Informativa sulla privacy

Chi è responsabile dei suoi dati

Il titolare del trattamento ai sensi dell’articolo 4, punto 7, del GDPR è:

• GoodVibes – Essen, Kleidung und niederschwellige Hilfe in Wien für Menschen in Notlagen («GoodVibes Foundation»), associazione senza scopo di lucro ai sensi della legge austriaca sulle associazioni del 2002
• Numero ZVR 1741769261, tenuto presso la Direzione di polizia del Land di Vienna
• Spittelauer Lände 12 / Bogen 335A, 1090 Vienna, Austria
• sup@gvs.foundation

Siamo al di sotto della soglia che impone la nomina di un responsabile della protezione dei dati e non ne abbiamo nominato uno. Scriva all’indirizzo qui sopra: le risponderà un membro del consiglio direttivo. Tutti i dati di registrazione, compreso l’estratto ufficiale del registro, si trovano nelle nostre Note legali.

Dove gira questo sito

gvs.foundation gira su un singolo server dedicato affittato presso Scaleway (Online S.A.S.) in Francia. Il sito è WordPress con WooCommerce. Il server web scrive normali registri di accesso: indirizzo IP, indirizzo richiesto, orario e stringa di identificazione del browser. Tali registri servono unicamente alla risoluzione dei problemi e al rilevamento di attacchi. Non sono analizzati per altri scopi né incrociati con il suo ordine o con le nostre statistiche.

Che cosa raccogliamo quando acquista un biglietto

La biglietteria è WooCommerce e gira sul nostro server. Quando effettua un ordine conserviamo:

• il suo nome e cognome
• il suo indirizzo di posta elettronica
• il suo indirizzo di fatturazione: via, CAP, città, paese
• che cosa ha ordinato, quanto ha pagato, in quale valuta, quando e lo stato dell’ordine
• l’indirizzo IP e la stringa del browser che WooCommerce annota accanto a ogni ordine come registrazione antifrode

Non chiediamo un numero di telefono e non offriamo un campo note. La procedura di pagamento non crea un account utente: gli ordini di biglietti si effettuano come ospite.

Base giuridica: articolo 6, paragrafo 1, lettera b), del GDPR — i dati sono necessari per eseguire il contratto di biglietteria. Concluso l’ordine, il documento contabile è conservato ai sensi dell’articolo 6, paragrafo 1, lettera c), del GDPR, poiché la normativa fiscale austriaca ce lo impone.

Il pagamento — Stripe

I pagamenti con carta sono gestiti da Stripe. I metodi attualmente attivi sono carta, Link, EPS e Bancontact, oltre ai pulsanti rapidi Apple Pay e Google Pay.

Il campo di pagamento della nostra pagina di cassa è disegnato da Stripe all’interno della nostra pagina. Il numero della sua carta, la data di scadenza e il codice di sicurezza vanno direttamente a Stripe. Non sono mai trasmessi al nostro server, né trattati né conservati su di esso. A noi torna un riferimento di pagamento e l’informazione se il pagamento sia riuscito.

Stripe è Stripe Payments Europe, Limited, 1 Grand Canal Street Lower, Dublino 2, Irlanda. Per i propri obblighi antifrode e di conformità normativa Stripe agisce come titolare autonomo e può trasferire dati a Stripe, Inc. negli Stati Uniti sulla base delle clausole contrattuali tipo della Commissione europea. La sua informativa: stripe.com/privacy.

Se ha effettuato l’accesso a un account su questo sito, Stripe può conservare la sua carta come metodo di pagamento riutilizzabile. La carta resta presso Stripe; noi deteniamo soltanto un token che vi rimanda. Agli ospiti questa possibilità non viene offerta.

Il suo biglietto e il suo codice QR

Non appena il pagamento va a buon fine generiamo un codice per ciascun biglietto acquistato e conserviamo nella banca dati di questo sito: il codice, il numero d’ordine, di quale biglietto si tratta, il giorno e la sessione a cui dà accesso, il prezzo pagato, il suo nome, il suo indirizzo di posta elettronica, l’ora di emissione e — successivamente — l’ora del controllo all’ingresso.

L’immagine del codice QR è generata una sola volta, al momento dell’emissione del biglietto, da un servizio esterno: api.qrserver.com, gestito da goQR.me in Germania. L’unica cosa che gli viene trasmessa è l’indirizzo di controllo del biglietto, nella forma https://gvs.foundation/door/?c=CODICE. Il suo nome, il suo indirizzo di posta elettronica, il suo ordine e il prezzo non gli vengono mai inviati. L’immagine ottenuta è salvata sul nostro server e quel servizio non viene più contattato per quel biglietto.

