Informativa sulla privacy

Fa fede la versione tedesca di questo documento. La presente traduzione è fornita solo a titolo informativo.

Aggiornato al: 5 ottobre 2026

1. Titolare del trattamento

Il titolare del trattamento ai sensi del Regolamento generale sulla protezione dei dati (GDPR/RGPD) è:

Yannick Stein
Auf’m Bruch 6
59929 Brilon
E-mail: [email protected]

2. Panoramica dei trattamenti

La presente informativa sulla privacy informa sul trattamento dei dati personali durante l’utilizzo del sito web notenarchiv.com nonché della piattaforma basata sul web e dell’app mobile „Notenarchiv" (di seguito congiuntamente „Servizio").

3. Dati raccolti

3.1 Visita del sito web (notenarchiv.com)

Questo sito web è una pagina informativa statica. Non vengono impiegati moduli per la raccolta di dati. Durante la visita vengono raccolti, per ragioni tecniche, i file di log del server (vedi sezione 4).

Inoltre, su questo sito web utilizziamo Google Ads per misurare l’efficacia dei nostri annunci pubblicitari (vedi sezione 6.5). A questo scopo vengono impostati cookie e trasmessi dati a Google. Ciò avviene esclusivamente previo tuo consenso esplicito, che raccogliamo tramite un banner. Se non presti il consenso, non vengono impostati cookie pubblicitari né trasmessi identificatori a Google.

Per la misurazione dell’audience utilizziamo Umami, un software di analisi che ospitiamo noi stessi su un server presso Hetzner all’interno dell’UE (vedi sezione 6.2). Vengono rilevati la pagina visitata, la pagina di provenienza, l’origine approssimativa (paese, regione e città, derivata dall’indirizzo IP), il tipo di dispositivo, la dimensione dello schermo e la lingua del browser. Umami non imposta alcun cookie e non memorizza nulla in modo permanente sul tuo dispositivo. Il tuo indirizzo IP non viene conservato, ma utilizzato solo temporaneamente per formare un valore di conteggio insieme all’identificativo del tuo browser e a un valore casuale che cambia ogni giorno: una volta cambiato tale valore, non è più possibile riconoscerti. Nessun dato viene trasmesso a terzi; l’analisi non lascia il nostro server. La base giuridica è l’art. 6 par. 1 lett. f GDPR (legittimo interesse a una configurazione della nostra offerta adeguata alle esigenze). Puoi opporti a questo trattamento ai sensi dell’art. 21 GDPR (vedi sezione 10).

Nell’app mobile non ha luogo alcuna misurazione pubblicitaria né dell’audience. Nella web app utilizziamo la misurazione dell’audience senza cookie descritta nella sezione 3.7; non c’è alcuna misurazione pubblicitaria.

3.2 Registrazione e gestione dell’account (App)

• Nome della banda (clienti associativi)
• Nome, cognome e indirizzo e-mail della persona di riferimento o – per un archivio personale – dell’utente
• Indirizzo IP e User-Agent al momento della registrazione (prova del consenso ai termini e condizioni)
• Ruolo all’interno della banda (amministratore, responsabile degli spartiti, capo sezione, membro)
• Strumenti assegnati

3.3 Utilizzo del Servizio (App)

• File caricati (spartiti musicali in PDF)
• Metadati degli spartiti (titolo, compositore, categoria, ecc.)
• Appuntamenti con risposte (partecipo, non partecipo, forse) e – solo se la banda attiva la funzione – la presenza rilevata a prove e concerti
• Annotazioni e rimandi personali negli spartiti
• Registri di accesso (timestamp, pagine richiamate)
• Traccia di utilizzo per membro e banda: in quali giorni una persona è stata attiva e con quale client (web, app iOS, app Android). La valutiamo per il funzionamento e per verificare l’ambito di utilizzo contrattuale (§ 3a T&C – ad es. il numero di membri attivi di una banda negli ultimi 90 giorni)
• Registro delle modifiche della banda: chi ha creato, modificato, cancellato o condiviso quali spartiti, parti, libri, dati anagrafici, iscrizioni, permessi o impostazioni della banda, e quando (persona che agisce, persona interessata, momento, dispositivo utilizzato – web, app iOS, app Android o API). Non vengono registrati indirizzi IP, contenuti, accessi in lettura e download. Gli amministratori della banda possono consultarlo integralmente, i responsabili degli spartiti per l’area spartiti

