Torna al sito

Informativa privacy

Come D&D Planner tratta i dati personali di chi lo usa, ai sensi dell'art. 13 del Regolamento (UE) 2016/679.

Ultimo aggiornamento: 30 agosto 2026

Questa pagina è scritta per essere letta, non per essere firmata. Se qualcosa non è chiaro, o se vuoi sapere esattamente quali dati sono collegati al tuo account, scrivi a privacy@dndplanner.net.

1. Chi tratta i tuoi dati

Il titolare del trattamento è Davide Avolio, persona fisica che gestisce il sito dndplanner.net e l'applicazione D&D Planner. Non è un'azienda: il servizio è gratuito e nasce per organizzare le partite di un gruppo di amici.

Per qualsiasi questione relativa ai dati personali, compreso l'esercizio dei diritti descritti al punto 10, l'indirizzo di contatto è privacy@dndplanner.net.

Non è stato nominato un responsabile della protezione dei dati (DPO): il servizio non rientra in nessuno dei casi in cui l'art. 37 del Regolamento lo rende obbligatorio.

2. Quali dati raccogliamo

L'elenco che segue è completo: sono tutti e soli i dati che l'applicazione salva.

Dati dell'account

Username, nome visualizzato e, per chi si registra da solo, indirizzo email. La password non viene mai salvata: quello che conserviamo è un valore calcolato a partire da essa (hash bcrypt), dal quale la password non è ricavabile. Con questi restano salvati il ruolo (giocatore, master o amministratore), la preferenza sulle notifiche, il tema scelto per l'interfaccia e il fuso orario in cui preferisci leggere gli orari, la data di creazione e di ultima modifica dell'account e la data in cui hai verificato l'email. Gli account creati da un amministratore possono non avere un'email finché non la colleghi tu dalle impostazioni. Se cambi la password, dalle impostazioni o reimpostandola dopo averla dimenticata, salviamo anche la data dell'ultimo cambio: serve a chiudere le sessioni aperte prima di quel momento sugli altri dispositivi (punto 7).Salviamo infine la data dell'ultimo accesso, conservata per chi gestisce il servizio: serve a sapere se un account è ancora in uso, per esempio quando scrivi perché non riesci a entrare. La vede l'amministratore, e la trovi tu nella tua esportazione dei dati; nessun altro. È volutamente approssimativa, perché viene aggiornata al massimo una volta ogni mezz'ora: non teniamo un registro di quando apri l'applicazione, ma un solo valore che viene sovrascritto.Se un amministratore sospende il tuo account, restano salvati la data della sospensione, il motivo scritto dall'amministratore e chi l'ha decisa. Il motivo lo legge solo l'amministratore: i master dei tuoi gruppi vedono unicamente un'etichetta «Sospeso», senza data e senza spiegazione. Togliendo la sospensione il motivo viene cancellato, e nel frattempo nessuno dei tuoi dati era stato rimosso.

La presa visione di questa informativa

Se ti sei registrato da solo, salviamo il momento in cui l'account è stato creato confermando di aver letto questa pagina, e la versione della pagina che ti era stata mostrata (una data, la stessa che leggi qui in alto). Serve a poter dimostrare quale testo ti è stato reso noto, come richiede il Regolamento: senza la versione, dopo una riscrittura dell'informativa non sarebbe più possibile dire quale delle due avevi davanti. Gli account creati da un amministratore non hanno questo dato, perché non passano da questo modulo.

Codici di verifica dell'email

Quando registri o cambi il tuo indirizzo, generiamo un codice a sei cifre valido quindici minuti. Salviamo una copia dell'indirizzo a cui è stato inviato, un hash del codice, il numero di tentativi e la data di scadenza o di utilizzo.

Richieste di reimpostazione della password

Se chiedi di reimpostare la password dimenticata, e l'indirizzo che inserisci corrisponde davvero a un account, salviamo una riga che dice quale account ha chiesto il reset e quando, con la data di scadenza del link e quella dell'eventuale utilizzo. Il segreto contenuto nel link non viene salvato: quello che conserviamo è un valore calcolato a partire da esso (hash bcrypt), dal quale il link non è ricostruibile, esattamente come per la password. Se l'indirizzo che inserisci non corrisponde a nessun account non salviamo nulla: non teniamo un elenco degli indirizzi digitati in quel modulo. Il link vale quindici minuti e può essere usato una sola volta; ogni account può chiedere al massimo dieci link al giorno.

