Informativa sulla privacy

In breve

Chi siamo: Bot Rivals è pubblicato da Ferdinando Bonsegna, sviluppatore individuale con sede in Italia, che è il titolare del trattamento. Per qualsiasi cosa, scrivi a 1bonsegnaferdinando@gmail.com.
Cosa usiamo: l'account con cui accedi (Apple, Google, oppure email e password, gestito da Firebase di Google), il tuo anno di nascita (per verificare che tu abbia almeno 13 anni), il tuo profilo di gioco (nome pubblico, trofei, valute, pezzi, missioni, Pass), gli esiti delle partite, le segnalazioni e i blocchi, e i dati tecnici necessari per la connessione.
Cosa vedono gli altri giocatori: durante una partita, il tuo nome pubblico, i tuoi trofei, il robot che hai disegnato, il suo nome e il tuo Ritratto. Il nostro server inoltra questi disegni al tuo avversario e non li conserva, salvo una copia allegata a una segnalazione che un altro giocatore fa su di te (sezione 2.4).
Cosa non facciamo: niente pubblicità, niente analisi di terze parti, nessun tracciamento tra app o siti web, nessuna vendita di dati. Gli unici servizi esterni nell'app sono l'accesso con Apple, Google e Firebase.
Dove: il server di gioco e il database funzionano su Amazon Web Services a Francoforte (UE). L'accesso tramite Firebase può comportare un trasferimento verso gli Stati Uniti, con le garanzie richieste dal GDPR.
Per quanto tempo: il tuo profilo finché hai un account; le partite 90 giorni; le segnalazioni un anno; i log del server 30 giorni.
Puoi eliminare il tuo account nell'app (Impostazioni → Elimina account) o via email. Hai i diritti previsti dal GDPR e puoi proporre reclamo all'autorità di controllo italiana (Garante per la protezione dei dati personali) o a quella del tuo Paese.
Età: il gioco è per persone dai 13 anni in su; al di sotto dell'età del consenso digitale nel tuo Paese serve il consenso di un genitore.

1. Titolare del trattamento

Ferdinando Bonsegna (sviluppatore individuale)
Italia
Email: 1bonsegnaferdinando@gmail.com

La presente informativa riguarda il gioco Bot Rivals per iOS e Android, il server online del gioco e questo sito web (botrivals.app). Per qualsiasi domanda sui tuoi dati, o per esercitare i tuoi diritti, scrivi all'indirizzo email indicato sopra.

2. Quali dati trattiamo

2.1 Account e accesso

Per giocare online serve un account. L'accesso è gestito da Firebase Authentication, un servizio di Google. Puoi accedere in tre modi:

Con Apple (su iPhone): si apre la schermata di accesso di Apple. Ad Apple chiediamo solo il tuo indirizzo email, mai il tuo nome; puoi scegliere "Nascondi la mia email" di Apple, e in tal caso riceviamo un indirizzo di inoltro privato. Apple fornisce a Firebase un identificativo dell'account Apple e quell'email.
Con Google: si apre la pagina di accesso di Google. Google fornisce a Firebase l'identificativo del tuo account Google, il tuo indirizzo email e, se presenti, il nome e la foto del tuo profilo Google.
Con email e password: l'app invia la tua email e la tua password direttamente a Firebase, che conserva la password solo in forma protetta (hash). Firebase invia anche le email di verifica dell'indirizzo e di reimpostazione della password. Un account email può giocare online solo dopo che hai confermato l'indirizzo.

Il nostro server di gioco riceve da Firebase solo un token di accesso firmato, dal quale legge l'identificativo dell'account (uid) e il metodo di accesso. Il nome, l'email e la foto del tuo account Google o email non vengono né letti né conservati dal nostro server, e non diventano mai il tuo nome nel gioco.

Anno di nascita: la prima volta che accedi ti chiediamo l'anno di nascita, per verificare che tu abbia almeno 13 anni. Conserviamo l'anno e il fatto che la verifica è stata superata, collegati al tuo account. Se hai meno di 13 anni, nessun account viene creato e l'anno non viene conservato.

Dopo l'accesso il server ti assegna una sessione (un codice firmato valido 30 giorni, rinnovato mentre giochi), salvata sul tuo telefono.

