Bozza Questa pagina non è ancora in vigore: il testo va approvato e le parti tra parentesi quadre vanno completate.

Privacy policy

Ultimo aggiornamento:

Questa pagina spiega quali dati personali tratta Lumo degli Abissi (il «gioco»), perché, per quanto tempo e quali diritti hai. Vale per il gioco e per il suo server.

In breve

Puoi giocare come ospite: in quel caso al server non arriva nessun dato personale e i progressi restano nel tuo browser.
Con un account salviamo la tua email, il nickname e i progressi di gioco. Non salviamo nome, foto, data di nascita né indirizzo IP.
Niente pubblicità, niente statistiche sulle visite, niente cookie di profilazione. Non vendiamo i tuoi dati a nessuno.
Puoi eliminare l'account e tutti i suoi dati dal gioco, quando vuoi.

1. Chi è il titolare

Il titolare del trattamento è [nome e cognome o ragione sociale], [indirizzo].

Per qualsiasi domanda sulla privacy o per esercitare i tuoi diritti scrivi a [email di contatto].

2. Se giochi come ospite

Il gioco funziona anche senza account. In quel caso salva nel tuo browser (nella sua memoria locale, «localStorage»), e solo lì:

record, impostazioni (per esempio l'audio) e il sommozzatore scelto;
le registrazioni delle immersioni che contano per i record: il numero da cui parte la partita e i comandi dati in ogni istante;
se qualcuno, creando un account, ha indicato meno di 14 anni, l'ora in cui è successo: per 24 ore il gioco non propone di nuovo la registrazione.

Questi dati non arrivano al server finché non accedi a un account. Al primo accesso impostazioni, sommozzatore e registrazioni passano all'account (punto 3). Puoi cancellarli quando vuoi cancellando i dati del sito dalle impostazioni del browser.

3. Se crei un account

Email: Serve per accedere (ti mandiamo un codice), per riconoscerti e per gli avvisi sul tuo account, come quello prima di eliminare un account inattivo (punto 9). Non la vede nessun altro giocatore e non la usiamo per pubblicità o newsletter.
Età: Alla registrazione chiediamo la data di nascita solo per calcolare se hai almeno 14 anni. La data non viene salvata: salviamo solo il momento in cui hai dichiarato di averli. Sotto i 14 anni l'account non si crea.
Termini d'uso: La versione dei termini d'uso che hai accettato creando l'account.
Google o Discord: Se accedi con uno dei due, riceviamo da loro la tua email, già verificata, e il codice che identifica il tuo profilo presso di loro, per riconoscerti la volta dopo. Non salviamo il nome, la foto né le chiavi di accesso che ci mandano.
Nickname: Lo scegli tu e lo vedono gli altri giocatori. Salviamo anche la data dell'ultimo cambio, perché si può cambiare una volta ogni 30 giorni.
Dati di gioco: Impostazioni, sommozzatore scelto e i risultati delle immersioni: tempo, profondità, nemici sconfitti, livello, se hai battuto il boss, sommozzatore usato, numero di partenza della partita, data.
Registrazioni: A fine immersione il gioco manda al server la registrazione della partita. Il server la rigioca per calcolare il risultato e impedire i trucchi, poi la scarta: resta solo il risultato.
Codice di accesso: Il codice di 6 cifre che arriva per email è salvato in una forma che non permette di ricostruirlo (hash) e vale 10 minuti.
Sessione: Quando accedi, il server crea una sessione collegata all'account, che scade dopo 60 giorni senza giocare o quando esci. Non salva l'indirizzo IP né il browser che usi.
Ultimo accesso: Il giorno in cui hai usato l'account l'ultima volta, per riconoscere gli account inattivi (punto 9).

4. Dati tecnici

Come per ogni sito, quando il gioco contatta il server il browser invia l'indirizzo IP e informazioni tecniche, come il tipo di browser. Il server non li salva nel database: usa l'indirizzo IP solo in memoria e per pochi secondi, per bloccare le richieste troppo frequenti (per esempio chi prova a indovinare un codice di accesso).

Il proxy che smista il traffico verso il server non tiene registri degli accessi. I registri del server (errori e avvisi) non contengono l'indirizzo IP: servono solo a trovare i guasti e si cancellano da soli man mano che se ne scrivono di nuovi.

Il DNS del dominio è gestito da Cloudflare, ma il traffico del gioco non passa da Cloudflare: va direttamente al server in Francia.

5. Perché li trattiamo

Cosa facciamo	Base giuridica
Creare e gestire l'account, salvare i progressi, mandarti i codici di accesso e gli avvisi sull'account	Esecuzione del contratto, cioè dei termini d'uso che accetti (art. 6.1.b GDPR)
Controllare che tu abbia almeno 14 anni	Legittimo interesse a proteggere i più giovani (art. 6.1.f GDPR), in linea con l'età del consenso digitale in Italia (art. 2-quinquies del Codice privacy)
Rigiocare le immersioni per tenere i record onesti, proteggere il gioco da abusi e attacchi	Legittimo interesse a offrire un gioco equo e sicuro (art. 6.1.f GDPR)
Rispondere alle tue richieste e alle autorità	Esecuzione del contratto e obblighi di legge (art. 6.1.b e 6.1.c GDPR)

Non facciamo profilazione né marketing.

