INFORMATIVA SUL TRATTAMENTO DEI DATI PERSONALI

Premessa

La presente informativa (di seguito, "Informativa") descrive il trattamento dei dati personali effettuato dal Titolare attraverso l'applicazione mobile "Crespi Atelier" per il sistema operativo iOS (di seguito, "App"), che consente all'Utente di provare virtualmente, mediante sistemi di intelligenza artificiale, gli abiti da cerimonia del Catalogo dell'Atelier Crespi Cerimonia Sposi.

L'Informativa si applica esclusivamente all'App. Essa non riguarda il sito web dell'Atelier né i trattamenti svolti presso i punti vendita, che sono oggetto di informative distinte.

L'Informativa è resa ai sensi degli artt. 13 e 14 del Regolamento (UE) 2016/679 (di seguito, "GDPR") e del d.lgs. 30 giugno 2003, n. 196 (di seguito, "Codice privacy"), con linguaggio chiaro e semplice in conformità all'art. 4, comma 3, della legge 23 settembre 2025, n. 132 (di seguito, "Legge IA"). Essa tiene inoltre conto dell'art. 50, par. 2, del Regolamento (UE) 2024/1689 ("AI Act"), come modificato dal Regolamento (UE) 2026/1744, per quanto attiene ai contenuti generati mediante sistemi di intelligenza artificiale. I termini indicati con iniziale maiuscola hanno il significato loro attribuito ai par. 1 e 2.

Informazioni essenziali

1. Titolare del trattamento e contatti

1.1Il Titolare del trattamento è GMN S.a.s. di Ciocca Nadia & C., con sede in Via Cinque Giornate n. 5, 20020 Magnago (MI), partita IVA 02433790025, PEC gmnsas@lamiapec.it (di seguito, "Titolare" o "Atelier").

1.2Per ogni comunicazione relativa al trattamento dei dati personali e per l'esercizio dei diritti di cui al par. 20, l'Interessato può rivolgersi al Titolare all'indirizzo di posta elettronica info@crespicerimoniasposi.it.

1.3Il Titolare non ha designato un responsabile della protezione dei dati, non ricorrendo i presupposti di cui all'art. 37, par. 1, GDPR.

2. Definizioni

2.1Ai fini della presente Informativa si intende per:

a) "Utente" o "Interessato": la persona fisica che utilizza l'App e alla quale si riferiscono i dati personali trattati; nel par. 19 la qualità di Interessato è riferita anche alle persone ritratte nelle immagini del Catalogo;

b) "App": l'applicazione mobile "Crespi Atelier" per il sistema operativo iOS, distribuita tramite App Store, descritta in Premessa e articolata nelle sezioni Catalogo, Camerino e Profilo;

c) "Catalogo": l'insieme delle immagini e delle informazioni relative ai capi presentati nell'App;

d) "Fotografia": l'immagine dell'Utente o, nei casi consentiti dai par. 17 e 18, di altra persona, acquisita mediante la fotocamera interna dell'App o selezionata dalla libreria fotografica del dispositivo ai fini della generazione delle Prove Virtuali;

e) "Prova Virtuale": l'immagine generata mediante sistemi di intelligenza artificiale che raffigura la persona ritratta nella Fotografia con indosso un capo del Catalogo;

f) "Identificativo tecnico": la sequenza alfanumerica casuale assegnata automaticamente dal servizio di autenticazione anonima al primo accesso dell'Utente alle aree personali dell'App e custodita dal sistema operativo del dispositivo, impiegata per l'erogazione delle funzioni personali (par. 4);

g) "Fornitore IA": Google LLC, che eroga il servizio Gemini API utilizzato dal Titolare per il controllo automatico della Fotografia e per la generazione delle Prove Virtuali, in qualità di Responsabile del trattamento;

h) "Responsabile del trattamento": il fornitore che tratta i dati personali per conto del Titolare e secondo le sue istruzioni, ai sensi dell'art. 28 GDPR;

i) "Titolare autonomo": il soggetto che determina autonomamente le finalità e i mezzi del trattamento e vi provvede secondo la propria informativa.

3. Categorie di dati trattati

3.1Il Titolare tratta, attraverso l'App, le seguenti categorie di dati personali:

a) l'Identificativo tecnico, dato di natura pseudonima: esso non contiene nome, indirizzo di posta elettronica, numero di telefono o altri elementi identificativi, ma costituisce dato personale ai sensi dell'art. 4, nn. 1) e 5), GDPR;

b) la Fotografia, trattata in via transitoria secondo le modalità di cui al par. 5 e mai conservata sui sistemi del Titolare;

c) le Prove Virtuali, conservate esclusivamente sul dispositivo dell'Utente;

d) i capi del Catalogo salvati dall'Utente tra i preferiti, con la data del salvataggio;

e) la prova del consenso al trattamento della Fotografia, costituita dalla versione dell'Informativa accettata e dalla data e ora dell'accettazione;

f) i dati di utilizzo del servizio di generazione: il registro delle generazioni (Identificativo tecnico, capo provato, esito, costo stimato, data e ora) e i contatori di utilizzo, entrambi privi di immagini e di indirizzi IP;

g) i dati tecnici di connessione e di autenticazione: l'indirizzo IP, le informazioni tecniche sul dispositivo e i token di sessione, trattati dal servizio di autenticazione di cui al par. 13.3, nonché i log tecnici di errore della piattaforma cloud, che registrano codici e tempi degli errori e l'indirizzo IP della chiamata, senza contenuti né immagini;

h) l'attestazione di integrità dell'App e del dispositivo, nei termini e con i limiti temporali di cui al par. 6.2.