3.4 Autenticazione (App)

• Credenziali WebAuthn/Passkey (chiave pubblica, ID della credenziale)
• Token Magic Link (temporanei, validi al massimo 15 minuti)
• Token JWT (nella memoria del browser dell’utente)

3.5 Abbonamento e fatturazione (App)

• Piano scelto e stato dell’abbonamento
• Indirizzo di fatturazione (se indicato)
• Informazioni di pagamento (numero di fattura, stato del pagamento)
• In caso di pagamento con carta, addebito diretto SEPA, Apple Pay o Google Pay: i dati di pagamento vengono raccolti e trattati dal fornitore di servizi di pagamento Stripe (sezione 6.9). Non conserviamo numeri di carta o di conto, ma solo un identificativo cliente di Stripe e lo stato del pagamento
• In caso di acquisti in-app tramite App Store o Google Play: il pagamento viene gestito da Apple o Google (sezione 6.11). Riceviamo solo la conferma d’acquisto con piano, durata e stato, nessun dato di pagamento

3.6 Programma di referral “una banda presenta un’altra banda” (se attivato)

Se una banda si registra con il codice di referral di un’altra banda, trattiamo inoltre:

• l’associazione alla banda segnalante e lo stato della segnalazione,
• l’indirizzo IP al momento della registrazione nonché – per il confronto – l’indirizzo di fatturazione, l’e-mail di fatturazione, il codice fiscale e i domini e-mail degli amministratori di entrambe le bande,
• le registrazioni del credito (accredito, compensazione, scadenza).

Il confronto serve esclusivamente a prevenire abusi (ad es. “autosegnalazione” con una banda fittizia). La banda segnalante vede solo il nome della banda segnalata, la data di registrazione e lo stato della segnalazione – nessuna persona, nessun importo e nessun esito delle verifiche.

3.7 Misurazione dell’audience nella web app

Anche nella web app (app.notenarchiv.com) utilizziamo il software self-hosted Umami descritto nella sezione 3.1 – per vedere quali funzioni vengono usate e per individuare gli errori. Umami non imposta alcun cookie e non memorizza nulla sul tuo dispositivo.

Per ogni visualizzazione di pagina o evento vengono rilevati:

• la pagina visitata come tipo di pagina senza identificativi – ad esempio /scores/:id invece del numero di uno spartito; i link di condivisione, appuntamento e accesso vengono ridotti a :token, i parametri di query vengono eliminati,
• browser, sistema operativo, tipo di dispositivo, dimensione dello schermo e lingua,
• l’origine approssimativa (paese, regione, città), derivata dall’indirizzo IP; l’indirizzo IP stesso non viene conservato,
• eventi tecnici: il codice di stato HTTP delle richieste fallite e la classe di errore in caso di errori di visualizzazione – senza contenuti.

Umami forma, a partire da indirizzo IP, identificativo del browser e un valore casuale che cambia ogni giorno, un valore di conteggio non reversibile per raggruppare le visite dello stesso giorno in una sessione. Non viene creato alcun profilo su più giorni né alcun collegamento ad account, banda o persona. Se nel tuo browser è attivo «Do Not Track», lo script di conteggio non viene nemmeno caricato.

La base giuridica è il nostro legittimo interesse a un servizio stabile e sviluppato in base alle esigenze (art. 6 par. 1 lett. f GDPR). Poiché sul dispositivo non viene memorizzato né letto nulla, non è richiesto alcun consenso ai sensi del § 25 TDDDG. Puoi opporti a questo trattamento ai sensi dell’art. 21 GDPR (sezione 10) oppure escluderti come descritto nella sezione 9.1.

