una pagina di blocco per i codici bloccati. Anche queste pagine non impostano cookie e non contengono JavaScript.

Controllo delle destinazioni. Prima dell'attivazione controlliamo automaticamente ogni nuova destinazione sul nostro server: con elenchi pubblici di siti noti di phishing, truffa e malware (attualmente Phishing.Database, Block List Project e HaGeZi Threat Intelligence Feeds) e in base a regole proprie, ad esempio nessun servizio di accorciamento link di terzi, nessun download diretto di file eseguibili e un nostro elenco di domini bloccati. Lo stesso controllo si ripete a ogni modifica di una destinazione e regolarmente per tutte le destinazioni attive; scarichiamo gli elenchi di nuovo più volte al giorno. Ci limitiamo a scaricare gli elenchi e a confrontare le destinazioni da noi: per questo non trasmettiamo a terzi né indirizzi di destinazione, né dati di chi scansiona, né dati dei clienti. I nuovi account che modificano molte destinazioni in poco tempo vengono rallentati automaticamente.

Segnalare un abuso. Sul dominio di inoltro può segnalare un codice all'indirizzo /report, anche senza account (art. 16 del Regolamento (UE) 2022/2065 relativo a un mercato unico dei servizi digitali, "DSA"). Trattiamo l'indirizzo breve o il codice, la categoria, la Sua motivazione, in caso di violazione di diritti d'autore, di marchio o della personalità il diritto interessato e il suo titolare, il Suo nome e il Suo indirizzo e-mail, la Sua conferma di segnalare in buona fede, la lingua e il momento della segnalazione. Per le segnalazioni di materiale pedopornografico, nome e indirizzo e-mail sono facoltativi. Finalità: esame della segnalazione, conferma di ricezione, comunicazione della nostra decisione e prova nei confronti di autorità e tribunali. Il cliente viene a sapere che un codice è stato segnalato o bloccato e per quale motivo; il Suo nome lo comunichiamo solo se strettamente necessario per l'esame, ad esempio quando si tratta di Suoi diritti. Le informazioni su reati che minacciano la vita o la sicurezza delle persone le comunichiamo alle autorità di contrasto (art. 18 DSA). Per evitare segnalazioni di massa limitiamo il numero di segnalazioni per connessione; a tal fine un valore cifrato (HMAC) del Suo indirizzo IP resta per 10 minuti nella memoria temporanea del nostro server.

Dati dei clienti. Per l'abbonamento trattiamo per ogni codice l'indirizzo breve, la destinazione attuale e quelle precedenti, il nome del codice, la grafica ed eventuale logo caricato, lo stato, i risultati dei controlli nonché segnalazioni, blocchi, motivazioni e reclami relativi; i pagamenti sono gestiti da Stripe (sezione 4.7). Se blocchiamo un codice, riceve la motivazione via e-mail. Dopo la fine dell'abbonamento un codice continua a inoltrare all'ultima destinazione; a tal fine continuiamo a conservare il codice e la destinazione. Se cancella definitivamente un codice, rimuoviamo destinazione, nome, grafica e logo; resta riservato soltanto l'indirizzo breve, affinché non punti mai a un'altra destinazione.

Basi giuridiche. Inoltro, pagine informative e controllo delle destinazioni: art. 6, par. 1, lett. f) GDPR. Il nostro legittimo interesse, e quello di chi scansiona, consiste nel raggiungere in modo affidabile la destinazione desiderata e nell'essere protetti da phishing, malware e sovraccarichi (considerando 49 GDPR). Nei confronti dei clienti, inoltro, controlli e gestione dei codici fanno inoltre parte del contratto (art. 6, par. 1, lett. b) GDPR). Statistiche delle scansioni: art. 6, par. 1, lett. f) GDPR; il legittimo interesse del cliente consiste nel misurare la diffusione dei propri codici stampati. Poiché non creiamo identificativi, non memorizziamo nulla sul Suo dispositivo e non riconosciamo nessuno, i Suoi interessi non prevalgono. Segnalazioni, motivazione dei blocchi e comunicazioni alle autorità di contrasto: art. 6, par. 1, lett. c) GDPR in combinato disposto con gli artt. 16, 17 e 18 DSA; conservazione come prova e limitazione delle segnalazioni: art. 6, par. 1, lett. f) GDPR.

