INFORMATIVA PRIVACY ARSHADES

Soluzioni ARShades
Ultimo aggiornamento: 26 agosto 2026

Ai sensi del Regolamento (UE) 2016/679 (“GDPR”), dell’UK GDPR, del California Consumer Privacy Act (“CCPA”) e delle relative modifiche, tra cui il California Privacy Rights Act (“CPRA”), delle altre leggi statali statunitensi in materia di privacy, tra cui il Virginia Consumer Data Protection Act (“VCDPA”), il Colorado Privacy Act (“CPA”), il Connecticut Data Privacy Act (“CTDPA”), lo Utah Consumer Privacy Act (“UCPA”), il Montana Consumer Data Privacy Act (“MCDPA”), l’Oregon Consumer Privacy Act (“OCPA”), nonché delle ulteriori normative statali statunitensi applicabili in materia di privacy, dell’Illinois Biometric Information Privacy Act (“BIPA”), del Texas Capture or Use of Biometric Identifier Act (“CUBI”), del Personal Information Protection and Electronic Documents Act (“PIPEDA”) del Canada, del Privacy Act australiano, della Lei Geral de Proteção de Dados (“LGPD”) del Brasile, del Federal Act on Data Protection (“FADP”) della Svizzera, dell’Act on the Protection of Personal Information (“APPI”) del Giappone, della Personal Information Protection Law (“PIPL”) della Cina, del Protection of Personal Information Act (“POPIA”) del Sudafrica, del Digital Personal Data Protection Act (“DPDP”) dell’India, della DIFC Data Protection Law degli Emirati Arabi Uniti, della Saudi Personal Data Protection Law (“PDPL”), del New Zealand Privacy Act 2020, del Singapore Personal Data Protection Act (“PDPA”), del Philippines Data Privacy Act (“DPA”), del Malaysia Personal Data Protection Act (“PDPA”) e delle altre leggi internazionali applicabili in materia di protezione dei dati personali, collettivamente definite “Normative Internazionali sulla Privacy”.

Spaarkly s.r.l. (“Spaarkly”, “noi”, “ci” o “nostro”), società registrata in Italia con sede legale in Via della Tecnica n. 18, 85100 Potenza (Italia), email: privacy@spaarkly.com, in qualità di Titolare del trattamento, fornisce la presente Informativa Privacy (“PP”) relativa al trattamento dei dati personali degli utenti (“Lei”, “Tu” o “Utente”) che accedono o interagiscono con la Tecnologia ARSHADES disponibile a livello globale, tra cui:

• ARShades Virtual Try-On (“ARShades VTO”, “VTO”, “Web VTO”, “VTO App”, “Applicazioni e Servizi”);
• ARShades VTO Explorer (“VTO Explorer”), quale modulo o funzionalità integrabile in esperienze ARShades web, mobile, catalogo, e-commerce, mirror, showroom o in-store;
• AR PD Meter;
• ARShades Mirror (“Mirror”);
• ARShades Gateway (“Gateway”, “Applicazione Standalone”);
• ARShades Campaign Catalogue (“Campaign Catalogue”), quale catalogo prodotti pubblico basato sul web che integra esperienze ARShades.

La presente Informativa Privacy si basa sul GDPR quale quadro normativo principale, integrando i requisiti specifici previsti dalle leggi dei Paesi in cui offriamo i nostri servizi. Laddove sussistano differenze normative, esse sono descritte negli Addenda Normativi allegati al presente documento.

Invitiamo gli Utenti a leggere attentamente sia il corpo principale della presente Informativa sia l’Addendum applicabile alla propria area geografica, al fine di comprendere pienamente i propri diritti e le specifiche locali relative al trattamento dei dati.

Introduzione

Spaarkly s.r.l. (“Spaarkly”, “noi”, “ci” o “nostro”), società registrata in Italia, è proprietaria della Tecnologia ARSHADES, del marchio ARSHADES e di altre soluzioni di Realtà Aumentata (AR) per applicazioni eyewear utilizzate in questa applicazione web o mobile con il nome ARShades.

Agiamo in qualità di Titolare del trattamento ai sensi delle leggi applicabili in materia di protezione dei dati, incluso il Regolamento Generale sulla Protezione dei Dati (UE) 2016/679 (“GDPR”), il California Consumer Privacy Act (“CCPA”), il Personal Information Protection and Electronic Documents Act (“PIPEDA”) del Canada, l’Australian Privacy Act, l’UK GDPR e altre normative internazionali. La presente Informativa Privacy fornisce informazioni su come raccogliamo, utilizziamo e trattiamo i dati personali degli utenti (“Lei” o “Utente”) che accedono o interagiscono con la nostra tecnologia ARSHADES (“VTO”, “Web VTO”, “Applicazione Web o Mobile”, “App”, “Applicazioni e Servizi”), disponibile a livello globale.

Definizioni

Ai fini della presente Informativa Privacy, si applicano le seguenti definizioni:

• Dati Personali: qualsiasi informazione relativa a una persona fisica identificabile, inclusi indirizzo IP, email e altri dati forniti volontariamente dall’utente.
• Dati di Sessione: informazioni raccolte durante una sessione utente, quali timestamp di interazione, pagine consultate e statistiche di utilizzo. Sono conservati fino a 14 mesi prima dell’anonimizzazione.
• Dati del Dispositivo: informazioni tecniche sul dispositivo dell’utente, inclusi tipo di dispositivo, sistema operativo, versione del browser e lingua preferita. Sono utilizzati per l’ottimizzazione e la sicurezza del servizio.
• Dati di Geolocalizzazione: previo consenso dell’utente, ARShades può raccogliere la posizione approssimativa basata su indirizzo IP oppure, nelle applicazioni standalone, la posizione GPS precisa, al fine di fornire servizi basati sulla posizione. Gli utenti possono disabilitare tale funzionalità in qualsiasi momento.
• Titolare del trattamento: Spaarkly s.r.l., che determina le finalità e i mezzi del trattamento dei dati personali.
• Trattamento: qualsiasi operazione effettuata sui dati personali, inclusa raccolta, conservazione, anonimizzazione e cancellazione.
• Cookie e tecnologie di tracciamento: cookie essenziali necessari al funzionamento del servizio e strumenti analytics opzionali, se abilitati dall’utente. Non vengono utilizzati cookie di marketing.
• Diritti dell’Interessato: gli Utenti possono accedere, rettificare, cancellare o limitare il trattamento dei propri dati secondo quanto previsto dal GDPR, dal CCPA e da normative analoghe. Le richieste possono essere inviate a privacy@spaarkly.com.
• Trasferimenti internazionali di dati: qualora dati personali siano trasferiti al di fuori dello Spazio Economico Europeo (SEE), Spaarkly garantisce la conformità mediante Clausole Contrattuali Standard (SCC) o garanzie equivalenti.
• ARShades VTO: soluzione di virtual try-on (VTO) che consente agli utenti di visualizzare in che modo gli occhiali si adattano al volto in realtà aumentata (AR) in tempo reale. Funziona su dispositivi web e mobile senza conservare dati biometrici.
• ARShades VTO Explorer: modulo di virtual try-on fotografico e catalogo aumentato che consente agli Utenti di generare anteprime realistiche e personalizzate di più prodotti eyewear a partire da un numero limitato di immagini acquisite durante la sessione. VTO Explorer può essere integrato in soluzioni ARShades web, mobile, cataloghi, mirror o altre esperienze in-store. Le immagini acquisite sono trattate localmente sul dispositivo dell’Utente o sul dispositivo utilizzato per l’esperienza e non sono caricate automaticamente sui server di Spaarkly. Quando VTO Explorer è utilizzato su un dispositivo installato in un punto vendita, showroom, sede di evento o altro luogo pubblico, e l’Utente sceglie di ottenere, scaricare o condividere sul proprio dispositivo le foto finali, solo le foto finali selezionate dall’Utente possono essere temporaneamente caricate sui server di Spaarkly esclusivamente per renderle disponibili all’Utente, e sono cancellate secondo quanto descritto nella presente Informativa.
• AR PD Meter: strumento di misurazione della distanza pupillare (PD) che stima la distanza tra le pupille dell’utente mediante AR e rilevamento di landmark facciali. Le immagini e i flussi video della fotocamera non sono conservati, non sono utilizzati per identificazione biometrica e non sono usati per creare template facciali. Per calcolare la distanza pupillare, AR PD Meter può trasmettere temporaneamente al backend ARShades, situato nell’Unione Europea, dati tecnici derivati quali landmark facciali, orientamento del volto, informazioni tecniche del dispositivo e parametri necessari al calcolo. Tali dati sono utilizzati esclusivamente per restituire il risultato della misurazione e sono scartati dopo l’elaborazione.
• ARShades Mirror: esperienza di virtual try-on per il retail erogata tramite postazioni dedicate (schermo e fotocamera) installate in punti vendita, showroom e sedi di eventi, nelle edizioni ARShades Mirror Showroom, Portrait e Photobooth, che consente agli utenti di navigare cataloghi virtuali eyewear e provare occhiali in AR senza richiedere la conservazione di dati personali.
• ARShades Gateway: piattaforma AR standalone che fornisce, tra l’altro, un’esperienza di virtual try-on. Può opzionalmente utilizzare la geolocalizzazione, previo consenso, per personalizzare le raccomandazioni.
• ARShades Campaign Catalogue: catalogo prodotti pubblico basato sul web, accessibile tramite URL dedicato, che presenta i prodotti eyewear di un marchio e consente di avviare esperienze ARShades quali VTO, 3D Viewer e VTO Explorer. La pagina del catalogo non scrive cookie, local storage o altri identificatori sul dispositivo dell’Utente; il suo utilizzo è misurato in forma aggregata secondo quanto descritto nella sezione “Dati di misurazione d’uso dei cataloghi pubblici”.

1. FINALITÀ DEL TRATTAMENTO E BASE GIURIDICA

a) Soluzioni ARShades su dispositivi di proprietà dell’Utente

ARShades offre soluzioni di Realtà Aumentata (AR) per la prova virtuale di occhiali, utilizzabili su dispositivi personali quali computer, smartphone e tablet.

Trattiamo i dati personali dell’Utente per fornire un’esperienza di virtual try-on, consentendo agli utenti di provare diverse forme e dimensioni di occhiali su siti web e applicazioni mobili. L’obiettivo finale è offrire suggerimenti di montature basati sulle caratteristiche facciali dell’Utente, permettendogli di visualizzare come determinati modelli potrebbero adattarsi al proprio volto.

La base giuridica di tale trattamento è:

• Fornitura dei Servizi VTO: consentire all’Utente di provare virtualmente montature eyewear, testare forme e dimensioni e utilizzare strumenti quali la misurazione della distanza pupillare (base giuridica: esecuzione di un contratto o di misure precontrattuali richieste dall’Utente, ai sensi dell’art. 6, par. 1, lett. b) GDPR).
• Miglioramento del servizio, analytics, sicurezza e prevenzione delle frodi: migliorare la qualità, l’usabilità, la comprensione analitica e la sicurezza dei nostri Servizi, generare statistiche anonime sull’uso e sulle prestazioni delle esperienze ARShades — inclusa la misurazione aggregata dell’utilizzo delle pagine pubbliche dei Campaign Catalogue —, prevenire usi illeciti e frodi e garantire l’integrità delle reti e dei sistemi (base giuridica: legittimo interesse, art. 6, par. 1, lett. f) GDPR).
• Adempimento di obblighi legali: adempiere a obblighi di legge o a ordini di autorità competenti in materia di conservazione dei dati, sicurezza e altri requisiti normativi (base giuridica: obbligo legale, art. 6, par. 1, lett. c) GDPR).
• Consenso, ove applicabile: laddove sia richiesto il consenso, ad esempio per l’accesso alla fotocamera o per eventuali strumenti opzionali di analytics, ove disponibili, il trattamento sarà basato sul consenso (art. 6, par. 1, lett. a) GDPR), revocabile in qualsiasi momento senza pregiudicare la liceità del trattamento effettuato prima della revoca.

Tale consenso può essere prestato dall’interessato selezionando l’apposita casella al termine della presente Informativa Privacy.

Il mancato conferimento del consenso, ove richiesto, può impedire l’accesso ad alcune funzionalità dei Servizi.

b) Soluzioni ARShades su dispositivi installati in punti vendita, showroom o luoghi pubblici (ARShades Mirror)

Alcune soluzioni ARShades, incluso ARShades Mirror, sono installate su postazioni dedicate collocate in punti vendita, sedi di eventi o altri luoghi accessibili al pubblico, per consentire la prova virtuale di occhiali.

Alcune versioni di ARShades Mirror, compresa l’edizione ARShades Mirror Showroom, possono includere il modulo VTO Explorer. In tali casi si applicano gli stessi principi descritti per VTO Explorer: le immagini acquisite per la personalizzazione e la generazione del catalogo aumentato sono trattate localmente sul dispositivo utilizzato per l’esperienza e non sono caricate automaticamente sui server di Spaarkly.

Anche in questo caso, l’obiettivo finale è offrire suggerimenti di montature basati sulle caratteristiche facciali dell’Utente, consentendogli di visualizzare come determinati modelli apparirebbero sul proprio volto.

La base giuridica del trattamento è fondata su:

• Fornitura dei Servizi VTO: consentire all’Utente di provare virtualmente montature eyewear, testare forme e dimensioni e utilizzare strumenti quali la misurazione della distanza pupillare (base giuridica: esecuzione di un contratto o di misure precontrattuali richieste dall’interessato, ai sensi dell’art. 6, par. 1, lett. b) GDPR).
• Miglioramento del servizio, analytics, sicurezza e prevenzione delle frodi: migliorare la qualità, l’usabilità, la comprensione analitica e la sicurezza dei nostri Servizi, generare statistiche anonime sull’uso e sulle prestazioni delle esperienze ARShades, prevenire usi illeciti e frodi e garantire l’integrità delle reti e dei sistemi (base giuridica: legittimo interesse, art. 6, par. 1, lett. f) GDPR).
• Obblighi legali: adempiere a obblighi di legge o a ordini delle autorità competenti in materia di conservazione dei dati, sicurezza e altri requisiti normativi (base giuridica: obbligo legale, art. 6, par. 1, lett. c) GDPR).
• Consenso, ove applicabile: laddove sia richiesto il consenso, ad esempio per l’accesso alla fotocamera, per l’acquisizione delle immagini necessarie all’utilizzo del modulo VTO Explorer o per la conservazione temporanea delle foto finali selezionate dall’Utente per il download o la condivisione tramite funzionalità quali “Shoot & Share” o funzioni equivalenti di download, il trattamento sarà basato sul consenso (art. 6, par. 1, lett. a) GDPR), revocabile in qualsiasi momento senza pregiudicare la liceità del trattamento effettuato prima della revoca.

2. COME FUNZIONA ARSHADES VTO

La tecnologia ARShades utilizza la computer vision per rilevare i volti e stimare misurazioni senza creare né conservare template facciali.