3.8 Segnalazioni di errore (web app, app mobile e server)

Se nella web app, nell’app mobile o sui nostri server si verifica un errore tecnico, una segnalazione di errore viene trasmessa al servizio Sentry (sezione 6.8). Contiene il messaggio di errore e il flusso del programma (stack trace), la pagina interessata senza identificativi, la versione dell’app, il browser o il tipo di dispositivo e il sistema operativo, nonché il momento. I dati personali vengono rimossi prima dell’invio: nessun indirizzo e-mail, nessun token di accesso, condivisione o risposta, nessun contenuto delle richieste. Sentry è configurato in modo da non conservare identificativi utente né indirizzi IP. Inoltre, una piccola quota delle richieste (circa il 10 %) viene registrata per misurare i tempi di risposta – nome dell’endpoint e durata, senza contenuti. La base giuridica è l’art. 6 par. 1 lett. f GDPR (interesse legittimo a un servizio stabile e sicuro).

4. File di log del server

Il fornitore di hosting (Cloudflare) raccoglie e memorizza automaticamente informazioni nei cosiddetti file di log del server, che il tuo browser trasmette automaticamente. Si tratta di:

• Tipo e versione del browser
• Sistema operativo utilizzato
• URL del referrer
• Indirizzo IP
• Ora della richiesta al server

Questi dati non vengono uniti ad altre fonti di dati. La raccolta di questi dati avviene sulla base dell’art. 6 par. 1 lett. f GDPR. Il gestore del sito web ha un interesse legittimo alla presentazione e alla fornitura del proprio sito web tecnicamente priva di errori.

L’istanza di analisi stats.notenarchiv.com funziona su un nostro server presso Hetzner all’interno dell’UE (vedi sezione 6.2). Anche lì, al recupero dello script di conteggio e alla trasmissione dei valori rilevati, vengono creati file di log del server con le stesse indicazioni, in particolare il tuo indirizzo IP. Questi log servono esclusivamente al funzionamento sicuro e alla ricerca degli errori. Non vengono uniti ai dati di analisi di cui alla sezione 3.1 e vengono cancellati dopo il termine indicato per i registri di accesso nella sezione 8. La base giuridica è l’art. 6 par. 1 lett. f GDPR.

5. Basi giuridiche del trattamento

6. Responsabili del trattamento e fornitori terzi integrati

Ci avvaliamo dei seguenti fornitori di servizi:

6.1 Cloudflare, Inc.

• Scopo: Hosting del sito web, protezione anti-bot durante la registrazione e nel modulo di contatto della piattaforma (Cloudflare Turnstile)
• Dati: Indirizzo IP, informazioni sul browser (anonimizzate)
• Conservazione: Nessuna conservazione permanente di dati personali
• Sede: In tutto il mondo, clausole contrattuali standard ai sensi dell’art. 46 par. 2 lett. c GDPR
• Info: https://www.cloudflare.com/privacypolicy

6.2 Hetzner Online GmbH

• Scopo: Hosting dell’applicazione e conservazione dei dati (server e archiviazione di oggetti S3) nonché gestione della nostra istanza di analisi self-hosted (stats.notenarchiv.com)
• Sede: Unione europea – centri dati in Germania e Finlandia
• Privacy: Stipulato un contratto per il trattamento dei dati ai sensi dell’art. 28 GDPR
• Info: https://www.hetzner.com/legal/privacy-policy

6.3 Resend Inc. (se attivato)

• Scopo: Invio di e-mail (link di accesso, notifiche)
• Dati: Indirizzo e-mail, nome
• Sede: USA, clausole contrattuali standard ai sensi dell’art. 46 par. 2 lett. c GDPR
• Info: https://resend.com/legal/privacy-policy

6.4 OpenAI, LLC (solo con riconoscimento IA attivato)

• Scopo: Riconoscimento degli strumenti basato sull’IA sulle pagine PDF
• Dati: Singole immagini di pagine PDF vengono trasmesse temporaneamente all’API di OpenAI
• Conservazione: OpenAI non conserva in modo permanente a fini di addestramento i dati trasmessi tramite l’API, conformemente alla propria Data Usage Policy (in caso di utilizzo tramite API)
• Sede: USA, clausole contrattuali standard ai sensi dell’art. 46 par. 2 lett. c GDPR
• Nota: Il riconoscimento con IA è disattivato per impostazione predefinita e viene attivato solo su richiesta del cliente. Il cliente può disattivarne l’utilizzo in qualsiasi momento nelle impostazioni.
• Info: https://openai.com/policies/privacy-policy

