Informativa sul trattamento dei dati personali

Ai sensi degli articoli 13 e 14 del Regolamento UE 2016/679

Ultimo aggiornamento: 11 settembre 2026

1. Titolare del trattamento

Il Titolare del trattamento, quando determina autonomamente le finalità e i mezzi del trattamento, è:

Black Fox Video S.r.l.
Sede legale: Viale Europa Unita 10, 10040 Volvera (TO), Italia
Codice fiscale e Partita IVA: 11907350018
Marchio e piattaforma: Velka
E-mail: privacy@blackfoxvideo.it
PEC: blackfoxvideo@pec.it

La presente informativa si applica ai servizi accessibili attraverso:

• velka.it;
• app.velka.it;
• volley.velka.it;
• volley.velkaone.it;
• eventuali applicazioni mobili, sottodomini, portali e servizi digitali collegati al marchio Velka.

Velka è un marchio e un progetto di Black Fox Video S.r.l.

Al momento non è stato nominato un Responsabile della protezione dei dati o Data Protection Officer. Qualora tale figura venga nominata, i relativi dati di contatto saranno pubblicati nella presente informativa.

2. Fornitori e soggetti che trattano dati per conto di Velka

Per erogare i propri servizi, Black Fox Video S.r.l. utilizza fornitori tecnologici che possono trattare dati personali per conto del Titolare.

I principali fornitori attualmente utilizzati sono:

Vercel Inc.

Servizio utilizzato:hosting, distribuzione dell'applicazione, infrastruttura web, funzioni serverless, gestione dei domini applicativi e protezione tecnica dei servizi.

Vercel può trattare:

• indirizzi IP;
• richieste HTTP;
• dati tecnici del dispositivo e del browser;
• log applicativi;
• identificativi di sessione;
• dati trasmessi attraverso le funzionalità ospitate;
• informazioni relative a errori, prestazioni e sicurezza.

Vercel può utilizzare infrastrutture e sub-responsabili localizzati anche fuori dallo Spazio Economico Europeo.

Il trattamento è disciplinato dalle condizioni contrattuali e dal Data Processing Addendum messo a disposizione dal fornitore.

Neon e Neon Auth

Servizi utilizzati:

• database PostgreSQL;
• archiviazione delle informazioni applicative;
• gestione delle relazioni tra utenti, società e organizzazioni;
• autenticazione degli utenti;
• gestione di profili, credenziali protette, sessioni e autorizzazioni;
• gestione tecnica dell'architettura multi-tenant.

Neon può trattare, a seconda delle funzionalità utilizzate:

• dati identificativi;
• dati di contatto;
• dati degli account;
• identificativi utente;
• informazioni relative alle sessioni;
• ruoli e autorizzazioni;
• dati delle società sportive;
• dati di atleti, genitori, tutori e collaboratori;
• dati relativi all'attività sportiva;
• dati amministrativi, contrattuali e operativi;
• eventuali dati particolari inseriti dalle società sportive;
• log e informazioni tecniche.

I dati utilizzati da Neon Auth sono conservati all'interno dell'infrastruttura database Neon in appositi schemi dedicati all'autenticazione.

Neon può utilizzare sub-responsabili e infrastrutture localizzati anche fuori dallo Spazio Economico Europeo. Il trattamento è regolato dalle condizioni contrattuali, dal Data Processing Addendum e dalle garanzie previste dal fornitore.

Google Ireland Limited e società del gruppo Google

Servizi utilizzati:

• Google Drive per l'archiviazione e la gestione di documenti e file;
• Google Analytics 4 per la misurazione dell'utilizzo dei siti e delle applicazioni web.

Google Drive

Google Drive può essere utilizzato per conservare:

• documenti caricati dagli utenti;
• documentazione relativa a società sportive e partner;
• file amministrativi;
• immagini;
• allegati;
• documenti contrattuali;
• eventuali documenti relativi agli atleti o alle attività sportive;
• copie e documenti di supporto.

L'accesso ai file è limitato ai soggetti autorizzati secondo i ruoli e le necessità operative.

Black Fox Video S.r.l. utilizza Google Drive attraverso un account aziendale o professionale e non attraverso account personali dei singoli operatori.

Google può trattare i dati in Paesi esterni allo Spazio Economico Europeo applicando le garanzie previste dalla normativa, dai propri accordi sul trattamento dei dati e dalle Clausole Contrattuali Standard, ove necessarie.

Google Analytics 4

Google Analytics viene utilizzato per ottenere informazioni statistiche sull'utilizzo dei siti e delle applicazioni Velka, quali:

• pagine visitate;
• durata e frequenza delle sessioni;
• interazioni con le funzionalità;
• informazioni approssimative sulla provenienza geografica;
• tipo di dispositivo;
• sistema operativo;
• browser;
• identificativi online;
• indirizzo IP, secondo le modalità tecniche applicate da Google;
• eventi relativi alla navigazione.

Google Analytics utilizza cookie e identificatori analoghi, incluso il cookie _ga, per distinguere utenti e sessioni.

Google Analytics viene attivato soltanto dopo che l'utente ha espresso il proprio consenso attraverso il sistema di gestione dei cookie, salvo eventuali configurazioni che consentano un utilizzo privo di identificatori e legalmente assimilabile agli strumenti tecnici.

Il consenso può essere negato o revocato in qualsiasi momento attraverso il pannello delle preferenze cookie.

Velka non invia intenzionalmente a Google Analytics:

• nomi e cognomi;
• indirizzi e-mail;
• numeri di telefono;
• dati sanitari;
• contenuti dei profili;
• dati relativi ai minori;
• dati contenuti nei documenti;
• informazioni che consentano direttamente di identificare l'utente.

La conservazione dei dati a livello di utente e di evento sarà configurata secondo il periodo minimo compatibile con le esigenze statistiche di Velka e sarà indicata nella Cookie Policy.

Resend Inc.

