Privacy Policy

Titolare del trattamento è la persona fisica che gestisce il progetto DeckCoach, raggiungibile all'indirizzo deckcoach@zohomail.eu. Non è stato nominato un Responsabile della protezione dei dati (DPO) perché non ricorrono i presupposti dell'art. 37 GDPR; ogni richiesta va inviata all'indirizzo indicato.

L'accesso avviene esclusivamente tramite Google o Apple (OAuth). DeckCoach non gestisce né conserva password e non offre registrazione con credenziali proprie. Dal provider riceviamo un identificativo tecnico dell'account, l'email associata e, se disponibile, il nome pubblico scelto da te.

L'email non è mai mostrata ad altri utenti: nei moduli di supporto e nelle notifiche interne l'utente è identificato tramite un codice pseudonimo (es. UT-XXXXXX).

• Dati account: identificativo utente, email, nome/nickname, livello del piano (Free, Premium, Pro Super), stato dell'account.
• Contenuti creati da te: mazzi, carte, analisi, richieste di consulenza, messaggi di supporto, recensioni, feedback.
• Interazioni con l'assistente Sara: il testo che invii e la risposta generata.
• Dati tecnici e di sicurezza (minimizzati): data e ora degli accessi, esito dei tentativi di login, eventi di sicurezza e di moderazione. Non conserviamo l'indirizzo IP in chiaro né i dati del browser: al momento della richiesta l'indirizzo di rete viene trasformato in un codice non reversibile, usato solo dalle difese automatiche contro attacchi e abusi. Non calcoliamo punteggi di rischio o profili sugli utenti.
• Identificativo tecnico del dispositivo (pseudonimo): per consentire un solo accesso attivo alla volta, per vincolare al tuo account i PIN di sblocco che ricevi e per impedire la creazione di account multipli dopo un blocco, conserviamo un codice derivato e non reversibile del dispositivo/rete usati. Non identifica il modello, non traccia la navigazione e non viene usato per finalità diverse dalla sicurezza (art. 6.1.f GDPR).
• Dati di consegna email: stato di invio, eventuali errori, disiscrizioni.
• Posizione approssimata per il widget meteo (solo con il tuo consenso): se accetti la richiesta di geolocalizzazione del browser, le coordinate approssimate vengono inviate al servizio meteo Open-Meteo per ottenere le previsioni. Non salviamo la posizione sui nostri server e non la usiamo per altre finalità; puoi rifiutare o revocare il permesso dalle impostazioni del browser (art. 6.1.a GDPR).
• Sblocco con passkey/biometria (WebAuthn): se attivi lo sblocco rapido al posto del PIN, il riconoscimento (impronta, volto o PIN di sistema) avviene interamente sul tuo dispositivo. DeckCoach non riceve né conserva dati biometrici: registriamo solo una chiave pubblica, un identificativo della credenziale, un contatore d'uso e un'etichetta del dispositivo, utili unicamente a verificare lo sblocco.

Non trattiamo intenzionalmente categorie particolari di dati (art. 9 GDPR) e non svolgiamo profilazione pubblicitaria.

• Erogazione del servizio (art. 6.1.b): account, mazzi, Sara, supporto, servizi a pagamento.
• Sicurezza, prevenzione abusi e moderazione (art. 6.1.f): filtri anti-abuso, log, limitazioni e blocchi.
• Obblighi di legge (art. 6.1.c): richieste dell'autorità, adempimenti DSA, gestione delle segnalazioni.
• Consenso (art. 6.1.a): invio facoltativo di comunicazioni non necessarie al servizio, revocabile in ogni momento.

Per proteggere la community, i testi inviati tramite supporto, Sara, consulenza e recensioni sono analizzati automaticamente da un filtro anti-abuso. In caso di insulti gravi, contenuti d'odio, tentativi di truffa o abusi tecnici il sistema può limitare o bloccare l'account senza intervento umano preventivo.

Hai sempre diritto a ottenere l'intervento umano, esprimere la tua posizione e contestare la decisione scrivendo a deckcoach@zohomail.eu: il caso viene riesaminato manualmente e la misura revocata se risulta ingiustificata.