Conservazione. Contatori delle scansioni nella memoria temporanea fino a 3 giorni; valori giornalieri delle statistiche per la durata dell'abbonamento e fino a 30 giorni dopo la sua fine (esportabili dall'account finché l'abbonamento è attivo); segnalazioni, decisioni, reclami e destinazioni precedenti 3 anni (prescrizione ai sensi dei §§ 195 e 199 del codice civile tedesco, BGB); valore per la limitazione delle segnalazioni 10 minuti; codici con la loro destinazione finché l'inoltro è attivo.

Lista d'attesa. Finché i QR code dinamici non sono ancora disponibili, può iscriversi a una lista d'attesa; per questa vale la sezione 4.17.

I Suoi diritti. Si applicano i diritti di cui alla sezione 9, in particolare il diritto di opposizione ai sensi dell'art. 21 GDPR e il diritto di proporre reclamo all'autorità di controllo di Amburgo per la protezione dei dati e la libertà d'informazione. Di chi scansiona non conserviamo nulla che lo identifichi. Non possiamo quindi attribuire una singola scansione a una persona; i diritti di cui agli artt. da 15 a 20 GDPR si applicano a questo riguardo solo se ci fornisce informazioni aggiuntive che consentano tale attribuzione (art. 11, par. 2, GDPR).

4.17 Liste d'attesa per le offerte in arrivo

Per le offerte non ancora disponibili può iscriversi a una lista d'attesa sul nostro sito, attualmente per i QR code dinamici (sezione 4.16) e per il nostro abbonamento (Start, Plus, Pro). L'unico scopo è inviarLe un'e-mail non appena l'offerta scelta sarà disponibile, più al massimo un promemoria. A questo indirizzo non inviamo newsletter né altra pubblicità. Il numero delle iscrizioni confermate ci aiuta a decidere se e quando avviare un'offerta; a tal fine consideriamo solo i totali per offerta, valuta e preferenza di fatturazione. Per ogni offerta si iscrive separatamente. Trattiamo:

• il Suo indirizzo e-mail, l'offerta scelta, la lingua e la valuta della pagina e, se la indica, la Sua preferenza per una fatturazione mensile o annuale,
• data e ora dell'iscrizione, della conferma ed eventualmente dell'uscita dalla lista,
• come prova del Suo consenso, la versione e il testo integrale del consenso che ha visto, nonché un valore cifrato (HMAC) del Suo indirizzo IP e dell'identificativo del Suo browser al momento dell'iscrizione e della conferma; l'indirizzo IP e l'identificativo del browser in sé non li conserviamo.

Double opt-in e revoca. Dopo l'iscrizione riceve un'e-mail con un link di conferma. Risulta iscritto solo dopo aver confermato nella pagina collegata. Il link è valido 7 giorni; per ogni offerta inviamo allo stesso indirizzo al massimo tre e-mail di conferma nell'arco di 24 ore. L'iscrizione è facoltativa e non La impegna a nulla, nemmeno a un acquisto futuro. Può revocare il consenso in qualsiasi momento con effetto per il futuro e uscire dalla lista: con il link presente in ogni e-mail, con la funzione di disiscrizione del Suo programma di posta oppure scrivendo a support@getbookfairy.com. Le e-mail sono inviate da Amazon Simple Email Service come descritto nella sezione 4.12. Le liste sono visibili solo al nostro team.

Basi giuridiche. Per la lista d'attesa, il Suo consenso (art. 6, par. 1, lett. a) GDPR); per la registrazione del consenso, l'art. 6, par. 1, lett. c) in combinato disposto con l'art. 7, par. 1 GDPR. Per impedire iscrizioni di massa limitiamo il numero di iscrizioni per connessione; a tal fine un valore cifrato (HMAC) del Suo indirizzo IP resta per 10 minuti nella memoria temporanea del nostro server (art. 6, par. 1, lett. f) GDPR, il nostro interesse a prevenire abusi).

Conservazione. Cancelliamo le iscrizioni non confermate dopo 30 giorni. Dopo la Sua uscita dalla lista, o dopo che abbiamo cancellato una voce, rimuoviamo l'indirizzo e-mail entro 30 giorni. Rimuoviamo le iscrizioni confermate 3 mesi dopo l'e-mail di avvio dell'offerta oppure, se l'offerta non viene avviata, 24 mesi dopo la Sua conferma. Successivamente conserviamo solo la registrazione del consenso, con un valore cifrato dell'indirizzo al posto dell'indirizzo stesso, per altri 3 anni come prova e poi la cancelliamo.