Servizi utilizzati:

• invio di e-mail operative;
• verifica degli indirizzi e-mail;
• recupero delle password;
• inviti agli account;
• comunicazioni di sicurezza;
• messaggi transazionali;
• notifiche inviate tramite posta elettronica;
• eventuali newsletter o comunicazioni promozionali, previo consenso quando necessario.

Resend può trattare:

• nome e cognome;
• indirizzo e-mail;
• identificativi dell'utente;
• oggetto e contenuto della comunicazione;
• data e ora di invio;
• stato di consegna;
• aperture e clic, soltanto se tali funzioni vengono attivate;
• indirizzo IP e informazioni tecniche relative alla consegna;
• dati relativi a errori, rimbalzi e segnalazioni di spam.

Quando Resend viene utilizzato per comunicazioni promozionali, l'eventuale rilevamento delle aperture o dei clic sarà descritto nell'informativa e gestito nel rispetto delle preferenze dell'utente.

Resend può trattare dati negli Stati Uniti e utilizzare propri sub-responsabili. Il trattamento è disciplinato dal Data Processing Addendum del fornitore e dalle garanzie applicabili ai trasferimenti internazionali.

Attualmente Velka non utilizza Resend per notifiche push native sul dispositivo, ma per comunicazioni e notifiche inviate tramite e-mail. Qualora vengano introdotte notifiche push attraverso un diverso fornitore, la presente informativa sarà aggiornata.

Meta Platforms Ireland Limited

Servizio utilizzato: Meta Pixel, sul sito pubblico di Velka Volley (volley.velka.it), solo previo consensoalla categoria «Marketing».

Il Pixel serve a misurare i risultati delle inserzioni pubblicate su Facebook e Instagram — quante persone raggiungono il sito da un annuncio e quante completano l'iscrizione (conversion tracking) — e può essere utilizzato per mostrare annunci di Velka su quelle piattaforme, anche a chi ha già visitato il sito (remarketing e pubblicità personalizzata).

Meta può trattare:

• indirizzo IP;
• tipo di browser, sistema operativo e dispositivo;
• indirizzo della pagina visitata e della pagina di provenienza;
• data e ora della visita;
• gli identificativi contenuti nei cookie _fbp e _fbc;
• l'evento registrato, che oggi è soltanto la visualizzazione di una pagina (PageView);
• l'eventuale identificativo dell'account Meta, se l'interessato ne possiede uno ed è connesso.

Velka nontrasmette al Pixel nome, cognome, indirizzo e-mail, codice fiscale, partita IVA né alcun altro dato inserito nei moduli del sito.

Base giuridica:il consenso dell'interessato (art. 6.1.a del Regolamento e art. 122 del Codice Privacy). Finché il consenso non viene prestato lo script del Pixel non viene scaricato e nessun cookie di Meta viene scritto. Il consenso è revocabile in qualsiasi momento dalla voce «Preferenze cookie», presente nel piede delle pagine pubbliche e nella Cookie Policy; la revoca non pregiudica la liceità del trattamento avvenuto in precedenza.

Rispetto alla raccolta e alla trasmissione di questi dati Black Fox Video S.r.l. e Meta Platforms Ireland Limited agiscono come contitolari del trattamentoai sensi dell'articolo 26 del Regolamento. Meta può trattare i dati anche negli Stati Uniti sulla base della decisione di adeguatezza della Commissione europea del 10 luglio 2023 relativa al EU–US Data Privacy Framework e, in via ulteriore, delle Clausole Contrattuali Standard.

Il dettaglio dei singoli cookie, della loro durata e delle modalità di revoca è nella Cookie Policy.

Servizio ulteriore:le società sportive che lo scelgono possono collegare la propria Pagina Facebook e il proprio profilo Instagram per pubblicare i contenuti dalla Piattaforma. È una funzione facoltativa, distinta dal Pixel e indipendente dal consenso ai cookie: le autorizzazioni richieste, i dati trattati e le modalità di revoca sono descritti alla sezione 9.

Stripe Payments Europe Limited e società del gruppo Stripe

Servizio utilizzato: gestione dei pagamenti, degli abbonamenti, delle transazioni e delle operazioni finanziarie collegate ai servizi Velka.

Stripe può trattare:

• nome e cognome;
• indirizzo e-mail;
• indirizzo di fatturazione;
• importo e valuta della transazione;
• identificativi del pagamento;
• dati relativi al metodo di pagamento;
• ultime cifre e circuito della carta;
• stato del pagamento;
• dati tecnici;
• informazioni antifrode;
• dati richiesti dalla normativa antiriciclaggio, ove applicabile.

I dati completi delle carte di pagamento vengono raccolti e trattati direttamente da Stripe. Black Fox Video S.r.l. non conserva normalmente il numero completo della carta o i relativi codici di sicurezza.

Stripe può operare, a seconda del trattamento effettuato, come Responsabile del trattamento o come autonomo Titolare del trattamento, ad esempio per l'adempimento dei propri obblighi legali, la prevenzione delle frodi e la gestione del sistema dei pagamenti.

3. Trasferimenti verso Paesi terzi

Alcuni fornitori utilizzati da Velka hanno sede negli Stati Uniti o utilizzano infrastrutture e sub-responsabili localizzati fuori dallo Spazio Economico Europeo.

I dati possono pertanto essere trasferiti negli Stati Uniti o in altri Paesi terzi.

Tali trasferimenti avvengono, a seconda del fornitore e del trattamento, sulla base di:

• decisioni di adeguatezza della Commissione europea;
• adesione del destinatario all'EU-US Data Privacy Framework, quando applicabile;
• Clausole Contrattuali Standard approvate dalla Commissione europea;
• accordi sul trattamento dei dati;
• misure tecniche e organizzative supplementari;
• cifratura dei dati durante la trasmissione;
• controlli e limitazioni degli accessi;
• altre garanzie previste dagli articoli 44 e seguenti GDPR.

Il Titolare verifica periodicamente le condizioni applicate dai fornitori e può richiedere documentazione relativa alle garanzie adottate.