3.2Il Titolare tratta inoltre dati aggregati anonimi (numero complessivo di prove e di salvataggi per ciascun capo del Catalogo; spesa complessiva del servizio), che non contengono alcun identificativo e non costituiscono dati personali (par. 9).

3.3L'App non prevede la registrazione dell'Utente e i trattamenti descritti non hanno ad oggetto dati identificativi diretti (nome, indirizzo di posta elettronica, numero di telefono, data di nascita, indirizzo). La dichiarazione di maggiore età di cui al par. 7.1 è resa mediante una casella di conferma di avere compiuto diciotto anni e non comporta la raccolta della data di nascita.

4. Identificativo tecnico e funzioni personali

4.1Al primo accesso dell'Utente alle aree personali dell'App — la griglia di una categoria del Catalogo, il Camerino o il Profilo — l'App genera automaticamente l'Identificativo tecnico mediante il servizio di autenticazione anonima di cui al par. 13.3. L'Identificativo tecnico è generato prima e indipendentemente dal consenso al trattamento della Fotografia, non riguarda le immagini dell'Utente ed è impiegato esclusivamente per:

a) memorizzare i capi salvati tra i preferiti; b) autenticare le richieste di generazione delle Prove Virtuali provenienti dal dispositivo; c) applicare i limiti giornalieri di utilizzo del servizio di generazione; d) consentire all'Utente la cancellazione di tutti i propri dati con un'unica operazione. L'Identificativo tecnico non è impiegato per finalità pubblicitarie né di tracciamento.

4.2Per l'erogazione delle funzioni personali (preferiti, Prove Virtuali, cancellazione) la base giuridica è la necessità di dare esecuzione al contratto di utilizzo dell'App di cui l'Interessato è parte (art. 6, par. 1, lett. b), GDPR). Per i soli controlli anti-abuso e di contenimento dei costi la base giuridica è il legittimo interesse del Titolare (art. 6, par. 1, lett. f), GDPR), secondo quanto precisato al par. 6; a tali controlli l'Interessato può opporsi ai sensi del par. 20. Per il funzionamento del servizio di autenticazione un servizio tecnico di Google riceve anche l'indirizzo IP del dispositivo, nei termini di cui ai par. 13 e 14.

5. Fotografia dell'Utente e generazione delle Prove Virtuali

5.1Il trattamento della Fotografia è preceduto dalla raccolta del consenso: al primo utilizzo della funzione fotografica l'App presenta una schermata di consenso che descrive il trattamento, rinvia alla presente Informativa e raccoglie il consenso con le modalità di cui al par. 7.1. In assenza del consenso esplicito dell'Utente nessuna Fotografia è acquisita né trasmessa.

5.2L'Utente acquisisce la Fotografia mediante la fotocamera interna dell'App, che non registra audio, oppure la seleziona dalla libreria fotografica del dispositivo; in questo secondo caso l'App riceve la sola immagine selezionata e non accede all'intera libreria. La Fotografia è ridotta e compressa sul dispositivo e mantenuta nella memoria temporanea dell'App; essa non è caricata in alcun archivio del Titolare.

5.3La Fotografia è trasmessa, mediante connessione cifrata, alla funzione cloud del Titolare, ospitata nell'Unione europea, e da questa al servizio Gemini del Fornitore IA, al solo fine di verificare la presenza di una persona nell'immagine ed evitare elaborazioni prive di utilità; il servizio restituisce esclusivamente l'esito della verifica. Il controllo è ripetuto, a fini di sicurezza, al momento della generazione; il Titolare registra soltanto l'esito del controllo eseguito in tale momento (par. 6.1). Qualora la Fotografia non risulti idonea, l'App invita l'Utente a ripetere l'acquisizione; il controllo non produce alcun ulteriore effetto nei confronti dell'Utente e non costituisce decisione ai sensi dell'art. 22 GDPR.

5.4Su comando dell'Utente ("Prova"), la Fotografia e l'immagine del capo selezionato sono trasmesse al Fornitore IA, che genera la Prova Virtuale; il risultato è restituito direttamente al dispositivo dell'Utente. Il Titolare non conserva la Fotografia né la Prova Virtuale sui propri sistemi: esse sono trattate esclusivamente in memoria volatile per il tempo strettamente necessario all'elaborazione e non sono scritte in alcun archivio né in alcun registro. Il trattamento da parte del Fornitore IA può avvenire anche in centri di elaborazione dati situati negli Stati Uniti d'America, con le garanzie di cui al par. 14.

