Informativa sulla privacy di SprintDuo

La presente informativa spiega come l’app SprintDuo tratta i Suoi dati personali. Termini come «App», «Account», «Coppia» e «Partner» hanno il significato indicato nei nostri Termini e condizioni.

In breve

Lei accede con il Suo numero di telefono e un codice SMS. Non conserviamo il Suo numero completo in chiaro.
Le Sue risposte, le Sue scelte nei giochi e i Suoi messaggi sono crittografati nel nostro database – lato server, non end-to-end.
Il Suo Partner vede la Sua risposta solo dopo aver risposto a sua volta.
Non mostriamo pubblicità, non vendiamo dati, non utilizziamo strumenti di analisi o di tracciamento di terze parti e non La profiliamo.
Può scaricare i Suoi dati ed eliminare il Suo Account nell’App in qualsiasi momento.

1. Titolare del trattamento

Il titolare del trattamento dei Suoi dati personali è 8CELLS Jarosław Kaczmarski, con sede in Polonia, imprenditore individuale iscritto al Registro centrale e informazioni sull’attività economica della Polonia (CEIDG), numero di identificazione fiscale (NIP) 7962621938, REGON 366811404 («noi»). L’indirizzo postale per la corrispondenza scritta è indicato nella nostra iscrizione al CEIDG (ricerca per NIP su biznes.gov.pl). Per qualsiasi questione relativa ai Suoi dati personali, scriva a hi@sprintduo.app.

Non abbiamo nominato un responsabile della protezione dei dati, poiché non siamo tenuti a farlo (art. 37 del GDPR). Per qualsiasi questione relativa ai Suoi dati, ci contatti all’indirizzo sopra indicato.

2. Quali dati trattiamo

Account e accesso

Numero di telefono. Non conserviamo il Suo numero completo in chiaro nel nostro database. Lo trattiamo brevemente per inviare e verificare il Suo codice SMS. Conserviamo un hash del numero calcolato con una chiave segreta (HMAC), che serve a trovare il Suo Account, oltre alle ultime 4 cifre e al prefisso internazionale.
Codice SMS. I codici monouso sono inviati e verificati dal nostro fornitore Twilio (il servizio Twilio Verify).
Nome o soprannome (fino a 40 caratteri), che il Suo Partner vede.
Conferma di avere almeno 18 anni e di accettare i Termini e condizioni.
PIN (facoltativo, 6 cifre) – conservato solo sotto forma di hash con salt (salted hash). Se avvia la reimpostazione di un PIN dimenticato, questa avviene dopo 7 giorni e il Suo Partner ne viene informato.
Token di sessione – conservati solo sotto forma di hash.

Coppia e inviti

Quando invita qualcuno a formare una Coppia, inserisce il suo numero di telefono. Lo conserviamo sotto forma di hash (HMAC), in modo che solo la persona che accede con quel numero veda l’invito.

Se riceve un invito, il Suo numero di telefono ci è stato fornito dalla persona che Le ha inviato l’invito. Vede l’invito solo dopo aver effettuato l’accesso con quel numero. Gli inviti scadono dopo 72 ore. Può accettare, rifiutare o bloccare il mittente – in quest’ultimo caso registriamo il blocco e il mittente non ne viene informato.

Trattiamo inoltre il dato relativo alla persona con cui Lei forma una Coppia. Un Account può appartenere a una sola Coppia attiva alla volta.

I Suoi contenuti

risposte alla domanda del giorno,
scelte e ipotesi nei minigiochi,
messaggi sotto le attività completate,
reazioni alle risposte svelate (ad esempio un cuore),
giochi salvati (segnalibri).

Risposte, scelte nei giochi e messaggi sono crittografati nel nostro database con AES-GCM. Le chiavi sono conservate sul server e gestite da noi. Non si tratta di crittografia end-to-end – siamo tecnicamente in grado di leggere questi contenuti.

Solo il titolare del trattamento ha accesso alle chiavi. Non disponiamo di strumenti per consultare i Suoi contenuti e nessuno li legge abitualmente. Li leggiamo solo quando è strettamente necessario: su Sua esplicita richiesta (ad esempio quando segnala un errore), nella gestione di una segnalazione di contenuti illegali o quando la legge lo impone – e solo nella misura necessaria. Non li utilizziamo mai per pubblicità, analisi o addestramento di modelli di intelligenza artificiale.

