Informativa sulla privacy

1. Titolare del trattamento

Il titolare del trattamento è Cristian Costanzo, domiciliato a Roma, Italia, che opera con il nome commerciale UnderTheHoodLabs. Il titolare è la persona, non il nome: è a lei che ti rivolgi per i tuoi diritti. Per tutto ciò che riguarda i tuoi dati scrivi a [email protected]. Non abbiamo l'obbligo di nominare un responsabile della protezione dei dati e non lo abbiamo nominato.

2. Quali dati trattiamo

• Account: indirizzo email e un identificativo interno. Se accedi con Google riceviamo da Google il nome, l'email e l'immagine del profilo. La password è custodita dal fornitore di autenticazione (Supabase) in forma cifrata e non è mai visibile a noi.
• Uso del servizio: piano attivo, radar salvati, regole di avviso e preferenze delle notifiche, il conteggio giornaliero delle pagine aperte (limite del piano Free).
• Avvisi su Telegram: se colleghi il bot dalla pagina Account, l'identificativo numerico della chat che Telegram ci comunica (non il numero di telefono né il nome utente), la lingua e la data del collegamento, e quali messaggi ti abbiamo mandato (le formazioni di quale partita, il riepilogo di quale giorno), per non mandarli due volte. Se scolleghi il bot o scrivi /stop, l'identificativo della chat viene cancellato; tutto il resto se ne va con l'account.
• E-mail quotidiana: se la chiedi, il tuo indirizzo, la lingua e la data in cui hai dato il consenso; se ti disdici, la data della disdetta. Teniamo entrambe perché sono la prova di quando hai chiesto l'e-mail e di quando hai smesso di volerla.
• Pagamenti: se compri un pass, i dati della carta e l'indirizzo di fatturazione li scrivi sulla pagina di Stripe e restano a Stripe e a Link, che vende il pass: noi non li vediamo. Per collegare l'acquisto al tuo account passiamo a Stripe il tuo indirizzo email e il tuo identificativo interno. Da Stripe ci tornano il pass comprato (con il Paese, se è un Country Pass), l'importo, la scadenza, lo stato del rinnovo e i codici con cui Stripe riconosce te come cliente e il tuo abbonamento. Teniamo anche la data e l'ora in cui hai chiesto di attivare subito il pass rinunciando al recesso: è la prova di quel consenso.
• Statistiche interne: eventi di utilizzo (per esempio l'avvio o il completamento di una registrazione, l'apertura della finestra dei pass, quale pass ha interessato) con la provenienza della visita (l'etichetta della campagna nel link e il nome del sito da cui arrivi, mai l'indirizzo completo di quella pagina), collegati al tuo identificativo se hai un account, e misure di velocità delle pagine senza alcun identificativo. Restano sui nostri server. A queste si aggiungono le statistiche aggregate di Cloudflare Web Analytics (pagine viste, Paese, tipo di dispositivo, velocità di caricamento), raccolte da uno script di Cloudflare che non usa cookie, non salva nulla nel browser e non costruisce un identificativo del visitatore: vediamo conteggi, non persone. Oltre alla misura degli annunci descritta qui sotto, non usiamo strumenti di pubblicità.
• Google Analytics 4, solo se lo accetti nel banner dei cookie: visite, pagine lette, dispositivo, Paese e un identificativo casuale del browser custodito in un cookie. Non attiviamo le funzioni pubblicitarie di Google e non colleghiamo questi dati al tuo account. Se non accetti, lo script di Google non viene caricato.
• Misura degli annunci in ChatGPT, solo se accetti «Marketing» nel banner dei cookie e solo se sei arrivato al sito da un nostro annuncio in ChatGPT: il codice dell'annuncio presente nell'indirizzo della pagina d'arrivo e, quando ti iscrivi, avvii una prova o paghi, il tipo di evento, l'importo e il tuo indirizzo e-mail in forma cifrata con SHA-256 (non leggibile). Lo inviamo noi a OpenAI dai nostri server: nel sito non c'è nessuno script né cookie di OpenAI.
• Dati tecnici: indirizzo IP e dati del browser, registrati nei log della rete di distribuzione (Cloudflare) e del server, usati per la sicurezza e per i limiti alle richieste.
• Sul tuo dispositivo: le preferenze di visualizzazione e la lingua sono salvate nel browser (localStorage) e non vengono inviate ai nostri server. Anche le partite, le linee e le squadre che segui restano nel browser; se hai un account, dal 24 settembre 2026 le salviamo anche sull'account (solo l'elenco delle partite, delle linee e, dal 29 ottobre 2026, delle squadre), così le ritrovi su ogni dispositivo, in cima al Programma e nell'e-mail quotidiana. Vengono cancellate con l'account.

