Informativa sulla privacy

§1. Titolare del trattamento dei dati personali

1. Il titolare del trattamento dei dati personali delle Utenti e degli Utenti dell'applicazione mobile Vougly (disponibile su App Store e Google Play, di seguito: «Applicazione») nonché del sito di marketing accessibile all'indirizzo vougly.app (di seguito: «Sito») è Windify Digital Services, con sede in ul. Płocka 127/16, 87-800 Włocławek, NIP: 8943145650, REGON: 384382857 (di seguito: «Titolare»).
2. Per contattare il Titolare in merito ai dati personali: [email protected].
3. Il Titolare tratta i dati personali in conformità al Regolamento (UE) 2016/679 del Parlamento europeo e del Consiglio del 27 aprile 2016 (regolamento generale sulla protezione dei dati, di seguito: «GDPR»), alla legge polacca del 10 maggio 2018 sulla protezione dei dati personali (ustawa o ochronie danych osobowych), alla legge polacca del 18 luglio 2002 sulla prestazione di servizi per via elettronica (ustawa o świadczeniu usług drogą elektroniczną) e alla legge polacca del 16 luglio 2004 sul diritto delle telecomunicazioni (Prawo telekomunikacyjne, per quanto attiene agli artt. 173 e 174 in materia di cookie).

§2. Categorie di dati raccolti

Il Titolare raccoglie e tratta le seguenti categorie di dati personali:

Dati dell'Account

• Indirizzo e-mail, necessario per la creazione dell'Account, l'accesso, la verifica dell'identità, le comunicazioni e l'invio delle conferme d'acquisto.
• Nome (facoltativo), fornito dall'Utente per la personalizzazione della corrispondenza e dell'interfaccia dell'Applicazione.
• Avatar / foto del profilo (facoltativo), caricato dall'Utente dal proprio dispositivo.
• Identificativo di autenticazione, in caso di accesso tramite account Apple ID o Google: l'identificativo restituito dal fornitore di accesso (Sign in with Apple, Google Sign-In). La password, esclusivamente per l'accesso tramite e-mail, è conservata in forma cifrata (hash bcrypt). Il Titolare non ha accesso alla password in chiaro.

Contenuti caricati dall'Utente

• Foto di capi d'abbigliamento, caricate nell'Applicazione al fine di eseguire la Generazione (ad es. la foto di un abito disteso in piano, scattata a casa). Le foto sono trasmesse al fornitore dei modelli di IA, che restituisce il risultato della Generazione.
• Foto di riferimento («selfie») per la funzione «modella personalizzata», caricate facoltativamente dall'Utente al fine di addestrare l'incorporamento (embedding) della propria modella nell'Applicazione. Le foto di riferimento grezze vengono cancellate decorsi 30 giorni dalla creazione del modello; nell'Applicazione permane esclusivamente l'incorporamento vettoriale utilizzato per le successive Generazioni.
• Contenuti generati, ossia le foto prodotte dai modelli di IA dell'Applicazione sulla base dei Contenuti dell'Utente. Conservati nell'«Archivio» dell'Account fino alla cancellazione dell'Account da parte dell'Utente.
• La funzione «modella personalizzata» richiede che la persona ritratta nelle foto di riferimento abbia prestato il proprio consenso a tale utilizzo della sua immagine; la responsabilità di ottenere il consenso ricade sull'Utente (in conformità ai Termini e condizioni).

Dati tecnici e diagnostici

• Indirizzo IP, raccolto nei log del server e nei sistemi di sicurezza, ai fini del rilevamento di abusi.
• Dati del dispositivo, ossia modello del dispositivo, sistema operativo e relativa versione, versione dell'Applicazione, lingua dell'interfaccia.
• Identificativo di installazione dell'Applicazione, identificativo interno generato dall'Applicazione. Il Titolare non utilizza identificativi pubblicitari del dispositivo (IDFA su iOS, GAID su Android) a fini di marketing né li comunica a terzi per tale scopo.
• Dati sull'attività nell'Applicazione, ossia tipologia delle Generazioni eseguite, errori tecnici, log diagnostici (trattati al fine di migliorare la stabilità).
• Token per le notifiche push, ai fini dell'invio delle notifiche tramite Apple Push Notifications (APNs) o Firebase Cloud Messaging (FCM).
• Cookie e tecnologie analoghe, esclusivamente nel Sito (vougly.app). L'Applicazione non utilizza cookie in senso classico. Informazioni dettagliate nell'Informativa sui cookie.

Dati relativi alle transazioni

• Storico degli acquisti dei Pacchetti di Crediti, ossia data, importo, Pacchetto selezionato, identificativo della transazione (App Store / Google Play).
• Saldo e storico dei Crediti, ossia accrediti, addebiti, bonus.
• Il Titolare non conserva i dati delle carte di pagamento. Tutti i pagamenti nell'Applicazione sono gestiti esclusivamente da Apple App Store e Google Play, in conformità ai rispettivi termini e meccanismi di pagamento.