4.18 App e notifiche

Può installare Bookfairy come app sul Suo dispositivo e attivare le notifiche nel Suo account. In tal caso La avvisiamo su questo dispositivo quando un risultato è pronto, l'assistenza risponde o i token stanno finendo o scadono. Le notifiche non contengono pubblicità. Solo dopo il Suo clic nell'account trattiamo:

• l'indirizzo che il browser o il dispositivo genera per le notifiche e le relative chiavi, il nome del dispositivo (ad esempio «Android, Chrome») e l'ora dell'ultima consegna; a tal fine viene memorizzato un abbonamento nel browser o sul dispositivo,
• se la pagina è in esecuzione come app installata e se il messaggio di conferma è arrivato.

Il contenuto di ogni notifica è cifrato end-to-end. Il servizio push (sezione 6) vede solo l'indirizzo, l'ora e la dimensione del messaggio.

Regalo per app e notifiche. Se offriamo token per l'uso dell'app con le notifiche attive, verifichiamo una volta per account e dispositivo che le condizioni siano soddisfatte. A tal fine conserviamo un valore cifrato (HMAC) dell'indirizzo e del Suo identificativo del browser, oltre a un valore dell'indirizzo IP che cambia ogni giorno, per limitare il numero di regali per indirizzo e giorno.

Basi giuridiche. Art. 6, par. 1, lett. b) GDPR per la consegna e il regalo, art. 122 del Codice privacy e § 25, comma 2, n. 2 TDDDG per l'abbonamento sul Suo dispositivo, perché con il Suo clic richiede espressamente il servizio; art. 6, par. 1, lett. f) GDPR per la protezione del regalo da abusi.

Disattivazione. Può disattivare le notifiche in qualsiasi momento nelle impostazioni o rimuovere un dispositivo dall'elenco; quando esce dall'account rimuoviamo il dispositivo attuale dal Suo account. Cancelliamo quindi subito i dati dell'abbonamento, anche quando il servizio push non riconosce più l'abbonamento. Il regalo non ne è influenzato.

4.19 Dati pubblici dei libri modello (analisi dei bestseller)

In alcuni strumenti (ad esempio "Scrivere un libro" e copertina) può indicare come modello libri del Suo genere, tramite ASIN o link alla pagina prodotto di Amazon. Bookfairy legge quindi i dati pubblici di quelle pagine prodotto, capisce che cosa i lettori apprezzano e che cosa manca, e costruisce da questo un concetto o una copertina originali per il Suo libro. I libri modello servono solo come indicazione di stile e di mercato: titoli, nomi degli autori, personaggi, loghi e frasi di altri libri non entrano nel Suo risultato.

Questi dati non provengono dalle persone interessate (art. 14 GDPR):

• Fonte: le pagine prodotto pubblicamente accessibili dei libri indicati su Amazon. Preleviamo solo ciò che ogni visitatore vede senza accedere.
• Categorie di dati: titolo e sottotitolo, descrizione, nome dell'autore o dell'autrice, categorie, per la copertina l'immagine di copertina, un breve estratto dell'anteprima e i testi delle recensioni pubbliche. Usiamo le recensioni solo come testo, senza nomi, link ai profili e immagini del profilo dei recensori.
• Persone interessate: gli autori dei libri indicati e gli autori delle recensioni.
• Finalità: l'analisi di mercato per il Suo libro da Lei richiesta.
• Base giuridica: art. 6, par. 1, lett. f) GDPR. È interesse nostro e Suo, come cliente, orientare la prestazione al mercato del Suo genere. I dati sono pubblicamente accessibili, ne leggiamo pochi e li conserviamo per poco tempo; gli interessi delle persone interessate non prevalgono quindi.
• Destinatari: i fornitori di IA della sezione 4.9, nella misura in cui elaborano i dati; ricevono le recensioni senza nomi.
• Conservazione: cancelliamo i dati grezzi prelevati (testi delle pagine, recensioni, immagini dell'anteprima) dopo l'analisi. Nel Suo progetto resta solo il riepilogo che ne deriva, senza i nomi dei recensori (sezione 8).

