La maggior parte degli articoli che confrontano le gallerie di selezione le classifica per prezzo, spazio di archiviazione e aspetto della galleria per il cliente. Sono cose che contano. Ma se lavori in Europa c'è una domanda a cui nessuno di quei confronti risponde: dove si trovano fisicamente le foto dei tuoi clienti, e che cosa ti obbliga a fare?
Questa non è una lezione di conformità. È la lista breve di ciò che un fotografo europeo dovrebbe saper rispondere sulla propria piattaforma di gallerie, e di cosa cambia quando i file restano in Europa.
Prima di tutto, la parola: proofing
Negli Stati Uniti "proofing" è il termine standard per la galleria che mandi a un cliente perché riveda, selezioni e approvi le immagini prima della consegna finale. In Europa lo stesso passaggio di solito si chiama semplicemente consegna della galleria, ed è per questo che i fotografi europei che cercano in inglese perdono spesso metà del mercato.
Vale la pena saperlo, perché è la parola attorno a cui ogni piattaforma statunitense organizza il proprio prodotto. Se confronti strumenti in inglese, cerca "proofing galleries", non "delivery galleries".
Le foto dei tuoi clienti sono dati personali, e il titolare del trattamento sei tu
Una fotografia in cui una persona è identificabile è un dato personale. È il punto di partenza, e vale per un servizio di ritratti aziendali come per un matrimonio.
Ne derivano due ruoli. Sei tu a decidere di chi vengono scattate le foto, perché e per quanto tempo restano online, e questo ti rende titolare del trattamento. La piattaforma che ospita la galleria agisce secondo le tue istruzioni, il che la rende responsabile del trattamento.
Questo rapporto non è informale. L'articolo 28 richiede un contratto scritto tra le due parti, un accordo sul trattamento dei dati (DPA), che precisi cosa può fare il responsabile, le sue misure di sicurezza, chi sono i suoi sub-responsabili e che cosa accade ai dati alla fine.
Il test pratico: puoi scaricare oggi quell'accordo dal sito della piattaforma, senza contattare l'ufficio commerciale? Sulle piattaforme serie sì. Dove non puoi, sei tu a detenere l'obbligo senza avere le carte.
Ospitare negli Stati Uniti non è illegale. È burocrazia
È qui che si concentra la maggior parte della confusione, e va in entrambe le direzioni.
Trasferire dati personali fuori dallo Spazio economico europeo è lecito quando un meccanismo giuridico lo copre. Dal luglio 2023 il Data Privacy Framework UE-USA offre esattamente questo: un'azienda statunitense che si è autocertificata può ricevere dati personali dall'UE senza ulteriori formalità, come avverrebbe per un trasferimento all'interno dell'UE.
Quindi una piattaforma di selezione statunitense non è automaticamente un problema. Conta una sola domanda di fatto: questa azienda specifica è certificata?
Il registro è pubblico. Cerca la ragione sociale dell'azienda su dataprivacyframework.gov e controlla che la certificazione sia attiva. Una pagina commerciale che dice "conforme al GDPR" non è una risposta, e non lo è nemmeno una risposta dell'assistenza che dice che i dati sono "al sicuro". La certificazione è uno stato in un elenco pubblico: o c'è, o non c'è.
Se il fornitore non è in quell'elenco, il trasferimento richiede clausole contrattuali tipo e una valutazione d'impatto del trasferimento, cioè un'analisi che verifichi se le leggi del paese di destinazione svuotino di fatto quelle clausole. Quella valutazione è compito del titolare del trattamento. In altre parole, tuo.
Le sei cose da verificare prima di firmare
Applicale a qualsiasi piattaforma, europea o no. La maggior parte richiede cinque minuti.
L'accordo sul trattamento dei dati. Scaricabile senza doverlo chiedere, e firmato dall'entità a cui paghi davvero.
La regione di archiviazione. Non la sede dell'azienda, ma la regione in cui si trovano i file delle immagini e i record del database. Alcune piattaforme ti lasciano sceglierla, la maggior parte no.
