Privacy e cookie

1. Titolare del trattamento

Il titolare del trattamento è Nicola Devito, persona fisica, che gestisce FantaEver come progetto amatoriale (di seguito «il Titolare»). Per qualsiasi richiesta relativa ai tuoi dati scrivi a [email protected].

Non è stato nominato un responsabile della protezione dei dati (DPO), poiché la legge non lo richiede per un servizio di questa natura.

2. Categorie di dati trattati

Dati forniti dall'utente

• Account: email, nome utente, nome visibile, password (conservata esclusivamente in forma cifrata mediante un algoritmo irreversibile e non leggibile dal Titolare), fuso orario, lingua, bio facoltativa.
• Accesso con Google o Apple, se utilizzato: il Titolare riceve dal fornitore l'indirizzo email, il nome e un identificativo dell'account, ma non la password né altri dati del profilo. Con Apple è possibile nascondere l'indirizzo reale: in tal caso il Titolare riceve un indirizzo di inoltro generato da Apple.
• Contenuti: post in bacheca, nome e stemma della squadra, comunicati.
• Dati di gioco: leghe a cui si partecipa, rose, formazioni, offerte d'asta, movimenti di crediti, classifiche, sfide.
• Preferenze: notifiche richieste, per evento e per lega, e orari di silenzio.
• Lista d'attesa, per chi si iscrive prima di avere un account: email, lingua, data di iscrizione e di conferma, versione dell'informativa e, se il link utilizzato lo indica, il canale di provenienza (ad esempio «whatsapp»).

Dati generati dall'uso del servizio

• Sessioni di accesso: indirizzo IP, browser e sistema operativo (_user agent_), data di scadenza.
• Registri del server: per ogni richiesta, l'indirizzo della pagina o dell'operazione e l'IP. Nel loro insieme descrivono l'attività svolta sul sito, per questo la loro conservazione è breve (§6).
• Contatori anti-abuso: numero di tentativi di accesso, registrazione, iscrizione alla lista d'attesa o recupero password effettuati da un IP o da un indirizzo email nell'ultima ora.
• Codici monouso per confermare l'email, confermare l'iscrizione alla lista d'attesa, registrarsi quando si è ammessi, recuperare la password ed entrare in una lega su invito. Sono conservati in forma cifrata e hanno una scadenza.
• Iscrizione alle notifiche push, se attivate: indirizzo tecnico fornito dal browser, chiavi di cifratura dei messaggi e nome del browser.
• Dati generati dal sistema: data di verifica dell'email, ruolo e un numero da cui è ricavato l'avatar.

Il Titolare non tratta categorie particolari di dati (salute, opinioni e simili) né dati di pagamento, poiché il servizio non prevede pagamenti.

3. Finalità e basi giuridiche

I dati non sono utilizzati per pubblicità, marketing o profilazione. Non sono adottate decisioni basate unicamente su un trattamento automatizzato che producano effetti giuridici o incidano in modo analogo sull'utente (art. 22). Il motore che simula le partite determina i risultati del gioco, non valutazioni sulla persona.

Il conferimento di email, nome utente e password è necessario per usare il servizio. Bio e notifiche push sono facoltative. È facoltativa anche l'iscrizione alla lista d'attesa, che serve solo finché la registrazione non è libera.

4. Destinatari dei dati

Gli altri membri della lega vedono il tuo nome utente e il nome visibile, la squadra (nome e stemma), la bio, i post, le rose, i risultati e le sfide. Non vedono il tuo indirizzo email. L'Admin della lega vede gli stessi dati e può nascondere i post agli altri membri.

Chi riceve un link pubblico a un contenuto della lega, quando un membro lo condivide (Termini, §7), vede il contenuto condiviso, il nome della lega e i nomi delle squadre. Non vede i nomi utente.

I fornitori del Titolare, che trattano i dati per suo conto in qualità di responsabili del trattamento, sulla base di un contratto (art. 28 GDPR):

Google e Apple, se accedi con il loro account, agiscono come titolari autonomi: trattano i dati secondo le proprie informative e non per conto del Titolare, che riceve solo i dati indicati al §2.

