Resa ai sensi degli articoli 13 e 14 del Regolamento (UE) 2016/679 ("GDPR") e del D.Lgs. 196/2003 come modificato dal D.Lgs. 101/2018 ("Codice Privacy").
1. Titolare del trattamento
Il titolare del trattamento è Beezey SRLS, con sede legale in Via Copertino 48, 73047 Monteroni di Lecce (LE), Italia.
Per qualsiasi informazione relativa alla presente informativa, o per esercitare i diritti previsti dagli articoli 15-22 del GDPR, è possibile contattare il titolare a:
- e-mail: privacy@aurabattle.world
- PEC: beezey@pec.it
Il titolare non ha nominato un Responsabile della protezione dei dati (DPO), non ricorrendo i presupposti dell'articolo 37 del GDPR.
2. Ambito dell'informativa
La presente informativa descrive il trattamento dei dati personali effettuato attraverso l'applicazione World Aurabattle per dispositivi iOS e Android, nella versione che consente la registrazione di un account e l'utilizzo delle funzionalità di seguito descritte.
Nella versione attuale l'applicazione consente di:
- registrarsi e autenticarsi con indirizzo e-mail e password;
- creare e gestire un profilo utente;
- creare, modificare ed eliminare "battle", eventi che includono un titolo, una descrizione, un luogo, una posizione geografica, una data e un'ora e, facoltativamente, un'immagine di copertina;
- consultare le battle pubblicate dagli utenti, anche su mappa;
- salvare battle tra i preferiti (segnalibri);
- ricevere notifiche push;
- impostare lingua, fuso orario e preferenze di notifica.
Alcune schermate dell'applicazione possono essere disattivate da remoto dal titolare (ad esempio per mostrare una schermata informativa "Coming soon" o per richiedere l'aggiornamento a una versione minima): in tali casi le funzionalità non attive non comportano i relativi trattamenti.
L'informativa non si applica ai siti web e ai servizi di terzi eventualmente raggiungibili tramite collegamenti presenti nell'applicazione, né ai trattamenti effettuati autonomamente da Apple e Google in qualità di gestori degli store di distribuzione.
3. Categorie di dati personali trattati
3.1 Dati di registrazione e autenticazione
Per la creazione dell'account sono trattati: indirizzo e-mail, password (conservata esclusivamente in forma cifrata e non accessibile al titolare), nome e cognome, codice di verifica inviato via e-mail, stato di verifica dell'indirizzo e-mail, identificativo univoco dell'utente e ruolo applicativo assegnato.
Il servizio di autenticazione è erogato tramite Amazon Cognito (Amazon Web Services).
3.2 Dati di profilo
Dopo la registrazione l'utente può integrare il proprio profilo con: nome pubblico (display name), nome e cognome, numero di telefono (facoltativo), immagine del profilo ove disponibile, indirizzo (via, città, codice postale, provincia, paese - facoltativo), lingua preferita, fuso orario e valuta, preferenze di notifica (e-mail, push, nuove battle, promemoria, messaggi, comunicazioni commerciali).
Sono inoltre associati al profilo dati generati dall'uso del servizio: numero di battle create e di battle a cui si è partecipato, statistiche di gioco ("aura stats": livello, vittorie, sconfitte), elenco delle battle salvate tra i preferiti, stato dell'account ai fini della moderazione, data di creazione e di ultimo aggiornamento del profilo.
Le strutture dati dell'applicazione prevedono campi destinati a future funzionalità a pagamento (identificativo cliente presso il fornitore di pagamento, metodo di pagamento predefinito, indirizzo di fatturazione). Tali campi non sono utilizzati nella versione attuale e nessun dato di pagamento viene raccolto. Prima dell'attivazione di tali funzionalità la presente informativa sarà aggiornata ai sensi del punto 12.