Il meccanismo di trasferimento. La certificazione al Data Privacy Framework, oppure clausole contrattuali tipo più una tua valutazione.
L'elenco dei sub-responsabili. Una piattaforma di gallerie non è mai sola: archiviazione di oggetti, rete di distribuzione dei contenuti (CDN), email transazionali, analytics. Chiedi l'elenco e come vieni avvisato quando cambia. Le aggiunte in silenzio sono il difetto più comune.
Conservazione e cancellazione. Che cosa accade ai file quando una galleria scade o chiudi il tuo account. Una piattaforma che non sa indicare tempi di cancellazione non può aiutarti a rispondere alla richiesta di cancellazione di un cliente.
Il confronto dei volti, se lo usi. Le fotografie non sono dati biometrici per impostazione predefinita. Il considerando 51 è esplicito su questo punto. Diventano biometriche solo quando sono trattate con mezzi tecnici che consentono l'identificazione univoca, ed è proprio ciò che fa il confronto dei volti: così entri nell'articolo 9 e nel consenso esplicito. L'inquadramento è approfondito in riconoscimento facciale e GDPR per i fotografi.
Cosa cambia davvero con l'opzione europea
Niente di magico. Toglie dal tuo fascicolo un capitolo del regolamento.
Con l'archiviazione nell'Unione europea, il capitolo V sui trasferimenti internazionali smette di applicarsi a quella parte dei tuoi strumenti. Nessuna certificazione da verificare, nessuna clausola contrattuale tipo da allegare, nessuna valutazione d'impatto del trasferimento da redigere e tenere aggiornata. Gli altri obblighi restano esattamente come prima.
Dove tutto questo smette di essere astratto è il B2B. I clienti aziendali mandano sempre più spesso un questionario fornitori prima di un servizio, e una delle sue righe chiede dove i sub-responsabili conservano i dati. Rispondere "nell'Unione europea, ecco l'accordo" chiude la questione in una email. Rispondere "negli Stati Uniti, sotto un framework, fammi cercare il certificato" apre una conversazione con un ufficio legale che non ha alcun motivo di avere fretta.
La seconda cosa che cambia è la giurisdizione. Un responsabile europeo contrae secondo il diritto europeo, con un'autorità di controllo europea. Quando qualcosa va storto, c'è uno strato in meno tra te e un rimedio.
Pixieset, ShootProof e la questione europea
Per essere onesti con loro: sono ottimi prodotti, costruiti da team seri, e i fotografi li usano perché funzionano. Niente di quanto scritto qui dice il contrario, e il nostro confronto delle alternative a Pixieset ne consiglia diversi in base al profilo.
Quello attorno a cui non sono costruiti è la questione europea. Archiviazione, assistenza e contratti sono organizzati per un mercato statunitense in cui queste scartoffie non esistono. Non è un difetto, è un mercato diverso.
Quindi non chiedere se sono conformi, perché non è una proprietà da sì o no di un prodotto. Fai le tre domande di fatto di prima: che cosa dice l'accordo, dove si trova l'archiviazione e se l'azienda è nel registro pubblico. Poi decidi con le risposte davanti.
Dove si colloca Evokly, e dove no
Evokly, una galleria white label per eventi con ricerca dei volti, ospita i dati nell'Unione europea, pubblica un accordo sul trattamento dei dati e basa il confronto dei volti su un consenso esplicito registrato, con eliminazione alla scadenza dell'evento. Le gallerie sono white label con il tuo brand a partire dal piano Event Pro, a pagamento unico, senza abbonamento.
È pensato per eventi con molti soggetti diversi: matrimoni, gala, conferenze, giornate aziendali. Gli invitati scansionano un codice QR e ognuno ritrova le foto in cui compare facendosi un selfie, ed è questo che elimina il filo del "puoi cercare quelle in cui ci sono io?" della settimana dopo.
Dove non è adatto: Evokly non è una piattaforma di vendita di stampe e non gestisce contratti né fatturazione. Se il tuo modello di business si basa sulle stampe su carta, o se vuoi consegna e gestione dello studio in un'unica dashboard, gli strumenti citati sopra lo fanno e Evokly no.
