Torna al sito

Informativa privacy

Come D&D Planner tratta i dati personali di chi lo usa, ai sensi dell'art. 13 del Regolamento (UE) 2016/679.

Ultimo aggiornamento: 6 settembre 2026

Questa pagina è scritta per essere letta, non per essere firmata. Se qualcosa non è chiaro, o se vuoi sapere esattamente quali dati sono collegati al tuo account, scrivi a privacy@dndplanner.net.

1. Chi tratta i tuoi dati

Il titolare del trattamento è Davide Avolio, persona fisica che gestisce il sito dndplanner.net e l'applicazione D&D Planner. Non è un'azienda: il servizio è gratuito e nasce per organizzare le partite di un gruppo di amici.

Per qualsiasi questione relativa ai dati personali, compreso l'esercizio dei diritti descritti al punto 10, l'indirizzo di contatto è privacy@dndplanner.net.

Non è stato nominato un responsabile della protezione dei dati (DPO): il servizio non rientra in nessuno dei casi in cui l'art. 37 del Regolamento lo rende obbligatorio.

2. Quali dati raccogliamo

L'elenco che segue è completo: sono tutti e soli i dati che l'applicazione salva.

Dati dell'account

Username, nome visualizzato e, per chi si registra da solo, indirizzo email. La password non viene mai salvata: quello che conserviamo è un valore calcolato a partire da essa (hash bcrypt), dal quale la password non è ricavabile. Con questi restano salvati il ruolo (giocatore, master o amministratore), la preferenza sulle notifiche, il tema scelto per l'interfaccia e il fuso orario in cui preferisci leggere gli orari, la data di creazione e di ultima modifica dell'account e la data in cui hai verificato l'email. Gli account creati da un amministratore possono non avere un'email finché non la colleghi tu dalle impostazioni. Se cambi la password, dalle impostazioni o reimpostandola dopo averla dimenticata, salviamo anche la data dell'ultimo cambio: serve a chiudere le sessioni aperte prima di quel momento sugli altri dispositivi (punto 7).Salviamo infine la data dell'ultimo accesso, conservata per chi gestisce il servizio: serve a sapere se un account è ancora in uso, per esempio quando scrivi perché non riesci a entrare. La vede l'amministratore, e la trovi tu nella tua esportazione dei dati; nessun altro. È volutamente approssimativa, perché viene aggiornata al massimo una volta ogni mezz'ora: non teniamo un registro di quando apri l'applicazione, ma un solo valore che viene sovrascritto.Se un amministratore sospende il tuo account, restano salvati la data della sospensione, il motivo scritto dall'amministratore e chi l'ha decisa. Il motivo lo legge solo l'amministratore: i master dei tuoi gruppi vedono unicamente un'etichetta «Sospeso», senza data e senza spiegazione. Togliendo la sospensione il motivo viene cancellato, e nel frattempo nessuno dei tuoi dati era stato rimosso.

La presa visione di questa informativa

Se ti sei registrato da solo, salviamo il momento in cui l'account è stato creato confermando di aver letto questa pagina, e la versione della pagina che ti era stata mostrata (una data, la stessa che leggi qui in alto). Serve a poter dimostrare quale testo ti è stato reso noto, come richiede il Regolamento: senza la versione, dopo una riscrittura dell'informativa non sarebbe più possibile dire quale delle due avevi davanti. Gli account creati da un amministratore non hanno questo dato, perché non passano da questo modulo.

Codici di verifica dell'email

Quando registri o cambi il tuo indirizzo, generiamo un codice a sei cifre valido quindici minuti. Salviamo una copia dell'indirizzo a cui è stato inviato, un hash del codice, il numero di tentativi e la data di scadenza o di utilizzo.

Richieste di reimpostazione della password

Se chiedi di reimpostare la password dimenticata, e l'indirizzo che inserisci corrisponde davvero a un account, salviamo una riga che dice quale account ha chiesto il reset e quando, con la data di scadenza del link e quella dell'eventuale utilizzo. Il segreto contenuto nel link non viene salvato: quello che conserviamo è un valore calcolato a partire da esso (hash bcrypt), dal quale il link non è ricostruibile, esattamente come per la password. Se l'indirizzo che inserisci non corrisponde a nessun account, quella riga non nasce. Restano però due contatori che portano l'indirizzo che hai digitato: uno per un minuto, che impedisce di chiedere due link di fila, e uno per 24 ore, che limita quante email possiamo mandare verso quell'indirizzo. Oltre a questi, solo il contatore sul tuo indirizzo IP descritto più sotto. Il link vale quindici minuti e può essere usato una sola volta; ogni account può chiedere al massimo dieci link al giorno.

Personaggi

Nome, classe, razza, livello, una descrizione libera e un'immagine facoltativa. Puoi aggiungere anche un link alla scheda completa ospitata altrove e delle note private sul personaggio: le note le vedi soltanto tu, non compaiono in nessuna vista di gruppo, e sono testo libero come la descrizione. Accettiamo file JPEG, PNG, GIF o WebP fino a 5 MB; rifiutiamo inoltre, anche sotto i 5 MB, le immagini fisse oltre i 24 megapixel e le GIF animate che superano gli 8 megapixel sommando tutti i fotogrammi. Il file che carichi non viene conservato così com'è: lo riconvertiamo subito in formato WebP, ridotto a un massimo di 1024 pixel sul lato lungo, ed è solo questa versione derivata a essere salvata sul server. Nella riconversione i metadati EXIF vengono eliminati, comprese le coordinate GPS, l'orario di scatto e gli identificativi del dispositivo, che le fotografie da smartphone portano quasi sempre con sé; conserviamo il solo profilo colore ICC, che serve a non alterare i colori dell'immagine. Descrizione e immagine li scegli tu: se ci metti dati personali, tuoi o di altri, per esempio una fotografia di una persona reale, quei dati finiscono nel servizio. Ti chiediamo di non farlo, e in particolare di non caricare immagini di altre persone senza il loro consenso.

