Informativa sulla privacy.

La versione giuridicamente vincolante di questo documento è la versione tedesca. La presente traduzione italiana è fornita esclusivamente a scopo informativo.

Steffen Jahr
Im Brumättle 23
77656 Offenburg
Germania

E-mail: admin@planesforge.de

Trattiamo i dati personali soltanto nella misura necessaria alla fornitura della piattaforma PlanesForge e delle sue funzionalità. Il trattamento avviene sulla base del GDPR.

3.1 Dati dell'account

Al momento della registrazione raccogliamo:

• Nome — per l'identificazione nei tornei e nelle classifiche
• Indirizzo e-mail — per l'autenticazione (Magic Link o password) e per le notifiche
• Via e numero civico — per i profili degli organizzatori e per l'emissione delle fatture (solo organizzatori)
• Lingua preferita — per visualizzare la piattaforma nella lingua scelta

Base giuridica: art. 6, par. 1, lett. b) GDPR (esecuzione del contratto)

3.2 Dati di iscrizione ai tornei

Al momento dell'iscrizione a un torneo raccogliamo inoltre:

• Codice postale (CAP) — per analisi statistiche sulla distribuzione regionale dei partecipanti

Base giuridica: art. 6, par. 1, lett. b) GDPR (esecuzione del contratto)

3.3 Dati di torneo

Nell'ambito della partecipazione ai tornei vengono trattati i seguenti dati:

• Risultati (risultati delle partite, classifiche, punti)
• Liste dei mazzi (liste di carte presentate)
• Archetipi di mazzo (per le analisi del meta)

Questi dati vengono visualizzati pubblicamente sulla piattaforma dopo la conclusione del torneo.

Base giuridica: art. 6, par. 1, lett. b) GDPR (esecuzione del contratto) e art. 6, par. 1, lett. f) GDPR (interesse legittimo a una documentazione trasparente dei tornei)

3.4 Dati tecnici

Con l'accesso alla piattaforma vengono raccolti automaticamente:

• Indirizzo IP
• Data e ora dell'accesso
• Tipo e versione del browser
• Sistema operativo
• URL di provenienza (referrer)

Questi dati vengono memorizzati nei file di log del server e servono a garantire il funzionamento e la sicurezza della piattaforma.

Base giuridica: art. 6, par. 1, lett. f) GDPR (interesse legittimo)

3.5 Dati di registro (audit log)

Le azioni amministrative e gli accessi del personale agli account utente vengono registrati in un audit log. Esso contiene: marca temporale, identità dell'amministratore che ha agito, account utente interessato, tipo di azione nonché, in caso di accessi del personale, il motivo di accesso indicato.

Base giuridica: art. 6, par. 1, lett. f) GDPR (interesse legittimo alla sicurezza e alla tracciabilità)

I dati di accesso e le sessioni vengono trattati mediante un sistema di gestione delle identità e degli accessi che gestiamo noi stessi sulla nostra infrastruttura di hosting (vedi sezione 6). Non ha luogo alcuna trasmissione a un fornitore di identità esterno.

• I giocatori si autenticano tramite Magic Link — link monouso inviati per e-mail, validi 30 minuti e utilizzabili una sola volta. Per gli account dei giocatori non vengono memorizzate password.
• Gli organizzatori e gli amministratori accedono con indirizzo e-mail e password. Le password vengono memorizzate esclusivamente come hash crittografico; la password in chiaro non ci è accessibile in alcun momento.

L'invio delle e-mail di accesso e di verifica avviene tramite Amazon Simple Email Service (SES) di Amazon Web Services EMEA SARL, 38 Avenue John F. Kennedy, L-1855 Lussemburgo. Il trattamento avviene esclusivamente nella regione AWS eu-north-1 (Stoccolma, Svezia). Con AWS è in essere un accordo sul trattamento dei dati (AVV). Non ha luogo alcun trasferimento verso paesi terzi.

