Privacy Policy

Ultimo aggiornamento: 30 settembre 2026 · Versione: 1.4 · In vigore: dal 30 ottobre 2026 per chi era già registrato, da subito per chi si registra da oggi e per l’app su iPhone e iPad

La presente informativa descrive come Matteo Alba, che gestisce il servizio CreatorHive (di seguito “noi”, “Titolare”), tratta i dati personali degli utenti del servizio SaaS accessibile su creatorhive.app, in conformità al Regolamento (UE) 2016/679 (“GDPR”) e al D.Lgs. 196/2003 (come modificato dal D.Lgs. 101/2018).

1. Titolare del trattamento

• Titolare: Matteo Alba
• Sede: Vicenza (VI)
• P.IVA: 04459140242
• Email contatto privacy: privacy@creatorhive.app

Non è stato nominato un Data Protection Officer (DPO) formale ai sensi dell’Art. 37 GDPR perché il trattamento non rientra nei casi di nomina obbligatoria. Per qualsiasi questione relativa ai tuoi dati puoi scrivere direttamente al Titolare all’indirizzo email indicato sopra.

2. Tipologie di dati trattati

Trattiamo le seguenti categorie di dati personali:

• Dati identificativi e di contatto: username, email, data di nascita (obbligatoria, serve a verificare la maggiore età di chi usa l’account), eventualmente nome, cognome, indirizzo (se forniti dall’utente).
• Dati di autenticazione: password (memorizzata sotto forma di hash bcrypt non reversibile), eventuale secret per autenticazione a due fattori (cifrato Fernet), backup code (hashati one-way).
• Dati di profilo professionale: bio, email aziendale, categorie di contenuti, giochi (per i creator).
• Dati di sessione e utilizzo: indirizzi IP (parzialmente mascherati nei log generici), tipo di dispositivo, log degli accessi e delle azioni rilevanti.
• Dati relativi ai canali social collegati (per i creator): nome del canale, identificativo piattaforma, statistiche aggregate richieste tramite OAuth dall’utente. I token OAuth sono cifrati e non sono mai esposti all’utente o a terzi.
• Dati relativi alle sponsorizzazioni: riferimenti contrattuali, deliverable, screenshot di statistiche, valori di campagna.
• Documenti delle spese (giustificativi): foto o PDF di scontrini, ricevute e fatture caricati per rendicontare le spese delle sponsorizzazioni, e i dati del documento confermati da chi l’ha caricato (totale, numero, data, esercente ed eventuale partita IVA o codice fiscale, tipo di documento, valuta, imponibile e IVA, ripartizione per categoria). Un documento può contenere dati di terzi, per esempio dell’esercente.
• Dati dell’app mobile (per i creator che la usano): modello del telefono (mostrato nell’elenco delle sessioni), identificativo per le notifiche push dell’installazione (token), sistema operativo, lingua dell’app e categorie di notifica attive, collegati alla sessione dell’app. Le notifiche push contengono il titolo e il testo della notifica, con il nome della sponsorizzazione o dell’attività a cui si riferiscono; non contengono importi né altri dati di pagamento, che restano visibili solo dentro il servizio.

3. Finalità e basi giuridiche del trattamento

4. Destinatari dei dati e fornitori (Art. 28 GDPR)

I dati possono essere trattati da fornitori di servizi terzi che agiscono come Responsabili del trattamento. Tutti i fornitori sono vincolati da un Data Processing Addendum.

L’elenco aggiornato è disponibile su richiesta a privacy@creatorhive.app.

Notifiche su iPhone e iPad. Sui dispositivi Apple le notifiche push sono consegnate da Apple Push Notification service (APNs), il servizio di iOS e iPadOS gestito da Apple Distribution International Ltd. (Irlanda). Expo gli passa il titolo e il testo della notifica e l’identificativo dell’installazione. Apple gestisce questo servizio nell’ambito del proprio rapporto con chi usa il dispositivo e secondo la propria informativa, e non offre a chi sviluppa app un Data Processing Addendum per le notifiche: per questo nelle push mandiamo solo ciò che serve a capire di cosa si tratta, mai importi o dati di pagamento. Apple può trattare i dati anche fuori dallo Spazio Economico Europeo, con le Clausole Contrattuali Standard. Le notifiche si disattivano dalle impostazioni del dispositivo (vedi §7).

Lettura automatica (intelligenza artificiale). CreatorHive la attiva per ciascuna organizzazione, separatamente per i documenti caricati dallo staff dell’organizzazione e per quelli caricati dai creator. Quando è attiva, le immagini degli screenshot delle statistiche e dei documenti delle spese (di un PDF solo la prima pagina) sono inviate a Google Cloud (Vertex AI), che ne legge i dati e li restituisce a CreatorHive. La lettura avviene nell’Unione Europea. Google non usa questi dati per addestrare i propri modelli e non li conserva oltre il tempo della lettura, salvo una memoria temporanea di 24 ore e, solo se un controllo automatico segnala un possibile abuso del servizio, registri conservati fino a 90 giorni, sempre nell’Unione Europea.

Solo quando Google Cloud non risponde, la lettura passa al fornitore di riserva, Anthropic (Claude, tramite API). Anthropic conserva i dati negli Stati Uniti e può elaborarli anche in altri Paesi fuori dall’Unione Europea (vedi §5); non li usa per addestrare i propri modelli e li cancella entro 30 giorni, salvo quelli che un controllo automatico segnala come possibile violazione delle sue regole d’uso, conservati fino a 2 anni. Se nessuno dei due fornitori risponde, i dati si inseriscono a mano.