Le risposte sono testo libero. Scriva solo ciò che desidera condividere con il Suo Partner.

Il tema «Vicinanza e intimità»

Questo tema è facoltativo. Le relative domande compaiono solo quando lo avete attivato entrambi, e il Suo Partner non può vedere chi di voi lo ha attivato. Le risposte in questo tema possono rivelare informazioni sulla Sua vita sessuale, che rientrano nelle categorie particolari di dati personali ai sensi dell’art. 9 del GDPR.

Trattiamo queste risposte solo sulla base del Suo consenso esplicito (art. 9, par. 2, lett. a) del GDPR). Quando attiva il tema nella scheda Noi, l’App mostra il testo del consenso e il tema viene attivato solo dopo che Lei ha scelto «Accetto». Registriamo il momento in cui ha prestato il consenso, per poterlo dimostrare. Il consenso è facoltativo – senza di esso può comunque utilizzare tutte le altre funzioni dell’App.

Può revocarlo in qualsiasi momento disattivando il tema. In tal caso:

eliminiamo definitivamente le Sue risposte precedenti alle domande di questo tema, nonché i Suoi messaggi e le Sue reazioni sotto di esse – per le domande a cui avete risposto entrambi, il Suo Partner vedrà «Risposta eliminata»;
le domande di questo tema a cui il Suo Partner non ha ancora risposto scompaiono dalla cronologia della vostra Coppia insieme all’eventuale Sua risposta, e non ne compaiono di nuove;
eliminiamo la registrazione del momento in cui ha prestato il consenso.

Le risposte e i messaggi del Suo Partner sotto queste domande sono dati che appartengono al Suo Partner – restano finché il Suo Partner non revoca il proprio consenso o non elimina il proprio Account. I contenuti eliminati scompaiono dai backup entro il periodo indicato nella sezione 7. La revoca del consenso non pregiudica la liceità del trattamento effettuato prima della revoca.

Impostazioni e notifiche

Lingua dell’App – per mostrarLe i contenuti nella Sua lingua.
Fuso orario come nome IANA (ad esempio Europe/Warsaw), inviato dall’App – per allineare la giornata della vostra Coppia nell’App alla Sua ora locale.
Preferenze di notifica.
Token per le notifiche push e lingua del dispositivo – se consente le notifiche. Le notifiche La informano dell’attività del Suo Partner (ad esempio una risposta, un messaggio o un invito) e non contengono mai il testo delle risposte o dei messaggi.

I promemoria (se li attiva) sono programmati dal Suo telefono. Le relative impostazioni sono memorizzate solo sul Suo dispositivo e non ci vengono mai trasmesse.

Dati tecnici e di sicurezza

Log tecnici sul funzionamento del Servizio: ora, indirizzo e tipo della richiesta, codice di risposta, errori e informazioni sulla connessione fornite da Cloudflare (ad esempio il Paese ricavato dall’indirizzo IP). I log non contengono mai il testo delle risposte o dei messaggi, numeri di telefono o codici SMS.
Indirizzo IP del Suo dispositivo, trattato quando il dispositivo si connette al nostro server. Per proteggere il Servizio dagli abusi, limitiamo il numero di codici SMS che possono essere inviati e, a tal fine, conserviamo gli hash (HMAC) del numero di telefono e dell’indirizzo IP.

L’App memorizza sul Suo dispositivo solo ciò di cui ha bisogno per funzionare, come i dati di sessione e le impostazioni dei promemoria.

Quando ci contatta

Quando ci scrive, trattiamo il Suo indirizzo e-mail, il contenuto del Suo messaggio e gli eventuali dati necessari per gestire la Sua richiesta, come il Suo numero di telefono quando ci chiede di eliminare il Suo Account.