Registro dei caricamenti

Di ogni file di immagine che carichi annotiamo, in una riga separata dal personaggio: quale account lo ha caricato, il momento del caricamento, il nome interno del file e la sua dimensione in byte. Serve a due cose concrete: sapere che quel file è tuo (è ciò che impedisce a chiunque altro di cancellarlo nei secondi fra il caricamento e il salvataggio della scheda) e sapere quanto spazio occupa ciò che è stato caricato. Il registro non contiene il contenuto dell'immagine, e non è mostrato a nessun altro utente. Se carichi un'immagine e poi non salvi il personaggio, il file resta orfano: viene cancellato automaticamente, e con lui la sua riga di registro, entro circa trenta ore (una finestra di attesa di 24 ore, più il controllo periodico che gira ogni sei). I file caricati prima dell'introduzione di questo registro non hanno la riga corrispondente: non avremmo modo di sapere chi li ha caricati, e inventarlo sarebbe peggio della lacuna; restano comunque soggetti alla stessa cancellazione automatica se non sono agganciati a nessun personaggio, calcolata in quel caso sulla data del file.

Disponibilità

Le fasce orarie in cui dichiari di essere libero, giorno per giorno e campagna per campagna, oppure come ricorrenza settimanale («il martedì sera sono libero»), con i giorni in cui l'hai tolta. È l'informazione centrale del servizio, ed è anche un dato che racconta le tue abitudini: dice quando sei libero e quando no, e una ricorrenza lo dice più della singola giornata.

Sessioni, risposte e presenze

Le sessioni fissate dal tuo gruppo, con il luogo che il master scrive sulla serata (un posto o un collegamento: può essere l'indirizzo di casa di chi ospita, e lo legge tutto il tavolo), la tua risposta alla convocazione («Ci sarò» / «Non ci sarò»), che può essere segnata anche dal master per tuo conto, e in quel caso ricevi una notifica e puoi cambiarla; se dici che arrivi più tardi, anche l'ora che hai scelto, che il tuo gruppo legge accanto al tuo nome e che sparisce se cambi risposta; la presenza registrata dal master con il personaggio che hai giocato, e l'indicazione che ti è già stato inviato un promemoria: per una certa sessione, per un sondaggio sulle date, o per una certa settimana. Quest'ultima serve solo a non inviartelo due volte. Quando il master apre un sondaggio sulle date, restano salvati la nota che scrive per presentarlo, le date proposte e il voto di ognuno su ciascuna data («quel giorno posso» / «non posso»), che il tavolo legge accanto al tuo nome.

Diario della campagna

Le note che il master scrive sulle sessioni giocate, che il gruppo legge come diario. Sono testo libero e parlano di ciò che è successo al tavolo: possono citare i personaggi degli altri e, se chi scrive lo mette, qualsiasi altra cosa. Sono scritte da una persona e riguardano tutto il gruppo, non solo te.

Notifiche

Il testo delle notifiche che ricevi dentro l'applicazione, con la data e l'indicazione se le hai lette. Alcune contengono il nome visualizzato di altri utenti, perché è di loro che parlano. Le notifiche via email sono facoltative, disattivate di default, attivabili e disattivabili in Impostazioni, e usano l'indirizzo email verificato del tuo account. Quando una notifica ti viene recapitata anche via email o sul telefono, teniamo una riga di consegna: una copia del testo, il canale usato, se il fornitore l'ha accettata e, in caso contrario, l'errore che ci ha restituito. Serve solo a riprovare quando l'invio non riesce, perché prima quel messaggio andava semplicemente perso; non aggiunge destinatari e non esce da dove usciva già. La teniamo per una settimana se la consegna è riuscita e per un mese se non è riuscita, poi viene cancellata.

Notifiche sul telefono (push)

Se attivi le notifiche push su un dispositivo, restano salvati l'indirizzo a cui recapitarle (assegnato dal servizio push del tuo browser, non da noi), le due chiavi pubbliche che il browser ci dà per cifrare il contenuto, un'etichetta del dispositivo ridotta alla sola famiglia («Chrome su Android»: il resto di quello che il browser dichiara non lo conserviamo, perché sarebbe un'impronta), la data in cui l'hai attivato e quella dell'ultima conferma che il dispositivo funziona, registrata all'attivazione e a ogni notifica consegnata, ed è da lì che si contano i sei mesi del punto 6. Attivarle è il consenso e disattivarle lo ritira, dispositivo per dispositivo: non c'è nessun altro interruttore, e se non le attivi da nessuna parte non esiste nessuna di queste righe. L'indirizzo push è fornito dal servizio del tuo browser, cioè Google, Apple o Mozilla a seconda di quale usi, e il punto 4 spiega cosa quel servizio vede.