Una copia o una sintesi delle garanzie relative ai trasferimenti può essere richiesta scrivendo a:

privacy@blackfoxvideo.it

4. Comunicazioni e notifiche tramite e-mail

Velka utilizza Resend per inviare comunicazioni relative al funzionamento del servizio.

A titolo esemplificativo, potranno essere inviate:

• conferme di registrazione;
• verifiche dell'indirizzo e-mail;
• inviti alla creazione dell'account;
• comunicazioni per impostare o recuperare la password;
• avvisi relativi alla sicurezza;
• conferme di ordini o pagamenti;
• comunicazioni amministrative;
• risposte dell'assistenza;
• notifiche relative a eventi o attività richieste dall'utente;
• messaggi inviati da una società sportiva attraverso le funzionalità della Piattaforma.

Le comunicazioni strettamente necessarie all'erogazione del servizio non richiedono un consenso marketing e non possono essere disattivate quando indispensabili per la sicurezza o l'esecuzione del rapporto.

Le comunicazioni promozionali sono invece inviate soltanto:

• sulla base di un consenso valido;
• oppure negli altri casi espressamente consentiti dalla normativa applicabile.

L'utente può revocare il consenso marketing attraverso il link presente nelle comunicazioni o scrivendo a privacy@blackfoxvideo.it.

5. Pagamenti tramite Stripe

Quando l'utente effettua un pagamento, viene indirizzato all'interfaccia o ai componenti tecnici messi a disposizione da Stripe.

Stripe tratta i dati necessari a:

• autorizzare il pagamento;
• verificare il metodo di pagamento;
• prevenire frodi;
• gestire eventuali autenticazioni rafforzate;
• elaborare rimborsi;
• gestire contestazioni e chargeback;
• adempiere a obblighi legali e finanziari.

Velka riceve normalmente da Stripe:

• identificativo della transazione;
• importo;
• valuta;
• stato del pagamento;
• tipo di metodo utilizzato;
• ultime cifre della carta, quando disponibili;
• nominativo e dati di fatturazione;
• informazioni necessarie a riconciliare il pagamento con l'account o l'ordine.

Il trattamento necessario al pagamento si fonda sull'esecuzione del contratto.

Stripe può effettuare autonomamente ulteriori trattamenti per prevenzione delle frodi, sicurezza, rispetto degli obblighi normativi e funzionamento della propria rete di pagamento, secondo la propria informativa privacy.

6. Archiviazione dei documenti su Google Drive

I documenti caricati o generati attraverso Velka possono essere conservati su Google Drive.

Autorizzazione e ambito di accesso

L'archiviazione avviene su un Drive di proprietà di Black Fox Video S.r.l., non sul Drive personale degli utenti. Il collegamento è configurato una sola volta a livello di piattaforma: un account Google aziendale di Black Fox Video S.r.l. viene autorizzato tramite Google OAuth 2.0 con il solo ambito https://www.googleapis.com/auth/drive.file, oltre a openid ed emailper identificare l'account collegato.

L'ambito drive.file è il più ristretto disponibile per questa funzione: consente a Velka di accedere esclusivamente ai file e alle cartelle che ha creato lei. Il resto del contenuto di quel Drive — e a maggior ragione qualsiasi altro Drive — non è tecnicamente accessibile alla Piattaforma.

Alle società sportive e ai loro utenti non viene mai richiesto di collegare il proprio account Google né di concedere alcuna autorizzazione su Drive: i documenti trattati sono esclusivamente quelli che caricano nella Piattaforma.

Velka crea una cartella radice di piattaforma e, al suo interno, una sottocartella dedicata per ciascuna società, così che i documenti di società diverse restino separati. Le operazioni effettuate tramite le Google Drive API sono limitate a tale gerarchia di cartelle — creata da Velka stessa — e sono unicamente:

• creazione della cartella radice, delle cartelle per società e caricamento dei documenti (files.create);
• individuazione delle proprie cartelle, tramite ricerca che sotto drive.file restituisce soltanto elementi creati da Velka (files.list);
• download di un documento su richiesta di un utente autorizzato, e verifica dello stato del collegamento leggendo il nome della cartella radice (files.get);
• cancellazione di un documento su richiesta della società (files.delete).

Velka nonaccede ad altri contenuti dell'account Google collegato al di fuori di questa gerarchia di cartelle, né alla posta elettronica, ai contatti o al calendario.

Limited Use — Google API Services User Data Policy

L'uso e il trasferimento a qualsiasi altra applicazione delle informazioni ricevute dalle API di Google da parte di Velka — ivi comprese le Google Drive API — rispetteranno la Google API Services User Data Policy, inclusi i requisiti di Limited Use applicabili agli ambiti con restrizioni. In particolare, i documenti e i dati ottenuti tramite le Google Drive API:

• non sono venduti a terzi;
• non sono utilizzati né trasferiti per finalità di pubblicità, profilazione pubblicitaria, remarketing o vendita di dati;
• non sono utilizzati per addestrare, sviluppare o migliorare modelli di intelligenza artificiale o machine learning generalizzati;
• non sono trasferiti ad altri soggetti se non per erogare le funzionalità di archiviazione documentale richieste dalla società, per adempiere a obblighi di legge o previo consenso esplicito;
• non sono letti da personale umano, salvo che: la società presti un consenso specifico per una propria richiesta di assistenza, sia necessario per ragioni di sicurezza (indagine su abusi o su un incidente), oppure lo imponga la legge. In tali casi l'operazione è limitata al minimo necessario e registrata.

Il token di aggiornamento (refresh token) dell'account collegato è conservato cifrato nel database e non è presente in chiaro.

Black Fox Video S.r.l. configura gli accessi secondo il principio di necessità e limita la consultazione ai soggetti autorizzati.

