Informativa sulla Privacy

1. Introduzione

In Zlobby (social network e app di incontri per la comunità geek) prendiamo molto sul serio la protezione dei tuoi dati personali. La presente informativa spiega come raccogliamo, utilizziamo, conserviamo e proteggiamo le tue informazioni, in conformità al Regolamento generale sulla protezione dei dati (GDPR, UE 2016/679) e, ove applicabile, alle leggi locali. Il servizio è internazionale e disponibile in più lingue. Fa fede la versione francese della presente informativa: se una traduzione se ne discosta, prevale la versione francese.

Il diritto imperativo del tuo paese di residenza resta applicabile e non è pregiudicato dalla presente informativa.

2. Titolare del trattamento

Il titolare del trattamento è Emeric Mathis EI (imprenditore individuale, micro-impresa), SIREN 932 467 939, RCS Avignon, sede legale 14 rue Cassini, 84300 Cavaillon, Francia. Sito web: https://www.zlobby.com.

Per qualsiasi domanda, richiesta di esercizio dei tuoi diritti, contatto con il responsabile della protezione dei dati (DPO) o notifica di un incidente: contact@zlobby.com. Le email automatiche vengono inviate da noreply@zlobby.com.

3. Dati raccolti

Raccogliamo le seguenti categorie di dati:

Dati di registrazione:

• Indirizzo email
• Password (sottoposta ad hashing, mai memorizzata in chiaro)
• Nome utente (pseudonimo)
• Data di nascita (verifica dell'età minima)

Dati del profilo:

• Pseudonimo, biografia, foto del profilo (avatar) obbligatoria e galleria fino a 5 foto
• Genere, preferenze di incontri (solo se attivi la modalità Incontri)
• Interessi, giochi preferiti (IGDB), manga/anime preferiti
• Città, coordinate geografiche approssimative (per il filtro distanza), facoltativo
• Professione, studi, lingue parlate, MBTI, ecc., tutti facoltativi

Dati sensibili ai sensi dell'articolo 9 del GDPR

Puoi scegliere di fornire informazioni rientranti in categorie particolari: convinzioni religiose, opinioni politiche, atipicità e neurodivergenze assimilate a dati sanitari. Questi campi sono tutti facoltativi e il loro trattamento si basa esclusivamente sul tuo consenso esplicito: una casella di spunta presentata accanto a quegli stessi campi, nel tuo profilo. Finché non è selezionata, queste informazioni non vengono né salvate, né mostrate, né usate come criterio di ricerca. Deselezionare la casella equivale a una revoca: cancella quei dati oltre a revocare il consenso, senza pregiudicare la liceità del trattamento svolto prima della revoca. Il genere e il genere cercato, che possono rivelare il tuo orientamento sessuale, dipendono da un atto distinto e altrettanto esplicito: l'attivazione della modalità Incontri, reversibile in qualsiasi momento.

Dati di attività:

• Like inviati/ricevuti, match, messaggi, conversazioni
• Post pubblicati, commenti, reazioni, messaggi della Lobby
• Visite al profilo, blocchi, segnalazioni
• Cronologia degli acquisti (crediti virtuali, abbonamenti Pro/Legend)

Registri di moderazione:

Per ogni contenuto analizzato conserviamo la decisione di moderazione (safe / flagged / rejected), il punteggio associato e la marca temporale (vedi sezione 8).

Dati tecnici:

• Indirizzo IP (anonimizzato tramite hash nei registri di rate-limiting)
• Tipo di browser, dispositivo, sistema operativo, lingua preferita
• Cookie di sessione e preferenze (vedi informativa cookie)
• Registri di errore anonimizzati (tramite Sentry, mascheramento automatico dei PII)

Dati di pagamento:

I dati della carta (numero, CVV, scadenza) sono trattati esclusivamente da Stripe Payments Europe Ltd (Irlanda) secondo gli standard PCI-DSS. Zlobby non memorizza mai né ha accesso ai dati della tua carta. Conserviamo solo l'identificativo della transazione Stripe, l'importo e i metadati dell'abbonamento per la fatturazione.

