Informativa sulla privacy

1. Chi siamo

JDR Ninja è una directory collaborativa dedicata a creatori e risorse francofoni per giochi di ruolo, gestita da JDR Ninja, lavoratore autonomo registrato in Quebec, Canada.

Ai fini della Legge 25 e del GDPR, JDR Ninja agisce in qualità di titolare del trattamento (GDPR) e di persona con la più alta autorità all'interno dell'impresa ai fini della protezione dei dati personali (Legge 25). La stessa persona è designata responsabile della protezione dei dati personali (RPRP).

Recapiti del RPRP: [email protected]

2. Quali dati raccogliamo

2.1 Dati raccolti automaticamente

Quando consulti il sito, i nostri server registrano automaticamente:

• Il tuo indirizzo IP, conservato temporaneamente nei log di accesso del server (14 giorni).
• Il tuo user agent (tipo di browser, sistema operativo).
• Le pagine consultate, i timestamp delle richieste, il codice di risposta HTTP e la durata del trattamento.
• I cookie essenziali necessari al funzionamento del sito (vedere sezione 8).

2.2 Dati che ci fornisci volontariamente

Quando utilizzi il modulo di Contatto (per una domanda, un problema tecnico o per proporre un creatore), raccogliamo:

• Il tuo nome o pseudonimo.
• Il tuo indirizzo e-mail (obbligatorio, utilizzato solo per risponderti).
• La categoria della tua richiesta e il contenuto del tuo messaggio.

Queste informazioni non sono conservate nel nostro database: il tuo messaggio viene trasmesso direttamente al nostro team tramite un canale privato Discord (Discord Inc., Stati Uniti), dove può essere conservato per il tempo necessario a trattare la tua richiesta. Inviando il modulo, acconsenti a tale trasmissione.

2.3 Dati dell'account Dojo (se crei un account)

Se crei un account pubblico sul Dojo, raccogliamo:

• Il tuo indirizzo e-mail (obbligatorio, utilizzato per l'autenticazione e le comunicazioni relative all'account).
• La tua password, conservata sotto forma di hash crittografico irreversibile (bcrypt) - non abbiamo accesso alla tua password in chiaro.
• Uno pseudonimo pubblico (nickname visualizzato, tra 3 e 30 caratteri, alfanumerico).
• Un nome visualizzato facoltativo.
• La data e l'ora di creazione dell'account.

Se scegli di accedere tramite un fornitore terzo (Google, Microsoft, Discord, Twitch o Facebook), tale fornitore ci trasmette il tuo indirizzo e-mail e il tuo nome profilo. Nessun'altra informazione proveniente dal fornitore viene memorizzata. L'accesso tramite fornitore terzo è completamente facoltativo; puoi sempre creare un account con indirizzo e-mail e password.

2.4 Dati « Trova un tavolo »

Se pubblichi un annuncio o ti candidi a un annuncio tramite la funzionalità Trova un tavolo, raccogliamo inoltre:

• Il contenuto dell'annuncio: titolo, descrizione breve e lunga, sistema di gioco, lingua, disponibilità, livello di esperienza, formato della partita, numero di posti disponibili.
• Una localizzazione pubblica facoltativa (zona, città, regione, paese) - destinata a essere visualizzata da tutti i visitatori.
• Una localizzazione privata facoltativa (etichetta del luogo, latitudine e longitudine, identificativo del luogo) - utilizzata solo per calcolare la distanza durante una ricerca per raggio. Questi campi non sono mai visualizzati pubblicamente e restano visibili solo a te e al team di moderazione. Puoi scegliere di condividere l'indirizzo preciso nella conversazione privata con un/a candidato/a una volta accettata la candidatura. Quando inserisci un indirizzo usando l'autocompletamento Google Places nel modulo di creazione o modifica dell'annuncio, il tuo inserimento parziale viene trasmesso ai server di Google LLC (Stati Uniti) per proporre suggerimenti; nessun'altra pagina del sito carica script Google Places.
• Il contenuto delle candidature che invii (messaggio di presentazione, risposte a domande personalizzate). Questo contenuto è visibile solo all'organizzatore/trice dell'annuncio interessato e al team di moderazione.
• Il contenuto dei messaggi scambiati nelle conversazioni private aperte a seguito di una candidatura. Visibile solo a entrambe le parti e al team di moderazione in caso di segnalazione.
• I blocchi che imposti (chi hai bloccato e perché).
• Le segnalazioni che invii (destinatario, motivo, dettagli facoltativi, impronta crittografica HMAC-SHA256 del tuo indirizzo IP, user agent - a fini di audit anti-abuso).

