1. Titolare del Trattamento

Il Titolare del trattamento dei dati personali è:
Francesco Camardi — Pisticci (MT), Italia
Email: fantaoroscopo@gmail.com
PEC: francescocamardi@pec.it

2. Tipologie di Dati Raccolti

Il servizio FantaOroscopo raccoglie e tratta le seguenti categorie di dati personali:

Dati di registrazione: email, username, password (criptata)
Dati di autenticazione OAuth: quando accedi tramite Google, raccogliamo email, nome e URL della foto profilo forniti da Google; quando accedi con Apple, l'email fornita da Apple (che può essere un indirizzo di inoltro anonimo, se scegli di nascondere la tua)
Dati di nascita: la data di nascita, obbligatoria alla registrazione per verificare l'età minima e ricavare il tuo segno zodiacale; l'ora e il luogo di nascita, facoltativi, solo se scegli di calcolare il Tema Natale (dal luogo ricaviamo le coordinate geografiche, latitudine e longitudine). Dal calcolo salviamo segno solare, segno lunare e ascendente. Non sono dati particolari ai sensi dell'art. 9 GDPR e non vengono mai mostrati agli altri utenti
Dati di profilo opzionali: nome visualizzato, URL avatar
Immagini caricate dall'utente: foto del profilo (avatar) e loghi delle costellazioni (le squadre di segni zodiacali degli utenti) e delle galassie (i tornei privati tra amici) che scegli di caricare
Dati di utilizzo del servizio: costellazioni create, galassie a cui partecipi, allineamenti settimanali dei titolari, punteggi ottenuti
Rete di amici in app: richieste di amicizia inviate e ricevute (con esito e data), elenco degli amici, inviti nelle galassie tra amici e utenti che hai bloccato. Gli altri utenti possono trovarti solo digitando il tuo username esatto o tramite il link/QR che scegli di condividere; chi blocchi non viene informato del blocco
Eventi di utilizzo pseudonimizzati: apertura dell'app, schermate visitate, azioni di gioco e durata della sessione, associati a un codice pseudonimo non riconducibile direttamente all'utente (vedi la sezione "Statistiche di Utilizzo")
Identificativo del dispositivo: token per le notifiche push (solo se attivi le notifiche dall'app) e, su iPhone, token delle Live Activity (il conto alla rovescia dell'allineamento sulla schermata di blocco)
Dati tecnici e diagnostici: indirizzo IP, informazioni sul dispositivo, cookies di autenticazione, log di errori e crash; quando si verifica un errore, una registrazione dei pochi secondi di utilizzo che lo precedono (vedi Sentry nella sezione 7)

3. Finalità e Base Giuridica del Trattamento

I dati personali sono trattati per le seguenti finalità:

a) Erogazione del Servizio (Base giuridica: Esecuzione del contratto - Art. 6(1)(b) GDPR)

Creazione e gestione dell'account utente
Partecipazione alle galassie e gestione delle costellazioni
Gestione della rete di amici in app (richieste, inviti nelle galassie, blocchi) e relative notifiche
Calcolo dei punteggi e visualizzazione delle classifiche
Verifica dell'età minima e, su tua richiesta, calcolo del Tema Natale a partire dai dati di nascita
Invio di comunicazioni tecniche relative al servizio

b) Miglioramento del Servizio (Base giuridica: Interesse legittimo - Art. 6(1)(f) GDPR)

Analisi dell'utilizzo del servizio per miglioramenti funzionali
Risoluzione di problemi tecnici e debugging
Prevenzione di abusi e violazioni dei Termini di Servizio

c) Comunicazioni Promozionali (Base giuridica: Consenso - Art. 6(1)(a) GDPR) - FACOLTATIVO

Invio di newsletter e aggiornamenti sul servizio (solo se l'utente ha prestato consenso esplicito)

4. Statistiche di Utilizzo (Analytics)

Per capire come viene usata l'app e migliorarla, raccogliamo alcuni eventi di utilizzo: apertura dell'app, schermate visitate, azioni di gioco (ad esempio la conferma dell'allineamento) e durata della sessione.

Come proteggiamo la tua identità. Gli eventi non sono associati al tuo account ma a un codice pseudonimo, generato con una funzione crittografica non reversibile (pseudonimizzazione, art. 4(5) GDPR). Non è possibile risalire da quel codice alla tua email o al tuo profilo senza una chiave che resta riservata e conservata separatamente dai dati. Insieme agli eventi non raccogliamo: contenuti personali, indirizzo IP, dati di contatto, né alcuna "impronta" del dispositivo. Le statistiche che consultiamo sono esclusivamente aggregate (conteggi, medie, percentuali): mai il comportamento di un singolo utente.