3. Finalità e basi giuridiche

Fornitura del Servizio – creazione e gestione del Suo Account, accesso, PIN, collegamento in Coppia, visualizzazione dei contenuti, notifiche ed esportazione dei dati: art. 6, par. 1, lett. b) del GDPR (esecuzione di un contratto).
Il tema «Vicinanza e intimità»: art. 9, par. 2, lett. a) e art. 6, par. 1, lett. a) del GDPR (consenso esplicito).
Il numero di telefono della persona invitata: art. 6, par. 1, lett. f) del GDPR – il nostro legittimo interesse a consentire alla persona che invita di collegarsi con la persona da lei scelta.
Sicurezza e prevenzione degli abusi (limiti sugli SMS, log tecnici, periodo di attesa e notifica al Partner in caso di reimpostazione del PIN): art. 6, par. 1, lett. f) del GDPR – il nostro legittimo interesse a proteggere il Servizio e gli Account.
Gestione delle richieste di esercizio dei Suoi diritti e dei Suoi reclami e adempimento degli obblighi di legge: art. 6, par. 1, lett. c) del GDPR.
Corrispondenza e accertamento, esercizio o difesa di diritti in sede giudiziaria: art. 6, par. 1, lett. f) del GDPR.

Il conferimento del numero di telefono, del nome e delle conferme richieste al momento della registrazione è necessario per creare un Account. Tutti gli altri dati sono forniti volontariamente quando utilizza funzioni specifiche.

4. Che cosa vede il Suo Partner

Il Suo nome e le ultime 4 cifre del Suo numero di telefono – anche negli inviti che Lei invia.
La Sua risposta alla domanda del giorno – solo dopo che anche il Suo Partner ha risposto.
Le Sue scelte nei minigiochi – quando avete terminato il gioco entrambi.
I Suoi messaggi e le Sue reazioni sotto le attività completate.

Il Suo Partner non può vedere il Suo numero di telefono completo né chi di voi ha attivato il tema «Vicinanza e intimità». Al termine della Coppia (scollegamento della Coppia o eliminazione di un Account), l’ex Partner perde l’accesso ai contenuti condivisi, compresi i Suoi.

5. Chi tratta i dati per nostro conto

Ci avvaliamo di fornitori che trattano i dati per nostro conto in qualità di responsabili del trattamento, sulla base di accordi sul trattamento dei dati:

Cloudflare, Inc. – l’infrastruttura del Servizio: server (Cloudflare Workers) e database (D1). Tratta tutti i dati del Servizio.
Twilio Ireland Limited e Twilio Inc. – invio e verifica dei codici SMS (Twilio Verify). Trattano il Suo numero di telefono.
Google Ireland Limited – notifiche push (Firebase Cloud Messaging). Tratta il token di notifica, la lingua del dispositivo e il contenuto della notifica, che non include mai il testo delle risposte o dei messaggi.

Sui dispositivi iOS, Firebase Cloud Messaging trasmette la notifica all’Apple Push Notification service (Apple Inc.), che la recapita al Suo dispositivo. Su Android, le notifiche sono recapitate dai servizi Google Play.

Possiamo inoltre comunicare dati alle autorità pubbliche quando la legge lo richiede. Lei scarica l’App dall’App Store o da Google Play – Apple e Google trattano i dati relativi al Suo account dello store secondo le proprie condizioni.

6. Trasferimenti al di fuori del SEE

Il nostro database (Cloudflare D1) opera nella regione dell’Europa occidentale. Le richieste provenienti dall’App vengono tuttavia gestite dal data center Cloudflare più vicino al Suo dispositivo, e Cloudflare, Twilio, Google (inclusa Google LLC) e Apple (recapito delle notifiche su iOS) possono trattare dati al di fuori dello Spazio economico europeo, anche negli Stati Uniti. Tali trasferimenti si basano sulla decisione di adeguatezza della Commissione europea relativa al quadro UE-USA per la protezione dei dati (EU-US Data Privacy Framework), per le società certificate, o sulle clausole contrattuali tipo approvate dalla Commissione. Può chiederci informazioni sulle garanzie adottate.