5.5Il Fornitore IA tratta la Fotografia per conto del Titolare, in qualità di Responsabile del trattamento ai sensi dell'art. 28 GDPR, sulla base di un accordo sul trattamento dei dati (par. 13.4). Il Titolare utilizza il servizio a pagamento della Gemini API, in relazione al quale il Fornitore IA si è obbligato a non utilizzare la Fotografia né le immagini generate per addestrare o migliorare i propri modelli. Il Fornitore IA può conservare i contenuti trasmessi e le immagini generate per un periodo massimo di 55 giorni, al solo fine di rilevare e prevenire abusi del servizio; i contenuti segnalati dai sistemi automatici di controllo possono essere esaminati da personale autorizzato del Fornitore IA. Decorso tale periodo, i contenuti sono eliminati.

5.6La Fotografia non è utilizzata per identificare, autenticare o riconoscere l'Utente e dal suo trattamento non è ricavato alcun modello biometrico. Il Titolare raccoglie in ogni caso, in via prudenziale, un consenso esplicito conforme ai requisiti previsti dall'art. 9, par. 2, lett. a), GDPR per le categorie particolari di dati personali.

5.7La base giuridica del trattamento della Fotografia è il consenso dell'Interessato (art. 6, par. 1, lett. a), GDPR), espresso nella schermata dedicata prima del primo utilizzo. L'Interessato può revocare il consenso in qualsiasi momento, senza pregiudizio per la liceità del trattamento basato sul consenso prima della revoca, mediante la funzione "Elimina i miei dati" disponibile nella sezione Profilo dell'App, che azzera il consenso ed elimina la Fotografia e le Prove Virtuali, oppure mediante comunicazione al Titolare ai recapiti di cui al par. 1. A seguito della revoca il Titolare non tratta ulteriori Fotografie dell'Interessato.

6. Prevenzione degli abusi, limiti di utilizzo e sicurezza del servizio

6.1Ciascuna generazione comporta per il Titolare un costo verso il Fornitore IA. Per prevenire l'uso automatizzato o anomalo del servizio, contenere i costi e garantire la disponibilità dell'App a tutti gli Utenti, il Titolare tratta: a) il registro delle generazioni, che riporta per ciascuna richiesta l'Identificativo tecnico, il capo provato, l'esito, il costo stimato e la data, senza immagini né indirizzi IP; b) i contatori di utilizzo, che registrano il numero di generazioni effettuate nella giornata e negli ultimi minuti e ai quali sono applicati limiti giornalieri e di frequenza. Al superamento dei limiti l'App ne informa l'Utente e propone il contatto con l'Atelier; nessun altro effetto deriva all'Utente. Il registro delle generazioni contribuisce inoltre alla produzione delle statistiche aggregate di cui al par. 9.

6.2Rientra nella medesima finalità la verifica di integrità dell'App e del dispositivo: l'App integra i sistemi Firebase App Check (Google) e App Attest (Apple) e trasmette a Google e ad Apple un'attestazione tecnica che certifica l'autenticità dell'App e l'integrità del dispositivo; il Titolare può subordinare all'esito positivo della verifica l'accesso alle funzioni di generazione. L'attestazione riguarda l'App e il dispositivo e non l'identità dell'Utente; secondo la documentazione del fornitore, il materiale di attestazione non è conservato e i relativi token hanno validità limitata nel tempo.

6.3La base giuridica di tali trattamenti è il legittimo interesse del Titolare alla sicurezza del servizio, alla prevenzione degli abusi e al contenimento dei costi (art. 6, par. 1, lett. f), GDPR). Il trattamento è fondato su una valutazione comparativa tra l'interesse del Titolare e i diritti e le libertà dell'Interessato, che tiene conto della natura pseudonima dei dati, dell'assenza di immagini e di indirizzi IP nei registri, dei periodi di conservazione limitati e dell'assenza di effetti pregiudizievoli per l'Utente; l'Interessato può richiederne al Titolare le informazioni essenziali e può opporsi al trattamento ai sensi dell'art. 21 GDPR (par. 20). I registri sono accessibili esclusivamente al personale del Titolare e ai soggetti da questo designati, autorizzati al trattamento (par. 13.1), che vi accedono di regola in forma aggregata.

7. Prova del consenso

7.1La schermata di consenso di cui al par. 5.1 richiede una dichiarazione attiva di maggiore età mediante casella di conferma, secondo quanto previsto al par. 17; il comando di accettazione è attivo soltanto a seguito di tale dichiarazione. Il flusso fotografico si avvia esclusivamente dopo l'accettazione esplicita; l'annullamento non comporta alcun trattamento.

7.2Al momento dell'accettazione il Titolare registra sui propri sistemi, non appena la connessione lo consente, la versione dell'Informativa accettata e la data e ora dell'accettazione, associate all'Identificativo tecnico, al fine di dimostrare che il consenso è stato prestato, come richiesto dall'art. 7, par. 1, GDPR. La base giuridica è l'adempimento di un obbligo legale al quale è soggetto il Titolare (art. 6, par. 1, lett. c), GDPR) e, in subordine, il legittimo interesse del Titolare a documentare la liceità del trattamento (art. 6, par. 1, lett. f), GDPR). Il consenso è riferito all'installazione corrente dell'App: in caso di reinstallazione esso è nuovamente richiesto.

