Informativa sulla privacy

Il titolare del trattamento dei dati è Ravenlab sp. z o.o., Dębowa 11, 66-120 Kargowa, Polonia, KRS 0001247798, NIP PL9731122188, REGON 545003226 - proprietaria e gestore della piattaforma Buzzin.

Per qualsiasi questione relativa ai dati è possibile scrivere a contact@playbuzzin.com. Non abbiamo nominato un Responsabile della protezione dei dati (RPD/DPO), quindi l'utente può contattarci direttamente.

La presente informativa si applica a tutti i servizi Buzzin:

• il sito web playbuzzin.com (informazioni, account, acquisti),
• la schermata di gioco sulla TV (tv.playbuzzin.com),
• il controller da telefono nel browser (m.playbuzzin.com),
• le app mobili Buzzin per iOS e Android.

Non si applica ai servizi di terzi a cui rimandiamo tramite link (Discord, App Store, Google Play, i nostri profili social), che sono regolati dalle rispettive condizioni.

Gioco senza account (impostazione predefinita). Per giocare non sono necessari né un account né un indirizzo email. In questo caso trattiamo:

• un identificativo del dispositivo: una stringa casuale generata sul dispositivo e lì memorizzata, che consente al gioco di riconoscere lo stesso telefono dopo un aggiornamento della pagina,
• il nickname, il personaggio scelto e l'attività di gioco (risposte, punti, disegni) e il codice della stanza: senza questi dati il gioco non può funzionare,
• dati tecnici: indirizzo IP (da cui si ricava una posizione approssimativa, di solito paese e città), tipo di dispositivo, sistema operativo, versione dell'app, lingua.

Nickname, disegni e risposte restano nella memoria della stanza e scompaiono con essa. Nel database rimane una traccia pseudonimizzata degli eventi (che qualcuno ha giocato, con quanti punti, in quale gioco) collegata a un identificativo del dispositivo, non al nome dell'utente.

Account (facoltativo, necessario per gli acquisti).

• indirizzo email e nome; in caso di accesso con Google, Apple o Discord anche l'avatar e l'identificativo dell'account presso tale fornitore,
• dati di sessione: indirizzo IP e informazioni sul browser, per mantenere l'accesso attivo e individuare eventuali abusi.

Non conserviamo alcuna password: l'accesso avviene con un codice monouso inviato via email oppure tramite l'account Google, Apple o Discord.

Pagamenti.

• stato e periodo dell'abbonamento, identificativi della transazione e del cliente presso il fornitore dei pagamenti, importo e valuta.
• Non vediamo mai il numero della carta. I pagamenti sono gestiti da Stripe e i dati della carta vengono trasmessi direttamente a Stripe.
• È possibile pagare con carta, BLIK (anche come pagamento BLIK ricorrente: si approva un mandato nell'app della banca e lo si può revocare lì in qualsiasi momento) e con gli altri metodi offerti da Stripe.

App mobile.

• un token per le notifiche push, se le notifiche sono attivate, insieme alla lingua del dispositivo, alla piattaforma e al fuso orario (affinché una notifica arrivi a un orario ragionevole),
• report di arresto anomalo e dati diagnostici (Firebase Crashlytics),
• eventi di utilizzo dell'app (Firebase Analytics, il nostro PostHog) ed eventi del Meta SDK utilizzati per misurare le installazioni provenienti dalle pubblicità,
• su Android, le informazioni sulla fonte di installazione fornite da Google Play; su iOS, la risposta alla richiesta di sistema relativa al tracciamento (ATT).

Moduli e contatti.

• l'indirizzo email inviato volontariamente tramite un modulo sul sito,
• il contenuto del feedback inviato dal modulo nell'app, insieme a un eventuale recapito facoltativo, alla versione dell'app, alla piattaforma, alla lingua e all'ultimo codice della stanza,
• il contenuto della corrispondenza, se l'utente ci scrive.

Analisi e pubblicità.

• eventi di analisi (arrivo sul sito, clic su "gioca", avvio di una partita, acquisto) con un identificativo pseudonimizzato del dispositivo e della sessione,
• registrazioni delle sessioni sul sito web e mappe dei clic nel nostro PostHog in self-hosting (descritto di seguito),
• cookie e identificativi di clic provenienti dai link pubblicitari.