ARShades utilizza software di misurazione facciale per i servizi Virtual Try-On e AR PD Meter. Attraverso la fotocamera viene generata una mesh facciale 3D. Per il Virtual Try-On, il posizionamento degli occhiali e il rendering avvengono localmente sul dispositivo. Per AR PD Meter, i dati tecnici derivati necessari al calcolo della distanza pupillare possono essere trasmessi temporaneamente al backend ARShades, situato nell’Unione Europea, esclusivamente per restituire il risultato della misurazione.

Quando un’esperienza ARShades include il modulo VTO Explorer, il sistema può chiedere all’Utente di acquisire un numero limitato di immagini durante la sessione. Tali immagini sono utilizzate come riferimento visivo stabile per generare anteprime realistiche di più prodotti eyewear presenti nel catalogo. Il sistema può applicare rilevamento di landmark facciali, maschere facciali adattive, segmentazione di aree del volto quali pelle, capelli e orecchie, nonché tecniche di rendering locale, al fine di posizionare correttamente gli occhiali e produrre anteprime realistiche.

Tale trattamento è effettuato localmente sul dispositivo dell’Utente o sul dispositivo utilizzato per l’esperienza. Le immagini acquisite per la personalizzazione e la generazione del catalogo non sono caricate automaticamente sui server di Spaarkly, non sono utilizzate per il riconoscimento facciale e non sono utilizzate per creare un identificativo biometrico o un template facciale persistente.

Non effettuiamo alcuna identificazione univoca dell’utente basata sulla mesh facciale; i dati sono utilizzati esclusivamente per posizionare virtualmente gli occhiali e fornire suggerimenti basati su caratteristiche facciali.

A differenza delle tecnologie biometriche che creano identificativi univoci collegati agli individui, il nostro sistema:

• opera su punti matematici anonimi comuni a tutti i volti;
• non utilizza le misurazioni per identificare specifiche persone, né le misurazioni sono, di per sé, idonee a identificarle;
• non utilizza né conserva dati per finalità di riconoscimento facciale;
• tratta i dati facciali del Virtual Try-On localmente sul dispositivo dell’Utente, senza conservazione lato server;
• per AR PD Meter, utilizza temporaneamente dati tecnici derivati sul backend ARShades solo per calcolare e restituire il risultato PD, scartandoli dopo l’elaborazione.

Per utilizzare tali funzionalità, l’Utente deve concedere i permessi necessari per l’accesso alla fotocamera (“Cam”) e ad altri componenti hardware, ad esempio fotocamera TrueDepth o Depth API, e deve disporre di una versione compatibile del sistema operativo installata sul proprio dispositivo per supportare le esperienze in Realtà Aumentata.

L’Utente può rifiutare tali permessi, ma ciò renderà impossibile utilizzare il servizio.

Tali dati sono raccolti localmente sul dispositivo dell’Utente, salvo quanto indicato per il calcolo AR PD Meter, e utilizzati esclusivamente in forma anonima o aggregata per finalità di sviluppo e per raccogliere informazioni statistiche sull’utilizzo di ARShades.

Come raccogliamo e gestiamo il consenso

Il browser o il sistema operativo mobile richiede autonomamente l’accesso alla fotocamera tramite pop-up. Gli utenti devono concedere il permesso prima che l’esperienza ARShades possa funzionare.

Gli utenti possono revocare il consenso in qualsiasi momento disabilitando l’accesso alla fotocamera nelle impostazioni del browser o del dispositivo.

3. CATEGORIE DI DATI PERSONALI TRATTATI

Dati di misurazione facciale

Il sistema calcola in tempo reale le seguenti dimensioni facciali:

• distanza pupillare;
• lunghezza della mandibola;
• larghezza e altezza della fronte;
• lunghezza e larghezza del naso;
• altezza degli zigomi;
• larghezza del volto in corrispondenza degli zigomi;
• larghezza del volto in corrispondenza della bocca;
• lunghezza del mento;
• lunghezza complessiva del volto.

Tali misurazioni sono trattate istantaneamente e localmente per il Virtual Try-On. Nel caso di AR PD Meter, i dati tecnici derivati necessari al calcolo della distanza pupillare possono essere trasmessi temporaneamente al backend ARShades, situato nell’Unione Europea, esclusivamente per calcolare e restituire il risultato della misurazione. Non sono conservati come identificativi univoci, non sono utilizzati per riconoscimento facciale e sono scartati dopo l’elaborazione. Eventuali dati tecnici o di sessione conservati per sicurezza, analytics, prevenzione abusi o miglioramento del servizio sono conservati per un massimo di 14 mesi e successivamente aggregati o anonimizzati.

Dati statistici anonimi

Possiamo raccogliere, in forma anonimizzata e non tracciabile, informazioni quali genere approssimativo e fascia d’età, esclusivamente allo scopo di fornire raccomandazioni eyewear, verificare requisiti di età minima, generare statistiche anonime e migliorare l’esperienza utente. In ogni caso, informeremo espressamente l’Utente di tale possibilità e procederemo solo dopo aver ottenuto la sua specifica autorizzazione.

Alcune esperienze ARShades, come ARShades Mirror, possono includere un modulo locale basato su intelligenza artificiale, che utilizza tecnologia AI open-source eseguita direttamente sul dispositivo, per finalità statistiche e analitiche anonime relative all’uso, alle prestazioni e al miglioramento dei servizi ARShades.

Tale modulo può stimare automaticamente alcune caratteristiche generali della persona che interagisce con l’esperienza, quali genere stimato, fascia d’età stimata e presenza o assenza di occhiali. La stima di ulteriori attributi demografici generali è disattivata per impostazione predefinita e può essere attivata soltanto per specifici progetti, previa valutazione legale; in tal caso l’informativa mostrata sul dispositivo ne dà espressa indicazione.

Tali dati sono trattati esclusivamente in forma anonima e aggregata per finalità statistiche, analisi del servizio, valutazione delle prestazioni dei prodotti, analytics di utilizzo e miglioramento dei servizi ARShades. Non sono utilizzati per identificare l’Utente, non sono collegati a nome, dati di contatto, template facciale, account o identificativo persistente, e non sono utilizzati per riconoscimento facciale, profilazione individuale, decisioni automatizzate con effetti giuridici o analogamente significativi, marketing o tracciamento comportamentale.

L’analisi AI è effettuata localmente sul dispositivo. Spaarkly può raccogliere solo output statistici anonimi derivanti da tale analisi, ove tecnicamente abilitato, e non immagini facciali, template facciali, identificativi biometrici o dati che identifichino direttamente l’Utente. Resta fermo quanto indicato sopra: l’eventuale attivazione di tale modulo è portata a conoscenza dell’Utente e, ove richiesto dalla normativa applicabile, subordinata alla sua specifica autorizzazione.

Dati del dispositivo e di sessione

Raccogliamo informazioni standard di utilizzo quali:

• indirizzo IP;
• tipo di dispositivo;
• sistema operativo;
• lingua preferita;
• brand e prodotti visualizzati;
• date e orari di accesso;
• statistiche anonime sulle interazioni con l’app VTO, ad esempio se l’Utente indossa occhiali.

Tali dati sono raccolti per migliorare i Servizi, garantire la sicurezza e analizzare l’utilizzo delle nostre soluzioni.

Dati di misurazione d’uso dei cataloghi pubblici (Campaign Catalogue)

Quando l’Utente visita la pagina pubblica di un ARShades Campaign Catalogue, Spaarkly misura l’utilizzo della pagina in forma aggregata, al fine di fornire ai propri clienti statistiche sulle campagne: numero di visite, stima dei visitatori unici nell’arco della singola giornata, profondità di scorrimento della pagina, interazioni con i prodotti e aperture delle esperienze immersive, canale di provenienza della visita e tipo di dispositivo.

Tale misurazione avviene senza scrivere cookie, local storage o altri identificatori sul dispositivo dell’Utente. Al solo fine di distinguere le visite nell’arco della singola giornata, i sistemi di Spaarkly calcolano, lato server, un codice tecnico mediante una funzione crittografica di hash non reversibile applicata all’indirizzo IP e alle informazioni tecniche del browser, con un elemento segreto variabile rinnovato ogni 24 ore; l’indirizzo IP è scartato immediatamente dopo il calcolo e non è conservato. Il codice così ottenuto non consente di riconoscere l’Utente tra giorni diversi e costituisce un dato tecnico derivato non utilizzato per identificare l’Utente e non idoneo, di per sé, a identificarlo. Non è utilizzato per riconoscimento, profilazione individuale, marketing o tracciamento comportamentale tra siti o servizi diversi.

Gli eventi di utilizzo così raccolti sono cancellati dopo l’aggregazione statistica giornaliera, di norma entro 48 ore dalla raccolta; successivamente sono conservate esclusivamente statistiche aggregate, prive di qualsiasi codice tecnico. La base giuridica di tale trattamento è il legittimo interesse di Spaarkly e dei suoi clienti a misurare l’efficacia delle campagne e l’utilizzo del servizio (art. 6, par. 1, lett. f) GDPR); l’Utente può opporsi secondo quanto previsto nella sezione “Diritti dell’Interessato”.

L’apertura di un’esperienza immersiva dal catalogo (ad esempio VTO o VTO Explorer) resta soggetta ai consensi, alle informative e alle regole descritte nelle altre sezioni della presente Informativa.

Immagini facciali o dati biometrici

ARShades non raccoglie, conserva né tratta identificativi biometrici o informazioni biometriche ai sensi del GDPR o come definiti da leggi statali quali BIPA, CUBI, CCPA o normative analoghe. La tecnologia di misurazione facciale utilizzata da ARShades rileva landmark facciali per sovrapporre, posizionare o renderizzare gli occhiali e, per AR PD Meter, per calcolare la distanza pupillare, senza generare né conservare identificativi biometrici. Non sono creati, conservati o trasferiti ai nostri server template facciali, scansioni o identificativi univoci. I dati tecnici derivati eventualmente trasmessi al backend ARShades per AR PD Meter sono usati solo per restituire il risultato della misurazione e sono scartati dopo l’elaborazione.

Quando un’esperienza ARShades include il modulo VTO Explorer, all’Utente può essere richiesto di acquisire un numero limitato di immagini durante la sessione. Tali immagini sono trattate localmente sul dispositivo dell’Utente o sul dispositivo utilizzato per l’esperienza per generare anteprime personalizzate del catalogo e non sono caricate automaticamente sui server di Spaarkly.

Quando VTO Explorer o altre funzionalità ARShades di output fotografico sono utilizzate sul dispositivo dell’Utente, le foto finali generate durante l’esperienza possono essere salvate o scaricate direttamente su tale dispositivo. In tali casi, Spaarkly non ha necessità di caricare, conservare o altrimenti trattare tali foto finali sui propri server per renderle disponibili all’Utente.

Un distinto trattamento temporaneo lato server può avvenire solo quando l’esperienza è fornita tramite un dispositivo installato in un punto vendita, showroom, sede di evento o altro luogo pubblico, e l’Utente sceglie di ottenere, scaricare o condividere sul proprio dispositivo foto finali che lo ritraggono con indosso gli occhiali selezionati. In tal caso, solo le foto finali selezionate dall’Utente sono temporaneamente caricate sui server di Spaarkly per la sola finalità di renderle disponibili all’Utente per il download o la condivisione. Tali foto non sono utilizzate per identificazione, riconoscimento facciale, profilazione, marketing, analytics o addestramento di sistemi di intelligenza artificiale.

Qualora una giurisdizione ridefinisse i dati biometrici in modo tale da poter includere la tecnologia ARShades, confermiamo che l’analisi facciale e la personalizzazione restano strettamente locali sul dispositivo dell’Utente o sul dispositivo utilizzato per l’esperienza e non sono conservate né utilizzate per finalità di identificazione. Qualsiasi upload temporaneo di foto finali è limitato al download o alla condivisione richiesti dall’Utente da dispositivi installati in punti vendita, showroom, sedi di evento o altri luoghi pubblici, ed è soggetto ai limiti di conservazione descritti nella presente Informativa.

Foto finali selezionate dall’Utente

Quando l’Utente sceglie di ottenere, scaricare o condividere foto finali generate tramite ARShades VTO, VTO Explorer, ARShades Mirror, “Shoot & Share” o funzionalità equivalenti, le modalità di trattamento dipendono dal tipo di dispositivo utilizzato per l’esperienza.

Quando l’esperienza avviene sul dispositivo personale dell’Utente, le foto finali possono essere salvate o scaricate direttamente su tale dispositivo e non sono caricate sui server di Spaarkly per tale finalità.

Quando l’esperienza avviene su un dispositivo installato in un punto vendita, showroom, sede di evento o altro luogo pubblico, Spaarkly può trattare temporaneamente solo le foto finali selezionate dall’Utente, esclusivamente per renderle disponibili all’Utente per il download o la condivisione sul proprio dispositivo.

Tali foto possono raffigurare l’Utente con indosso uno o più prodotti eyewear selezionati. Non sono utilizzate per riconoscimento facciale, identificazione biometrica, profilazione, marketing, analytics o addestramento di sistemi di intelligenza artificiale.

L’Utente può cancellare tali foto immediatamente dopo il download, ove questa opzione sia disponibile. Se l’Utente non le cancella manualmente, esse sono cancellate automaticamente dai server di Spaarkly entro il giorno successivo alla sessione.

Dati di geolocalizzazione nelle applicazioni standalone (ARShades Gateway)

Alcune applicazioni standalone ARShades, ossia non incorporate nei siti web dei clienti, possono raccogliere dati di geolocalizzazione con le seguenti modalità:

• Geolocalizzazione precisa: previo consenso esplicito, specifiche applicazioni standalone ARShades possono raccogliere coordinate precise di geolocalizzazione dal dispositivo per fornire servizi o raccomandazioni basati sulla posizione.
• Posizione approssimativa: in assenza di consenso esplicito alla posizione precisa, possiamo inferire una posizione approssimativa sulla base dell’indirizzo IP.

La raccolta dei dati di geolocalizzazione nelle applicazioni standalone è:

• facoltativa: è possibile rifiutare i permessi di localizzazione senza pregiudicare le funzionalità VTO principali;
• basata sul consenso: la geolocalizzazione precisa è raccolta solo previo consenso esplicito;
• limitata alle finalità: utilizzata solo per fornire raccomandazioni eyewear pertinenti o servizi basati sulla posizione;
• soggetta alla stessa politica di conservazione: anonimizzata entro 14 mesi insieme agli altri dati tecnici.

Gestione del consenso alla geolocalizzazione

Al primo utilizzo delle nostre applicazioni standalone, il browser chiederà di consentire o bloccare l’accesso alla posizione. Si tratta di un consenso basato sulla sessione che non persiste necessariamente tra le visite, ma, a seconda della scelta dell’Utente e delle impostazioni del browser, tale decisione può essere:

• ricordata localmente dal browser per visite future alla stessa applicazione;
• impostata in modo da chiedere ogni volta;
• concessa temporaneamente solo per la sessione corrente.

