Informativa sulla privacy

1. Titolare del trattamento

Il titolare del trattamento dei Suoi dati personali è:

Maurice Hurdebise, imprenditore indipendente (persona fisica), che opera sotto il nome commerciale « Jack & Mani ». Gooblies è uno dei suoi giochi: è la ragione per cui le nostre email Le arrivano da un indirizzo @jackandmani.com. Numero d'impresa (BCE): 0805.203.037 (non soggetto a IVA). Indirizzo: Rue Chaumont 9, 4970 Stavelot, Belgio. Email: info@jackandmani.com.

La presente informativa è disciplinata dal diritto belga e dal Regolamento generale sulla protezione dei dati (GDPR). L'autorità di controllo competente è l'Autorité de protection des données (APD, Autorità per la protezione dei dati), in Belgio.

2. Il principio

Il gioco è per Suo figlio, l'account è Suo.

Non conosciamo né il cognome, né il nome, né l'età, né il volto di Suo figlio, e non abbiamo alcuna intenzione di venirne a conoscenza. Il gioco non chiede mai un soprannome. L'unico dato nominativo in nostro possesso è il Suo indirizzo email, quello dell'adulto che ha creato l'account.

Una cosa, però, va detta chiaramente invece di essere annegata in una tabella: per funzionare, Gooblies registra il perimetro del giardino in cui gioca Suo figlio e i punti in cui le creature sono state nascoste durante le partite. Si tratta di coordinate GPS reali, intorno a casa Sua. La sezione seguente spiega esattamente che cosa viene registrato, e la sezione 8 per quanto tempo.

Questo documento si rivolge a Lei, l'adulto. Il gioco, invece, dà del tu al bambino: è una scelta voluta, ed è l'unica differenza di tono tra i due.

3. I dati che trattiamo

Dati dell'account. Il Suo indirizzo email e la Sua password, se crea un account tramite email. La password è sottoposta ad hashing dal nostro fornitore di autenticazione e non è mai conservata in chiaro da parte nostra. Se accede con Google, riceviamo l'identificativo dell'account Google e l'indirizzo email associato; non utilizziamo né il nome né la foto del profilo Google. A ogni account viene attribuito un identificativo tecnico (UID).

Dati di gioco. Le creature possedute e la loro sazietà, il numero di partite, i contatori delle scoperte, l'avanzamento nella scoperta del gioco e il libro mastro dei cupcake.

Dati di localizzazione. Due cose distinte, ed è la parte più delicata di questo documento:

• Il giardino. È Lei stesso a tracciare, su una mappa satellitare, il perimetro in cui Suo figlio può giocare. Questo perimetro — da 3 a 60 punti GPS, limitato a 10 000 m² — viene registrato sul Suo dispositivo e, se ha un account, sui nostri server. In pratica descrive i dintorni della Sua abitazione.
• Le partite. Al termine di una partita registriamo le posizioni dei nascondigli utilizzati, al massimo sei, tutte situate all'interno del giardino che ha tracciato.

Durante una partita la posizione del dispositivo viene letta di continuo dal gioco per sapere se il bambino si avvicina a una creatura. Questa posizione continua non viene né registrata né trasmessa: serve al calcolo, sul dispositivo, e poi va perduta.

Dati tecnici. Il Suo indirizzo IP e alcune intestazioni tecniche possono essere registrati nei log dal nostro fornitore di hosting. Mapbox riceve il Suo indirizzo IP quando la mappa di sfondo viene caricata.

Dati di misurazione. Se — e soltanto se — ha accettato la misurazione nel banner del sito, Google Analytics riceve un identificativo estratto a caso, il Suo indirizzo IP, le pagine consultate e contatori di gesti di gioco. Il dettaglio è nel riepilogo della sezione 4, e la nostra politica sui cookie dice dove Le viene posta la domanda.

Non raccogliamo: cognome, nome, soprannome, data di nascita, età, fotografie, indirizzo postale, numero di telefono né contatti.

4. Finalità e basi giuridiche

Trattiamo i Suoi dati soltanto per finalità determinate e sulla base di un preciso fondamento giuridico (articolo 6 del GDPR). Il dettaglio figura nel riepilogo qui sotto.

