Privacy e condizioni

Chi vende biglietti tratta i dati delle persone: un nome, un indirizzo e-mail, a volte un indirizzo postale. A questo si accompagnano delle regole. Questo articolo spiega in lingua corrente in che cosa consistono quelle regole, che cosa abbiamo sbrigato noi per Lei e — la parte che viene dimenticata più spesso — che cosa deve scrivere Lei prima che sia venduto il Suo primo biglietto.

Questa non è consulenza legale. È un manuale, scritto da persone che fanno software. Se si tratta di molto denaro, di minorenni o di dati sensibili, lo sottoponga a un legale o alla Sua organizzazione ombrello.

Che cos'è il GDPR?

Il GDPR — Regolamento generale sulla protezione dei dati — è la legge europea sui dati personali. Vale dal 2018 in tutta l'Unione europea e vale anche per un circolo di storia locale con ottanta soci.

Che cosa dice in sostanza, in cinque frasi:

• Raccoglie soltanto i dati che Le servono davvero.
• Dice in anticipo per che cosa li usa.
• Non li conserva più a lungo del necessario.
• Li protegge ragionevolmente da furto e perdita.
• Chi è nel Suo archivio può chiedere che cosa ha su di lui, e può chiederne la cancellazione.

Un dato personale è tutto ciò con cui si può individuare una persona: un nome, un indirizzo e-mail, un numero di telefono, a volte perfino un numero d'ordine che si può collegare a una persona. Un contatore "312 visitatori" non lo è.

Titolare e responsabile del trattamento

È la parte che viene fraintesa più spesso, e determina a chi deve rivolgersi un visitatore con una domanda.

La legge conosce due ruoli:

• Il titolare del trattamento decide perché e come i dati vengono usati.
• Il responsabile del trattamento lo esegue, su incarico, e non ci fa nient'altro.

Il paragone che resta impresso: Lei è il proprietario dell'archivio, noi siamo l'armadio d'archivio con la serratura. Lei decide che cosa ci entra, chi lo può consultare e quando ne può uscire. L'armadio conserva e custodisce, ma non legge e non telefona ai Suoi visitatori.

Un altro modo di vederla: la Sua associazione affitta una sala. Il gestore della sala si occupa della porta e della serratura; Lei decide chi può entrare.

Dati	Titolare	Responsabile
Il Suo account, le Sue fatture, le Sue richieste di assistenza	Noi	—
Nome, e-mail, ordini, biglietti, scansioni dei Suoi visitatori	La Sua organizzazione	Noi

In pratica significa: se un visitatore chiede l'accesso ai propri dati o la loro cancellazione, a deciderlo è Lei, non noi. Se una richiesta del genere arriva a noi, la inoltriamo a Lei entro cinque giorni lavorativi e facciamo sapere al visitatore a chi deve rivolgersi. Cercare che cosa ha su qualcuno può farlo da solo, nella schermata Ordini. Fornire una copia dei dati di qualcuno o cancellarli non può farlo da solo nella schermata di gestione: ce lo chieda, e lo facciamo noi per Lei.

---

I quattro testi che forniamo noi

Sul sito pubblico ci sono quattro documenti legali. Rimandano l'uno all'altro e portano tutti la stessa data di versione, così che in un fascicolo possa dire quale versione ha usato.

Documento	Di che cosa tratta
Impressum	Chi gestisce il servizio: nome, indirizzo, numero d'impresa, partita IVA, contatto
Informativa sulla privacy	Quali dati personali vengono trattati, per che cosa, per quanto tempo e con chi vengono condivisi
Condizioni generali	Gli accordi fra la Sua organizzazione e noi: abbonamento, pagamento, disponibilità, responsabilità
Accordo sul trattamento dei dati	Che cosa facciamo con i dati dei Suoi visitatori, su Suo incarico

L'accordo sul trattamento dei dati non deve firmarlo a parte: fa parte delle condizioni generali. Se le accetta al momento della registrazione, accetta anche quello. La versione che Lei ha accettato viene conservata presso la Sua organizzazione — può quindi sempre verificare con che cosa si è dichiarato d'accordo.

Se un fascicolo per un contributo o una gara richiede comunque un esemplare firmato su carta intestata, ci scriva. Lo firmiamo.

Attenzione: questi quattro testi riguardano noi e Lei. Non dicono nulla al Suo visitatore sul Suo evento. Quello è il capitolo successivo, ed è lavoro Suo.