• Fornitura del servizio (gioco, stanze, account, accesso ai mazzi): esecuzione di un contratto, art. 6, par. 1, lett. b) del GDPR.
• Pagamenti e fatturazione: esecuzione di un contratto (lett. b) e adempimento dei nostri obblighi di legge in materia contabile e fiscale (lett. c).
• Analisi interne e registrazioni delle sessioni sul sito: il nostro legittimo interesse (lett. f) a capire come funziona il prodotto e da dove arrivano i giocatori. I dati confluiscono nella nostra infrastruttura.
• Pixel pubblicitari di terzi, misurazione delle campagne e remarketing: consenso dell'utente (lett. a), espresso tramite il banner. Senza consenso questi script non vengono mai caricati.
• Notifiche push: consenso dell'utente (lett. a), espresso nella richiesta di sistema; può essere revocato nelle impostazioni del telefono.
• Iscrizione alla mailing list: consenso dell'utente (lett. a), revocabile in qualsiasi momento.
• Email di marketing di Buzzin (nuovi giochi, mazzi, promozioni): consenso dell'utente (lett. a), si veda "Email di marketing" più avanti.
• Report di arresto anomalo, stabilità, sicurezza e prevenzione degli abusi: legittimo interesse (lett. f).
• Gestione di feedback e richieste: legittimo interesse (lett. f), oppure esecuzione di un contratto (lett. b) quando riguardano un acquisto.
• Accertamento, esercizio e difesa di un diritto in sede giudiziaria: legittimo interesse (lett. f).

La revoca del consenso non pregiudica la liceità del trattamento effettuato prima della revoca.

Promuoviamo Buzzin con campagne a pagamento su Facebook e Instagram (Meta), Google e YouTube, TikTok e Reddit. Per sapere quali annunci vale la pena pubblicare, ne misuriamo l'effetto:

• Il sito contiene i pixel di queste piattaforme. Vengono caricati solo dopo l'accettazione del banner; prima di allora nessuno di questi script viene eseguito. Utilizziamo Google Consent Mode v2, quindi i segnali di consenso vengono impostati prima che qualsiasi tag invii dati.
• Dopo il consenso inviamo alle piattaforme eventi di conversione: arrivo sul sito, clic su "gioca", clic verso uno store di app, avvio di un pagamento, acquisto (con importo e valuta) e adesione a Discord. Ogni evento ha un proprio identificativo, così da non essere conteggiato due volte.
• In caso di iscrizione alla nostra mailing list, a TikTok può essere inviato un hash irreversibile (SHA-256) dell'indirizzo email, al solo scopo di abbinare una conversione; la piattaforma non riceve mai l'indirizzo in forma leggibile.
• Nell'app mobile, installazioni ed eventi sono misurati da Firebase Analytics e dal Meta SDK. Su iOS la misurazione si basa su SKAdNetwork di Apple e chiediamo l'autorizzazione al tracciamento tramite la richiesta ATT; senza tale autorizzazione non utilizziamo l'identificativo pubblicitario.
• Su questa base le piattaforme pubblicitarie possono profilare l'utente a fini pubblicitari e creare segmenti di pubblico (ad esempio per mostrare annunci a persone simili ai nostri giocatori). Lo fanno in qualità di titolari autonomi del trattamento, secondo le proprie regole.

Cosa non facciamo: non vendiamo dati, non mostriamo pubblicità di terzi all'interno del gioco e non indirizziamo annunci a persone di età inferiore a 16 anni.

Come limitarlo: non accettare il banner oppure cancellare i cookie nel browser; è inoltre possibile modificare le impostazioni pubblicitarie direttamente presso Meta, Google, TikTok e Reddit e, sul telefono, tramite la richiesta ATT (iOS) o le impostazioni dell'identificativo pubblicitario (Android).

