Privacy policy

N°06 — Legal

Ultimo aggiornamento: 27 settembre 2026

La presente informativa è resa ai sensi dell'art. 13 del Regolamento (UE) 2016/679 ("GDPR") agli utenti che visitano il sito sindistafaph.it (di seguito "Sito") e che interagiscono con i servizi web offerti dal Titolare. L'informativa riguarda solo il Sito e non altri siti raggiungibili tramite link.

1. Titolare del trattamento

Sindi Stafa
Padova (IT)
Email: sindistafaph@gmail.com

Il Titolare non ha nominato un Data Protection Officer (DPO) in quanto non rientra nei casi di designazione obbligatoria di cui all'art. 37 GDPR. Per qualsiasi richiesta relativa al trattamento dei dati personali è sufficiente scrivere all'email indicata.

2. Dati trattati e finalità

Il Sito è volutamente minimale ed è concepito per ridurre al necessario la raccolta di dati personali. Di seguito l'elenco completo delle tipologie di dati trattati, le relative finalità e la base giuridica ai sensi dell'art. 6 GDPR.

2.1 Dati di navigazione

Durante la normale operatività, i sistemi informatici e le procedure software del Sito acquisiscono alcuni dati la cui trasmissione è implicita nei protocolli di comunicazione Internet. Si tratta di informazioni che non sono raccolte per essere associate a interessati identificati, ma che per loro natura potrebbero, attraverso elaborazioni e associazioni con dati detenuti da terzi, permettere di identificare gli utenti.

Dato	Finalità	Base giuridica	Conservazione
Indirizzo IP, user-agent, referer, URL richiesti, data/ora, codici di stato	Erogazione del servizio web, sicurezza della rete, diagnostica tecnica e mitigazione di attacchi automatici (bot)	Legittimo interesse del Titolare (art. 6.1.f GDPR) a mantenere il servizio disponibile e sicuro	I log tecnici sono gestiti dal provider di hosting (Cloudflare) secondo la loro privacy policy. Il Titolare non conserva log di accesso propri.

2.2 Dati forniti tramite il modulo di contatto

Il modulo disponibile nella pagina Contatti invia i dati inseriti dall'utente al servizio Web3Forms (Web3Forms, USA), il quale inoltra il contenuto del messaggio via email al Titolare. Web3Forms agisce come responsabile del trattamento ai sensi dell'art. 28 GDPR limitatamente alla consegna della comunicazione. Una copia della richiesta è inoltre salvata nell'infrastruttura del Sito (Cloudflare D1, in qualità di responsabile del trattamento), accessibile solo al Titolare tramite l'area riservata, dove la richiesta viene gestita insieme a eventuali note interne e alla data dello shooting concordata. Il Sito non salva l'indirizzo IP né altri identificatori del mittente.

Dato	Finalità	Base giuridica	Conservazione
Nome, email, tipo di progetto, messaggio, e facoltativamente date preferite per lo shooting e link di riferimento (moodboard); indirizzo IP del mittente (raccolto da Web3Forms a fini anti-abuso)	Rispondere alla richiesta di contatto dell'utente, fornire informazioni su shooting, book o collaborazioni	Esecuzione di misure pre-contrattuali su richiesta dell'interessato (art. 6.1.b GDPR)	Web3Forms trattiene temporaneamente i dati del messaggio per la sola consegna (secondo la loro privacy policy). La email ricevuta dal Titolare e la copia salvata dal Sito sono conservate per il tempo necessario a gestire la richiesta e per 24 mesi dall'ultima interazione; trascorso questo termine la copia salvata dal Sito viene cancellata automaticamente, e l'email cancellata salvo obblighi di legge.

2.2-bis Candidature per posare («Posa per me»)

Il modulo nella pagina Posa per me permette di proporsi come modelle o modelli a partire dai 14 anni; per chi ha meno di 18 anni la candidatura è possibile solo indicando un genitore o tutore, che presta il consenso (vedi sotto). I dati e le fotografie inviati sono salvati nell'infrastruttura del Sito (Cloudflare D1 e R2, in qualità di responsabile del trattamento) e sono accessibili solo al Titolare, tramite l'area riservata: le fotografie allegate non vengono pubblicate né rese raggiungibili da indirizzi pubblici. Al momento dell'invio il Titolare riceve inoltre una notifica email tramite Web3Forms, contenente solo nome, città, età, profilo Instagram e indirizzo email del candidato e, per i minorenni, nome ed email del genitore o tutore.