Quando i documenti sono caricati nell'ambiente di una società sportiva:

• la società sportiva determina le finalità del trattamento;
• Black Fox Video S.r.l. opera normalmente come Responsabile del trattamento;
• Google opera come sub-responsabile tecnologico della catena di trattamento.

I documenti non devono essere condivisi mediante collegamenti pubblici, salvo che la pubblicazione sia espressamente richiesta, legittima e autorizzata.

Quando tecnicamente possibile, i collegamenti ai documenti devono:

• essere riservati;
• avere una durata limitata;
• essere accessibili soltanto agli utenti autenticati;
• essere revocabili;
• non consentire l'indicizzazione da parte dei motori di ricerca.

I documenti saranno cancellati quando non più necessari o alla cessazione del rapporto, fatti salvi:

• obblighi legali;
• esigenze di difesa;
• tempi tecnici dei backup;
• istruzioni impartite dalla società sportiva Titolare del trattamento.

7. Collegamento con Google Business Profile

Le società sportive che utilizzano Velka possono, in modo del tutto facoltativo, collegare la propria scheda Google Business Profile per gestirla dalla sezione Marketing della Piattaforma. Il collegamento avviene tramite il flusso di autorizzazione Google OAuth 2.0 e richiede che un utente con i permessi necessari sulla scheda presti espressamente il proprio consenso nella schermata di consenso Google.

Autorizzazioni richieste

Velka richiede l'ambito di autorizzazione https://www.googleapis.com/auth/business.manage, oltre a openid ed emailper identificare l'account che effettua il collegamento. Nessun altro ambito viene richiesto.

Dati a cui Velka accede

Attraverso questa autorizzazione Velka accede esclusivamente ai dati della scheda dell'attività selezionata dall'utente:

• nome dell'account e delle sedi Google Business Profile disponibili, per consentire di scegliere quale collegare;
• informazioni della scheda: denominazione, indirizzo, contatti, orari, categorie, descrizione, sito web;
• recensioni pubbliche e relative risposte;
• domande e risposte pubbliche;
• post e contenuti pubblicati sulla scheda;
• statistiche di rendimento della scheda (visualizzazioni, ricerche, interazioni);
• l'indirizzo e-mail dell'account Google che ha effettuato il collegamento.

Velka nonaccede alla posta elettronica, ai contatti, al calendario, ai file personali né ad altri dati dell'account Google.

Finalità del trattamento

I dati ottenuti tramite le Google Business Profile API sono utilizzati unicamente per erogare le funzionalità richieste dalla società sportiva:

• mostrare nella Piattaforma lo stato della scheda, le recensioni e le statistiche;
• consentire di rispondere alle recensioni, pubblicare post e aggiornare le informazioni della scheda;
• generare, su richiesta esplicita dell'utente, una bozza di risposta a una recensione tramite un modello di intelligenza artificiale (vedi paragrafo seguente). La bozza non viene mai pubblicata automaticamente: la pubblicazione richiede sempre una conferma umana.

La base giuridica è l'esecuzione del contratto con la società sportiva; il collegamento dell'account Google si fonda sul consenso dell'utente che lo autorizza e può essere revocato in qualsiasi momento.

Generazione delle bozze di risposta con intelligenza artificiale

Quando l'utente utilizza la funzione «Genera con AI», il testo della recensione e il nome della società vengono trasmessi ad Anthropic PBC (modelli Claude), che opera come responsabile del trattamento, al solo scopo di produrre la bozza richiesta.

• i dati sono trasmessi soltanto su azione esplicita dell'utente, mai in modo automatico o sistematico;
• i dati ottenuti dalle API di Google non vengono utilizzati per addestrare, sviluppare o migliorare modelli di intelligenza artificiale o machine learning generalizzati, né da Velka né dal fornitore del modello;
• non vengono trasmessi dati personali di atleti, tesserati o minori;
• la funzione può essere non utilizzata senza alcuna limitazione delle altre funzionalità.

Limited Use — Google API Services User Data Policy

L'uso e il trasferimento a qualsiasi altra applicazione delle informazioni ricevute dalle API di Google da parte di Velka rispetteranno la Google API Services User Data Policy, inclusi i requisiti di Limited Use. In particolare, i dati ottenuti tramite le Google Business Profile API:

• non sono venduti a terzi;
• non sono utilizzati né trasferiti per finalità di pubblicità, profilazione pubblicitaria, remarketing o vendita di dati;
• non sono utilizzati per addestrare modelli di intelligenza artificiale o machine learning generalizzati;
• non sono trasferiti ad altri soggetti se non: per erogare o migliorare le funzionalità visibili all'utente, per adempiere a obblighi di legge, o previo consenso esplicito dell'utente;
• non sono letti da personale umano, salvo che: l'utente presti un consenso specifico per una sua richiesta di assistenza, sia necessario per ragioni di sicurezza (indagine su abusi o su un incidente), oppure lo imponga la legge. In tali casi l'operazione è limitata al minimo necessario e registrata.

L'uso dei dati resta in ogni caso limitato a quanto necessario per fornire e migliorare le funzionalità di gestione della scheda richieste dalla società sportiva.

Conservazione, sicurezza e revoca

• i token di accesso e di aggiornamento (access e refresh token) sono conservati cifrati con algoritmo AES-256-GCM: il database non li contiene in chiaro;
• i dati della scheda sono conservati in modo isolato per ciascuna società, con separazione applicata a livello di database (architettura multi-tenant con row level security): nessun dato è condiviso o visibile tra società diverse;
• l'amministratore tecnico di Velka può consultare unicamente informazioni aggregate di stato del collegamento (attivo o in errore, data dell'ultima sincronizzazione, numero di recensioni, valutazione media, errori delle API) e non i contenuti della scheda;
• l'utente può revocare l'autorizzazione in qualsiasi momento dalla sezione Marketing della Piattaforma (funzione «Scollega») oppure dalle impostazioni del proprio account Google alla pagina myaccount.google.com/permissions;
• alla revoca del collegamento, alla cessazione del rapporto o su richiesta della società, i token e i dati sincronizzati dalla scheda vengono cancellati, salvi i soli tempi tecnici dei backup e gli obblighi di legge.

