Informativa sulla privacy

Questa informativa sulla privacy ti informa ai sensi dell’art. 13 GDPR su natura, ambito e finalità del trattamento dei dati personali nell’ambito della nostra offerta online e dei siti web e delle funzioni a essa collegati.

1. Titolare del trattamento

Daniel David Ovadia
CastLoop
Eugen-Richter-Str. 159
76187 Karlsruhe, Germania
E-mail: info@castloop.de

2. Definizioni

Questa informativa sulla privacy utilizza la terminologia del Regolamento generale sulla protezione dei dati (GDPR). I „dati personali" sono tutte le informazioni riferite a una persona fisica identificata o identificabile.

3. Finalità e basi giuridiche del trattamento

Trattiamo i dati personali per le seguenti finalità:

• fornitura dell’offerta online e delle sue funzioni (art. 6 comma 1 lett. b GDPR)
• adempimento di obblighi contrattuali (art. 6 comma 1 lett. b GDPR)
• adempimento di obblighi di legge, in particolare obblighi di conservazione in materia tributaria e commerciale (art. 6 comma 1 lett. c GDPR)
• tutela di interessi legittimi — in particolare sicurezza, difesa da abusi, analisi e miglioramento della nostra offerta (art. 6 comma 1 lett. f GDPR)
• consensi, ove prestati (art. 6 comma 1 lett. a GDPR)

Non ha luogo alcun processo decisionale basato unicamente su un trattamento automatizzato, compresa la profilazione, che produca effetti giuridici che ti riguardano o che incida in modo analogo significativamente sulla tua persona (art. 22 GDPR). La selezione assistita dall’IA dei momenti per i clip valuta i tuoi contenuti, non la tua persona.

4. Server log file & hosting

Quando accedi al nostro sito web, vengono automaticamente memorizzati dati di accesso in server log file (indirizzo IP, data e ora, pagina richiesta, user agent, referrer). Questi dati servono alla sicurezza tecnica del funzionamento e vengono cancellati o anonimizzati entro al massimo 14 giorni.

Hosting: IONOS SE, Elgendorfer Straße 57, 56410 Montabaur, Germania. Il trattamento dei dati avviene esclusivamente su server nell’Unione Europea (Germania). IONOS fornisce anche il relay SMTP per l’invio di e-mail transazionali nonché i backup snapshot delle VM dell’ambiente di produzione. Con il fornitore sussiste un contratto di trattamento dati ai sensi dell’art. 28 GDPR.

5. Registrazione & account cliente

Per utilizzare CastLoop puoi creare un account. I dati obbligatori sono l’indirizzo e-mail e la password; facoltativi sono il nome dell’azienda/del canale, nome e cognome. La password non viene mai memorizzata in chiaro, bensì come hash con il moderno procedimento Argon2id (parametri OWASP 2024).

Base giuridica: art. 6 comma 1 lett. b GDPR (esecuzione del contratto). I dati vengono cancellati non appena non sono più necessari per le finalità della loro raccolta e non vi ostano obblighi di legge di conservazione.

Per concludere il contratto di utilizzo è necessario indicare l’indirizzo e-mail e una password (oppure accedere con un link via e-mail o tramite uno dei fornitori indicati nella sezione 7) e dichiarare se agisci come imprenditore o come consumatore; senza questi dati non possiamo creare un account. Per un piano a pagamento ci serve inoltre il tuo indirizzo di fatturazione (vedi sezione 10). Non sussiste alcun obbligo legale di fornire i dati.

Se apri CastLoop tramite un link pubblicitario che contiene un identificativo di campagna (parametri utm, ad es. fonte e campagna), al momento della registrazione conserviamo tale identificativo nel tuo account. In questo modo sappiamo quale pubblicità porta a registrazioni. Non vengono impostati cookie né trasmessi dati a reti pubblicitarie. La base giuridica è l’art. 6, par. 1, lett. f GDPR; il nostro legittimo interesse è misurare il successo della nostra pubblicità. Puoi opporti a ciò (vedi sezione 16). Nelle pagine di accesso e di registrazione di app.castloop.de registriamo inoltre eventi di utilizzo pseudonimizzati (ad es. visualizzazione della pagina, inizio e invio del modulo, clic su un provider di accesso e codici di errore) per capire in quale punto i visitatori interrompono la registrazione; a tal fine conserviamo un valore hash dell’indirizzo IP e della classe del browser, ma né l’indirizzo IP stesso né indirizzi e-mail o contenuti del modulo, non impostiamo cookie e cancelliamo questi eventi dopo 90 giorni (base giuridica anch’essa l’art. 6, par. 1, lett. f GDPR, opposizione vedi sezione 16).

Accesso con un link via e-mail. Invece di usare una password, puoi accedere o registrarti con un link che inviamo al tuo indirizzo e-mail. A tal fine trattiamo il tuo indirizzo e-mail, la lingua scelta e, in caso di registrazione, i tuoi dati sul ruolo (imprenditore o consumatore), sul consenso alle novità sul prodotto e l’identificativo di campagna del link pubblicitario. Non conserviamo il link stesso; sul nostro server rimane solo un valore hash non reversibile insieme a questi dati per al massimo 15 minuti, dopodiché viene eliminato. Un’ulteriore annotazione senza contenuto resta per un massimo di 24 ore, così da poter riconoscere un link scaduto come tale. Ogni link può essere usato una sola volta. Se richiedi il link nella pagina di registrazione, registriamo il momento, la versione delle condizioni generali e dell’informativa sulla privacy e un valore hash del tuo indirizzo IP come prova della tua dichiarazione. Se richiedi il link nella pagina di accesso per un indirizzo che non ha ancora un account, l’apertura del link non crea alcun account. Solo quando scegli il tuo ruolo nella pagina successiva e fai clic su «Crea account» creiamo l’account e registriamo questi dati al momento di quel clic. Con l’apertura del link il tuo indirizzo e-mail si considera confermato. Il link di accesso non conferma invece il tuo consenso alle novità sul prodotto. Se hai scelto di ricevere novità sul prodotto, dopo la creazione dell’account ti inviamo un’e-mail separata con un link di conferma. Il tuo consenso diventa efficace solo quando fai clic su quel link (doppio opt-in, vedi la sezione 11). La base giuridica è l’art. 6, par. 1, lett. b del GDPR.