Feed del calendario

Se dalle impostazioni generi un indirizzo per il calendario, quella URL mostra le tue sessioni a chiunque la conosca, senza chiedere l'accesso: è fatta per essere incollata in Google Calendar, in Apple Calendario o in un'altra applicazione, che la rileggerà da sola ogni tanto. Contiene le sessioni dei tuoi gruppi dell'ultimo mese e quelle future, con data, orario, stato, luogo, titolo, nome del gruppo e della campagna e la tua risposta alla convocazione; non contiene mai il diario delle serate né le risposte degli altri. Di quell'indirizzo non conserviamo il codice: quello che salviamo è un valore calcolato a partire da esso, dal quale l'indirizzo non è ricostruibile, e per questo te lo mostriamo una volta sola, al momento in cui lo generi. Puoi spegnerlo quando vuoi, e da quel momento la vecchia URL non risponde più; smette di rispondere anche se il tuo account viene sospeso o eliminato. Il punto 4 dice cosa vede il fornitore di calendario che scegli tu.

Segnalazioni e richieste

Le segnalazioni di bug o le proposte che invii agli amministratori, con il tuo nome; le note che invii al master della tua campagna, per le quali vale quanto spiegato al punto 9; le richieste di diventare master, con il messaggio facoltativo che le accompagna.

Segnalazioni su altri utenti

Se segnali una persona con cui giochi, restano salvati chi hai segnalato, il motivo che hai scelto, quello che hai scritto, il tavolo a cui ti riferivi e la data. Le legge solo l'amministratore del sito: né il master né la persona segnalata ricevono una notifica o possono vederle. Nella tua esportazione dei dati trovi per intero le segnalazioni che hai scritto tu; di quelle che riguardano te trovi soltanto quante sono e quando sono arrivate, perché il testo e l'identità di chi le ha scritte sono dati di un'altra persona.

Inviti ai gruppi e link di invito

Quando un master ti invita in un gruppo, o quando sei tu a chiedere di entrarci aprendo un link di invito, resta salvato a quale gruppo, quando, come sei arrivato (invito diretto o link) e chi ti ha ammesso, oltre alla risposta. Del link in sé conserviamo il gruppo a cui porta, la scadenza, l'eventuale numero massimo di richieste, quante ne ha ricevute e chi lo ha creato; il codice contenuto nell'indirizzo non viene salvato: quello che conserviamo è un valore calcolato a partire da esso, dal quale il link non è ricostruibile, come per la password. Chi apre un link, finché il master non lo accetta, vede soltanto il nome del gruppo e quello della campagna: mai i membri, mai i loro nomi, mai le loro disponibilità.

Quando non puoi giocare

I blocchi «occupato» che segni per te (giorno, orario e un'etichetta facoltativa come «Palestra»), con le eventuali ricorrenze settimanali che li generano. Valgono per tutte le tue campagne. Gli altri non li vedono: nel calendario di gruppo risulti semplicemente non disponibile in quelle ore, senza etichetta e senza motivo, esattamente come se non avessi mai segnato quella fascia come libera. Se dici che sei via per un periodo intero, restano registrati il primo e l'ultimo giorno, l'etichetta che gli dai e i blocchi a giornata intera che ne nascono.

Chi ha fatto cosa

Di parecchie operazioni resta registrato chi le ha fatte: chi ha creato una fascia in cui il master non può o una pausa della campagna, chi ha pianificato una sessione, chi ha aperto un sondaggio sulle date, chi ha chiuso una segnalazione e con quale risposta, e chi ha deciso una richiesta di diventare master. Serve a sapere a chi chiedere conto di una decisione che riguarda il tavolo.

Indirizzo IP

Il tuo indirizzo IP viene usato per contare i tentativi di accesso, di registrazione, di reimpostazione della password e le richieste di entrare in un gruppo tramite link, e fermare gli abusi. Ogni contatore è una riga nel database, e nel proprio nome porta il tuo indirizzo IP, in un caso insieme allo username che hai digitato per accedere, oppure l'indirizzo email che hai scritto nel modulo di registrazione o di reimpostazione, a seconda di cosa quel contatore sta proteggendo. La riga vive quanto la finestra di conteggio: da un minuto a un giorno. Chiusa la finestra la riga non conta più nulla, e una pulizia automatica che passa ogni dieci minuti la cancella. L'indirizzo IP compare inoltre nei registri (log) del server web, insieme alla data e alla pagina richiesta, come su qualsiasi sito.

Non chiediamo e non trattiamo deliberatamente le categorie particolari di dati previste dall'art. 9 del Regolamento, cioè salute, convinzioni religiose o politiche, orientamento sessuale e simili. Nulla nell'applicazione le richiede; se finissero in un campo libero o in un'immagine, ci finirebbero per scelta di chi scrive.

3. Perché li trattiamo, e con quale base giuridica

Farti avere un account e far funzionare il servizio

Registrazione, accesso, calendario delle disponibilità, pianificazione delle sessioni, personaggi, diario, notifiche e promemoria. Base giuridica: esecuzione del contratto (art. 6.1.b). Sono le funzioni per cui il servizio esiste: senza questi dati non c'è servizio.

