Informativa sulla privacy

1. Titolare del trattamento

[DA COMPILARE: ragione sociale o nome e cognome, sede, P. IVA / C.F., email di contatto per la privacy]

Sito: https://cardbrix.com

[DA VERIFICARE: eventuale DPO e relativo contatto]

[DA VERIFICARE: se il Titolare non è stabilito nello Spazio economico europeo, rappresentante nell’Unione ai sensi dell’art. 27 GDPR]

2. Dati che ci fornisci tu

• Account: email, nome utente, password (conservata solo in forma cifrata) e lingua preferita.

• Accesso con Google o Apple: identificativo ed email restituiti dal provider che scegli.

• Profilo pubblico: avatar, città e paese, eventuale biografia e le recensioni che ricevi. Per i venditori professionali, anche i dati di identificazione dell’impresa che la legge richiede di mostrare ai consumatori.

• Annunci e aste: titoli, descrizioni, foto, prezzi e offerte.

• Spedizione: nome, indirizzo e recapiti necessari alla consegna.

• Pagamenti: i dati completi di carta o conto sono gestiti da Stripe e PayPal e non transitano né sono conservati da CardBrix. Noi vediamo importi, stato dell’ordine e identificativi di transazione.

• Verifica dei venditori: i dati di identità richiesti da Stripe Connect vengono forniti direttamente a Stripe.

• Assistenza: il contenuto delle richieste che ci invii e le domande poste all’assistente automatico del Centro assistenza.

[DA VERIFICARE: altri dati raccolti, ad esempio messaggi tra utenti, telefono, documenti]

3. Dati che raccogliamo automaticamente

• Dati tecnici: indirizzo IP, browser, paese ricavato dall’IP e log di sicurezza.

• Crediti e Skill Zone: registro dei movimenti dei crediti (data e causale) e partecipazioni ai puzzle.

• Segnali anti-abuso: impronte irreversibili (hash SHA-256) di IP, dispositivo, metodo di pagamento e indirizzo di spedizione. Per questo scopo non conserviamo il valore in chiaro.

• Statistiche di utilizzo, solo con il tuo consenso: pagine visitate, durata, clic su link e pulsanti, identificativi casuali di sessione e visitatore. Dettagli nella Cookie Policy.

• Registro dei consensi: la tua scelta sui cookie, la data, la versione dell’informativa, un’impronta cifrata dell’IP (mai l’IP in chiaro) e il browser, per poter dimostrare il consenso o il rifiuto.

4. CardBrix the game

CardBrix the game è il mondo interattivo di CardBrix, raggiungibile con lo stesso account del sito. Ecco cosa tratta.

• Personaggio: l’aspetto che scegli (pelle, capelli, vestiti, accessori) è salvato sul tuo account.

• Piazza e mappe: mentre sei nel gioco, gli altri giocatori presenti vedono in tempo reale il tuo nome utente, il tuo personaggio, dove ti trovi e in che direzione cammini. Questi dati restano solo nella memoria del server finché sei connesso: non vengono salvati né registrati.

• Chat a frasi: puoi dire solo frasi ed emoji predefinite, non testo libero. Non vengono salvate.

• Visibilità: dal gioco puoi scegliere di non essere visibile agli altri; in quel caso non ti inviamo a nessuno.

• Inventario: cliccando su un giocatore si apre il suo profilo pubblico (annunci, valutazioni, città e paese). Sono dati già pubblici sul sito.

• Preferenze sul dispositivo: visibilità scelta, tutorial già visto e altre impostazioni minime sono salvate nel tuo browser (vedi Cookie Policy), non sui nostri server.

• Il gioco non usa cookie pubblicitari, non profila i giocatori e non assegna premi in denaro. Per giocare serve un account e un’età di almeno 18 anni.

5. Perché li trattiamo e su quale base giuridica

• Creare e gestire l’account, autenticarti, verificare l’email: esecuzione del contratto (art. 6.1.b GDPR).

• Consentire annunci, aste, acquisti, spedizioni, pagamenti, recensioni e contestazioni: esecuzione del contratto.

• Gestire i crediti (accredito, maturazione, uso nei puzzle, registro): esecuzione del contratto.

• Offrire CardBrix the game (personaggio, piazza, mappe): esecuzione del contratto; la visibilità agli altri giocatori è sempre disattivabile.

• Inviare email di servizio (verifica, ordini, sicurezza): esecuzione del contratto.

• Prevenire frodi e abusi dei bonus, inclusi tetti e controlli sui segnali condivisi: legittimo interesse (art. 6.1.f) a proteggere la piattaforma e gli utenti.

• Sicurezza informatica e prevenzione dei bot (Cloudflare Turnstile): legittimo interesse.

• Rispondere alle domande al Centro assistenza, anche con l’assistente automatico: legittimo interesse a fornire assistenza; per le richieste via email, esecuzione del contratto.

• Conservare la prova del consenso ai cookie: obbligo legale e legittimo interesse a dimostrare la conformità (artt. 6.1.c, 6.1.f e 7.1).

• Obblighi fiscali, contabili, di tracciabilità dei venditori professionali e richieste delle autorità: obbligo legale (art. 6.1.c).

• Statistiche di utilizzo: consenso (art. 6.1.a), revocabile in ogni momento senza costi.

• Comunicazioni promozionali [DA VERIFICARE: se previste]: consenso.

• Difesa in giudizio: legittimo interesse.

6. Decisioni automatizzate

Il sistema può negare o sospendere l’accredito di crediti bonus quando rileva segnali di abuso, ad esempio lo stesso IP, dispositivo, metodo di pagamento o indirizzo tra venditore e compratore. L’assistente automatico del Centro assistenza risponde alle domande generali, ma non prende decisioni sul tuo account.