§3. Finalità e basi giuridiche del trattamento

§4. Destinatari dei dati

I dati personali delle Utenti possono essere comunicati alle seguenti categorie di destinatari (responsabili del trattamento e titolari autonomi):

1. Cloudflare, Inc. (USA), fornitore dell'infrastruttura di hosting del Sito vougly.app (Cloudflare Pages), della rete di distribuzione dei contenuti (CDN), della protezione contro bot e attacchi DDoS, nonché del servizio di inoltro della posta (Cloudflare Email Routing) per gli indirizzi del dominio vougly.app. Cloudflare tratta i dati tecnici (indirizzo IP, User-Agent, intestazioni HTTP) necessari alla fornitura dei contenuti del Sito, nonché le e-mail inoltrate agli indirizzi del dominio vougly.app.
2. Fornitore dell'archiviazione a oggetti, presso la quale sono conservati i dati dell'Account, le Foto e i Contenuti generati dall'Applicazione (tra cui Cloudflare R2). I dati sono cifrati a riposo e in transito.
3. OpenRouter, Inc. (USA), fornitore di un servizio proxy che instrada le richieste verso i modelli linguistici (LLM), utilizzato per il trattamento di metadati, descrizioni e istruzioni di generazione. Il Titolare configura OpenRouter con l'impostazione Zero Data Retention (ZDR) attivata e con il filtro data_collection: deny: ciò significa che le richieste sono indirizzate esclusivamente a fornitori finali che non conservano i dati trasmessi una volta eseguita l'inferenza e che non li utilizzano per addestrare i propri modelli.
4. Google LLC e Google Ireland Limited, fornitore dell'interfaccia API dei modelli Google Gemini (modelli linguistici multimodali), utilizzata per l'analisi e la descrizione delle Foto di capi d'abbigliamento. In conformità alle condizioni della Google Gemini API (livello di produzione a pagamento), i contenuti trasmessi tramite l'API non sono utilizzati per l'addestramento dei modelli di Google.
5. Fornitore specializzato di un modello di IA di tipo virtual try-on (con sede negli USA), soggetto che esegue la vera e propria Generazione della foto del capo d'abbigliamento su una modella o su una superficie. I Contenuti dell'Utente (Foto del capo d'abbigliamento, eventualmente foto di riferimento per la funzione «modella personalizzata») sono trasmessi esclusivamente al fine di eseguire una singola Generazione e non sono utilizzati da tale fornitore per l'addestramento dei modelli. L'identità di tale fornitore costituisce un segreto commerciale del Titolare per ragioni di concorrenza. Il Titolare comunica la denominazione e la sede esatte di tale fornitore a ciascuna Utente su richiesta scritta inviata all'indirizzo [email protected] (ai sensi dell'art. 13, par. 1, lett. e), e dell'art. 15 del GDPR).
6. Apple Inc. e Google LLC, per quanto attiene alla vendita dei Pacchetti di Crediti nell'Applicazione tramite App Store e Google Play, nonché all'invio delle notifiche push (Apple Push Notifications, Firebase Cloud Messaging).
7. Formsubmit.co (USA), fornitore del servizio di inoltro dei moduli di contatto dalla pagina vougly.app/contact. Riceve i dati inseriti nel modulo (nome, indirizzo e-mail, oggetto, testo del messaggio) e li inoltra sotto forma di e-mail al Titolare all'indirizzo [email protected].
8. Google LLC (Google Analytics 4, identificativo G-H319FJRQ28), strumento di analisi del Sito vougly.app che serve a misurare il traffico, le fonti delle visite e le interazioni con la pagina. Attivato esclusivamente previo consenso dell'Utente nel banner cookie (Consent Mode v2). L'indirizzo IP è anonimizzato (parametro anonymize_ip: true). Dettagli nell'Informativa sui cookie.
9. Autorità pubbliche, su richiesta degli organi competenti, sulla base delle disposizioni di legge vigenti.
10. Consulenti legali e fiscali, nella misura necessaria all'accertamento, all'esercizio o alla difesa di un diritto.