È sempre possibile modificare tali impostazioni dei permessi tramite le impostazioni del browser.

Tutti i dati tecnici raccolti, inclusi eventuali dati di geolocalizzazione, sono automaticamente anonimizzati entro 14 mesi, come descritto nella nostra politica di conservazione.

4. MODALITÀ DEL TRATTAMENTO

I dati personali sono trattati mediante sistemi informatici e, ove necessario, manualmente, nel rispetto dei principi di correttezza, liceità, trasparenza e riservatezza. Il personale autorizzato, formato e istruito, accede ai dati per le finalità dichiarate.

Adottiamo misure tecniche e organizzative volte a prevenire accessi non autorizzati e a proteggere i dati.

5. TRATTAMENTO DEI DATI IN ARSHADES MIRROR

ARShades Mirror condivide le stesse funzionalità di base delle altre soluzioni ARShades VTO: i punti di riferimento del volto sono elaborati in tempo reale, localmente sul dispositivo, senza template persistenti né riconoscimento dell’identità, e nessun flusso video lascia la postazione. Nell’edizione ARShades Mirror Showroom, dai punti di riferimento del volto viene derivata, sul dispositivo, una stima della distanza dalla fotocamera basata su valori antropometrici medi, al solo fine di dimensionare le montature virtuali; non viene misurata né restituita alcuna distanza pupillare, e tale stima non è conservata né trasmessa. La presente sezione disciplina specificamente gli aspetti aggiuntivi relativi all’implementazione in-store e alla funzionalità opzionale “Shoot & Share”, che consente agli utenti di salvare e condividere selfie con gli occhiali selezionati. Il trattamento dei dati personali avviene come segue:

Modalità di trattamento

• Le immagini acquisite per virtual try-on, personalizzazione, generazione del catalogo, adattamento facciale, segmentazione, posizionamento del prodotto e rendering sono trattate localmente sul dispositivo senza trasferimento automatico ai server di Spaarkly.
• Nelle edizioni di ARShades Mirror che includono il modulo VTO Explorer, come ARShades Mirror Showroom, le immagini acquisite durante la fase di personalizzazione sono utilizzate localmente per generare anteprime del catalogo aumentato e non sono caricate sui server di Spaarkly.
• Solo quando l’Utente sceglie attivamente di ottenere, scaricare o condividere foto finali che lo ritraggono con indosso gli occhiali selezionati da un dispositivo installato in un punto vendita, showroom, sede di evento o altro luogo pubblico, tali foto finali selezionate possono essere temporaneamente caricate sui server di Spaarkly esclusivamente per renderle disponibili all’Utente sul proprio dispositivo.
• Il titolare del punto vendita non ha accesso diretto ai dati o alle immagini generate dagli Utenti, poiché l’accesso al software è limitato esclusivamente ad ARShades.
• ARShades si impegna a non accedere ai dati dell’Utente salvo quando necessario per specifiche attività di manutenzione tecnica, sempre senza visualizzare o trattare le immagini acquisite.
• Spaarkly non comunica i dati degli Utenti a terze parti per finalità proprie di queste ultime. Per l’hosting e l’erogazione dei servizi, Spaarkly può avvalersi di qualificati fornitori di infrastruttura cloud, con server situati nell’Unione Europea, nominati responsabili del trattamento ai sensi dell’art. 28 GDPR e vincolati da appositi accordi sul trattamento dei dati. Le attività di trattamento sono svolte esclusivamente da personale autorizzato di Spaarkly e da tali fornitori, nei limiti delle istruzioni impartite.

Cancellazione automatica e misure di sicurezza

• Le foto finali temporaneamente caricate tramite ARShades Mirror, VTO Explorer, “Shoot & Share” o funzionalità equivalenti di download/condivisione da dispositivi installati in punti vendita, showroom, sedi di evento o altri luoghi pubblici possono essere cancellate immediatamente dai nostri server dagli Utenti dopo essere state scaricate sul proprio dispositivo, ove tale opzione sia disponibile. Se gli Utenti non cancellano manualmente le proprie foto, il nostro sistema le rimuove automaticamente entro il giorno successivo alla sessione tramite una procedura automatica pianificata, senza intervento manuale.
• I dati temporaneamente conservati sono cifrati a riposo e in transito per garantirne la sicurezza.
• Tutti gli accessi ai dispositivi ARShades per manutenzione tecnica sono registrati in un registro degli accessi in conformità all’art. 5, par. 1, lett. f) GDPR.
• Il software è configurato per limitare l’accesso ai dati esclusivamente al personale autorizzato ARShades.

Ruolo di ARShades e del punto vendita

• ARShades rimane l’unico Titolare del trattamento dei dati generati tramite ARShades Mirror.
• Il punto vendita non tratta i dati degli utenti, poiché non ha accesso ai dati generati né alla gestione del software.

6. RACCOLTA DEI DATI E PERIODO DI CONSERVAZIONE

• I dati di misurazione facciale sono raccolti localmente sul dispositivo dell’Utente per il Virtual Try-On e conservati solo per il tempo necessario a fornire i servizi ARShades VTO. Per AR PD Meter, i dati tecnici derivati necessari al calcolo della distanza pupillare possono essere trasmessi temporaneamente al backend ARShades situato nell’UE, utilizzati solo per restituire il risultato della misurazione e scartati dopo l’elaborazione.
• I dati di sessione e del dispositivo sono conservati sui server di Spaarkly, situati all’interno dell’UE. Gli indirizzi IP sono cancellati e pienamente dissociati da tutti gli altri dati entro 14 mesi. Solo dati aggregati e anonimizzati sono conservati per analisi statistiche.
• I dati di misurazione d’uso dei cataloghi pubblici (Campaign Catalogue) sono cancellati dopo l’aggregazione statistica giornaliera, di norma entro 48 ore dalla raccolta; successivamente sono conservate solo statistiche aggregate e anonime.
• Il periodo di conservazione dei dati personali può essere esteso in casi eccezionali, ad esempio per adempiere a obblighi di legge o per finalità di prevenzione delle frodi.

7. COOKIE POLICY

ARShades utilizza solo cookie strettamente necessari, essenziali per il funzionamento dei nostri servizi. Tali cookie:

• abilitano funzionalità di base del sito, quali gestione della sessione e sicurezza;
• non tracciano gli utenti su siti web diversi;
• non sono utilizzati per analytics, marketing o tracciamento di terze parti.

Poiché tali cookie sono essenziali, non richiedono il consenso dell’utente ai sensi del GDPR e della Direttiva ePrivacy. Gli utenti possono gestire le impostazioni del browser per bloccare o cancellare i cookie, ma ciò può incidere sulla funzionalità del servizio.

Le pagine pubbliche dei Campaign Catalogue non impostano cookie né local storage: la misurazione del loro utilizzo avviene esclusivamente lato server, come descritto nella sezione “Dati di misurazione d’uso dei cataloghi pubblici”. I cookie descritti in questa sezione riguardano le esperienze ARShades (ad esempio VTO) avviate dall’Utente.

Cookie strettamente necessari utilizzati

Tecnologie di conservazione utilizzate

Per ragioni tecniche connesse alle restrizioni cross-domain in alcuni browser, ARShades può memorizzare il consenso utilizzando cookie oppure meccanismi di local storage. Entrambi i metodi hanno la stessa finalità funzionale: ricordare l’accettazione dell’informativa privacy per evitare richieste ripetute durante esperienze VTO successive.

Quando i cookie non possono essere impostati a causa di restrizioni del browser, il local storage viene utilizzato come meccanismo di fallback. Tali dati in local storage sono soggetti agli stessi periodi di conservazione, misure di sicurezza e controlli utente previsti per i cookie. È possibile cancellare sia i cookie sia i dati di local storage tramite le impostazioni del browser.

Le informazioni memorizzate con entrambi i metodi sono limitate a flag essenziali di consenso e non sono utilizzate per tracciamento o profilazione.

8. NATURA DEL CONFERIMENTO DEI DATI E CONSEGUENZE DEL MANCATO CONFERIMENTO

Il conferimento dei dati per le finalità sopra descritte è volontario e gratuito. Ad eccezione dei dati di geolocalizzazione in alcuni prodotti standalone ARShades, se l’Utente sceglie di non fornire i dati o i permessi richiesti per una specifica funzionalità, potremmo non essere in grado di fornire tale funzionalità.

Ad esempio, il rifiuto dell’accesso alla fotocamera impedirà l’utilizzo dell’esperienza VTO. Il rifiuto di acquisire le immagini necessarie al modulo VTO Explorer può impedire la generazione delle anteprime del catalogo aumentato.

Quando l’esperienza si svolge sul dispositivo personale dell’Utente, la scelta di non salvare o scaricare le foto finali non impedisce all’Utente di utilizzare l’esperienza locale di virtual try-on o di esplorazione del catalogo, ove disponibile. Quando l’esperienza si svolge su un dispositivo installato in un punto vendita, showroom, sede di evento o altro luogo pubblico, la scelta di non richiedere il download o la condivisione delle foto finali comporta che non verrà effettuato alcun caricamento temporaneo di tali foto sui server di Spaarkly per tale finalità.

9. TRASFERIMENTI INTERNAZIONALI DI DATI

Tutti i dati sono conservati su server situati all’interno dell’Unione Europea (UE).

Non trasferiamo i Suoi dati personali al di fuori dello Spazio Economico Europeo (SEE).

Qualora in futuro si rendesse necessario trasferire dati al di fuori del SEE, garantiremo l’adozione di adeguate garanzie in conformità al GDPR e alle altre normative applicabili, quali le Clausole Contrattuali Standard (SCC) approvate dalla Commissione Europea.

10. MISURE DI SICUREZZA

Adottiamo misure tecniche e organizzative adeguate per proteggere i dati da distruzione accidentale o illecita, perdita, alterazione, divulgazione o accesso non autorizzati.

Tali misure includono:

• cifratura;
• firewall;
• server sicuri;
• sistemi di gestione degli accessi per prevenire accessi non autorizzati a sistemi e dati.

Monitoriamo e aggiorniamo costantemente i nostri protocolli di sicurezza per garantire la conformità ai più recenti standard di protezione dei dati.

Protocollo in caso di violazione della sicurezza

In caso di incidente di sicurezza che riguardi dati di sessione, dati del dispositivo, indirizzi IP o dati di geolocalizzazione, ARShades:

• valuterà il livello di rischio ai sensi dell’art. 33 GDPR. Valuteremo ogni potenziale violazione in conformità all’art. 33 GDPR e notificheremo la competente Autorità di controllo entro 72 ore ove richiesto dalla legge applicabile;
• a causa dell’assenza di dati personali di contatto, non siamo in grado di notificare direttamente i singoli utenti. Ove richiesto, emetteremo invece un avviso pubblico tramite il nostro sito ufficiale o altri canali;
• mitigherà e risolverà l’incidente nel più breve tempo possibile, implementando, ove necessario, ulteriori misure di salvaguardia.

11. PRIVACY DEI MINORI

ARShades è progettato per utenti di tutte le età. Tuttavia, solo gli utenti che abbiano raggiunto l’età minima legale richiesta nel proprio Paese possono prestare autonomamente il consenso al trattamento dei propri dati personali.

Se un utente è al di sotto di tale età, è richiesto il consenso di un genitore o tutore per il trattamento dei dati, e il genitore o tutore deve accettare la presente Informativa Privacy per suo conto.

Ci impegniamo a proteggere la privacy dei minori e incoraggiamo genitori e tutori a monitorare attivamente l’attività online e le esperienze digitali dei minori.

Non raccogliamo né trattiamo intenzionalmente dati personali di alcun utente — e pertanto di alcun minore — in assenza di una base giuridica valida e, ove si tratti di minori al di sotto dell’età legale applicabile, di un consenso genitoriale verificato.

Per come è progettato ARShades, non creiamo account, non richiediamo nomi o dati di contatto e non generiamo identificativi persistenti: l’elaborazione facciale avviene localmente sul dispositivo e i dati tecnici e di sessione eventualmente conservati (ad es. indirizzo IP) sono dissociati da ogni altro dato entro i termini indicati alla sez. 6. Di conseguenza non deteniamo dati riconducibili a un minore identificato o identificabile.

Qualora un genitore o tutore ritenga che il proprio figlio abbia utilizzato il servizio senza il loro consenso, può contattarci all’indirizzo privacy@spaarkly.com per richiedere la cancellazione dei dati, indicando l’indirizzo IP utilizzato ed eventualmente la data e l’ora approssimative della sessione. Ove tali elementi ci consentano di individuare i dati di riferimento, adotteremo immediatamente misure per cancellarli; in caso contrario, ricordiamo che i dati tecnici sono comunque soggetti ai limiti di conservazione e cancellazione automatica descritti alla sez. 6.

12. DIRITTI DELL’INTERESSATO

Ai sensi del GDPR e delle normative equivalenti, gli Utenti godono dei seguenti diritti:

Diritto di accesso

• Richiedere conferma che sia o meno in corso un trattamento dei propri dati personali.
• Ottenere accesso alle informazioni pertinenti, quali finalità, categorie di dati trattati, destinatari o categorie di destinatari, periodo di conservazione, ecc.

Diritto di rettifica

• Richiedere la correzione di dati inesatti o incompleti.

Diritto alla cancellazione (“diritto all’oblio”)

• Richiedere la cancellazione dei dati personali se:
  • i dati non sono più necessari rispetto alle finalità per cui sono stati raccolti;
  • viene revocato il consenso, ove il trattamento sia basato sul consenso;
  • i dati sono stati trattati illecitamente.

Diritto alla limitazione del trattamento

• Richiedere la limitazione del trattamento se:
  • si contesta l’esattezza dei dati;
  • il trattamento è illecito, ma ci si oppone alla cancellazione;
  • i dati sono necessari per l’accertamento, l’esercizio o la difesa di un diritto in sede giudiziaria, anche se il Titolare non ne ha più bisogno;
  • ci si oppone al trattamento, in attesa della verifica dei motivi legittimi.

Diritto alla portabilità dei dati

• Ricevere i propri dati personali in un formato strutturato, di uso comune e leggibile da dispositivo automatico.
• Richiedere la trasmissione diretta a un altro Titolare, ove tecnicamente fattibile.

Diritto di opposizione

• Opporsi al trattamento basato sul legittimo interesse.

Diritto di revocare il consenso

• Revocare il consenso in qualsiasi momento quando il trattamento è basato sul consenso.

Interfaccia di gestione del consenso

Per agevolare l’esercizio del diritto di revoca del consenso, ARShades fornisce un’icona dedicata alla gestione cookie/consenso all’interno dell’interfaccia Virtual Try-On. Cliccando su tale icona, l’Utente può:

• visualizzare lo stato attuale del proprio consenso;
• accedere alla nostra Informativa Privacy completa;
• revocare il consenso precedentemente prestato.

