Guida alla privacy
Galleria online conforme al GDPR per fotografi: cosa controllare prima di caricare le foto
Ogni galleria clienti contiene dati personali: volti, nomi, indirizzi email, a volte la festa di compleanno di un bambino. Questo fa del provider della galleria il tuo responsabile del trattamento, e il GDPR ha una breve lista di cose che si aspetta da quel rapporto. Questa guida spiega cosa chiede la legge, ti dà una checklist con cui misurare un provider e ti mostra cosa rispondere a un cliente che lo chiede.
Cosa chiede davvero il GDPR a una galleria
Il regolamento non nomina mai fotografi o gallerie. Parla di titolari, responsabili e dati personali, e la foto di una persona riconoscibile è un dato personale. Tre articoli fanno quasi tutto il lavoro.
Una base giuridica, e informare le persone (art. 6 e 13)
Ti serve un motivo per trattare le foto, di solito il contratto con il cliente o il tuo legittimo interesse, e le persone ritratte devono sapere cosa succede alle immagini. Per un matrimonio significa il contratto con la coppia e una riga per gli invitati su dove finiscono le foto. Questa parte spetta a te; nessun provider può farla al posto tuo.
Un contratto con chi le conserva (art. 28)
L'azienda che ospita le tue gallerie tratta dati personali per conto tuo, quindi il GDPR richiede un contratto scritto tra voi: un accordo sul trattamento dei dati, in inglese Data Processing Agreement (DPA), in tedesco Auftragsverarbeitungsvertrag (AVV). Stabilisce cosa può fare il provider con i dati, chi sono i suoi sub-responsabili e cosa succede quando te ne vai. Senza, è l'hosting stesso a essere la violazione.
Sicurezza e conservazione (art. 32)
Misure tecniche adeguate: cifratura in transito, controllo degli accessi, backup, un data center con una certificazione riconosciuta. E un limite a quanto restano le cose: il principio di limitazione della conservazione dice che le foto restano online finché c'è uno scopo, e poi vanno via. Una galleria che ti lascia decidere chi entra e togliere tutto con un clic sta facendo la sua metà.
La checklist
Sei cose su cui misurare un provider di gallerie prima di caricare una sola foto di un cliente. Un provider che le supera tutte e sei riduce la tua parte del GDPR quasi solo a documenti che hai già.
Hosting in UE e lista dei sub-responsabili pubblicata
Dove stanno fisicamente i file decide se devi spiegare un trasferimento internazionale. Lo storage dentro l'UE elimina la domanda. La lista dei sub-responsabili ti dice chi altro tocca i dati: il servizio email, il monitoraggio degli errori, il provider dei pagamenti. Se un provider non vuole dirti chi sono, quella è la tua risposta.
Un accordo sul trattamento firmato (DPA o AVV)
Non un paragrafo nei termini di servizio che dice che ne esiste uno, ma un documento con il tuo nome e quello del provider. Dovrebbe indicare i sub-responsabili, le misure di sicurezza, il termine per la notifica delle violazioni e cosa succede ai tuoi dati quando disdici. Conserva la copia firmata insieme ai contratti con i clienti.
Controllo degli accessi impostabile per singola galleria
Una galleria di matrimonio e una sessione di ritratti aziendali hanno bisogno di porte diverse. Una password tiene fuori gli estranei, un accesso via email ti dice chi è entrato, un PIN per il download separa il guardare dal prendere. Verifica che ciascuno sia un'impostazione per galleria e non per l'intero account.
Conservazione e cancellazione sotto il tuo controllo
Decidi tu quanto resta online una galleria, non il piano tariffario del provider. La cancellazione dovrebbe essere immediata dalla tua parte e con un termine preciso dalla loro: un numero dichiarato di giorni per la copia attiva e per i backup. Un provider che conserva i dati cancellati a tempo indeterminato ti impedisce di soddisfare una richiesta di cancellazione.
Notifica delle violazioni con una scadenza
Hai 72 ore da quando vieni a conoscenza di una violazione per avvisare l'autorità di controllo. Il tuo provider deve quindi avvisarti ben dentro quella finestra, e l'accordo dovrebbe dire quanto in fretta. Senza ingiustificato ritardo è una formula comune e debole; un numero di ore è meglio.
Aiuto con le richieste di accesso ed esportazione
I clienti possono chiederti quali dati hai su di loro e chiederne una copia. Per una galleria significa le foto, la lista degli ospiti, le reazioni e il registro dei download. Un provider che esporta una galleria e la sua attività in un colpo solo trasforma un obbligo di legge in un pomeriggio di pratiche.