Personaggi

Nome, classe, razza, livello, una descrizione libera e un'immagine facoltativa. Accettiamo file JPEG, PNG, GIF o WebP fino a 5 MB; rifiutiamo inoltre, anche sotto i 5 MB, le immagini fisse oltre i 24 megapixel e le GIF animate che superano gli 8 megapixel sommando tutti i fotogrammi. Il file che carichi non viene conservato così com'è: lo riconvertiamo subito in formato WebP, ridotto a un massimo di 1024 pixel sul lato lungo, ed è solo questa versione derivata a essere salvata sul server. Nella riconversione i metadati EXIF vengono eliminati, comprese le coordinate GPS, l'orario di scatto e gli identificativi del dispositivo, che le fotografie da smartphone portano quasi sempre con sé; conserviamo il solo profilo colore ICC, che serve a non alterare i colori dell'immagine. Descrizione e immagine li scegli tu: se ci metti dati personali, tuoi o di altri, per esempio una fotografia di una persona reale, quei dati finiscono nel servizio. Ti chiediamo di non farlo, e in particolare di non caricare immagini di altre persone senza il loro consenso.

Registro dei caricamenti

Di ogni file di immagine che carichi annotiamo, in una riga separata dal personaggio: quale account lo ha caricato, il momento del caricamento, il nome interno del file e la sua dimensione in byte. Serve a due cose concrete: sapere che quel file è tuo (è ciò che impedisce a chiunque altro di cancellarlo nei secondi fra il caricamento e il salvataggio della scheda) e sapere quanto spazio occupa ciò che è stato caricato. Il registro non contiene il contenuto dell'immagine, e non è mostrato a nessun altro utente. Se carichi un'immagine e poi non salvi il personaggio, il file resta orfano: viene cancellato automaticamente, e con lui la sua riga di registro, entro circa trenta ore (una finestra di attesa di 24 ore, più il controllo periodico che gira ogni sei). I file caricati prima dell'introduzione di questo registro non hanno la riga corrispondente: non avremmo modo di sapere chi li ha caricati, e inventarlo sarebbe peggio della lacuna; restano comunque soggetti alla stessa cancellazione automatica se non sono agganciati a nessun personaggio, calcolata in quel caso sulla data del file.

Disponibilità

Le fasce orarie in cui dichiari di essere libero, giorno per giorno e campagna per campagna. È l'informazione centrale del servizio, ed è anche un dato che racconta le tue abitudini: dice quando sei libero e quando no.

Sessioni, risposte e presenze

Le sessioni fissate dal tuo gruppo, la tua risposta alla convocazione («Ci sarò» / «Non ci sarò»), che può essere segnata anche dal master per tuo conto, e in quel caso ricevi una notifica e puoi cambiarla; se dici che arrivi più tardi, anche l'ora che hai scelto, che il tuo gruppo legge accanto al tuo nome e che sparisce se cambi risposta; la presenza registrata dal master con il personaggio che hai giocato, e l'indicazione che ti è già stato inviato un promemoria: per una certa sessione, per un sondaggio sulle date, o per una certa settimana. Quest'ultima serve solo a non inviartelo due volte.

Diario della campagna

Le note che il master scrive sulle sessioni giocate, che il gruppo legge come diario. Sono testo libero e parlano di ciò che è successo al tavolo: possono citare i personaggi degli altri e, se chi scrive lo mette, qualsiasi altra cosa. Sono scritte da una persona e riguardano tutto il gruppo, non solo te.

Notifiche

Il testo delle notifiche che ricevi dentro l'applicazione, con la data e l'indicazione se le hai lette. Alcune contengono il nome visualizzato di altri utenti, perché è di loro che parlano. Le notifiche via email sono facoltative, disattivate di default, attivabili e disattivabili in Impostazioni, e usano l'indirizzo email verificato del tuo account. Quando una notifica ti viene recapitata anche via email o sul telefono, teniamo una riga di consegna: una copia del testo, il canale usato, se il fornitore l'ha accettata e, in caso contrario, l'errore che ci ha restituito. Serve solo a riprovare quando l'invio non riesce, perché prima quel messaggio andava semplicemente perso; non aggiunge destinatari e non esce da dove usciva già. La teniamo per una settimana se la consegna è riuscita e per un mese se non è riuscita, poi viene cancellata.