Non informiamo le persone interessate singolarmente, perché richiederebbe uno sforzo sproporzionato (art. 14, par. 5, lett. b) GDPR); la presente informativa è l'informazione pubblica al riguardo. Anche nei confronti di questo trattamento esse hanno i diritti di cui alla sezione 9, in particolare il diritto di accesso e il diritto di opposizione ai sensi dell'art. 21 GDPR. Le richieste vanno inviate a support@getbookfairy.com.

5. Cookie e tecnologie di memorizzazione simili

Plausible non imposta cookie (sezione 4.3).

6. Destinatari

Ci avvaliamo dei seguenti fornitori di servizi. Quelli indicati come responsabili del trattamento operano secondo le nostre istruzioni sulla base di un contratto ai sensi dell'art. 28 GDPR. Anche gli intermediari di modelli di IA con sede a Hong Kong e negli USA agiscono per nostro conto, ma senza un contratto di questo tipo (sezioni 4.9 e 7). Su richiesta Le comunichiamo i destinatari concreti (art. 15, par. 1, lett. c) GDPR).

Per le ricerche di mercato e di parole chiave gli strumenti interrogano fornitori di dati di mercato (ad esempio DataForSEO e Helium 10). Vengono trasmessi soltanto termini di ricerca, categorie o titoli, nessun manoscritto e nessuna informazione sulla Sua persona.

I dati che Lei stesso trasmette a terzi, ad esempio caricando il Suo libro su Amazon KDP o su altre piattaforme, sono soggetti all'informativa sulla privacy del rispettivo fornitore.

7. Trasferimenti verso paesi terzi

Alcuni dei destinatari sopra indicati trattano dati al di fuori dell'UE o del SEE. Fatta eccezione per gli intermediari di modelli di IA (sezione 4.9), i trasferimenti avvengono su una delle seguenti basi:

• Decisione di adeguatezza della Commissione europea del 10 luglio 2023 sull'EU-US Data Privacy Framework, se il destinatario è certificato (art. 45 GDPR). Secondo quanto da loro dichiarato, ciò vale per Amazon, Cloudflare, Clerk, Google, Microsoft e Stripe.
• Decisione di adeguatezza della Commissione europea per il Regno Unito, rinnovata da ultimo il 19 dicembre 2025 (art. 45 GDPR). Vale per Groq UK Limited, nostra controparte contrattuale per la dettatura.
• Clausole contrattuali tipo della Commissione europea del 4 giugno 2021 con misure supplementari come la cifratura durante la trasmissione (art. 46, par. 2, lett. c) GDPR), nella misura in cui non si applichi una decisione di adeguatezza. Runpod, Inc. non è certificata ai sensi dell'EU-US Data Privacy Framework; la base sono le clausole contrattuali tipo del 4 giugno 2021 (modulo 2) nel contratto per il trattamento dei dati di Runpod. Runpod tratta i file in data center nell'UE e li cancella dopo il trattamento. Groq tratta le registrazioni vocali anche negli USA (Groq LLC, Google Cloud) e non è certificata ai sensi dell'EU-US Data Privacy Framework; la base sono le clausole contrattuali tipo del 4 giugno 2021 (modulo 2) nel contratto per il trattamento dei dati di Groq, che obbliga Groq a predisporre una base lecita prima di ogni trasferimento verso un altro paese.

Una copia delle garanzie è disponibile su richiesta a support@getbookfairy.com.

I servizi push dei browser (sezione 4.18) sono scelti dal Suo browser, non da noi. Se un servizio non è certificato ai sensi dell'EU-US Data Privacy Framework, il trasferimento si fonda sulla sua necessità per l'esecuzione del contratto dopo che Lei ha attivato le notifiche (art. 49, par. 1, lett. b) GDPR).

Per i trasferimenti ai due intermediari di modelli di IA (sezione 4.9) non sussiste nessuna di queste basi:

• Un intermediario ha sede a Hong Kong, l'altro negli USA. Per Hong Kong non esiste una decisione di adeguatezza della Commissione europea. Non abbiamo potuto accertare che l'intermediario con sede negli USA sia certificato ai sensi dell'EU-US Data Privacy Framework.
• Con nessuno dei due abbiamo concordato clausole contrattuali tipo o altre garanzie adeguate ai sensi dell'art. 46 GDPR, e le loro condizioni d'uso non contengono un contratto ai sensi dell'art. 28 GDPR.
• Entrambi possono trasmettere i dati a rivenditori e ai produttori dei modelli negli USA o in altri paesi al di fuori dell'UE. Con questi soggetti non abbiamo concordato garanzie; non sappiamo di quali rivenditori si avvalga l'intermediario di Hong Kong né dove abbiano sede.