Gli amministratori autorizzati possono, nell'ambito dell'assistenza tecnica ai clienti, assumere temporaneamente la sessione di un account utente (cosiddetta «staff impersonation») al fine di ricostruire i problemi segnalati all'assistenza. Questa funzione è tecnicamente limitata al solo accesso in lettura — le operazioni di scrittura sono bloccate in tale sessione.

Ogni accesso di questo tipo viene registrato integralmente nell'audit log e comprende: momento dell'accesso, ID dell'amministratore, ID dell'utente interessato, motivo di accesso indicato e durata della sessione.

Ai sensi dell'art. 15 GDPR gli utenti hanno il diritto di chiedere informazioni sull'eventuale accesso di un amministratore al proprio account e sul momento in cui esso è avvenuto. Le relative richieste vanno indirizzate a admin@planesforge.de.

Base giuridica: art. 6, par. 1, lett. f) GDPR (interesse legittimo all'assistenza, alla sicurezza della piattaforma e alla risoluzione degli errori). È documentata una valutazione del bilanciamento degli interessi (LIA) ai sensi del GDPR.

La piattaforma è ospitata presso Hetzner Online GmbH, Industriestr. 25, 91710 Gunzenhausen, Germania. I dati vengono trattati esclusivamente in Germania. Con Hetzner è in essere un accordo sul trattamento dei dati (AVV). Non ha luogo alcun trasferimento verso paesi terzi.

Backup

IONOS SE — I backup del database vengono conservati nell'Object Storage di IONOS a Francoforte. IONOS SE ha sede a Karlsruhe, Germania. I backup vengono conservati per 90 giorni, sono cifrati e accessibili unicamente al titolare del trattamento. È stato concluso un accordo sul trattamento dei dati (AVV).

PlanesForge non utilizza alcuno strumento di tracciamento, analisi o pubblicità di terze parti.

Impostiamo un unico cookie tecnicamente necessario:

• pf_session — cookie di sessione per l'accesso. Viene impostato dopo il login, contiene l'identificativo della Sua sessione di accesso, è contrassegnato come httpOnly (non leggibile da JavaScript) e perde validità dopo 7 giorni oppure con il logout.

Questo cookie è strettamente necessario al funzionamento dell'area riservata agli utenti autenticati. A tal fine non è richiesto alcun consenso ai sensi del § 25 comma 2 TDDDG; esso serve esclusivamente all'autenticazione — non ad analisi, tracciamento o pubblicità.

Inoltre la piattaforma memorizza localmente nel Suo browser informazioni tecnicamente necessarie (localStorage, sessionStorage e IndexedDB) per garantire il funzionamento e la comodità d'uso — ad esempio le Sue impostazioni di lingua, di tema e di visualizzazione, le impostazioni dei filtri, il contatore dei punti vita durante un turno in corso nonché una coda offline per la comunicazione dei risultati (Progressive Web App). Queste informazioni rimangono sul Suo dispositivo e non vengono trasmesse a terzi.

Base giuridica: § 25 comma 2 TDDDG (strettamente necessario) in combinato disposto con l'art. 6, par. 1, lett. b) e f) GDPR.

I dati personali non vengono, in linea di principio, comunicati a terzi, salvo qualora:

• l'utente abbia espressamente acconsentito,
• la comunicazione sia necessaria all'esecuzione del contratto (ad es. i risultati dei tornei vengono visualizzati pubblicamente),
• sussista un obbligo di legge.

Gli organizzatori di tornei hanno accesso, nell'ambito dei propri tornei, ai dati di iscrizione dei giocatori registrati (nome, CAP, stato del pagamento).