Le e-mail di notifica inviate nell'ambito di questa funzionalità (nuova candidatura, conversazione aperta, nuovo messaggio, candidatura non selezionata) sono deliberatamente generiche: non contengono mai il titolo dell'annuncio, il contenuto di un messaggio, le tue risposte a una domanda né alcun recapito. Devi accedere al sito per consultare i dettagli.

2.5 Cosa non raccogliamo

• Nessuna newsletter, quindi nessuna lista di invio marketing.
• Non viene richiesto né trattato alcun dato sensibile ai sensi della Legge 25 (origine etnica, opinioni politiche o religiose, orientamento sessuale, dati biometrici o sanitari).
• Nessun dato di pagamento: il sito attualmente non offre alcuna transazione commerciale.
• Nessuna geolocalizzazione automatica: la localizzazione di un annuncio viene inserita solo su tua richiesta esplicita, e la ricerca per raggio viene attivata solo se fornisci personalmente le coordinate.

3. Perché raccogliamo questi dati (finalità)

• Fornire il servizio: visualizzare le pagine, gestire le sessioni degli utenti connessi, prevenire attacchi (CSRF, denial of service applicativo).
• Creare e gestire il tuo account Dojo: permetterti di registrarti, autenticarti (tramite e-mail/password o tramite un fornitore terzo), personalizzare il tuo pseudonimo e accedere alle funzionalità riservate ai membri.
• Trattare le proposte di creatori: esaminare, convalidare e, se del caso, pubblicare un profilo creatore. Contattarti via e-mail riguardo alla tua proposta.
• Sicurezza e anti-abuso: rilevare e prevenire invii malevoli, spam e attacchi automatizzati. I log di accesso sono consultati puntualmente in caso di incidente.
• Statistiche di audience anonimizzate (solo se acconsenti tramite il banner dei cookie): comprendere come il sito viene utilizzato per migliorarlo. Nessun dato individuale viene sfruttato a fini commerciali.
• Conformità legale: conservare le prove del consenso ai cookie (Legge 25, GDPR) e rispondere alle richieste delle autorità competenti quando la legge lo richiede.

4. Base giuridica del trattamento

Per i visitatori situati in Quebec e in Canada, ci basiamo sul consenso (Legge 25 art. 12) per i trattamenti non strettamente necessari, e sulla necessità per l'esecuzione del servizio per i trattamenti essenziali.

Per i visitatori situati nell'Unione europea, le basi giuridiche del GDPR sono le seguenti:

• Legittimo interesse (art. 6.1.f): sicurezza del sito, prevenzione degli abusi, log tecnici di accesso.
• Esecuzione di un contratto (art. 6.1.b): trattamento della tua proposta di creatore quando ci scrivi; creazione e gestione del tuo account Dojo.
• Consenso (art. 6.1.a): cookie di analisi e marketing, integrazioni video di terzi (Twitch, YouTube).
• Obbligo legale (art. 6.1.c): conservazione delle prove di consenso.

5. Responsabili del trattamento e condivisione dei tuoi dati

Non vendiamo, affittiamo né scambiamo i tuoi dati personali. Tuttavia, ricorriamo a responsabili tecnici necessari al funzionamento del sito:

L'infrastruttura di esecuzione dell'applicazione (server web) è anch'essa ospitata in Canada.

Ciascuno di questi fornitori è vincolato a noi da impegni contrattuali (clausole di trattamento o condizioni di servizio che integrano gli obblighi legali) che garantiscono riservatezza, sicurezza e uso limitato dei tuoi dati per le finalità descritte.