3.3 Contenuti generati dall'utente
Per ogni battle creata sono trattati: titolo, descrizione, denominazione del luogo, coordinate geografiche del luogo dell'evento, data e ora, stato di pubblicazione, identificativo dell'utente che l'ha creata ed eventuale immagine di copertina.
Le coordinate geografiche si riferiscono al luogo dell'evento indicato dall'utente e non alla posizione del dispositivo: l'applicazione non accede ai servizi di geolocalizzazione del dispositivo e non ne rileva la posizione.
I contenuti delle battle pubblicate, compresa l'immagine di copertina, sono visibili agli altri utenti dell'applicazione. L'utente è invitato a non inserire nei campi liberi (titolo, descrizione, luogo) né nelle immagini dati personali propri o di terzi che non intenda rendere accessibili, in particolare dati appartenenti alle categorie particolari di cui all'articolo 9 del GDPR.
Immagini di copertina. Le immagini sono selezionate dalla galleria fotografica del dispositivo previo consenso di sistema, ritagliate localmente e caricate solo dopo conferma espressa dell'utente. L'applicazione non accede alla fotocamera, al microfono e alla rubrica dei contatti. Le immagini pubblicate sono conservate su un'infrastruttura di archiviazione (Amazon S3) configurata in modo da renderle accessibili in lettura tramite il relativo indirizzo web anche senza autenticazione: chi disponga di tale indirizzo può pertanto visualizzare l'immagine al di fuori dell'applicazione.
3.4 Notifiche push
Se l'utente presta il consenso di sistema all'invio di notifiche, l'applicazione genera e trasmette al titolare un token identificativo del dispositivo (token FCM), utilizzato esclusivamente per l'invio delle notifiche. Il consenso può essere revocato in qualsiasi momento dalle impostazioni del sistema operativo, e le singole categorie di notifica possono essere disattivate dalle impostazioni dell'applicazione.
3.5 Dati tecnici e di registro
L'infrastruttura del titolare registra, nei log tecnici dei servizi utilizzati, informazioni quali indirizzo IP, data e ora delle richieste, endpoint invocato, identificativo dell'utente autenticato, esito della richiesta ed eventuali messaggi di errore. Tali dati sono necessari al funzionamento, alla diagnostica e alla sicurezza del servizio.
3.6 Dati conservati sul dispositivo
L'applicazione conserva sul dispositivo, in aree di archiviazione protette, i token di sessione necessari a mantenere l'utente autenticato e alcune preferenze locali. Tali dati restano sul dispositivo e sono rimossi con la disconnessione o la disinstallazione dell'applicazione.
3.7 Statistiche di utilizzo (Firebase Analytics)
Se l'utente presta il relativo consenso, l'applicazione utilizza Firebase Analytics per la rilevazione di statistiche aggregate di utilizzo. In tal caso Google tratta un identificativo dell'istanza dell'applicazione, informazioni sul dispositivo e sul sistema operativo, lingua, paese desunto dall'indirizzo IP ed eventi di utilizzo (ad esempio primo avvio, avvio di sessione, aggiornamento dell'applicazione). L'identificativo non è l'identificativo pubblicitario del dispositivo e non viene utilizzato per finalità pubblicitarie o di profilazione individuale.
In assenza di consenso la rilevazione è disattivata. Il consenso può essere revocato in qualsiasi momento dalle impostazioni dell'applicazione.
3.8 Servizi tecnici di terze parti
Per il proprio funzionamento l'applicazione effettua richieste ai seguenti servizi, che possono comportare il trattamento dell'indirizzo IP del dispositivo e di informazioni tecniche relative alla richiesta:
- Google Fonts - caricamento dei caratteri tipografici dell'interfaccia;
- Google Maps - visualizzazione della mappa delle battle;
- Google Places - suggerimenti di indirizzi durante la creazione di una battle; al servizio è trasmesso il testo digitato dall'utente nel campo di ricerca del luogo;
- Firebase Cloud Messaging - recapito delle notifiche push;
- Firebase Remote Config - configurazione remota delle funzionalità e della versione minima dell'applicazione;
- Amazon Web Services - erogazione dell'intera infrastruttura applicativa.