Quando il consenso viene revocato, eliminiamo immediatamente i dati di consenso sia dai cookie sia dal local storage, interrompiamo la sessione VTO corrente e richiediamo un nuovo consenso per qualsiasi successivo utilizzo dei nostri servizi. Tale meccanismo garantisce all’Utente il pieno controllo sui propri dati in ogni momento.

Esercizio dei diritti

Poiché ARShades non richiede registrazione utente né raccoglie identificativi personali diretti quali nomi o indirizzi email, potrebbe essere necessario fornire ulteriori informazioni per verificare l’identità, quali indirizzo IP, informazioni del dispositivo o dettagli della sessione, al fine di verificare e gestire le richieste relative ai dati. Ciò è necessario per associare la richiesta ai dati tecnici conservati.

Se un utente non può fornire il proprio indirizzo IP o altri dettagli identificativi della sessione, potremmo non essere in grado di soddisfare determinate richieste, come la cancellazione dei dati, poiché ARShades non mantiene profili personalmente identificabili.

Le richieste devono essere inviate via email al Titolare del trattamento all’indirizzo: privacy@spaarkly.com

Se ritiene che i Suoi dati siano stati trattati illecitamente, ha il diritto di proporre reclamo a:

• il Garante per la Protezione dei Dati Personali italiano: www.garanteprivacy.it;
• un’altra autorità di controllo competente nel Suo Paese di residenza.

13. MODIFICHE ALLA PRESENTE INFORMATIVA PRIVACY

Possiamo aggiornare periodicamente la presente Informativa Privacy per riflettere:

• modifiche ai nostri Servizi;
• aggiornamenti della tecnologia;
• nuovi requisiti legali;
• modifiche interne alle policy.

Quando vengono apportati aggiornamenti, modificheremo la data di “Ultimo aggiornamento” all’inizio del presente documento.

Invitiamo gli Utenti a consultare periodicamente la presente Informativa Privacy per restare informati su come proteggiamo i loro dati.

14. INFORMAZIONI DI CONTATTO

Il Titolare del trattamento è: Spaarkly s.r.l. Indirizzo: Via della Tecnica n. 18, 85100 Potenza, Italia Email: privacy@spaarkly.com

Per ulteriori informazioni o richieste relative ai Suoi dati personali, La invitiamo a contattarci all’indirizzo email indicato.

---

ADDENDA NORMATIVI

Introduzione agli Addenda Normativi

La presente Informativa Privacy stabilisce il quadro generale per la protezione dei dati personali, basato principalmente sul GDPR. Tuttavia, in alcune giurisdizioni possono applicarsi requisiti aggiuntivi o differenti.

I seguenti Addenda Normativi integrano o modificano il corpo principale dell’Informativa. Ciascun Addendum specifica, per l’area geografica o il Paese pertinente:

• diritti aggiuntivi o differenti rispetto a quelli descritti nella Policy principale;
• modalità di esercizio di tali diritti, inclusi contatti locali, procedure e tempi di risposta;
• eventuali requisiti aggiuntivi di consenso;
• specifici requisiti di conservazione dei dati;
• obblighi locali di notifica in caso di data breach;
• regole sui trasferimenti di dati, incluse clausole contrattuali standard e requisiti locali.

Le disposizioni generali della presente Informativa Privacy si applicano nella misura in cui non siano in conflitto con i termini degli Addenda. In caso di conflitto, prevalgono le disposizioni dell’Addendum applicabile.

Invitiamo gli Utenti a leggere attentamente l’Addendum applicabile al proprio Paese o regione di residenza.

Indice degli Addenda regionali e nazionali

1. Unione Europea / Spazio Economico Europeo / Regno Unito
2. Svizzera
3. Stati Uniti
4. Canada
5. Australia e Nuova Zelanda
6. Regione Asia-Pacifico
7. Brasile e America Latina
8. Giappone
9. Cina
10. Sudafrica
11. India
12. Medio Oriente
13. Altri Paesi

A. REGNO UNITO (UK GDPR) / UNIONE EUROPEA E SPAZIO ECONOMICO EUROPEO (UE/SEE)

Gli utenti residenti nel Regno Unito e nell’UE/SEE beneficiano dei diritti previsti dall’UK GDPR e dal GDPR UE, come descritti nel corpo principale della presente Informativa Privacy. Per i trasferimenti di dati al di fuori del Regno Unito o dell’UE/SEE, Spaarkly garantisce la conformità alle leggi applicabili, incluso l’utilizzo delle Clausole Contrattuali Standard (SCC) approvate dalla Commissione Europea per i trasferimenti UE/SEE e delle SCC approvate dall’ICO per i trasferimenti dal Regno Unito.

Diritti aggiuntivi o differenziati

Non vi sono differenze sostanziali tra i diritti previsti dall’UK GDPR e quelli previsti dal GDPR UE. Gli utenti di entrambe le giurisdizioni mantengono gli stessi diritti fondamentali di accesso, rettifica, cancellazione, limitazione, opposizione e portabilità dei dati descritti nella Policy principale.

Esercizio dei diritti

Gli utenti nel Regno Unito e nell’UE/SEE possono esercitare i propri diritti contattando privacy@spaarkly.com. Possono inoltre rivolgersi alla competente autorità di controllo:

• Utenti UE/SEE: l’Autorità Garante per la protezione dei dati del rispettivo Stato membro.
• Utenti UK: l’Information Commissioner’s Office (ICO) (https://ico.org.uk/).

Obblighi di notifica in caso di data breach

In caso di violazione dei dati personali, Spaarkly notificherà l’autorità di controllo competente entro 72 ore dal momento in cui ne venga a conoscenza, in conformità all’art. 33 GDPR e ai requisiti di segnalazione dell’ICO nel Regno Unito.

Trasferimenti internazionali di dati

Per i trasferimenti al di fuori dell’UE/SEE e del Regno Unito, Spaarkly garantisce l’adozione di garanzie adeguate, tra cui:

• Clausole Contrattuali Standard (SCC) della Commissione Europea per i trasferimenti dall’UE/SEE;
• SCC approvate dall’ICO per i trasferimenti dal Regno Unito;
• garanzie aggiuntive ove necessario, in linea con le linee guida dell’European Data Protection Board (EDPB) e dell’ICO.

Spaarkly non trasferisce dati personali verso giurisdizioni prive di un livello adeguato di protezione, salvo che siano in essere SCC o altri meccanismi giuridicamente riconosciuti.

B. SVIZZERA (FADP – FEDERAL ACT ON DATA PROTECTION)

Gli utenti residenti in Svizzera beneficiano di diritti di protezione dei dati sostanzialmente equivalenti a quelli previsti dal GDPR, poiché la normativa svizzera è strettamente allineata agli standard europei.

Diritti aggiuntivi o differenziati ai sensi del FADP

Gli utenti svizzeri hanno il diritto di:

• accedere ai propri dati personali trattati da Spaarkly;
• richiedere la correzione o la cancellazione di dati inesatti o non necessari;
• opporsi al trattamento dei dati per finalità di marketing diretto.

Esercizio dei diritti

Gli utenti svizzeri possono inviare richieste via email a privacy@spaarkly.com. Per eventuali reclami, possono inoltre contattare l’Incaricato federale della protezione dei dati e della trasparenza (IFPDT/FDPIC) all’indirizzo www.edoeb.admin.ch.

Requisiti di conservazione dei dati

Applichiamo i principi generali di conservazione dei dati descritti nella presente Informativa Privacy. I dati personali sono conservati solo per il tempo necessario al raggiungimento della finalità prevista e sono anonimizzati entro 14 mesi. Qualora la legge svizzera preveda periodi di conservazione specifici, Spaarkly vi si conforma.

Obblighi di notifica in caso di data breach

In caso di violazione dei dati che comporti un rischio elevato per i diritti degli individui, Spaarkly informerà:

• l’Incaricato federale della protezione dei dati e della trasparenza (FDPIC);
• gli interessati, ove richiesto dalla legge svizzera.

Trasferimenti internazionali di dati

I dati personali degli utenti svizzeri non sono trasferiti al di fuori della Svizzera, salvo che:

• il Paese di destinazione sia ritenuto dotato di un livello adeguato di protezione dalle autorità svizzere;
• siano implementate Clausole Contrattuali Standard (SCC) approvate dalla Commissione Europea per i trasferimenti verso UE/SEE;
• siano adottate altre garanzie conformi al FADP svizzero per proteggere i dati trasferiti.

C. STATI UNITI — ADDENDUM USA

Gli Stati Uniti non dispongono di una legge federale generale sulla protezione dei dati applicabile a tutti gli Stati. Spaarkly si conforma pertanto alle leggi sulla privacy applicabili a livello statale. Il presente Addendum si applica ai residenti negli Stati Uniti e integra l’Informativa Privacy ARShades. Esso disciplina la conformità alle leggi federali e statali in materia di privacy, tra cui, a titolo esemplificativo:

• California: California Consumer Privacy Act (CCPA) e California Privacy Rights Act (CPRA);
• Virginia: Virginia Consumer Data Protection Act (VCDPA);
• Colorado: Colorado Privacy Act (CPA);
• Connecticut: Connecticut Data Privacy Act (CTDPA);
• Utah: Utah Consumer Privacy Act (UCPA);
• Montana: Montana Consumer Data Privacy Act (MCDPA);
• Oregon: Oregon Consumer Privacy Act (OCPA);
• Illinois: Biometric Information Privacy Act (BIPA);
• Texas: Capture or Use of Biometric Identifier Act (CUBI) e Texas Data Privacy and Security Act (TDPSA);
• Washington: legge sulla privacy biometrica (RCW 19.375);
• altre leggi statali applicabili in materia di privacy.

Le disposizioni del presente Addendum si applicano in aggiunta a quelle della Policy principale. In caso di conflitto, per i residenti USA prevale il presente Addendum.

Diritti e normative specifici per Stato

1. California (CCPA/CPRA)

I residenti in California hanno diritto di:

• sapere quali categorie di dati personali raccogliamo;
• comprendere le finalità del trattamento;
• richiedere la cancellazione dei propri dati personali, con le eccezioni consentite dalla legge;
• opporsi alla vendita o condivisione dei propri dati, ove applicabile;
• non subire discriminazioni per l’esercizio dei propri diritti privacy.

2. Virginia, Colorado, Connecticut, Utah, Montana e Oregon

I residenti in tali Stati godono di diritti simili a quelli previsti dal CCPA, tra cui:

• diritti di accesso, rettifica e cancellazione;
• diritti di opt-out rispetto alla pubblicità mirata o alla vendita di dati personali, ove applicabile. Sebbene ARShades non svolga tali attività, i residenti in Montana e Oregon possono comunque richiedere conferma contattando Spaarkly.

3. Illinois (BIPA), Texas (CUBI), Washington (RCW 19.375)

• Spaarkly non raccoglie dati biometrici come definiti da tali leggi.
• ARShades tratta esclusivamente punti matematici di landmark facciali per finalità di virtual try-on e, tramite AR PD Meter, di calcolo della distanza pupillare, i quali:
  • non possono essere utilizzati per identificare univocamente una persona;
  • per il Virtual Try-On, sono trattati localmente sul dispositivo dell’utente e mai conservati;
  • per AR PD Meter, possono essere trasmessi temporaneamente, quali dati tecnici derivati non utilizzati per identificare l’Utente e non idonei, di per sé, a identificarlo, al backend ARShades situato nell’Unione Europea, utilizzati esclusivamente per restituire il risultato della misurazione e scartati dopo l’elaborazione, senza mai essere conservati;
  • non creano un identificativo persistente collegato a un individuo.

4. Altri Stati USA

• Alcuni Stati non dispongono ancora di leggi privacy generali.
• In tali casi, Spaarkly segue i principi generali descritti nella presente Informativa Privacy e si conforma a qualsiasi normativa statale applicabile.

Come esercitare i diritti

I residenti USA possono contattarci all’indirizzo privacy@spaarkly.com, specificando lo Stato di residenza.

Potremmo richiedere ulteriori informazioni per la verifica dell’identità, ad esempio dati del dispositivo o indirizzo IP, per gestire la richiesta.

Informativa e consenso specifici per gli Stati con normativa biometrica

Sebbene la nostra tecnologia non raccolga né conservi informazioni biometriche come definite dalla legge, forniamo la presente informativa aggiuntiva e richiediamo il consenso esplicito all’utilizzo della nostra tecnologia di virtual try-on e di misurazione.

Prima dell’avvio dell’esperienza, l’Utente presta un consenso espresso — mediante l’apposita casella di accettazione della presente Informativa — all’uso della tecnologia di rilevamento facciale come descritta nella presente Informativa Privacy.

È possibile revocare tale consenso in qualsiasi momento interrompendo l’uso della funzionalità virtual try-on o disabilitando l’accesso alla fotocamera nelle impostazioni del dispositivo.

Requisiti di conservazione dei dati

Come indicato nella Policy principale:

• qualsiasi dato di misurazione facciale è trattato in tempo reale e non è mai conservato oltre la sessione immediata;
• i dati tecnici derivati trasmessi temporaneamente al backend ARShades per AR PD Meter sono utilizzati solo per restituire il risultato della misurazione e scartati dopo l’elaborazione;
• i dati di sessione e del dispositivo sono anonimizzati e dissociati entro 14 mesi.

Obblighi di notifica in caso di data breach

Poiché Spaarkly non raccoglie informazioni di contatto degli utenti, non è possibile notificare direttamente i singoli individui in caso di data breach. In conformità alle leggi statali in materia di violazione dei dati, Spaarkly notificherà le autorità statali competenti ove richiesto.

Se imposto dalla legge, Spaarkly pubblicherà una comunicazione pubblica sul proprio sito web o attraverso altri canali appropriati.

Regole sui trasferimenti di dati

I dati tecnici e di sessione descritti nella presente Informativa, inclusi i dati tecnici derivati trattati temporaneamente per AR PD Meter, sono trattati su server situati nell’Unione Europea (UE), dove ricevono le protezioni previste dal GDPR.

Ciò comporta che alcuni dati generati dall’utilizzo dei Servizi negli Stati Uniti siano trattati nell’UE. La legge statunitense non limita tali trasferimenti; i dati trasferiti non identificano direttamente l’Utente, sono protetti da misure tecniche e organizzative adeguate e sono scartati o anonimizzati secondo i termini della presente Informativa.

Qualora in futuro si rendesse necessario trasferire dati personali dall’UE/SEE verso gli Stati Uniti, ciò avverrebbe esclusivamente con le garanzie previste dal GDPR, quali le Clausole Contrattuali Standard (SCC) o l’EU-U.S. Data Privacy Framework (DPF).