6. Trasferimenti fuori dal Quebec e fuori dall'UE

Per gli utenti del Quebec e del Canada (Legge 25 art. 17)

I dati raccolti nell'ambito del servizio (database, file, log) sono archiviati e trattati in Canada. Non avviene alcun trasferimento sistematico dei tuoi dati personali fuori dal Quebec.

Le eccezioni riguardano le integrazioni di terzi che attivi tramite il tuo consenso (Twitch, YouTube, Google Analytics), i cui server si trovano negli Stati Uniti. Attivando queste integrazioni tramite il banner dei cookie, acconsenti a tale trasferimento. Se non lo desideri, rifiuta semplicemente queste categorie di cookie.

Se utilizzi l'accesso tramite un fornitore terzo (Google, Microsoft, Discord, Twitch o Facebook), il tuo indirizzo e-mail e il tuo nome profilo transitano attraverso i server di tale fornitore negli Stati Uniti, nell'ambito del protocollo di autenticazione OAuth 2.0. Questa trasmissione avviene solo se avvii esplicitamente l'accesso tramite quel fornitore; non si verifica durante una semplice consultazione del sito.

Se utilizzi il modulo di contatto, le informazioni che inserisci (nome, e-mail, messaggio) sono trasmesse a un canale privato del nostro team ospitato da Discord Inc. (Stati Uniti). Questa trasmissione avviene solo quando invii volontariamente il modulo.

Per gli utenti dell'Unione europea (GDPR cap. V)

I trasferimenti di dati verso il Canada sono disciplinati dalla decisione di adeguatezza parziale della Commissione europea del 20 dicembre 2001 (Decisione 2002/2/CE), che riconosce un livello di protezione adeguato per gli organismi commerciali canadesi. I tuoi dati sono quindi protetti da un quadro comparabile al GDPR quando sono trattati in Canada.

Per i trasferimenti verso gli Stati Uniti (Twitch, YouTube, Google Analytics, Discord), ci basiamo sulle clausole contrattuali tipo della Commissione europea e sulle misure aggiuntive di cifratura e minimizzazione attuate da questi fornitori.

7. Tempi di conservazione

Al termine di questi periodi, i dati vengono eliminati o anonimizzati in modo irreversibile. Un dato anonimizzato non è più considerato dato personale.

8. Cookie e tracciatori

Utilizziamo cookie per garantire il funzionamento del sito e, previo tuo consenso, per misurazioni dell'audience e l'integrazione di contenuti di terzi.

Categorie di cookie

• Cookie essenziali (sempre attivi): necessari al funzionamento del sito. Comprendono il cookie di autenticazione (ninja_auth) per gli account Dojo e Sanctum, il token di protezione contro la falsificazione delle richieste (.AspNetCore.Antiforgery.) e il cookie di correlazione OAuth (.AspNetCore.Correlation.) depositato temporaneamente durante un accesso tramite fornitore terzo. Non è richiesto alcun consenso per questi cookie.
• Cookie di analisi (consenso richiesto): misurazione dell'audience anonimizzata se attivata. Disattivati per impostazione predefinita.
• Cookie di contenuti di terzi (consenso richiesto): depositati da Twitch e YouTube quando carichi un lettore video integrato. Disattivati per impostazione predefinita.

Archiviazione locale

Oltre ai cookie, un valore viene salvato nell'archiviazione locale del tuo browser quando accetti i cookie di analisi:

• jdrn_cp (consenso richiesto): contiene esclusivamente una data. Ci serve per inviare una sola volta al giorno la misurazione descritta di seguito, anziché a ogni pagina. Questo valore viene cancellato non appena revochi il tuo consenso all'analisi.

Misurazione della visualizzazione

Per adattare l'impaginazione del sito agli schermi realmente utilizzati, misuriamo due cose distinte.