6. Contenuti trattati

CastLoop tratta i contenuti che fornisci attivamente — in particolare URL di video YouTube o di episodi di podcast, registrazioni dei canali Twitch o Kick collegati e file da te caricati, nonché le trascrizioni, i file di clip, i titoli e le proposte di sottotitoli da essi generati. Questi contenuti vengono utilizzati esclusivamente per l’erogazione del servizio ordinato e cancellati allo scadere dei termini di conservazione contrattualmente concordati (di norma 7 giorni per i download grezzi, fino a 90 giorni per i clip generati nell’ambito della funzione di riciclo). I file di clip vengono memorizzati esclusivamente su server UE di IONOS SE; un trasferimento verso fornitori di cloud storage al di fuori dell’UE non ha luogo.

7. Social login / SSO

Per semplificare l’accesso offriamo un single sign-on (SSO) tramite diversi identity provider. Se utilizzi questa opzione, vieni reindirizzato al rispettivo fornitore; dopo un’autenticazione riuscita riceviamo un ID token firmato (JWT), dal quale leggiamo esclusivamente un identificativo utente stabile (sub) e il tuo indirizzo e-mail. Non riceviamo alcuna password né un accesso illimitato al tuo account presso tale fornitore. Con l’accesso tramite Facebook o Instagram riceviamo un codice di autorizzazione invece di un ID token; i dettagli sono riportati nelle sezioni 7.4 e 7.5.

7.1 Google Ireland Ltd. — Google Sign-In

Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irlanda. Autenticazione tramite account Google („Sign in with Google"). Vengono trattati sub (ID utente Google stabile), indirizzo e-mail, stato di conferma dell’e-mail, facoltativamente nome e URL dell’immagine del profilo. Dettagli: policies.google.com/privacy.

7.2 Microsoft Ireland Operations Limited — Sign in with Microsoft

Microsoft Ireland Operations Limited, One Microsoft Place, South County Business Park, Leopardstown, Dublin 18, Irlanda. Autenticazione tramite account Microsoft (personale o Work/School). Vengono trattati sub (ID utente Microsoft stabile, non oid), indirizzo e-mail e facoltativamente nome visualizzato. Dettagli: privacy.microsoft.com.

7.3 Apple Distribution International Ltd. — Sign in with Apple

Apple Distribution International Limited, Hollyhill Industrial Estate, Hollyhill, Cork, Irlanda. Autenticazione tramite Apple-ID. Vengono trattati sub (ID utente Apple stabile) e indirizzo e-mail.

Nota sugli indirizzi Private Relay: Apple offre l’opzione „Nascondi la mia e-mail". In tal caso riceviamo esclusivamente un indirizzo di inoltro anonimizzato del tipo <token-casuale>@privaterelay.appleid.com. In questo caso non possiamo visualizzare il tuo vero indirizzo e-mail; Apple inoltra le e-mail in modo trasparente all’indirizzo da te indicato. Dettagli: apple.com/legal/privacy.

7.4 Meta Platforms Ireland Ltd. — accesso con Facebook

Meta Platforms Ireland Limited, Merrion Road, Dublin 4, Irlanda. Puoi accedere o registrarti con il tuo account Facebook («Continua con Facebook»). L’unica finalità è l’accesso a CastLoop e la creazione o il riconoscimento del tuo account cliente. Richiediamo solo le autorizzazioni standard public_profile ed email. Dopo il tuo consenso nella finestra di Facebook, scambiamo sul nostro server il codice di autorizzazione con un token di accesso e lo utilizziamo una sola volta per recuperare il tuo identificativo utente Facebook specifico dell’app (id), il tuo nome (name) e il tuo indirizzo e-mail (email). Non conserviamo il token di accesso, che viene scartato dopo questa richiesta. Conserviamo l’identificativo utente, per riconoscerti agli accessi successivi, l’indirizzo e-mail come indirizzo del tuo account cliente e il nome e il cognome tratti dal tuo nome Facebook come nome nel tuo account cliente. Dal nome ricaviamo inoltre il nome predefinito del tuo spazio di lavoro, che puoi modificare in qualsiasi momento. Per un nuovo account ti inviamo un link con cui confermare l’indirizzo e-mail. Se Facebook non fornisce alcun indirizzo e-mail, non creiamo alcun account. Il collegamento di pagine Facebook e account Instagram per la pubblicazione è separato e avviene solo se lo scegli espressamente in una finestra a parte (sezioni 8.2 e 8.6). Se nelle impostazioni di Facebook richiedi la cancellazione dei tuoi dati presso CastLoop, cancelliamo il collegamento con il tuo account Facebook. La base giuridica è l’art. 6 comma 1 lett. b GDPR. Meta Platforms Ireland Ltd. può trasferire dati a Meta Platforms, Inc. (USA) (vedi sezione 14). Dettagli: facebook.com/privacy/policy.