Dato	Finalità	Base giuridica	Conservazione
Nome, email, città, età, e facoltativamente telefono, profilo Instagram, misure (per i minorenni non vengono raccolte le misure del corpo), colore di capelli e occhi, esperienza, interessi, disponibilità, messaggio; da 1 a 3 fotografie. Per i minori di 18 anni: nome, email e facoltativamente telefono del genitore o tutore	Valutare la candidatura e ricontattare l'interessato per organizzare eventuali shooting	Consenso dell'interessato (art. 6.1.a GDPR), espresso con l'apposita casella del modulo e, per i minori di 18 anni, anche dal genitore o tutore (art. 8 GDPR e art. 2-quinquies D.Lgs. 196/2003); misure pre-contrattuali su sua richiesta (art. 6.1.b GDPR)	Fino a richiesta di cancellazione e comunque non oltre 12 mesi dall'invio, trascorsi i quali candidatura e fotografie vengono cancellate automaticamente. Se la collaborazione prosegue, i dati necessari confluiscono nella liberatoria firmata, che ne disciplina l'uso.

Il consenso può essere revocato in qualsiasi momento scrivendo a sindistafaph@gmail.com: candidatura e fotografie vengono cancellate senza ritardo. La revoca non pregiudica la liceità del trattamento effettuato prima.

2.2-ter Testimonianze

Il Titolare può invitare modelle, colleghi e clienti a scrivere una testimonianza inviando loro un link personale, valido 30 giorni. La pagina raggiungibile dal link non è indicizzata e il codice che contiene è conservato dal Sito solo in forma cifrata (impronta SHA-256). Il testo è scritto esclusivamente dalla persona invitata e viene pubblicato, se il Titolare lo approva, senza modifiche.

Dato	Finalità	Base giuridica	Conservazione
Nome inserito dal Titolare nell'invito (visibile solo a lui); firma, ruolo, testo, voto facoltativo, profilo Instagram facoltativo e fotografia scelta tra quelle già pubblicate, indicati dalla persona invitata. Per i minorenni viene pubblicato solo il nome di battesimo, senza cognome né profilo Instagram	Pubblicare sul Sito l'opinione della persona sul lavoro svolto insieme	Consenso dell'interessato (art. 6.1.a GDPR), espresso con l'apposita casella al momento dell'invio	Finché la testimonianza resta pubblicata o fino alla revoca del consenso. Inviti mai compilati e testimonianze non pubblicate possono essere eliminati dal Titolare in qualsiasi momento.

Il consenso può essere revocato in qualsiasi momento scrivendo a sindistafaph@gmail.com: la testimonianza viene rimossa dal Sito senza ritardo.

2.2-quater Liberatorie firmate online

Prima di uno shooting il Titolare può inviare a chi posa (o, per i minorenni, al genitore o tutore) un link personale, valido 30 giorni, per compilare e firmare la liberatoria fotografica dal proprio dispositivo. La pagina non è indicizzata e il codice del link è conservato solo in forma cifrata (impronta SHA-256). La firma viene tracciata a mano sullo schermo. Dopo la firma lo stesso link permette per altri 30 giorni di scaricare la propria copia in PDF; il documento è composto dal browser a partire dai dati conservati dal Sito e dal modello pubblicato in questa stessa sezione del Sito.