Rinuncia ad azioni collettive e al processo con giuria

PER GLI UTENTI UBICATI NEGLI STATI UNITI: NELLA MISURA MASSIMA CONSENTITA DALLA LEGGE, L’UTENTE E SPAARKLY ACCETTANO DI RINUNCIARE AL DIRITTO A UN PROCESSO CON GIURIA O A PARTECIPARE COME ATTORE O MEMBRO DI UNA CLASSE IN QUALSIASI PRESUNTA AZIONE COLLETTIVA, PROCEDIMENTO RAPPRESENTATIVO O AZIONE DI PRIVATE ATTORNEY GENERAL.

Salvo diverso accordo tra l’Utente e Spaarkly, ogni procedimento di risoluzione delle controversie sarà condotto esclusivamente su base individuale. Se, per qualsiasi ragione, una controversia procede dinanzi a un tribunale anziché in arbitrato, l’Utente e Spaarkly rinunciano ciascuno a qualsiasi diritto a un processo con giuria.

Tale rinuncia potrebbe non essere applicabile in tutti gli Stati. Laddove non sia applicabile ai sensi della legge statale, le controversie saranno risolte secondo i requisiti dello Stato applicabile.

D. CANADA (PIPEDA — PERSONAL INFORMATION PROTECTION AND ELECTRONIC DOCUMENTS ACT)

Gli utenti in Canada sono protetti dal Personal Information Protection and Electronic Documents Act (PIPEDA) e dalle leggi provinciali sulla privacy, tra cui la Law 25 del Quebec (già Bill 64), il Personal Information Protection Act (PIPA) della British Columbia e il Personal Information Protection Act (PIPA) dell’Alberta.

Conformità a PIPEDA e alle leggi provinciali sulla privacy

Spaarkly opera in Canada e aderisce ai principi PIPEDA. Il suo attuale modello di trattamento dei dati è il seguente:

• i dati facciali utilizzati per il Virtual Try-On sono trattati localmente sul dispositivo e non sono conservati; per AR PD Meter, dati tecnici derivati, non utilizzati per identificare l’Utente e non idonei, di per sé, a identificarlo, possono essere trasmessi temporaneamente al backend ARShades situato nell’Unione Europea, utilizzati esclusivamente per restituire il risultato della misurazione e scartati dopo l’elaborazione;
• non sono raccolti dati biometrici o univocamente identificativi, né nomi, dati di contatto o profili utente;
• i dati di sessione e del dispositivo (incluso l’indirizzo IP) sono conservati su server situati nell’Unione Europea e anonimizzati entro 14 mesi; le eventuali foto finali richieste dall’Utente da dispositivi in-store sono cancellate entro il giorno successivo alla sessione. Ciò può comportare un trasferimento di tali dati verso l’UE, con le garanzie descritte nella sezione “Trasferimenti internazionali” del presente Addendum.

Poiché Spaarkly non tratta dati idonei a identificare direttamente gli Utenti (quali nomi, dati di contatto o identificativi persistenti), alcuni obblighi PIPEDA, come l’ottenimento del consenso per usi secondari dei dati o il mantenimento di registri dettagliati delle attività di trattamento, non si applicano in senso stretto.

Diritti degli utenti ai sensi del PIPEDA

Gli utenti in Canada godono di diritti analoghi a quelli previsti dal GDPR, tra cui:

• diritto di accesso: richiedere una copia dei propri dati personali e informazioni sul loro utilizzo;
• diritto di rettifica: richiedere la correzione di dati inesatti o incompleti;
• diritto di revocare il consenso: revocare il consenso precedentemente prestato in qualsiasi momento;
• diritto di contestare la conformità: contestare la conformità di un’organizzazione ai principi PIPEDA;
• diritto di ricorso: proporre reclamo all’autorità competente per la protezione dei dati.

Esercizio dei diritti

Gli utenti canadesi possono esercitare i propri diritti contattando privacy@spaarkly.com.

Per verificare l’identità, possono essere richieste informazioni aggiuntive quali indirizzo IP o identificativi del dispositivo prima di gestire le richieste.

Se gli utenti non sono soddisfatti della nostra risposta, possono rivolgersi a:

• Office of the Privacy Commissioner of Canada (OPC) (https://www.priv.gc.ca/en/);
• commissari provinciali per la privacy in British Columbia, Alberta o Quebec, ove applicabile.

Conservazione dei dati e misure di sicurezza

Il PIPEDA richiede che i dati personali siano conservati solo per il tempo necessario alla finalità prevista.

• Spaarkly garantisce che i dati di sessione e del dispositivo siano anonimizzati entro 14 mesi, in conformità alle migliori prassi.
• Sono adottate solide misure tecniche e organizzative per prevenire accessi non autorizzati, fughe di dati o usi impropri.

Obblighi di notifica in caso di data breach

• In caso di violazione dei dati che presenti un rischio reale di danno significativo, Spaarkly notificherà:
  • l’Office of the Privacy Commissioner of Canada (OPC);
  • i commissari provinciali per la privacy, ove richiesto dalla legge provinciale;
  • ove legalmente richiesto, una comunicazione pubblica sarà pubblicata sul sito di Spaarkly o tramite altri canali appropriati.
• Poiché Spaarkly non raccoglie informazioni di contatto degli utenti, non è possibile inviare notifiche individuali.

Trasferimenti internazionali e garanzia di conformità

I dati tecnici e di sessione descritti nella presente Informativa, inclusi i dati tecnici derivati trattati temporaneamente per AR PD Meter, sono trattati su server situati nell’Unione Europea. Ciò può comportare un trasferimento di dati al di fuori del Canada verso l’UE, giurisdizione che assicura un livello elevato di protezione dei dati personali. Tali dati non identificano direttamente l’Utente e sono protetti mediante garanzie contrattuali e misure tecniche e organizzative adeguate, in conformità al principio di responsabilizzazione (Accountability) del PIPEDA.

Qualora un’autorità canadese richiedesse garanzie aggiuntive, Spaarkly adotterà immediatamente tutte le misure di conformità necessarie, tra cui:

• garantire la conformità al principio di responsabilizzazione (Accountability) del PIPEDA in relazione ai trasferimenti internazionali;
• implementare Clausole Contrattuali Standard (SCC) o altri meccanismi di trasferimento giuridicamente riconosciuti, ove necessario;
• fornire informazioni chiare e accessibili su potenziali trasferimenti transfrontalieri e sui rischi connessi.

Poiché Spaarkly rimane impegnata alla piena conformità al PIPEDA e alle leggi provinciali sulla privacy, monitorerà gli sviluppi normativi e adatterà le proprie pratiche di trattamento qualora le autorità richiedano ulteriori garanzie.

E. AUSTRALIA E NUOVA ZELANDA

Gli utenti in Australia e Nuova Zelanda sono protetti dalle rispettive leggi generali sulla privacy:

• Australia: Privacy Act 1988 (Cth), inclusi gli Australian Privacy Principles (APPs), e Privacy Amendment (Notifiable Data Breaches) Act 2017;
• Nuova Zelanda: Privacy Act 2020, inclusi gli Information Privacy Principles (IPPs), regolato dall’Office of the Privacy Commissioner (OPC).

Conformità alle leggi privacy australiane e neozelandesi

Spaarkly opera in Australia e Nuova Zelanda e aderisce ai principi previsti dalle leggi privacy di tali giurisdizioni. Il suo attuale modello di trattamento dei dati è il seguente:

• i dati facciali utilizzati per il Virtual Try-On sono trattati localmente sul dispositivo e non sono conservati; per AR PD Meter, dati tecnici derivati, non utilizzati per identificare l’Utente e non idonei, di per sé, a identificarlo, possono essere trasmessi temporaneamente al backend ARShades situato nell’Unione Europea, utilizzati esclusivamente per restituire il risultato della misurazione e scartati dopo l’elaborazione;
• non sono raccolti dati biometrici o univocamente identificativi, né nomi, dati di contatto o profili utente;
• i dati di sessione e del dispositivo (incluso l’indirizzo IP) sono conservati su server situati nell’Unione Europea e anonimizzati entro 14 mesi; le eventuali foto finali richieste dall’Utente da dispositivi in-store sono cancellate entro il giorno successivo alla sessione. Ciò può comportare un trasferimento di tali dati verso l’UE, con le garanzie descritte nella sezione “Trasferimenti internazionali” del presente Addendum.

Poiché Spaarkly non tratta dati idonei a identificare direttamente gli Utenti (quali nomi, dati di contatto o identificativi persistenti), alcuni obblighi previsti dall’Australian Privacy Act e dal New Zealand Privacy Act, quali l’elaborazione di un piano completo di gestione della privacy o il mantenimento di registri dettagliati delle attività di trattamento, non si applicano in senso stretto.

Diritti degli utenti ai sensi delle leggi privacy australiane e neozelandesi

Gli utenti in Australia e Nuova Zelanda hanno diritti privacy che includono:

• diritto di accesso: richiedere accesso ai propri dati personali detenuti da un’organizzazione;
• diritto di correzione: richiedere la correzione di dati inesatti, non aggiornati, incompleti o fuorvianti;
• diritto di opposizione: opporsi a determinate tipologie di trattamento, in particolare marketing diretto in Australia e trattamenti suscettibili di causare danni, disagio o pregiudizi significativi in Nuova Zelanda;
• diritto di reclamo: presentare reclamo all’autorità privacy competente qualora ritengano violati i propri diritti;
• diritto a rimedi: ottenere rimedi per violazioni privacy, inclusi correzione, scuse o risarcimento, ove applicabile.

Esercizio dei diritti

Gli utenti in Australia e Nuova Zelanda possono esercitare i propri diritti contattando privacy@spaarkly.com.

Può essere richiesta una verifica dell’identità, ad esempio tramite indirizzo IP o identificativi del dispositivo, prima della gestione delle richieste.

Se gli utenti non sono soddisfatti della risposta di Spaarkly, possono rivolgersi a:

• Office of the Australian Information Commissioner (OAIC) (https://www.oaic.gov.au/);
• Office of the Privacy Commissioner (OPC) della Nuova Zelanda (https://www.privacy.org.nz/).

Conservazione dei dati e misure di sicurezza

Sia l’Australian Privacy Act sia il Privacy Act della Nuova Zelanda richiedono che i dati personali non siano conservati più a lungo del necessario rispetto alla finalità prevista.

• Spaarkly garantisce che i dati di sessione e del dispositivo siano anonimizzati entro 14 mesi, in conformità alle migliori prassi.
• Sono adottate solide misure tecniche e organizzative per prevenire accessi non autorizzati, fughe di dati o usi impropri, in conformità ad APP 11 in Australia e IPP 5 in Nuova Zelanda.

Obblighi di notifica in caso di data breach

• In caso di violazione dei dati idonea a determinare un danno grave per gli interessati, Spaarkly notificherà:
  • l’Office of the Australian Information Commissioner (OAIC) ai sensi del regime Notifiable Data Breaches (NDB), completando la valutazione dell’incidente entro 30 giorni e provvedendo alla notifica non appena ragionevolmente praticabile;
  • l’Office of the Privacy Commissioner (OPC) della Nuova Zelanda non appena possibile, in conformità ai requisiti obbligatori di notifica previsti dal Privacy Act 2020.
• Poiché Spaarkly non raccoglie informazioni di contatto degli utenti, non è possibile inviare notifiche individuali direttamente. Ove legalmente richiesto, Spaarkly pubblicherà una comunicazione pubblica sul proprio sito web o tramite altri canali appropriati.

Trasferimenti internazionali e garanzia di conformità

I dati tecnici e di sessione descritti nella presente Informativa, inclusi i dati tecnici derivati trattati temporaneamente per AR PD Meter, sono trattati su server situati nell’Unione Europea. Ciò può comportare un trasferimento di dati al di fuori dell’Australia o della Nuova Zelanda verso l’UE, giurisdizione che assicura un livello elevato di protezione dei dati personali. Tali dati non identificano direttamente l’Utente e sono protetti mediante garanzie contrattuali e misure tecniche e organizzative adeguate, in linea con APP 8 in Australia e IPP 12 in Nuova Zelanda.

Qualora un’autorità richiedesse garanzie aggiuntive, Spaarkly adotterà immediatamente tutte le misure di conformità necessarie, tra cui:

• garantire la conformità ad APP 8 e alla Section 16C dell’Australian Privacy Act in materia di comunicazioni transfrontaliere;
• implementare le garanzie appropriate richieste da IPP 12 del New Zealand Privacy Act 2020 per i trasferimenti verso l’estero;
• fornire informazioni chiare agli utenti sui potenziali trasferimenti transfrontalieri e mantenere la responsabilizzazione in materia di protezione dei dati.

Poiché Spaarkly rimane impegnata alla piena conformità alle leggi privacy australiane e neozelandesi, monitorerà gli sviluppi normativi e adatterà le proprie pratiche di trattamento qualora le autorità richiedano ulteriori garanzie.

F. REGIONE ASIA-PACIFICO

Gli utenti nella regione Asia-Pacifico sono protetti da diverse leggi nazionali generali sulla protezione dei dati, tra cui:

• Singapore: Personal Data Protection Act (PDPA) del 2012, come modificato nel 2020, applicato dalla Personal Data Protection Commission (PDPC);
• Malaysia: Personal Data Protection Act (PDPA) del 2010, applicato dal Personal Data Protection Department (JPDP);
• Filippine: Data Privacy Act (DPA) del 2012, applicato dalla National Privacy Commission (NPC);
• Indonesia: Personal Data Protection Law (PDP Law) del 2022, modellata sul GDPR;
• Thailandia: Personal Data Protection Act (PDPA) del 2019, applicato dal Personal Data Protection Committee (PDPC);
• Corea del Sud: Personal Information Protection Act (PIPA), applicato dalla Personal Information Protection Commission (PIPC);
• altre giurisdizioni con quadri normativi emergenti in materia di protezione dei dati.

Conformità alle leggi sulla protezione dei dati dell’Asia-Pacifico

Spaarkly opera nella regione Asia-Pacifico e aderisce ai principi stabiliti dalle leggi privacy di tali giurisdizioni. Il suo attuale modello di trattamento dei dati è il seguente:

• i dati facciali utilizzati per il Virtual Try-On sono trattati localmente sul dispositivo e non sono conservati; per AR PD Meter, dati tecnici derivati, non utilizzati per identificare l’Utente e non idonei, di per sé, a identificarlo, possono essere trasmessi temporaneamente al backend ARShades situato nell’Unione Europea, utilizzati esclusivamente per restituire il risultato della misurazione e scartati dopo l’elaborazione;
• non sono raccolti dati biometrici o univocamente identificativi, né nomi, dati di contatto o profili utente;
• i dati di sessione e del dispositivo (incluso l’indirizzo IP) sono conservati su server situati nell’Unione Europea e anonimizzati entro 14 mesi; le eventuali foto finali richieste dall’Utente da dispositivi in-store sono cancellate entro il giorno successivo alla sessione. Ciò può comportare un trasferimento di tali dati verso l’UE, con le garanzie descritte nella sezione “Trasferimenti internazionali” del presente Addendum.