Natura dell'utilizzo dei modelli di IA

1. La Generazione della foto è eseguita dai modelli di IA in modo probabilistico; il risultato non è deterministico e può variare a ogni generazione, anche a partire dai medesimi dati di input. I reclami relativi a risultati difettosi sono disciplinati dai Termini e condizioni (rimborso del credito in caso di vizi manifesti).
2. I Contenuti dell'Utente (Foto di capi d'abbigliamento, foto di riferimento, selfie per la funzione «modella personalizzata») sono trasmessi ai fornitori dei modelli di IA esclusivamente al fine di eseguire la relativa Generazione. Il Titolare elimina i Contenuti dai sistemi dei fornitori senza indugio dopo la corretta consegna del risultato, avvalendosi delle interfacce di cancellazione dei dati messe a disposizione dai fornitori. I fornitori dei modelli di IA non utilizzano i Contenuti trasmessi per addestrare né per perfezionare i propri modelli; il Titolare conclude con ciascun fornitore accordi sul trattamento dei dati (DPA) contenenti tale impegno.
3. La Generazione non costituisce un processo decisionale automatizzato ai sensi dell'art. 22 del GDPR: il risultato della Generazione è un contenuto grafico fornito all'Utente per qualsiasi uso e non una decisione che produce nei suoi confronti effetti giuridici o che incide in modo significativo sulla sua situazione.
4. L'elenco completo dei sub-responsabili (subprocessors) del Titolare, inclusa la denominazione esatta del fornitore del modello virtual try-on, è comunicato all'Utente su richiesta scritta inviata all'indirizzo [email protected].

§5. Trasferimento dei dati al di fuori del SEE

1. Una parte dei soggetti cui il Titolare affida il trattamento dei dati ha sede al di fuori dello Spazio economico europeo (SEE), in particolare negli Stati Uniti. Ciò riguarda in particolare: Cloudflare, Inc., OpenRouter, Inc., Google LLC (Gemini API e Google Analytics 4), il fornitore specializzato del modello virtual try-on (USA), Formsubmit.co, nonché Apple Inc. e Google LLC per quanto attiene alle notifiche push e agli store di applicazioni.
2. Il trasferimento dei dati verso gli USA avviene sulla base dell'EU-US Data Privacy Framework (decisione di esecuzione della Commissione europea del 10 luglio 2023) o delle clausole contrattuali tipo (SCC) approvate dalla Commissione europea, ai sensi dell'art. 46 del GDPR.
3. Il Titolare si avvale esclusivamente di fornitori che garantiscono un livello adeguato di protezione dei dati personali in conformità ai requisiti del GDPR.
4. In caso di invalidazione o modifica del meccanismo di trasferimento dei dati, il Titolare adotterà senza indugio le misure necessarie a garantire la conformità del trasferimento alla normativa vigente.

§6. Periodo di conservazione dei dati

1. Decorso il periodo di conservazione, i dati sono cancellati in modo permanente o anonimizzati.
2. In caso di cancellazione dell'Account, i dati dell'Utente sono cancellati senza indugio (con una finestra di ripristino di 30 giorni), fatta eccezione per i dati la cui conservazione è imposta da disposizioni di legge (ad es. i dati transazionali, 5 anni).

§7. Diritti dell'Utente

In forza del GDPR, all'Utente spettano i seguenti diritti:

• Diritto di accesso (art. 15), ossia ottenere informazioni sui dati trattati, ivi compresa una copia dei dati.
• Diritto di rettifica (art. 16), ossia correggere dati inesatti o integrare dati incompleti.
• Diritto alla cancellazione (art. 17), ossia chiedere la cancellazione dei dati («diritto all'oblio»). L'Utente può cancellare autonomamente l'Account nelle impostazioni dell'Applicazione. Tale diritto non si applica ai dati la cui conservazione è imposta da disposizioni di legge.
• Diritto di limitazione (art. 18), ossia limitare il trattamento dei dati in casi determinati.
• Diritto alla portabilità (art. 20), ossia ricevere i dati in un formato strutturato, di uso comune e leggibile da dispositivo automatico.
• Diritto di opposizione (art. 21), ossia opporsi al trattamento fondato sul legittimo interesse del Titolare, inclusa l'opposizione all'utilizzo di Contenuti anonimizzati per l'addestramento dei modelli di IA.
• Diritto di revoca del consenso (art. 7, par. 3), in qualsiasi momento, senza pregiudizio per la liceità del trattamento precedente. Riguarda in particolare il consenso ai cookie analitici e di marketing nonché il consenso alla funzione «modella personalizzata».
• Diritto di reclamo, all'autorità di controllo: il Presidente dell'Ufficio per la Protezione dei Dati Personali (Prezes Urzędu Ochrony Danych Osobowych), ul. Stawki 2, 00-193 Warszawa (uodo.gov.pl).

Per l'esercizio dei suddetti diritti occorre contattare il Titolare all'indirizzo [email protected]. Il Titolare evaderà la richiesta entro 30 giorni. In caso di richieste complesse o numerose, il termine può essere prorogato di ulteriori 60 giorni, circostanza di cui il Titolare informerà l'Utente.