• Senza consenso e senza depositare nulla sul tuo dispositivo: deduciamo se si tratta di un dispositivo mobile o di un computer dalle informazioni che il tuo browser trasmette spontaneamente a ogni richiesta (l'intestazione User-Agent e, sui browser che la inviano di propria iniziativa, l'indicazione Sec-CH-UA-Mobile). Non chiediamo mai informazioni aggiuntive al tuo browser. Questa misurazione si basa sul nostro legittimo interesse a mantenere un sito leggibile sui dispositivi dei nostri visitatori.
• Solo con il tuo consenso all'analisi: una volta al giorno registriamo la dimensione della tua finestra (per fasce, mai il valore esatto), la densità di pixel del tuo schermo, la presenza di uno schermo tattile e la tua preferenza per il tema chiaro o scuro. Non raccogliamo né la risoluzione fisica del tuo schermo, né il tuo fuso orario, né la lingua del tuo browser, né l'elenco dei tuoi caratteri: queste informazioni servirebbero a identificarti più che a migliorare il sito.

Queste misurazioni sono conservate in forma aggregata e collegate a un identificatore temporaneo che cambia ogni giorno. Non consentono di riconoscerti da un giorno all'altro.

Gestire le tue preferenze

Puoi modificare le tue scelte in qualsiasi momento tramite il banner dei cookie visualizzato alla prima visita, o tramite la pagina Preferenze cookie. Revocare il consenso è semplice quanto concederlo.

9. I tuoi diritti

Hai i seguenti diritti riguardo ai tuoi dati personali:

• Diritto di accesso (Legge 25 art. 27 / GDPR art. 15): ottenere conferma che i tuoi dati sono trattati e riceverne una copia.
• Diritto di rettifica (Legge 25 art. 28 / GDPR art. 16): far correggere dati inesatti o incompleti.
• Diritto alla cancellazione (Legge 25 art. 28.1 / GDPR art. 17): chiedere la cancellazione dei tuoi dati quando non sono più necessari.
• Diritto alla portabilità (Legge 25 art. 27 comma 3 - in vigore dal 22 settembre 2024 / GDPR art. 20): ricevere i tuoi dati in un formato tecnico strutturato e di uso comune.
• Diritto di revocare il consenso (Legge 25 art. 14 / GDPR art. 7): revocare il consenso in qualsiasi momento, con la stessa facilità con cui lo hai dato.
• Diritto alla cessazione della diffusione e alla deindicizzazione (Legge 25 art. 28.1): chiedere che i tuoi dati non siano più diffusi o che i collegamenti ipertestuali che vi conducono siano deindicizzati dai motori di ricerca.
• Diritto di opposizione (GDPR art. 21): opporti a un trattamento fondato sul legittimo interesse.
• Diritto di limitazione (GDPR art. 18): chiedere la sospensione del trattamento in determinati casi.
• Diritto di definire direttive post mortem (Legge 25 art. 40.1): indicare il destino dei tuoi dati dopo il decesso.

Per esercitare uno di questi diritti, scrivi al nostro RPRP a [email protected]. Risponderemo entro un termine massimo di 30 giorni (Legge 25 art. 32 e GDPR art. 12.3). Può essere richiesta una prova d'identità per trattare la tua richiesta.

9.1 Eliminazione dell'account in autonomia

Se hai un account Dojo, puoi esercitare il tuo diritto alla cancellazione direttamente dal tuo profilo, senza doverci scrivere:

• Accedi, apri Il mio profilo e usa il pulsante « Elimina il mio account » nella zona pericolosa.
• È richiesta una conferma (password attuale o frase di conferma per gli account collegati tramite fornitore esterno).

La cancellazione avviene mediante anonimizzazione irreversibile, alternativa alla distruzione esplicitamente autorizzata dalla Legge 25 (art. 23) e dal Regolamento del Quebec sull'anonimizzazione dei dati personali (in vigore da maggio 2024), nonché dal GDPR (considerando 26).

Ciò che viene anonimizzato o eliminato immediatamente:

• Indirizzo e-mail, pseudonimo, nome visualizzato, identificativo del profilo, numero di telefono e fuso orario - sovrascritti con valori non reidentificanti.
• Password (già conservata come hash crittografico) - eliminata.
• Connessioni con fornitori esterni (Google, Microsoft, Discord, Twitch, Facebook) - eliminate.
• Token di autenticazione e rivendicazioni personalizzate - eliminati.
• Prove del consenso ai cookie associate al tuo account (inclusa l'impronta crittografica del tuo IP e il tuo user agent) - eliminate.

