Informativa sulla privacy

Fa fede la versione tedesca. Deutsch

La presente informativa sulla privacy si applica al sito web nixstein.ai-design-thinking.de e all'app NixStein per Android. Descrive quali dati personali trattiamo, per quale finalità e su quale base giuridica (art. 13 GDPR).

1. Titolare del trattamento

Victor von Rautenberg
Pfarrer-Theile-Str. 97
13591 Berlin
Germania

E-mail: admin@ai-design-thinking.de

Non abbiamo nominato un responsabile della protezione dei dati; non vi è alcun obbligo in tal senso.

2. Hosting

Il sito web e il server dell'app sono ospitati su un server presso Hostinger (centro dati in Germania). La controparte contrattuale è Hostinger International Ltd., 61 Lordou Vironos str., 6023 Larnaka, Cipro. Hostinger tratta i dati esclusivamente per nostro conto (trattamento su incarico ai sensi dell'art. 28 GDPR).

3. Visita del sito web

A ogni accesso il server tratta dati tecnicamente necessari:

• indirizzo IP
• data e ora
• indirizzo richiesto (URL) e codice di stato
• identificativo del browser (user agent)

Questi dati sono registrati in un log di accesso che viene cancellato dopo 48 ore; i dati di accesso vengono oscurati nel log. La finalità è un funzionamento sicuro e stabile, in particolare la difesa da attacchi. La base giuridica è l'art. 6, par. 1, lett. f) GDPR; il nostro legittimo interesse è proprio tale funzionamento sicuro.

Per protezione da abusi, un indirizzo IP viene bloccato temporaneamente, per un massimo di 2 ore, in caso di un numero anomalo di richieste o di ripetuti tentativi falliti.

Il sito web non imposta cookie pubblicitari o di analisi e non memorizza nulla nel Suo browser (nemmeno Local Storage). Unica eccezione: se sceglie «Accedi con Google», il nostro server imposta, per la durata della procedura di accesso, un cookie di breve durata e tecnicamente necessario (valido 10 minuti, solo per il percorso /api/v1/auth/google) per associare in modo sicuro l’accesso al Suo browser. Per questo non è necessario il consenso (§ 25 Abs. 2 Nr. 2 TDDDG, disposizione della legge tedesca sulla protezione dei dati nelle telecomunicazioni e nei servizi digitali). Non vi sono servizi di analisi o statistica, pubblicità, plugin di social media né contenuti di terzi; i caratteri, le immagini e gli script provengono dal nostro server.

4. Registrazione (sito web e app)

Per un account trattiamo:

• il nome da Lei indicato come detentore
• il Suo indirizzo e-mail
• la Sua data di nascita
• la lingua scelta
• il momento del Suo consenso alla presente informativa sulla privacy

Le inviamo un'e-mail con un link di conferma (double opt-in). L'account è confermato solo con il clic; gli account non confermati vengono da noi cancellati dopo 7 giorni. La data di nascita serve solo alla verifica dell'età: NixStein è consentita a partire dai 16 anni (art. 8 GDPR). Per l'accesso da un altro dispositivo Le inviamo, su richiesta, un codice di accesso via e-mail.

La base giuridica è l'art. 6, par. 1, lett. b) GDPR (fornitura di account e app). Senza questi dati non possiamo creare un account.

Come prova del Suo consenso e della conferma (double opt-in) conserviamo l'indirizzo IP e il momento della registrazione e della conferma fino a quando Lei elimina il Suo account. La base giuridica è l'art. 6, par. 1, lett. c) GDPR in combinato disposto con l'art. 7, par. 1 GDPR (obbligo di prova) ovvero l'art. 6, par. 1, lett. f) GDPR (prova e difesa da abusi).

