3.1 Informazioni Fornite Direttamente

3.2 Informazioni Raccolte Automaticamente

Quando utilizzi Museum App, raccogliamo automaticamente determinate informazioni tecniche e di utilizzo:

3.3 Informazioni da Terze Parti

3.4 Categorie Speciali di Dati Personali e Dati Sensibili

Museum App NON richiede né raccoglie intenzionalmente categorie speciali di dati personali in conformità con GDPR/UK GDPR (origine razziale o etnica, opinioni politiche, convinzioni religiose, informazioni sulla salute, orientamento sessuale, dati genetici o biometrici).

Vietiamo espressamente agli utenti di caricare, pubblicare o trattare attraverso il Servizio qualsiasi contenuto contenente:

• Dati biometrici (riconoscimento facciale, impronte digitali, scansioni dell'iride, geometria facciale, ecc.) senza adeguata base giuridica e consenso esplicito
• Categorie speciali di dati personali di terzi
• Informazioni mediche, finanziarie o di minori senza autorizzazione

I contenuti che violano questo divieto possono essere rimossi senza preavviso, e l'account responsabile può essere sospeso o eliminato definitivamente. Per maggiori informazioni, consulta i nostri Termini e Condizioni.

4.1 Fornitura e Gestione del Servizio

• Creare, gestire e autenticare il tuo account utente
• Consentire la pubblicazione, modifica e gestione di collectible, post e musei virtuali
• Abilitare le funzionalità social: seguire utenti, mettere mi piace, commentare, salvare contenuti, condividere post, creare repost
• Messaggistica privata in tempo reale (chat 1-a-1) tramite WebSocket/Socket.io
• Gestire le liste di ricerca/wishlist di collectible
• Personalizzare la tua esperienza secondo le tue preferenze (lingua, tema, valuta, formati)
• Ricordare le tue impostazioni di privacy e account

4.2 Sicurezza e Protezione

• Autenticazione sicura e prevenzione degli accessi non autorizzati
• Rilevamento e prevenzione di frodi, spam, abusi e attività malevole
• Moderazione dei contenuti e revisione delle segnalazioni degli utenti
• Proteggere l'integrità e la sicurezza della piattaforma
• Inviare notifiche di sicurezza via email: nuovi dispositivi rilevati, modifiche password, modifiche indirizzo email, tentativi di accesso sospetti
• Mantenere log di audit (LoginHistory, modifiche dati sensibili) per indagini di sicurezza

4.3 Miglioramento e Sviluppo del Prodotto

• Analytics aggregati e statistiche di utilizzo (senza identificazione individuale)
• Correzione di bug tecnici e miglioramenti delle prestazioni
• Test A/B per ottimizzare le funzionalità
• Sviluppo di nuove funzionalità e miglioramenti
• Ricerca e analisi delle tendenze del collezionismo

4.4 Comunicazioni

• <strong>Comunicazioni transazionali (obbligatorie):</strong> conferme di registrazione, reset password, notifiche di modifiche account, avvisi di sicurezza, conferme di pagamento
• <strong>Notifiche di servizio:</strong> attività social (nuovi follower, mi piace, commenti, menzioni, messaggi privati), aggiornamenti sui contenuti salvati
• <strong>Supporto tecnico:</strong> risposte alle richieste e assistenza
• <strong>Avvisi importanti:</strong> modifiche ai Termini e Condizioni, Informativa sulla Privacy, manutenzione programmata
• <strong>Comunicazioni marketing (opzionali, con opt-in):</strong> newsletter, novità sui prodotti, promozioni, contenuti educativi sul collezionismo

4.5 Fatturazione e Abbonamenti

• Elaborare i pagamenti degli abbonamenti Premium e Premium Max
• Gestire rinnovi automatici, upgrade, downgrade e cancellazioni
• Emettere fatture e ricevute elettroniche
• Fornire supporto per fatturazione e pagamenti
• Adempiere agli obblighi fiscali e contabili

4.6 Strumenti e Funzionalità Speciali

• <strong>Calcolatore del valore della collezione:</strong> stimare il valore totale della collezione basato sui dati che fornisci (non costituisce valutazione professionale)
• <strong>Calcolatore prezzo lotto:</strong> calcolare il prezzo pagato per lotti di articoli
• <strong>Metriche dei contenuti:</strong> visualizzazioni di post e collectible, durata di visualizzazione, engagement
• <strong>Raccomandazioni:</strong> suggerire utenti, categorie o contenuti rilevanti basati sui tuoi interessi

4.7 Pubblicità (web e applicazioni mobile)

Museum App può mostrare pubblicità attraverso reti come Google AdSense (web) e Google AdMob (applicazioni mobile). La disponibilità pubblicitaria può variare a seconda della tua posizione geografica e delle impostazioni dell'account. Quando la pubblicità è attiva nella tua regione:

• Nell'UE/SEE e Regno Unito: Richiediamo il tuo consenso esplicito prima di utilizzare cookie/SDK non essenziali o personalizzare gli annunci. Senza consenso, mostriamo annunci non personalizzati e applichiamo Limited Ads quando appropriato
• Negli Stati Uniti: Rispettiamo i segnali di privacy come Global Privacy Platform (GPP) e Global Privacy Control (GPC), e offriamo controlli opt-out per la "vendita/condivisione" dove si applicano le leggi statali (CCPA/CPRA, Virginia, Colorado, Connecticut, Texas)
• Utilizziamo una Piattaforma di Gestione del Consenso (CMP) compatibile con gli standard IAB TCF 2.2 per gestire le tue preferenze pubblicitarie e sui cookie
• Offriamo annunci contestuali (non personalizzati) come alternativa quando non acconsenti alla pubblicità personalizzata
• I dettagli completi su categorie di partner, finalità pubblicitarie e durate dei cookie sono disponibili nella nostra Informativa sui Cookie

Base giuridica in SEE/Regno Unito: La base giuridica per l'utilizzo di cookie/SDK pubblicitari e annunci personalizzati è il tuo consenso (art. 6.1.a GDPR). Se lo neghi o lo revochi, forniremo solo annunci non personalizzati e limiteremo gli identificatori secondo le politiche Limited Ads.