3. Perché e su quale base

• Fornirti il servizio, gestire l'account, i pass e i pagamenti: esecuzione del contratto (art. 6.1.b GDPR).
• Sicurezza, prevenzione degli abusi e limiti alle richieste: legittimo interesse (art. 6.1.f) a tenere il servizio funzionante e a proteggerlo.
• Statistiche interne: legittimo interesse (art. 6.1.f) a capire come viene usato il prodotto e quali pass interessano. Le statistiche interne non lasciano i nostri server e non sono cedute a nessuno; quelle di Cloudflare sono aggregate e senza identificativo. Nessuna delle due serve a profilarti per pubblicità e puoi opporti in qualsiasi momento scrivendoci; il bilanciamento con i tuoi interessi tiene conto di questo.
• Google Analytics 4: il tuo consenso (art. 6.1.a), dato nel banner dei cookie con un pulsante Accetta accanto a un pulsante Rifiuta uguale. Puoi ritirarlo quando vuoi dal link Preferenze cookie in fondo a ogni pagina.
• Misura degli annunci in ChatGPT: il tuo consenso (art. 6.1.a), dato nel banner dei cookie alla voce Marketing. Se lo ritiri dal link Preferenze cookie, cancelliamo il codice dell'annuncio e non comunichiamo più nulla a OpenAI.
• Email di servizio (conferma della registrazione, reimpostazione della password, avvisi che hai chiesto, comunicazioni sui termini): esecuzione del contratto.
• Avvisi su Telegram (formazioni e riepilogo del mattino): esecuzione del contratto, perché li chiedi tu collegando il bot. Puoi smettere quando vuoi dalla pagina Account o scrivendo /stop al bot.
• E-mail quotidiana (Il Prepartita): il tuo consenso (art. 6.1.a), dato con una casella non preselezionata. Puoi ritirarlo quando vuoi, dal link in fondo a ogni e-mail o dalla pagina Account, e da quel momento non ne ricevi più.
• Prova del consenso all'attivazione immediata e traccia dei pagamenti e dei rimborsi: legittimo interesse (art. 6.1.f) a poter dimostrare che cosa è stato comprato e a quali condizioni, se un acquisto viene contestato.
• Adempimenti fiscali e contabili legati ai pagamenti: obbligo di legge (art. 6.1.c).

4. Fornitori che trattano dati per nostro conto

• Supabase (progetto nella regione UE, Francoforte): autenticazione e gestione degli account.
• OVH SAS (server nel Regno Unito): la macchina che ospita il servizio e il database.
• Cloudflare: DNS, protezione e instradamento del traffico, e le statistiche aggregate di visita (Web Analytics).
• Google (Google Ireland Limited): accesso con il tuo account Google, se lo scegli, e Google Analytics 4, se lo accetti.
• OpenAI (OpenAI Ireland Ltd): misura dei nostri annunci in ChatGPT, solo con il tuo consenso Marketing e solo se sei arrivato da un nostro annuncio.
• Resend: invio delle email di servizio e dell'e-mail quotidiana.
• Telegram: se colleghi il bot, i messaggi che ti mandiamo passano per Telegram, che li tratta come titolare autonomo secondo la propria informativa. A Telegram mandiamo solo il testo del messaggio e l'identificativo della chat che ci ha dato.
• Anthropic: scrittura dell'e-mail quotidiana, dove riceve solo i numeri delle partite (squadre, percentuali, frequenze); risposte di Aiva, l'assistente del sito, dove riceve le domande che l'utente scrive e i numeri delle partite che servono a rispondere, mai il nome, l'indirizzo e-mail o i dati di pagamento. Domande e risposte di Aiva restano nel nostro database finché l'account esiste e se ne vanno con la chiusura dell'account.
• Stripe e Link: pagamento e vendita del pass. Qui il rapporto è diverso dagli altri: Link vende in proprio, quindi dei dati dell'acquisto — indirizzo, dati fiscali, mezzo di pagamento — è titolare autonomo e risponde secondo la propria informativa. A noi tornano solo l'esito del pagamento e i dati del pass descritti nella sezione 2, mai quelli della carta; a Stripe passiamo soltanto il tuo indirizzo email e il tuo identificativo interno, per collegare l'acquisto al tuo account. Chiedendo a Stripe la cancellazione dei tuoi dati, gli abbonamenti comprati tramite Link vengono annullati.