Notifiche sul telefono (push)

Se attivi le notifiche push su un dispositivo, restano salvati l'indirizzo a cui recapitarle (assegnato dal servizio push del tuo browser, non da noi), le due chiavi pubbliche che il browser ci dà per cifrare il contenuto, un'etichetta del dispositivo ridotta alla sola famiglia («Chrome su Android»: il resto di quello che il browser dichiara non lo conserviamo, perché sarebbe un'impronta), la data in cui l'hai attivato e quella dell'ultima conferma che il dispositivo funziona, registrata all'attivazione e a ogni notifica consegnata, ed è da lì che si contano i sei mesi del punto 6. Attivarle è il consenso e disattivarle lo ritira, dispositivo per dispositivo: non c'è nessun altro interruttore, e se non le attivi da nessuna parte non esiste nessuna di queste righe. L'indirizzo push è fornito dal servizio del tuo browser, cioè Google, Apple o Mozilla a seconda di quale usi, e il punto 4 spiega cosa quel servizio vede.

Segnalazioni e richieste

Le segnalazioni di bug o le proposte che invii agli amministratori, con il tuo nome; le note che invii al master della tua campagna, per le quali vale quanto spiegato al punto 9; le richieste di diventare master, con il messaggio facoltativo che le accompagna.

Segnalazioni su altri utenti

Se segnali una persona con cui giochi, restano salvati chi hai segnalato, il motivo che hai scelto, quello che hai scritto, il tavolo a cui ti riferivi e la data. Le legge solo l'amministratore del sito: né il master né la persona segnalata ricevono una notifica o possono vederle. Nella tua esportazione dei dati trovi per intero le segnalazioni che hai scritto tu; di quelle che riguardano te trovi soltanto quante sono e quando sono arrivate, perché il testo e l'identità di chi le ha scritte sono dati di un'altra persona.

Inviti ai gruppi e link di invito

Quando un master ti invita in un gruppo, o quando sei tu a chiedere di entrarci aprendo un link di invito, resta salvato a quale gruppo, quando, come sei arrivato (invito diretto o link) e chi ti ha ammesso, oltre alla risposta. Del link in sé conserviamo il gruppo a cui porta, la scadenza, l'eventuale numero massimo di richieste, quante ne ha ricevute e chi lo ha creato; il codice contenuto nell'indirizzo non viene salvato: quello che conserviamo è un valore calcolato a partire da esso, dal quale il link non è ricostruibile, come per la password. Chi apre un link, finché il master non lo accetta, vede soltanto il nome del gruppo e quello della campagna: mai i membri, mai i loro nomi, mai le loro disponibilità.

Quando non puoi giocare

I blocchi «occupato» che segni per te (giorno, orario e un'etichetta facoltativa come «Palestra»), con le eventuali ricorrenze settimanali che li generano. Valgono per tutte le tue campagne. Gli altri non li vedono: nel calendario di gruppo risulti semplicemente non disponibile in quelle ore, senza etichetta e senza motivo, esattamente come se non avessi mai segnato quella fascia come libera. Se dici che sei via per un periodo intero, restano registrati il primo e l'ultimo giorno, l'etichetta che gli dai e i blocchi a giornata intera che ne nascono.

Orari in cui il master non può, e pause

Se sei master o amministratore, resta registrato che sei stato tu a creare una fascia in cui non puoi o una pausa della campagna.

Indirizzo IP

Il tuo indirizzo IP viene usato per contare i tentativi di accesso, di registrazione, di reimpostazione della password e le richieste di entrare in un gruppo tramite link, e fermare gli abusi. Ogni contatore è una riga nel database che porta il tuo indirizzo nel proprio nome, e vive quanto la finestra di conteggio: da quindici minuti a un'ora. Chiusa la finestra la riga non conta più nulla, e una pulizia automatica che passa ogni dieci minuti la cancella. L'indirizzo IP compare inoltre nei registri (log) del server web, insieme alla data e alla pagina richiesta, come su qualsiasi sito.

Non chiediamo e non trattiamo deliberatamente le categorie particolari di dati previste dall'art. 9 del Regolamento, cioè salute, convinzioni religiose o politiche, orientamento sessuale e simili. Nulla nell'applicazione le richiede; se finissero in un campo libero o in un'immagine, ci finirebbero per scelta di chi scrive.

3. Perché li trattiamo, e con quale base giuridica

Farti avere un account e far funzionare il servizio

Registrazione, accesso, calendario delle disponibilità, pianificazione delle sessioni, personaggi, diario, notifiche e promemoria. Base giuridica: esecuzione del contratto (art. 6.1.b). Sono le funzioni per cui il servizio esiste: senza questi dati non c'è servizio.

Verificare che l'indirizzo email sia tuo

L'invio del codice a sei cifre e la sua verifica. Base giuridica: esecuzione del contratto (art. 6.1.b), perché l'email è il canale con cui il servizio ti raggiunge, e legittimo interesse (art. 6.1.f) a non lasciare che un account venga collegato a un indirizzo altrui.