8. Log tecnici

8.1La piattaforma cloud che ospita le funzioni del Titolare produce log tecnici di errore, contenenti i codici e i tempi degli errori e l'indirizzo IP della chiamata, senza contenuti né immagini. Tali log sono trattati al solo fine di diagnosticare i malfunzionamenti dell'App, sulla base del legittimo interesse del Titolare al corretto funzionamento del servizio (art. 6, par. 1, lett. f), GDPR), e sono conservati per il periodo indicato al par. 15. Il servizio di autenticazione di cui al par. 13.3 tratta inoltre, per la creazione e la protezione della sessione tecnica, l'indirizzo IP e le informazioni tecniche sul dispositivo, sulla base del legittimo interesse del Titolare alla sicurezza del servizio (art. 6, par. 1, lett. f), GDPR), nei termini di cui ai par. 13, 14 e 15.

9. Statistiche aggregate anonime

9.1Il Titolare produce contatori aggregati relativi al numero complessivo di prove e di salvataggi tra i preferiti per ciascun capo del Catalogo e alla spesa complessiva del servizio. Tali contatori sono incrementati senza alcun riferimento all'Identificativo tecnico, non consentono di risalire all'Utente e non costituiscono dati personali; essi sono utilizzati esclusivamente per statistiche sul Catalogo e conservati senza limite di tempo.

10. Limiti delle finalità

10.1I trattamenti effettuati attraverso l'App si esauriscono nelle finalità di cui ai par. 4-9. Il Titolare non pone in essere profilazione né decisioni basate unicamente sul trattamento automatizzato che producano effetti giuridici o incidano in modo analogo significativamente sull'Interessato; non svolge attività pubblicitaria né di tracciamento a fini pubblicitari; non utilizza le immagini dell'Utente per addestrare sistemi di intelligenza artificiale.

11. Natura del conferimento e conseguenze del rifiuto

11.1Il conferimento della Fotografia è facoltativo. In sua assenza l'Utente può consultare il Catalogo e salvare i capi tra i preferiti, ma non può generare le Prove Virtuali.

11.2L'Identificativo tecnico è necessario al funzionamento delle aree personali dell'App e, come indicato al par. 4.1, è generato automaticamente al primo accesso alle stesse. In sua assenza l'App non può erogare le funzioni del Camerino e del Profilo.

11.3La dichiarazione di maggiore età di cui al par. 7.1 è condizione per l'accesso alla funzione fotografica.

12. Modalità del trattamento e misure di sicurezza

12.1Il trattamento è effettuato con strumenti elettronici, con logiche strettamente correlate alle finalità indicate ai par. 4-10 e con misure tecniche e organizzative adeguate ai sensi dell'art. 32 GDPR.

12.2Tutte le comunicazioni tra l'App, i sistemi del Titolare e i fornitori di cui al par. 13 avvengono su connessioni cifrate (HTTPS/TLS). La Fotografia è ridotta e compressa sul dispositivo prima della trasmissione, in modo da trasmettere il minimo necessario all'elaborazione.

12.3Le immagini non sono scritte in alcun archivio del Titolare (par. 5.4). I dati diversi dalle immagini (preferiti, prova del consenso, registri, contatori) risiedono in centri di elaborazione dati situati nell'Unione europea (Belgio) e sono protetti da regole di accesso che ne consentono la lettura e la modifica esclusivamente all'installazione dell'App alla quale si riferiscono e ai processi automatici del Titolare (par. 15.2 e 15.3).

12.4Le credenziali di accesso al servizio del Fornitore IA sono custodite in un sistema di custodia protetta delle credenziali sui sistemi del Titolare e non sono in alcun momento presenti sul dispositivo dell'Utente.

12.5Sul dispositivo l'App conserva, nella memoria ad essa riservata, le sole informazioni tecniche strettamente necessarie all'erogazione del servizio richiesto dall'Utente: la sessione tecnica, le preferenze, il consenso e le Prove Virtuali. Tale archiviazione rientra, ad avviso del Titolare, nelle ipotesi di cui all'art. 5, par. 3, della direttiva 2002/58/CE e all'art. 122, comma 1, del Codice privacy e non richiede il consenso dell'Interessato. L'App non utilizza cookie né identificatori di tracciamento, non integra strumenti di analisi pubblicitaria, di segnalazione degli errori (crash reporting) forniti da terzi né altri strumenti di tracciamento di terze parti, non utilizza l'identificatore pubblicitario di Apple e non presenta la richiesta di autorizzazione al tracciamento prevista dal sistema operativo (App Tracking Transparency).

12.6Le autorizzazioni richieste al sistema operativo sono limitate alla fotocamera e, su iniziativa dell'Utente, alla singola immagine selezionata dalla libreria fotografica e al salvataggio di una Prova Virtuale nella stessa. L'App non richiede l'accesso alla posizione, ai contatti, al microfono né a dati relativi alla salute.

12.7La Prova Virtuale generata è conservata nella memoria interna dell'App e non nella libreria fotografica del dispositivo, salvo che l'Utente la salvi o la condivida. Per ciascun capo è conservata una sola Prova Virtuale: la generazione di una nuova prova sul medesimo capo sostituisce la precedente.