A ogni nuova registrazione il gestore riceve una notifica interna via e-mail con i dati di registrazione (nome, indirizzo e-mail, data di nascita, lingua, fonte – sito web o app –, momento e indirizzo IP). Essa serve all'assistenza e alla difesa da abusi; la base giuridica è l'art. 6, par. 1, lett. f) GDPR. Viene recapitata tramite il server di posta di Hostinger alla casella di posta del gestore.

Accesso con Google: invece di utilizzare il modulo, può accedere con il Suo account Google. Solo quando fa clic su «Accedi con Google» viene reindirizzato a Google; prima non viene stabilita alcuna connessione con Google. Il fornitore è Google Ireland Limited, Gordon House, Barrow Street, Dublino 4, Irlanda. Da Google riceviamo solo il Suo identificativo Google, il Suo indirizzo e-mail, il Suo nome e l’indicazione se l’indirizzo e-mail è confermato. Se esiste già un account con tale indirizzo e-mail, lo colleghiamo ad esso.

La base giuridica è l’art. 6, par. 1, lett. b) GDPR. Per il trattamento da parte di Google si applica la relativa informativa sulla privacy: https://policies.google.com/privacy

5. L'app

• Pietre e catena dei detentori: per ogni pietra memorizziamo a chi appartiene e da quando, nonché gli occhi indossati. I successivi detentori di una pietra vedono i nomi dei detentori precedenti. Se elimina il Suo account, al Suo posto compare soltanto «—».
• Le note del diario e le conversazioni con la pietra restano sul Suo dispositivo e non vengono trasmesse a noi.
• Posizione, solo con il Suo consenso (art. 6, par. 1, lett. a) GDPR): l’app lo chiede una volta e utilizza solo la posizione approssimativa, mai con precisione GPS e mai in background. Già sul dispositivo viene arrotondata a circa 2 km e trasmessa solo quando l’app è aperta. Salviamo l’ultima posizione per ogni pietra (cancellata dopo 30 giorni senza nuova segnalazione) e un percorso con una precisione di circa 20 km, con al massimo 500 punti per pietra, visibile solo all’attuale detentore. Gli altri vedono nello Stoneradar solo una fascia di distanza approssimativa (meno di 5, 10 o 25 km) e il numero di pietre in una città, senza nomi e senza posizioni. Può revocare il consenso in qualsiasi momento nelle Impostazioni dell’app («Condividi posizione»).
• Città: dalla prima segnalazione della posizione il nostro server determina una sola volta la Sua città, offline e senza servizio esterno. Vengono memorizzati il luogo di residenza arrotondato e la città. Nomi dei luoghi: GeoNames (https://www.geonames.org), concesso in licenza con CC BY 4.0 (https://creativecommons.org/licenses/by/4.0/).
• Contapassi (passeggiata): i passi sono contati dal Suo dispositivo tramite il riconoscimento dell'attività. Passi e percorso restano sul dispositivo.
• Scambio: i dispositivi si trovano direttamente tramite Bluetooth, Wi-Fi o NFC (Google Nearby Connections); lo scambio viene completato tramite il nostro server. In questo caso non viene memorizzata alcuna posizione.
• Le notifiche sono pianificate dall'app sul dispositivo. Non vi sono servizi push né Firebase.
• Aggiornamenti: all'avvio l'app chiede al nostro server se esiste una nuova versione. In tal caso il Suo indirizzo IP viene registrato nel log di accesso (cfr. sezione 3).

La base giuridica per le funzioni dell'app è l'art. 6, par. 1, lett. b) GDPR, per la posizione il Suo consenso.