All’ingresso il nostro personale apre quell’indirizzo e digita un PIN condiviso. Nulla di un biglietto — né il nome, né la sessione, né il fatto che sia già stato usato — viene mostrato prima che il PIN sia accettato. Un codice QR fotografato o inoltrato non rivela quindi nulla di per sé.

Base giuridica: articolo 6, paragrafo 1, lettera b), del GDPR — emettere il suo biglietto e controllarlo all’ingresso è esattamente il contratto concluso.

Le e-mail che le inviamo

La conferma d’ordine e il suo biglietto partono da sup@gvs.foundation tramite un server di posta che l’associazione gestisce autonomamente, sulla stessa macchina di questo sito. I messaggi sono firmati con DKIM e coperti dai record SPF e DMARC pubblicati per gvs.foundation. Per questi messaggi non usiamo Mailchimp, Brevo, SendGrid né alcun altro servizio di invio massivo.

Il suo codice QR è allegato al messaggio stesso e non viene scaricato da un server all’apertura. È una scelta deliberata: aprire la nostra e-mail non ci dice nulla. Non usiamo conferme di lettura né pixel di tracciamento.

La posta che lei invia a sup@gvs.foundation ci raggiunge tramite Google Workspace, il nostro fornitore di posta in entrata (Google Ireland Limited, Gordon House, Barrow Street, Dublino 4). Il suo messaggio risiede quindi in una casella Google Workspace.

Statistiche — PostHog, e dove siamo carenti

Usiamo PostHog per contare le visualizzazioni di pagina e capire quali pagine vengano effettivamente usate. È configurato sull’host europeo di PostHog, https://eu.i.posthog.com, quindi gli eventi sono trattati nell’Unione europea. Il nostro identificativo di progetto phc_n7fN… è visibile nel codice sorgente di questa pagina: è previsto così e non è un segreto.

PostHog è impostato su identified_only: per un visitatore ordinario non viene creato alcun profilo personale. Sono registrate visualizzazioni ed eventi, con l’indirizzo della pagina, la pagina di provenienza, una localizzazione approssimativa dedotta dall’indirizzo IP, il tipo di browser e di dispositivo e un identificativo di dispositivo casuale conservato nel suo browser.

Detto chiaramente: oggi questo script si carica su ogni pagina senza chiederglielo prima. La legge austriaca (§ 165 TKG 2021, di attuazione della direttiva e-privacy) richiede in linea di principio il suo consenso prima di conservare o leggere sul suo dispositivo qualsiasi cosa non strettamente necessaria. Questo passaggio di consenso non lo abbiamo ancora realizzato. Non intendiamo mascherarlo da legittimo interesse: è una lacuna nostra e stiamo lavorando per colmarla.

Nel frattempo può disattivare completamente le statistiche senza che nulla di questo sito smetta di funzionare: blocchi eu.i.posthog.com ed eu-assets.i.posthog.com nel browser o nel blocco contenuti, oppure usi un browser con protezione antitracciamento. Le nostre sessioni di amministrazione sono già escluse dalla misurazione.

Il fornitore è PostHog, Inc.; i dati del cloud europeo sono trattati su infrastruttura situata nell’Unione europea. Non abbiamo fissato una durata di conservazione propria, quindi si applica quella predefinita di PostHog. La loro informativa: posthog.com/privacy.

Se si iscrive alla newsletter

Il modulo della newsletter scrive il suo indirizzo di posta elettronica in una tabella della banca dati di questo sito, insieme al fatto che ha spuntato la casella di consenso, alla pagina da cui si è iscritto, alla lingua in cui stava leggendo, a un valore irreversibile (hash) del suo indirizzo IP — usato solo per impedire l’invio massivo automatizzato — e all’orario. Nulla viene trasmesso altrove: a questo sito non è collegato alcun fornitore di newsletter e tutte le iscrizioni risultano attualmente non confermate.

Base giuridica: articolo 6, paragrafo 1, lettera a), del GDPR — il suo consenso. Scriva a sup@gvs.foundation e cancelleremo la sua registrazione.

Come un volontario viene informato del suo ordine

Quando un ordine viene pagato, questo sito invia un breve messaggio al server di automazione dell’associazione (n8n.gvs.foundation, la stessa macchina) affinché un volontario di turno riceva una notifica Telegram e possa agire. Quel messaggio contiene il numero d’ordine, lo stato, il totale, gli articoli ordinati e il suo nome. Non contiene il suo indirizzo di posta elettronica, né il suo indirizzo postale, né alcun dato di pagamento. La notifica viaggia tramite Telegram verso i telefoni dei volontari di turno.