Verificare che l'indirizzo email sia tuo

L'invio del codice a sei cifre e la sua verifica. Base giuridica: esecuzione del contratto (art. 6.1.b), perché l'email è il canale con cui il servizio ti raggiunge, e legittimo interesse (art. 6.1.f) a non lasciare che un account venga collegato a un indirizzo altrui.

Farti rientrare nel tuo account se dimentichi la password

La generazione del link di reimpostazione, la sua verifica e il cambio della password. Base giuridica: esecuzione del contratto (art. 6.1.b), perché senza un modo di rientrare un account dimenticato è un servizio che si interrompe, e legittimo interesse (art. 6.1.f) alla sicurezza degli account, che è ciò che giustifica il limite di dieci richieste al giorno e la chiusura delle altre sessioni dopo un reset riuscito.

Scriverti quando succede qualcosa al tuo account

Sei messaggi, e nessun altro: il codice di verifica; l'avviso che l'email dell'account è stata cambiata; l'avviso che qualcuno ha provato a registrarsi con il tuo indirizzo; il link per reimpostare la password; l'avviso che la password è stata cambiata, che ricevi a reset completato; e il messaggio di cortesia che diciamo a chi ha chiesto un reset per un indirizzo a cui non corrisponde nessun account. Base giuridica: esecuzione del contratto per quelli che riguardano il tuo account, legittimo interesse alla sicurezza degli account per i due che possono raggiungere anche chi nostro utente non è (l'avviso di registrazione duplicata e quello appena descritto), che esistono proprio per avvertirlo di qualcosa fatto a suo nome.

Tenere il servizio sicuro

Limiti al numero di accessi, registrazioni, invii di email e caricamenti di immagini; log del server; conservazione del legame tra una nota anonima e chi l'ha scritta, per poter fermare chi ne abusa (punto 9); conservazione del legame fra un file di immagine e chi lo ha caricato (punto 2), che è ciò che impedisce a un utente di cancellare il caricamento di un altro. Base giuridica: legittimo interesse (art. 6.1.f) a proteggere gli account degli utenti e l'infrastruttura. L'interesse è stato bilanciato con i tuoi diritti: i dati usati a questo scopo sono i meno possibili e i contatori non sono conservati stabilmente.

Rispondere alle tue segnalazioni

Bug, proposte, richieste di diventare master, e le risposte che ricevi. Base giuridica: esecuzione del contratto e legittimo interesse a migliorare il servizio.

Un solo trattamento si fonda sul consenso: le notifiche push (punto 2). Lo presti attivandole su un dispositivo e lo ritiri disattivandole, dispositivo per dispositivo, senza dover dare spiegazioni e senza conseguenze sul resto del servizio: le notifiche continuano ad arrivarti dentro l'applicazione. Tutto il resto non si fonda sul consenso, e non facciamo marketing, profilazione o statistiche di navigazione. La casella che spunti quando ti registri non è un consenso al trattamento: è la conferma che hai potuto leggere questa informativa prima di iscriverti, come prevede l'art. 13.

4. Chi vede i tuoi dati

Gli altri utenti

Chi fa parte del tuo gruppo, e il master della tua campagna, vedono il tuo nome visualizzato, le tue disponibilità, i tuoi personaggi di quella campagna, le tue risposte alle convocazioni e le tue presenze. È il senso di un calendario condiviso.

Chi può vedere l'immagine di un personaggio

Non basta avere un account: l'immagine di un personaggio viene mostrata soltanto a chi ha un rapporto con quel personaggio: chi lo ha creato, il master della sua campagna, chi fa parte di uno dei gruppi di quella campagna, e gli amministratori del servizio. A chiunque altro la richiesta viene rifiutata, anche se conosce l'indirizzo esatto del file. C'è una sola eccezione, ed è a tuo favore: un'immagine che hai appena caricato e non hai ancora salvato su una scheda la vedi tu, perché sei chi l'ha caricata.

Gli amministratori del servizio

Hanno accesso ai dati di tutti gli account, perché gestiscono utenti, campagne e gruppi.

Resend, invio delle email

Le email descritte al punto 3 vengono spedite tramite Resend, un fornitore statunitense che agisce come responsabile del trattamento. Riceve il tuo indirizzo e il testo del messaggio. Vedi il punto 5 per il trasferimento fuori dall'Unione europea.

Il servizio push del tuo browser

Se hai attivato le notifiche sul telefono, per recapitarle passiamo dal servizio push del browser che usi: Google per Chrome e i browser che ne derivano, Apple per Safari, Mozilla per Firefox. Non lo scegliamo noi ed è già installato sul tuo dispositivo. Quel servizio vede a quale dispositivo stiamo mandando una notifica e quando, ma non cosa contiene: il testo viene cifrato qui e può essere aperto solo dal tuo browser. Vale solo per i dispositivi su cui hai attivato le notifiche: se non le attivi, questo servizio non viene mai contattato per te.

Il fornitore di calendario che scegli tu

Se generi l'indirizzo per il calendario descritto al punto 2 e lo incolli in Google Calendar, in Apple Calendario o in un'altra applicazione, quel fornitore scarica periodicamente le tue sessioni: date, orari, luogo, titolo, stato della serata, la tua risposta alla convocazione e nome del gruppo e della campagna. Non lo scegliamo noi e non abbiamo modo di sapere chi è: lo decidi tu quando incolli l'indirizzo. Se non generi quell'indirizzo, o se lo spegni, questo non accade.