Poiché Spaarkly non tratta dati idonei a identificare direttamente gli Utenti (quali nomi, dati di contatto o identificativi persistenti), alcuni obblighi previsti dalle leggi privacy dell’Asia-Pacifico, quali valutazioni d’impatto sulla protezione dei dati, registrazione presso autorità o registri dettagliati delle attività di trattamento, non si applicano in senso stretto nella maggior parte dei casi.

Diritti degli utenti ai sensi delle leggi privacy dell’Asia-Pacifico

Gli utenti nei Paesi dell’Asia-Pacifico dotati di leggi generali sulla protezione dei dati godono generalmente di diritti simili a quelli previsti dal GDPR, tra cui:

• diritto di accesso: richiedere informazioni sulla raccolta, l’uso e la comunicazione dei dati personali;
• diritto di correzione: richiedere la correzione di dati personali inesatti o incompleti;
• diritto di revoca del consenso: revocare il consenso precedentemente prestato;
• diritto alla portabilità dei dati: richiedere il trasferimento dei dati a un’altra organizzazione, in giurisdizioni come Singapore e Filippine;
• diritto alla cancellazione: richiedere la cancellazione dei dati personali in specifiche condizioni, a seconda della giurisdizione;
• diritto di opposizione: opporsi al trattamento per marketing diretto o altre finalità, a seconda della giurisdizione.

Esercizio dei diritti

Gli utenti nei Paesi dell’Asia-Pacifico possono esercitare i propri diritti contattando privacy@spaarkly.com.

Può essere richiesta la verifica dell’identità, ad esempio tramite indirizzo IP o identificativi del dispositivo, prima della gestione delle richieste.

Se gli utenti non sono soddisfatti della risposta di Spaarkly, possono rivolgersi alla propria autorità nazionale competente per la protezione dei dati:

• Personal Data Protection Commission (PDPC) di Singapore (https://www.pdpc.gov.sg/);
• Personal Data Protection Department (JPDP) della Malaysia (https://www.pdp.gov.my/);
• National Privacy Commission (NPC) delle Filippine (https://privacy.gov.ph/);
• Personal Data Protection Committee (PDPC) della Thailandia;
• Personal Information Protection Commission (PIPC) della Corea del Sud;
• altre autorità nazionali competenti, ove applicabile.

Conservazione dei dati e misure di sicurezza

Le leggi sulla protezione dei dati nella regione Asia-Pacifico generalmente richiedono che i dati personali siano conservati solo per il tempo necessario alla finalità prevista e successivamente eliminati in modo sicuro.

• Spaarkly garantisce che i dati di sessione e del dispositivo siano anonimizzati entro 14 mesi, in conformità alle migliori prassi.
• Sono adottate solide misure tecniche e organizzative per prevenire accessi non autorizzati, fughe di dati o usi impropri, incluse cifratura, controlli di accesso e valutazioni periodiche della sicurezza.

Obblighi di notifica in caso di data breach

• In caso di violazione dei dati idonea a causare danno agli individui, Spaarkly notificherà:
  • la competente autorità per la protezione dei dati, secondo i requisiti locali:
    • Singapore: entro 3 giorni per le violazioni notificabili;
    • Filippine: entro 72 ore;
    • Thailandia: senza ingiustificato ritardo, entro 72 ore;
    • Corea del Sud: senza ritardo;
    • altre giurisdizioni secondo le rispettive tempistiche.
• Poiché Spaarkly non raccoglie informazioni di contatto degli utenti, non è possibile inviare notifiche individuali direttamente. Ove legalmente richiesto, Spaarkly pubblicherà una comunicazione pubblica sul proprio sito web o tramite altri canali appropriati.

Trasferimenti internazionali e garanzia di conformità

I dati tecnici e di sessione descritti nella presente Informativa, inclusi i dati tecnici derivati trattati temporaneamente per AR PD Meter, sono trattati su server situati nell’Unione Europea. Ciò può comportare un trasferimento di dati al di fuori del Paese dell’Utente verso l’UE, giurisdizione che assicura un livello elevato di protezione dei dati personali. Tali dati non identificano direttamente l’Utente e sono protetti mediante garanzie contrattuali e misure tecniche e organizzative adeguate, in modo da assicurare un livello di protezione comparabile a quello richiesto dalle leggi locali applicabili.

Qualora un’autorità richiedesse garanzie aggiuntive, Spaarkly adotterà immediatamente tutte le misure di conformità necessarie, tra cui:

• garantire la conformità a specifiche disposizioni sui trasferimenti, quali:
  • l’obbligo di limitazione dei trasferimenti del PDPA di Singapore e i relativi requisiti per trasferimenti all’estero;
  • le regole del DPA delle Filippine sulla condivisione transfrontaliera dei dati;
  • il divieto del PDPA della Malaysia di trasferimento verso determinati Paesi;
  • i requisiti del PIPA della Corea del Sud per i trasferimenti all’estero;
• implementare meccanismi di trasferimento giuridicamente riconosciuti, quali consenso, garanzie contrattuali, norme vincolanti d’impresa o meccanismi di certificazione;
• fornire informazioni chiare agli utenti sui potenziali trasferimenti transfrontalieri e mantenere la responsabilizzazione in materia di protezione dei dati.

Poiché Spaarkly rimane impegnata alla piena conformità alle leggi privacy dell’Asia-Pacifico, monitorerà gli sviluppi normativi in ciascuna giurisdizione e adatterà le proprie pratiche di trattamento qualora le autorità richiedano ulteriori garanzie.

G. BRASILE E AMERICA LATINA

Gli utenti in Brasile e America Latina sono protetti da diverse leggi nazionali generali sulla protezione dei dati, tra cui:

• Brasile: Lei Geral de Proteção de Dados (LGPD) del 2018, applicata dall’Autoridade Nacional de Proteção de Dados (ANPD);
• Messico: Ley Federal de Protección de Datos Personales en Posesión de los Particulares (LFPDPPP) del 2010, applicata dall’Instituto Nacional de Transparencia, Acceso a la Información y Protección de Datos Personales (INAI);
• Argentina: Personal Data Protection Act (PDPA), legge n. 25.326, applicata dall’Agencia de Acceso a la Información Pública (AAIP);
• Colombia: Law 1581 of 2012 sul regime generale di protezione dei dati, applicata dalla Superintendencia de Industria y Comercio (SIC);
• Cile: Law No. 19.628 on the Protection of Private Life, con riforme normative in corso;
• Uruguay: Law No. 18.331 on Personal Data Protection and Habeas Data Action, applicata dall’Unidad Reguladora y de Control de Datos Personales (URCDP);
• altre giurisdizioni con quadri normativi emergenti in materia di protezione dei dati.

Conformità alle leggi latinoamericane sulla protezione dei dati

Spaarkly opera in America Latina e aderisce ai principi stabiliti dalle leggi privacy di tali giurisdizioni. Il suo attuale modello di trattamento dei dati è il seguente:

• i dati facciali utilizzati per il Virtual Try-On sono trattati localmente sul dispositivo e non sono conservati; per AR PD Meter, dati tecnici derivati, non utilizzati per identificare l’Utente e non idonei, di per sé, a identificarlo, possono essere trasmessi temporaneamente al backend ARShades situato nell’Unione Europea, utilizzati esclusivamente per restituire il risultato della misurazione e scartati dopo l’elaborazione;
• non sono raccolti dati biometrici o univocamente identificativi, né nomi, dati di contatto o profili utente;
• i dati di sessione e del dispositivo (incluso l’indirizzo IP) sono conservati su server situati nell’Unione Europea e anonimizzati entro 14 mesi; le eventuali foto finali richieste dall’Utente da dispositivi in-store sono cancellate entro il giorno successivo alla sessione. Ciò può comportare un trasferimento di tali dati verso l’UE, con le garanzie descritte nella sezione “Trasferimenti internazionali” del presente Addendum.

Poiché Spaarkly non tratta dati idonei a identificare direttamente gli Utenti (quali nomi, dati di contatto o identificativi persistenti), alcuni obblighi previsti dalle leggi latinoamericane sulla protezione dei dati, quali registri dettagliati delle attività di trattamento, nomina di un responsabile della protezione dei dati o valutazioni d’impatto, non si applicano in senso stretto nella maggior parte dei casi.

Diritti degli utenti ai sensi delle leggi privacy latinoamericane

Gli utenti in Brasile e America Latina con leggi generali sulla protezione dei dati godono generalmente di diritti simili a quelli previsti dal GDPR, tra cui:

• diritto di conferma e accesso (diritti ARCO): confermare l’esistenza di un trattamento e accedere ai dati personali;
• diritto di rettifica (diritti ARCO): correggere dati inesatti, incompleti o non aggiornati;
• diritto di cancellazione (diritti ARCO): richiedere la cancellazione di dati non necessari o eccedenti;
• diritto di opposizione (diritti ARCO): opporsi a trattamenti illeciti o non consensuali;
• diritto all’informazione: ricevere informazioni chiare sulle attività di trattamento;
• diritto alla portabilità dei dati: richiedere il trasferimento dei dati a un altro fornitore di servizi, in particolare ai sensi della LGPD brasiliana;
• diritto di revocare il consenso: revocare il consenso precedentemente prestato in qualsiasi momento;
• diritto alla revisione delle decisioni automatizzate: richiedere la revisione di decisioni adottate esclusivamente mediante trattamento automatizzato ai sensi della LGPD.

Esercizio dei diritti

Gli utenti in Brasile e America Latina possono esercitare i propri diritti contattando privacy@spaarkly.com.

Può essere richiesta la verifica dell’identità, ad esempio tramite indirizzo IP o identificativi del dispositivo, prima della gestione delle richieste.

Se gli utenti non sono soddisfatti della risposta di Spaarkly, possono rivolgersi alla propria autorità nazionale competente:

• Autorità Nazionale per la Protezione dei Dati del Brasile (ANPD) (https://www.gov.br/anpd/);
• Instituto Nacional de Transparencia, Acceso a la Información y Protección de Datos Personales (INAI) del Messico (https://home.inai.org.mx/);
• Agencia de Acceso a la Información Pública (AAIP) dell’Argentina (https://www.argentina.gob.ar/aaip);
• Superintendencia de Industria y Comercio (SIC) della Colombia (https://www.sic.gov.co/);
• altre autorità nazionali competenti, ove applicabile.

Conservazione dei dati e misure di sicurezza

Le leggi sulla protezione dei dati in America Latina generalmente richiedono che i dati personali siano conservati solo per il tempo necessario alla finalità prevista e successivamente cancellati in modo sicuro.

• Spaarkly garantisce che i dati di sessione e del dispositivo siano anonimizzati entro 14 mesi, in conformità alle migliori prassi.
• Sono adottate solide misure tecniche e organizzative per prevenire accessi non autorizzati, fughe di dati o usi impropri, come richiesto dalle leggi latinoamericane, quali l’art. 46 della LGPD brasiliana e l’art. 19 della LFPDPPP messicana.

Obblighi di notifica in caso di data breach

• In caso di violazione dei dati che possa causare rischio o danno agli interessati, Spaarkly notificherà:
  • la competente autorità per la protezione dei dati, secondo i requisiti locali:
    • Brasile: notifica all’ANPD entro 3 giorni lavorativi dalla conoscenza dell’incidente, ai sensi della Resolução CD/ANPD n. 15/2024;
    • Messico: notifica tempestiva agli interessati dopo la conferma della violazione;
    • altre giurisdizioni secondo i rispettivi requisiti.
• Poiché Spaarkly non raccoglie informazioni di contatto degli utenti, non è possibile inviare notifiche individuali direttamente. Ove legalmente richiesto, Spaarkly pubblicherà una comunicazione pubblica sul proprio sito web o tramite altri canali appropriati.

Trasferimenti internazionali e garanzia di conformità

I dati tecnici e di sessione descritti nella presente Informativa, inclusi i dati tecnici derivati trattati temporaneamente per AR PD Meter, sono trattati su server situati nell’Unione Europea. Ciò può comportare un trasferimento di dati al di fuori del Paese dell’Utente verso l’UE, giurisdizione che assicura un livello elevato di protezione dei dati personali. Tali dati non identificano direttamente l’Utente e sono protetti mediante garanzie contrattuali e misure tecniche e organizzative adeguate, in modo da assicurare un livello di protezione comparabile a quello richiesto dalle leggi locali applicabili.

Qualora un’autorità richiedesse garanzie aggiuntive, Spaarkly adotterà immediatamente tutte le misure di conformità necessarie, tra cui:

• garantire la conformità a specifiche disposizioni sui trasferimenti, quali:
  • i requisiti della LGPD brasiliana per i trasferimenti internazionali (articoli 33-36);
  • i principi della LFPDPPP messicana per la condivisione transfrontaliera dei dati;
  • il requisito argentino di livello adeguato ai sensi della PDPA;
  • i requisiti della SIC colombiana per i trasferimenti transfrontalieri;
• implementare meccanismi di trasferimento giuridicamente riconosciuti, quali:
  • clausole contrattuali standard;
  • norme vincolanti d’impresa;
  • meccanismi di certificazione;
  • consenso specifico al trasferimento;
  • decisioni di adeguatezza;
• fornire informazioni chiare agli utenti sui potenziali trasferimenti transfrontalieri e mantenere la responsabilizzazione in materia di protezione dei dati.

Poiché Spaarkly rimane impegnata alla piena conformità alle leggi privacy latinoamericane, monitorerà gli sviluppi normativi in ciascuna giurisdizione e adatterà le proprie pratiche di trattamento qualora le autorità richiedano ulteriori garanzie.

H. GIAPPONE (APPI — ACT ON THE PROTECTION OF PERSONAL INFORMATION)

Gli utenti in Giappone sono protetti dall’Act on the Protection of Personal Information (APPI), come sostanzialmente modificato nel 2020 con efficacia da aprile 2022, che istituisce un quadro completo di protezione dei dati applicato dalla Personal Information Protection Commission (PPC).

Conformità all’APPI giapponese

Spaarkly opera in Giappone e aderisce ai principi stabiliti dall’APPI. Il suo attuale modello di trattamento dei dati è il seguente:

• i dati facciali utilizzati per il Virtual Try-On sono trattati localmente sul dispositivo e non sono conservati; per AR PD Meter, dati tecnici derivati, non utilizzati per identificare l’Utente e non idonei, di per sé, a identificarlo, possono essere trasmessi temporaneamente al backend ARShades situato nell’Unione Europea, utilizzati esclusivamente per restituire il risultato della misurazione e scartati dopo l’elaborazione;
• non sono raccolti dati biometrici o univocamente identificativi, né nomi, dati di contatto o profili utente;
• i dati di sessione e del dispositivo (incluso l’indirizzo IP) sono conservati su server situati nell’Unione Europea e anonimizzati entro 14 mesi; le eventuali foto finali richieste dall’Utente da dispositivi in-store sono cancellate entro il giorno successivo alla sessione. Ciò può comportare un trasferimento di tali dati verso l’UE, con le garanzie descritte nella sezione “Trasferimenti internazionali” del presente Addendum.