Finalità e base giuridica. Analisi statistiche aggregate per migliorare il servizio — legittimo interesse del Titolare (art. 6(1)(f) GDPR).

Conservazione. Gli eventi vengono cancellati automaticamente dopo 90 giorni; oltre questo periodo restano soltanto statistiche aggregate anonime, che non sono più dati personali.

Dove stanno i dati. Gli eventi restano nel nostro database (Supabase, server a Londra, Regno Unito — paese riconosciuto adeguato dalla Commissione Europea). Non li condividiamo con terze parti. La raccolta non salva nulla sul tuo dispositivo: niente cookie di analytics e niente archiviazione locale, la coda di invio degli eventi risiede solo nella memoria della pagina.

Misurazione delle prestazioni. Utilizziamo inoltre Vercel Speed Insights, uno strumento del nostro fornitore di hosting (Vercel Inc.) che misura i tempi di caricamento delle pagine per aiutarci a migliorare le prestazioni tecniche del sito. Non usa cookie, non traccia la navigazione tra le pagine e non crea profili: raccoglie esclusivamente metriche tecniche di velocità (i cosiddetti Web Vitals) in forma aggregata e anonima. Vercel agisce come responsabile del trattamento per conto del Titolare, nell'ambito del servizio di hosting già descritto in questa informativa.

Statistiche di visita (Vercel Web Analytics). Sempre tramite Vercel contiamo le visite e le pagine viste, per capire quali parti del sito vengono usate e da dove arrivano i visitatori. Non usa cookie né archiviazione sul tuo dispositivo e non ci permette di sapere chi sei: vediamo solo dati aggregati (pagine visitate, sito di provenienza, paese, tipo di dispositivo, browser e sistema operativo). Per non contare due volte la stessa visita, Vercel calcola un'impronta temporanea a partire dalla richiesta (indirizzo IP e browser) che viene scartata entro 24 ore e non viene mai conservata insieme all'indirizzo IP. Prima dell'invio dall'indirizzo della pagina togliamo ogni parametro (codici invito, email, token), tranne i parametri di campagna utm_. Base giuridica: il nostro legittimo interesse a migliorare il servizio (art. 6(1)(f) GDPR); Vercel agisce come responsabile del trattamento.

Il tuo diritto di opposizione. Puoi opporti in qualsiasi momento a questa raccolta scrivendo a fantaoroscopo@gmail.com: smetteremo di registrare eventi legati al tuo account e cancelleremo quelli esistenti.

5. Modalità di Trattamento

I dati personali sono trattati con strumenti automatizzati per il tempo strettamente necessario a conseguire gli scopi per cui sono stati raccolti.

Il Titolare adotta misure di sicurezza tecniche e organizzative adeguate per proteggere i dati personali da accessi non autorizzati, perdita, distruzione o divulgazione. In particolare:

Le password sono criptate con algoritmi di hashing sicuri
Le comunicazioni avvengono tramite protocollo HTTPS
L'accesso ai dati è limitato al solo personale autorizzato
I server sono protetti da firewall e sistemi di monitoraggio
Quando scegli o cambi la password, controlliamo che non compaia in violazioni di dati già note tramite il servizio Have I Been Pwned: dal nostro server partono solo i primi 5 caratteri di un'impronta crittografica della password, mai la password stessa né dati che ti identificano (tecnica detta k-anonymity); il confronto avviene sul nostro server
Le copie di sicurezza del database sono cifrate (AES-256) prima di lasciare i nostri server, con una chiave custodita separatamente dall'archivio che le contiene (vedi la sezione 6)

6. Conservazione e Cancellazione dei Dati

I dati personali sono conservati per il seguente periodo:

Dati di account attivi: fino alla richiesta di cancellazione da parte dell'utente
Dati di account cancellati: cancellazione immediata su richiesta dell'utente
Dati tecnici (log): conservati per un massimo di 12 mesi per finalità di sicurezza
Rete di amici: le richieste di amicizia e gli inviti nelle galassie senza risposta scadono dopo 30 giorni; amicizie, blocchi e inviti vengono eliminati con la cancellazione dell'account di uno dei due utenti
Eventi di utilizzo pseudonimizzati: cancellati automaticamente dopo 90 giorni (restano solo statistiche aggregate anonime)
Dati di nascita: fino alla cancellazione dell'account; puoi modificarli dal Profilo o chiedere in qualsiasi momento di rimuovere ora e luogo di nascita scrivendo a fantaoroscopo@gmail.com
Segnalazioni di errore (Sentry): conservate dal fornitore per un massimo di 90 giorni
Copie di sicurezza (backup): una volta al mese viene salvata una copia completa del database, per poterlo ripristinare in caso di guasto o perdita di dati. Le copie vengono cifrate prima di lasciare i nostri server, sono custodite in un archivio Google Drive accessibile al solo Titolare e conservate per un massimo di 12 mesi, poi eliminate; senza la chiave di cifratura, che resta separata dall'archivio, i file non sono leggibili. Se cancelli l'account, i tuoi dati spariscono subito dal servizio ma possono restare nelle copie già fatte fino alla loro eliminazione: non vengono mai usate per altro che il ripristino e, in caso di ripristino, i dati degli account cancellati vengono rimossi di nuovo