4. Finalità e basi giuridiche

Ogni trattamento si basa su una specifica base giuridica (GDPR art. 6):

• Creare e gestire il tuo account, fornire il social network e la messaggistica: esecuzione del contratto (art. 6.1.b)
• Modalità Incontri, calcolo della compatibilità, filtro distanza: esecuzione del contratto; la modalità Incontri è un'attivazione esplicita (dating_enabled), la parte social funziona senza di essa
• Trattamento dei dati sensibili (art. 9): consenso esplicito (art. 9.2.a)
• Moderazione dei contenuti, sicurezza, prevenzione di frodi e abusi: legittimo interesse (art. 6.1.f) e obbligo legale (DSA, lotta ai contenuti illeciti)
• Pagamenti, fatturazione, contabilità: esecuzione del contratto e obbligo legale (art. 6.1.b e 6.1.c)
• Email transazionali e notifiche: esecuzione del contratto; notifiche non essenziali basate sul consenso
• Cookie e preferenze non essenziali: consenso (vedi informativa cookie)
• Adempimento dei nostri obblighi legali e risposta alle autorità: obbligo legale (art. 6.1.c)

5. Periodo di conservazione

I periodi di conservazione variano in base alla categoria di dati:

• Account attivo: conservazione per tutta la durata della tua registrazione;
• Account eliminato: anonimizzazione immediata dei PII ed eliminazione definitiva entro 30 giorni (periodo di tolleranza per il ripristino su richiesta);
• Transazioni Stripe: 10 anni (Codice di commercio francese art. L.123-22);
• Registri di moderazione: 5 anni dall'ultima azione (traccia di audit DSA);
• Registri tecnici / Sentry: 30 giorni;
• Messaggi: conservati finché esiste la conversazione; identificativo del mittente anonimizzato in caso di eliminazione dell'account (per preservare la cronologia dell'altra parte);
• Lista d'attesa pre-lancio: email eliminata entro 90 giorni dopo il lancio pubblico in assenza di registrazione al Servizio.

6. Responsabili del trattamento e condivisione dei dati

Ci avvaliamo di responsabili del trattamento accuratamente selezionati. I trasferimenti al di fuori dell'Unione Europea sono disciplinati dalle clausole contrattuali tipo (SCC) della Commissione europea:

• Altri utenti: le informazioni di profilo pubblico che scegli di rendere visibili;
• Database, autenticazione, archiviazione di file e foto: Supabase Inc. (Singapore, SCC);
• Hosting dell'applicazione: Vercel Inc. (USA, SCC);
• Pagamenti: Stripe Payments Europe Ltd (Irlanda, UE), abbonamenti e pacchetti di crediti, conformità PCI-DSS;
• Moderazione automatizzata tramite IA: Anthropic PBC (USA, SCC), analisi di testo e immagini tramite Claude (modello predefinito Claude Haiku 4.5). I testi e le immagini che pubblichi o carichi (post, commenti, biografie, avatar e foto del profilo, foto della galleria, messaggi) sono trasmessi ad Anthropic per l'analisi di conformità (vedi sezione 8);
• Email transazionali e notifiche: Resend Inc. (USA, SCC), solo indirizzo email e contenuto del messaggio;
• Monitoraggio degli errori: Sentry (USA, SCC), stack trace e contesto tecnico, PII mascherati, registri conservati 30 giorni;
• Ricerca di città e reverse-geocoding: Nominatim / OpenStreetMap Foundation (Regno Unito), solo coordinate approssimative e la query di ricerca, nessun dato dell'account;
• Catalogo giochi: IGDB (Twitch Interactive, USA) fornisce i dati del catalogo giochi senza ricevere i tuoi preferiti. I preferiti anime/manga e le immagini sono serviti dal nostro database e archivio.
• Autenticazione federata: Google, Apple, Discord, GitHub (quando scegli di accedere tramite questi fornitori);
• Autorità competenti: in caso di obbligo legale o di contenuti illeciti (CSAM, terrorismo).

Non vendiamo mai i tuoi dati personali a terzi.

7. Trasferimenti internazionali

Alcuni dei tuoi dati possono essere trasferiti verso paesi al di fuori dell'Unione Europea (in particolare USA e Singapore). Tali trasferimenti sono disciplinati da garanzie adeguate, in particolare le clausole contrattuali tipo (SCC) adottate dalla Commissione europea, integrate ove necessario da misure tecniche supplementari (cifratura, minimizzazione).

8. Moderazione tramite intelligenza artificiale e decisione automatizzata

Per proteggere la comunità e adempiere ai nostri obblighi legali (in particolare il Digital Services Act, DSA), tutti i contenuti (post, commenti, biografie, avatar e foto del profilo, foto della galleria, messaggi privati e messaggi della Lobby) sono soggetti a moderazione automatizzata effettuata da Anthropic PBC tramite il modello Claude (testo e immagini). La foto del profilo obbligatoria è sistematicamente moderata dall'IA prima della convalida; in modalità Incontri si applica una verifica «persona reale».