2.2 Profilo di gioco

Sul nostro server conserviamo, collegati al tuo uid:

il tuo nome pubblico: all'inizio un nome generato (per esempio "PILOT 1234", derivato dall'uid e che non rivela nulla del tuo account), poi quello che scegli tu;
trofei, record di trofei, vittorie, sconfitte e numero di duelli;
valute di gioco (Monete, Progetti, Cristalli), pezzi, materiali, armi con i loro livelli e copie, cassette in attesa di essere aperte e i contatori di garanzia delle cassette;
il Pass (stagione, livello, punti, premi riscossi), missioni, traguardi, premi del percorso delle leghe, contatori degli allenamenti premiati e del tutorial;
l'elenco dei giocatori che hai bloccato (500 al massimo) e il conteggio giornaliero delle segnalazioni che hai inviato.

2.3 Partite

Il server gestisce ogni duello: riceve i comandi che dai durante la partita, simula il duello e calcola il risultato. Per ogni partita conserva un registro con: l'identificativo della partita, gli uid dei due giocatori, il vincitore, il motivo per cui la partita è terminata e la sua durata. Serve a calcolare i premi, a collegare una segnalazione alla partita giusta e a prevenire abusi.

Per giocare, l'app invia al server anche il disegno del tuo robot (tratti, materiali, pezzi montati e livelli), il nome del robot e il tuo Ritratto disegnato. Il server li usa per la partita e li inoltra al tuo avversario, ma non li conserva: finita la partita non sono più sul server, a meno che il tuo avversario non ti segnali (sezione 2.4).

2.4 Segnalazioni e blocchi

Quando segnali un giocatore registriamo: chi segnala (uid), chi è segnalato (uid), la partita, il motivo scelto ("Disegno offensivo", "Nome offensivo", "Imbroglia", "Altro"), le eventuali note che scrivi (500 caratteri al massimo), la data, e una copia di ciò che il giocatore segnalato ha mostrato in quella partita: il suo nome pubblico, il nome del robot, il disegno del robot e il Ritratto, in modo che una persona possa esaminare la segnalazione. La segnalazione viene scritta anche nel log del server. Quando blocchi un giocatore, il suo uid entra nel tuo elenco dei bloccati e non verrete mai più abbinati.

Dopo aver esaminato una segnalazione, una persona può nascondere il Ritratto di un giocatore, sostituire il suo nome pubblico con uno generato o sospendere l'account. La sospensione viene registrata sull'account con la data e il motivo, e l'account sospeso non può più accedere.

2.5 Dati tecnici

Indirizzo IP: necessario per collegarti al server e, solo in memoria, per limitare il numero di richieste dallo stesso indirizzo (protezione dagli abusi). Il server di gioco non lo scrive nei suoi log; il proxy HTTPS davanti al server non conserva log di accesso, ma i suoi messaggi di errore tecnici possono occasionalmente contenere un indirizzo IP.
Log del server: messaggi tecnici con gli uid, i nomi pubblici dei giocatori di un duello, le segnalazioni e gli errori, conservati in Amazon CloudWatch Logs a Francoforte. Servono a gestire il servizio, a risolvere i problemi e per la moderazione.
Sessioni revocate: quando esci o elimini il tuo account, registriamo che le sessioni emesse fino a quel momento non sono più valide.

2.6 Messaggi che ci invii

Se ci scrivi trattiamo il tuo indirizzo email, il contenuto del tuo messaggio e gli eventuali dettagli che ci fornisci per poterti aiutare (per esempio il tuo nome nel gioco).

2.7 Questo sito web

botrivals.app è un sito web statico: non usa cookie, script esterni, strumenti di analisi o tracciamento. Il fornitore di hosting tratta i dati tecnici minimi necessari per consegnare le pagine (per esempio l'indirizzo IP nella richiesta).