Farti rientrare nel tuo account se dimentichi la password

La generazione del link di reimpostazione, la sua verifica e il cambio della password. Base giuridica: esecuzione del contratto (art. 6.1.b), perché senza un modo di rientrare un account dimenticato è un servizio che si interrompe, e legittimo interesse (art. 6.1.f) alla sicurezza degli account, che è ciò che giustifica il limite di dieci richieste al giorno e la chiusura delle altre sessioni dopo un reset riuscito.

Scriverti quando succede qualcosa al tuo account

Sei messaggi, e nessun altro: il codice di verifica; l'avviso che l'email dell'account è stata cambiata; l'avviso che qualcuno ha provato a registrarsi con il tuo indirizzo; il link per reimpostare la password; l'avviso che la password è stata cambiata, che ricevi a reset completato; e il messaggio di cortesia che diciamo a chi ha chiesto un reset per un indirizzo a cui non corrisponde nessun account. Base giuridica: esecuzione del contratto per quelli che riguardano il tuo account, legittimo interesse alla sicurezza degli account per i due che possono raggiungere anche chi nostro utente non è (l'avviso di registrazione duplicata e quello appena descritto), che esistono proprio per avvertirlo di qualcosa fatto a suo nome.

Tenere il servizio sicuro

Limiti al numero di accessi, registrazioni, invii di email e caricamenti di immagini; log del server; conservazione del legame tra una nota anonima e chi l'ha scritta, per poter fermare chi ne abusa (punto 9); conservazione del legame fra un file di immagine e chi lo ha caricato (punto 2), che è ciò che impedisce a un utente di cancellare il caricamento di un altro. Base giuridica: legittimo interesse (art. 6.1.f) a proteggere gli account degli utenti e l'infrastruttura. L'interesse è stato bilanciato con i tuoi diritti: i dati usati a questo scopo sono i meno possibili e i contatori non sono conservati stabilmente.

Rispondere alle tue segnalazioni

Bug, proposte, richieste di diventare master, e le risposte che ricevi. Base giuridica: esecuzione del contratto e legittimo interesse a migliorare il servizio.

Un solo trattamento si fonda sul consenso: le notifiche push (punto 2). Lo presti attivandole su un dispositivo e lo ritiri disattivandole, dispositivo per dispositivo, senza dover dare spiegazioni e senza conseguenze sul resto del servizio: le notifiche continuano ad arrivarti dentro l'applicazione. Tutto il resto non si fonda sul consenso, e non facciamo marketing, profilazione o statistiche di navigazione. La casella che spunti quando ti registri non è un consenso al trattamento: è la conferma che hai potuto leggere questa informativa prima di iscriverti, come prevede l'art. 13.

4. Chi vede i tuoi dati

Gli altri utenti

Chi fa parte del tuo gruppo, e il master della tua campagna, vedono il tuo nome visualizzato, le tue disponibilità, i tuoi personaggi di quella campagna, le tue risposte alle convocazioni e le tue presenze. È il senso di un calendario condiviso.

Chi può vedere l'immagine di un personaggio

Non basta avere un account: l'immagine di un personaggio viene mostrata soltanto a chi ha un rapporto con quel personaggio: chi lo ha creato, il master della sua campagna, chi fa parte di uno dei gruppi di quella campagna, e gli amministratori del servizio. A chiunque altro la richiesta viene rifiutata, anche se conosce l'indirizzo esatto del file. C'è una sola eccezione, ed è a tuo favore: un'immagine che hai appena caricato e non hai ancora salvato su una scheda la vedi tu, perché sei chi l'ha caricata.

Gli amministratori del servizio

Hanno accesso ai dati di tutti gli account, perché gestiscono utenti, campagne e gruppi.

Resend, invio delle email

Le email descritte al punto 3 vengono spedite tramite Resend, un fornitore statunitense che agisce come responsabile del trattamento. Riceve il tuo indirizzo e il testo del messaggio. Vedi il punto 5 per il trasferimento fuori dall'Unione europea.

Il servizio push del tuo browser

Se hai attivato le notifiche sul telefono, per recapitarle passiamo dal servizio push del browser che usi: Google per Chrome e i browser che ne derivano, Apple per Safari, Mozilla per Firefox. Non lo scegliamo noi ed è già installato sul tuo dispositivo. Quel servizio vede a quale dispositivo stiamo mandando una notifica e quando, ma non cosa contiene: il testo viene cifrato qui e può essere aperto solo dal tuo browser. Vale solo per i dispositivi su cui hai attivato le notifiche: se non le attivi, questo servizio non viene mai contattato per te.