Puoi chiedere l’intervento di una persona, esprimere la tua opinione e contestare la decisione scrivendo a [EMAIL PRIVACY].

7. A chi comunichiamo i dati

Comunichiamo i dati a fornitori che li trattano per nostro conto (responsabili del trattamento) o come titolari autonomi:

• Supabase: database e infrastruttura.

• Render: hosting del sito e del server.

• Stripe e PayPal: pagamenti; Stripe anche per la verifica dei venditori.

• Cloudinary: archiviazione e ottimizzazione delle immagini.

• SendGrid: invio delle email.

• Cloudflare Turnstile: protezione anti-bot.

• Google (Gemini): assistente automatico del Centro assistenza, che riceve la domanda che scrivi. Non inserire dati personali nel messaggio.

• Google e Apple: solo se scegli l’accesso con il loro account.

• Corrieri e servizi di spedizione [DA VERIFICARE: nomi, ad esempio Sendcloud].

• Consulenti, commercialisti e autorità competenti, quando previsto dalla legge.

Gli altri utenti vedono solo i dati necessari: l’acquirente il nome utente del venditore, il venditore l’indirizzo di spedizione dell’ordine, i giocatori della piazza il tuo nome utente e personaggio. Non vendiamo i tuoi dati.

8. Trasferimenti fuori dallo Spazio economico europeo

Alcuni fornitori possono trattare dati negli Stati Uniti o in altri paesi extra-UE. In tal caso il trasferimento avviene sulla base di una decisione di adeguatezza (ad esempio l’EU-US Data Privacy Framework per i fornitori certificati) o delle Clausole contrattuali standard della Commissione europea. Puoi chiederci copia delle garanzie scrivendo a [EMAIL PRIVACY]. [DA VERIFICARE: conferma per ciascun fornitore]

9. Per quanto tempo conserviamo i dati

• Account e profilo: fino alla cancellazione dell’account [DA VERIFICARE: proposta, cancellazione entro 30 giorni dalla richiesta].

• Ordini, fatture e documenti contabili: 10 anni, per gli obblighi fiscali.

• Registro dei movimenti dei crediti: [DA VERIFICARE: proposta, 10 anni come i documenti contabili].

• Segnali anti-abuso (hash): [DA VERIFICARE: proposta, 24 mesi dall’ultimo segnale].

• Statistiche di utilizzo: [DA VERIFICARE: proposta, 14 mesi]; il cookie visitatore dura fino a 400 giorni.

• Registro dei consensi: [DA VERIFICARE: proposta, 3 anni dalla scelta].

• Posizione e frasi nella piazza di CardBrix the game: non vengono conservate; esistono solo mentre sei connesso.

• Richieste di assistenza: [DA VERIFICARE: proposta, 24 mesi dalla chiusura].

Al termine del periodo i dati sono cancellati o resi anonimi.

10. I tuoi diritti

Puoi chiedere l’accesso ai tuoi dati, la rettifica, la cancellazione, la limitazione, la portabilità in formato strutturato e opporti al trattamento fondato sul legittimo interesse. Puoi revocare il consenso in qualsiasi momento, dal link “Gestisci cookie” in fondo a ogni pagina: la revoca non pregiudica i trattamenti già effettuati.

Scrivi a [EMAIL PRIVACY]: rispondiamo entro un mese, prorogabile di due in casi complessi. L’esercizio dei diritti è gratuito.

Hai inoltre il diritto di proporre reclamo all’autorità di controllo del paese in cui risiedi, lavori o in cui ritieni sia avvenuta la violazione (art. 77 GDPR). Elenco delle autorità europee: https://www.edpb.europa.eu. In Italia: Garante per la protezione dei dati personali, www.garanteprivacy.it.

11. Conferimento dei dati

I dati di account, spedizione e pagamento sono necessari per usare il marketplace: senza di essi non possiamo concludere il contratto. Le statistiche e i cookie non necessari sono facoltativi: rifiutarli non limita l’uso del sito né del gioco.

12. Sicurezza

Usiamo connessioni cifrate (HTTPS), password conservate solo come hash, verifica degli accessi amministrativi a ogni richiesta e limitazione dei tentativi. Nessun sistema è privo di rischio: in caso di violazione che ti riguardi ti informeremo, e informeremo l’autorità di controllo, come previsto dalla legge.

13. Minori

Il servizio, incluso CardBrix the game, è destinato a persone di almeno 18 anni. Non raccogliamo consapevolmente dati di minori; se ne veniamo a conoscenza chiudiamo l’account e cancelliamo i dati. Se pensi che un minore si sia registrato, scrivi a [EMAIL PRIVACY].

14. Crediti

I crediti sono uno strumento interno di CardBrix: non sono acquistabili con denaro, convertibili in denaro né trasferibili tra utenti. Il registro dei movimenti serve a garantire correttezza, prevenzione degli abusi e assistenza.

15. Venditori professionali e obblighi di trasparenza

Per rispettare le norme europee sui servizi digitali e sulla tutela dei consumatori, i venditori professionali mostrano nel profilo i dati di identificazione dell’impresa (nome, indirizzo, contatti, partita IVA). Questi dati sono pubblici perché la legge lo richiede. Puoi segnalare contenuti illeciti scrivendo a [EMAIL PRIVACY] [DA VERIFICARE: canale dedicato alle segnalazioni].

16. Modifiche a questa informativa

Pubblichiamo qui ogni aggiornamento con la nuova data. Per cambiamenti rilevanti ti avviseremo via email o nel sito. Se la modifica riguarda un trattamento basato sul consenso, lo richiederemo di nuovo.