Poiché Spaarkly non tratta dati idonei a identificare direttamente gli Utenti (quali nomi, dati di contatto o identificativi persistenti), alcuni obblighi APPI, quali il mantenimento di registri dettagliati delle attività di trattamento, l’ottenimento del consenso per la comunicazione a terzi o la presentazione di notifiche alla PPC, non si applicano in senso stretto.

Spaarkly conferma espressamente di non raccogliere, trattare o trasferire alcuna informazione che costituirebbe “Sensitive Personal Information” (Yōhairyo Kojin Jōhō) ai sensi dell’art. 2(3) dell’APPI, quali razza, credo, status sociale, anamnesi medica o precedenti penali.

Diritti degli utenti ai sensi dell’APPI giapponese

Gli utenti in Giappone godono di diritti specifici ai sensi dell’APPI, tra cui:

• diritto di divulgazione (Kaiji): richiedere la divulgazione dei dati personali detenuti da un operatore commerciale;
• diritto di correzione (Seigō): richiedere la correzione, integrazione o cancellazione di dati personali inesatti;
• diritto alla sospensione dell’uso/cancellazione (Riyō Teishi / Sakujo): richiedere la sospensione dell’uso o la cancellazione di dati personali trattati in violazione della legge o oltre la finalità specificata;
• diritto alla sospensione della comunicazione a terzi (Daisansha Teikyō no Teishi): richiedere all’operatore di cessare la comunicazione di dati personali a terzi;
• diritto a una spiegazione (Setsumei): ricevere una spiegazione delle attività di trattamento relative ai dati personali;
• diritto di reclamo (Kujō): presentare reclamo all’operatore o alla PPC.

Esercizio dei diritti

Gli utenti in Giappone possono esercitare i propri diritti contattando privacy@spaarkly.com.

Può essere richiesta la verifica dell’identità, ad esempio tramite indirizzo IP o identificativi del dispositivo, prima della gestione delle richieste. Spaarkly risponderà alle richieste entro il termine previsto dall’APPI, generalmente entro due settimane dalla ricezione.

Se gli utenti non sono soddisfatti della risposta di Spaarkly, possono rivolgersi alla:

• Personal Information Protection Commission (PPC) del Giappone (https://www.ppc.go.jp/en/).

Conservazione dei dati e misure di sicurezza

L’APPI richiede agli operatori commerciali di stabilire misure di controllo della sicurezza (art. 23) e di garantire l’esattezza dei dati (art. 22). Prevede inoltre che i dati siano cancellati quando non sono più necessari rispetto alla finalità specificata.

• Spaarkly garantisce che i dati di sessione e del dispositivo siano anonimizzati entro 14 mesi, in conformità alle migliori prassi.
• Spaarkly implementa misure di sicurezza complete come richiesto dall’art. 23 APPI, incluse:
• controlli di accesso e meccanismi di autenticazione;
• cifratura dei dati in transito e a riposo;
• valutazioni e aggiornamenti periodici della sicurezza;
• formazione del personale in materia di protezione dei dati.

Obblighi di notifica in caso di data breach

• In caso di perdita di dati personali o altro incidente di sicurezza (Jōhō Rōei Jiko), Spaarkly:
  • effettuerà segnalazione tempestiva alla PPC ai sensi dell’art. 26 APPI, ove la violazione raggiunga la soglia di notifica;
  • includerà nella notifica i dettagli dell’incidente, i tipi di dati coinvolti, la causa e le misure correttive;
  • ove legalmente richiesto, pubblicherà una comunicazione pubblica sul sito di Spaarkly o tramite altri canali appropriati, poiché le notifiche individuali dirette non sono possibili in assenza di dati di contatto raccolti.

Trasferimenti internazionali e garanzia di conformità

I dati tecnici e di sessione descritti nella presente Informativa, inclusi i dati tecnici derivati trattati temporaneamente per AR PD Meter, sono trattati su server situati nell’Unione Europea. Ciò può comportare un trasferimento di dati al di fuori del Giappone verso l’UE. L’UE è designata dalla Personal Information Protection Commission (PPC) come giurisdizione dotata di standard equivalenti di protezione dei dati personali, in forza del riconoscimento reciproco di adeguatezza UE-Giappone del 2019: i trasferimenti verso l’UE sono pertanto consentiti ai sensi dell’art. 28 APPI.

Qualora la PPC richiedesse garanzie aggiuntive, Spaarkly adotterà immediatamente tutte le misure di conformità necessarie, tra cui:

• garantire la conformità all’art. 28 APPI in materia di trasferimenti internazionali, che richiede:
  • il previo consenso dell’individuo per trasferimenti a terzi in Paesi esteri; oppure
  • la garanzia che il terzo si trovi in un Paese con standard equivalenti di protezione dei dati; oppure
  • la garanzia che il terzo mantenga standard equivalenti tramite accordi contrattuali o altri mezzi;
• implementare meccanismi di trasferimento appropriati, quali:
  • clausole contrattuali standard;
  • norme vincolanti d’impresa;
  • certificazioni riconosciute;
• fornire informazioni chiare agli utenti sui potenziali trasferimenti transfrontalieri in conformità ai requisiti APPI.

Poiché Spaarkly rimane impegnata alla piena conformità all’APPI e alle sue modifiche, monitorerà gli sviluppi normativi e adatterà le proprie pratiche di trattamento qualora la PPC o altre autorità giapponesi richiedano ulteriori garanzie.

I. CINA (PIPL — PERSONAL INFORMATION PROTECTION LAW)

Gli utenti in Cina sono protetti dalla Personal Information Protection Law (PIPL), che stabilisce principi simili al GDPR, inclusi rigorose regole sul trattamento dei dati, requisiti di consenso e restrizioni ai trasferimenti transfrontalieri.

Conformità alla PIPL

Spaarkly opera in Cina e aderisce ai principi PIPL. Il suo attuale modello di trattamento è il seguente:

• i dati facciali utilizzati per il Virtual Try-On sono trattati localmente sul dispositivo e non sono conservati; per AR PD Meter, dati tecnici derivati, non utilizzati per identificare l’Utente e non idonei, di per sé, a identificarlo, possono essere trasmessi temporaneamente al backend ARShades situato nell’Unione Europea, utilizzati esclusivamente per restituire il risultato della misurazione e scartati dopo l’elaborazione;
• assenza di raccolta di dati biometrici o sensibili: Spaarkly non raccoglie identificativi biometrici, nomi reali, dati di contatto o altri dati univocamente identificativi dell’utente;
• i dati di sessione e del dispositivo (incluso l’indirizzo IP) sono conservati su server situati nell’Unione Europea e anonimizzati entro 14 mesi.

Spaarkly monitora costantemente l’applicabilità dei requisiti PIPL alle proprie attività, inclusi quelli in materia di localizzazione dei dati e di security review, e adotta gli adempimenti richiesti in funzione della natura, del volume e delle finalità dei dati trattati.

Diritti degli utenti ai sensi della PIPL

Gli utenti in Cina godono di diritti allineati al GDPR, tra cui:

• diritto di accesso: richiedere una copia dei propri dati personali;
• diritto di rettifica: richiedere la correzione di dati inesatti o incompleti;
• diritto di cancellazione: richiedere la cancellazione dei dati personali in specifiche condizioni;
• diritto di limitare o opporsi al trattamento: opporsi a determinate attività di trattamento;
• diritto di revocare il consenso: revocare il consenso precedentemente prestato in qualsiasi momento.

Inoltre, la PIPL riconosce diritti che vanno oltre il GDPR, tra cui:

• diritto di “conoscere e decidere”: gli utenti hanno controllo esplicito su come i propri dati sono utilizzati;
• diritto a una spiegazione delle decisioni automatizzate: gli utenti possono richiedere una spiegazione su come sistemi automatizzati, quali raccomandazioni basate su AI, incidano su di loro.

Gli utenti in Cina possono esercitare i propri diritti contattando privacy@spaarkly.com. Se non soddisfatti della risposta di Spaarkly, possono rivolgersi alla Cyberspace Administration of China (CAC).

Conservazione dei dati e misure di sicurezza

La PIPL richiede alle società di conservare i dati solo per il periodo più breve necessario al raggiungimento della finalità prevista.

• Spaarkly garantisce che i dati di sessione e del dispositivo siano anonimizzati entro 14 mesi, in conformità alle migliori prassi.
• Sono adottate solide misure tecniche e organizzative per prevenire accessi non autorizzati, fughe di dati o usi impropri.

Obblighi di notifica in caso di data breach

In caso di violazione dei dati che possa causare danni significativi, Spaarkly notificherà:

• le autorità regolatorie cinesi competenti, ove richiesto dalla PIPL;
• ove legalmente richiesto, una comunicazione pubblica sarà pubblicata sul sito di Spaarkly o tramite altri canali appropriati.

Poiché Spaarkly non raccoglie informazioni di contatto degli utenti, non è possibile inviare notifiche individuali.

Trasferimenti internazionali e garanzia di conformità

I dati tecnici e di sessione descritti nella presente Informativa, inclusi i dati tecnici derivati trattati temporaneamente per AR PD Meter, sono trattati su server situati nell’Unione Europea. Per gli utenti in Cina, ciò può costituire una fornitura transfrontaliera di informazioni personali ai sensi della PIPL. Tali dati sono limitati al minimo necessario, non consentono di identificare direttamente l’Utente e sono scartati o anonimizzati secondo i termini della presente Informativa.

Nella misura in cui la PIPL richieda adempimenti specifici per tali flussi, o qualora un’autorità cinese richiedesse garanzie aggiuntive, Spaarkly adotterà immediatamente tutte le misure di conformità necessarie per garantire il rispetto continuo della PIPL, tra cui:

• effettuare una valutazione di sicurezza ai sensi delle norme CAC, ove richiesta;
• implementare Clausole Contrattuali Standard (SCC) approvate dalla CAC o altri meccanismi approvati;
• ottenere il consenso esplicito dell’utente per eventuali trasferimenti transfrontalieri, se ritenuto necessario.

Poiché Spaarkly rimane impegnata alla piena conformità alla PIPL, monitorerà proattivamente le interpretazioni regolatorie e adatterà le proprie pratiche di trattamento qualora un’autorità richieda ulteriori garanzie.

J. SUDAFRICA (POPIA – PROTECTION OF PERSONAL INFORMATION ACT)

Gli utenti in Sudafrica sono protetti dal Protection of Personal Information Act (POPIA), che disciplina la raccolta, l’uso e la sicurezza dei dati personali. Il POPIA è strettamente allineato al GDPR, ma include requisiti locali specifici.

Conformità al POPIA

Spaarkly opera in Sudafrica e si conforma ai principi POPIA. Il suo attuale modello di trattamento è il seguente:

• i dati facciali utilizzati per il Virtual Try-On sono trattati localmente sul dispositivo e non sono conservati; per AR PD Meter, dati tecnici derivati, non utilizzati per identificare l’Utente e non idonei, di per sé, a identificarlo, possono essere trasmessi temporaneamente al backend ARShades situato nell’Unione Europea, utilizzati esclusivamente per restituire il risultato della misurazione e scartati dopo l’elaborazione;
• non sono raccolti dati biometrici o univocamente identificativi, né nomi, dati di contatto o profili utente;
• i dati di sessione e del dispositivo (incluso l’indirizzo IP) sono conservati su server situati nell’Unione Europea e anonimizzati entro 14 mesi; le eventuali foto finali richieste dall’Utente da dispositivi in-store sono cancellate entro il giorno successivo alla sessione. Ciò può comportare un trasferimento di tali dati verso l’UE, con le garanzie descritte nella sezione “Trasferimenti internazionali” del presente Addendum.

Poiché Spaarkly non tratta dati personali in modo da identificare direttamente gli utenti, non rientra in alcuni obblighi POPIA, quali l’ottenimento del consenso per il marketing diretto o il mantenimento di registri delle attività di trattamento.

Diritti degli utenti ai sensi del POPIA

Gli utenti in Sudafrica godono di diritti simili a quelli previsti dal GDPR, tra cui:

• diritto di accesso: richiedere una copia dei propri dati personali;
• diritto di rettifica: richiedere la correzione di dati inesatti o incompleti;
• diritto di cancellazione: richiedere la cancellazione dei dati personali in casi specifici;
• diritto di limitare o opporsi al trattamento: opporsi a determinate attività di trattamento;
• diritto di revocare il consenso: revocare il consenso precedentemente prestato in qualsiasi momento.

Gli utenti possono esercitare i propri diritti contattando privacy@spaarkly.com. Se non soddisfatti della risposta di Spaarkly, possono rivolgersi all’Information Regulator of South Africa (https://inforegulator.org.za/).

Conservazione dei dati e misure di sicurezza

Il POPIA richiede che i dati personali siano conservati solo per il tempo necessario alla finalità prevista.

• Spaarkly garantisce che i dati di sessione e del dispositivo siano anonimizzati entro 14 mesi.
• Sono adottate solide misure tecniche e organizzative per prevenire accessi non autorizzati, fughe di dati o usi impropri.

Obblighi di notifica in caso di data breach

In caso di violazione dei dati che possa causare danni significativi, Spaarkly notificherà:

• l’Information Regulator of South Africa, ove richiesto dal POPIA;
• ove legalmente richiesto, una comunicazione pubblica sarà pubblicata sul sito di Spaarkly o tramite altri canali appropriati.

Poiché Spaarkly non raccoglie informazioni di contatto degli utenti, non è possibile inviare notifiche individuali.

Trasferimenti internazionali e garanzia di conformità

I dati tecnici e di sessione descritti nella presente Informativa, inclusi i dati tecnici derivati trattati temporaneamente per AR PD Meter, sono trattati su server situati nell’Unione Europea. Ciò può comportare un trasferimento di dati al di fuori del Sudafrica verso l’UE, in conformità alla Section 72 del POPIA, che consente i trasferimenti verso destinatari soggetti a norme che assicurano un livello di protezione sostanzialmente analogo: il GDPR soddisfa tale standard. Tali dati non identificano direttamente l’Utente e sono protetti mediante garanzie contrattuali e misure tecniche e organizzative adeguate.

Qualora un’autorità sudafricana richiedesse garanzie aggiuntive, Spaarkly adotterà immediatamente tutte le misure di conformità necessarie, tra cui:

• garantire che qualsiasi trasferimento di dati sia conforme alla Section 72 del POPIA, che richiede adeguata protezione;
• implementare Clausole Contrattuali Standard (SCC) o altri meccanismi di trasferimento giuridicamente riconosciuti, ove necessario;
• ottenere il consenso esplicito dell’utente per eventuali trasferimenti transfrontalieri, qualora ciò diventi un requisito legale.

Poiché Spaarkly rimane impegnata alla piena conformità al POPIA, monitorerà gli sviluppi normativi e adatterà le proprie pratiche di trattamento qualora le autorità richiedano ulteriori garanzie.