Il fornitore di hosting

L'applicazione e il suo database girano su un server virtuale affittato presso Aruba, in Italia. Il fornitore agisce come responsabile del trattamento e non usa i dati per fini propri.

Il servizio di inoltro dell'indirizzo di contatto

privacy@dndplanner.net non è una casella ma un alias: le email che ci scrivi passano da ImprovMX, che le recapita alla casella personale del titolare. Quel servizio vede il contenuto del messaggio, come qualsiasi intermediario di posta.

Fuori da questo elenco non c'è nessun altro. In particolare: nessuno strumento di statistica o di analisi del traffico, nessuna rete pubblicitaria, nessun pulsante social, nessuna rete di distribuzione di contenuti. Anche i caratteri tipografici del sito sono ospitati sul nostro server e non su quello di Google, quindi il tuo browser non contatta nessun terzo mentre navighi qui. I dati non vengono venduti né ceduti a terzi. Potremmo doverli comunicare all'autorità giudiziaria se la legge ce lo impone.

5. Dove sono trattati, e se escono dall'Unione europea

Il database e i file caricati stanno su un server in Italia. Non escono di lì.

L'unica eccezione sono le email: per spedirle il tuo indirizzo e il testo del messaggio vengono trasmessi a Resend, che ha sede negli Stati Uniti. È un trasferimento verso un paese terzo ai sensi del capo V del Regolamento, e riguarda solo l'indirizzo email e il contenuto delle comunicazioni di servizio elencate al punto 3: mai le tue disponibilità, i tuoi personaggi o le tue sessioni. Il link di reimpostazione della password passa da lì come ogni altro messaggio: è la ragione per cui vale pochi minuti e una volta sola.

C'è una seconda eccezione, e la scegli tu: se attivi le notifiche sul telefono, l'indirizzo del tuo dispositivo e il momento in cui ti mandiamo una notifica passano dal servizio push del tuo browser (Google, Apple o Mozilla), che quasi sempre si trova fuori dall'Unione europea. Il contenuto della notifica no: viene cifrato prima di partire e quel servizio non è in grado di leggerlo. Se non attivi le notifiche su nessun dispositivo questo trasferimento non avviene affatto, e disattivarle lo fa cessare.

Che garanzia copre questo trasferimento. Resend agisce come responsabile del trattamento sulla base di un accordo (Data Processing Addendum) che si perfeziona automaticamente con l'accettazione delle sue condizioni contrattuali, senza bisogno di una firma separata. Quell'accordo incorpora le clausole contrattuali tipo adottate dalla Commissione europea (il Modulo Due, cioè quello previsto proprio per il rapporto fra titolare e responsabile), che sono la garanzia adeguata prevista dall'art. 46 del Regolamento. Resend dichiara inoltre la propria certificazione nell'ambito dello EU-U.S. Data Privacy Framework presso il Dipartimento del Commercio degli Stati Uniti, cioè il quadro coperto dalla decisione di adeguatezza della Commissione (art. 45). Il trasferimento ha quindi due basi indipendenti: la decisione di adeguatezza, e le clausole contrattuali tipo come garanzia di riserva se quella decisione dovesse venire meno.

Il testo dell'accordo e l'elenco aggiornato dei sub-responsabili di cui Resend si avvale sono pubblicati dal fornitore stesso, rispettivamente su resend.com/legal/dpa e resend.com/legal/subprocessors.

Il fornitore di hosting, invece, non comporta alcun trasferimento: è nominato responsabile del trattamento dalle condizioni contrattuali accettate al momento della sottoscrizione, come richiede l'art. 28 del Regolamento, e l'infrastruttura su cui gira l'applicazione resta nello Spazio economico europeo, nel nostro caso in Italia, come detto in apertura di questo punto.

Resta un solo punto in verifica, e riguarda soltanto chi ci scrive: l'alias privacy@dndplanner.net passa da un servizio di inoltro (punto 3), e il titolare sta accertando dove quel servizio tratti i messaggi. Non riguarda i dati del tuo account, ma solo il contenuto delle email che invii a quell'indirizzo.

6. Per quanto tempo li conserviamo

Finché hai un account

I dati del profilo, i personaggi, le disponibilità, le sessioni e le presenze restano finché l'account esiste: sono il contenuto stesso del servizio, e cancellarli mentre lo usi significherebbe svuotare il calendario del tuo gruppo.