7.5 Meta Platforms Ireland Ltd. — accesso con Instagram

Meta Platforms Ireland Limited, Merrion Road, Dublino 4, Irlanda. Puoi accedere o registrarti con il tuo account professionale Instagram (account aziendale o creator) («Continua con Instagram», API di Instagram con accesso tramite Instagram). Dopo il tuo consenso nella finestra di Instagram scambiamo sul nostro server il codice di autorizzazione con un token di accesso e questo con un token di accesso di lunga durata. Con esso recuperiamo il tuo identificativo utente Instagram legato all’app, l’identificativo del tuo account Instagram, il tuo nome utente, il nome visualizzato, il tipo di account e l’indirizzo dell’immagine del profilo. Instagram non ci trasmette alcun indirizzo e-mail. Se non conosciamo ancora il tuo account Instagram, in un primo momento non creiamo alcun account cliente. Conserviamo i dati recuperati per al massimo 15 minuti in una procedura di accesso utilizzabile una sola volta, il token di accesso solo in forma cifrata. L’account cliente viene creato solo quando, nel passaggio «Completa l’account», inserisci il tuo indirizzo e-mail, scegli il tuo ruolo e tocchi «Iniziamo». All’indirizzo inserito ti inviamo un link per confermarlo. Conserviamo l’identificativo utente Instagram per riconoscerti agli accessi successivi, l’indirizzo e-mail che hai inserito come indirizzo del tuo account cliente e il nome utente come nome predefinito del tuo spazio di lavoro, che puoi modificare in qualsiasi momento. Con il token di accesso di lunga durata colleghiamo nello stesso passaggio il tuo account Instagram come destinazione di pubblicazione. Conserviamo il token in forma cifrata come descritto nella sezione 8.2, insieme a identificativo, nome utente, nome visualizzato e immagine del profilo dell’account; puoi scollegarlo in qualsiasi momento. Se rimuovi CastLoop nelle impostazioni di Instagram o vi richiedi la cancellazione dei tuoi dati, cancelliamo il collegamento con il tuo account Instagram. Il tuo account cliente resta, e in seguito accedi con un link via e-mail. Il passaggio «Completa l’account» vale anche per l’accesso con Facebook (sezione 7.4), lì senza inserire l’indirizzo e-mail. La base giuridica è l’art. 6 comma 1 lett. b GDPR. Meta Platforms Ireland Ltd. può trasferire dati a Meta Platforms, Inc. (USA) (vedi sezione 14). Dettagli: privacycenter.instagram.com/policy.

Base giuridica per l’SSO: art. 6 comma 1 lett. b GDPR (esecuzione del contratto / misure precontrattuali).

8. Pubblicazione multipiattaforma (token OAuth & pubblicazioni)

La prestazione principale di CastLoop è la pubblicazione automatizzata dei clip generati sulle piattaforme social da te collegate. A tal fine ci metti a disposizione i token di accesso OAuth della rispettiva piattaforma. Le tue password delle piattaforme non vengono in nessun momento da noi visualizzate o memorizzate.

Cifratura dei token: i token di accesso e di refresh OAuth vengono memorizzati nel nostro database esclusivamente cifrati con AES-256-GCM („envelope encryption"), vincolati a un contesto di Additional-Authenticated-Data specifico per riga (Tenant-ID, Social-Account-ID, piattaforma). Un leak del database senza accesso al materiale delle chiavi, conservato separatamente, resta quindi inutile.

8.1 Google Ireland Ltd. — YouTube / YouTube Shorts

Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irlanda. CastLoop utilizza la YouTube Data API v3 esclusivamente sul canale YouTube da te collegato tramite i seguenti scope OAuth:

• https://www.googleapis.com/auth/youtube.readonly — lettura dei metadati del tuo canale e dei tuoi video (ID del canale, titolo, thumbnail, elenco dei video con titolo, descrizione, durata, data di pubblicazione). Viene utilizzato per consentirti, nella dashboard, di scegliere da quali video long-form CastLoop deve estrarre short clip. Vengono richiamati esclusivamente gli endpoint channels.list, playlistItems.list e videos.list; tramite videos.list o videos.batchGetStats recuperiamo inoltre il numero di visualizzazioni, Mi piace e commenti degli Shorts caricati tramite CastLoop, per mostrarteli nella dashboard.
• https://www.googleapis.com/auth/youtube.upload — caricamento degli short clip da te approvati (fino a 3 minuti, formato verticale) come YouTube Shorts sul tuo canale. Viene richiamato esclusivamente l' endpoint videos.insert. Non ha luogo alcun caricamento automatico senza la tua previa approvazione e programmazione.

Al collegamento del canale richiediamo inoltre le autorizzazioni standard openid, email e profile. Servono esclusivamente ad associare il canale YouTube collegato all’account Google corretto; non vengono usate per accedere a CastLoop.

Al momento del caricamento vengono trasmessi il file di clip (MP4), il titolo da te assegnato, la descrizione, i tag e il momento di pubblicazione. I video originali long-form non lasciano in nessun momento i nostri server.

Limited Use — assicurazione di utilizzo ai sensi della Google API Services User Data Policy (inclusi i Limited Use Requirements):

• Utilizziamo i dati ricevuti tramite la YouTube API esclusivamente per fornirti la funzione mostrata nella dashboard (selezione dei clip, upload di short).
• Non vendiamo a terzi i dati ricevuti tramite la YouTube API.
• Non utilizziamo i dati ricevuti tramite la YouTube API per la visualizzazione di pubblicità o per la personalizzazione della pubblicità.
• Non addestriamo alcun modello di IA/ML con i contenuti ricevuti tramite la YouTube API.
• L’accesso umano (collaboratori / incaricati) ai dati avviene esclusivamente (a) con il tuo consenso espresso, (b) per finalità di sicurezza (ad es. indagine su un incidente di abuso o di sicurezza), (c) per l’adempimento di obblighi di legge o (d) qualora i dati siano anonimizzati/aggregati per processi interni.

Puoi deautorizzare in qualsiasi momento il canale YouTube tramite Dashboard → Canali → Disconnetti oppure revocare la connessione direttamente nel account Google alla voce „App di terze parti con accesso all’account". Dopo la disconnessione, i relativi token OAuth vengono immediatamente cancellati; gli YouTube Shorts già caricati restano sul tuo canale e possono essere gestiti da te come di consueto.