Dato	Finalità	Base giuridica	Conservazione
Dati anagrafici e di contatto richiesti dal modello di liberatoria (nome, cognome, città di residenza, codice fiscale facoltativo, email, telefono facoltativo; per i minorenni anche data e luogo di nascita del minore e, per ciascun genitore o tutore, qualità, codice fiscale facoltativo, numero di un documento d'identità ed email), consensi espressi, immagini delle firme tracciate	Redigere e conservare l'accordo sull'uso delle fotografie e i consensi specifici (pagina personale, privacy, eventuale sfruttamento economico)	Esecuzione dell'accordo (art. 6.1.b GDPR) e consenso dell'interessato per le finalità che lo richiedono (art. 6.1.a GDPR)	Per la durata dell'accordo e, dopo la sua scadenza o revoca, per il tempo necessario a tutelare i diritti delle parti (di norma 10 anni, termine di prescrizione ordinaria). I link mai usati possono essere eliminati dal Titolare in qualsiasi momento.
Data e ora della firma, indirizzo IP e user-agent del dispositivo usato per firmare, impronta (SHA-256) dei dati firmati	Provare chi ha firmato, quando e che cosa: questi dati compaiono nel certificato allegato al PDF	Legittimo interesse del Titolare e dell'interessato a disporre di una prova dell'accordo (art. 6.1.f GDPR)	Come i dati della riga precedente, insieme ai quali costituiscono la prova dell'accordo

Al momento della firma il Titolare riceve una notifica email tramite Web3Forms, che contiene solo il nome di chi ha firmato e la data dello shooting. Per comporre il PDF il browser scarica la libreria pdf-lib dal servizio jsDelivr (vedi 2.5).

2.3 Statistiche aggregate di utilizzo

Il Sito conta le pagine aperte per capire quali contenuti interessano ai visitatori. La misurazione è di prima parte (i dati non escono dai sistemi del Titolare, non è coinvolto alcun servizio di analytics esterno) e avviene senza cookie, senza local storage e senza alcun identificatore del dispositivo o dell'utente. Poiché non vi è né memorizzazione né accesso a informazioni sul terminale dell'utente, non trova applicazione l'art. 122 del Codice Privacy e non è richiesto consenso.

Il Paese di provenienza è determinato dal fornitore di hosting (Cloudflare) a partire dall'indirizzo IP della connessione: l'indirizzo IP non viene letto, né trasmesso, né conservato dal Sito, che riceve unicamente il codice del Paese e lo somma a un contatore giornaliero. Il dato conservato è quindi un totale per Paese e per giorno, dal quale non è possibile risalire ad alcun visitatore.

Dato	Finalità	Base giuridica	Conservazione
Contatori aggregati per giorno di: percorso della pagina aperta, ora di apertura (fuso italiano), dominio di provenienza, Paese di provenienza, tipo di dispositivo (mobile/desktop), lingua di visualizzazione, fotografie aperte a schermo intero, esito degli invii dal modulo contatti e testi cercati con la ricerca del sito (in minuscolo e senza accenti; le ricerche che contengono indirizzi email, link o sequenze di cifre non vengono registrate). Non vengono conservati indirizzo IP, user-agent, identificatori o cronologie individuali	Conoscere l'andamento delle visite e quali sezioni del portfolio vengono consultate, per orientare i contenuti pubblicati	Legittimo interesse del Titolare (art. 6.1.f GDPR) a valutare l'efficacia del proprio sito, con impatto minimo sull'interessato data la natura aggregata e non identificativa del dato	Al massimo 400 giorni, poi cancellazione automatica

Trattandosi di soli totali giornalieri, non è possibile ricostruire il percorso di navigazione di un singolo visitatore né distinguere un visitatore da un altro: il Sito non conta le persone, conta le pagine. I browser che inviano l'intestazione Do Not Track non vengono conteggiati. Per il dettaglio tecnico si veda la Cookie Policy.

2.4 Identificatori tecnici di archiviazione

Il Sito non imposta cookie HTTP propri. Per la gestione della sessione del pannello di amministrazione (accessibile solo al Titolare) viene utilizzato un token in localStorage denominato sindi_admin_token. Questo dato non riguarda i visitatori del sito pubblico. Per il dettaglio completo consulta la Cookie Policy.

2.5 Servizi di terze parti

Il Sito integra i seguenti servizi tecnici di terze parti, strettamente necessari per il funzionamento:

Cloudflare Pages (Cloudflare, Inc., USA) — hosting statico, CDN, D1 (database SQL), R2 (storage oggetti) e mitigazione bot. Privacy policy
Google Fonts (Google Ireland Ltd., IE) — consegna dei font web Fraunces e JetBrains Mono. Privacy policy · Dettagli privacy Google Fonts
jsDelivr (Prospect One, PL) — CDN da cui il browser scarica il banner dei cookie e, solo nelle pagine delle liberatorie, la libreria che compone il PDF. Riceve i dati tecnici di connessione. Privacy policy
Web3Forms (Web3Forms, USA) — servizio di inoltro del modulo di contatto. Riceve i dati compilati dall'utente e li recapita via email al Titolare. Privacy policy · Termini di servizio

Tali soggetti possono trattare, in qualità di autonomi titolari o di responsabili del trattamento, i dati tecnici di connessione (IP, user-agent) e, nel caso di Web3Forms, i contenuti del messaggio per le finalità indicate nelle rispettive policy.