3. Finalità e basi giuridiche

Finalità	Dati	Base giuridica (GDPR)
Creare e gestire il tuo account, farti accedere	Account, sessione	Esecuzione di un contratto (art. 6, par. 1, lett. b))
Far funzionare il gioco: profilo, economia, duelli, abbinamento, premi, Pass, missioni	Profilo, partite, disegni durante la partita	Esecuzione di un contratto (art. 6, par. 1, lett. b))
Mostrare il tuo nome, il tuo robot e il tuo Ritratto al tuo avversario	Nome pubblico, trofei, disegni	Esecuzione di un contratto (art. 6, par. 1, lett. b)): è il cuore del gioco multigiocatore
Moderazione: segnalazioni, blocchi, sanzioni, tutela degli altri giocatori	Segnalazioni, blocchi, partite, log	Legittimo interesse a un ambiente sicuro e corretto (art. 6, par. 1, lett. f)) e obblighi legali sui contenuti illegali (art. 6, par. 1, lett. c))
Sicurezza, prevenzione di imbrogli e abusi, limiti alle richieste	IP (in memoria), partite, log	Legittimo interesse (art. 6, par. 1, lett. f))
Assistenza e risposta alle richieste	Email e messaggi	Esecuzione di un contratto (art. 6, par. 1, lett. b)) e obbligo legale per le richieste relative ai diritti sui dati (art. 6, par. 1, lett. c))
Acquisti, quando saranno disponibili	Dati delle transazioni	Esecuzione di un contratto (art. 6, par. 1, lett. b)) e obblighi fiscali e contabili (art. 6, par. 1, lett. c))

Non usiamo i tuoi dati per pubblicità, profilazione commerciale o marketing, e non li vendiamo. Quando ci basiamo sul legittimo interesse puoi opporti (sezione 10).

I dati dell'account sono necessari per giocare online: senza account è disponibile solo l'allenamento offline con un profilo già salvato.

4. Dati visibili agli altri giocatori

Durante un duello online il tuo avversario vede: il tuo nome pubblico, i tuoi trofei, il robot che hai disegnato e il suo nome, e il tuo Ritratto. Non vede mai la tua email né il nome del tuo account Google. Scegli un nome pubblico che non riveli la tua vera identità, e non inserire dati personali nel tuo Ritratto (per esempio il tuo nome completo o un disegno riconoscibile del tuo volto).

5. Fornitori e destinatari

Google (Firebase Authentication e accesso con Google): gestisce gli account e l'accesso per nostro conto. Il servizio è fornito da Google LLC e/o Google Ireland Limited in base ai termini di trattamento dei dati di Firebase. Bot Rivals usa un proprio progetto Firebase.
Apple (Accedi con Apple): se lo scegli, Apple ti fa accedere in base alla propria informativa sulla privacy e ci fornisce l'identificativo e l'email descritti nella sezione 2.1. Quando elimini il tuo account chiediamo ad Apple di revocare l'accesso di Bot Rivals.
Amazon Web Services (Amazon Web Services EMEA SARL): ospita il server di gioco (Amazon EC2), il database (Amazon DynamoDB) e i log del server (Amazon CloudWatch) nella regione eu-central-1 (Francoforte), in qualità di nostro responsabile del trattamento.
Apple e Google (App Store e Google Play): distribuiscono l'app e, quando saranno disponibili, gestiranno i pagamenti. Per questi trattamenti agiscono come titolari autonomi in base alle proprie informative sulla privacy.
Altri giocatori: i dati della sezione 4.
Autorità: solo quando la legge lo richiede, per esempio a seguito di una richiesta motivata di un'autorità giudiziaria.

L'app non contiene SDK di pubblicità, analisi, segnalazione degli arresti anomali o social network.

6. Trasferimenti fuori dall'UE

Il server e il database del gioco si trovano nell'Unione europea (Francoforte). I dati di accesso gestiti da Firebase possono essere trattati da Google anche negli Stati Uniti. In tal caso il trasferimento si basa sulla decisione di adeguatezza relativa al quadro UE-USA per la protezione dei dati personali (EU-U.S. Data Privacy Framework), a cui Google LLC aderisce, oppure sulle clausole contrattuali tipo della Commissione europea. AWS può accedere ai dati da fuori dell'UE solo con le stesse garanzie. Puoi chiederci una copia delle garanzie scrivendo a 1bonsegnaferdinando@gmail.com.