---

Che cosa Le serve prima di cominciare

• Mezza giornata per scrivere due testi: le Sue condizioni e la Sua informativa sulla privacy.
• Un posto dove pubblicare quei testi, di solito il Suo sito web. Nella schermata di gestione inserisce solo il link alle Sue condizioni, non il testo stesso.
• Il nome, l'indirizzo e il numero d'impresa o di associazione della Sua organizzazione, più un indirizzo e-mail a cui ci si possa rivolgere.
• Una decisione del Suo consiglio direttivo su due questioni: che cosa fa in caso di annullamento, e fino a quando si può annullare.
• Il ruolo Proprietario, per inserire quel link in Impostazioni → Organizzazione.
• Se ha dubbi sull'IVA: il numero del Suo commercialista.

---

Che cosa sbriga Lei

Se vende biglietti ai visitatori, nei confronti di quel visitatore il venditore è Lei. Ciò comporta quattro cose che non possiamo fare al posto Suo.

1. Le Sue condizioni generali

Sono gli accordi fra Lei e il Suo visitatore. Li metta su una pagina del Suo sito web e incolli il link in Impostazioni → Organizzazione, scheda Identità visiva, nel campo Link alle Sue condizioni. Il Suo visitatore vede quel link al momento del pagamento, accanto alla casella con cui accetta le Sue condizioni, e in fondo alla Sua biglietteria. Se non inserisce nulla, accetta comunque «le condizioni di» la Sua organizzazione, ma non può leggerle da nessuna parte.

Che cosa deve contenerle, ogni volta con un esempio di ciò che ci mette una piccola associazione:

Che cosa	Esempio
In caso di annullamento	"Se lo spettacolo non si svolge, rimborsiamo interamente il prezzo del biglietto entro 30 giorni. I diritti di prevendita non vengono rimborsati."
In caso di spostamento	"Se la data viene spostata, il Suo biglietto resta valido per la nuova data. Se non può venire, ce lo faccia sapere prima della nuova data e Le restituiamo i soldi."
Rivendita	"Può cedere il Suo biglietto a qualcun altro. Non consentiamo la rivendita a un prezzo superiore a quello del biglietto."
Annullamento entro quando	"L'annullamento è possibile fino a 7 giorni prima della cena sociale scrivendo a cenasociale@suaassociazione.it. Dopodiché il Suo biglietto non è più rimborsabile, perché gli acquisti sono già stati fatti."
Arrivo in ritardo	"La visita guidata parte puntuale alle 14. Chi arriva dopo si unisce al gruppo ma non ha diritto al rimborso della parte perduta."
Regolamento interno	"I cani sono benvenuti al guinzaglio, tranne nella sala interrata. Si può fumare soltanto all'aperto. L'organizzazione può rifiutare l'accesso in caso di ubriachezza o comportamento molesto."
Responsabilità	"L'organizzazione non è responsabile per la perdita o il furto di oggetti personali."
Chi è Lei	"Toneelkring De Wissel vzw, Dorpsstraat 3, 9000 Ergens, numero d'impresa 0123.456.789."

Attenzione: le scriva nella lingua in cui vende e le tenga brevi. Tre schermate di testo non le legge nessuno; dieci righe chiare sì. E le tenga eque — una condizione manifestamente irragionevole nei confronti di un consumatore davanti a un giudice non regge comunque.

2. La Sua informativa sulla privacy

È Lei a stabilire perché raccoglie i dati dei Suoi visitatori e per quanto tempo li conserva. La nostra informativa sulla privacy dice che cosa fa la piattaforma con quei dati; non sostituisce la Sua. Al momento del pagamento rimandiamo alla nostra; per la Sua non c'è un campo apposito. La metta sul Suo sito web e vi rimandi dalle Sue condizioni — oppure metta entrambe sulla stessa pagina.

Cinque domande a cui risponde, con un esempio:

Domanda	Esempio per una piccola associazione
Che cosa raccoglie?	"Con un ordine: il Suo nome, il Suo indirizzo e-mail e ciò che ha ordinato. Per una cena sociale anche la Sua scelta del menu e le eventuali allergie che segnala."
Perché?	"Per poterLe consegnare il biglietto, per avvisarLa se qualcosa cambia, e per sapere quante porzioni dobbiamo cucinare."
Per quanto tempo?	"I dati del Suo ordine li conserviamo 7 anni perché la nostra contabilità lo richiede. Il Suo indirizzo e-mail per la newsletter lo conserviamo finché non si cancella."
Con chi li condivide?	"Con la nostra piattaforma di biglietteria, che li tratta per nostro conto, e con il nostro fornitore di pagamento per il pagamento. Con nessun altro. Non vendiamo indirizzi."
A chi ci si può rivolgere?	"Scriva a privacy@suaassociazione.it o a Toneelkring De Wissel vzw, Dorpsstraat 3, 9000 Ergens. Può richiedere i Suoi dati, farli correggere o farli cancellare."