6.5 Google Ireland Limited (solo previo consenso, solo sito web)

• Finalità: misurazione dell’efficacia dei nostri annunci pubblicitari (Google Ads conversion tracking e remarketing) su notenarchiv.com
• Fornitore: Google Ireland Limited, Gordon House, Barrow Street, Dublino 4, Irlanda
• Dati: indirizzo IP, informazioni su browser e dispositivo, pagine visitate, URL di provenienza, identificatori di clic pubblicitari (ad es. gclid), identificatori dei cookie
• Base giuridica: Art. 6 par. 1 lett. a GDPR (consenso) in combinato disposto con § 25 par. 1 TDDDG
• Ruolo: Google tratta una parte di questi dati non come responsabile del trattamento, bensì come titolare autonomo. I dettagli sono disciplinati dalle Condizioni relative al trattamento dei dati di Google Ads.
• Trasferimento verso paesi terzi: non è escluso un trasferimento negli USA a Google LLC. Google LLC è certificata nell’ambito dell’EU-US Data Privacy Framework; in aggiunta sono in essere clausole contrattuali tipo ai sensi dell’art. 46 par. 2 lett. c GDPR.
• Consent Mode: utilizziamo il Google Consent Mode v2. Finché non hai prestato il consenso, tutti i segnali di consenso (ad_storage, ad_user_data, ad_personalization, analytics_storage) sono impostati su “denied”. Google non riceve quindi alcun identificatore, ma al massimo segnali anonimi e senza cookie.
• Revoca: in qualsiasi momento tramite “Impostazioni cookie” nel piè di pagina di ogni pagina
• Info: https://policies.google.com/privacy e https://policies.google.com/technologies/ads

6.6 YouTube (Google Ireland Limited) – solo nell’app, solo al clic

• Scopo: Riproduzione degli esempi d’ascolto che una banda ha associato a uno spartito come link YouTube
• Dati: Solo quando avvii un esempio d’ascolto il browser carica il player da youtube-nocookie.com (modalità privacy avanzata). Google riceve allora il tuo indirizzo IP e informazioni sul dispositivo; prima non viene stabilita alcuna connessione a Google. Nell’app mobile un tocco apre il video nell’app YouTube o nel browser.
• Base giuridica: Art. 6 par. 1 lett. a GDPR (consenso tramite l’avvio del video) in combinato disposto con § 25 par. 1 TDDDG
• Trasferimento verso paesi terzi: come descritto al punto 6.5
• Info: https://policies.google.com/privacy

6.7 Notifiche push (Expo, Apple, Google) – solo app mobile, solo dopo l’autorizzazione

• Scopo: Recapito delle notifiche push (appuntamenti, promemoria, avvisi) sul tuo dispositivo
• Servizi: Il recapito avviene tramite il servizio push di Expo (650 Industries, Inc., USA) e da lì tramite il servizio push del tuo sistema operativo – Apple Push Notification service (Apple Inc.) o Firebase Cloud Messaging (Google LLC)
• Dati: Token del dispositivo (Expo push token), piattaforma, titolo e testo della notifica (ad esempio titolo e orario di un appuntamento) e dati tecnici di recapito
• Sede: USA; il trasferimento si basa su clausole contrattuali standard ai sensi dell’art. 46 par. 2 lett. c GDPR. Apple Inc. e Google LLC sono inoltre certificate nell’ambito dell’EU-US Data Privacy Framework
• Nota: Ricevi notifiche push solo se le autorizzi nell’app o nelle impostazioni di sistema del tuo dispositivo. Lì puoi disattivarle in qualsiasi momento.
• Info: https://expo.dev/privacy, https://www.apple.com/legal/privacy e https://firebase.google.com/support/privacy