Il fornitore di hosting

L'applicazione e il suo database girano su un server virtuale affittato presso Aruba, in Italia. Il fornitore agisce come responsabile del trattamento e non usa i dati per fini propri.

Il servizio di inoltro dell'indirizzo di contatto

privacy@dndplanner.net non è una casella ma un alias: le email che ci scrivi passano da ImprovMX, che le recapita alla casella personale del titolare. Quel servizio vede il contenuto del messaggio, come qualsiasi intermediario di posta.

Fuori da questo elenco non c'è nessun altro. In particolare: nessuno strumento di statistica o di analisi del traffico, nessuna rete pubblicitaria, nessun pulsante social, nessuna rete di distribuzione di contenuti. Anche i caratteri tipografici del sito sono ospitati sul nostro server e non su quello di Google, quindi il tuo browser non contatta nessun terzo mentre navighi qui. I dati non vengono venduti né ceduti a terzi. Potremmo doverli comunicare all'autorità giudiziaria se la legge ce lo impone.

5. Dove sono trattati, e se escono dall'Unione europea

Il database e i file caricati stanno su un server in Italia. Non escono di lì.

L'unica eccezione sono le email: per spedirle il tuo indirizzo e il testo del messaggio vengono trasmessi a Resend, che ha sede negli Stati Uniti. È un trasferimento verso un paese terzo ai sensi del capo V del Regolamento, e riguarda solo l'indirizzo email e il contenuto delle comunicazioni di servizio elencate al punto 3: per questa via non passano mai le tue disponibilità, i tuoi personaggi o le tue sessioni. Il link di reimpostazione della password passa da lì come ogni altro messaggio: è la ragione per cui vale pochi minuti e una volta sola.

C'è una seconda eccezione, e la scegli tu: se attivi le notifiche sul telefono, l'indirizzo del tuo dispositivo e il momento in cui ti mandiamo una notifica passano dal servizio push del tuo browser (Google, Apple o Mozilla), che quasi sempre si trova fuori dall'Unione europea. Il contenuto della notifica no: viene cifrato prima di partire e quel servizio non è in grado di leggerlo. Se non attivi le notifiche su nessun dispositivo questo trasferimento non avviene affatto, e disattivarle lo fa cessare.

C'è una terza eccezione, e vale la stessa cosa: se generi l'indirizzo per il calendario e lo incolli in un'applicazione di calendario, le sessioni che quell'indirizzo espone vengono scaricate dai server del fornitore che hai scelto, che può trovarsi fuori dall'Unione europea: è il caso di Google e di Apple. Quale sia quel fornitore lo decidi tu, e noi non lo sappiamo. Se non generi quell'indirizzo, o se lo spegni, il trasferimento non avviene.

Che garanzia copre questo trasferimento. Resend agisce come responsabile del trattamento sulla base di un accordo (Data Processing Addendum) che si perfeziona automaticamente con l'accettazione delle sue condizioni contrattuali, senza bisogno di una firma separata. Quell'accordo incorpora le clausole contrattuali tipo adottate dalla Commissione europea (il Modulo Due, cioè quello previsto proprio per il rapporto fra titolare e responsabile), che sono la garanzia adeguata prevista dall'art. 46 del Regolamento. Resend dichiara inoltre la propria certificazione nell'ambito dello EU-U.S. Data Privacy Framework presso il Dipartimento del Commercio degli Stati Uniti, cioè il quadro coperto dalla decisione di adeguatezza della Commissione (art. 45). Il trasferimento ha quindi due basi indipendenti: la decisione di adeguatezza, e le clausole contrattuali tipo come garanzia di riserva se quella decisione dovesse venire meno.

Il testo dell'accordo e l'elenco aggiornato dei sub-responsabili di cui Resend si avvale sono pubblicati dal fornitore stesso, rispettivamente su resend.com/legal/dpa e resend.com/legal/subprocessors.

Il fornitore di hosting, invece, non comporta alcun trasferimento: è nominato responsabile del trattamento dalle condizioni contrattuali accettate al momento della sottoscrizione, come richiede l'art. 28 del Regolamento, e l'infrastruttura su cui gira l'applicazione resta nello Spazio economico europeo, nel nostro caso in Italia, come detto in apertura di questo punto.

Resta un solo punto in verifica, e riguarda soltanto chi ci scrive: l'alias privacy@dndplanner.net passa da un servizio di inoltro (punto 3), e il titolare sta accertando dove quel servizio tratti i messaggi. Non riguarda i dati del tuo account, ma solo il contenuto delle email che invii a quell'indirizzo.

6. Per quanto tempo li conserviamo

Finché hai un account

I dati del profilo, i personaggi, le disponibilità, le sessioni e le presenze restano finché l'account esiste: sono il contenuto stesso del servizio, e cancellarli mentre lo usi significherebbe svuotare il calendario del tuo gruppo.

Notifiche: 30 o 90 giorni

Le notifiche che hai letto vengono cancellate automaticamente trenta giorni dopo essere state create; tutte le altre dopo novanta, lette o no. I due termini si contano dalla creazione della notifica, non dal momento in cui la apri.