Quell'ultimo recapito non è facoltativo. Un'informativa sulla privacy senza un luogo a cui rivolgere una domanda non è un'informativa sulla privacy.

Attenzione: invia newsletter? Allora quella è una finalità a sé, e per quella chiede un consenso separato. Un indirizzo e-mail ricevuto per consegnare un biglietto non è un consenso a mandarci qualcosa tre volte l'anno.

3. Il diritto di recesso

Chi acquista qualcosa online ha di norma quattordici giorni di ripensamento. Per gli eventi a data fissa nell'Unione europea di norma non vale un diritto di recesso di quattordici giorni — altrimenti una persona potrebbe comprare un biglietto, andare a vedere lo spettacolo e poi chiedere indietro i soldi.

Lo dica espressamente nelle Sue condizioni, perché altrimenti un visitatore dà per scontato di avere quel diritto.

Una frase che basta: "Per i biglietti di un evento a data determinata non vale il diritto legale di recesso di 14 giorni. Il Suo acquisto è definitivo, salvo quanto indicato sopra sull'annullamento."

Se vende qualcosa che non ha una data fissa — un buono regalo, un abbonamento annuale che parte in qualsiasi momento — non dia per scontato che valga la stessa eccezione. Si informi.

4. IVA e contabilità

È Lei a stabilire se e quale IVA applicare sui Suoi biglietti. La piattaforma calcola ciò che Lei imposta; non fornisce consulenza fiscale.

Che cosa ci mette in pratica una piccola associazione: molte associazioni rientrano in un'esenzione e applicano lo 0%, con una dicitura come "Esente da IVA" sul biglietto. Altre associazioni sono soggette a IVA per la loro cena sociale ma non per il loro spettacolo. Quella differenza è esattamente il tipo di domanda per cui si telefona una volta al proprio commercialista invece di tirare a indovinare.

Tenga anche presente che come venditore deve poter giustificare il proprio fatturato. Se vende all'ingresso, il giornale di cassa aiuta; veda La cassa al banco.

---

I dati di pagamento non li trattiamo noi

I numeri di carta, i numeri di conto e tutto il resto che riguarda un pagamento vanno direttamente al fornitore di pagamento che collega Lei stesso. Noi vediamo soltanto se un pagamento è riuscito e di quale importo si trattava. Anche il denaro arriva direttamente sul Suo conto; noi non ci mettiamo in mezzo. Veda Collegare il Suo fornitore di pagamento.

---

Periodi di conservazione

L'elenco completo si trova nell'informativa sulla privacy. I periodi che Le servono più spesso:

Che cosa	Per quanto	Perché
Ordini, biglietti e scansioni	Finché è cliente, più quanto indica Lei stesso	Lo stabilisce Lei come titolare
I Suoi dati dopo la fine del Suo abbonamento	30 giorni per esportarli, poi vengono cancellati	Tempo sufficiente per fare la Sua esportazione
Fatture	10 anni	Legge contabile bulgara, applicabile a noi
I Suoi documenti contabili in Belgio	7 anni	Codice di diritto economico belga, applicabile a Lei
Log del server	90 giorni	Abbastanza a lungo per indagare su un incidente

Se Le serve un periodo più rigoroso per il Suo settore, ce lo faccia sapere.

---

Chi altro vede i Suoi dati?

Soltanto i fornitori che ci servono per far funzionare la piattaforma. L'elenco completo con nome, paese e finalità si trova nell'informativa sulla privacy e nell'accordo sul trattamento dei dati. Quei due elenchi provengono dalla stessa fonte, così non possono divergere.

Se si aggiunge un fornitore o se ne viene meno uno, lo comunichiamo per e-mail con almeno trenta giorni di anticipo. Se non è d'accordo, può disdire senza spese.

I Suoi dati restano nell'Unione europea, con tre eccezioni che ha in mano Lei stesso: un biglietto in Apple Wallet o Google Wallet, e Stripe come fornitore di pagamento. Per tutte e tre valgono le clausole contrattuali tipo della Commissione europea o l'EU-US Data Privacy Framework.

---

Cookie

Soltanto quelli funzionali: la sessione, il token CSRF e il cookie che La mantiene connesso — e, su un tablet che ha abbinato come cassa, un cookie che riconosce quel dispositivo. Nessuna analisi, nessuna pubblicità, nessun tracciatore, e nessun carattere tipografico o script da un server esterno. La Sua scelta di lingua sta nell'indirizzo della pagina e non in un cookie.