Una parola sulla geolocalizzazione, perché è la prima domanda che un genitore si pone. Essa si fonda sull'esecuzione del contratto e non sul Suo consenso, per una ragione semplice: senza giardino non c'è gioco. Non si può nascondere una creatura in un giardino senza sapere dov'è il giardino. Questo non Le toglie nulla: il Suo browser Le chiederà comunque l'autorizzazione ad accedere alla Sua posizione, e Lei può rifiutarla o revocarla in qualsiasi momento nelle impostazioni del Suo dispositivo; il gioco smetterà allora di funzionare, ma nulla verrà registrato.

5. Ciò che non facciamo

Questa sezione è breve perché è categorica.

Non abbiamo alcuna rete pubblicitaria e non mostriamo alcuna pubblicità. Non effettuiamo alcuna profilazione né alcuna decisione automatizzata. Non facciamo alcuna registrazione di sessione — nulla filma lo schermo di Suo figlio — né test A/B. Non vendiamo i Suoi dati e non li condividiamo con nessun altro all'infuori dei fornitori tecnici elencati alla sezione 6. Non inviamo alcuna newsletter né alcuna email di marketing. Il gioco non contiene alcuna intelligenza artificiale, nessuna chat, nessuna funzione sociale, nessuna classifica, nessuna notifica push.

Una sola eccezione, e dipende da Lei: la misurazione dell'uso descritta alla sezione 6, che ha luogo soltanto se l'ha accettata. Conta gesti — una partita avviata, un pasto dato — senza mai cercare di sapere chi li ha compiuti.

Le uniche email che riceverà sono: la verifica del Suo indirizzo e la reimpostazione della Sua password, inviate dal nostro fornitore di autenticazione; e la ricevuta dei Suoi acquisti, inviata dal nostro fornitore di pagamento.

6. Destinatari e responsabili del trattamento

I Suoi dati sono comunicati unicamente ai fornitori tecnici strettamente necessari al funzionamento del servizio, che agiscono secondo le nostre istruzioni.

Google / Firebase (Google Ireland Limited e Google LLC): autenticazione (Firebase Authentication), accesso tramite Google, database di gioco (Cloud Firestore, regione europe-west1, Belgio), funzioni server (Cloud Functions, stessa regione) e hosting del sito (Firebase App Hosting). Il Suo indirizzo email resta circoscritto al servizio di autenticazione e non viene mai ricopiato nel database di gioco.

Stripe (Stripe, Inc., Stati Uniti): elaborazione dei pagamenti. I dati della Sua carta di pagamento sono inseriti e trattati direttamente da Stripe e non vengono mai da noi ricevuti né conservati. Stripe riceve il Suo indirizzo email per inviarLe la ricevuta. Se paga con Apple Pay o Google Pay, intervengono anche Apple o Google, secondo le rispettive condizioni.

Mapbox (Mapbox, Inc., Stati Uniti): la mappa satellitare di sfondo visualizzata quando traccia o consulta il giardino. Mapbox riceve il Suo indirizzo IP e le coordinate della zona osservata. I dati cartografici provengono anche da OpenStreetMap.

Sentry (Functional Software, Inc., Stati Uniti): sorveglianza tecnica. Quando una pagina smette di funzionare, Sentry riceve il messaggio di errore, la versione del browser e il punto del codice interessato, perché possiamo ripararlo. Abbiamo disattivato l'invio dei dati personali per impostazione predefinita: né l'indirizzo IP né l'identificativo di sessione sono allegati ai rapporti, e non viene effettuata alcuna registrazione dello schermo.

Google Analytics (Google Ireland Limited): misurazione del pubblico del sito e dell'uso del gioco, soltanto se l'ha accettata nel banner previsto a tale scopo. Google riceve allora il Suo indirizzo IP, le pagine consultate, un identificativo estratto a caso e contatori di gesti di gioco — una partita avviata, una creatura trovata, un pasto dato, un acquisto andato a buon fine. Nessuna posizione, nessun contorno di giardino e nessun identificativo di account gli vengono trasmessi: la misurazione non permette di sapere chi gioca. Nulla viene misurato prima del Suo consenso, né se lo rifiuta, né se la domanda non Le è mai stata posta.