13. Destinatari e Responsabili del trattamento

13.1Il Titolare non comunica i dati personali a terzi per finalità proprie di questi ultimi né li cede a titolo oneroso. I dati sono comunicati esclusivamente ai fornitori di seguito indicati, nei limiti necessari al funzionamento dell'App, e sono conosciuti dal personale del Titolare e dai soggetti da questo designati, autorizzati al trattamento ai sensi dell'art. 29 GDPR e dell'art. 2-quaterdecies del Codice privacy, nei limiti di cui al par. 6.3.

13.2Google (piattaforma Firebase / Google Cloud), nell'entità del gruppo Google indicata nel Cloud Data Processing Addendum, fornisce il database, le funzioni cloud e l'archiviazione delle immagini del Catalogo, in qualità di Responsabile del trattamento ai sensi dell'art. 28 GDPR, sulla base del medesimo Cloud Data Processing Addendum. Il trattamento avviene nell'Unione europea, nella regione europe-west1 (Belgio); per le eventuali attività di supporto svolte al di fuori dell'Unione europea si applicano le garanzie di cui al par. 14.

13.3Google (Firebase Authentication) fornisce il servizio di accesso senza registrazione e tratta l'Identificativo tecnico, i token di sessione, l'indirizzo IP e le informazioni tecniche sul dispositivo, in qualità di Responsabile del trattamento ai sensi dell'art. 28 GDPR. Il servizio è erogato esclusivamente da centri di elaborazione dati situati negli Stati Uniti d'America (par. 14). Google conserva gli indirizzi IP dei relativi log per un periodo limitato, a fini di sicurezza (par. 15).

13.4Il Fornitore IA riceve la Fotografia e l'immagine del capo e restituisce la Prova Virtuale, in qualità di Responsabile del trattamento ai sensi dell'art. 28 GDPR, sulla base del Data Processing Addendum applicabile ai servizi nei quali Google opera come responsabile. Il trattamento può avvenire negli Stati Uniti d'America o in altri Paesi (par. 14). Il Fornitore IA non utilizza i contenuti per l'addestramento dei propri modelli e li conserva nei termini di cui al par. 5.5.

13.5Apple distribuisce l'App tramite App Store e, nell'ambito della verifica di integrità di cui al par. 6.2, riceve la relativa attestazione tecnica. Apple opera in qualità di Titolare autonomo del trattamento, secondo la propria informativa (par. 23).

13.6WhatsApp (Meta) riceve dati esclusivamente su iniziativa dell'Utente, quando questi attiva il comando "Prenota appuntamento" oppure condivide una Prova Virtuale tramite WhatsApp, e opera in qualità di Titolare autonomo del trattamento secondo la propria informativa (par. 23). Il comando "Prenota appuntamento" apre l'applicazione WhatsApp, eventualmente con un messaggio precompilato di solo testo: nessun dato dell'Utente è inserito nel collegamento e l'App non accede in alcun caso al numero di telefono dell'Utente. La condivisione delle Prove Virtuali è disciplinata dal par. 16.

14. Trasferimenti verso Paesi terzi

14.1I dati personali conservati sui sistemi del Titolare sono trattati nell'Unione europea (par. 12.3). Comportano strutturalmente un trasferimento verso Paesi terzi i due servizi di seguito indicati, oltre alle eventuali attività di supporto tecnico di cui al par. 13.2: a) il servizio Gemini API del Fornitore IA, erogato su un punto di accesso globale, per il quale il trattamento della Fotografia, dell'immagine del capo e della Prova Virtuale può avvenire negli Stati Uniti d'America o in altri Paesi; b) il servizio Firebase Authentication, erogato esclusivamente dagli Stati Uniti d'America, per il quale sono trasferiti l'Identificativo tecnico, i token di sessione, l'indirizzo IP e le informazioni tecniche sul dispositivo.

14.2I trasferimenti verso gli Stati Uniti d'America avvengono sulla base della decisione di esecuzione (UE) 2023/1795 della Commissione, del 10 luglio 2023, che riconosce un livello di protezione adeguato ai dati personali trasferiti a organizzazioni statunitensi certificate nell'ambito dell'EU-U.S. Data Privacy Framework (art. 45 GDPR). Google LLC risulta iscritta, con certificazione attiva, nella Data Privacy Framework List tenuta dal Dipartimento del Commercio degli Stati Uniti (par. 23.3, lett. e); il Titolare verifica periodicamente il permanere della certificazione.

14.3In via subordinata — ossia per i trasferimenti verso Paesi diversi dagli Stati Uniti d'America, per i trasferimenti verso destinatari statunitensi non coperti dalla certificazione e per l'ipotesi in cui la decisione di adeguatezza di cui al par. 14.2 sia sospesa, revocata, annullata o comunque non applicabile — i trasferimenti sono assistiti dalle Clausole Contrattuali Standard adottate con decisione di esecuzione (UE) 2021/914 della Commissione, del 4 giugno 2021 (art. 46, par. 2, lett. c), GDPR), incorporate nei Data Processing Addendum di Google richiamati ai par. 13.2, 13.3 e 13.4, unitamente alle misure supplementari ivi previste. Il Titolare tiene conto degli sviluppi giurisprudenziali e istituzionali relativi alla decisione di adeguatezza e aggiorna la presente Informativa ove necessario.