Quando una piattaforma statunitense è ancora la risposta giusta
Tre casi, con onestà.
I tuoi clienti sono americani. La questione del trasferimento va nell'altra direzione, e la piattaforma locale è quella su cui si basano le loro aspettative.
Le vendite di stampe sono il tuo margine. Le integrazioni con i laboratori che lo rendono possibile sono mature sulle piattaforme statunitensi e assenti nella maggior parte di quelle europee.
Sei già operativo e funziona. Migrare costa ore vere, e una piattaforma che conosci vale più di una scheda un po' migliore sulla carta. Cambia quando c'è un motivo, non per un articolo.
In breve
Il luogo di hosting non è conformità, e l'hosting europeo non è un certificato. Quello che fa è cancellare un capitolo dei tuoi obblighi, quello sui trasferimenti internazionali, e darti una risposta da una sola email quando un cliente aziendale chiede dove si trovano le foto.
Prima di firmare qualsiasi cosa, ottieni per iscritto l'accordo, la regione di archiviazione e il meccanismo di trasferimento. Se una piattaforma non riesce a fornirti tutti e tre in un pomeriggio, hai già la risposta su tutto il resto.
Per quanto tempo conservare i file una volta consegnati, vedi la conservazione delle foto degli eventi secondo il GDPR.
Prova gratis una galleria white label, su un servizio reale, prima di decidere qualsiasi cosa.
Domande frequenti
Ospitare le foto dei clienti negli Stati Uniti è illegale secondo il GDPR?
No. I trasferimenti fuori dallo Spazio economico europeo sono leciti quando li copre un meccanismo giuridico. Dal luglio 2023 il Data Privacy Framework UE-USA ne offre uno: un'azienda statunitense che si è autocertificata può ricevere dati personali dall'UE senza clausole contrattuali tipo. Se il tuo fornitore non è certificato, il trasferimento richiede clausole contrattuali tipo e una valutazione d'impatto del trasferimento, e quel lavoro spetta a te in quanto titolare del trattamento, non a lui.
Come verifico se una piattaforma di selezione è certificata nel Data Privacy Framework?
L'elenco è pubblico e consultabile su dataprivacyframework.gov. Cerca la ragione sociale dell'azienda e non il nome del prodotto, e controlla che la certificazione sia attiva e copra le categorie di dati giuste. Un fornitore che si dichiara «conforme al GDPR» in una pagina commerciale non equivale a una certificazione attiva in quel registro.
Sono il titolare del trattamento delle gallerie dei miei clienti?
Nel caso normale, sì. Sei tu a decidere di chi vengono scattate le foto, perché e per quanto tempo restano online, e questo ti rende titolare del trattamento. La piattaforma di selezione agisce secondo le tue istruzioni, il che la rende responsabile del trattamento. Questo rapporto richiede un accordo scritto sul trattamento dei dati ai sensi dell'articolo 28, ed è il documento che dovresti poter scaricare senza contattare l'ufficio commerciale.
Le fotografie sono dati biometrici secondo il GDPR?
Non per impostazione predefinita. Il considerando 51 è esplicito: le fotografie non sono sistematicamente dati di categorie particolari. Diventano dati biometrici solo quando sono trattate con mezzi tecnici specifici che consentono di identificare in modo univoco una persona, ed è esattamente ciò che fa il riconoscimento facciale. Una semplice galleria di volti contiene dati personali ordinari; se aggiungi il confronto dei volti entri nell'articolo 9, che richiede un consenso esplicito.
Ospitare in Europa basta da solo a essere in regola?
No, e qualsiasi fornitore che dica il contrario sta vendendo qualcosa. L'hosting europeo toglie dal tuo fascicolo un capitolo del regolamento, quello sui trasferimenti internazionali. Servono comunque una base giuridica per le foto, un accordo sul trattamento dei dati, un periodo di conservazione che applichi davvero e un modo per rispondere a una richiesta di cancellazione. Il luogo di hosting è una riga della checklist, non la checklist.