Per questo sul sito non c'è nemmeno un banner dei cookie. Non è una dimenticanza: per i cookie strettamente necessari a fornire il servizio non è richiesto alcun consenso.

---

Se qualcosa va comunque storto

Se constatiamo una violazione dei dati che riguarda i Suoi visitatori, La informiamo entro 48 ore dalla constatazione — non entro 72, perché quelle 72 ore sono il termine entro cui Lei deve informare la Sua autorità di controllo, e ce la fa soltanto se lo apprende da noi prima. Riceve da noi ciò che sappiamo in quel momento, e ciò che non sappiamo ancora glielo diciamo onestamente.

---

Presentare un reclamo

Se non è soddisfatto di come trattiamo i dati, lo dica prima a noi — la maggior parte delle cose si risolve più in fretta di quanto duri una procedura. Può anche rivolgersi direttamente a un'autorità di controllo: alla CPDP bulgara (cpdp.bg), la nostra autorità capofila, oppure, se vive in Belgio, all'Autorità per la protezione dei dati (gegevensbeschermingsautoriteit.be).

---

Errori frequenti

• Usare la nostra informativa sulla privacy come la Sua. Quella riguarda la piattaforma. Il Suo visitatore acquista da Lei e deve poter leggere il Suo testo.
• Non inserire un link alle Sue condizioni. Al momento del pagamento il Suo visitatore non può allora leggere da nessuna parte che cosa accetta, e al primo annullamento non ha alcun accordo a cui rimandare.
• Usare per una newsletter gli indirizzi e-mail della vendita di biglietti. Quella è un'altra finalità. Chieda un consenso separato.
• Sostenere che ci siano comunque quattordici giorni di ripensamento. Oppure non dire nulla al riguardo, il che equivale alla stessa cosa non appena qualcuno lo chiede.
• Chiedere più di quanto Le serve. Una data di nascita, un codice fiscale o un indirizzo per un biglietto che arriva per e-mail: lasci perdere. Ciò che non ha non lo può perdere.

---

E se …

E se un visitatore chiede di cancellare tutti i suoi dati?

Allora decide Lei. Guardi prima se Le servono ancora: un ordine che è nella Sua contabilità di norma può conservarlo fino alla scadenza del Suo termine di legge. Il resto può andare. Cerchi la persona in Ordini e ci dica che cosa può sparire: la cancellazione o l'anonimizzazione la facciamo noi per Lei.

E se non ho condizioni mie e ho già venduto?

Le scriva comunque, le metta online e inserisca il link in Impostazioni → Organizzazione, scheda Identità visiva. Da quel momento valgono per i nuovi ordini. Per ciò che è già stato venduto ripiega sulla legge e su quanto ha promesso nella Sua comunicazione — una ragione per non rimandare.

E se il mio evento viene annullato?

Faccia ciò che è scritto nelle Sue condizioni, e lo faccia in fretta. Scriva a tutti quelli che hanno un biglietto, dica che cosa succede ai loro soldi e quando. Il silenzio Le costa più benevolenza di un rimborso che richiede due settimane.

E se un visitatore ha un reclamo su come trattiamo i suoi dati?

Lo indirizzi a Lei, non a noi: il titolare è Lei. Se non ne viene a capo, La aiutiamo con i fatti. Un visitatore può inoltre rivolgersi sempre alla propria autorità di controllo.

E se un finanziatore chiede un accordo firmato sul trattamento dei dati?

Ci scriva. Firmiamo un esemplare su carta intestata. Il contenuto è lo stesso di quello che ha già accettato al momento della registrazione.

---

Domande frequenti

Devo firmare a parte l'accordo sul trattamento dei dati? No. È compreso nelle condizioni generali che ha accettato al momento della registrazione. Per un fascicolo, su richiesta, firmiamo un esemplare a sé.

La mia piccola associazione deve davvero avere un'informativa sulla privacy? Sì. Il GDPR non fa eccezioni in base alle dimensioni. La buona notizia: per un'associazione che raccoglie soltanto nomi e indirizzi e-mail basta una pagina.

Posso riprendere le frasi di esempio di questo articolo? Sì, certamente — le adatti alla Sua situazione. Sono esempi per aiutarLa a partire e non un testo modello verificato da un legale.

Mi serve un banner dei cookie sulla mia pagina di biglietteria? Per le pagine che forniamo noi no: lì ci sono soltanto cookie funzionali. Se incorpora la biglietteria nel Suo sito web con accanto strumenti di analisi, allora si tratta dei Suoi cookie e del Suo banner.

Dove vedo quale versione delle condizioni ho accettato? Viene conservata presso la Sua organizzazione. Ce la chieda se Le serve l'esemplare che aveva accettato all'epoca.