6.8 Functional Software, Inc. (Sentry) – segnalazioni di errore

• Scopo: Rilevamento di errori tecnici e tempi di risposta nella web app, nell’app mobile e nel backend (sezione 3.8)
• Dati: Segnalazioni di errore senza dati personali, vedi sezione 3.8
• Sede: USA; contratto di responsabile del trattamento con clausole contrattuali standard ai sensi dell’art. 46 par. 2 lett. c GDPR
• Info: https://sentry.io/privacy/

6.9 Stripe Payments Europe, Ltd. (solo in caso di pagamento con carta, addebito diretto SEPA, Apple Pay o Google Pay)

• Scopo: Elaborazione dei pagamenti, gestione dei pagamenti ricorrenti e portale clienti
• Fornitore: Stripe Payments Europe, Ltd., 1 Grand Canal Street Lower, Dublino 2, Irlanda
• Dati: Nome, indirizzo e-mail, indirizzo di fatturazione, importo e momento del pagamento nonché i dati di pagamento; i dati della carta e l’IBAN vengono inseriti direttamente presso Stripe e non vengono conservati sui nostri server
• Ruolo: Stripe tratta i dati di pagamento in parte come titolare autonomo, ad esempio per la prevenzione delle frodi
• Trasferimento verso paesi terzi: Il trasferimento a Stripe, Inc. (USA) avviene sulla base di clausole contrattuali standard; Stripe, Inc. è certificata nell’ambito dell’EU-US Data Privacy Framework
• Info: https://stripe.com/it/privacy

6.10 sevdesk GmbH – fatturazione

• Scopo: Emissione e invio delle fatture in caso di pagamento tramite bonifico, contabilità
• Fornitore: sevdesk GmbH, Offenburg, Germania
• Dati: Nome della banda o nome, indirizzo di fatturazione, e-mail di fatturazione, persona di riferimento, importi delle fatture e stato del pagamento
• Sede: Germania; contratto di responsabile del trattamento ai sensi dell’art. 28 GDPR
• Info: https://sevdesk.de/datenschutz/

6.11 Apple Inc. e Google LLC – acquisti in-app (solo in caso di sottoscrizione nell’app)

• Scopo: Gestione degli abbonamenti sottoscritti nell’app iOS o Android
• Dati: Apple o Google trattano i dati di pagamento come titolari autonomi secondo le proprie informative sulla privacy. Riceviamo una conferma d’acquisto con identificativo della transazione, piano, durata e stato, nessun dato di pagamento
• Info: https://www.apple.com/legal/privacy e https://policies.google.com/privacy

7. Comunicazione dei dati

Una comunicazione di dati personali a terzi avviene solo:

• ai fornitori di servizi indicati nella sezione 6
• a Google nell’ambito della misurazione pubblicitaria descritta nella sezione 6.5, purché tu abbia prestato il consenso
• quando siamo legalmente obbligati a farlo (ad es. su ordine di un tribunale)

Non avviene alcuna ulteriore comunicazione a fini pubblicitari. In particolare, i contenuti del tuo archivio di spartiti nonché i dati di account e di utilizzo dell’app non vengono mai trasmessi a reti pubblicitarie.

8. Periodo di conservazione

9. Cookie e memoria locale

9.1 Memorizzazione tecnicamente necessaria (senza consenso)

• Memoria locale (localStorage): i token di autenticazione JWT e l’organizzazione scelta vengono memorizzati nel browser. Questi dati sono tecnicamente necessari per la funzionalità del Servizio.
• Cookie di consenso na_consent: memorizza la tua decisione relativa al banner (valore granted o denied, durata 6 mesi). Senza questo cookie dovremmo chiedertelo a ogni visita di pagina. È quindi necessario ai sensi del § 25 par. 2 TDDDG e non richiede a sua volta consenso. Non contiene alcun identificatore che ti renda riconoscibile.
• Misurazione dell’audience (Umami): non imposta alcun cookie e non crea di per sé voci nella memoria del browser. L’unico valore letto è umami.disabled. Se il tuo browser ha attivato «Do Not Track», non ti conteggiamo affatto. Indipendentemente da ciò, puoi escluderti in modo permanente eseguendo localStorage.setItem('umami.disabled', 1) nella console per sviluppatori di questa pagina: quella voce resta nel tuo browser e non viene mai letta né trasmessa da noi. Questo vale sia su questo sito web sia nella web app; poiché i browser separano la memoria per dominio, la voce umami.disabled deve essere impostata separatamente su notenarchiv.com e su app.notenarchiv.com.