Notifiche sul telefono: finché il dispositivo le riceve

L'iscrizione di un dispositivo resta finché quel dispositivo riceve le notifiche. Viene cancellata subito se il servizio push ci risponde che non esiste più (è quello che succede se revochi il permesso, svuoti i dati del sito o cambi telefono), dopo alcuni tentativi consecutivi andati a vuoto, e in ogni caso dopo sei mesi senza che quel dispositivo dia più segno di funzionare, contati dall'attivazione se nel frattempo non ti è arrivata nessuna notifica. Puoi cancellarla tu in qualsiasi momento con «Disattiva su questo dispositivo».

Codici di verifica: 15 minuti di validità, 48 ore di conservazione

Il codice smette di funzionare dopo quindici minuti o al primo uso. La riga che lo contiene, cioè l'indirizzo email a cui è stato inviato e un hash del codice, mai il codice in chiaro, viene cancellata automaticamente due giorni dopo. Non prima: quelle stesse righe sono ciò che ci permette di contare quante email abbiamo mandato a un account nelle ultime 24 ore, ed è il freno che impedisce di usare il servizio per sommergere di messaggi l'indirizzo di qualcun altro.

Richieste di reset password: 15 minuti di validità, 48 ore di conservazione

Il link smette di funzionare dopo quindici minuti, al primo uso, o appena la password cambia per altra via. La riga che lo rappresenta, cioè l'account che ha chiesto il reset e un hash del segreto, mai il segreto in chiaro, viene cancellata automaticamente due giorni dopo, e non prima: come per i codici di verifica, sono quelle stesse righe a dirci quanti link abbiamo mandato per un account nelle ultime 24 ore, ed è il freno che impedisce di usare la funzione per sommergere di messaggi l'indirizzo di qualcun altro. Un link scaduto o già usato resta quindi in archivio per il solo conteggio, e non è più utilizzabile da nessuno.

Segnalazioni chiuse: sei mesi

Una segnalazione su un altro utente viene cancellata automaticamente sei mesi dopo che l'amministratore l'ha chiusa. Finché resta aperta non viene cancellata: il tempo non chiude una segnalazione, lo fa solo una decisione. Sei mesi perché la domanda a cui queste righe servono è «è già successo?», e una stagione di gioco è l'arco entro cui quella domanda ha ancora una risposta utile.

Link di invito scaduti o revocati: 30 giorni

Un link di invito che è scaduto, o che il master ha revocato, viene cancellato automaticamente trenta giorni dopo. L'invito o la richiesta che ne è nata resta invece con la tua appartenenza al gruppo: è il modo in cui si sa come sei entrato.

Promemoria inviati: 30 giorni

L'annotazione «a questa persona il promemoria è già stato mandato» viene cancellata trenta giorni dopo il giorno della sessione a cui si riferisce. I promemoria che non riguardano una sessione (il messaggio settimanale sulle disponibilità e il sollecito su un sondaggio di date) vengono cancellati trenta giorni dopo l'invio.

Immagini caricate e mai usate: circa 30 ore

Un file che carichi e che non finisce su nessuna scheda personaggio viene cancellato automaticamente dal server, insieme alla riga di registro descritta al punto 2. Il conto parte da almeno ventiquattro ore dal caricamento, margine deliberatamente ampio perché il rischio da evitare è cancellare un'immagine mentre stai ancora salvando la scheda, e la cancellazione avviene al primo controllo periodico successivo, che gira ogni sei ore. Le immagini effettivamente agganciate a un personaggio non sono toccate: restano finché sei tu a rimuoverle o finché esiste l'account.

Indirizzo per il calendario: finché non lo spegni

L'indirizzo che generi per il calendario non scade da solo: resta valido finché sei tu a spegnerlo dalle impostazioni, o finché l'account viene sospeso o eliminato. Non scade perché un'applicazione di calendario iscritta a un indirizzo che smette di rispondere di solito smette di chiedere e basta, senza dirti niente.

Log del server

I registri del server web, che contengono l'indirizzo IP, sono conservati per il tempo necessario alla diagnostica e alla sicurezza e poi ruotati dal sistema.

Quando l'account viene eliminato

La cancellazione svuota l'account invece di farne sparire ogni traccia, e la differenza va spiegata riga per riga.

Vengono cancellati, sulla riga del tuo account: l'indirizzo email e la data della sua verifica, lo username (sostituito da un codice casuale), il nome visualizzato, la password (sostituita da un valore che nessuno conosce e che nessuno può reimpostare) e la data del suo ultimo cambio, la data dell'ultimo accesso, il tema e il fuso orario che avevi scelto, il motivo di un'eventuale sospensione e il nome di chi l'aveva decisa, e l'indirizzo per il calendario, che da quel momento non risponde più a nessuno.

Spariscono insieme all'account: le disponibilità dichiarate e le disponibilità ricorrenti; i blocchi «occupato», le ricorrenze che li generavano e i periodi in cui avevi detto di essere via; le tue risposte alle convocazioni, compresa l'ora d'arrivo che avevi indicato; i tuoi voti sui sondaggi di date; le notifiche che avevi ricevuto e le righe di consegna delle loro copie via email e sul telefono; le iscrizioni push dei tuoi dispositivi (l'indirizzo con cui si farebbe suonare il tuo telefono è esattamente il recapito che la cancellazione deve chiudere); i codici di verifica dell'email e le richieste di reimpostazione della password; il registro dei tuoi caricamenti di immagini; l'appartenenza ai gruppi, gli inviti che avevi ricevuto e le richieste di ingresso che avevi fatto; le annotazioni sui promemoria che ti erano già stati inviati; le segnalazioni di bug e le proposte che avevi mandato al gestore; le note che avevi mandato al master; le richieste di diventare master. Se avevi aperto un sondaggio sulle date, viene cancellata anche la nota con cui lo avevi presentato, mentre le date proposte restano al tavolo.