L'applicazione non utilizza identificativi o servizi pubblicitari e non effettua profilazione dell'utente.
4. Finalità e basi giuridiche del trattamento
| Finalità | Dati trattati | Base giuridica |
|---|---|---|
| Registrazione, autenticazione e gestione dell'account | 3.1, 3.6 | Esecuzione del contratto - art. 6(1)(b) GDPR |
| Gestione del profilo e delle preferenze dell'utente | 3.2 | Esecuzione del contratto - art. 6(1)(b) GDPR |
| Creazione, pubblicazione e consultazione delle battle, anche su mappa, e gestione dei preferiti | 3.3, 3.8 | Esecuzione del contratto - art. 6(1)(b) GDPR |
| Invio di notifiche relative al servizio (nuove battle, promemoria, messaggi) | 3.4 | Esecuzione del contratto - art. 6(1)(b) GDPR, nei limiti del consenso di sistema e delle preferenze impostate dall'utente |
| Invio di comunicazioni promozionali | 3.1, 3.4 | Consenso - art. 6(1)(a) GDPR, prestato tramite l'apposita preferenza, revocabile in ogni momento |
| Rilevazione di statistiche di utilizzo | 3.7 | Consenso - art. 6(1)(a) GDPR e art. 122 Codice Privacy |
| Funzionamento tecnico, sicurezza, diagnostica, prevenzione di abusi e frodi | 3.5, 3.8 | Legittimo interesse del titolare a garantire la sicurezza e la continuità del servizio - art. 6(1)(f) GDPR |
| Caricamento dei caratteri tipografici dell'interfaccia | 3.8 | Legittimo interesse del titolare alla corretta resa grafica dell'applicazione - art. 6(1)(f) GDPR |
| Moderazione dei contenuti e gestione degli account (strumenti di back office) | 3.1, 3.2, 3.3 | Legittimo interesse del titolare e degli utenti a un ambiente sicuro e conforme alle condizioni d'uso - art. 6(1)(f) GDPR |
| Gestione delle richieste e delle comunicazioni degli utenti | dati contenuti nella comunicazione | Legittimo interesse - art. 6(1)(f) GDPR; obbligo legale per le richieste ex artt. 15-22 GDPR - art. 6(1)(c) GDPR |
| Adempimento di obblighi di legge e difesa in giudizio | dati pertinenti | Obbligo legale - art. 6(1)(c) GDPR; legittimo interesse - art. 6(1)(f) GDPR |
Il conferimento dei dati di cui ai punti 3.1 e 3.2 (campi obbligatori) è necessario per la creazione dell'account: in mancanza non è possibile utilizzare le funzionalità riservate agli utenti registrati. Il conferimento dei dati facoltativi e la prestazione dei consensi sono liberi e la loro mancanza non pregiudica l'utilizzo del servizio, salvo per la funzionalità specificamente interessata.
5. Destinatari dei dati
I dati possono essere trattati dal personale autorizzato del titolare e da soggetti che agiscono in qualità di responsabili del trattamento ai sensi dell'articolo 28 del GDPR, sulla base di appositi accordi:
- Amazon Web Services EMEA SARL - servizi di autenticazione, banca dati, archiviazione delle immagini, elaborazione applicativa e log tecnici. I servizi sono ospitati nella regione Europa (Milano) - eu-south-1;
- Google Ireland Limited / Google LLC - Firebase Analytics, Firebase Cloud Messaging, Firebase Remote Config, Google Maps, Google Places, Google Fonts;
- fornitori dei servizi di posta elettronica utilizzati per le comunicazioni di servizio e per la gestione delle richieste.
I contenuti pubblicati dall'utente (punto 3.3) sono inoltre accessibili agli altri utenti dell'applicazione e, per le immagini di copertina, a chiunque disponga del relativo indirizzo web.