7. Per quanto tempo conserviamo i dati

Dati	Periodo
Profilo di gioco, nome pubblico, elenco dei bloccati, anno di nascita, sospensione	Finché hai un account. Eliminati quando elimini il tuo account.
Backup del database dei profili	Il ripristino point-in-time copre al massimo gli ultimi 35 giorni: dopo l'eliminazione, il profilo esce anche da questi backup entro 35 giorni.
Registri delle partite	90 giorni, poi eliminati automaticamente. Se elimini il tuo account, il tuo uid nei registri viene sostituito con "deleted".
Segnalazioni, con le note e la copia del disegno e del Ritratto segnalati	1 anno dalla segnalazione, poi eliminate automaticamente (vedi sotto per l'eliminazione dell'account).
Revoche delle sessioni (uscita o eliminazione)	31 giorni.
Sessione sul server	Non conservata: è un codice firmato, valido al massimo 30 giorni dall'ultimo rinnovo.
Disegno del robot e Ritratto sul server	Solo per la durata della partita, in memoria (salvo la copia in una segnalazione).
Indirizzo IP per i limiti alle richieste	Solo nella memoria del server, mai scritto su disco; cancellato al riavvio del server (a ogni aggiornamento) o quando la tabella si riempie.
Log del server	30 giorni in Amazon CloudWatch Logs, poi eliminati automaticamente.
Account Firebase (email, metodo di accesso)	Eliminato automaticamente insieme al tuo account di gioco (sezione 11).
Email all'assistenza	Per il tempo necessario a gestire la richiesta e poi al massimo 24 mesi, salvo che servano più a lungo per accertare o difendere un diritto in sede giudiziaria.
Dati degli acquisti (in futuro)	Per i periodi previsti dalla normativa fiscale e contabile.

8. Dati salvati sul tuo telefono

L'app salva sul tuo telefono, senza inviarli a nessuno salvo quanto descritto sopra: i tuoi robot, il tuo Ritratto, il tuo nome, le tue impostazioni (lingua, audio, comandi), la tua sessione, un identificativo casuale dell'app creato al primo avvio e un piccolo file di diagnostica locale (1 MB al massimo) che non viene mai inviato. Il telefono ricorda anche un codice anonimo dei giocatori che hai segnalato o bloccato, così i loro disegni non ti vengono più mostrati. Disinstallando l'app questi dati vengono eliminati.

9. Minori

Bot Rivals non è un'app per bambini. Puoi usarla solo se hai almeno 13 anni: il gioco ti chiede l'anno di nascita la prima volta che accedi. Se hai meno dell'età a partire dalla quale il tuo Paese ti consente di prestare da solo il consenso ai servizi online (per esempio 14 anni in Italia, 16 in Polonia e Germania), puoi usare Bot Rivals solo con il consenso e la supervisione di un genitore o tutore. Se veniamo a sapere che un account appartiene a una persona con meno di 13 anni, o a un minore senza il consenso necessario, lo eliminiamo. Un genitore può scriverci a 1bonsegnaferdinando@gmail.com.

10. I tuoi diritti

In base al GDPR (articoli da 15 a 22) hai il diritto di:

sapere se trattiamo i tuoi dati e ottenerne una copia (accesso);
rettificare i dati inesatti (puoi cambiare da solo il tuo nome pubblico nell'app);
ottenere la cancellazione dei tuoi dati;
chiedere la limitazione del trattamento;
ricevere i dati del tuo profilo in un formato strutturato e leggibile da dispositivo automatico (portabilità);
opporti al trattamento basato sul legittimo interesse, per motivi connessi alla tua situazione particolare.

Scrivi a 1bonsegnaferdinando@gmail.com. Per proteggere il tuo account possiamo chiederti di scriverci dall'indirizzo email collegato all'account, o di fornirci dettagli che ci permettano di riconoscerlo (per esempio il tuo nome pubblico e il metodo di accesso). Rispondiamo entro un mese; per le richieste complesse il termine può essere prorogato di altri due mesi, e in tal caso te lo comunicheremo.

11. Eliminare il tuo account

Puoi eliminare il tuo account nell'app: Impostazioni → ACCOUNT → Elimina account (due conferme; serve una connessione e non devi essere in un duello). Le istruzioni complete sono nella pagina Elimina il tuo account.