Conservazione dei dati: i metadati video ricevuti tramite l’API di YouTube (ad es. titolo, anteprima) vengono conservati per un massimo di 30 giorni; successivamente vengono automaticamente aggiornati in base allo stato attuale su YouTube oppure cancellati. Se un video di origine viene eliminato su YouTube, rimuoviamo i metadati associati alla successiva sincronizzazione. Se disconnetti il canale nella dashboard, questi dati vengono cancellati entro 7 giorni; se revochi l’autorizzazione dalle impostazioni del tuo account Google, entro 30 giorni.

Informazioni generali sulla privacy di Google: policies.google.com/privacy.

Utilizzando le funzioni YouTube di CastLoop, accetti di essere vincolato dai Termini di servizio di YouTube (https://www.youtube.com/t/terms).

8.2 Meta Platforms Ireland Ltd. — Instagram

Meta Platforms Ireland Limited, Merrion Road, Dublin 4, Irlanda. Pubblicazione di Reels e Stories tramite Instagram Graph API. Dettagli: facebook.com/privacy/policy.

In alternativa puoi collegare Instagram senza pagina Facebook, accedendo direttamente con il tuo account professionale Instagram (API di Instagram con accesso Instagram). Anche in questo caso il destinatario è Meta Platforms Ireland Ltd. In entrambi i casi vengono trasmessi il clip e il testo del post; conserviamo il token OAuth (cifrato, vedi sezione 8 sopra) nonché l’identificativo e il nome utente dell’account Instagram. Inoltre recuperiamo le metriche dei post pubblicati (ad es. visualizzazioni, Mi piace, commenti) per mostrartele nella dashboard.

8.3 TikTok Technology Ltd. — TikTok

TikTok Technology Limited (gruppo ByteDance), 10 Earlsfort Terrace, Dublin 2, Irlanda. Pubblicazione tramite TikTok Content Posting API. Dettagli: tiktok.com/legal/privacy-policy.

8.4 LinkedIn Ireland Unlimited Company — LinkedIn

LinkedIn Ireland Unlimited Company, Wilton Place, Dublin 2, Irlanda. Pubblicazione di post video tramite LinkedIn Marketing Developer Platform. Dettagli: linkedin.com/legal/privacy-policy.

8.5 X Corp. — X (già Twitter)

X Corp., 1355 Market Street, Suite 900, San Francisco, CA 94103, USA. Pubblicazione tramite X API v2. X Corp. ha sede negli USA; i trasferimenti di dati verso gli USA sono inevitabili per l’utilizzo della piattaforma X. La tutela avviene sulla base delle clausole contrattuali tipo dell’UE (SCC 2021/914). Dettagli: x.com/privacy.

8.6 Meta Platforms Ireland Ltd. — Facebook

Meta Platforms Ireland Limited, Merrion Road, Dublin 4, Irlanda. Pubblicazione di post video su pagine Facebook tramite Facebook Graph API. Note sulla privacy: facebook.com/privacy/policy.

8.7 Meta Platforms Ireland Ltd. — Threads

Meta Platforms Ireland Limited, Merrion Road, Dublin 4, Irlanda. Pubblicazione di post su Threads tramite Threads Graph API. Poiché Threads è un prodotto Meta, vale la stessa informativa sulla privacy di Instagram: facebook.com/privacy/policy.

8.8 Bluesky Social, PBC — Bluesky

Bluesky Social, PBC, Seattle, Washington, USA. Pubblicazione di video tramite l’AT Protocol (OAuth). Bluesky ha sede negli USA; il trasferimento è tutelato dalle clausole contrattuali standard dell’UE (SCC 2021/914). Dettagli: bsky.social/about/support/privacy-policy.

8.9 Mastodon — gestore dell’istanza scelta

Mastodon è una rete decentralizzata. Destinatario dei dati è il gestore dell’istanza che l’utente sceglie al momento del collegamento (per mastodon.social: Mastodon gGmbH, Germania). La pubblicazione avviene tramite l’API di Mastodon con autorizzazione OAuth della rispettiva istanza; sede e informative privacy dipendono dall’istanza scelta.

8.10 Tumblr, Inc. — Tumblr

Tumblr, Inc. (gruppo Automattic), 60 29th Street #343, San Francisco, CA 94110, USA. Pubblicazione tramite l’API di Tumblr. Tumblr ha sede negli USA; il trasferimento è tutelato dalle clausole contrattuali standard dell’UE (SCC 2021/914). Dettagli: tumblr.com/privacy/en_eu.

8.11 Telegram FZ-LLC — Telegram

Telegram FZ-LLC, Dubai, Emirati Arabi Uniti (rappresentante per la protezione dei dati nell’UE: Telegram UK Holdings Ltd, Londra). La pubblicazione avviene tramite la Bot API di Telegram nel canale collegato dall’utente; vengono trasmessi la clip, il testo di accompagnamento e l’identificativo del canale. Telegram tratta dati fuori dall’UE; il trasferimento è tutelato dalle clausole contrattuali standard dell’UE (SCC 2021/914). Dettagli: telegram.org/privacy.

8.12 Twitch Interactive, Inc. — Twitch (fonte)

Twitch Interactive, Inc. (società del gruppo Amazon), 350 Bush Street, 2nd Floor, San Francisco, CA 94104, USA. CastLoop utilizza l’API di Twitch esclusivamente in lettura per recuperare dal canale Twitch collegato dall’utente le relative registrazioni on demand (VOD) come materiale sorgente per la creazione dei clip. L’autorizzazione OAuth concede esclusivamente l’accesso in lettura all’identità del canale; non avviene alcun accesso in scrittura all’account Twitch. Le registrazioni stesse vengono caricate tramite l’infrastruttura pubblica di Twitch. Vengono trasmessi/memorizzati: il token OAuth (crittografato, vedi la sezione 8 sopra), l’ID e il nome del canale, nonché i metadati delle registrazioni (titolo, durata, data di pubblicazione). Twitch Interactive, Inc. ha sede negli USA; il trattamento avviene anche lì. La garanzia si basa sulle clausole contrattuali standard dell’UE (SCC 2021/914). Informazioni: twitch.tv/p/it-it/legal/privacy-notice.