Come eliminare il tuo account e i tuoi dati: puoi cancellare l'account in qualsiasi momento dall'app o dal sito su Profilo → Elimina Account. L'operazione rimuove in modo permanente il tuo account e i dati associati (profilo, costellazioni, punteggi e token di notifica push), comprese le copie dei tuoi dati identificativi presenti nel registro operativo interno del Titolare (vedi la sezione 7). In alternativa puoi farne richiesta scrivendo afantaoroscopo@gmail.com: la richiesta sarà evasa entro 30 giorni.

7. Condivisione dei Dati con Terze Parti

I dati personali possono essere condivisi con i seguenti fornitori di servizi terzi:

Supabase (Database e Autenticazione)
Fornitore: Supabase Inc.
Sede: Stati Uniti, con server a Londra, Regno Unito (regione eu-west-2)
Finalità: Hosting database e gestione autenticazione utenti
Garanzie: Conformità GDPR; il Regno Unito è coperto da decisione di adeguatezza della Commissione Europea; Standard Contractual Clauses (SCC) per il fornitore statunitense
Google (Autenticazione OAuth)
Fornitore: Google LLC
Sede: Stati Uniti
Finalità: Autenticazione tramite account Google (opzionale)
Dati condivisi: Solo se scegli di accedere con Google, verranno condivisi email, nome e foto profilo
Garanzie: Conformità GDPR, Privacy Policy di Google disponibile su https://policies.google.com/privacy
Vercel (Hosting Applicazione)
Fornitore: Vercel Inc.
Sede: Stati Uniti, con server distribuiti globalmente (inclusa EU)
Finalità: Hosting dell'applicazione web, misurazione anonima delle prestazioni (Speed Insights) e statistiche aggregate di visita (Web Analytics)
Garanzie: Conformità GDPR, Standard Contractual Clauses (SCC)
Google Firebase (Notifiche Push)
Fornitore: Google LLC
Sede: Stati Uniti
Finalità: Invio delle notifiche push all'app tramite il token del dispositivo
Garanzie: Conformità GDPR, Standard Contractual Clauses (SCC)
Sentry (Diagnostica e Crash)
Fornitore: Functional Software, Inc.
Sede: Stati Uniti, con i dati conservati nell'Unione Europea (Germania)
Finalità: Rilevamento di errori e crash per la stabilità dell'app
Dati trattati: messaggio dell'errore, pagina, tipo di dispositivo e browser, indirizzo IP e, solo quando si verifica un errore, una registrazione dei pochi secondi di utilizzo che lo precedono, con tutti i testi, i campi dei moduli e le immagini oscurati. Non inviamo email, username o altri identificativi dell'account
Base giuridica: legittimo interesse del Titolare a mantenere il servizio funzionante e sicuro (art. 6(1)(f) GDPR)
Garanzie: Conformità GDPR, Standard Contractual Clauses (SCC)
Apple (Accesso con Apple e Live Activity)
Fornitore: Apple Inc. / Apple Distribution International Ltd.
Sede: Stati Uniti / Irlanda
Finalità: Autenticazione tramite account Apple (opzionale) e aggiornamento delle Live Activity su iPhone tramite il servizio di notifiche Apple (APNs)
Garanzie: Conformità GDPR, Standard Contractual Clauses (SCC)
OpenStreetMap Nominatim (Ricerca del Luogo di Nascita)
Fornitore: OpenStreetMap Foundation
Sede: Regno Unito
Finalità: Trasformare il nome della località di nascita che digiti in coordinate geografiche per il calcolo del Tema Natale; la richiesta parte dai nostri server e contiene solo il nome della località, mai dati del tuo account
Garanzie: Regno Unito coperto da decisione di adeguatezza della Commissione Europea
Resend (Invio Email)
Fornitore: Resend, Inc.
Sede: Stati Uniti
Finalità: Invio delle email di servizio e delle comunicazioni agli utenti che hanno prestato consenso; l'indirizzo email del destinatario viene trasmesso al fornitore al momento dell'invio
Garanzie: Conformità GDPR, Standard Contractual Clauses (SCC)
Google Sheets (Registro Operativo Interno)
Fornitore: Google LLC
Sede: Stati Uniti
Finalità: Registro gestionale interno del Titolare (copia di supporto degli inviti e della lista d'attesa, con username ed email), accessibile esclusivamente al Titolare; Google Drive custodisce inoltre le copie di sicurezza mensili del database, cifrate (vedi sezione 6)
Garanzie: Conformità GDPR, Standard Contractual Clauses (SCC); i tuoi dati identificativi vengono rimossi dal registro alla cancellazione dell'account
Upstash (Protezione da Abusi)
Fornitore: Upstash, Inc.
Sede: Stati Uniti
Finalità: Limitazione della frequenza delle richieste (rate limiting) per proteggere il servizio da abusi e attacchi; tratta temporaneamente identificatori tecnici della richiesta (indirizzo IP o identificativo dell'account)
Garanzie: Conformità GDPR, Standard Contractual Clauses (SCC); gli identificatori sono conservati solo per la breve finestra temporale del conteggio