3. Natura del conferimento

Il conferimento dei dati di navigazione è necessario per fruire del Sito ed è implicito nell'uso dei protocolli Internet. Il conferimento dei dati tramite il modulo di contatto è facoltativo: il rifiuto comporta l'impossibilità di rispondere alla richiesta.

4. Modalità del trattamento

I dati sono trattati con strumenti elettronici e con misure tecniche e organizzative adeguate a garantire la sicurezza e la riservatezza (art. 32 GDPR), inclusi: comunicazioni HTTPS/TLS, autenticazione del pannello admin con password hashed (PBKDF2-SHA256) e token JWT HS256 a breve scadenza, controllo degli accessi ai servizi cloud, scelta di fornitori tecnici che aderiscono a standard di sicurezza riconosciuti.

5. Destinatari dei dati

I dati non vengono diffusi né comunicati a soggetti diversi dai fornitori tecnici elencati al punto 2.5. I fornitori agiscono come autonomi titolari o responsabili del trattamento sulla base di accordi conformi al GDPR.

I dati possono essere comunicati ad autorità competenti in caso di obblighi di legge o richiesta formale.

6. Trasferimenti extra-UE

Alcuni fornitori (Cloudflare, Google, Web3Forms) sono stabiliti o operano anche al di fuori dello Spazio Economico Europeo. Tali trasferimenti avvengono in conformità al GDPR tramite meccanismi legali quali:

Clausole Contrattuali Standard (SCC) approvate dalla Commissione Europea
EU-U.S. Data Privacy Framework per il trasferimento verso aziende statunitensi certificate
Misure supplementari tecniche (crittografia end-to-end, pseudonimizzazione) dove applicabili

7. Diritti dell'interessato

L'utente ha il diritto di ottenere, in qualsiasi momento, ai sensi degli artt. 15-22 GDPR:

Accesso ai propri dati personali (art. 15)
Rettifica dei dati inesatti (art. 16)
Cancellazione ("diritto all'oblio") nei casi previsti (art. 17)
Limitazione del trattamento (art. 18)
Portabilità dei dati, ove applicabile (art. 20)
Opposizione al trattamento basato sul legittimo interesse (art. 21)
Non essere sottoposti a decisioni automatizzate (art. 22). Il Sito non compie processi decisionali automatizzati.

Per esercitare tali diritti è sufficiente inviare una richiesta a sindistafaph@gmail.com. Il Titolare risponderà entro i termini di legge (di norma 30 giorni).

8. Diritto di reclamo

L'interessato che ritenga che il trattamento dei propri dati avvenga in violazione della normativa ha il diritto di proporre reclamo al Garante per la protezione dei dati personali (Piazza Venezia 11, 00187 Roma), come previsto dall'art. 77 GDPR, o di adire le competenti sedi giudiziarie.

9. Minori

Il Sito non è rivolto a minori di 16 anni e non raccoglie intenzionalmente dati personali di minori. Fa eccezione il modulo «Posa per me», che accetta candidature dai 14 anni: per i minori di 18 anni sono richiesti i dati e il consenso di un genitore o tutore, non vengono raccolte le misure del corpo, e il Titolare contatta il genitore prima di qualsiasi shooting, che si svolge solo in sua presenza e con liberatoria firmata da un genitore (anche online, vedi 2.2-quater: in quel caso il minore firma il proprio assenso accanto al genitore). Qualora il Titolare venga a conoscenza di dati relativi a minori, provvederà alla loro cancellazione senza ingiustificato ritardo.

10. Aggiornamenti

La presente informativa può essere aggiornata per adeguarsi a modifiche normative, evoluzioni tecnologiche o variazioni dei servizi del Sito. Le versioni aggiornate sono pubblicate a questo indirizzo con indicazione della data di ultimo aggiornamento.