I dati letti non diventano definitivi da soli: chi ha caricato il documento li conferma o li corregge, e nessuna decisione con effetti giuridici è presa in modo automatizzato (Art. 22 GDPR).

5. Trasferimenti extra-UE

Alcuni dei nostri fornitori (Cloudflare, i servizi di notifica push Expo, Google e Apple, Anthropic come fornitore di riserva della lettura automatica, eventuali fallback US) possono trattare dati al di fuori dello Spazio Economico Europeo. Google Cloud tratta nell’Unione Europea i documenti della lettura automatica; restano possibili accessi da fuori UE per manutenzione e assistenza. Anthropic, usato solo quando Google Cloud non risponde, conserva i documenti che riceve negli Stati Uniti, con le Clausole Contrattuali Standard incluse nel suo Data Processing Addendum. In tali casi il trasferimento è regolato dalle Clausole Contrattuali Standard adottate dalla Commissione Europea con Decisione 2021/914 (“SCC”), come previsto dall’Art. 46 GDPR e in conformità alla sentenza Schrems II, oppure, per i fornitori certificati, dall’EU-US Data Privacy Framework, oggetto della decisione di adeguatezza della Commissione del 10 luglio 2023 (Art. 45 GDPR).

6. Periodo di conservazione

7. Diritti dell’interessato (Art. 15-22 GDPR)

In qualunque momento puoi esercitare i seguenti diritti:

• Diritto di accesso (Art. 15) — ottenere una copia dei tuoi dati personali. Disponibile self-service nelle impostazioni del tuo account (“Esporta i miei dati”) o tramite richiesta a privacy@creatorhive.app.
• Diritto di rettifica (Art. 16) — correggere dati inesatti.
• Diritto alla cancellazione / oblio (Art. 17) — disponibile self-service nelle impostazioni (“Cancella account”) con periodo di grace di 30 giorni durante il quale puoi annullare la richiesta. Procedura completa, anche senza accesso: Cancellazione account.
• Diritto di limitazione del trattamento (Art. 18).
• Diritto alla portabilità dei dati (Art. 20) — copertura tramite la stessa funzione di export.
• Diritto di opposizione (Art. 21). Le notifiche push si disattivano in qualsiasi momento dalle impostazioni del telefono, per tutte o per singola categoria, oppure dalle preferenze notifiche di CreatorHive.
• Diritto di revocare il consenso in qualsiasi momento, dove il trattamento si basa sul consenso (es. marketing, una volta attivato).

Per esercitare i diritti che non sono coperti dalle funzioni self-service, scrivi a privacy@creatorhive.app. Risponderemo entro un mese, salvo proroghe motivate ex Art. 12(3) GDPR.

8. Diritto di reclamo

Hai diritto di proporre reclamo all’autorità di controllo competente. In Italia: Garante per la Protezione dei Dati Personali.

9. Misure di sicurezza

Adottiamo misure tecniche e organizzative adeguate alla natura dei dati trattati, tra cui:

• Password protette con bcrypt (cost factor 12).
• Autenticazione a due fattori obbligatoria per tutti gli account (app di autenticazione o passkey).
• Cifratura in transito (TLS 1.2+) e cifratura a riposo per i dati sensibili (Fernet su token OAuth e secret MFA).
• Segregazione multi-tenant a livello di database e di applicazione.
• Rate limiting, protezione brute force, header di sicurezza HTTP (CSP, HSTS, X-Frame-Options).
• Cleanup automatici di sessioni, log, screenshot e token scaduti.
• Procedura interna di incident response con notifica al Garante entro 72h ai sensi dell’Art. 33 GDPR.

10. Età minima

Il servizio è riservato ai maggiorenni. In fase di registrazione l’utente indica la propria data di nascita, obbligatoria, e conferma di avere almeno 18 anni; la data di nascita non può essere cambiata in una che indichi un’età inferiore.

Un creator minorenne non ha un proprio account e non usa il servizio: l’account è intestato e usato da un genitore o dal tutore, che agisce per suo conto, e la data di nascita indicata è quella del genitore o del tutore. In questo caso trattiamo anche i dati del minore (per esempio il canale, le statistiche e i compensi) per il contratto stipulato dal genitore o dal tutore (Art. 6(1)(b)). Al compimento dei 18 anni l’account può passare al creator, che ne diventa l’utente e aggiorna i propri dati (credenziali, email, data di nascita).

11. Modifiche alla presente informativa

Ci riserviamo il diritto di aggiornare questa informativa. Le modifiche sostanziali (nuovo trattamento, nuovo fornitore, cambio retention significativo) sono comunicate agli utenti registrati almeno 30 giorni prima che entrino in vigore, con un avviso nel servizio ed eventualmente via email. Nell’avviso l’utente può segnare di averlo letto, e la presa visione viene registrata; non è richiesta una nuova accettazione. La versione in vigore è sempre su questa pagina, con la data dell’ultimo aggiornamento in cima. Lo storico delle versioni è mantenuto internamente.

12. Contatti

Per qualsiasi domanda relativa al trattamento dei tuoi dati personali: privacy@creatorhive.app.