Sul sito e nel gioco utilizziamo:

• Archiviazione essenziale: bz_consent, che memorizza la scelta effettuata nel banner (180 giorni), il cookie della sessione di accesso e il sessionStorage del browser, che evita che uno stesso evento venga conteggiato due volte. Non è richiesto il consenso.
• Analisi proprietarie: eventi, statistiche di traffico, mappe dei clic e registrazioni delle sessioni confluiscono esclusivamente nella nostra infrastruttura (PostHog in self-hosting nell'UE, il nostro database e le statistiche di traffico Umami su un server in Germania). Una registrazione mostra i movimenti sulla pagina e i clic, mentre i campi dei moduli sono oscurati. Queste analisi sono attive dal momento dell'arrivo sul sito, come indicato nel banner; è possibile opporsi scrivendoci e cancelleremo i dati.
• Pixel pubblicitari di terzi (Meta, Google, TikTok, Reddit): solo dopo l'accettazione del banner.
• Identificativi di clic aggiunti ai link degli annunci (fbclid, gclid, ttclid, rdt_cid): ci permettono di attribuire una visita a una campagna specifica.

È inoltre possibile cancellare o bloccare i cookie nelle impostazioni del browser. Indipendentemente dal banner, restano validi tutti i diritti elencati in "Diritti dell'utente", compresi il diritto di opposizione e il diritto alla cancellazione.

Se l'utente spunta la casella nella schermata dei piani o nel pannello dell'account, gli inviamo email di Buzzin su nuovi giochi, mazzi e promozioni. La casella non è mai preselezionata e il consenso non è una condizione per alcun acquisto.

• Base giuridica: il consenso dell'utente, art. 6, par. 1, lett. a) del GDPR, che è anche il consenso richiesto dalla normativa applicabile in materia di marketing elettronico per l'invio di comunicazioni commerciali via email.
• Cosa conserviamo: l'indirizzo email dell'account, la data e l'ora, la fonte (schermata dei piani o pannello dell'account) e la lingua del consenso, nonché la data e l'ora della sua revoca.
• Revoca: in qualsiasi momento, togliendo la spunta dalla casella nel pannello dell'account su playbuzzin.com/unlock o scrivendo a contact@playbuzzin.com. La revoca non pregiudica la liceità degli invii effettuati in precedenza.
• Per quanto tempo: inviamo email fino alla revoca. Successivamente conserviamo la registrazione del consenso e della sua revoca come prova per il periodo di prescrizione dei diritti.

I codici di accesso, le ricevute e i messaggi relativi all'abbonamento non sono comunicazioni di marketing e non dipendono da questo consenso.

Ci avvaliamo di fornitori che trattano i dati per nostro conto:

• Hostinger - server applicativi e database, situati a Francoforte (Germania, UE); Hetzner (Germania) per l'ambiente di staging e le statistiche di traffico.
• Stripe - pagamenti e abbonamenti.
• Postmark - codici di accesso, email transazionali ed email di marketing (queste ultime solo con il consenso dell'utente).
• listmonk - la nostra mailing list e la programmazione delle email di marketing; un software che ospitiamo in proprio, sul nostro server nell'UE (Hostinger, Francoforte).
• Google (Firebase) - notifiche push, report di arresto anomalo e analisi dell'app mobile.
• PostHog - analisi di prodotto e registrazioni delle sessioni; lo ospitiamo in proprio, su un'infrastruttura nell'UE.

Titolari autonomi del trattamento, che decidono in modo indipendente: le piattaforme pubblicitarie (Meta, Google, TikTok, Reddit), che ricevono dati solo dopo il consenso ai pixel, nonché Apple e Google per gli store di app e Discord in caso di adesione al nostro server.

Possiamo comunicare i dati quando lo impone la legge o quando è necessario per accertare o difendere un diritto in sede giudiziaria. Non vendiamo i dati dell'utente.

La nostra infrastruttura principale (server, database, analisi di prodotto) si trova nell'Unione europea.

Alcuni fornitori e piattaforme pubblicitarie (Stripe, Postmark, Google, Meta, TikTok, Reddit, Discord, Apple) trattano i dati anche al di fuori del SEE, compresi gli Stati Uniti. Ciò avviene sulla base dei meccanismi previsti dal GDPR: clausole contrattuali standard o una decisione di adeguatezza (l'EU-US Data Privacy Framework). Su richiesta scritta indichiamo quale meccanismo si applica a un determinato fornitore.