Vedi anche: Cookie Policy · Termini di servizio

Last updated: 27 September 2026

This notice is provided pursuant to art. 13 of Regulation (EU) 2016/679 ("GDPR") to users who visit the website sindistafaph.it (hereinafter the "Site") and who interact with the web services offered by the Owner. This notice concerns only the Site and not other sites reachable via links.

1. Data Controller

Sindi Stafa
Padova (IT)
Email: sindistafaph@gmail.com

The Owner has not appointed a Data Protection Officer (DPO) as it does not fall within the cases of mandatory designation under art. 37 GDPR. For any request relating to the processing of personal data, simply write to the email indicated.

2. Data processed and purposes

The Site is deliberately minimal and is designed to reduce the collection of personal data to what is necessary. Below is the complete list of the types of data processed, the related purposes and the legal basis pursuant to art. 6 GDPR.

2.1 Browsing data

During normal operation, the Site's IT systems and software procedures acquire certain data whose transmission is implicit in Internet communication protocols. This is information that is not collected to be associated with identified data subjects, but which by its very nature could, through processing and association with data held by third parties, allow users to be identified.

Data	Purpose	Legal basis	Retention
IP address, user-agent, referer, requested URLs, date/time, status codes	Provision of the web service, network security, technical diagnostics and mitigation of automated attacks (bots)	Legitimate interest of the Owner (art. 6.1.f GDPR) in keeping the service available and secure	Technical logs are managed by the hosting provider (Cloudflare) according to their privacy policy. The Owner does not keep its own access logs.

2.2 Data provided through the contact form

The form available on the Contact page sends the data entered by the user to the Web3Forms service (Web3Forms, USA), which forwards the message content by email to the Owner. Web3Forms acts as a data processor pursuant to art. 28 GDPR, limited to the delivery of the communication. A copy of the request is also stored in the Site's infrastructure (Cloudflare D1, acting as data processor), accessible only to the Owner through the restricted area, where the request is handled together with any internal notes and the agreed shoot date. The Site does not store the sender's IP address or any other identifier.

Data	Purpose	Legal basis	Retention
Name, email, project type, message, and optionally preferred shoot dates and reference links (moodboard); sender's IP address (collected by Web3Forms for anti-abuse purposes)	Respond to the user's contact request, provide information on shootings, books or collaborations	Performance of pre-contractual measures at the data subject's request (art. 6.1.b GDPR)	Web3Forms temporarily retains the message data for delivery only (according to their privacy policy). The email received by the Owner and the copy stored by the Site are kept for the time necessary to handle the request and for 24 months from the last interaction; after that the copy stored by the Site is deleted automatically, and the email is deleted unless there are legal obligations.

2.2-bis Model applications ("Pose for me")

The form on the Pose for me page allows people aged 14 and over to apply as models; applicants under 18 can only apply by naming a parent or guardian, who gives consent (see below). The data and photographs submitted are stored in the Site's infrastructure (Cloudflare D1 and R2, acting as data processor) and are accessible only to the Owner, through the restricted area: attached photographs are never published nor reachable at public addresses. Upon submission the Owner also receives an email notification via Web3Forms, containing only the applicant's name, city, age, Instagram profile and email address and, for minors, the parent or guardian's name and email.

Data	Purpose	Legal basis	Retention
Name, email, city, age, and optionally phone, Instagram profile, measurements (body measurements are not collected for minors), hair and eye colour, experience, interests, availability, message; 1 to 3 photographs. For applicants under 18: name, email and optionally phone of the parent or guardian	Evaluating the application and contacting the applicant to organise possible shoots	Consent of the data subject (art. 6.1.a GDPR), given through the dedicated checkbox in the form and, for applicants under 18, also by the parent or guardian (art. 8 GDPR and art. 2-quinquies of Italian Legislative Decree 196/2003); pre-contractual measures at their request (art. 6.1.b GDPR)	Until a deletion request and in any case no longer than 12 months from submission, after which the application and photographs are deleted automatically. If the collaboration goes ahead, the necessary data become part of the signed release form, which governs their use.

