Privacy e cookie

1. Statistiche delle visite

Contiamo quante volte vengono aperte le pagine e i QR stampati. Non usiamo cookie e non salviamo l'indirizzo IP: dall'IP e dal tipo di browser ricaviamo un codice (hash) con una chiave segreta che cambia ogni giorno e non viene conservata. Serve solo a contare una visita al giorno per pagina: il giorno dopo lo stesso telefono ha un codice diverso, quindi non è possibile seguirti nel tempo.

Insieme al codice salviamo la pagina, il sito da cui arrivi (solo il dominio), il tipo di dispositivo (telefono, tablet, computer) e il giorno.

Base giuridica: legittimo interesse a sapere quanto e come viene usato il sito (art. 6.1.f GDPR), con dati ridotti al minimo.

2. Voto dell'MVP

Quando voti il miglior giocatore di una partita il sito salva un cookie con un codice casuale del telefono, per contare un solo voto per dispositivo. Per bloccare gli abusi registriamo anche un codice della rete da cui voti, calcolato come sopra con la chiave del giorno (non l'IP). Il browser ricorda anche per chi hai votato, solo sul tuo telefono, per mostrartelo.

Per riconoscere i voti fatti da programmi automatici usiamo Vercel BotID, un controllo invisibile di Vercel che analizza alcuni segnali tecnici del browser al momento del voto.

Base giuridica: legittimo interesse a una votazione corretta, un voto per persona e senza voti automatici (art. 6.1.f GDPR).

3. Tessera del tifoso e presenze

Alle partite puoi inquadrare il QR in tribuna, dire per chi tifi e timbrare la tessera del tifoso, che puoi anche creare in qualsiasi momento dalla sua pagina. Puoi anche contare solo la tua presenza, senza tessera e senza email.

Per la tessera trattiamo:

• la tua email, che non salviamo in chiaro: ne teniamo solo un'impronta (HMAC con una chiave segreta) che serve a riconoscere la tessera e a ritrovarla su un altro telefono, e una versione mascherata (per esempio m•••@gmail.com) da mostrare sulla tessera;
• il soprannome, se decidi di scriverlo;
• le partite timbrate, con data, ora e la squadra per cui tifi;
• i cookie del dispositivo e della tessera (vedi sotto) e il codice della rete del giorno, per evitare timbri multipli o falsi.

L'email non viene usata per scriverti. Solo se spunti la casella facoltativa novità e iniziative la conserviamo cifrata e la usiamo esclusivamente per mandarti le novità della squadra. Puoi ritirare il consenso quando vuoi chiedendolo allo staff: la tua email viene tolta dall'elenco e cancellata, la tessera resta.

Lo staff vede le tessere (numero, soprannome, email mascherata) e le presenze, e può annullare timbri sospetti. Pubblicamente si vede solo il numero totale dei presenti a ogni partita, mai chi c'era. Puoi chiedere in ogni momento di eliminare la tua tessera.

Dalla tessera puoi chiedere allo staff di timbrare una partita passata a cui eri presente, con una nota facoltativa per farti riconoscere: la richiesta resta salvata, collegata alla tua tessera, insieme alla decisione dello staff (approvata o rifiutata).

Base giuridica: la richiesta che fai tu, cioè avere la tessera e timbrare le presenze (art. 6.1.b GDPR); per le novità via email, il tuo consenso (art. 6.1.a GDPR); per i controlli contro gli abusi, il legittimo interesse (art. 6.1.f GDPR).

4. Area staff

I membri della squadra che curano il sito hanno un account personale (email e password, gestiti con Supabase Auth). L'accesso usa un cookie di sessione. Per difendere l'accesso dai tentativi ripetuti teniamo per un giorno un codice (hash) dell'IP e dell'account usato, mai in chiaro.

Base giuridica: la gestione del sito da parte dei membri della squadra che hanno un account (art. 6.1.b GDPR) e la sicurezza degli accessi (art. 6.1.f GDPR).

5. Giocatori

Nomi, foto, numeri di maglia, statistiche delle partite e gli altri dati delle schede (per esempio data di nascita, altezza e peso) sono pubblicati con il consenso dei giocatori, che possono chiedere in ogni momento di correggerli o toglierli.

Base giuridica: il consenso dei giocatori, raccolto con una liberatoria firmata (art. 6.1.a GDPR).

6. Email di servizio

Le email dell'area staff (invito, recupero della password, conferme) partono dal servizio Resend, dall'indirizzo noreply@send.sdengers.com.

Base giuridica: il funzionamento degli account dell'area staff (art. 6.1.b GDPR).