Ciò che viene conservato senza legame personale:

• Log di audit interni: conservati a fini di sicurezza e rilevamento degli abusi, ma il collegamento al tuo account viene interrotto (campo utente impostato a NULL).
• I file che hai caricato: conservati se utilizzati da contenuti pubblicati, ma senza legame con la tua identità.
• Le proposte di creatori che hai revisionato (se eri membro del team): la revisione resta registrata, ma il collegamento al tuo account viene interrotto.
• Gli articoli di blog pubblicati con la tua firma d'autore (se del caso): restano online con il loro nome visualizzato, senza che il tuo account vi sia più collegato. È necessaria una richiesta specifica al RPRP per anonimizzare anche la firma pubblica.

L'operazione è irreversibile: la riga del tuo account viene conservata nel database (con i campi identificativi sovrascritti) per preservare l'integrità referenziale dei dati conservati senza legame personale, conformemente all'art. 23 comma 2 della Legge 25. Potrai comunque creare successivamente un nuovo account con lo stesso indirizzo e-mail.

10. Decisioni automatizzate

JDR Ninja non utilizza alcuna decisione automatizzata avente effetto giuridico o significativo su di te (Legge 25 art. 12.1 / GDPR art. 22). I creatori e le risorse dell'annuario sono aggiunti ed esaminati manualmente da una persona prima della pubblicazione.

11. Sicurezza

Adottiamo misure tecniche e organizzative ragionevoli per proteggere i tuoi dati:

• Comunicazioni cifrate per impostazione predefinita (HTTPS/TLS su tutto il sito).
• Indirizzi IP delle sottomissioni archiviati sotto forma di impronte crittografiche salate (e non in chiaro).
• Accesso amministratore limitato, protetto da password complessa (lunghezza minima 12 caratteri, requisiti di complessità) e scadenza della sessione di 8 ore.
• Limitazione del traffico (rate limiting) sui moduli pubblici per prevenire abusi.
• Log conservati solo per 14 giorni, sull'infrastruttura di hosting canadese.
• Aggiornamenti di sicurezza regolari dei componenti software.

Conformemente alla Legge 25 (art. 3.5) e al GDPR (art. 33-34), notificheremo senza indugio la Commission d'accès à l'information (CAI), la CNIL se del caso, nonché le persone interessate in caso di incidente di riservatezza che presenti un rischio serio di pregiudizio.

12. Minori

JDR Ninja si rivolge a un pubblico adulto e adolescente interessato ai giochi di ruolo. Non raccogliamo consapevolmente dati personali di minori di 14 anni (soglia prevista dalla Legge 25 art. 4.1) o di minori di 15 anni (soglia prevista dalla legge francese di applicazione del GDPR).

Se sei genitore o tutore e constati che un minore sotto la tua responsabilità ci ha trasmesso dati personali, contattaci a [email protected] e procederemo alla loro eliminazione.

13. Modifiche alla presente informativa

La presente informativa può essere aggiornata per riflettere cambiamenti legali, tecnici o operativi. La data dell'ultimo aggiornamento e il numero di versione figurano all'inizio di questa pagina.

In caso di aggiornamento sostanziale (nuovo trattamento, nuovo responsabile, cambio di finalità), il banner dei cookie riapparirà per permetterti di rivedere il tuo consenso.

14. Reclami presso le autorità

Se ritieni che i tuoi diritti non siano rispettati, puoi prima scriverci a [email protected]. Se la nostra risposta non ti soddisfa, puoi presentare un reclamo all'autorità competente per la protezione dei dati:

• In Quebec: Commission d'accès à l'information (CAI) - 2045, rue Stanley, ufficio 900, Montreal (Quebec) H3A 2V4.
• In Francia: Commission nationale de l'informatique et des libertés (CNIL) - 3 place de Fontenoy, 75007 Parigi.
• In un altro paese dell'Unione europea: presso l'autorità nazionale di protezione dei dati del tuo luogo di residenza (elenco su edpb.europa.eu).

15. Contatto del responsabile della protezione dei dati personali