Per richieste relative ai dati Google trattati da Velka è possibile scrivere a privacy@blackfoxvideo.it.

8. Dirette su YouTube (Velka TV)

Le società sportive che utilizzano Velka possono, in modo del tutto facoltativo, collegare il proprio canale YouTube per programmare e gestire le dirette delle partite dalla sezione Velka TV della Piattaforma. Il collegamento avviene tramite il flusso di autorizzazione Google OAuth 2.0 e richiede che un utente con i permessi necessari sul canale presti espressamente il proprio consenso nella schermata di consenso Google.

Velka non ospita e non ritrasmette il flusso video: la diretta e la registrazione restano sul canale YouTube della società, e nella Piattaforma vengono mostrate tramite il player incorporato di YouTube. Velka non carica video sul canale.

Autorizzazioni richieste

Velka richiede il solo ambito di autorizzazione https://www.googleapis.com/auth/youtube, oltre a openid ed emailper identificare l'account che effettua il collegamento. Non vengono richiesti gli ambiti di gestione dei commenti (youtube.force-ssl), di caricamento dei video, né gli ambiti di YouTube Analytics o YouTube Partner.

Dati a cui Velka accede

Attraverso questa autorizzazione Velka accede esclusivamente ai dati del canale selezionato dall'utente e delle dirette della società:

• identificativo, nome e immagine del canale, per mostrare a quale canale la società è collegata;
• le proprie trasmissioni in diretta (titolo, descrizione, data e ora programmate, impostazione di privacy, stato della trasmissione);
• i propri flussi di trasmissione, compresi indirizzo del server di ingestione e chiave di stream, necessari per configurare l'encoder della società;
• stato e qualità del flusso ricevuto da YouTube (attivo o inattivo, salute della connessione, eventuali problemi di configurazione segnalati), per poterli mostrare prima e durante la diretta;
• dati del video registrato al termine della diretta: durata, numero di visualizzazioni, miniatura e possibilità di incorporamento;
• l'indirizzo e-mail dell'account Google che ha effettuato il collegamento.

Velka nonaccede ai dati personali degli spettatori, ai loro commenti o messaggi in chat, alla cronologia di visualizzazione, alle statistiche di pubblico, né alla posta elettronica, ai contatti, al calendario o ai file dell'account Google.

Finalità del trattamento

I dati ottenuti tramite le YouTube Data API sono utilizzati unicamente per erogare le funzionalità richieste dalla società sportiva:

• creare e programmare la diretta sul canale della società, collegandola alla squadra, alla partita e all'impianto;
• mostrare a chi trasmette lo stato del flusso e la sua qualità, per accorgersi di un problema prima di andare in onda;
• portare la trasmissione in stato di prova e successivamente in diretta, e concluderla, su comando esplicito di un utente autorizzato;
• mostrare la diretta e le registrazioni dentro la Piattaforma e nell'App Tifoso, tramite il player incorporato di YouTube;
• ritrovare la registrazione al termine della diretta, per l'archivio della società.

Nessun dato ottenuto dalle YouTube Data API viene trasmesso a modelli di intelligenza artificiale.

La base giuridica è l'esecuzione del contratto con la società sportiva; il collegamento del canale si fonda sul consenso dell'utente che lo autorizza e può essere revocato in qualsiasi momento.

Limited Use — Google API Services User Data Policy

L'uso e il trasferimento a qualsiasi altra applicazione delle informazioni ricevute dalle API di Google da parte di Velka rispetteranno la Google API Services User Data Policy, inclusi i requisiti di Limited Use. In particolare, i dati ottenuti tramite le YouTube Data API:

• non sono venduti a terzi;
• non sono utilizzati né trasferiti per finalità di pubblicità, profilazione pubblicitaria, remarketing o vendita di dati;
• non sono utilizzati per addestrare modelli di intelligenza artificiale o machine learning generalizzati;
• non sono trasferiti ad altri soggetti se non: per erogare o migliorare le funzionalità visibili all'utente, per adempiere a obblighi di legge, o previo consenso esplicito dell'utente;
• non sono letti da personale umano, salvo che: l'utente presti un consenso specifico per una sua richiesta di assistenza, sia necessario per ragioni di sicurezza (indagine su abusi o su un incidente), oppure lo imponga la legge. In tali casi l'operazione è limitata al minimo necessario e registrata.

Conservazione, sicurezza e revoca

• i token di accesso e di aggiornamento (access e refresh token) sono conservati cifrati con algoritmo AES-256-GCM: il database non li contiene in chiaro;
• la chiave di stream del canale è conservata cifrata con lo stesso algoritmo, non viene mai inviata al browser e può essere visualizzata in chiaro soltanto dai ruoli di vertice della società; ogni visualizzazione è registrata;
• la configurazione del canale è isolata per ciascuna società, con separazione applicata a livello di database (architettura multi-tenant con row level security): nessuna società vede o gestisce le dirette e il canale di un'altra;
• l'amministratore tecnico di Velka può consultare unicamente lo stato del collegamento (attivo, scaduto o in errore, data dell'ultimo controllo) e non i token né la chiave di stream;
• l'utente può revocare l'autorizzazione in qualsiasi momento dalla sezione Velka TV della Piattaforma (funzione «Scollega account»), che revoca il consenso anche presso Google, oppure dalle impostazioni del proprio account Google alla pagina myaccount.google.com/permissions;
• alla revoca del collegamento, alla cessazione del rapporto o su richiesta della società, i token e la chiave di stream vengono cancellati, salvi i soli tempi tecnici dei backup e gli obblighi di legge. Le dirette e le registrazioni non vengono toccate: sono e restano sul canale YouTube della società.

Per richieste relative ai dati Google trattati da Velka è possibile scrivere a privacy@blackfoxvideo.it.