Stripe (elaborazione dei pagamenti e Stripe Connect)

Per l'incasso delle quote di iscrizione ai tornei utilizziamo Stripe come prestatore di servizi di pagamento. Il fornitore è Stripe Payments Europe, Limited, 1 Grand Canal Street Lower, Grand Canal Dock, Dublin, D02 H210, Irlanda. Nell'ambito dell'elaborazione del pagamento i dati di pagamento e i dati personali necessari (ad es. nome, indirizzo e-mail) vengono trasmessi a Stripe. Con Stripe è in essere un accordo sul trattamento dei dati ai sensi dell'art. 28 GDPR. Stripe può trasferire dati negli Stati Uniti; a tal fine sono state concordate clausole contrattuali tipo (SCC) ai sensi dell'art. 46 GDPR. Ulteriori informazioni: https://stripe.com/de/privacy

Base giuridica: art. 6, par. 1, lett. b) GDPR (esecuzione del contratto)

Per le prenotazioni a pagamento (Premium per il torneo, abbonamento Player Premium) viene memorizzata una registrazione del consenso a comprova dell'accettazione da parte dell'utente dell'immediata esecuzione della prestazione (§ 356 comma 4 del Codice civile tedesco, BGB): momento del consenso, versione del testo di consenso, lingua scelta, riferimento del checkout Stripe nonché l'indirizzo IP dal quale il consenso è stato prestato. L'indirizzo IP viene cancellato automaticamente quattro anni dopo la prestazione del consenso.

Base giuridica: art. 6, par. 1, lett. f) GDPR (interesse legittimo a comprovare il consenso)

PlanesForge utilizza inoltre Stripe Connect per consentire agli organizzatori di tornei di incassare direttamente le quote di iscrizione. Gli organizzatori che desiderano ricevere pagamenti tramite la piattaforma seguono una procedura di onboarding gestita da Stripe, nel corso della quale trasmettono i propri dati identificativi e bancari direttamente a Stripe. Tali dati sono trattati da Stripe sotto la propria responsabilità e sono soggetti alle disposizioni sulla protezione dei dati di Stripe. PlanesForge non ottiene alcun accesso ai numeri di conto bancario né ai dati completi dei documenti d'identità. La trasmissione dei dati avviene sulla base dell'art. 6, par. 1, lett. b) GDPR (esecuzione del contratto) nonché dell'art. 6, par. 1, lett. f) GDPR (interesse legittimo a un'elaborazione sicura dei pagamenti).

Scryfall (dati delle carte)

Per la validazione e l'arricchimento delle liste dei mazzi utilizziamo l'API pubblica di Scryfall (api.scryfall.com), gestita da Scryfall LLC, USA. Al momento dell'invio di una lista del mazzo vengono trasmessi a Scryfall esclusivamente i nomi delle carte, al fine di recuperare i dati delle carte (legalità, riferimenti alle immagini). A Scryfall non vengono trasmessi dati personali. I dati delle carte vengono memorizzati localmente nella cache per evitare richieste ripetute.

Base giuridica: art. 6, par. 1, lett. f) GDPR (interesse legittimo a una corretta validazione delle carte)

Ulteriori informazioni: https://scryfall.com/docs/api

Anthropic (funzionalità di IA)

Per singole funzionalità impieghiamo modelli di IA di Anthropic. Il fornitore per gli utenti dello Spazio economico europeo è Anthropic Ireland, Limited, Irlanda. Con Anthropic è in essere un accordo sul trattamento dei dati ai sensi dell'art. 28 GDPR; per eventuali trasferimenti negli Stati Uniti sono state concordate clausole contrattuali tipo (SCC) ai sensi dell'art. 46 GDPR. I contenuti trasmessi tramite l'API non vengono utilizzati da Anthropic per l'addestramento dei modelli.

In particolare:

• Riconoscimento degli archetipi: per la classificazione automatica delle liste dei mazzi presentate vengono trasmessi esclusivamente i nomi delle carte; non vengono trasferiti dati personali. Base giuridica: art. 6, par. 1, lett. f) GDPR (interesse legittimo a statistiche di torneo e di metagame significative).
• Scanner fotografico delle liste dei mazzi: una lista del mazzo cartacea può essere digitalizzata tramite fotografia — dal giocatore stesso oppure dall'organizzatore del torneo nell'ambito dello svolgimento dell'evento (ad es. deck check). La fotografia viene trasmessa ad Anthropic per il riconoscimento del testo. PlanesForge non conserva la fotografia — viene memorizzata soltanto la lista di carte riconosciuta. Se la fotografia contiene indicazioni manoscritte, come il nome del giocatore, anche queste vengono trasmesse; ove possibile, fotografi soltanto la parte relativa alla lista. Base giuridica: art. 6, par. 1, lett. b) GDPR (scansione della propria lista) oppure art. 6, par. 1, lett. f) GDPR (digitalizzazione delle liste cartacee presentate da parte dell'organizzatore; interesse legittimo a uno svolgimento del torneo efficiente e conforme alle regole — è documentata una valutazione del bilanciamento degli interessi).