Cosa significa per Lei: le autorità di questi paesi possono, in determinate circostanze, accedere ai dati in base a norme che non corrispondono alla tutela prevista nell'UE e senza che Lei disponga degli stessi mezzi di ricorso previsti nell'UE. Far valere i Suoi diritti in questi paesi è più difficile. I destinatari possono utilizzare i dati secondo le proprie condizioni, anche per migliorare i propri servizi, e non siamo in grado di farne disporre la cancellazione presso di loro.

8. Tempi di conservazione

Se sussiste un obbligo di conservazione, anziché cancellare i dati ne limitiamo il trattamento fino alla scadenza del termine.

9. I Suoi diritti

Lei ha diritto:

• di accesso ai dati che trattiamo su di Lei (art. 15 GDPR),
• alla rettifica di dati inesatti (art. 16 GDPR),
• alla cancellazione (art. 17 GDPR), salvo che siamo tenuti a conservare i dati,
• alla limitazione del trattamento (art. 18 GDPR),
• alla portabilità dei dati in un formato leggibile da dispositivo automatico (art. 20 GDPR),
• di revocare il consenso in qualsiasi momento con effetto per il futuro (art. 7, par. 3, GDPR).

Diritto di opposizione (art. 21 GDPR). Se trattiamo dati sulla base dell'art. 6, par. 1, lett. f) GDPR, può opporsi in qualsiasi momento per motivi connessi alla Sua situazione particolare. In tal caso interrompiamo il trattamento, salvo che dimostriamo l'esistenza di motivi legittimi cogenti che prevalgono sui Suoi interessi, oppure il trattamento serva all'accertamento, all'esercizio o alla difesa di un diritto in sede giudiziaria. Può opporsi in qualsiasi momento, senza indicarne i motivi, al trattamento per finalità di marketing diretto.

Invii le richieste a support@getbookfairy.com. Le risponderemo entro un mese.

Reclamo. Può proporre reclamo a un'autorità di controllo per la protezione dei dati, in particolare nello Stato membro in cui risiede abitualmente, lavora o in cui si è verificata la presunta violazione. In Italia è il Garante per la protezione dei dati personali, Piazza Venezia 11, 00187 Roma. L'autorità competente per noi è il Commissario di Amburgo per la protezione dei dati e la libertà di informazione (Hamburgische Beauftragte für Datenschutz und Informationsfreiheit), Ludwig-Erhard-Straße 22, 20459 Amburgo, Germania.

10. È obbligato a fornire i dati?

Per un account e un acquisto ci servono un indirizzo e-mail confermato e i dati di pagamento; senza di essi non possiamo concludere un contratto. Per gli strumenti ci servono i contenuti che desidera far elaborare. Tutte le altre informazioni sono facoltative. Può rifiutare i servizi di statistica e marketing senza alcuno svantaggio.

11. Processo decisionale automatizzato

Non prendiamo decisioni basate unicamente su un trattamento automatizzato che producano effetti giuridici che La riguardano o che incidano in modo analogo significativamente sulla Sua persona (art. 22 GDPR). I risultati degli strumenti di IA riguardano i Suoi contenuti, non Lei come persona. I controlli automatici per prevenire abusi servono soltanto a preparare le decisioni; sul blocco di un account decide una persona. Per i QR code dinamici, il controllo blocca automaticamente e subito un singolo codice se uno degli elenchi pubblici indica la sua destinazione come sito di phishing, truffa o malware; una persona riesamina ogni blocco di questo tipo e Lei può presentare reclamo (sezione 4.16).

12. Modifiche

Aggiorniamo la presente informativa quando cambia il trattamento, quando aggiungiamo o sostituiamo un fornitore di servizi o quando la legge lo richiede. La versione attuale è sempre disponibile su questa pagina. Se una modifica sostanziale riguarda un consenso, Le chiederemo nuovamente il consenso.