Consent can be withdrawn at any time by writing to sindistafaph@gmail.com: the application and photographs are deleted without delay. Withdrawal does not affect the lawfulness of processing carried out before it.

2.2-ter Testimonials

The Owner may invite models, fellow photographers and clients to write a testimonial by sending them a personal link, valid for 30 days. The page reached through the link is not indexed and the code it contains is stored by the Site only in hashed form (SHA-256). The text is written solely by the invited person and, if the Owner approves it, is published unedited.

Data	Purpose	Legal basis	Retention
Name entered by the Owner in the invitation (visible only to them); signature, role, text, optional rating, optional Instagram profile and a photograph chosen among those already published, provided by the invited person. For minors only the first name is published, with no surname or Instagram profile	Publishing on the Site the person's opinion of the work done together	Consent of the data subject (art. 6.1.a GDPR), given through the dedicated checkbox upon submission	For as long as the testimonial remains published or until consent is withdrawn. Unfilled invitations and unpublished testimonials may be deleted by the Owner at any time.

Consent can be withdrawn at any time by writing to sindistafaph@gmail.com: the testimonial is removed from the Site without delay.

2.2-quater Releases signed online

Before a shoot the Owner may send the person posing (or, for minors, their parent or guardian) a personal link, valid for 30 days, to fill in and sign the photography release from their own device. The page is not indexed and the link code is stored only in hashed form (SHA-256). The signature is drawn by hand on the screen. After signing, the same link can be used for a further 30 days to download one's own PDF copy; the document is put together by the browser from the data stored by the Site and from the template published on the Site.

Data	Purpose	Legal basis	Retention
Personal and contact details required by the release template (first name, surname, city of residence, optional Italian tax code, email, optional phone; for minors also the minor's date and place of birth and, for each parent or guardian, their role, optional tax code, the number of an ID document and email), consents given, images of the drawn signatures	Drawing up and keeping the agreement on the use of the photographs and the specific consents (personal page, privacy, any commercial exploitation)	Performance of the agreement (art. 6.1.b GDPR) and consent of the data subject for the purposes that require it (art. 6.1.a GDPR)	For the duration of the agreement and, after it expires or is withdrawn, for as long as needed to protect the parties' rights (normally 10 years, the ordinary limitation period). Unused links may be deleted by the Owner at any time.
Date and time of signature, IP address and user-agent of the device used to sign, fingerprint (SHA-256) of the signed data	Proving who signed, when and what: these data appear in the certificate attached to the PDF	Legitimate interest of the Owner and of the data subject in having evidence of the agreement (art. 6.1.f GDPR)	Same as the data in the previous row, together with which they make up the evidence of the agreement

When the release is signed, the Owner receives an email notification via Web3Forms containing only the signer's name and the date of the shoot. To put the PDF together the browser downloads the pdf-lib library from the jsDelivr service (see 2.5).

2.3 Aggregate usage statistics

The Site counts the pages that are opened, in order to understand which content visitors are interested in. The measurement is first-party (the data never leaves the Owner's systems and no external analytics service is involved) and takes place without cookies, without local storage and without any identifier of the device or the user. Since no information is stored on or read from the user's terminal, art. 122 of the Italian Privacy Code does not apply and no consent is required.

The country of origin is determined by the hosting provider (Cloudflare) from the IP address of the connection: the IP address is never read, transmitted or retained by the Site, which only receives the country code and adds it to a daily counter. What is retained is therefore a per-country daily total, from which no individual visitor can be identified.

Data	Purpose	Legal basis	Retention
Daily aggregate counters of: the path of the page opened, the hour it was opened (Italian time), the referring domain, the country of origin, the device type (mobile/desktop), the display language, the photographs opened full screen, the outcome of submissions from the contact form and the text searched with the site search (lowercased and without accents; searches containing e-mail addresses, links or sequences of digits are not recorded). IP addresses, user agents, identifiers and individual histories are not retained	To follow how visits develop and which sections of the portfolio are consulted, in order to guide the content published	Legitimate interest of the Owner (art. 6.1.f GDPR) in assessing the effectiveness of their own site, with minimal impact on the data subject given the aggregate, non-identifying nature of the data	At most 400 days, then automatically deleted

As only daily totals are kept, it is not possible to reconstruct a single visitor's browsing path or to tell one visitor from another: the Site does not count people, it counts pages. Browsers sending the Do Not Track header are not counted. For technical details see the Cookie Policy.