8.13 Vimeo.com, Inc. — Vimeo (destinazione)

Vimeo.com, Inc., 330 West 34th Street, 5th Floor, New York, NY 10001, USA. CastLoop carica i clip approvati dall’utente sull’account Vimeo collegato tramite l’API di Vimeo. L’autorizzazione OAuth copre gli scope public, private, upload ed edit. Al momento del caricamento vengono trasmessi il file video, il titolo e la descrizione forniti dall’utente, nonché il suo ID utente/link al profilo Vimeo; inoltre recuperiamo visualizzazioni, "mi piace" e commenti dei video pubblicati per mostrarli nella dashboard come metriche di performance. Vimeo.com, Inc. ha sede negli USA; il trattamento avviene anche lì. La garanzia si basa sulle clausole contrattuali standard dell’UE (SCC 2021/914). Informazioni: vimeo.com/privacy.

8.14 Kick Streaming Pty Ltd — Kick (fonte)

Kick Streaming Pty Ltd, 2/287 Collins Street, Melbourne VIC 3000, Australia. CastLoop utilizza l’API di Kick esclusivamente in lettura (autorizzazioni user:read e channel:read) per verificare l’identità del tuo canale Kick al momento del collegamento. Il token di accesso concesso a tale scopo viene revocato presso Kick subito dopo questa verifica e non viene memorizzato; non avviene alcun accesso in scrittura al tuo account Kick. Le registrazioni delle tue dirette concluse (VOD) vengono poi caricate tramite l’infrastruttura pubblica di Kick; vengono elaborate solo le registrazioni del canale che hai collegato. Vengono memorizzati: ID e nome del canale (slug) e i metadati delle registrazioni (titolo, durata, data di pubblicazione). Kick Streaming Pty Ltd ha sede in Australia; secondo la propria informativa, Kick tratta dati anche negli USA. La tutela si basa sulle clausole contrattuali standard dell’UE (SCC 2021/914). Dettagli: kick.com/privacy-policy.

Base giuridica per la pubblicazione: art. 6 comma 1 lett. b GDPR (esecuzione del contratto). La rispettiva piattaforma è titolare autonomo del trattamento sotto il profilo della protezione dei dati per il trattamento sui propri sistemi.

8.15 Pinterest Europe Ltd. — Pinterest (destinazione)

Pinterest Europe Limited, Palmerston House, 2nd Floor, Fenian Street, Dublino 2, Irlanda. Se colleghi un account Pinterest, CastLoop pubblica i clip da te approvati come Pin video tramite l’API di Pinterest su una bacheca da te scelta. L’autorizzazione OAuth comprende i permessi pins:read, pins:write, boards:read, boards:write e user_accounts:read. Vengono trasmessi il file video, il titolo, la descrizione e la bacheca scelta; conserviamo il token OAuth (cifrato, vedi sezione 8 sopra) nonché l’identificativo e il nome del tuo account Pinterest. Pinterest Europe Ltd. può trasmettere dati a Pinterest, Inc. (USA); il trasferimento è garantito sulla base delle clausole contrattuali tipo dell’UE (SCC 2021/914). La base giuridica è l’art. 6, par. 1, lett. b GDPR. Dettagli: policy.pinterest.com/privacy-policy.

8.16 Feed RSS dei podcast — Podcast (fonte)

Se colleghi un podcast tramite l’indirizzo del suo feed RSS, il nostro server recupera il feed pubblico e i file audio o video in esso collegati presso il relativo hosting del podcast; l’hosting riceve l’indirizzo IP del nostro server, non il tuo. Non è coinvolto alcun token di accesso. Per garantire che vengano elaborati solo programmi propri, confrontiamo l’indirizzo e-mail del titolare indicato nel feed con quello del tuo account oppure verifichiamo un codice di conferma che inserisci nella descrizione del programma. Conserviamo l’indirizzo del feed, il titolo del programma e i metadati degli episodi (titolo, durata, data di pubblicazione). La base giuridica è l’art. 6, par. 1, lett. b GDPR.

9. Trattamento assistito da IA (trascrizione & analisi dei clip)

Per la creazione automatica di trascrizioni, per il riconoscimento di momenti interessanti e per la generazione di varianti di hook/titolo utilizziamo procedimenti assistiti da IA. Vengono trasmessi trascrizioni audio/testuali nonché metadati pertinenti del rispettivo video. Il trattamento avviene all’interno dell’UE ovvero – qualora siano coinvolti responsabili del trattamento in un paese terzo – sulla base di clausole contrattuali tipo dell’UE (art. 46 GDPR). I contenuti vengono trattati esclusivamente per l’erogazione della funzione e non per l’addestramento di modelli di IA.

Base giuridica: art. 6 comma 1 lett. b GDPR (esecuzione del contratto).

10. Elaborazione dei pagamenti

L’elaborazione dei pagamenti avviene tramite Mollie B.V. (Keizersgracht 126, 1015 CW Amsterdam, Paesi Bassi). A Mollie vengono trasmessi i dati necessari all’elaborazione del pagamento (importo, metodo di pagamento, e-mail, indirizzo di fatturazione). Mollie è essa stessa titolare del trattamento ai sensi del GDPR per il trattamento dei dati di pagamento. Ulteriori informazioni sono disponibili nell' informativa sulla privacy di Mollie.

Base giuridica: art. 6 comma 1 lett. b GDPR (esecuzione del contratto), art. 6 comma 1 lett. c GDPR (obblighi di legge di conservazione ai sensi del § 257 HGB, § 147 AO).