6. Pagamenti tramite Stripe e recesso

Gli acquisti nell'app (sblocco, occhi, ulteriori pietre, regali) vengono pagati sulla pagina di pagamento di Stripe. Stripe Payments Europe Ltd., 1 Grand Canal Street Lower, Dublin 2, Irlanda, tratta i Suoi dati di pagamento (ad es. dati della carta o di PayPal) come titolare autonomo del trattamento. Informazioni in merito: https://stripe.com/de/privacy

Trasmettiamo a Stripe prodotto, prezzo, numero d’ordine e il Suo indirizzo e-mail (per la ricevuta); da Stripe riceviamo lo stato del pagamento, l’importo e gli identificativi dell’operazione. Non riceviamo dati della carta. La base giuridica è l’art. 6, par. 1, lett. b) GDPR. Conserviamo i documenti contabili per 10 anni in base a obblighi di legge (§ 147 AO [codice tributario tedesco], § 257 HGB [codice commerciale tedesco]; art. 6, par. 1, lett. c) GDPR), anche oltre la cancellazione dell’account.

Recesso: se utilizza la funzione di recesso (pulsante «Recedere dal contratto»), trattiamo il Suo nome, il Suo indirizzo e-mail, se del caso il numero d’ordine e il momento, per gestire e documentare il recesso. La base giuridica è l’art. 6, par. 1, lett. c) GDPR; conserviamo questi dati per 10 anni (§ 147 AO, § 257 HGB).

7. Regalare una pietra

Se regala una pietra, trattiamo l'indirizzo e-mail del destinatario e, se indicati, il suo nome e il Suo messaggio, al solo scopo di recapitare il regalo. Il destinatario riceve esattamente un'e-mail con un codice. Non appena il regalo è riscattato, al più tardi alla scadenza (1 anno), cancelliamo indirizzo, nome e messaggio. Per la difesa da abusi resta un valore hash dell'indirizzo; i regali non riscattati vengono cancellati completamente 30 giorni dopo la scadenza, quelli riscattati restano senza indirizzo finché esiste l'account del destinatario.

La base giuridica è l'art. 6, par. 1, lett. b) GDPR (il Suo acquisto) e, per la notifica al destinatario, l'art. 6, par. 1, lett. f) GDPR (legittimo interesse alla consegna del regalo).

8. Invio di e-mail

Inviamo le e-mail (conferma, codice di accesso, regalo, conferma d’acquisto, conferma di ricezione di un recesso, notifica interna sulle nuove registrazioni) tramite il mail server di Hostinger (smtp.hostinger.com), anch’esso per nostro conto ai sensi dell’art. 28 GDPR.

9. Periodo di conservazione

10. Comunicazione, paesi terzi, profilazione

Non trasmettiamo i Suoi dati a terzi, salvo a Hostinger quale responsabile del trattamento, a Stripe in caso di acquisti e, se utilizza «Accedi con Google», a Google. Noi stessi non trasferiamo dati verso paesi al di fuori dell’UE. Stripe e Google possono trasferire dati anche negli USA; Stripe, Inc. e Google LLC sono certificate ai sensi dell’EU-US Data Privacy Framework. Non esiste alcun processo decisionale automatizzato né profilazione (art. 22 GDPR).

11. I Suoi diritti

Lei ha diritto a:

• accesso (art. 15 GDPR)
• rettifica (art. 16 GDPR)
• cancellazione (art. 17 GDPR)
• limitazione del trattamento (art. 18 GDPR)
• portabilità dei dati (art. 20 GDPR)
• opposizione ai trattamenti basati sull'art. 6, par. 1, lett. f) GDPR (art. 21 GDPR)

Può revocare un consenso in qualsiasi momento con effetto per il futuro (art. 7, par. 3 GDPR), ad esempio disattivando nell'app «Condividi posizione». Elimina il Suo account nell'app in Impostazioni → «Elimina account»; in tal caso vengono cancellati account, pietre e posizioni. Per tutto il resto è sufficiente un'e-mail a admin@ai-design-thinking.de.

Può inoltre proporre reclamo a un'autorità di controllo per la protezione dei dati. Per noi è competente la Berliner Beauftragte für Datenschutz und Informationsfreiheit (Garante di Berlino per la protezione dei dati e la libertà di informazione), Alt-Moabit 59–61, 10555 Berlin, https://www.datenschutz-berlin.de

Aggiornato al: 15.10.2026