9. Collegamento con Facebook e Instagram

Le società sportive che utilizzano Velka possono, in modo del tutto facoltativo, collegare la propria Pagina Facebook e il profilo Instagram Business o Creator a essa associato, per scrivere, programmare e pubblicare i contenuti della società dalla sezione Social Media della Piattaforma. Il collegamento avviene tramite il flusso di autorizzazione Facebook Login e richiede che un utente con i permessi di amministrazione sulla Pagina presti espressamente il proprio consenso nella schermata di consenso di Meta.

Velka non pubblica nulla di propria iniziativa: ogni contenuto è scritto, approvato e programmato da una persona della società all'interno della Piattaforma, e viene pubblicato sulla Pagina o sul profilo soltanto all'orario che quella persona ha indicato. I contenuti pubblicati restano sulla Pagina Facebook e sul profilo Instagram della società, che ne conserva la piena disponibilità anche dopo aver scollegato l'account.

Autorizzazioni richieste

Velka richiede unicamente le autorizzazioni necessarie alle funzioni appena descritte:

• pages_show_list: leggere l'elenco delle Pagine amministrate dall'utente, per permettergli di scegliere quale collegare quando la società ne gestisce più di una;
• pages_read_engagement: leggere i dati essenziali della Pagina selezionata (nome, categoria, immagine) e ottenere il token che consente di operare su di essa;
• pages_manage_posts: creare e pubblicare i post, con o senza immagine, sulla Pagina collegata;
• instagram_basic: individuare il profilo Instagram Business o Creator collegato alla Pagina e leggerne identificativo e nome utente;
• instagram_content_publish: pubblicare i contenuti sul profilo Instagram collegato.

Non vengono richieste le autorizzazioni di accesso ai messaggi privati, alla gestione delle inserzioni pubblicitarie, ai dati di fatturazione pubblicitaria né agli elenchi di contatti dell'account Facebook.

Dati a cui Velka accede

Attraverso questa autorizzazione Velka accede esclusivamente ai dati della Pagina e del profilo selezionati dall'utente:

• identificativo, nome, categoria e immagine della Pagina Facebook, per mostrare alla società a quale Pagina è collegata;
• il token di accesso della Pagina, che consente di pubblicare per suo conto;
• identificativo e nome utente del profilo Instagram Business o Creator associato alla Pagina;
• l'identificativo della persona che effettua il collegamento, ristretto a questa applicazione(app-scoped user ID). Non è l'identificativo pubblico del suo profilo Facebook, cambia da applicazione ad applicazione e fuori da Velka non identifica nessuno: lo conserviamo unicamente perché è il solo dato che Meta ci trasmette quando quella persona rimuove l'applicazione, ed è quindi indispensabile per sapere quali collegamenti cancellare;
• identificativo e indirizzo pubblico (permalink) dei contenuti pubblicati tramite Velka, per mostrarne l'esito nella Piattaforma.

Velka nonaccede ai messaggi privati della Pagina o del profilo (Messenger e Direct), all'elenco dei follower o degli amici e ai loro dati personali, ai commenti lasciati da terzi, ai dati del profilo personale di chi effettua il collegamento oltre all'identificativo sopra descritto, né alle inserzioni pubblicitarie, ai pubblici personalizzati o ai dati di fatturazione dell'account.

Finalità e base giuridica

I dati ottenuti tramite le API di Meta sono utilizzati unicamente per erogare le funzionalità richieste dalla società sportiva:

• mostrare quali Pagine e profili sono collegati e con quale stato (attivo, scaduto, in errore);
• pubblicare e programmare i contenuti scritti dalla società, all'orario da essa indicato;
• riportare nella Piattaforma l'esito della pubblicazione e il collegamento al contenuto pubblicato.

Base giuridica:l'esecuzione del contratto di servizio stipulato con la società sportiva (art. 6, par. 1, lett. b del Regolamento). Il collegamento è una funzione facoltativa: la società che non lo attiva utilizza la Piattaforma in ogni sua altra parte.

Rispetto ai dati che risiedono sulle proprie piattaforme Meta Platforms Ireland Limitedagisce come titolare autonomo del trattamento, secondo le proprie condizioni e la propria informativa. Meta può trattare i dati anche negli Stati Uniti sulla base della decisione di adeguatezza della Commissione europea del 10 luglio 2023 relativa al EU–US Data Privacy Framework e, in via ulteriore, delle Clausole Contrattuali Standard.

Conservazione, sicurezza e revoca

• i token di accesso sono conservati cifrati con algoritmo AES-256-GCM: il database non li contiene in chiaro e non vengono mai inviati al browser;
• i collegamenti sono isolati per ciascuna società, con separazione applicata a livello di database (architettura multi-tenant con row level security): nessuna società vede o utilizza le Pagine e i profili di un'altra;
• l'amministratore tecnico di Velka può consultare unicamente lo stato del collegamento (attivo, scaduto o in errore, data dell'ultimo controllo) e non i token;
• l'utente può revocare l'autorizzazione in qualsiasi momento dalla sezione Social Media della Piattaforma, oppure dalle impostazioni del proprio account Facebook, alla voce App e siti web;
• quando una persona rimuove l'applicazione dalle proprie impostazioni di Facebook, Meta ce lo comunica e Velka cancella i collegamenti che quella persona aveva creato, con i relativi token. La richiesta e il suo esito sono consultabili alla pagina Eliminazione dei dati, tramite il codice di conferma restituito;
• i contenuti scritti nella Piattaforma nonvengono cancellati in quel momento: sono un dato della società sportiva, non della singola persona che quel giorno ha collegato la Pagina, e la loro cancellazione può essere chiesta scrivendo all'indirizzo indicato qui sotto;
• alla revoca del collegamento, alla cessazione del rapporto o su richiesta della società, i token vengono cancellati, salvi i soli tempi tecnici dei backup e gli obblighi di legge. I contenuti già pubblicati non vengono toccati: sono e restano sulla Pagina Facebook e sul profilo Instagram della società.