7. Trasferimenti al di fuori dell'Unione europea

Il database di gioco e le funzioni server sono ospitati nell'Unione europea (europe-west1, Belgio). Hanno tuttavia luogo trasferimenti al di fuori dell'Unione europea:

• Google / Firebase: Firestore e le Cloud Functions si trovano nell'Unione europea, ma Firebase Authentication è un servizio globale di Google: le Sue credenziali di accesso possono essere trattate fuori dall'UE e Google, società statunitense, può inoltre accedere a distanza ai dati;
• Stripe (Stati Uniti): trasferimento dei dati necessari al pagamento;
• Mapbox (Stati Uniti): trasferimento del Suo indirizzo IP e della zona di mappa consultata;
• Sentry (Stati Uniti): trasferimento del rapporto tecnico di errore;
• Google Analytics (Stati Uniti): se ha accettato la misurazione, i dati di misurazione possono essere trattati da Google LLC fuori dall'Unione europea.

Tali trasferimenti sono disciplinati dalle garanzie previste dal GDPR: clausole contrattuali tipo della Commissione europea e, se del caso, adesione al quadro per la protezione dei dati UE–Stati Uniti (Data Privacy Framework).

8. Tempi di conservazione

Account, giardino, progressi e libro mastro: conservati per tutta la durata dell'account. Un account rimasto inattivo per 36 mesi viene eliminato.

Posizioni delle partite giocate: conservate per 12 mesi dopo la fine della partita, poi cancellate.

Posizione continua durante una partita: mai conservata. Esiste soltanto in memoria, sul dispositivo, per il tempo del calcolo.

Codice genitori: conservato finché il codice resta attivo; eliminato insieme all'account.

Traccia dei pagamenti: conservata per la durata legale di conservazione contabile applicabile in Belgio, ossia circa 7 anni.

Dati archiviati sul Suo dispositivo (progressi, preferenze, partita in corso): conservati finché non li cancella. Lo spazio genitori propone un pulsante che cancella l'insieme dei dati locali.

Partita di prova senza account: nessun dato di gioco viene inviato ai nostri server. Tutto resta sul dispositivo.

Misurazione dell'uso: il cookie di misurazione scade dopo 13 mesi; i rapporti dettagliati sono conservati 14 mesi da Google, dopo i quali restano soltanto totali. Se non ha accettato la misurazione, non c'è nulla da conservare.

9. I Suoi diritti

Ai sensi del GDPR, Lei dispone dei seguenti diritti:

• Diritto di accesso: ottenere conferma che siano in corso trattamenti di dati che La riguardano e riceverne una copia;
• Diritto di rettifica: far correggere dati inesatti;
• Diritto alla cancellazione: chiedere la cancellazione dei Suoi dati;
• Diritto alla limitazione del trattamento;
• Diritto di opposizione, in particolare ai trattamenti fondati sul nostro legittimo interesse;
• Diritto alla portabilità: ricevere i Suoi dati in un formato strutturato;
• Diritto di revocare il consenso in qualsiasi momento, per i trattamenti che ne dipendono.

L'esercizio di questi diritti è gratuito. Per esercitarli, ci scriva a info@jackandmani.com. Di norma rispondiamo entro un mese.

Cancellazione dell'account. Il servizio non propone ancora un pulsante di cancellazione in autonomia. Per far cancellare il Suo account e tutti i dati associati — compresi il giardino e le partite — ci invii la Sua richiesta per email a info@jackandmani.com; vi diamo seguito entro un termine massimo di 30 giorni. Nel frattempo, lo spazio genitori Le consente già di cancellare la totalità dei dati presenti sul dispositivo.

Ha inoltre il diritto di presentare reclamo all'Autorité de protection des données (APD), in Belgio: Rue de la Presse 35, 1000 Bruxelles (www.autoriteprotectiondonnees.be).

10. I bambini

Gooblies è un gioco pensato per i bambini, a partire dai 6 anni. Merita di essere spiegato con precisione anziché liquidato in fretta.