Le fatture le emettiamo noi stessi sui nostri server; a tal fine trattiamo nome o ragione sociale, indirizzo di fatturazione, eventualmente la tua partita IVA e i dati del relativo pagamento. Se indichi una partita IVA, ne verifichiamo la validità tramite il sistema di scambio di informazioni sull’IVA (VIES) della Commissione europea; vengono trasmessi solo il codice paese e la partita IVA. La base giuridica è l’art. 6, par. 1, lett. b e c GDPR (esecuzione del contratto, obblighi IVA).

11. Invio di e-mail

Per l’invio di e-mail transazionali (conferma di registrazione, reset della password, fatture, notifiche relative ai clip) utilizziamo il relay SMTP di IONOS SE (vedi sezione 4). Non viene impiegato un fornitore di invio separato al di fuori dell’UE. L' invio avviene esclusivamente tramite connessioni cifrate TLS (TLS 1.2 o superiore).

Se al momento della registrazione hai acconsentito a ricevere novità sul prodotto via e-mail (nuove funzioni, consigli per iniziare e promemoria, ad esempio se qualche giorno dopo la registrazione non hai ancora aggiunto nessun video), il consenso diventa efficace solo con il clic sul link di conferma (double opt-in); conserviamo il momento come prova. La base giuridica è il tuo consenso (art. 6, par. 1, lett. a GDPR), che puoi revocare in qualsiasi momento con effetto per il futuro, ad esempio tramite il link di disiscrizione presente in ogni e-mail o nelle impostazioni.

12. Cookie & tecnologie analoghe

Il nostro sito di marketing castloop.de non imposta cookie e non integra servizi di analisi o pubblicitari; memorizza soltanto la lingua scelta ed eventualmente le tue impostazioni dei cookie nella memoria locale del browser. L’applicazione app.castloop.de utilizza esclusivamente cookie e voci di memoria locale tecnicamente necessari (in particolare un cookie HttpOnly per il refresh token, un cookie di breve durata che protegge gli accessi e i collegamenti degli account, nonché la lingua e l’aspetto scelti). Per questi non è necessario alcun consenso ai sensi del § 25 comma 2 n. 2 TDDDG. Ulteriori dettagli sono disponibili nella nostra informativa sui cookie.

13. Destinatari dei dati / responsabili del trattamento

I seguenti fornitori di servizi trattano dati personali per conto o in qualità di titolari autonomi (nel caso delle piattaforme social e di Mollie):

• IONOS SE (Montabaur, DE) — infrastruttura di hosting, relay SMTP, backup snapshot delle VM
• Mollie B.V. (Amsterdam, NL) — elaborazione dei pagamenti & gestione delle fatture
• Google Ireland Ltd. (Dublino, IE) — YouTube Data API, Google Sign-In
• Microsoft Ireland Operations Ltd. (Dublino, IE) — autenticazione tramite account Microsoft
• Apple Distribution International Ltd. (Cork, IE) — autenticazione tramite Apple-ID
• Meta Platforms Ireland Ltd. (Dublino, IE) — accesso con Facebook e Instagram (Facebook Login, Instagram Login), pubblicazioni su Instagram, Facebook e Threads
• TikTok Technology Ltd. (Dublino, IE) — pubblicazioni su TikTok
• LinkedIn Ireland Unlimited Company (Dublino, IE) — pubblicazioni su LinkedIn
• X Corp. (San Francisco, USA) — pubblicazioni su X/Twitter (trattamento dei dati anche negli USA, tutelato dalle SCC 2021/914)
• Bluesky Social, PBC (Seattle, USA) — pubblicazioni su Bluesky (trattamento dei dati anche negli USA)
• Gestore dell’istanza Mastodon scelta dall’utente (decentralizzato; per mastodon.social: Mastodon gGmbH, DE) — pubblicazioni su Mastodon
• Tumblr, Inc. (gruppo Automattic, San Francisco, USA) — pubblicazioni su Tumblr (trattamento dei dati anche negli USA)
• Telegram FZ-LLC (Dubai, EAU) — pubblicazioni su Telegram (trattamento dei dati anche fuori dall’UE)
• Twitch Interactive, Inc. (San Francisco, USA) — accesso in lettura al tuo canale Twitch come fonte (trattamento dei dati anche negli USA, tutelato dalle SCC 2021/914)
• Kick Streaming Pty Ltd (Melbourne, Australia) — accesso in lettura al tuo canale Kick come fonte (trattamento dei dati in Australia e negli USA, tutelato dalle SCC 2021/914)
• Vimeo.com, Inc. (New York, USA) — pubblicazioni su Vimeo (trattamento dei dati anche negli USA, tutelato dalle SCC 2021/914)
• Pinterest Europe Ltd. (Dublino, IE) — pubblicazioni su Pinterest, se colleghi un account Pinterest
• Commissione europea (Bruxelles, BE) — verifica della partita IVA tramite il sistema di scambio di informazioni sull’IVA (VIES), solo se indichi una partita IVA

Concludiamo con tutti i responsabili del trattamento un contratto di trattamento dati (DPA) ai sensi dell’art. 28 GDPR; i clienti business possono a loro volta concludere un DPA con noi (vedi modello di DPA).