Le immagini delle pagine — stemmi, loghi delle competizioni, foto di giocatori, allenatori e stadi — le serviamo dai nostri server: aprendo una pagina, il tuo browser non contatta i fornitori di dati e non comunica loro il tuo indirizzo IP.

Con ciascun fornitore è in vigore un accordo sul trattamento dei dati. Il server si trova nel Regno Unito, Paese per il quale la Commissione europea ha adottato una decisione di adeguatezza: i dati possono essere trasferiti lì senza ulteriori garanzie.

Cloudflare, Google, Resend e Anthropic hanno sede negli Stati Uniti. I trasferimenti avvengono sulla base della decisione di adeguatezza per il Data Privacy Framework UE-USA, dove il fornitore vi aderisce, e in ogni caso delle clausole contrattuali standard della Commissione europea previste nell'accordo con ciascuno.

5. Per quanto tempo

• Account e dati d'uso: finché l'account esiste, poi cancellati entro 30 giorni dalla chiusura.
• Consenso all'e-mail quotidiana: finché l'account esiste, con la data in cui è stato dato e quella dell'eventuale disdetta, perché dobbiamo poter dimostrare l'uno e l'altra.
• Pass e pagamenti: i pass, con i codici di Stripe, finché l'account esiste, poi cancellati con l'account. La traccia di ogni pagamento e rimborso e la prova del consenso all'attivazione immediata restano anche dopo la chiusura, ma senza più il legame con il tuo account, per dieci anni dall'acquisto: il termine entro cui un acquisto può ancora esserci contestato.
• Log tecnici (IP, richieste): 90 giorni, salvo un'indagine su un abuso in corso.
• Statistiche interne: 24 mesi, poi cancellate o rese anonime. Le statistiche aggregate di Cloudflare non contengono identificativi e sono conservate da Cloudflare secondo i suoi termini.
• Google Analytics 4: 14 mesi sui server di Google, poi cancellati. Il cookie nel tuo browser dura due anni, o fino a quando ritiri il consenso.
• Misura degli annunci: il codice dell'annuncio resta legato al tuo account finché non ritiri il consenso o chiudi l'account; i dati inviati a OpenAI sono conservati da OpenAI secondo la sua informativa.

6. I tuoi diritti

Puoi chiedere l'accesso ai tuoi dati, la rettifica, la cancellazione, la limitazione del trattamento, la portabilità e opporti ai trattamenti basati sul legittimo interesse. Puoi anche proporre reclamo al Garante per la protezione dei dati personali (www.garanteprivacy.it).

Per esercitarli scrivi a [email protected] dall'indirizzo con cui sei registrato (o allega un modo per verificare che sei tu). Rispondiamo entro 30 giorni; la chiusura dell'account si fa anche da soli dalla pagina Account.

7. Minori

Il servizio è riservato ai maggiorenni e non raccogliamo consapevolmente dati di minori. Se scopriamo che un account appartiene a un minore lo chiudiamo e cancelliamo i dati.

8. Cookie

Quali cookie e quali dati salviamo nel tuo browser è spiegato nella cookie policy.

9. Modifiche

Se cambiamo questa informativa in modo sostanziale (nuovi dati, nuovi scopi, nuovi fornitori che vedono dati dell'utente) te lo comunichiamo via email prima che il cambiamento abbia effetto; le altre modifiche sono pubblicate qui con la data in cima.