§8. Sicurezza dei dati

1. Il Titolare adotta misure tecniche e organizzative adeguate alla protezione dei dati personali, tra cui:

   • Cifratura SSL/TLS, ossia tutta la comunicazione dell'Applicazione e del Sito avviene tramite connessione cifrata HTTPS.
   • Cifratura dei dati a riposo, ossia le Foto di capi d'abbigliamento, le foto di riferimento e i Contenuti generati sono conservati in un'archiviazione a oggetti cifrata.
   • Hashing delle password, ossia le password (per l'accesso tramite e-mail) sono conservate esclusivamente come hash bcrypt.
   • Autenticazione tramite token, ossia le sessioni dell'Applicazione si basano su token firmati, con possibilità di revoca.
   • Nessuna conservazione dei dati delle carte, ossia i dati di pagamento sono trattati esclusivamente da Apple App Store / Google Play.
   • Controllo degli accessi, ossia l'accesso ai dati è limitato alle persone autorizzate, con un registro degli accessi.
   • Limitazioni al trattamento delle foto, ossia le foto di riferimento grezze sono cancellate dopo 30 giorni; le foto di capi d'abbigliamento dopo 90 giorni dall'ultima attività.
2. Nonostante l'adozione delle suddette misure di sicurezza, il Titolare non è in grado di garantire la totale sicurezza dei dati trasmessi tramite Internet. L'Utente è responsabile della protezione del proprio dispositivo e delle proprie credenziali di accesso.

§9. Violazione della protezione dei dati personali

1. In caso di violazione della protezione dei dati personali che possa comportare un rischio per i diritti e le libertà delle persone fisiche, il Titolare notificherà tale violazione al Presidente dell'Ufficio per la Protezione dei Dati Personali senza ingiustificato ritardo e, ove possibile, entro 72 ore dal momento in cui ne è venuto a conoscenza (art. 33 del GDPR).
2. Qualora la violazione della protezione dei dati personali possa comportare un rischio elevato per i diritti e le libertà delle persone fisiche, il Titolare informerà senza indugio le Utenti interessate (art. 34 del GDPR), comunicando tra l'altro la natura della violazione, le possibili conseguenze e le misure adottate per porvi rimedio.

§10. Profilazione e processo decisionale automatizzato

1. L'Applicazione utilizza modelli di IA per la generazione di foto (tra cui la prova virtuale di un capo d'abbigliamento su una modella). Tale operazione è eseguita esclusivamente su richiesta dell'Utente e non costituisce un processo decisionale automatizzato ai sensi dell'art. 22 del GDPR, in quanto non produce effetti giuridici né incide in modo significativo sulla situazione dell'Utente.
2. Nel Sito di marketing possono essere impiegati strumenti di analisi (sulla base del consenso) che creano segmenti di pubblico aggregati a fini statistici; i dettagli sono riportati nell'Informativa sui cookie.

§11. Dati personali dei minori

1. L'Applicazione e il Sito non sono destinati a persone di età inferiore ai 16 anni. Il Titolare non raccoglie consapevolmente dati personali di minori.
2. È vietato caricare nell'Applicazione foto raffiguranti persone minorenni (in conformità ai Termini e condizioni, § 5). Qualora il Titolare venga a conoscenza del fatto che i Contenuti raffigurano l'immagine di un minore o che un Account appartiene a una persona di età inferiore ai 16 anni, cancellerà senza indugio i relativi dati e bloccherà l'Account.

§12. Obbligo di conferimento dei dati

1. Il conferimento dei dati dell'Account (indirizzo e-mail) è facoltativo, ma necessario per la creazione dell'Account e l'utilizzo dell'Applicazione.
2. Il caricamento delle foto di capi d'abbigliamento è facoltativo e necessario all'esecuzione della Generazione.
3. Il caricamento delle foto di riferimento per la funzione «modella personalizzata» è del tutto facoltativo; in mancanza di tale conferimento la funzione non è disponibile, ma le restanti funzioni dell'Applicazione operano normalmente.
4. La prestazione del consenso ai cookie analitici e di marketing nel Sito è facoltativa e non incide sulla possibilità di utilizzare il Sito né l'Applicazione.

§13. Modifiche dell'Informativa sulla privacy

1. Il Titolare si riserva il diritto di modificare la presente Informativa sulla privacy in qualsiasi momento, in particolare al fine di adeguarla a modifiche delle disposizioni di legge, a mutamenti tecnologici o a variazioni nell'ambito del trattamento dei dati.
2. Delle modifiche sostanziali il Titolare informerà le Utenti titolari di un Account tramite e-mail o mediante notifica nell'Applicazione, con almeno 14 giorni di anticipo.
3. Si raccomanda di prendere visione con regolarità del contenuto della presente Informativa, disponibile all'indirizzo vougly.app/privacy-policy.

§14. Dati del Titolare

Windify Digital Services
ul. Płocka 127/16, 87-800 Włocławek
NIP: 8943145650 · REGON: 384382857
Contatto: [email protected]