L'account è quello di un adulto. È Lei a crearlo, ad accettare le condizioni, a impostare il codice genitori e a pagare, se del caso. Il contratto è concluso con Lei. Il bambino utilizza il gioco, ma non ne è la controparte contrattuale.

Non raccogliamo alcun dato nominativo relativo al bambino: nessun cognome, nessun soprannome, nessuna data di nascita, nessuna fotografia. Ciò che lo riguarda è il perimetro del giardino, le posizioni dei nascondigli delle sue partite, le sue creature e il suo saldo di cupcake, tutti collegati al Suo account.

Nessuno dei nostri trattamenti si fonda sul consenso del bambino. Essi si fondano sull'esecuzione del contratto che Lei ha concluso, sul nostro legittimo interesse, su un obbligo legale — e, per la sola misurazione dell'uso, sul Suo consenso di adulto, dato sul sito prima ancora che il gioco venga aperto. Il gioco non chiede mai nulla al bambino: né il suo consenso, né un acquisto, né un dato che lo riguardi. In Belgio l'età a partire dalla quale un minore può prestare da solo il consenso al trattamento dei propri dati nell'ambito dei servizi della società dell'informazione è fissata a 13 anni; la questione non si pone qui, poiché non fondiamo alcun trattamento sul consenso di un bambino.

Nessuna sollecitazione all'acquisto è rivolta al bambino. L'interfaccia di gioco non menziona mai un acquisto, non mostra alcun prezzo e non contiene alcun personaggio che reclami qualcosa. Il negozio si trova dietro un codice genitori a quattro cifre, verificato dal nostro server e non dall'applicazione.

Se ritiene che un bambino ci abbia trasmesso dati senza il necessario consenso, ci contatti a info@jackandmani.com: procederemo alle verifiche e, se del caso, alla cancellazione.

11. Cookie e archiviazione sul Suo dispositivo

Il servizio rilascia due cookie strettamente necessari o di preferenza, un terzo per la misurazione dell'uso — quello soltanto se l'ha accettato —, e utilizza l'archiviazione locale del browser per permettere al gioco di funzionare senza connessione. La misurazione è l'unico tracciante soggetto a consenso: è la sola cosa che il banner del sito Le chiede, e la chiede una volta soltanto.

Il dettaglio figura nella nostra politica dei cookie.

12. Sicurezza

Adottiamo misure tecniche e organizzative adeguate: cifratura degli scambi (HTTPS), gestione delle password tramite un servizio di autenticazione specializzato, autenticazione delle richieste mediante token e regole di database che impediscono a un account di accedere ai dati di un altro.

Tre protezioni meritano di essere segnalate perché sono inconsuete: il codice genitori è conservato in un documento che l'applicazione non può leggere affatto, vi accede soltanto il server; il libro mastro dei cupcake è immutabile, nessuna riga può essere modificata o cancellata; e le righe corrispondenti a un acquisto possono essere create soltanto dal server, mai dall'applicazione.

Poiché nessuna misura può garantire una sicurezza assoluta, La invitiamo a scegliere una password robusta e a non riutilizzarla altrove.

13. I dati dell'applicazione precedente

Gooblies succede a un'applicazione precedente dello stesso editore. Se vi aveva un account, il gioco può proporLe di riprendere i Suoi progressi: legge allora, in sola lettura, i dati di gioco di quella vecchia applicazione associati al Suo account, per convertirli nel nuovo formato. Nessun dato viene scritto nella vecchia applicazione e l'operazione ha luogo soltanto su Sua richiesta.

14. Modifiche dell'informativa

Possiamo far evolvere la presente informativa, in particolare per tenere conto di nuove funzionalità o di sviluppi normativi. Ogni modifica è pubblicata su questa pagina con una data di aggiornamento aggiornata. In caso di cambiamento sostanziale, ci adopereremo per informarLa con un mezzo appropriato.

15. Contatti

Per qualsiasi domanda relativa alla presente informativa o all'esercizio dei Suoi diritti:

Maurice Hurdebise (Jack & Mani) — servizio Gooblies Rue Chaumont 9, 4970 Stavelot, Belgio Email: info@jackandmani.com

Può inoltre presentare reclamo all'Autorité de protection des données (APD), in Belgio: www.autoriteprotectiondonnees.be.