Per richieste relative ai dati Meta trattati da Velka è possibile scrivere a privacy@blackfoxvideo.it.

10. Collegamento con VelkaOne

VelkaOne (one.velka.it, volley.velkaone.it) è la community del mercato sportivo — annunci, candidature, profili professionali — dello stesso Titolare indicato al punto 1. Non è un fornitore terzo: è un secondo prodotto della stessa azienda, con una propria informativa e propri account.

Il collegamento è facoltativo e si attiva su richiesta della società, da Comunicazione → VelkaOne. Non è necessario per usare il gestionale: senza collegamento la sezione resta consultabile e nessun dato viene trasmesso.

Dati trasmessi a VelkaOne

All'attivazione del collegamento la Piattaforma trasmette i dati necessari a creare — o a riconoscere, per non duplicarla — la scheda pubblica della società:

• denominazione, sport, eventuale slug pubblico e logo;
• sede: comune, provincia, regione;
• codice di affiliazione all'ente o alla federazione, usato per riconoscere una scheda già esistente ed evitare che la stessa società compaia due volte;
• l'indirizzo e-mail indicato dalla società come referente del collegamento.

Per ogni annuncio che la società decide di pubblicare vengono trasmessi i dati dell'annuncio stesso (titolo, ruolo ricercato, categoria, sede, requisiti, date, scadenza). Le informazioni economiche sono trasmesse solo se la società ha scelto di renderle pubbliche: in caso contrario non lasciano il gestionale.

L'indirizzo del referente

L'indirizzo indicato viene usato da VelkaOne per inviare l'invito ad amministrare la scheda della società. Chi accetta l'invito ne diventa titolare a proprio nome, con un proprio account, e la conferma resta registrata insieme al suo nominativo. Se la società indica una casella condivisa (ad esempio info@), l'invito può essere accettato da chiunque vi abbia accesso: la scelta dell'indirizzo, e delle sue conseguenze, resta della società, che la compie nel momento in cui lo digita.

Dati che tornano nel gestionale

Quando un utente di VelkaOne si candida a un annuncio, la Piattaforma riceve la candidatura con i soli dati che quell'utente ha scelto di condividereattraverso il proprio profilo. Tali dati sono visibili unicamente alla società destinataria dell'annuncio.

Le annotazioni interne, le valutazioni e lo stato di lettura che la società inserisce nel gestionale non vengono trasmessi a VelkaOne e non sono visibili ai candidati.

Base giuridica, durata e revoca

Il trattamento si fonda sull'esecuzione del servizio richiesto dalla società (art. 6.1.b GDPR) per i dati della società e degli annunci. La società può interrompere la pubblicazione in qualunque momento chiudendo i propri annunci; le candidature già ricevute restano consultabili nel gestionale, e la scheda pubblica su VelkaOne segue l'informativa di quel prodotto.

11. Cookie e strumenti di misurazione

Il dettaglio completo — elenco dei cookie, fornitore, funzione, durata, categoria, base giuridica, trasferimenti internazionali e modalità per accettare, rifiutare o revocare il consenso — si trova nella Cookie Policy. Qui di seguito i punti essenziali.

Velka utilizza cookie tecnici, necessari al funzionamento del servizio e installati senza consenso ai sensi dell'articolo 122 del Codice Privacy: la sessione di chi ha effettuato l'accesso, la scadenza per inattività, il tema chiaro o scuro scelto dall'utente e la registrazione della scelta espressa sui cookie.

Sul sito pubblico di Velka Volley (volley.velka.it) è inoltre disponibile il Meta Pixel di Meta Platforms Ireland Limited, appartenente alla categoria Marketing. Il Pixel viene attivato esclusivamente previo consenso: fino a quel momento lo script non viene scaricato e nessun cookie di Meta viene scritto. Le finalità, i dati trattati e i trasferimenti sono descritti nella sezione 2, alla voce Meta Platforms Ireland Limited.

Alla data di ultimo aggiornamento Velka non utilizza Google Analytics né altri strumenti di statistica sul sito. La categoria Statisticheè comunque presente nel pannello delle preferenze, così che la scelta dell'utente sia già registrata: qualora in futuro venga introdotto uno strumento di misurazione, esso non sarà eseguito prima dell'acquisizione del consenso, salvo configurazioni tecniche che non lo richiedano secondo la normativa applicabile, e la presente informativa e la Cookie Policy saranno aggiornate con il nome del fornitore e i relativi cookie.

Il banner cookie consente all'utente di:

• accettare tutti i cookie;
• rifiutare tutti i cookie non necessari;
• selezionare singole categorie;
• modificare successivamente la propria scelta, in qualsiasi momento, dalla voce Preferenze cookie presente nel piede delle pagine pubbliche e nella Cookie Policy;
• proseguire nella navigazione senza essere obbligato ad accettare strumenti non necessari.

Il rifiuto è disponibile con evidenza e facilità equivalenti rispetto all'accettazione: i due comandi hanno la stessa dimensione, la stessa forma e la stessa posizione nel banner. La scelta espressa viene conservata per sei mesi, decorsi i quali viene nuovamente richiesta.

12. Rapporti con società sportive e aziende partner

Black Fox Video S.r.l. predisporrà specifici accordi sul trattamento dei dati ai sensi dell'articolo 28 GDPR per le società sportive e le aziende che utilizzano Velka per trattare dati per proprie finalità.

Fino alla formalizzazione di tali accordi, l'attivazione dei servizi che comportano il trattamento di dati per conto di una società dovrà essere valutata con particolare attenzione.

Gli accordi dovranno disciplinare almeno:

• oggetto e durata del trattamento;
• natura e finalità;
• categorie di dati;
• categorie di interessati;
• istruzioni del Titolare;
• obblighi di riservatezza;
• misure di sicurezza;
• utilizzo dei sub-responsabili;
• trasferimenti internazionali;
• assistenza nell'esercizio dei diritti;
• gestione delle violazioni;
• cancellazione e restituzione dei dati;
• audit e verifiche;
• responsabilità delle parti.