14.4L'Interessato può consultare le Clausole Contrattuali Standard agli indirizzi indicati al par. 23 o richiederne copia al Titolare all'indirizzo di cui al par. 1.2.

15. Periodo di conservazione

15.1I dati personali sono conservati per i periodi di seguito indicati, decorsi i quali sono cancellati. I preferiti, la prova del consenso, il registro delle generazioni e i contatori di utilizzo sono associati all'Identificativo tecnico; i log tecnici di cui al par. 8 e i contatori aggregati di cui al par. 9 non lo sono.

15.2La cancellazione automatica del registro delle generazioni e dei contatori di utilizzo è assicurata da regole di scadenza attive sui database del Titolare.

15.3I dati collegati a Identificativi tecnici inattivi da oltre 24 mesi — preferiti, prova del consenso e Identificativo tecnico compresi — sono eliminati automaticamente da una procedura periodica eseguita sui sistemi del Titolare.

15.4L'Utente può ottenere in qualsiasi momento la cancellazione anticipata di tutti i dati collegati al proprio Identificativo tecnico mediante la funzione "Elimina i miei dati" (par. 20.2).

15.5Le Prove Virtuali sono conservate esclusivamente all'interno dell'App: in caso di disinstallazione dell'App, ovvero di sostituzione o inizializzazione del dispositivo senza trasferimento dei contenuti, esse sono perse in modo irreversibile. L'Identificativo tecnico è custodito dal sistema operativo del dispositivo: in caso di reinstallazione sul medesimo dispositivo esso può essere ripristinato, con conseguente recupero dei preferiti, oppure generato nuovamente, nel qual caso i preferiti precedenti non sono più recuperabili. L'esito dipende dal sistema operativo e il Titolare non garantisce né il ripristino né la rigenerazione dell'Identificativo tecnico. Si raccomanda pertanto all'Utente di utilizzare la funzione "Elimina i miei dati" prima della disinstallazione: in difetto, i dati collegati all'Identificativo tecnico permangono sui sistemi del Titolare senza che l'Utente possa più richiederne la cancellazione mirata; essi restano tuttavia privi di elementi identificativi anche per il Titolare e sono eliminati automaticamente, Identificativo tecnico compreso, decorsi 24 mesi di inattività (par. 15.3).

16. Contenuti generati con intelligenza artificiale

16.1Le Prove Virtuali costituiscono contenuti generati mediante sistemi di intelligenza artificiale e non sono fotografie reali. Esse hanno natura meramente illustrativa: la resa di colori, tessuti e vestibilità è indicativa e non garantisce la corrispondenza con la resa effettiva del capo, verificabile esclusivamente presso l'Atelier.

16.2In conformità all'art. 50, par. 2, dell'AI Act, ciascuna Prova Virtuale incorpora marcature leggibili meccanicamente: i sistemi del Titolare applicano metadati standard di provenienza (XMP/IPTC) che qualificano l'immagine come generata mediante intelligenza artificiale; il Fornitore IA incorpora inoltre nell'immagine la filigrana invisibile SynthID. Nell'App il visore delle prove riporta la dicitura "Immagine generata con IA", ripetuta nel testo che accompagna la condivisione. L'origine di un'immagine può essere verificata con un comune lettore di metadati o con gli strumenti di verifica messi a disposizione da Google, ad esempio mediante l'applicazione Google Gemini.

16.3Gli obblighi dell'Utente relativi alla conservazione delle marcature e alla diffusione delle Prove Virtuali sono disciplinati dalle Condizioni generali di utilizzo dell'App.

16.4Nessuna immagine è trasmessa al di fuori del dispositivo in modo automatico. La condivisione di una Prova Virtuale avviene esclusivamente su iniziativa dell'Utente mediante il comando "Condividi", con il quale l'Utente sceglie l'applicazione di destinazione (Messaggi, WhatsApp, AirDrop o altre); dal momento della condivisione l'immagine è al di fuori del controllo del Titolare ed è soggetta alle condizioni del servizio prescelto.

16.5L'Utente può eliminare ciascuna Prova Virtuale dal visore delle prove, oppure tutte le Prove Virtuali mediante la funzione "Elimina i miei dati".

17. Minori

17.1L'App è riservata a persone maggiorenni e non è destinata a minori di età. La schermata di consenso richiede all'Utente di dichiarare attivamente di avere compiuto diciotto anni. Il Titolare non raccoglie consapevolmente dati personali di minori di età; ove venga a conoscenza di un utilizzo dell'App da parte di un minore, provvede alla cancellazione dei relativi dati. Il minore, o chi ne esercita la responsabilità genitoriale, può in ogni caso ottenerne la cancellazione mediante la funzione "Elimina i miei dati" o rivolgendosi al Titolare ai recapiti di cui al par. 1.