Dove stanno i provider più diffusi
Quattro piattaforme di gallerie che i fotografi in Europa usano davvero, sui cinque punti della checklist a cui un provider può rispondere da solo. Verificato a settembre 2026; l'assetto di un provider può cambiare, quindi controlla il suo DPA attuale prima di firmare.
| Cosa conta | Pixieset Vancouver, Canada | Pic-Time Sede in Israele | picdrop Berlino, Germania | Photoglacier Austria, server in Germania |
|---|---|---|---|---|
| Sede dell'azienda | Canada | Israele | Germania | Austria (nord3 digital e.U.) |
| Dove sono conservate le foto | Possono essere conservate fuori dall'UE | Azure, AWS e MongoDB in UE, USA e Australia | Germania | Hetzner Object Storage in Germania, data center ISO/IEC 27001 |
| Accordo sul trattamento | Il DPA fa parte dei termini | Non indicato nelle pagine che abbiamo controllato; chiedi il DPA prima di firmare | AVV disponibile | DPA in inglese e AVV in tedesco, firmati elettronicamente |
| Trasferimenti fuori dall'UE | Sì, coperti da clausole contrattuali standard | Sì, con server in USA e Australia | L'hosting è in Germania, quindi nessuno per le foto | Nessuno: ogni sub-responsabile è in hosting UE, i pagamenti passano da Stripe Ireland |
| Lista dei sub-responsabili pubblicata | Controlla il DPA prima di firmare | Controlla il DPA prima di firmare | Chiedila insieme all'AVV | Sì, nel DPA: Hetzner, Mailgun o Mailjet, Sentry, PostHog, Let's Encrypt |
Quando un cliente chiede dove sono le sue foto
Succede più spesso di una volta, e di solito dal cliente che meno te lo aspetti: un avvocato a un matrimonio, una scuola, un'azienda il cui responsabile privacy ha una lista. La risposta sta in quattro frasi, se l'assetto è quello giusto.
-
Indica il paese e l'azienda
Germania, su server gestiti da Hetzner, tramite un'azienda austriaca: questa è una risposta. Il cloud non lo è. Se non riesci a completare quella frase per il tuo provider, è la prima cosa da sistemare, e la lista dei sub-responsabili è il posto dove trovarla.
-
Manda i documenti
Allega il DPA o l'AVV firmato. Un cliente che ha fatto la domanda di solito si accontenta di un documento con due firme, e un cliente aziendale può averne bisogno per i propri archivi. Dimostra anche che sapevi che la domanda sarebbe arrivata.
-
Spiega chi può aprire la galleria
Di' se è protetta da password, se gli ospiti entrano tramite un accesso via email e se i download richiedono un PIN. Se la coppia ha condiviso il link con la famiglia, dillo; la lista degli ospiti nella galleria ti dice chi l'ha aperta.
-
Dai una data, e un modo per anticiparla
Spiega quanto resta online la galleria e cosa succede dopo. Offri di toglierla prima se lo chiedono, e spiega cosa significa cancellare presso il provider: quanto ci vuole perché sparisca la copia attiva e quanto perché i backup vengano sovrascritti.
A cosa si impegna davvero il DPA di Photoglacier
Photoglacier è una piattaforma di gallerie clienti gestita da nord3 digital e.U. in Austria, con ogni foto su Hetzner Object Storage in Germania. Il DPA è lo stesso su ogni piano, compreso quello gratuito. Non applica filigrane, non ha uno shop di stampe né un CRM, e il piano gratuito mostra il marchio Photoglacier. Quello che fa è tenere i dati dentro l'UE e mettere i numeri per iscritto.
- Notifica delle violazioni a te entro 48 ore
- Alla disdetta, i tuoi dati vengono cancellati o restituiti entro 30 giorni, e i backup sovrascritti entro 90 giorni
- Le voci della lista ospiti di una galleria vengono anonimizzate dopo 14 giorni, e i log IP sono conservati al massimo 14 giorni
- Le foto vengono conservate, mostrate e trasmesse, nient'altro: mai analizzate, mai usate per l'addestramento
- Sub-responsabili indicati nel DPA, tutti in hosting UE: Hetzner, Mailgun o Mailjet, Sentry, PostHog, Let's Encrypt
Le domande che si fanno le persone
Una galleria online per le foto dei clienti è soggetta al GDPR?
Sì, se sei nell'UE o lo sono le persone nelle foto. La foto di una persona identificabile è un dato personale, e lo sono anche i nomi e gli indirizzi email collegati a una galleria. Questo fa di te il titolare e del provider della galleria il tuo responsabile del trattamento, ed è per questo che contano la sede del provider e il contratto.
Mi serve un accordo sul trattamento dei dati con il provider della galleria?
Sì. L'articolo 28 del GDPR richiede un contratto scritto tra un titolare e chiunque tratti dati personali per suo conto, e un'azienda che ospita per te le foto dei clienti fa esattamente questo. Alcuni provider inseriscono l'accordo nei termini di servizio; un documento firmato a parte è più facile da mostrare a un cliente o a un'autorità. Conservalo insieme ai contratti con i clienti.
Il GDPR richiede che le foto siano conservate nell'UE?