2.4 Technical storage identifiers

The Site does not set its own HTTP cookies. To manage the admin panel session (accessible only to the Owner) a token in localStorage named sindi_admin_token is used. This data does not concern visitors to the public site. For full details see the Cookie Policy.

2.5 Third-party services

The Site integrates the following technical third-party services, strictly necessary for operation:

Cloudflare Pages (Cloudflare, Inc., USA) — static hosting, CDN, D1 (SQL database), R2 (object storage) and bot mitigation. Privacy policy
Google Fonts (Google Ireland Ltd., IE) — delivery of the Fraunces and JetBrains Mono web fonts. Privacy policy · Google Fonts privacy details
jsDelivr (Prospect One, PL) — CDN from which the browser downloads the cookie banner and, only on the release pages, the library that puts the PDF together. It receives the technical connection data. Privacy policy
Web3Forms (Web3Forms, USA) — contact-form forwarding service. It receives the data filled in by the user and delivers it by email to the Owner. Privacy policy · Terms of service

These parties may process, as independent controllers or as data processors, the technical connection data (IP, user-agent) and, in the case of Web3Forms, the message content for the purposes indicated in their respective policies.

3. Nature of the provision of data

The provision of browsing data is necessary to use the Site and is implicit in the use of Internet protocols. The provision of data through the contact form is optional: refusal makes it impossible to respond to the request.

4. Methods of processing

Data is processed with electronic tools and with technical and organisational measures adequate to ensure security and confidentiality (art. 32 GDPR), including: HTTPS/TLS communications, admin panel authentication with hashed passwords (PBKDF2-SHA256) and short-lived HS256 JWT tokens, access control to cloud services, and the choice of technical providers that adhere to recognised security standards.

5. Data recipients

Data is neither disseminated nor communicated to parties other than the technical providers listed in point 2.5. The providers act as independent controllers or data processors on the basis of GDPR-compliant agreements.

Data may be communicated to competent authorities in the event of legal obligations or a formal request.

6. Non-EU transfers

Some providers (Cloudflare, Google, Web3Forms) are established or also operate outside the European Economic Area. Such transfers take place in compliance with the GDPR through legal mechanisms such as:

Standard Contractual Clauses (SCC) approved by the European Commission
EU-U.S. Data Privacy Framework for transfers to certified US companies
Supplementary technical measures (end-to-end encryption, pseudonymisation) where applicable

7. Rights of the data subject

The user has the right to obtain, at any time, pursuant to arts. 15-22 GDPR:

Access to their personal data (art. 15)
Rectification of inaccurate data (art. 16)
Erasure ("right to be forgotten") in the cases provided for (art. 17)
Restriction of processing (art. 18)
Data portability, where applicable (art. 20)
Objection to processing based on legitimate interest (art. 21)
Not to be subject to automated decisions (art. 22). The Site does not carry out automated decision-making processes.

To exercise these rights, simply send a request to sindistafaph@gmail.com. The Owner will respond within the time limits set by law (normally 30 days).

8. Right to lodge a complaint

A data subject who believes that the processing of their data is carried out in violation of the law has the right to lodge a complaint with the Italian Data Protection Authority (Garante per la protezione dei dati personali) (Piazza Venezia 11, 00187 Rome), as provided for by art. 77 GDPR, or to bring the matter before the competent courts.

9. Minors

The Site is not aimed at children under 16 and does not intentionally collect personal data of minors. The exception is the "Pose for me" form, which accepts applications from age 14: applicants under 18 must provide the details and consent of a parent or guardian, body measurements are not collected, and the Owner contacts the parent before any shoot, which only takes place in their presence and with a release form signed by a parent (possibly online, see 2.2-quater: in that case the minor signs their own assent alongside the parent). Should the Owner become aware of data relating to minors, it will delete it without undue delay.

10. Updates

This notice may be updated to comply with regulatory changes, technological developments or changes to the Site's services. Updated versions are published at this address with an indication of the last-updated date.

See also: Cookie Policy · Terms of service