I dati non sono comunicati, venduti o cessati a terzi per finalità proprie di questi ultimi, né utilizzati per finalità pubblicitarie. Possono essere comunicati ad autorità pubbliche quando ciò sia imposto dalla legge o necessario per l'accertamento, l'esercizio o la difesa di un diritto.
6. Trasferimenti di dati verso Paesi terzi
L'infrastruttura applicativa è ospitata nell'Unione europea (regione AWS Europa - Milano). Alcune attività di supporto tecnico dei fornitori possono comportare l'accesso ai dati da Paesi terzi; tali trasferimenti sono disciplinati dalle clausole contrattuali tipo adottate dalla Commissione europea ai sensi dell'articolo 46(2)(c) del GDPR, integrate dalle misure supplementari previste dai rispettivi accordi sul trattamento dei dati.
I servizi Google indicati al punto 5 possono comportare il trasferimento di dati verso gli Stati Uniti. Google LLC aderisce al EU-U.S. Data Privacy Framework, che costituisce base giuridica del trasferimento ai sensi dell'articolo 45 del GDPR in forza della decisione di adeguatezza della Commissione europea del 10 luglio 2023; ove applicabile si aggiungono le clausole contrattuali tipo.
Copia delle garanzie adottate può essere richiesta ai contatti indicati al punto 1.
7. Periodi di conservazione
| Dato | Conservazione |
|---|---|
| Account e dati di profilo (3.1, 3.2) | Per tutta la durata del rapporto e, in caso di richiesta di cancellazione, fino al completamento della procedura di cui al punto 9 |
| Battle pubblicate e immagini di copertina (3.3) | Fino all'eliminazione da parte dell'utente o alla cancellazione dell'account; i file temporanei dei caricamenti non completati sono rimossi automaticamente entro 1 giorno |
| Token di notifica (3.4) | Fino alla revoca del consenso di sistema, alla disinstallazione dell'applicazione o alla cancellazione dell'account |
| Log tecnici (3.5) | Per il tempo necessario alle finalità di sicurezza e diagnostica e, in ogni caso, non oltre 12 mesi, salvo conservazione ulteriore necessaria all'accertamento, all'esercizio o alla difesa di un diritto |
| Dati conservati sul dispositivo (3.6) | Fino alla disconnessione o alla disinstallazione dell'applicazione |
| Statistiche di utilizzo (3.7) | Secondo i periodi di conservazione impostati sul servizio Firebase Analytics, non superiori a 14 mesi per i dati a livello di utente e dispositivo |
| Comunicazioni degli utenti (punto 8) | Per il tempo necessario alla gestione della richiesta e, in caso di esercizio dei diritti, per il periodo necessario a documentarne l'evasione |
Decorsi tali termini i dati sono cancellati o resi anonimi, salvi gli obblighi di conservazione previsti dalla legge.
8. Comunicazioni volontarie degli utenti
Gli utenti possono contattare il titolare agli indirizzi indicati al punto 1. In tal caso sono trattati i dati contenuti nella comunicazione (indirizzo del mittente, contenuto del messaggio ed eventuali ulteriori informazioni fornite) al solo fine di ricevere, gestire e rispondere alla richiesta, sulla base del legittimo interesse del titolare alla gestione delle comunicazioni ricevute ovvero, quando necessario, dell'adempimento di un obbligo di legge (art. 6(1), lett. f) e c), GDPR). Il conferimento è facoltativo, ma l'assenza di un recapito può impedire al titolare di rispondere.
9. Diritti degli interessati
Nei limiti e alle condizioni previste dagli articoli 15-22 del GDPR, l'interessato ha diritto di ottenere:
- l'accesso ai propri dati personali e le informazioni sul relativo trattamento;
- la rettifica dei dati inesatti e l'integrazione dei dati incompleti;
- la cancellazione dei dati ("diritto all'oblio");
- la limitazione del trattamento;
- la portabilità dei dati trattati sulla base del contratto o del consenso, in formato strutturato e di uso comune;
- l'opposizione al trattamento fondato sul legittimo interesse del titolare, nonché in ogni momento al trattamento per finalità di marketing diretto.