Ulteriori informazioni: https://www.anthropic.com/legal/privacy

La nostra piattaforma contiene link a servizi esterni, in particolare:

• Discord (discord.com) — server della community per lo scambio di opinioni e l'assistenza
• PayPal (paypal.com) — se indicato dall'organizzatore come opzione di pagamento
• Moxfield (moxfield.com) e Archidekt (archidekt.com) — importazione opzionale delle liste dei mazzi

Cliccando su questi link Lei viene reindirizzato a siti web esterni, soggetti a proprie disposizioni sulla protezione dei dati. La trasmissione di dati a tali servizi avviene soltanto a seguito del Suo clic attivo e non automaticamente con la visita della nostra piattaforma.

• I dati dell'account vengono conservati per tutto il tempo in cui l'account utente esiste. In caso di cancellazione, i dati personali (nome, e-mail, indirizzo) vengono immediatamente anonimizzati. Il record anonimizzato viene conservato in modo permanente al fine di salvaguardare le statistiche dei tornei.
• I dati di torneo (risultati, classifiche, liste dei mazzi) vengono conservati in modo permanente per lo storico dei tornei.
• I dati di pagamento vengono conservati per 10 anni (§ 257 del Codice commerciale tedesco, HGB; § 147 del Codice tributario tedesco, AO).
• I backup del database vengono conservati per 90 giorni e successivamente cancellati automaticamente. I backup sono conservati in forma cifrata.
• Le voci dell'audit log (azioni amministrative e accessi del personale) vengono conservate per 2 anni e successivamente cancellate automaticamente.
• I file di log del server vengono cancellati dopo 90 giorni.
• I Magic Link scadono dopo 30 minuti e perdono validità dopo l'utilizzo o alla scadenza.

In relazione ai Suoi dati personali Lei dispone dei seguenti diritti:

• Diritto di accesso (art. 15 GDPR) — quali dati abbiamo memorizzato in relazione alla Sua persona
• Diritto di rettifica (art. 16 GDPR) — correzione dei dati inesatti
• Diritto alla cancellazione (art. 17 GDPR) — cancellazione dei Suoi dati, nella misura in cui non sussista un obbligo di conservazione
• Diritto di limitazione del trattamento (art. 18 GDPR)
• Diritto alla portabilità dei dati (art. 20 GDPR) — consegna dei Suoi dati in un formato leggibile da dispositivo automatico
• Diritto di opposizione (art. 21 GDPR) — nei confronti dei trattamenti fondati sull'interesse legittimo

Self-service: può scaricare i Suoi dati e cancellare il Suo account direttamente nelle impostazioni del profilo — senza necessità di contattarci.

Per tutti gli altri diritti — compresi l'accesso alle informazioni sugli accessi del personale al Suo account (art. 15 GDPR), la consegna dei Suoi dati (art. 20 GDPR) o la cancellazione (art. 17 GDPR) — ci contatti all'indirizzo admin@planesforge.de. Rispondiamo alle richieste entro 30 giorni.

Lei ha il diritto di presentare reclamo a un'autorità di controllo per la protezione dei dati. L'autorità competente è:

Der Landesbeauftragte für den Datenschutz und die Informationsfreiheit Baden-Württemberg Lautenschlagerstraße 20 70173 Stuttgart https://www.baden-wuerttemberg.datenschutz.de

Ci riserviamo il diritto di adeguare la presente informativa sulla privacy per adattarla a mutamenti del quadro giuridico o a modifiche della piattaforma. La versione attuale è sempre consultabile su questa pagina.