Informativa sulla privacy

Accedi con il tuo account Google. Ne conserviamo tre cose: l’ID del tuo account Google, il tuo indirizzo email e l’indicazione se Google ha verificato quell’indirizzo. A ogni accesso Google invia anche il tuo nome e la tua foto del profilo. Non li leggiamo e non li memorizziamo.

Il tuo indirizzo email non viene mai mostrato agli altri giocatori.

L’accesso avvia una sessione. Del suo token memorizziamo solo un’impronta (un hash SHA-256), mai il token stesso. Una sessione dura 30 giorni dall’ultima volta che hai usato shifr, e quando esci dal tuo account termina subito.

Il tuo profilo contiene il nome visualizzato che scegli, il tuo avatar, una bio di massimo 160 caratteri se ne scrivi una, la data della tua iscrizione, le tue statistiche e i tuoi punteggi con il loro storico. Ogni giocatore che ha effettuato l’accesso può aprirlo e può trovarti cercando il tuo nome.

Il tuo avatar è un motivo generato a partire da un numero casuale oppure una foto che carichi tu. Una foto caricata viene ritagliata e ricodificata a 256 pixel, il che ne elimina i metadati, come dove e con quale fotocamera è stata scattata. Viene memorizzata sul nostro server, e chiunque ne abbia l’indirizzo può aprirla.

Per ogni partita memorizziamo chi ha giocato, il segreto scelto da ciascun giocatore, ogni tentativo con i suoi segni, gli orologi, il risultato e la variazione del punteggio di ciascun giocatore. Conserviamo anche un registro di ciò che è accaduto nella partita e di quando, così da poter risolvere una contestazione e individuare un malfunzionamento.

Mentre una partita è in corso, il tuo avversario vede ogni tentativo che fai. Quando finisce, entrambi i segreti vengono mostrati a entrambi i giocatori. Le tue partite concluse compaiono sul tuo profilo, senza i segreti, e viene conservato il tuo bilancio contro ciascun avversario.

Quando cerchi una partita, la tua proposta compare nella lobby per gli altri giocatori che hanno effettuato l’accesso, finché non viene abbinata o finché non la annulli. Inviti e offerte di rivincita vengono conservati finché non ricevono una risposta o scadono.

Memorizziamo le tue richieste di amicizia e le tue amicizie. I tuoi amici possono vedere quando sei online. Questa informazione è nota solo finché sei connesso, è tenuta nella memoria del server e non viene mai salvata.

Il sito web salva nel tuo browser questi elementi, e nient’altro:

shifr_session

Mantiene attivo il tuo accesso. Gli script della pagina non possono leggerlo, e scade 30 giorni dopo l’ultima volta che hai usato shifr.

shifr_oauth_state, shifr_oauth_verifier, shifr_oauth_native

Esistono solo mentre accedi con Google, per proteggere quel passaggio dalle falsificazioni. Scadono dopo dieci minuti.

i18next

Ricorda la tua lingua per un anno.

theme, palette

Ricorda il tuo tema e i tuoi colori, se li scegli. Vengono conservati nella memoria locale anziché in un cookie.

Ognuno di questi elementi è strettamente necessario per qualcosa che hai richiesto, ed è per questo che il sito non chiede il consenso. Non ci sono cookie di tracciamento né pubblicitari.

L’app Android chiede solo l’autorizzazione ad accedere a internet. La libreria che usa per l’accesso aggiunge l’autorizzazione biometrica, così che Android possa confermare un accesso salvato con la tua impronta digitale o il tuo volto; l’app non vede mai questi dati.

L’app memorizza la propria sessione cifrata con una chiave custodita nell’Android Keystore e la esclude dal backup di Android. Android esegue il backup delle tue impostazioni di tema e colori e, a seconda del dispositivo, può conservarle nel tuo account Google; non abbiamo accesso a quel backup.

Quando scegli una foto, il selettore di foto di Android passa all’app solo quella foto, e l’app la ritaglia sul dispositivo prima di caricarla.

shifr funziona su un server che noleggiamo da netcup GmbH, Daimlerstraße 25, 76185 Karlsruhe, Germania, che tratta i dati per nostro conto in qualità di responsabile del trattamento. Il database e le foto caricate si trovano su quel server.

Ogni volta che il tuo browser o l’app contatta il server, questo registra il tuo indirizzo IP, l’orario, l’indirizzo richiesto, lo stato e la dimensione della risposta, la pagina di provenienza e l’identificativo del tuo browser. Usiamo questi dati per mantenere shifr funzionante e sicuro, anche limitando quante richieste può inviare un singolo indirizzo. Questi log vengono cancellati dopo 14 giorni. shifr di per sé non registra gli indirizzi IP.