9.2 Cookie previo consenso (Google Ads, solo sito web)

Se acconsenti, Google Ads imposta cookie per misurare il rendimento pubblicitario:

Prima del tuo consenso questi cookie non vengono impostati.

9.3 Revoca

Puoi revocare il tuo consenso in qualsiasi momento con effetto per il futuro tramite il link “Impostazioni cookie” nel piè di pagina di ogni pagina. Puoi inoltre eliminare i cookie già impostati nelle impostazioni del tuo browser. La liceità del trattamento effettuato fino alla revoca resta impregiudicata (art. 7 par. 3 GDPR).

10. Diritti degli interessati

Ogni interessato ha i seguenti diritti:

• Accesso (art. 15 GDPR): Puoi richiedere informazioni sui dati che ti riguardano conservati.
• Rettifica (art. 16 GDPR): Puoi richiedere la rettifica di dati inesatti.
• Cancellazione (art. 17 GDPR): Puoi richiedere la cancellazione dei tuoi dati, qualora non sussistano obblighi legali di conservazione. Con la cancellazione del tuo account, il registro delle modifiche della tua banda viene pseudonimizzato: le voci in cui hai agito o eri interessato mostrano poi soltanto «Account cancellato».
• Limitazione (art. 18 GDPR): Puoi richiedere la limitazione del trattamento.
• Portabilità dei dati (art. 20 GDPR): Puoi ricevere i tuoi dati in un formato comune e leggibile da dispositivo automatico.
• Opposizione (art. 21 GDPR): Puoi opporti al trattamento dei tuoi dati.

Per esercitare i tuoi diritti rivolgiti all’indirizzo e-mail indicato nella sezione 1.

11. Diritto di reclamo

In caso di violazioni del GDPR hai il diritto di presentare un reclamo presso un’autorità di controllo. L’autorità di controllo competente è:

Landesbeauftragte für Datenschutz und Informationsfreiheit Nordrhein-Westfalen
Postfach 20 04 44
40102 Düsseldorf
https://www.ldi.nrw.de

12. Misure di sicurezza

Adottiamo adeguate misure tecniche e organizzative per la protezione dei tuoi dati:

• Trasmissione dei dati cifrata (HTTPS/TLS)
• Accesso senza password tramite WebAuthn/Passkey (resistente al phishing)
• Separazione dei tenant (architettura multi-tenant con rigorosa isolazione dei dati)
• Aggiornamenti di sicurezza regolari
• Controlli di accesso e autorizzazioni basate sui ruoli

13. Contatto via e-mail o modulo di contatto

Se ci contatti via e-mail o tramite il modulo di contatto della piattaforma (nome, indirizzo e-mail, oggetto, messaggio), la tua richiesta, inclusi tutti i dati personali che ne derivano (nome, indirizzo e-mail, contenuto della richiesta), viene memorizzata e trattata presso di noi allo scopo di gestire la tua istanza. Non comunichiamo questi dati senza il tuo consenso.

Il trattamento di questi dati avviene sulla base dell’art. 6 par. 1 lett. b GDPR, qualora la tua richiesta sia connessa all’esecuzione di un contratto o sia necessaria per l’attuazione di misure precontrattuali. In tutti gli altri casi il trattamento si basa sul nostro interesse legittimo alla gestione efficace delle richieste a noi rivolte (art. 6 par. 1 lett. f GDPR).

14. Modifiche alla presente informativa sulla privacy

Ci riserviamo il diritto di adeguare la presente informativa sulla privacy per allinearla a modifiche del quadro normativo o a modifiche del Servizio. La versione di volta in volta aggiornata è consultabile su questa pagina e nell’app.