L'assenza temporanea del documento non modifica i ruoli sostanziali delle parti, ma il relativo accordo dovrà essere predisposto e sottoscritto prima della piena messa in esercizio commerciale del servizio.

13. Valutazione d'impatto e tutela dei minori

Black Fox Video S.r.l. effettuerà una valutazione d'impatto sulla protezione dei dati, o DPIA, con particolare riferimento a:

• trattamento sistematico di dati di atleti minorenni;
• pubblicazione e condivisione di profili sportivi;
• gestione di immagini e video;
• collegamento tra account dei minori e account dei genitori;
• eventuali comunicazioni tra adulti e minori;
• trattamento di dati sanitari o certificati sportivi;
• utilizzo di sistemi multi-tenant;
• ricerche e suggerimenti di profili;
• monitoraggio tecnico e registrazione degli accessi;
• utilizzo di fornitori con infrastrutture extra SEE.

Le misure individuate nella DPIA saranno applicate prima dell'attivazione delle funzionalità che presentano rischi elevati.

14. Lista di attesa — modulo «Entra in distinta» su velka.it

Questa sezione riguarda esclusivamente chi lascia il proprio indirizzo email attraverso il modulo pubblicato su velka.it. Versione 1.0, valida dal 29 luglio 2026.

14.1 Quali dati raccogliamo

Il modulo richiede un solo dato: il tuo indirizzo email. Insieme all'invio registriamo alcune informazioni tecniche necessarie a documentare come e quando la richiesta è stata raccolta e a difendere il modulo dagli invii automatici:

• l'indirizzo email, come lo hai scritto e in forma normalizzata (minuscola, senza spazi);
• data e ora dell'invio, registrate dal nostro server;
• pagina di provenienza, indirizzo completo della pagina, sito che ti ha portato da noi e, se presenti nel link, i parametri di campagna (utm_source, utm_medium, utm_campaign, utm_content, utm_term);
• nome e versione del modulo utilizzato, lingua del browser e user agent;
• un'impronta crittografica (hash) dell'indirizzo IP: conserviamo l'impronta e non l'indirizzo, perché a noi serve riconoscere gli abusi, non identificare la tua connessione;
• la tua scelta sulla casella del consenso marketing — spuntata o lasciata vuota — insieme al testo esatto che ti è stato mostrato.

Non raccogliamo altro. Il modulo contiene un campo nascosto anti-spam: se viene compilato, la richiesta è scartata e il suo contenuto non viene conservato.

14.2 Perché li trattiamo e con quale base giuridica

Le finalità sono due, distinte e indipendenti. Puoi entrare in lista di attesa senza acconsentire a nulla di più.

• Lista di attesa — gestione della tua richiesta di inserimento e invio delle comunicazioni strettamente collegate al lancio del servizio. Base giuridica: misure precontrattuali adottate su richiesta dell'interessato, art. 6, par. 1, lett. b GDPR. Senza il tuo indirizzo email non possiamo dar seguito alla richiesta: è l'unico dato indispensabile.
• Comunicazioni promozionali e commerciali— solo se spunti l'apposita casella. Base giuridica: consenso, art. 6, par. 1, lett. a GDPR. La casella non è preselezionata, non è obbligatoria, ed è revocabile in qualsiasi momento senza che ciò pregiudichi la tua presenza in lista di attesa.
• Sicurezza del modulo e prevenzione degli invii automatici. Base giuridica: legittimo interesse del Titolare a proteggere i propri sistemi, art. 6, par. 1, lett. f GDPR.

Se scegli di ricevere le comunicazioni promozionali ti inviamo un'email di conferma con un link: il consenso diventa efficace solo dopo che lo hai aperto (double opt-in). Se non lo apri resti in lista di attesa e non ricevi alcuna comunicazione promozionale.

14.3 Chi tratta i dati per nostro conto

Per far funzionare il modulo ci avvaliamo di fornitori che agiscono come responsabili del trattamento: Vercel Inc. (hosting del sito e della piattaforma), Neon Inc. (database), Resend (invio delle email), Cloudflare, Inc. (protezione anti-bot del modulo). Alcuni di essi possono trattare dati anche fuori dallo Spazio Economico Europeo, con le garanzie previste dagli articoli 44 e seguenti del GDPR. I dati raccolti con questo modulo non sono ceduti a terzi e non sono comunicati alle società sportive clienti di Velka.

14.4 Per quanto tempo li conserviamo

Conserviamo i dati della lista di attesa per 24 mesi dall'ultima interazione, dopodiché il contatto viene cancellato o reso anonimo. Se revochi il consenso al marketing conserviamo per ulteriori 24 mesi la sola evidenza della revoca e del consenso che l'ha preceduta: è l'unico modo per poter dimostrare di aver trattato correttamente i tuoi dati, come richiesto dall'art. 7, par. 1 GDPR.

14.5 I tuoi diritti

Puoi chiederci in qualsiasi momento di accedere ai tuoi dati, correggerli, cancellarli, limitarne il trattamento, riceverli in formato leggibile da una macchina od opporti al trattamento; puoi inoltre revocare il consenso al marketing, con effetto per il futuro. Scrivi a privacy@blackfoxvideo.it: rispondiamo entro 30 giorni. Ogni email promozionale contiene comunque un link di disiscrizione immediata. Non effettuiamo profilazione né alcun processo decisionale automatizzato sui dati raccolti tramite questo modulo.

15. Contatti privacy

Per richiedere informazioni, esercitare i diritti previsti dal GDPR o segnalare problematiche relative a dati personali e account di minori:

Black Fox Video S.r.l. – Velka
Viale Europa Unita 10
10040 Volvera (TO), Italia
Codice fiscale e Partita IVA: 11907350018
E-mail: privacy@blackfoxvideo.it
PEC: blackfoxvideo@pec.it