• Account: per tutta la sua durata. Dopo la cancellazione eliminiamo i dati entro 30 giorni, salvo quelli che siamo tenuti a conservare (ad esempio le scritture contabili).
• Documenti di fatturazione e fatture: 5 anni dalla fine dell'anno fiscale in cui è sorto l'obbligo tributario.
• Eventi di analisi: fino a 24 mesi, poi vengono cancellati o aggregati.
• Registrazioni delle sessioni sul sito: fino a 3 mesi.
• Log tecnici e di sicurezza: fino a 90 giorni.
• Feedback inviato dall'app: fino a 24 mesi dall'invio.
• Indirizzo email nella mailing list: fino alla revoca del consenso o alla disiscrizione.
• Token push: fino alla disattivazione delle notifiche o alla disinstallazione dell'app.
• Registrazioni dei consensi: 3 anni, per poter dimostrare che il consenso è stato prestato e in quale ambito.
• Consenso alle email di marketing: fino alla revoca. Successivamente conserviamo la registrazione del consenso e della sua revoca come prova per il periodo di prescrizione dei diritti.
• Contenuti di gioco (nickname, disegni, risposte): eliminati alla chiusura della stanza.

L'utente ha il diritto di:

• accedere ai propri dati e ottenerne una copia,
• ottenere la rettifica dei dati inesatti,
• ottenere la cancellazione dei dati ("diritto all'oblio"),
• ottenere la limitazione del trattamento,
• esercitare il diritto alla portabilità dei dati,
• opporsi al trattamento basato sul legittimo interesse, comprese le analisi e le registrazioni delle sessioni,
• revocare il consenso in qualsiasi momento, senza pregiudicare la liceità del trattamento effettuato in precedenza.

Per esercitare uno qualsiasi di questi diritti è sufficiente scrivere a contact@playbuzzin.com. Rispondiamo senza ingiustificato ritardo e comunque entro un mese. Cancelliamo l'account su richiesta inviata dall'indirizzo con cui è registrato.

L'utente ha inoltre il diritto di proporre reclamo a un'autorità di controllo. La nostra è il Presidente dell'Ufficio per la protezione dei dati personali (UODO), ul. Stawki 2, 00-193 Varsavia, Polonia, uodo.gov.pl; chi risiede in un altro paese del SEE può proporre reclamo all'autorità di controllo del proprio paese.

Buzzin è destinato a persone di almeno 16 anni. I giocatori più giovani hanno bisogno dell'autorizzazione di un genitore o tutore.

Non indirizziamo annunci a persone di età inferiore a 16 anni e non creiamo segmenti di pubblico per il remarketing rivolti a loro. Se veniamo a sapere di detenere dati di un minore senza un'adeguata base giuridica, li cancelliamo. Il genitore o tutore che desidera segnalare un caso del genere può scrivere a contact@playbuzzin.com.

Adottiamo misure tecniche e organizzative adeguate: connessioni cifrate (HTTPS), accesso limitato ai sistemi, ambienti di produzione e di staging separati e accesso senza password (un codice monouso o un account Google, Apple o Discord), il che significa che non conserviamo mai la password dell'utente.

Nessun metodo di trasmissione dei dati via internet è sicuro al 100%, quindi non possiamo garantire una sicurezza assoluta. Facciamo tutto ciò che è ragionevolmente possibile per mantenere basso il rischio. Chi individua una vulnerabilità può scrivere a contact@playbuzzin.com.

Aggiorniamo questa informativa man mano che Buzzin cresce, ad esempio quando arrivano un nuovo gioco, un nuovo fornitore o un nuovo metodo di misurazione. Le modifiche sostanziali saranno comunicate sul sito; la data dell'ultimo aggiornamento è indicata in cima a questo documento.

Per domande sulla privacy e sui dati è possibile scrivere a contact@playbuzzin.com: risponderemo il prima possibile.

Titolare del trattamento: Ravenlab sp. z o.o., Dębowa 11, 66-120 Kargowa, Polonia. Non abbiamo nominato un Responsabile della protezione dei dati, pertanto per tutte le questioni relative ai dati è possibile contattarci direttamente all'indirizzo indicato sopra.