Notifiche: 30 o 90 giorni

Le notifiche che hai letto vengono cancellate automaticamente trenta giorni dopo essere state create; tutte le altre dopo novanta, lette o no. I due termini si contano dalla creazione della notifica, non dal momento in cui la apri.

Notifiche sul telefono: finché il dispositivo le riceve

L'iscrizione di un dispositivo resta finché quel dispositivo riceve le notifiche. Viene cancellata subito se il servizio push ci risponde che non esiste più (è quello che succede se revochi il permesso, svuoti i dati del sito o cambi telefono), dopo alcuni tentativi consecutivi andati a vuoto, e in ogni caso dopo sei mesi senza che quel dispositivo dia più segno di funzionare, contati dall'attivazione se nel frattempo non ti è arrivata nessuna notifica. Puoi cancellarla tu in qualsiasi momento con «Disattiva su questo dispositivo».

Codici di verifica: 15 minuti di validità, 48 ore di conservazione

Il codice smette di funzionare dopo quindici minuti o al primo uso. La riga che lo contiene, cioè l'indirizzo email a cui è stato inviato e un hash del codice, mai il codice in chiaro, viene cancellata automaticamente due giorni dopo. Non prima: quelle stesse righe sono ciò che ci permette di contare quante email abbiamo mandato a un account nelle ultime 24 ore, ed è il freno che impedisce di usare il servizio per sommergere di messaggi l'indirizzo di qualcun altro.

Richieste di reset password: 15 minuti di validità, 48 ore di conservazione

Il link smette di funzionare dopo quindici minuti, al primo uso, o appena la password cambia per altra via. La riga che lo rappresenta, cioè l'account che ha chiesto il reset e un hash del segreto, mai il segreto in chiaro, viene cancellata automaticamente due giorni dopo, e non prima: come per i codici di verifica, sono quelle stesse righe a dirci quanti link abbiamo mandato per un account nelle ultime 24 ore, ed è il freno che impedisce di usare la funzione per sommergere di messaggi l'indirizzo di qualcun altro. Un link scaduto o già usato resta quindi in archivio per il solo conteggio, e non è più utilizzabile da nessuno.

Segnalazioni chiuse: sei mesi

Una segnalazione su un altro utente viene cancellata automaticamente sei mesi dopo che l'amministratore l'ha chiusa. Finché resta aperta non viene cancellata: il tempo non chiude una segnalazione, lo fa solo una decisione. Sei mesi perché la domanda a cui queste righe servono è «è già successo?», e una stagione di gioco è l'arco entro cui quella domanda ha ancora una risposta utile.

Link di invito scaduti o revocati: 30 giorni

Un link di invito che è scaduto, o che il master ha revocato, viene cancellato automaticamente trenta giorni dopo. L'invito o la richiesta che ne è nata resta invece con la tua appartenenza al gruppo: è il modo in cui si sa come sei entrato.

Promemoria inviati: 30 giorni

L'annotazione «a questa persona il promemoria è già stato mandato» viene cancellata trenta giorni dopo il giorno della sessione a cui si riferisce. I promemoria che non riguardano una sessione (il messaggio settimanale sulle disponibilità e il sollecito su un sondaggio di date) vengono cancellati trenta giorni dopo l'invio.

Immagini caricate e mai usate: circa 30 ore

Un file che carichi e che non finisce su nessuna scheda personaggio viene cancellato automaticamente dal server, insieme alla riga di registro descritta al punto 2. Il conto parte da almeno ventiquattro ore dal caricamento, margine deliberatamente ampio perché il rischio da evitare è cancellare un'immagine mentre stai ancora salvando la scheda, e la cancellazione avviene al primo controllo periodico successivo, che gira ogni sei ore. Le immagini effettivamente agganciate a un personaggio non sono toccate: restano finché sei tu a rimuoverle o finché esiste l'account.

Log del server

I registri del server web, che contengono l'indirizzo IP, sono conservati per il tempo necessario alla diagnostica e alla sicurezza e poi ruotati dal sistema.

Quando l'account viene eliminato

La cancellazione svuota l'account invece di farne sparire ogni traccia, e la differenza va spiegata riga per riga.