Quando il trattamento è fondato sul consenso, questo può essere revocato in qualsiasi momento senza pregiudizio della liceità del trattamento effettuato prima della revoca; la revoca dei consensi relativi alle notifiche promozionali e alle statistiche di utilizzo può essere effettuata direttamente dalle impostazioni dell'applicazione o del dispositivo.
Cancellazione dell'account. La richiesta di cancellazione può essere inoltrata dall'apposita funzione presente nell'applicazione, nella sezione del profilo, oppure ai contatti indicati al punto 1. La richiesta è presa in carico e il titolare provvede alla cancellazione dell'account e dei dati associati, compresi i contenuti pubblicati, entro il termine indicato in sede di richiesta e in ogni caso entro i termini di cui all'articolo 12(3) del GDPR, salva la conservazione dei dati per i quali sussista un obbligo di legge o un'esigenza di difesa in giudizio.
Le richieste possono essere inviate ai contatti indicati al punto 1. Il titolare risponde senza ingiustificato ritardo e, comunque, entro un mese dal ricevimento della richiesta, termine prorogabile di due mesi in caso di richieste complesse.
L'interessato ha inoltre diritto di proporre reclamo al Garante per la protezione dei dati personali (www.garanteprivacy.it) o all'autorità di controllo dello Stato membro in cui risiede, nonché di adire le vie giudiziarie.
10. Minori
L'applicazione non è destinata a soggetti di età inferiore a 16 anni, che non sono autorizzati a registrarsi né a utilizzare il servizio. Il titolare non raccoglie consapevolmente dati personali di minori di tale età; ove venga a conoscenza della registrazione di un minore, provvede senza ritardo alla cancellazione dell'account e dei relativi dati. Chi esercita la responsabilità genitoriale può segnalare tali casi ai contatti indicati al punto 1.
11. Processi decisionali automatizzati e profilazione
Il titolare non effettua attività di profilazione né adotta decisioni basate unicamente su trattamenti automatizzati che producano effetti giuridici o incidano in modo analogamente significativo sugli utenti ai sensi dell'articolo 22 del GDPR. Le statistiche di utilizzo di cui al punto 3.7 sono utilizzate in forma aggregata e non per valutare caratteristiche o comportamenti individuali.
12. Misure di sicurezza
Il titolare adotta misure tecniche e organizzative adeguate ai sensi dell'articolo 32 del GDPR, tra cui: cifratura delle comunicazioni tra applicazione e infrastruttura (HTTPS/TLS), cifratura dei dati a riposo, conservazione delle credenziali in forma cifrata e non reversibile presso il servizio di autenticazione, gestione delle autorizzazioni di accesso secondo il principio del minimo privilegio, conservazione dei token di sessione in aree protette del dispositivo, registrazione degli accessi applicativi e procedure di backup. Nessuna misura può garantire una sicurezza assoluta; eventuali violazioni dei dati personali sono gestite ai sensi degli articoli 33 e 34 del GDPR.
13. Aggiornamenti dell'informativa
Il titolare può aggiornare la presente informativa in occasione dell'introduzione di nuove funzionalità o di modifiche alle modalità di trattamento. Prima dell'attivazione di funzionalità che comportino nuovi trattamenti - in particolare le funzionalità di pagamento, le chat tra utenti o le votazioni delle battle - l'informativa sarà aggiornata per descriverne finalità, basi giuridiche, categorie di dati e destinatari.
La versione aggiornata è resa disponibile attraverso i canali ufficiali dell'applicazione e del sito web; in caso di modifiche sostanziali gli utenti registrati ne sono informati con congruo preavviso attraverso l'applicazione o via e-mail e, ove il trattamento sia fondato sul consenso, è richiesto un nuovo consenso.