Account e tesseramenti

Per acquistare un biglietto non serve un account e la procedura di pagamento non ne crea uno. Se si registra o ha un tesseramento presso di noi, WordPress e WooCommerce conservano nome utente, indirizzo di posta elettronica, nome, l’eventuale indirizzo inserito e lo storico degli ordini, e impostano cookie di sessione finché resta connesso.

Cookie e dati conservati nel suo browser

Questo è l’elenco completo di ciò che questo sito deposita nel suo browser:

• pll_language — impostato da Polylang su ogni pagina. Ricorda quale delle nostre otto lingue sta leggendo. Durata: un anno. Strettamente necessario per servirle la lingua giusta.
• woocommerce_items_in_cart, woocommerce_cart_hash e wp_woocommerce_session_… — impostati da WooCommerce solo quando mette qualcosa nel carrello. Contengono il carrello e la sessione relativa. Strettamente necessari al funzionamento del negozio.
• ph_phc_n7fN…_posthog — impostato da PostHog. Un identificativo di dispositivo casuale, affinché le visite ripetute contino come un dispositivo e non come molti. Non strettamente necessario; sopra è spiegato come bloccarlo.
• wordpress_logged_in_… e wp-settings-… — solo per chi accede per amministrare il sito.

Non impostiamo cookie pubblicitari. Su questo sito non ci sono Google Analytics, né pixel Meta o Facebook, né tag Google Ads, né pixel TikTok.

I collegamenti ad altri siti presenti sulle nostre pagine — arneiron.net o il nostro canale Telegram, per esempio — sono normali link. Da essi non viene caricato nulla e ad essi non viene inviato nulla finché lei non fa clic.

Per quanto tempo conserviamo i dati

• Ordini e documenti di pagamento — sette anni, poiché il § 132 del Codice federale austriaco delle imposte (BAO) impone questo termine per la documentazione contabile.
• Codici dei biglietti e registrazioni d’ingresso — fino al termine dell’evento cui appartengono, più tre mesi per definire eventuali contestazioni, poi cancellati.
• Iscrizioni alla newsletter — finché non chiede di essere rimosso.
• Eventi statistici presso PostHog — durata predefinita di PostHog; non l’abbiamo estesa.
• Registri del server — breve termine, solo per diagnosi e sicurezza.
• Le e-mail che ci scrive — finché sono utili per risponderle e per l’archivio dell’associazione.

A chi vengono comunicati i suoi dati

Nessuno li acquista da noi e nessuno li riceve per la propria pubblicità. Questo è l’elenco completo dei terzi coinvolti nel funzionamento del sito:

• Stripe Payments Europe, Limited (Irlanda) — trattamento del suo pagamento
• PostHog, Inc. (cloud europeo) — statistiche del sito
• goQR.me / api.qrserver.com (Germania) — genera una volta per biglietto l’immagine del QR e riceve solo l’indirizzo di controllo
• Google Ireland Limited — posta in entrata verso sup@gvs.foundation
• Telegram — trasporta la notifica ai volontari descritta sopra
• Scaleway / Online S.A.S. (Francia) — il server su cui gira questo sito

Oltre a questi, i suoi dati escono da noi solo quando la legge lo impone: per esempio verso un’amministrazione fiscale o un’autorità giudiziaria.

I suoi diritti

Ai sensi del GDPR lei può in qualsiasi momento chiederci di:

• dirle quali suoi dati deteniamo e consegnargliene copia — articolo 15
• rettificare ciò che è inesatto — articolo 16
• cancellare i suoi dati — articolo 17, fatti salvi i documenti che la legge ci impone di conservare
• limitare il trattamento — articolo 18
• consegnare i dati in un formato leggibile da dispositivo automatico — articolo 20
• accogliere la sua opposizione al trattamento, comprese le nostre statistiche — articolo 21
• revocare un consenso prestato, senza pregiudizio per quanto svolto lecitamente in precedenza — articolo 7, paragrafo 3

Scriva a sup@gvs.foundation. Rispondiamo entro un mese. È gratuito e non le chiederemo più elementi identificativi di quanti ne servano per essere certi che sia davvero lei.

Su questo sito non vi sono processi decisionali automatizzati né profilazione ai sensi dell’articolo 22 del GDPR.

Se ritiene che trattiamo male i suoi dati, può proporre reclamo all’autorità di controllo austriaca: Österreichische Datenschutzbehörde, Barichgasse 40–42, 1030 Vienna, dsb@dsb.gv.at, dsb.gv.at. Se risiede in un altro Stato dell’Unione può rivolgersi all’autorità del suo paese.

Modifiche a questa pagina

Questa pagina è stata riscritta integralmente il 3 settembre 2026 per descrivere ciò che questo sito fa realmente. Se aggiungiamo un servizio o cambiamo un funzionamento, modifichiamo prima questa pagina. Non nascondiamo alcuna versione precedente.