6. Controlli automatici

Il server rigioca ogni immersione e scarta quelle che non tornano, come quelle coi trucchi o con la registrazione manomessa. È un controllo automatico che decide solo se un'immersione conta per i record, senza altri effetti su di te. Se pensi che una tua immersione sia stata scartata per errore, scrivici.

7. Chi riceve i dati

Non vendiamo né cediamo i tuoi dati. Li trattano per nostro conto, come responsabili del trattamento (art. 28 GDPR), solo i fornitori che servono a far funzionare il gioco:

OVH SAS (Francia): server e database, in un data center in Francia.
Brevo (Sendinblue SAS, Francia): invio delle email, cioè i codici di accesso e gli avvisi sull'account. Riceve la tua email e il testo del messaggio, e conserva i dati nell'Unione Europea.
Cloudflare, Inc. (servizio R2): copie di backup del database, conservate in Europa. Sono cifrate prima di lasciare il server, con una chiave che Cloudflare non ha: Cloudflare non può leggerle. Cloudflare è una società statunitense che aderisce al Data Privacy Framework UE-USA.

Se scegli di accedere con Google o Discord, l'accesso avviene sul loro sito e vale anche la loro privacy policy: Google e Discord trattano i tuoi dati come titolari autonomi.

Comunichiamo dati alle autorità solo quando la legge lo impone.

8. Dove sono i dati

Server e database sono nell'Unione Europea, in Francia, come il servizio che spedisce le email. Le copie di backup cifrate sono in Europa, presso Cloudflare (punto 7).

9. Per quanto tempo

Account e dati di gioco: finché hai l'account. Quando lo elimini si cancellano subito dal database.
Account inattivi: se non accedi per 3 anni, eliminiamo l'account con tutti i suoi dati. 30 giorni prima ti mandiamo un'email di avviso: per tenere l'account basta accedere.
Backup: il server fa una copia ogni notte e tiene le ultime 7 giornaliere, 4 settimanali e 6 mensili. Dopo l'eliminazione i tuoi dati possono restare nelle copie fino a circa 6 mesi, cifrati e usati solo per rimettere in piedi il gioco dopo un guasto. Se un ripristino li riporta indietro, li cancelliamo di nuovo.
Sessione: 60 giorni dall'ultima volta che giochi, o finché non esci.
Codice di accesso: 10 minuti.
Data di nascita: non viene salvata.
Registrazioni delle immersioni: sul server solo il tempo di rigiocarle.

10. Cookie e memoria del browser

Usiamo solo cookie tecnici, necessari a far funzionare l'account. Per questi non serve il consenso, e non ci sono cookie di terze parti.

Sessione (nomi che iniziano con lumo.): ti tengono dentro l'account. Durano 60 giorni o finché non esci.
Età (lumo_age): dice solo che hai appena dichiarato di avere almeno 14 anni e accettato i termini, per finire la registrazione. Dura 30 minuti.
Accesso con Google o Discord: un cookie temporaneo per completare l'accesso in sicurezza, che dura pochi minuti.

Nella memoria locale del browser restano i dati da ospite descritti al punto 2. Anche i caratteri del gioco arrivano dal nostro server, non da servizi esterni.

11. I tuoi diritti

Puoi chiedere di vedere i tuoi dati e averne una copia, di correggerli, cancellarli o limitarne l'uso, di riceverli in un formato leggibile da un computer e di opporti ai trattamenti basati sul legittimo interesse (art. 15-22 GDPR).

Eliminare l'account: nel gioco, Account → Elimina account. Per sicurezza serve un accesso fatto nelle ultime 24 ore. Si cancellano account, nickname, record e tutti i dati salvati sul server.
Cambiare il nickname: dalla schermata Account.
Tutto il resto: scrivi a [email di contatto]. Rispondiamo entro un mese.

Puoi anche presentare un reclamo al Garante per la protezione dei dati personali (garanteprivacy.it).

12. Minori

Sotto i 14 anni si gioca solo come ospite, senza dati sul server. Se scopriamo l'account di una persona con meno di 14 anni lo eliminiamo. Se sei un genitore e pensi che tuo figlio abbia un account, scrivici.

13. Sicurezza

Le connessioni sono cifrate (HTTPS), il cookie della sessione non è leggibile dagli script della pagina, non ci sono password da rubare (si entra con un codice o con Google e Discord), i codici di accesso sono salvati come hash e i backup sono cifrati. Soprattutto, raccogliamo pochi dati.

14. Modifiche

Se cambiamo questa pagina aggiorniamo la data in cima. Dei cambi importanti ti avvisiamo nel gioco.