No. Richiede che qualsiasi trasferimento fuori dall'UE poggi su un meccanismo riconosciuto, come una decisione di adeguatezza o le clausole contrattuali standard, e che tu sappia spiegare quale si applica. Conservare le foto nell'UE elimina del tutto la domanda, ed è per questo che molti fotografi trattano l'hosting in UE come la strada più semplice piuttosto che come un obbligo di legge.
Pixieset è conforme al GDPR?
Pixieset è un'azienda canadese, i suoi dati possono essere conservati fuori dall'UE e il suo DPA fa parte dei termini, con le clausole contrattuali standard a coprire i trasferimenti dall'UE. È un assetto praticabile secondo il GDPR, ma significa che tu come titolare ti affidi a un meccanismo di trasferimento e dovresti saperlo dire se te lo chiedono. Se sia accettabile per i tuoi clienti è una decisione tua, non del provider.
picdrop è conforme al GDPR?
picdrop è un'azienda berlinese che ospita in Germania, offre un AVV e dichiara di non usare alcuna AI sui dati degli utenti. Sui punti a cui un provider può rispondere da solo, è una posizione solida: nessun trasferimento internazionale per le foto e un contratto da responsabile firmato. Come per qualsiasi provider, la conformità dipende comunque da come lo usi, dalle impostazioni di accesso a quanto restano online le gallerie.
Per quanto tempo posso tenere online le foto dei clienti?
Il GDPR non fissa un numero di giorni; dice che i dati personali vanno conservati non oltre quanto richiede lo scopo. Per una galleria di consegna lo scopo è che il cliente ritiri le sue foto, quindi scrivi un periodo nel contratto, dillo al cliente e rispettalo. Dodici mesi sono comuni per i matrimoni. Le gallerie Photoglacier non scadono mai su nessun piano, quindi la data la decidi tu, non il piano tariffario.
Cosa faccio se un cliente mi chiede di cancellare le sue foto?
Togli la galleria, cancellala presso il provider e conferma al cliente per iscritto con la data. Controlla cosa dice il DPA del provider sui backup, perché una copia in un ciclo di backup è pur sempre una copia; il DPA di Photoglacier mette dei numeri a livello di account, con i dati cancellati o restituiti entro 30 giorni e i backup sovrascritti entro 90. Il tuo archivio personale è una questione a parte, perché potresti avere motivi contrattuali o di diritto d'autore per conservare i file, e quella è da chiarire con un consulente qualificato.
Photoglacier fornisce un AVV o un DPA?
Sì, su richiesta. C'è una Vereinbarung zur Auftragsverarbeitung (AVV) in tedesco e un Data Processing Agreement (DPA) in inglese, lo stesso accordo in due lingue. Richiedilo dal modulo di contatto scegliendo l'argomento “Richiesta DPA” e indicando la lingua che ti serve. Prima compili i tuoi dati e firmi, poi ce lo rimandi; noi controfirmiamo e ti restituiamo la copia definitiva. L'accordo vale su ogni piano, compreso quello gratuito.
Una galleria foto GDPR per un fotografo è soprattutto una questione di dove, e con chi
Chi cerca una galleria online conforme al GDPR per fotografi di solito lo fa perché un cliente gli ha appena fatto la domanda e si è accorto di non saper rispondere. La risposta è raramente complicata. Si riduce a dove sono conservati i file, se esiste un accordo sul trattamento dei dati tra fotografo e provider, chi altro tocca i dati e se il fotografo può togliere una galleria quando lo scopo è finito. Un provider dentro l'UE con un contratto firmato e una lista dei sub-responsabili pubblicata risponde a quasi tutto prima che il cliente abbia finito di chiedere.
Photoglacier è costruito per quella risposta. L'azienda è austriaca, le foto stanno su Hetzner Object Storage in Germania, e l'accordo sul trattamento che un fotografo firma è lo stesso documento su ogni piano, con il termine per le violazioni, i periodi di cancellazione e i sub-responsabili scritti dentro. Una galleria foto GDPR per fotografi ha comunque bisogno che la parte del fotografo sia fatta bene: una base giuridica, una riga nel contratto su dove finiscono le foto e una data in cui vengono tolte. Il compito della piattaforma è fare in modo che quella sia l'unica parte che resta.
Altre guide
Questa guida descrive come il GDPR si applica in generale ai fotografi e ai loro provider di gallerie e non costituisce consulenza legale. Le regole cambiano e le circostanze variano, quindi per una decisione che conta rivolgiti a un consulente qualificato nella tua giurisdizione. Pixieset, Pic-Time e picdrop sono marchi dei rispettivi proprietari; Photoglacier non è affiliato a nessuno di loro. I dettagli sui provider sono stati verificati a settembre 2026 e possono cambiare.
Una risposta che puoi mettere per iscritto
Azienda austriaca, server tedeschi e un DPA che vale su ogni piano, compreso quello gratuito.