Dei personaggi vengono cancellate la descrizione, l'immagine, le note private e il link alla scheda esterna, e il file dell'immagine viene rimosso dal disco insieme alla sua riga nel registro dei caricamenti: sono i campi che possono contenere qualcosa di reale su di te, un testo libero, un indirizzo altrove o una fotografia. Se al momento della cancellazione avevi un'immagine caricata e mai agganciata a una scheda, la sua riga di registro sparisce subito con l'account e il file viene tolto dal disco dalla pulizia periodica descritta sopra, entro circa trenta ore.

Se al momento della cancellazione avevi chiesto un reset della password e non l'avevi completato, quel link smette immediatamente di funzionare (un account eliminato non è reimpostabile, e nessun link può riportarlo in vita) e la riga che lo rappresenta viene cancellata insieme all'account.

Restano: le schede dei personaggi con il solo nome, classe, razza e livello, messe in archivio; le presenze alle sessioni giocate e le voci di diario che le raccontano; e una riga senza nome, mostrata come «Utente rimosso», a cui tutto questo resta appeso. Quella riga è l'àncora dello storico altrui: le presenze sono registrate sul personaggio, non sull'account, e cancellare i personaggi bucherebbe retroattivamente il diario e i conteggi delle campagne a cui hai partecipato, dati che appartengono anche agli altri giocatori del gruppo, che non hanno chiesto nulla. Nome, classe, razza e livello sono elementi di finzione e restano leggibili nel diario degli altri: se non vuoi che restino, rinominali prima di eliminare l'account. Resta anche la data di iscrizione, arrotondata al giorno perché non possa più essere incrociata con i registri del server, e la versione di questa informativa che ti era stata mostrata, che è ciò con cui possiamo dimostrare quale testo avevi letto.

Restano anche tre cose che è giusto nominare una per una. Le segnalazioni fra utenti: quelle che hai scritto su un'altra persona restano con il loro testo, ma senza più il tuo nome attaccato, e quelle che riguardano te restano intere, perché sono il fascicolo di chi le ha scritte; le une e le altre vengono cancellate sei mesi dopo che l'amministratore le ha chiuse, e finché restano aperte non vengono cancellate. La data di un'eventuale sospensione: il motivo e il nome di chi l'aveva decisa spariscono, la data no, altrimenti la riga che resta si leggerebbe come un account in perfetta regola. Il tuo nome dentro le notifiche già arrivate ad altre persone: quelle righe sono dati loro, e seguono la loro scadenza, cioè trenta giorni se le hanno lette e novanta altrimenti.

L'operazione è irreversibile: non è possibile riattivare l'account né rientrarci, e nemmeno un amministratore può assegnargli una nuova password.

7. Come li proteggiamo

Il sito viaggia solo su connessione cifrata (HTTPS). Le password sono conservate come hash bcrypt e non sono leggibili nemmeno da chi gestisce il server. L'accesso è protetto da limiti sul numero di tentativi, per indirizzo IP e per nome utente. Il cookie di sessione non è leggibile dal codice della pagina e viaggia solo su HTTPS. Le pagine dichiarano una Content Security Policy che impedisce l'esecuzione di codice non previsto. Le immagini caricate non stanno in una cartella pubblica: ogni richiesta passa da un controllo che verifica, file per file, che chi la fa condivida davvero la campagna del personaggio ritratto (punto 4), e la risposta è marcata come non memorizzabile da cache condivise, perché dipende da chi ha chiesto.

Quando reimposti la password, le sessioni aperte sugli altri dispositivi vengono chiuse: è ciò a cui serve la data dell'ultimo cambio descritta al punto 2. Qualunque operazione tentata da una di quelle sessioni viene rifiutata subito; la sola navigazione fra le pagine può sopravvivere fino a mezzo minuto, perché il controllo sulla sessione viene rifatto a intervalli. Lo diciamo invece di arrotondare: se hai reimpostato la password perché sospetti che qualcuno sia entrato nel tuo account, quei trenta secondi sono l'unico margine che gli resta, e non può usarli per fare nulla.

Nessuna misura è perfetta. Se ti accorgi di un problema di sicurezza, scrivici all'indirizzo di contatto invece di renderlo pubblico.

9. Le note «anonime» al master: cosa significa davvero

L'applicazione permette di mandare al master della tua campagna una nota presentata come anonima. È importante che tu sappia esattamente cosa vuol dire.

Verso il master, la nota è davvero anonima: le pagine che gliela mostrano leggono soltanto il testo e la data, mai chi l'ha scritta. Non ha modo di saperlo dall'applicazione.

Nel database, però, il collegamento con il tuo account resta. Lo conserviamo per poter intervenire se qualcuno usa questa funzione per insultare o molestare. Chi amministra il server può quindi risalire all'autore di una nota. In termini giuridici la nota è pseudonima, non anonima, e resta un dato personale su cui hai tutti i diritti descritti al punto 10.