17.2Le Fotografie che ritraggono persone minori di età possono essere caricate esclusivamente da chi esercita la responsabilità genitoriale sul minore ritratto, nell'interesse del minore, con il consenso di entrambi i genitori o degli esercenti la responsabilità genitoriale e, ove il minore abbia compiuto quattordici anni, anche con il consenso di quest'ultimo, in conformità all'art. 4, comma 4, della Legge IA e agli orientamenti del Garante per la protezione dei dati personali (provv. 29 aprile 2026, n. 314). La Fotografia segue il medesimo percorso descritto al par. 5: non è conservata sui sistemi del Titolare, è trasmessa in forma protetta al Fornitore IA per il solo tempo dell'elaborazione e la Prova Virtuale resta sul dispositivo dell'Utente. Il Titolare invita a caricare fotografie di minori soltanto ove strettamente necessario.

18. Fotografie di terzi

18.1Il trattamento di Fotografie di terzi presuppone, ai sensi delle Condizioni generali di utilizzo dell'App, l'autorizzazione della persona ritratta, maggiorenne, alla quale l'Utente rende nota la presente Informativa. La Fotografia di un terzo segue il percorso descritto al par. 5; per le Fotografie di minori di età si applica il par. 17.2.

19. Immagini del Catalogo e persone ritratte

19.1Il Catalogo presenta fotografie di abiti tratte dal materiale fotografico ufficiale (lookbook) dei marchi distribuiti dall'Atelier: Versali, Marra, Pronovias, Giovanna Alessandro, Mialavi, Ariamo e Pietro Demita. Tali fotografie ritraggono modelle e modelli professionisti e costituiscono pertanto dati personali delle persone ritratte, che il Titolare non ha raccolto presso le stesse. Le informazioni di cui al presente paragrafo sono rese ai sensi dell'art. 14 GDPR.

19.2Fonte dei dati: materiale fotografico ufficiale dei marchi indicati al par. 19.1.

19.3Finalità: presentazione del Catalogo nell'App e, su richiesta dell'Utente di una Prova Virtuale, trasmissione dell'immagine del capo al Fornitore IA quale riferimento dell'abito per la generazione. La Prova Virtuale raffigura l'Utente che ha formulato la richiesta e non la persona ritratta nell'immagine del Catalogo.

19.4Base giuridica: legittimo interesse del Titolare e dei marchi alla promozione dei capi (art. 6, par. 1, lett. f), GDPR).

19.5Conservazione: le immagini sono utilizzate e conservate per il tempo in cui il capo raffigurato fa parte del Catalogo proposto nell'App.

19.6Trasferimenti: la trasmissione dell'immagine del capo al Fornitore IA può comportare un trasferimento verso gli Stati Uniti d'America, con le garanzie di cui al par. 14.

19.7Il Titolare non dispone dell'identità né dei recapiti delle persone ritratte, ingaggiate dai marchi; l'informativa individuale comporterebbe uno sforzo sproporzionato. Il Titolare si avvale pertanto dell'art. 14, par. 5, lett. b), GDPR, rendendo pubbliche le informazioni di cui al presente paragrafo.

19.8Le persone ritratte nelle immagini del Catalogo possono esercitare i diritti di cui al par. 20 — accesso, rettifica, cancellazione, limitazione, opposizione e reclamo all'Autorità di controllo — rivolgendosi al Titolare all'indirizzo di cui al par. 1.2. In caso di opposizione, il Titolare rimuove l'immagine dal Catalogo.

20. Diritti dell'Interessato

20.1L'Interessato ha il diritto di:

a) ottenere la conferma dell'esistenza di un trattamento di dati personali che lo riguardano e l'accesso a tali dati, con copia degli stessi (art. 15 GDPR);

b) ottenere la rettifica dei dati inesatti (art. 16 GDPR);

c) ottenere la cancellazione dei dati (art. 17 GDPR);

d) ottenere la limitazione del trattamento nei casi previsti (art. 18 GDPR);

e) ricevere i dati forniti in un formato strutturato, di uso comune e leggibile da dispositivo automatico (art. 20 GDPR);

f) opporsi, per motivi connessi alla propria situazione particolare, ai trattamenti fondati sul legittimo interesse del Titolare, in particolare al registro delle generazioni e ai contatori di utilizzo (art. 21 GDPR);

g) revocare il consenso in qualsiasi momento, senza pregiudizio per la liceità del trattamento basato sul consenso prima della revoca (art. 7, par. 3, GDPR; par. 5.7);

h) non essere sottoposto a decisioni basate unicamente sul trattamento automatizzato che producano effetti giuridici o incidano in modo analogo significativamente sulla sua persona (art. 22 GDPR), decisioni che in ogni caso l'App non adotta.

20.2L'App consente all'Interessato di esercitare direttamente e immediatamente i principali diritti: i dati che lo riguardano (preferiti e Prove Virtuali) sono consultabili in ogni momento nell'App e sono cancellabili mediante la funzione "Elimina i miei dati", disponibile nella sezione Profilo. La funzione elimina definitivamente:

a) sul dispositivo: la Fotografia in uso, tutte le Prove Virtuali generate, la classifica dei capi elaborata nella funzione di confronto, il consenso registrato e i file temporanei di lavoro (copie di scatto, di ritaglio e di condivisione);

b) sui sistemi del Titolare: i preferiti, la prova del consenso, il registro delle generazioni collegato all'Identificativo tecnico, i contatori di utilizzo e lo stesso Identificativo tecnico, unico elemento di collegamento tra l'installazione dell'App e i dati conservati sui sistemi del Titolare.