Vengono cancellati: l'indirizzo email e la data della sua verifica, lo username (sostituito da un codice casuale), il nome visualizzato, la password (sostituita da un valore che nessuno conosce e che nessuno può reimpostare), le disponibilità dichiarate, le notifiche, i codici di verifica, le tue risposte alle convocazioni, l'appartenenza ai gruppi, le iscrizioni push dei tuoi dispositivi (l'indirizzo con cui si farebbe suonare il tuo telefono è esattamente il recapito che la cancellazione deve chiudere), le segnalazioni inviate al gestore e le note inviate al master. Dei personaggi vengono cancellate la descrizione e l'immagine, e il file dell'immagine viene rimosso dal disco insieme alla sua riga nel registro dei caricamenti: sono i due campi che possono contenere qualcosa di reale su di te, un testo libero o una fotografia. Se al momento della cancellazione avevi un'immagine caricata e mai agganciata a una scheda, il suo file e la sua riga di registro spariscono con la pulizia periodica descritta sopra, entro circa trenta ore.

Se al momento della cancellazione avevi chiesto un reset della password e non l'avevi completato, quel link smette immediatamente di funzionare (un account eliminato non è reimpostabile, e nessun link può riportarlo in vita) e la riga che lo rappresenta viene cancellata dalla pulizia periodica entro due giorni, insieme a tutte le altre.

Restano: le schede dei personaggi con il solo nome, classe, razza e livello, messe in archivio; le presenze alle sessioni giocate e le voci di diario che le raccontano; e una riga senza nome, mostrata come «Utente rimosso», a cui tutto questo resta appeso. Quella riga è l'àncora dello storico altrui: le presenze sono registrate sul personaggio, non sull'account, e cancellare i personaggi bucherebbe retroattivamente il diario e i conteggi delle campagne a cui hai partecipato, dati che appartengono anche agli altri giocatori del gruppo, che non hanno chiesto nulla. Nome, classe, razza e livello sono elementi di finzione e restano leggibili nel diario degli altri: se non vuoi che restino, rinominali prima di eliminare l'account. Resta anche la data di iscrizione, arrotondata al giorno perché non possa più essere incrociata con i registri del server.

L'operazione è irreversibile: non è possibile riattivare l'account né rientrarci, e nemmeno un amministratore può assegnargli una nuova password.

7. Come li proteggiamo

Il sito viaggia solo su connessione cifrata (HTTPS). Le password sono conservate come hash bcrypt e non sono leggibili nemmeno da chi gestisce il server. L'accesso è protetto da limiti sul numero di tentativi, per indirizzo IP e per nome utente. Il cookie di sessione non è leggibile dal codice della pagina e viaggia solo su HTTPS. Le pagine dichiarano una Content Security Policy che impedisce l'esecuzione di codice non previsto. Le immagini caricate non stanno in una cartella pubblica: ogni richiesta passa da un controllo che verifica, file per file, che chi la fa condivida davvero la campagna del personaggio ritratto (punto 4), e la risposta è marcata come non memorizzabile da cache condivise, perché dipende da chi ha chiesto.

Quando reimposti la password, le sessioni aperte sugli altri dispositivi vengono chiuse: è ciò a cui serve la data dell'ultimo cambio descritta al punto 2. Qualunque operazione tentata da una di quelle sessioni viene rifiutata subito; la sola navigazione fra le pagine può sopravvivere fino a mezzo minuto, perché il controllo sulla sessione viene rifatto a intervalli. Lo diciamo invece di arrotondare: se hai reimpostato la password perché sospetti che qualcuno sia entrato nel tuo account, quei trenta secondi sono l'unico margine che gli resta, e non può usarli per fare nulla.

Nessuna misura è perfetta. Se ti accorgi di un problema di sicurezza, scrivici all'indirizzo di contatto invece di renderlo pubblico.

9. Le note «anonime» al master: cosa significa davvero

L'applicazione permette di mandare al master della tua campagna una nota presentata come anonima. È importante che tu sappia esattamente cosa vuol dire.

Verso il master, la nota è davvero anonima: le pagine che gliela mostrano leggono soltanto il testo e la data, mai chi l'ha scritta. Non ha modo di saperlo dall'applicazione.

Nel database, però, il collegamento con il tuo account resta. Lo conserviamo per poter intervenire se qualcuno usa questa funzione per insultare o molestare. Chi amministra il server può quindi risalire all'autore di una nota. In termini giuridici la nota è pseudonima, non anonima, e resta un dato personale su cui hai tutti i diritti descritti al punto 10.

C'è un secondo limite, che nessun accorgimento tecnico può togliere: il master viene avvisato appena la nota arriva e ne vede l'orario. In una campagna con pochi giocatori, incrociare l'orario con chi era presente può bastare a indovinare chi ha scritto. Tienine conto prima di affidare a questa funzione qualcosa di delicato.