I servizi di notifica del browser. Se attivi le notifiche push, il messaggio transita dal servizio scelto dal tuo browser: Google per Chrome e Edge, Mozilla per Firefox, Apple per Safari. Il contenuto viaggia cifrato: il servizio conosce il dispositivo destinatario e il momento dell'invio, ma non può leggere il messaggio.

Le autorità, solo quando la legge lo impone.

I dati non sono venduti e non sono comunicati a soggetti diversi da quelli indicati in questa sezione.

5. Trasferimenti fuori dall'Unione europea

Cloudflare e Sentry sono società statunitensi e Zoho fa parte di un gruppo con sede fuori dall'UE. I dati possono pertanto essere accessibili da Paesi terzi: per tutto il traffico che attraversa Cloudflare e per l'accesso dagli USA ai dati di Sentry, anche se ospitati nell'UE.

I trasferimenti verso fornitori statunitensi aderenti al Data Privacy Framework UE-USA si fondano sulla decisione di adeguatezza della Commissione europea. In ogni caso i contratti con i fornitori includono le clausole contrattuali tipo approvate dalla Commissione. Una copia delle garanzie può essere richiesta a [email protected].

6. Periodi di conservazione

Alla richiesta di chiusura l'account è sospeso e tutte le sessioni sono revocate. Trascorsi 30 giorni sono cancellati: indirizzo email, password, collegamenti con Google o Apple, sessioni, codici monouso, notifiche, preferenze, iscrizioni push, bio, avatar, l'eventuale iscrizione alla lista d'attesa, i post in bacheca con le relative risposte, le reazioni e i link di condivisione creati. Il nome utente è sostituito da un codice casuale e il nome visibile da «Ex membro», anche nelle menzioni contenute nei post degli altri membri. Nelle leghe in corso la squadra esce dalla lega. Risultati, classifiche e albo d'oro restano, perché fanno parte della storia degli altri membri, ma non sono più riconducibili all'utente. Il nome della squadra resta, salvo che contenga il nome utente o il nome visibile: in tal caso diventa «Squadra n. N», anche nella cronaca e negli annunci della lega già pubblicati e nelle notifiche degli altri membri. Una notifica push già arrivata su un telefono non si può più modificare. Resta invece il nome di un eventuale giocatore personalizzato creato dall'utente, che fa parte del campionato simulato. I dati scompaiono dalle copie di sicurezza alla loro rotazione, entro 14 giorni dalla cancellazione.

7. Cookie e memorie del dispositivo

Vengono utilizzati esclusivamente strumenti necessari al funzionamento del sito o alla misurazione anonima delle visite. Non sono presenti cookie di profilazione, pubblicitari o di social network. I caratteri e tutti i file del sito sono serviti dal dominio del Titolare. Trattandosi di strumenti tecnici o di misurazione anonima, non è richiesto il consenso e non viene mostrato alcun banner (art. 122 Codice Privacy; Linee guida del Garante del 10 giugno 2021).

7.1 Cookie del sito

7.2 Cookie di Cloudflare

Cloudflare, che protegge il sito, può impostare i seguenti cookie sul dominio del Titolare:

Questi cookie hanno finalità esclusivamente di sicurezza. Cloudflare li descrive nella propria pagina dedicata ai cookie.

7.3 Altre memorie del browser

Il sito salva alcune informazioni nel browser. Non lasciano mai il dispositivo e non sono trasmesse al Titolare.

Possono essere cancellate dalle impostazioni del browser; alcune funzioni ripartiranno da zero.

7.4 Statistiche delle visite

Le visite sono contate con Umami, un programma installato sui server del Titolare. Il browser non contatta altri soggetti.