K. INDIA (DPDP – DIGITAL PERSONAL DATA PROTECTION ACT)

Gli utenti in India sono protetti dal Digital Personal Data Protection Act (DPDP), che disciplina il trattamento dei dati personali e impone obblighi di conformità simili al GDPR.

Conformità al DPDP

Spaarkly opera in India e aderisce ai principi DPDP. Il suo attuale modello di trattamento dei dati è il seguente:

• i dati facciali utilizzati per il Virtual Try-On sono trattati localmente sul dispositivo e non sono conservati; per AR PD Meter, dati tecnici derivati, non utilizzati per identificare l’Utente e non idonei, di per sé, a identificarlo, possono essere trasmessi temporaneamente al backend ARShades situato nell’Unione Europea, utilizzati esclusivamente per restituire il risultato della misurazione e scartati dopo l’elaborazione;
• non sono raccolti dati biometrici o univocamente identificativi, né nomi, dati di contatto o profili utente;
• i dati di sessione e del dispositivo (incluso l’indirizzo IP) sono conservati su server situati nell’Unione Europea e anonimizzati entro 14 mesi; le eventuali foto finali richieste dall’Utente da dispositivi in-store sono cancellate entro il giorno successivo alla sessione. Ciò può comportare un trasferimento di tali dati verso l’UE, con le garanzie descritte nella sezione “Trasferimenti internazionali” del presente Addendum.

Poiché Spaarkly non tratta dati idonei a identificare direttamente gli Utenti (quali nomi, dati di contatto o identificativi persistenti), alcuni obblighi DPDP, quali quelli previsti per i “Significant Data Fiduciary” (nomina di un responsabile della protezione dei dati in India, audit indipendenti e valutazioni d’impatto periodiche), trovano applicazione limitata.

Diritti degli utenti ai sensi del DPDP

Gli utenti in India godono di diritti simili a quelli previsti dal GDPR, tra cui:

• diritto di accesso: richiedere un riepilogo dei dati personali trattati;
• diritto di rettifica: richiedere la correzione di dati inesatti o incompleti;
• diritto alla cancellazione: richiedere la cancellazione dei dati personali in specifiche condizioni;
• diritto di limitare o opporsi al trattamento: opporsi a determinate attività di trattamento;
• diritto di nominare un rappresentante: designare un’altra persona per esercitare i propri diritti in caso di morte o incapacità.

Gli utenti possono esercitare i propri diritti contattando privacy@spaarkly.com. Se non soddisfatti della risposta di Spaarkly, possono rivolgersi al Data Protection Board of India.

Conservazione dei dati e misure di sicurezza

Il DPDP Act richiede che i dati personali siano conservati solo per il tempo necessario alla finalità prevista.

• Spaarkly garantisce che i dati di sessione e del dispositivo siano anonimizzati entro 14 mesi, in linea con le migliori prassi.
• Sono adottate solide misure tecniche e organizzative per prevenire accessi non autorizzati, fughe di dati o usi impropri.

Obblighi di notifica in caso di data breach

• In caso di violazione dei dati personali, Spaarkly notificherà:
  • il Data Protection Board of India e, come richiesto dal DPDP, gli interessati coinvolti;
  • non disponendo di dati di contatto degli Utenti, la comunicazione agli interessati sarà effettuata tramite comunicazione pubblica sul sito di Spaarkly e, ove possibile, mediante avviso all’interno del servizio, quale mezzo disponibile più efficace.

Trasferimenti internazionali e garanzia di conformità

I dati tecnici e di sessione descritti nella presente Informativa, inclusi i dati tecnici derivati trattati temporaneamente per AR PD Meter, sono trattati su server situati nell’Unione Europea. Ciò può comportare un trasferimento di dati al di fuori dell’India verso l’UE. Il DPDP consente il trasferimento di dati personali verso Paesi non oggetto di restrizione da parte del Governo centrale; l’Unione Europea non è attualmente oggetto di alcuna restrizione. Tali dati non identificano direttamente l’Utente e sono protetti mediante garanzie contrattuali e misure tecniche e organizzative adeguate.

Qualora un’autorità indiana richiedesse garanzie aggiuntive, Spaarkly adotterà immediatamente tutte le misure di conformità necessarie, tra cui:

• garantire la conformità ai requisiti DPDP in materia di localizzazione e trasferimento dei dati;
• implementare meccanismi di trasferimento giuridicamente riconosciuti, quali clausole contrattuali approvate dal governo;
• ottenere il consenso esplicito dell’utente per eventuali trasferimenti transfrontalieri, qualora ciò diventi un requisito legale.

Poiché Spaarkly rimane impegnata alla piena conformità al DPDP, monitorerà gli sviluppi normativi e adatterà le proprie pratiche di trattamento qualora le autorità richiedano ulteriori garanzie.

L. MEDIO ORIENTE (EMIRATI ARABI UNITI – Dubai – Arabia Saudita – Altri Paesi)

Gli utenti nel Medio Oriente sono protetti da diverse leggi nazionali sulla protezione dei dati, tra cui:

• Emirati Arabi Uniti (UAE): Federal Decree-Law No. 45 of 2021 on the Protection of Personal Data;
• Dubai International Financial Centre (DIFC): DIFC Data Protection Law No. 5 of 2020;
• Arabia Saudita: Personal Data Protection Law (PDPL);
• altre normative nazionali applicabili in materia di privacy.

Conformità alle leggi privacy del Medio Oriente

Spaarkly opera nel Medio Oriente e si conforma alle normative applicabili in materia di protezione dei dati. Il suo attuale modello di trattamento dei dati è il seguente:

• i dati facciali utilizzati per il Virtual Try-On sono trattati localmente sul dispositivo e non sono conservati; per AR PD Meter, dati tecnici derivati, non utilizzati per identificare l’Utente e non idonei, di per sé, a identificarlo, possono essere trasmessi temporaneamente al backend ARShades situato nell’Unione Europea, utilizzati esclusivamente per restituire il risultato della misurazione e scartati dopo l’elaborazione;
• non sono raccolti dati biometrici o univocamente identificativi, né nomi, dati di contatto o profili utente;
• i dati di sessione e del dispositivo (incluso l’indirizzo IP) sono conservati su server situati nell’Unione Europea e anonimizzati entro 14 mesi; le eventuali foto finali richieste dall’Utente da dispositivi in-store sono cancellate entro il giorno successivo alla sessione. Ciò può comportare un trasferimento di tali dati verso l’UE, con le garanzie descritte nella sezione “Trasferimenti internazionali” del presente Addendum.

Poiché Spaarkly non tratta dati idonei a identificare direttamente gli Utenti (quali nomi, dati di contatto o identificativi persistenti), alcuni obblighi previsti dalle leggi privacy del Medio Oriente, quali il consenso per marketing diretto o il mantenimento di registri locali del trattamento, non si applicano.

Diritti degli utenti ai sensi delle leggi privacy del Medio Oriente

Gli utenti nelle giurisdizioni del Medio Oriente godono di diritti simili a quelli previsti dal GDPR, tra cui:

• diritto di accesso: richiedere una copia dei propri dati personali;
• diritto di rettifica: richiedere la correzione di dati inesatti o incompleti;
• diritto alla cancellazione: richiedere la cancellazione dei dati personali in specifiche condizioni;
• diritto di opposizione: opporsi a determinate tipologie di trattamento;
• diritto di revocare il consenso: revocare il consenso precedentemente prestato in qualsiasi momento.

Gli utenti possono esercitare i propri diritti contattando privacy@spaarkly.com.

Se non soddisfatti della risposta di Spaarkly, possono rivolgersi a:

• UAE Data Office;
• DIFC Commissioner of Data Protection (https://www.difc.ae/business/regulations/data-protection/);
• la Saudi Data & Artificial Intelligence Authority (SDAIA), autorità competente ai sensi della Personal Data Protection Law (PDPL) saudita.

Conservazione dei dati e misure di sicurezza

Le leggi sulla protezione dei dati del Medio Oriente richiedono che i dati personali siano conservati solo per il tempo necessario alla finalità prevista.

• Spaarkly garantisce che i dati di sessione e del dispositivo siano anonimizzati entro 14 mesi, in linea con le migliori prassi.
• Sono adottate solide misure tecniche e organizzative per prevenire accessi non autorizzati, fughe di dati o usi impropri.

Obblighi di notifica in caso di data breach

• In caso di violazione dei dati che possa causare danni significativi, Spaarkly notificherà:
  • la competente autorità per la protezione dei dati del Medio Oriente, ove richiesto dalla legge locale;
  • ove legalmente richiesto, una comunicazione pubblica sarà pubblicata sul sito di Spaarkly o tramite altri canali appropriati.
• Poiché Spaarkly non raccoglie informazioni di contatto degli utenti, non è possibile inviare notifiche individuali.

Trasferimenti internazionali e garanzia di conformità

I dati tecnici e di sessione descritti nella presente Informativa, inclusi i dati tecnici derivati trattati temporaneamente per AR PD Meter, sono trattati su server situati nell’Unione Europea. Ciò può comportare un trasferimento di dati al di fuori del Paese dell’Utente verso l’UE, giurisdizione che assicura un livello elevato di protezione dei dati personali, riconosciuta come adeguata da diverse normative della regione (ad esempio ai sensi della DIFC Data Protection Law). Tali dati non identificano direttamente l’Utente e sono protetti mediante garanzie contrattuali e misure tecniche e organizzative adeguate.

Qualora un’autorità del Medio Oriente richiedesse garanzie aggiuntive, Spaarkly adotterà immediatamente tutte le misure di conformità necessarie, tra cui:

• garantire la conformità alle leggi locali sulla protezione dei dati in materia di trasferimenti internazionali;
• implementare meccanismi di trasferimento giuridicamente riconosciuti, quali Clausole Contrattuali Standard (SCC) o framework approvati dal governo;
• ottenere il consenso esplicito dell’utente per eventuali trasferimenti transfrontalieri, qualora ciò diventi un requisito legale.

Poiché Spaarkly rimane impegnata alla piena conformità alle leggi privacy del Medio Oriente, monitorerà gli sviluppi normativi e adatterà le proprie pratiche di trattamento qualora le autorità richiedano ulteriori garanzie.

M. ALTRI PAESI

Gli utenti in Paesi non espressamente coperti dalle sezioni precedenti sono protetti dalle rispettive leggi nazionali sulla protezione dei dati, ove applicabili. Sebbene le leggi sulla privacy varino, Spaarkly aderisce a principi di protezione dei dati riconosciuti a livello internazionale, derivati dal GDPR.

Conformità agli standard internazionali sulla privacy

Spaarkly opera a livello globale e si conforma a principi internazionalmente riconosciuti di protezione dei dati. Il suo attuale modello di trattamento dei dati è il seguente:

• i dati facciali utilizzati per il Virtual Try-On sono trattati localmente sul dispositivo e non sono conservati; per AR PD Meter, dati tecnici derivati, non utilizzati per identificare l’Utente e non idonei, di per sé, a identificarlo, possono essere trasmessi temporaneamente al backend ARShades situato nell’Unione Europea, utilizzati esclusivamente per restituire il risultato della misurazione e scartati dopo l’elaborazione;
• non sono raccolti dati biometrici o univocamente identificativi, né nomi, dati di contatto o profili utente;
• i dati di sessione e del dispositivo (incluso l’indirizzo IP) sono conservati su server situati nell’Unione Europea e anonimizzati entro 14 mesi; le eventuali foto finali richieste dall’Utente da dispositivi in-store sono cancellate entro il giorno successivo alla sessione. Ciò può comportare un trasferimento di tali dati verso l’UE, con le garanzie descritte nella sezione “Trasferimenti internazionali” del presente Addendum.

Poiché Spaarkly non tratta dati idonei a identificare direttamente gli Utenti (quali nomi, dati di contatto o identificativi persistenti), alcuni obblighi nazionali, quali localizzazione dei dati, registrazione presso autorità locali o requisiti aggiuntivi di consenso, non si applicano.

Diritti degli utenti in altri Paesi

Gli utenti in Paesi non specificamente elencati nella presente Informativa Privacy possono comunque godere di diritti ai sensi delle leggi privacy nazionali. In linea con gli standard internazionali, gli utenti hanno generalmente il diritto di:

• accedere ai propri dati personali e richiederne una copia;
• richiedere correzioni di dati inesatti o incompleti;
• richiedere la cancellazione dei dati personali in specifiche condizioni;
• opporsi a determinate attività di trattamento;
• revocare il consenso, ove applicabile.

Gli utenti possono esercitare i propri diritti contattando privacy@spaarkly.com. Se non sono soddisfatti della risposta di Spaarkly, possono presentare un reclamo all'autorità nazionale competente per la protezione dei dati, ove applicabile.

Conservazione dei Dati e Misure di Sicurezza

Le leggi sulla privacy nella maggior parte delle giurisdizioni stabiliscono che i dati personali devono essere conservati solo per il tempo necessario.

• Spaarkly garantisce che i dati di sessione e del dispositivo siano anonimizzati entro 14 mesi, in linea con le migliori pratiche.
• Sono adottate rigorose misure tecniche e organizzative per prevenire accessi non autorizzati, fughe di dati o usi impropri.

Obblighi di Notifica delle Violazioni dei Dati

In caso di violazione dei dati che possa causare un danno significativo, Spaarkly notificherà:

• L'autorità per la protezione dei dati competente, se richiesto dalla normativa locale.
• Se obbligata per legge, pubblicherà un avviso pubblico sul proprio sito web o tramite altri canali appropriati.

Poiché Spaarkly non raccoglie informazioni di contatto degli utenti, non è possibile inviare notifiche individuali.

Trasferimenti Internazionali di Dati e Garanzie di Conformità

I dati tecnici e di sessione descritti nella presente Informativa, inclusi i dati tecnici derivati trattati temporaneamente per AR PD Meter, sono trattati su server situati nell'Unione Europea. Ciò può comportare un trasferimento di dati al di fuori del Paese dell'Utente verso l'UE, giurisdizione che assicura un livello elevato di protezione dei dati personali. Tali dati non identificano direttamente l'Utente e sono protetti mediante garanzie contrattuali e misure tecniche e organizzative adeguate.

Se un'autorità di regolamentazione dovesse richiedere garanzie aggiuntive, l'azienda adotterà immediatamente tutte le misure di conformità necessarie, tra cui:

• Garantire il rispetto delle leggi locali sulla protezione dei dati relative ai trasferimenti internazionali.
• Implementare meccanismi di trasferimento legalmente riconosciuti, come Clausole Contrattuali Standard (SCCs) o framework approvati dal governo.
• Ottenere il consenso esplicito degli utenti per eventuali trasferimenti transfrontalieri, qualora ciò diventasse un obbligo legale.

Spaarkly rimane impegnata a garantire la piena conformità agli standard internazionali sulla privacy e monitorerà costantemente gli sviluppi normativi, adattando di conseguenza le proprie pratiche di trattamento dei dati qualora le autorità richiedano ulteriori misure di protezione.