Quando scegli di continuare con Google, accedi sulla pagina di Google stessa, e Google ci comunica l’ID del tuo account e il tuo indirizzo email. Google tratta questo accesso secondo la propria informativa sulla privacy.

Google LLC ha sede negli Stati Uniti ed è certificata nell’ambito dell’EU–US Data Privacy Framework (quadro UE–USA sulla protezione dei dati personali), su cui si basa il trasferimento (art. 45 GDPR). Per verificare che un accesso sia autentico, il nostro server scarica anche le chiavi pubbliche di firma di Google; quella richiesta non contiene nulla che ti riguardi.

Se installi l’app Android da Google Play, Google tratta anche dati sull’installazione e sugli aggiornamenti nell’ambito della gestione dello store, secondo la stessa informativa.

Nessuno, al di là di quanto descritto in questa pagina: gli altri giocatori vedono ciò che indicano le sezioni precedenti, netcup ospita il server e Google gestisce l’accesso. Non vendiamo i tuoi dati e non li usiamo per la pubblicità. Le pagine non caricano script, font o strumenti di tracciamento di terze parti; tutto proviene dal nostro server. Comunichiamo dati a un’autorità solo quando la legge ci obbliga a farlo.

• Il tuo account, il tuo profilo, le tue partite e le tue amicizie vengono trattati per fornirti il gioco a cui ti sei iscritto (art. 6, par. 1, lett. b), GDPR).
• I log del server, il registro delle partite e i limiti alle richieste servono al nostro legittimo interesse a gestire shifr in modo sicuro ed equo (art. 6, par. 1, lett. f), GDPR).
• I cookie e la memoria locale descritti sopra sono strettamente necessari per il servizio che hai richiesto (§ 25, comma 2, n. 2, TDDDG).

• Il tuo account, il tuo profilo, le tue partite e le tue amicizie: finché non elimini il tuo account.
• Una sessione: 30 giorni dopo l’ultima volta che hai usato shifr, oppure finché non esci dal tuo account.
• Proposte, inviti e offerte di rivincita: finché non vengono abbinati, ricevono una risposta, vengono annullati o scadono.
• Log del server: 14 giorni.

Puoi eliminare il tuo account da solo, nelle Impostazioni sul web o nell’app. Una partita che stai ancora giocando viene abbandonata.

Se non riesci più ad accedere, scrivici dall’indirizzo email del tuo account e lo elimineremo entro un mese. In entrambi i casi vengono rimossi il tuo indirizzo email, il collegamento con Google, le tue sessioni, il tuo profilo con nome, foto e bio, e le tue amicizie.

Le partite che hai giocato restano, perché fanno parte anche della storia dei tuoi avversari, ma il tuo nome vi è sostituito da «Account eliminato» e non riconducono più a te. I dati eliminati possono restare nei backup del nostro database finché questi non vengono sostituiti.

Quando esci dal tuo account nell’app Android, la sua sessione viene rimossa dal tuo dispositivo, e disinstallando l’app si rimuove tutto ciò che ha memorizzato.

Per creare un account devi avere almeno 16 anni. Se veniamo a sapere che un account appartiene a una persona di età inferiore, lo eliminiamo. Un genitore o un tutore può chiedercelo via email.

Hai il diritto di accedere ai tuoi dati (art. 15 GDPR), di ottenerne la rettifica (art. 16), la cancellazione (art. 17) o la limitazione del trattamento (art. 18), e di riceverli in un formato leggibile da dispositivo automatico (art. 20). Puoi cambiare in autonomia il tuo nome visualizzato, il tuo avatar e la tua bio nelle Impostazioni, e lì puoi anche eliminare il tuo account.

Puoi opporti in qualsiasi momento al trattamento basato sui nostri legittimi interessi (diritto di opposizione, art. 21 GDPR).

Hai anche il diritto di proporre reclamo a un’autorità di controllo (art. 77 GDPR). Quella competente per noi è il Commissario per la protezione dei dati e la libertà d’informazione di Berlino.

Prima che shifr memorizzi qualcosa di nuovo, o offra un altro modo per accedere, aggiorneremo questa pagina e la data in alto.

Per qualsiasi domanda su questa informativa o sui tuoi dati, scrivici all’indirizzo indicato sopra o via email.