Ogni analisi produce una decisione (safe, flagged o rejected) e un punteggio. In caso di dubbio, viene effettuata una revisione umana. Questa moderazione può costituire una decisione automatizzata ai sensi dell'articolo 22 del GDPR. In conformità al GDPR e all'articolo 14 del DSA, hai il diritto di ottenere una motivazione, di contestare la decisione e di ottenere un intervento umano. Qualsiasi contestazione può essere presentata entro 30 giorni a contact@zlobby.com.

9. I tuoi diritti

In conformità al GDPR, disponi dei seguenti diritti:

• Diritto di accesso: ottenere una copia dei tuoi dati
• Diritto di rettifica: correggere i tuoi dati inesatti
• Diritto alla cancellazione: eliminare i tuoi dati
• Diritto alla portabilità: ricevere i tuoi dati in un formato strutturato
• Diritto di opposizione: opporti al trattamento dei tuoi dati
• Diritto di limitazione: limitare il trattamento dei tuoi dati
• Revoca del consenso: revocare il tuo consenso in qualsiasi momento (in particolare per i dati sensibili dell'articolo 9), senza pregiudicare la liceità del trattamento precedente

Per esercitare questi diritti, contattaci a contact@zlobby.com.

10. Sicurezza dei dati

Adottiamo misure tecniche e organizzative adeguate per proteggere i tuoi dati da accessi non autorizzati, perdita o alterazione:

• Cifratura dei dati in transito (HTTPS/TLS)
• Hashing delle password
• Accesso limitato ai dati personali
• Monitoraggio e audit di sicurezza regolari

11. Minori

La sezione Social del Servizio è aperta ai minori. Al di sotto dell'età del consenso digitale nel loro Paese di residenza (15 anni in Francia), l'iscrizione richiede l'autorizzazione di un genitore o del tutore legale. La sezione Incontri è riservata alle persone di età pari o superiore a 18 anni: la data di nascita indicata al momento dell'iscrizione serve a verificarlo, e nessun dato relativo agli Incontri viene raccolto da un iscritto più giovane. Qualsiasi accesso agli Incontri identificato come appartenente a un minore viene rimosso.

12. Cookie

Per i dettagli sui cookie e tracker utilizzati e sulla gestione del tuo consenso, consulta la nostra informativa cookie.

13. Reclamo

Se ritieni che il trattamento dei tuoi dati non rispetti la normativa, puoi presentare un reclamo alla CNIL (autorità francese per la protezione dei dati, www.cnil.fr) o all'autorità di controllo competente del tuo paese di residenza.

Integrazioni con creatori e account esterni

Quando scegli di collegare un account creatore, Zlobby elabora solo i dati necessari per verificare l'account e visualizzare le funzionalità che abiliti.

• Identificatore dell'account del fornitore stabile, nome visualizzato, handle, avatar e URL del canale pubblico.
• Metadati dei canali pubblici, contenuti recenti o fissati e trasmissioni programmate.
• I token di accesso e aggiornamento OAuth sono crittografati lato server con AES-256-GCM e non vengono mai esposti al browser o ai log.
• Stato in tempo reale, titolo, categoria, lingua, pubblico, indicatore di maturità, miniatura e timestamp di aggiornamento per i provider di streaming supportati.
• Fornitori opzionali: Twitch, YouTube, TikTok, Kick, Discord, Steam e Instagram.

Il collegamento dell'account viene eseguito su tua richiesta per fornire il servizio selezionato. Ogni profilo, Live Now e la visualizzazione della Lobby rimangono un opt-in separato.

Le connessioni e le scelte di visibilità vengono mantenute finché non disconnetti o elimini il tuo account. I record dei webhook tecnici vengono eliminati dopo 30 giorni; le cache del provider seguono i limiti del provider.

Puoi collegare gli account gratuitamente. L’Hub Creator pubblico e la visualizzazione Live Now richiedono l’accesso Pro o Legend attivo; lo stato live nella Lobby resta disponibile senza Premium dopo l’attivazione.

La disconnessione nasconde immediatamente l'integrazione, rimuove i contenuti memorizzati nella cache e i webhook, elimina le credenziali crittografate e richiede la revoca del provider quando supportato.