7. Per quanto tempo conserviamo i dati

Account e Suoi contenuti – finché ha un Account. Quando elimina il Suo Account, eliminiamo immediatamente dal database di produzione l’Account (comprese le preferenze e i token di notifica), le risposte, le scelte nei giochi, i messaggi, le reazioni, i giochi salvati e le sessioni.
Contenuti del tema «Vicinanza e intimità» – fino alla revoca del consenso (sezione 2) o all’eliminazione del Suo Account.
Backup (ripristino del database a un momento scelto) – fino a 30 giorni; trascorso tale periodo, i dati eliminati scompaiono anche dai backup.
Token di sessione – fino alla disconnessione, alla scadenza della sessione o all’eliminazione del Suo Account.
Inviti – validi per 72 ore; li eliminiamo 30 giorni dopo l’invio, indipendentemente dal fatto che siano stati accettati, rifiutati o siano scaduti.
Registrazione di un mittente bloccato – fino all’eliminazione del Suo Account o dell’Account del mittente.
Log tecnici – fino a 7 giorni.
Dati per i limiti di invio degli SMS – 48 ore.
Corrispondenza e reclami – 3 anni dalla chiusura della pratica, e più a lungo solo se necessario per l’accertamento, l’esercizio o la difesa di diritti in sede giudiziaria.

8. Come proteggiamo i dati

Non utilizziamo password – l’accesso si basa su codici SMS e su un PIN facoltativo.
Conserviamo il Suo numero di telefono sotto forma di hash HMAC, le ultime 4 cifre e il prefisso internazionale.
Conserviamo il Suo PIN e i Suoi token di sessione solo sotto forma di hash.
Crittografiamo risposte, scelte nei giochi e messaggi nel database (AES-GCM, chiavi lato server), e solo il titolare del trattamento ha accesso alle chiavi.
Le notifiche non contengono mai il testo delle risposte o dei messaggi.

9. I Suoi diritti

Lei ha diritto:

all’accesso ai Suoi dati e a riceverne una copia – nella scheda Noi, scelga «Scarica i miei dati» per ottenere un file JSON con i Suoi dati (i dati del Suo Partner non sono inclusi);
alla rettifica – modifichi il Suo nome nell’App in «Modifica profilo»;
alla cancellazione – nell’App: Noi → Zona pericolosa → Elimina account; senza l’App, segua le istruzioni della pagina «Eliminazione dell’account»;
alla limitazione del trattamento;
alla portabilità dei dati – può trasferire il file JSON esportato a un altro servizio;
di opporsi al trattamento basato sul nostro legittimo interesse;
di revocare il consenso in qualsiasi momento – per il tema «Vicinanza e intimità» è sufficiente disattivarlo (la sezione 2 spiega che cosa succede in tal caso);
di proporre reclamo al Presidente dell’Ufficio per la protezione dei dati personali (Prezes Urzędu Ochrony Danych Osobowych, ul. Stawki 2, 00-193 Warszawa, uodo.gov.pl) o all’autorità di controllo del Paese dell’UE in cui vive o lavora.

Per esercitare i Suoi diritti, scriva a hi@sprintduo.app. Potremmo chiederLe di confermare con un codice SMS che il numero di telefono dell’Account è Suo. Le risponderemo senza ingiustificato ritardo e al più tardi entro un mese. In casi eccezionali tale termine può essere prorogato di altri due mesi – in tal caso La informeremo.

10. Pubblicità, analisi e profilazione

Non mostriamo pubblicità e non utilizziamo i Suoi contenuti a fini pubblicitari. Non vendiamo dati. Non utilizziamo strumenti di analisi di terze parti né SDK di tracciamento. Non La profiliamo e non adottiamo nei Suoi confronti decisioni basate unicamente su un trattamento automatizzato. I Contenuti editoriali, come domande e giochi, sono scritti dal team di SprintDuo.

11. Minori

SprintDuo è riservato alle persone che hanno compiuto 18 anni. Non trattiamo consapevolmente dati di minori. Se veniamo a sapere che un Account appartiene a una persona minorenne, lo elimineremo.

12. Modifiche alla presente informativa

Possiamo aggiornare la presente informativa, ad esempio quando cambiano le funzioni dell’App o la legge. La data dell’ultimo aggiornamento è indicata insieme alla presente informativa. La informeremo nell’App delle modifiche rilevanti.