I dati sono trattati tramite i seguenti fornitori tecnici. Nessun dato è venduto o ceduto a terzi per marketing.

• Supabase — database, autenticazione e storage (infrastruttura UE).
• Cloudflare — hosting edge, CDN e protezione dagli attacchi.
• Lovable — piattaforma applicativa e AI Gateway.
• Google — accesso OAuth e modelli AI usati da Sara.
• Apple — accesso "Sign in with Apple".
• Zoho Mail — casella di contatto deckcoach@zohomail.eu.
• Telegram — notifiche di servizio inviate solo al titolare, con utenti identificati da codici pseudonimi.
• Open-Meteo — previsioni meteo del widget orologio: riceve solo coordinate approssimate, e soltanto se autorizzi la geolocalizzazione del browser. Nessun account, nessun identificativo utente trasmesso.

Lo sblocco con passkey/biometria (WebAuthn) non coinvolge fornitori esterni: la verifica resta sul dispositivo e i dati biometrici non lasciano mai il telefono o il computer.

Per i trasferimenti extra-UE si applicano le decisioni di adeguatezza (incluso l'EU-US Data Privacy Framework, ove il fornitore vi aderisca) oppure le Clausole Contrattuali Standard della Commissione europea.

• Account, profilo e mazzi: finché l'account è attivo; eliminati con la cancellazione dell'account.
• Richieste di supporto e consulenza: fino a 24 mesi dalla chiusura.
• Recensioni e feedback: fino a 24 mesi o alla rimozione richiesta.
• Log di accesso e tentativi falliti: massimo 7 giorni, poi cancellazione automatica.
• Eventi di sicurezza e moderazione: massimo 30 giorni, poi cancellazione automatica.
• Blocchi e sospensioni: per la durata della misura; i blocchi definitivi restano registrati per impedirne l'elusione.
• Log di invio email e lista disiscrizioni: 90 giorni i log tecnici; la lista disiscrizioni è conservata per rispettare l'opt-out.

Il sito usa solo cookie tecnici e archiviazione locale necessari al funzionamento: mantenimento della sessione di accesso, preferenze di lingua, cookie di servizio per il rientro dell'amministratore. Non usiamo cookie di profilazione, analytics pubblicitari o pixel di terze parti; per questo non è richiesto un banner di consenso ai sensi dell'art. 122 del Codice Privacy.

Il servizio è riservato a chi ha almeno 14 anni (età minima prevista in Italia per il consenso digitale, art. 8 GDPR e art. 2-quinquies del Codice Privacy). Se veniamo a conoscenza di un account creato da un minore di 14 anni, lo eliminiamo insieme ai dati collegati.

Adottiamo misure tecniche e organizzative adeguate al rischio (art. 32 GDPR): cifratura in transito, accesso al database limitato da regole di sicurezza a livello di riga, ruoli amministrativi separati, protezione con PIN delle aree sensibili, limiti sui tentativi di accesso, pseudonimizzazione immediata degli identificativi di rete e controllo automatico continuo dello stato delle difese. Nessun sistema è però invulnerabile: in caso di violazione dei dati personali provvediamo alla notifica al Garante entro 72 ore e, quando previsto, all'informativa agli interessati (artt. 33-34 GDPR).

Puoi esercitare in ogni momento i diritti di accesso, rettifica, cancellazione, limitazione, portabilità e opposizione (artt. 15-22 GDPR), oltre alla revoca del consenso, scrivendo a deckcoach@zohomail.eu. Rispondiamo entro 30 giorni. Puoi cancellare l'account direttamente dall'area riservata e revocare l'accesso di DeckCoach dalle impostazioni del tuo account Google o Apple.

Se ritieni che il trattamento violi il GDPR puoi proporre reclamo al Garante per la protezione dei dati personali o rivolgerti all'autorità giudiziaria.

Questa informativa può essere aggiornata per riflettere nuove funzionalità o obblighi normativi. La data in alto indica l'ultima revisione; le modifiche rilevanti sono segnalate nel sito.