C'è un secondo limite, che nessun accorgimento tecnico può togliere: il master viene avvisato appena la nota arriva e ne vede l'orario. In una campagna con pochi giocatori, incrociare l'orario con chi era presente può bastare a indovinare chi ha scritto. Tienine conto prima di affidare a questa funzione qualcosa di delicato.

10. I tuoi diritti, e come esercitarli

Il Regolamento ti riconosce il diritto di sapere quali dati abbiamo su di te e di riceverne copia (art. 15), di farli correggere (art. 16), di farli cancellare (art. 17), di chiederci di limitarne l'uso (art. 18), di riceverli in un formato leggibile da un computer per portarli altrove (art. 20) e di opporti ai trattamenti che facciamo sulla base del legittimo interesse (art. 21).

Cosa puoi fare da solo, subito

Dalle impostazioni del tuo account puoi cambiare il nome visualizzato, l'indirizzo email (con una nuova verifica) e la password, disattivare le notifiche, scaricare i tuoi dati in formato leggibile da un computer ed eliminare l'account. Se la password l'hai dimenticata e non riesci più ad accedere, dalla pagina di accesso puoi chiedere un link di reimpostazione all'indirizzo email collegato all'account. Lo username invece non è modificabile: è il nome con cui gli altri ti riconoscono dentro l'applicazione e con cui accedi; se ti serve cambiarlo, chiedilo all'indirizzo di contatto.

Cosa contiene l'esportazione, e cosa no

Il file scaricabile contiene i dati dell'account, i personaggi, le disponibilità (comprese quelle ricorrenti, con i giorni in cui le hai tolte), i gruppi di cui fai parte, le tue risposte alle convocazioni, i tuoi voti sui sondaggi di date e i sondaggi che hai aperto tu, le presenze registrate, gli inviti ai gruppi che hai ricevuto e le richieste di ingresso che hai fatto, i link di invito che hai creato, le ricorrenze dei blocchi «occupato», i periodi in cui hai detto di essere via e i singoli blocchi «occupato», le segnalazioni inviate al gestore con la risposta che hai ricevuto, i dispositivi su cui hai attivato le notifiche sul telefono, le note inviate al master, le richieste di ruolo, gli indirizzi a cui abbiamo mandato un codice di verifica con le relative date, le fasce «il master non può» e le pause che hai creato tu, e l'elenco dei tuoi caricamenti di immagini con data e dimensione, comprese le immagini caricate e mai agganciate a una scheda, che nessun'altra voce del file nominerebbe. Contiene anche quante richieste di reimpostazione della password sono state fatte per il tuo account e quando, con la data di scadenza e quella dell'eventuale utilizzo di ciascun link, e la data dell'ultimo cambio password: sono lì perché sono il modo in cui puoi accorgerti che qualcuno ha chiesto un reset del tuo account senza essere te. Non contengono il segreto dei link, che non conserviamo, e non risalgono oltre le 48 ore descritte al punto 6, dopo le quali quelle righe sono già state cancellate. Non contiene il testo delle notifiche che hai ricevuto: parlano di altre persone e le nominano, e restituirle qui significherebbe consegnarti dati di terzi. Se ti servono, chiedile all'indirizzo di contatto e le valuteremo caso per caso.

Cosa devi chiederci

Per tutto il resto (limitazione, opposizione, rettifica di un dato che il tuo pannello non espone, o semplicemente per farti aiutare) scrivi a privacy@dndplanner.net dall'indirizzo collegato al tuo account, o dicendoci quale account riguarda la richiesta. Rispondiamo entro un mese; se la richiesta è complicata possiamo prenderci due mesi in più, avvisandoti.

Se non sei soddisfatto

Puoi proporre reclamo al Garante per la protezione dei dati personali (Piazza Venezia 11, 00187 Roma, www.garanteprivacy.it) o rivolgerti all'autorità giudiziaria.

Un limite di cui è giusto essere avvisati, ed è lo stesso descritto al punto 6: cancellare il tuo account non cancella ciò che riguarda il gruppo e non solo te: le sessioni giocate, le presenze registrate, le voci di diario scritte da altri, e i nomi dei personaggi a cui le presenze sono appese. Quei dati restano, ma senza più il collegamento al tuo nome, perché sono anche la memoria di persone diverse da te; l'elenco esatto di ciò che sparisce e di ciò che resta è al punto 6. È il bilanciamento previsto dall'art. 17.3 del Regolamento tra il tuo diritto alla cancellazione e i diritti altrui.

11. Minori

Il servizio non è pensato per bambini. Chi ha meno di quattordici anni non dovrebbe registrarsi da solo: serve che sia un genitore, o chi ne fa le veci, a creare e sorvegliare l'account. Se ci accorgiamo che un account appartiene a un minore di quattordici anni registratosi da solo, lo cancelliamo.

12. Nessuna decisione automatizzata

Non ci sono profilazioni né decisioni prese automaticamente sul tuo conto ai sensi dell'art. 22 del Regolamento. Il calendario incrocia le disponibilità e propone gli orari in cui il gruppo può giocare: è un calcolo su dati che hai inserito tu, non produce effetti giuridici e le decisioni restano del master.

13. Modifiche a questa informativa

Se cambia qualcosa di sostanziale (una nuova finalità, un nuovo fornitore, un tempo di conservazione diverso) aggiorniamo questa pagina e la data in cima. Se il cambiamento ti riguarda da vicino, te lo diciamo anche con una notifica dentro l'applicazione o per email.