Pubblicità: l'app FantaOroscopo non mostra pubblicità di terze parti, non integra SDK pubblicitari o di tracciamento e non utilizza l'identificativo pubblicitario (Advertising ID). Non condividiamo dati per finalità di marketing di terze parti.

8. Cookies

Il servizio utilizza cookie tecnici essenziali (autenticazione, sessione e preferenze tecniche), che non richiedono il consenso dell'utente in quanto strettamente necessari al funzionamento del servizio.

Il servizio NON utilizza:

Cookies di profilazione
Cookies pubblicitari

L'elenco completo e aggiornato dei cookie e delle tecnologie di archiviazione locale, con le relative finalità e durate, è disponibile nella Cookie Policy dedicata.

9. Diritti degli Interessati

In qualità di interessato, hai i seguenti diritti ai sensi del GDPR:

Diritto di accesso (Art. 15 GDPR): ottenere conferma che sia in corso un trattamento di dati personali e accedere ai tuoi dati
Diritto di rettifica (Art. 16 GDPR): ottenere la rettifica dei dati personali inesatti
Diritto alla cancellazione (Art. 17 GDPR): ottenere la cancellazione dei dati personali
Diritto di limitazione (Art. 18 GDPR): ottenere la limitazione del trattamento
Diritto alla portabilità (Art. 20 GDPR): ricevere i dati in formato strutturato e leggibile da dispositivo automatico
Diritto di opposizione (Art. 21 GDPR): opporsi al trattamento dei dati personali
Diritto di revoca del consenso: revocare il consenso in qualsiasi momento (ove applicabile)

Come Esercitare i Tuoi Diritti

Per esercitare i tuoi diritti, puoi:

Inviare una richiesta via email a: fantaoroscopo@gmail.com
Utilizzare le funzioni di gestione account disponibili nella sezione Profilo del servizio

Il Titolare risponderà alle richieste entro 30 giorni dalla ricezione.

Diritto di Reclamo

Hai il diritto di proporre reclamo all'Autorità Garante per la Protezione dei Dati Personali:

Garante per la protezione dei dati personali
Piazza Venezia n. 11, 00187 – Roma
Telefono: (+39) 06.696771
Fax: (+39) 06.69677785
Email: garante@gpdp.it
PEC: protocollo@pec.gpdp.it
Sito web: www.garanteprivacy.it

10. Trasferimenti Internazionali di Dati

I dati personali sono ospitati principalmente in server situati a Londra, Regno Unito — paese extra-UE per il quale la Commissione Europea ha adottato una decisione di adeguatezza, che consente il trasferimento senza garanzie aggiuntive. Alcuni fornitori di servizi (Supabase, Vercel, Google, Sentry, Resend, Upstash, Apple) hanno sede negli Stati Uniti, ma garantiscono la conformità al GDPR attraverso Standard Contractual Clauses (SCC) approvate dalla Commissione Europea.

11. Minori

Il servizio è rivolto a utenti di almeno 14 anni (età del consenso digitale in Italia, art. 2-quinquies D.Lgs. 101/2018). Se sei un genitore o tutore e ritieni che tuo figlio minore di 14 anni abbia fornito dati personali, contattaci immediatamente per la cancellazione dei dati.

12. Modifiche alla Privacy Policy

Il Titolare si riserva il diritto di modificare questa Privacy Policy in qualsiasi momento. Le modifiche saranno pubblicate su questa pagina con indicazione della data di ultimo aggiornamento. Ti invitiamo a consultare periodicamente questa pagina per rimanere informato.

13. Contatti

Per qualsiasi domanda relativa a questa Privacy Policy o al trattamento dei tuoi dati personali, puoi contattare il Titolare del trattamento:

Francesco Camardi — Pisticci (MT), Italia
Email: fantaoroscopo@gmail.com
PEC: francescocamardi@pec.it