20.3Non sono interessati dalla funzione "Elimina i miei dati", in quanto non più riferibili all'Interessato o non nella disponibilità del Titolare:

a) i contatori aggregati anonimi del Catalogo (par. 9);

b) le immagini che l'Utente ha salvato nella libreria fotografica o condiviso al di fuori dell'App;

c) le copie conservate da Google per i periodi limitati indicati ai par. 5.5, 13 e 15: al massimo 55 giorni per i contenuti trasmessi al Fornitore IA; per i dati di autenticazione, rimozione dai sistemi attivi e di backup entro 180 giorni dall'eliminazione dell'Identificativo tecnico, fermo il termine più breve dei log contenenti l'indirizzo IP.

20.4Per ogni altra richiesta l'Interessato può rivolgersi al Titolare all'indirizzo di posta elettronica info@crespicerimoniasposi.it. Il Titolare fornisce riscontro entro un mese dal ricevimento della richiesta, prorogabile nei casi previsti dall'art. 12, par. 3, GDPR. Il Titolare non è in grado di identificare l'Interessato, non essendo associato all'Identificativo tecnico alcun nome, indirizzo di posta elettronica o altro elemento identificativo; trova pertanto applicazione l'art. 11, par. 2, GDPR: in caso di richiesta formulata per posta elettronica, il Titolare non può individuare i dati riferibili al richiedente, salvo che questi fornisca ulteriori elementi che ne consentano l'identificazione. La funzione "Elimina i miei dati", che opera direttamente sui dati riferiti all'installazione, costituisce la modalità di esercizio raccomandata.

21. Reclamo all'Autorità di controllo

21.1L'Interessato che ritenga che il trattamento dei dati personali che lo riguardano violi il GDPR ha il diritto di proporre reclamo al Garante per la protezione dei dati personali, Piazza Venezia n. 11, 00187 Roma (art. 77 GDPR), oppure di adire l'autorità giudiziaria (art. 79 GDPR), fatta salva la facoltà di rivolgersi preventivamente al Titolare ai recapiti di cui al par. 1.

22. Aggiornamenti dell'Informativa

22.1La presente Informativa è la versione 1.0 del 2 settembre 2026. In caso di modifica sostanziale — in particolare per nuove finalità, nuovi destinatari o variazioni del percorso della Fotografia — il Titolare pubblica la nuova versione all'indirizzo indicato al par. 23.1, aggiorna la versione richiamata nella schermata di consenso e, ove richiesto dal GDPR, richiede nuovamente il consenso dell'Interessato. Le versioni precedenti sono disponibili su richiesta al Titolare.

23. Documentazione di riferimento

23.1La presente Informativa è pubblicata all'indirizzo https://crespicerimoniasposi.it/app/privacy ed è raggiungibile dalla sezione Profilo dell'App e dalla schermata di consenso.

23.2Riferimenti normativi: Regolamento (UE) 2016/679; d.lgs. 30 giugno 2003, n. 196 (in particolare art. 2-quinquies e art. 122); direttiva 2002/58/CE, come modificata dalla direttiva 2009/136/CE; Regolamento (UE) 2024/1689 (AI Act), come modificato dal Regolamento (UE) 2026/1744, in particolare art. 50, e relative Linee guida della Commissione C(2026) 5054 final del 20 luglio 2026; legge 23 settembre 2025, n. 132, in particolare artt. 3, 4 e 26; decisione di esecuzione (UE) 2023/1795 della Commissione, confermata dal Tribunale dell'Unione europea con sentenza del 3 settembre 2025, T-553/23; decisione di esecuzione (UE) 2021/914 della Commissione.

23.3Documentazione dei fornitori:

a) Google — Gemini API Additional Terms of Service: https://ai.google.dev/gemini-api/terms

b) Google — Data Processing Addendum for Products Where Google is a Data Processor (Data Processing Addendum per i servizi nei quali Google opera come responsabile): https://business.safety.google/processorterms/ — elenco dei servizi coperti, tra cui i Gemini API Paid Services: https://business.safety.google/services/

c) Google — Cloud Data Processing Addendum: https://cloud.google.com/terms/data-processing-addendum

d) Google — Privacy e sicurezza in Firebase: https://firebase.google.com/support/privacy

e) Google — dichiarazione di adesione ai data transfer frameworks: https://policies.google.com/privacy/frameworks; Dipartimento del Commercio degli Stati Uniti — Data Privacy Framework List, scheda Google LLC: https://www.dataprivacyframework.gov/participant/5780

f) Apple — informativa privacy: https://www.apple.com/it/privacy/

g) Garante per la protezione dei dati personali: https://www.garanteprivacy.it

Informativa sul trattamento dei dati personali — App "Crespi Atelier" — Versione 1.0 del 2 settembre 2026.