10. I tuoi diritti, e come esercitarli

Il Regolamento ti riconosce il diritto di sapere quali dati abbiamo su di te e di riceverne copia (art. 15), di farli correggere (art. 16), di farli cancellare (art. 17), di chiederci di limitarne l'uso (art. 18), di riceverli in un formato leggibile da un computer per portarli altrove (art. 20) e di opporti ai trattamenti che facciamo sulla base del legittimo interesse (art. 21).

Cosa puoi fare da solo, subito

Dalle impostazioni del tuo account puoi cambiare il nome visualizzato, l'indirizzo email (con una nuova verifica) e la password, disattivare le notifiche, scaricare i tuoi dati in formato leggibile da un computer ed eliminare l'account. Se la password l'hai dimenticata e non riesci più ad accedere, dalla pagina di accesso puoi chiedere un link di reimpostazione all'indirizzo email collegato all'account. Lo username invece non è modificabile: è il nome con cui gli altri ti riconoscono dentro l'applicazione e con cui accedi; se ti serve cambiarlo, chiedilo all'indirizzo di contatto.

Cosa contiene l'esportazione, e cosa no

Il file scaricabile contiene i dati dell'account, i personaggi, le disponibilità, i gruppi di cui fai parte, le tue risposte alle convocazioni, le presenze registrate, le segnalazioni inviate al gestore, le note inviate al master, le richieste di ruolo e l'elenco dei tuoi caricamenti di immagini con data e dimensione, comprese le immagini caricate e mai agganciate a una scheda, che nessun'altra voce del file nominerebbe. Contiene anche quante richieste di reimpostazione della password sono state fatte per il tuo account e quando, con la data di scadenza e quella dell'eventuale utilizzo di ciascun link, e la data dell'ultimo cambio password: sono lì perché sono il modo in cui puoi accorgerti che qualcuno ha chiesto un reset del tuo account senza essere te. Non contengono il segreto dei link, che non conserviamo, e non risalgono oltre le 48 ore descritte al punto 6, dopo le quali quelle righe sono già state cancellate. Non contiene il testo delle notifiche che hai ricevuto: parlano di altre persone e le nominano, e restituirle qui significherebbe consegnarti dati di terzi. Se ti servono, chiedile all'indirizzo di contatto e le valuteremo caso per caso.

Cosa devi chiederci

Per tutto il resto (limitazione, opposizione, rettifica di un dato che il tuo pannello non espone, o semplicemente per farti aiutare) scrivi a privacy@dndplanner.net dall'indirizzo collegato al tuo account, o dicendoci quale account riguarda la richiesta. Rispondiamo entro un mese; se la richiesta è complicata possiamo prenderci due mesi in più, avvisandoti.

Se non sei soddisfatto

Puoi proporre reclamo al Garante per la protezione dei dati personali (Piazza Venezia 11, 00187 Roma, www.garanteprivacy.it) o rivolgerti all'autorità giudiziaria.

Un limite di cui è giusto essere avvisati, ed è lo stesso descritto al punto 6: cancellare il tuo account non cancella ciò che riguarda il gruppo e non solo te: le sessioni giocate, le presenze registrate, le voci di diario scritte da altri, e i nomi dei personaggi a cui le presenze sono appese. Quei dati restano, ma senza più il collegamento al tuo nome, perché sono anche la memoria di persone diverse da te; l'elenco esatto di ciò che sparisce e di ciò che resta è al punto 6. È il bilanciamento previsto dall'art. 17.3 del Regolamento tra il tuo diritto alla cancellazione e i diritti altrui.

11. Minori

Il servizio non è pensato per bambini. Chi ha meno di quattordici anni non dovrebbe registrarsi da solo: serve che sia un genitore, o chi ne fa le veci, a creare e sorvegliare l'account. Se ci accorgiamo che un account appartiene a un minore di quattordici anni registratosi da solo, lo cancelliamo.

12. Nessuna decisione automatizzata

Non ci sono profilazioni né decisioni prese automaticamente sul tuo conto ai sensi dell'art. 22 del Regolamento. Il calendario incrocia le disponibilità e propone gli orari in cui il gruppo può giocare: è un calcolo su dati che hai inserito tu, non produce effetti giuridici e le decisioni restano del master.

13. Modifiche a questa informativa

Se cambia qualcosa di sostanziale (una nuova finalità, un nuovo fornitore, un tempo di conservazione diverso) aggiorniamo questa pagina e la data in cima. Se il cambiamento ti riguarda da vicino, te lo diciamo anche con una notifica dentro l'applicazione o per email.