14. Trasferimenti verso paesi terzi

Ovunque possibile, trattiamo i dati personali all’interno dell' Unione Europea ovvero dello Spazio economico europeo. Nei seguenti casi un trasferimento verso paesi terzi (in particolare verso gli USA) è inevitabile:

• X Corp. (USA) — in caso di pubblicazione di clip su X
• Meta Platforms, Inc. (USA) — in caso di accesso con Facebook e di pubblicazione su Instagram, Facebook o Threads, nella misura in cui Meta Ireland trasferisca dati alla propria casa madre statunitense
• TikTok Inc. / ByteDance Ltd. (USA / Singapore) — in caso di pubblicazioni su TikTok, nella misura in cui i dati vengano trasferiti a società del gruppo
• Apple Inc. (USA) — in caso di Sign in with Apple, nella misura in cui Apple Distribution International Ltd. trasferisca dati alla propria casa madre statunitense
• Google LLC (USA) — nella misura in cui Google Ireland Ltd. trasferisca dati alla propria casa madre statunitense
• Microsoft Corporation (USA) — nella misura in cui Microsoft Ireland Operations Ltd. trasferisca dati alla propria casa madre statunitense
• Bluesky Social, PBC (USA) — per la pubblicazione di clip su Bluesky
• Tumblr, Inc. / Automattic Inc. (USA) — per le pubblicazioni su Tumblr
• Telegram FZ-LLC (Dubai, EAU) — per le pubblicazioni su Telegram
• Twitch Interactive, Inc. (USA) — per l’accesso in lettura al canale Twitch collegato come fonte
• Kick Streaming Pty Ltd (Australia) — per l’accesso in lettura al canale Kick collegato come fonte
• Vimeo.com, Inc. (USA) — per le pubblicazioni su Vimeo
• Gestore dell’istanza Mastodon scelta — solo se l’utente collega un’istanza gestita fuori dall’UE
• Pinterest, Inc. (USA) — per le pubblicazioni su Pinterest, nella misura in cui Pinterest Europe Ltd. trasmette dati alla capogruppo statunitense

Per questi trasferimenti verso paesi terzi la tutela avviene sulla base delle clausole contrattuali tipo dell’UE (SCC) ai sensi della decisione di esecuzione (UE) 2021/914 della Commissione europea. Google, Microsoft, Meta e Apple sono inoltre certificati ai sensi del EU-US Data Privacy Framework (DPF) e offrono corrispondenti impegni di trasferimento. Su richiesta ti mettiamo a disposizione copie delle SCC concluse.

Base giuridica: art. 46 comma 2 lett. c GDPR.

15. Durata di conservazione

Trattiamo e memorizziamo i dati personali solo per il tempo necessario al raggiungimento della finalità del trattamento o nella misura in cui sussistano obblighi di legge di conservazione (in particolare § 257 HGB: 10 anni per documenti contabili / fatture, § 147 AO: 6 ovvero 10 anni per documenti fiscalmente rilevanti).

In particolare: i file di log del server vengono cancellati o anonimizzati al più tardi dopo 14 giorni (sezione 4). Dopo la cancellazione di un account, questo viene bloccato immediatamente; i dati vengono cancellati dal database di produzione al più tardi dopo 30 giorni. Nei nostri backup cifrati (quelli giornalieri vengono conservati 14 giorni, quelli settimanali 8 settimane e quelli mensili 12 mesi) i dati cancellati possono essere ancora contenuti finché il rispettivo backup non viene cancellato a rotazione, al più tardi 13 mesi dopo la cancellazione dal database di produzione. I backup vengono usati solo per ripristinare il servizio dopo un guasto. Maggiori dettagli nella pagina Cancellazione dei dati.

Le dichiarazioni di disdetta ricevute tramite il pulsante di disdetta (sezione 19) le conserviamo come lettere commerciali ricevute per sei anni (§ 257 comma 1 n. 2, commi 4 e 5 HGB; § 147 comma 1 n. 2, commi 3 e 4 AO). Il termine decorre dalla fine dell’anno solare in cui termina il contratto disdetto; se non possiamo abbinare una dichiarazione a un contratto, dalla fine dell’anno solare in cui è pervenuta. Dopodiché cancelliamo la dichiarazione automaticamente. Il valore hash dell’indirizzo IP lo cancelliamo già dopo 30 giorni.

16. I tuoi diritti

Ai sensi del GDPR ti spettano i seguenti diritti:

• diritto di accesso (art. 15 GDPR)
• diritto di rettifica (art. 16 GDPR)
• diritto alla cancellazione (art. 17 GDPR)
• diritto di limitazione del trattamento (art. 18 GDPR)
• diritto alla portabilità dei dati (art. 20 GDPR)
• diritto di opposizione (art. 21 GDPR)
• revoca dei consensi prestati con effetto per il futuro (art. 7 comma 3 GDPR)
• diritto di reclamo presso un’autorità di controllo (art. 77 GDPR)

Self-service nella dashboard: puoi gestire i tuoi dati in qualsiasi momento autonomamente tramite la dashboard:

• Esportazione dei dati (art. 15 GDPR) — su Impostazioni → Esporta dati puoi scaricare una copia leggibile da macchina dei tuoi dati personali (JSON).
• Cancellazione dell’account (art. 17 GDPR) — su Impostazioni → Elimina account puoi rimuovere definitivamente il tuo account. L’account viene bloccato immediatamente e cancellato dal database di produzione al più tardi dopo 30 giorni; dai backup i dati scompaiono con la loro cancellazione a rotazione (vedi sezione 15).

In alternativa è sufficiente un messaggio informale all’indirizzo info@castloop.de.

Diritto di opposizione ai sensi dell’art. 21 GDPR. Nella misura in cui trattiamo i tuoi dati sulla base di legittimi interessi (art. 6, par. 1, lett. f GDPR, ad esempio per la sicurezza e la prevenzione degli abusi, per misurare il successo della nostra pubblicità o sulla pagina pubblica di verifica), puoi opporti in qualsiasi momento a tale trattamento per motivi connessi alla tua situazione particolare. In tal caso non tratteremo più i dati, salvo che dimostriamo l’esistenza di motivi legittimi cogenti che prevalgono sui tuoi interessi o che il trattamento serva all’accertamento, all’esercizio o alla difesa di un diritto in sede giudiziaria. È sufficiente un’opposizione informale a info@castloop.de.