• Non utilizza cookie e non salva nulla nel browser.
• Lo script legge l'indirizzo della pagina, la pagina di provenienza, la dimensione dello schermo, la lingua e il browser. Prima dell'invio vengono rimossi dall'indirizzo codici e numeri (una pagina di lega diventa /app/leagues/[id]). Della pagina di provenienza è conservato solo il sito. Dei parametri dell'indirizzo è inviato solo il canale di provenienza, se il link lo indica (ad esempio «tiktok»).
• Sono contate tre azioni: il clic su «Crea la tua lega» (che diventa «Mettiti in lista» finché si entra su invito), la registrazione completata e la lega creata, con la relativa modalità. Non vengono mai inviati l'email, l'account o la lega dell'utente.
• Per non contare due volte la stessa visita, Umami ricava un codice provvisorio dall'IP abbreviato (l'ultima parte è azzerata) e dal browser. Il codice cambia ogni giorno e l'IP non è salvato. Della posizione è conservato solo il paese.
• Sono visibili solo dati aggregati: numero di visite, pagine, siti e canali di provenienza. Non è possibile risalire al singolo utente.
• Se il browser comunica di non voler essere tracciato (_Do Not Track_), non viene registrato nulla.
• Le statistiche possono essere disattivate su questo browser con il pulsante qui sotto. La scelta è salvata solo nel browser.

7.5 Rapporti d'errore

Quando si verifica un malfunzionamento, il browser e i server del Titolare inviano un rapporto d'errore a Sentry, che consente di individuarne la causa. Il rapporto transita dal dominio del Titolare.

Il rapporto contiene il tipo di errore, il punto del codice in cui si è verificato e il tipo di browser, oltre alla pagina, a quelle aperte subito prima e alle richieste al server di quel momento, sempre senza codici segreti. Non contiene nome, email, cookie, contenuto dei moduli né clic. Sentry è configurato per non conservare l'indirizzo IP.

7.6 Notifiche push

Le notifiche push sono inviate solo se attivate dall'utente: prima dal pulsante nell'app, poi con il permesso del browser. Possono essere disattivate in qualsiasi momento dall'app o dalle impostazioni del browser. I dati salvati e i soggetti che le recapitano sono indicati nei §2 e §4.

8. Diritti dell'interessato

In qualsiasi momento puoi chiedere di:

• accedere ai tuoi dati e ottenerne copia (art. 15);
• rettificarli (art. 16); molti dati sono modificabili direttamente dal profilo;
• cancellarli (art. 17), chiudendo l'account dalle Impostazioni o scrivendo all'indirizzo indicato sotto. La cancellazione avviene 30 giorni dopo la richiesta, che fino ad allora si annulla con un nuovo accesso. Gli effetti sulle leghe sono descritti al §6;
• limitarne il trattamento mentre è verificata una tua contestazione (art. 18);
• riceverli in un formato leggibile da dispositivo automatico, per trasferirli altrove (art. 20);
• uscire dalla lista d'attesa con il link in fondo a ogni email della lista: l'iscrizione è cancellata subito;
• opporti ai trattamenti fondati sul legittimo interesse (art. 21). Per le statistiche è sufficiente il pulsante del §7.4.

La richiesta va inviata a [email protected] dall'indirizzo dell'account o da quello usato per iscriversi alla lista d'attesa. Se proviene da un altro indirizzo, il Titolare chiede di confermarla da quello, per evitare di consegnare i dati a una persona diversa dall'interessato. La risposta è fornita entro un mese. Se la richiesta è complessa, il termine può essere prorogato di due mesi, con comunicazione entro il primo mese.

Se ritieni che il trattamento violi la normativa, puoi proporre reclamo al Garante per la protezione dei dati personali (garanteprivacy.it) o all'autorità del Paese UE in cui risiedi o lavori.

9. Minori

FantaEver è destinato a chi ha almeno 14 anni, compresa l'iscrizione alla lista d'attesa, il cui modulo lo ricorda. Se emerge che un account appartiene a una persona più giovane, il Titolare lo chiude e cancella i dati. Chi esercita la responsabilità genitoriale su un minore può scrivere al Titolare per esercitare i diritti del minore.

10. Sicurezza

Il collegamento al sito è sempre cifrato. Password e codici monouso sono conservati solo in forma cifrata, così come le copie di sicurezza. Il numero di tentativi di accesso è limitato per contrastare il tentativo di indovinare le password. I server sono raggiungibili solo attraverso Cloudflare. Nessun sistema è sicuro al cento per cento: in caso di violazione che comporti un rischio per i dati, il Titolare ne dà notifica al Garante e, se il rischio è elevato, anche agli interessati.

11. Modifiche all'informativa

In caso di modifiche al trattamento, questa pagina e la data in alto sono aggiornate. Se la modifica è rilevante, il Titolare ne dà comunicazione preventiva via email e nell'app.