Cosa succede:

tutte le tue sessioni smettono di funzionare;
il tuo profilo, nome pubblico, trofei, valute, pezzi ed elenco dei bloccati vengono eliminati dal server;
nei registri delle partite e nelle segnalazioni che hai fatto, il tuo uid viene sostituito con "deleted";
le segnalazioni ricevute da altri giocatori restano fino alla loro scadenza (un anno), ma al posto del tuo uid riportano un codice opaco che non ti identifica direttamente. Lo stesso account produce sempre lo stesso codice: in questo modo si conserva lo storico della moderazione se l'account ritorna. Base giuridica: legittimo interesse alla sicurezza degli altri giocatori;
la tua sessione, i tuoi robot, il tuo Ritratto e il tuo nome vengono eliminati dal telefono.
il tuo account di accesso Firebase (email e metodo di accesso) viene eliminato automaticamente subito dopo;
se hai effettuato l'accesso con Apple, l'app ti chiede di confermare con Apple e noi chiediamo ad Apple di revocare l'accesso di Bot Rivals, così il gioco non compare più in Accedi con Apple nelle impostazioni del tuo ID Apple.

Se in seguito accedi di nuovo con lo stesso account Apple o Google o con la stessa email, riparti da un profilo vuoto.

12. Decisioni automatizzate

Il server decide automaticamente l'esito dei duelli, i premi, l'abbinamento (in base ai trofei e ai blocchi) e il contenuto delle cassette, secondo le regole del gioco. Non adottiamo decisioni basate unicamente su un trattamento automatizzato che producano effetti giuridici che ti riguardano o che incidano in modo analogo significativamente sulla tua persona. Le sospensioni e i ban per violazione delle regole sono decisi da una persona dopo aver esaminato il caso.

13. Sicurezza

Tutte le comunicazioni tra l'app e il server sono cifrate (HTTPS e WebSocket sicuro).
Il database è cifrato a riposo; l'accesso è limitato al server di gioco.
Non vediamo né conserviamo mai la tua password: la gestisce Firebase (e Apple, se accedi con Apple).
Il server è autoritativo: gli esiti dei duelli, i premi e le cassette vengono calcolati sul server, non sul telefono.
Sessioni firmate e revocabili; limiti al numero di richieste.

Se veniamo a conoscenza di una violazione dei dati personali che ti espone a rischi, la notifichiamo all'autorità competente e, quando la legge lo richiede, anche a te.

14. Acquisti (quando saranno disponibili)

Oggi in Bot Rivals non si può comprare nulla con denaro reale. Quando i Cristalli potranno essere acquistati, il pagamento passerà per l'App Store o Google Play: non riceveremo i dati della tua carta o del tuo metodo di pagamento. Riceveremo dallo store le informazioni sulla transazione (prodotto, identificativo dell'acquisto, data, stato e rimborsi) per consegnarti gli acquisti e adempiere agli obblighi di legge. Aggiorneremo questa informativa prima di attivare gli acquisti.

15. Cookie e tracciamento

Questo sito web non usa cookie né tecnologie simili. L'app non usa identificativi pubblicitari e non ti traccia attraverso app o siti web di altre aziende. Durante l'accesso con Google si apre una finestra o una pagina di Google, che può usare i cookie di Google in base all'informativa sulla privacy di Google. Sui dispositivi senza la finestra di accesso di sistema, l'accesso con Google passa per una pagina del nostro server che carica la libreria Firebase di Google.

16. Reclami a un'autorità

Se ritieni che trattiamo i tuoi dati in violazione del GDPR, puoi proporre reclamo a un'autorità di controllo. La nostra autorità capofila è quella italiana:

Garante per la protezione dei dati personali
Piazza Venezia 11, 00187 Roma, Italia
garanteprivacy.it

Puoi rivolgerti anche all'autorità del Paese in cui vivi o lavori, o in cui è avvenuta la presunta violazione; in Polonia, per esempio, il Prezes Urzędu Ochrony Danych Osobowych (uodo.gov.pl). Ti invitiamo comunque a scriverci prima: spesso possiamo risolvere subito.

17. Modifiche

Possiamo aggiornare questa informativa, per esempio quando aggiungiamo funzioni (come gli acquisti) o cambiamo fornitori. La data e la versione in cima alla pagina indicano l'ultima modifica. Ti informeremo delle modifiche importanti nell'app prima che si applichino.