17. Autorità di controllo competente

L’autorità di controllo competente per noi in materia di protezione dei dati è il Garante per la protezione dei dati e la libertà d’informazione del Baden-Württemberg, Lautenschlagerstraße 20, 70173 Stuttgart, baden-wuerttemberg.datenschutz.de. Un elenco completo dei garanti per la protezione dei dati dei Länder è disponibile presso il Garante federale per la protezione dei dati e la libertà d’informazione (BfDI).

18. Pagina pubblica di verifica della marcatura IA

Sulla pagina castloop.de/ki-pruefung puoi caricare un file video senza account e senza accedere, per verificare se reca una marcatura firmata dei contenuti generati dall’IA (C2PA) applicata da CastLoop. La verifica è aperta a tutti, perché l’art. 50, paragrafo 2, del Regolamento (UE) 2024/1689 richiede che la marcatura sia verificabile.

Il file caricato (al massimo 50 MB) viene trattato esclusivamente per questa verifica. Viene collocato con un nome assegnato a caso, in via temporanea, nella memoria di lavoro e in una directory temporanea del nostro server, letto per cercare la marcatura e cancellato subito dopo la verifica, anche se questa non riesce. Il nome originale del file non viene conservato. Il file non viene memorizzato in modo permanente, il suo contenuto non viene analizzato, non viene trasmesso a terzi e non viene utilizzato per addestrare modelli di IA.

Il risultato ti viene mostrato nel browser. Nel registro applicativo della nostra interfaccia restano, per ogni verifica, soltanto il risultato in forma sintetica (marcatura trovata, non trovata o non verificabile) nonché metodo, percorso, stato della risposta e durata della richiesta, ma nessun contenuto del file, nessun nome di file e nessun indirizzo IP. Come per ogni accesso ai nostri server, il tuo indirizzo IP viene registrato nei file di log del server (vedi la sezione 4). Per prevenire abusi contiamo inoltre il numero di verifiche per indirizzo IP (per IPv6, per prefisso di rete) in una memoria temporanea; questo contatore scade automaticamente quando per 15 minuti non viene effettuata nessun’altra verifica.

La base giuridica è l’art. 6, paragrafo 1, lettera f), del GDPR. Il nostro legittimo interesse consiste nel rendere accessibile a tutti la verificabilità della marcatura richiesta dalla legge e nel proteggere la pagina di verifica da abusi e sovraccarichi. Se utilizzi la verifica come cliente nell’ambito del tuo contratto con noi, la base giuridica è l’art. 6, paragrafo 1, lettera b), del GDPR. Il caricamento del file è volontario; senza di esso la verifica non può essere eseguita. Hai il diritto di opporti al trattamento ai sensi dell’art. 21 del GDPR (vedi la sezione 16).

19. Disdetta tramite il pulsante di disdetta

Con il pulsante «Disdici qui i contratti» della pagina castloop.de/kuendigen puoi disdire il tuo contratto senza accedere (§ 312k del Codice civile tedesco, BGB). Trattiamo i dati del modulo: il tuo nome, l’indirizzo e-mail del tuo account CastLoop, il tipo di disdetta e, in caso di disdetta straordinaria, il motivo, il contratto o il piano, la data desiderata e, se li indichi, il tuo spazio di lavoro o il tuo codice cliente. Inoltre trattiamo la data e l’ora di ricezione e la lingua della pagina.

Trattiamo questi dati per abbinare la disdetta al tuo contratto, eseguirla e confermarti subito la ricezione via e-mail. A tal fine confrontiamo l’indirizzo e-mail con i nostri account cliente. Se il tuo abbonamento è gestito tramite Mollie, comunichiamo a Mollie la cessazione (vedi la sezione 10); inviamo la conferma come descritto nella sezione 11. Se la disdetta non può essere abbinata automaticamente, la verifichiamo a mano. Per prevenire abusi, la conferma contiene un link con cui il titolare dell’account autorizza l’esecuzione; solo allora, o dopo aver verificato la tua identità, chiudiamo l’abbonamento. La data da cui la disdetta ha effetto non cambia.

La base giuridica è l’art. 6 comma 1 lett. b GDPR (esecuzione e cessazione del contratto) e l’art. 6 comma 1 lett. c GDPR in combinato disposto con il § 312k BGB (obbligo di legge di mettere a disposizione il pulsante di disdetta e di confermarne la ricezione).

Per prevenire abusi, per ogni dichiarazione salviamo un valore hash del tuo indirizzo IP ottenuto con un valore segreto, non l’indirizzo IP stesso, e lo cancelliamo dopo 30 giorni. Inoltre contiamo gli invii per indirizzo IP in una memoria temporanea che scade dopo un’ora. La base giuridica è l’art. 6 comma 1 lett. f GDPR; il nostro legittimo interesse è proteggere la pagina e le caselle di posta altrui da invii di massa.

Conserviamo la dichiarazione come lettera commerciale ricevuta per sei anni, a decorrere dalla fine dell’anno solare in cui termina il contratto disdetto (§ 257 comma 1 n. 2, commi 4 e 5 HGB; § 147 comma 1 n. 2, commi 3 e 4 AO; vedi la sezione 15). Se non possiamo abbinarla a un contratto, il termine decorre dalla fine dell’anno solare in cui è pervenuta. Dopodiché la cancelliamo automaticamente. La base giuridica della conservazione è l’art. 6 comma 1 lett. c GDPR. Fornire i dati è facoltativo; senza nome e indirizzo e-mail, però, non possiamo abbinare né confermare la disdetta. Puoi anche disdire in modo informale via e-mail a info@castloop.de.

20. Attualità

Questa informativa sulla privacy viene costantemente adeguata agli sviluppi giuridici e tecnici.

Aggiornato a: 27 ottobre 2026 · Versione 2.2 (precisato il contenuto delle novità sul prodotto nella sezione 11)