4.8 Conformità Legale

• Rispondere a richieste valide delle autorità competenti
• Difendere i nostri diritti legali in procedimenti giudiziari o amministrativi
• Far rispettare i nostri Termini e Condizioni
• Prevenire attività illegali o dannose

4.9 Analisi e Strumenti Predittivi (Futuro)

In futuro, Museum App potrebbe sviluppare strumenti di analisi di mercato e previsione del valore utilizzando dati sui prezzi dei collectible completamente anonimizzati.

• Stime del valore di mercato per collectible simili
• Tendenze storiche dei prezzi nel mercato del collezionismo
• Strumenti predittivi basati su dati di mercato aggregati
• Tutte queste analisi sarebbero eseguite esclusivamente con dati completamente anonimizzati, senza possibilità di identificare singoli utenti o collectible

5.1 Consenso

Otteniamo il tuo consenso esplicito e informato per:

• Cookie non essenziali e pubblicità personalizzata (tramite CMP conforme TCF 2.2)
• Comunicazioni marketing via email (puoi disiscriverti in qualsiasi momento)
• Condivisione di dati con determinati terzi al di fuori dell'ambito strettamente operativo

5.2 Esecuzione del Contratto

Il trattamento è necessario per l'esecuzione del contratto che hai con noi (Termini e Condizioni):

• Creare e gestire il tuo account
• Fornire le funzionalità del servizio (post, collectible, musei, chat, liste di ricerca)
• Elaborare abbonamenti e pagamenti
• Fornire supporto tecnico

5.3 Obbligo Legale

Il trattamento è necessario per adempiere agli obblighi legali applicabili:

• Conservazione dei dati finanziari e di fatturazione per i periodi legali (es. 7 anni)
• Risposta a richieste legittime delle autorità competenti
• Conformità alle normative fiscali e contabili

5.4 Interessi Vitali

In casi eccezionali, possiamo trattare dati per proteggere la vita o l'integrità fisica di una persona.

5.5 Interessi Legittimi

Il trattamento è necessario per i nostri interessi legittimi, a condizione che i tuoi diritti e le tue libertà non prevalgano:

• Sicurezza della piattaforma e prevenzione di frodi/abusi
• Moderazione dei contenuti e applicazione delle policy
• Analytics aggregati non intrusivi per migliorare il prodotto
• Rilevamento errori tecnici e miglioramento delle prestazioni
• Pubblicità personalizzata (una volta implementata)
• Comunicazioni marketing (newsletter, promozioni)
• Alcune autorizzazioni del dispositivo mobile (fotocamera, galleria foto, notifiche push)
• Utilizzo di dati di localizzazione precisi (se richiesto in futuro)

6.1 Fornitori di Servizi (responsabili del trattamento)

Condividiamo dati con terze parti che forniscono servizi per nostro conto, in base a contratti che li obbligano a proteggere i tuoi dati e utilizzarli solo per le finalità specificate:

• Hosting e infrastruttura: Digital Ocean (server e hosting web)
• CDN (Content Delivery Network): Cloudflare (distribuzione globale di contenuti statici, protezione DDoS)
• Elaborazione pagamenti: Stripe Inc. (elaborazione sicura carte di credito, gestione abbonamenti, fatturazione)
• Email transazionali: Amazon Web Services (invio email di verifica, notifiche di sicurezza, fatture, supporto)
• Email transazionali (fallback): Resend (Resend Inc., USA) — usato solo quando AWS SES è temporaneamente non disponibile, in modo che le email di verifica e sicurezza ti raggiungano comunque. Stesso ambito di dati del canale principale: indirizzo del destinatario e contenuto del messaggio inviato.
• Autenticazione: NextAuth (gestione sessioni), Google OAuth (accesso con Google) e Apple Sign-In (accesso con Apple)
• Chat in tempo reale: Socket.io (WebSocket auto-ospitato sui nostri server, nessun trasferimento a terzi)
• Elaborazione immagini: Sharp (elaborazione locale delle immagini sui nostri server, nessun trasferimento esterno)
• Geolocalizzazione: MaxMind GeoLite2 (consultazione locale IP verso posizione geografica approssimativa; il database GeoLite2 viene scaricato periodicamente da MaxMind, Inc., USA — gli indirizzi IP non vengono trasferiti per richiesta)
• Reportistica errori e APM: Sentry (Functional Software Inc., USA) — acquisizione di errori e metriche di prestazione dell'app mobile. Le intestazioni di autorizzazione, i JWT e i parametri sensibili vengono oscurati prima della trasmissione; gli utenti sono identificati solo tramite ID numerico, mai tramite nome utente o e-mail.

6.2 Reti Pubblicitarie e Misurazione

Quando la pubblicità è abilitata nella tua regione, potremmo condividere informazioni con reti pubblicitarie (come Google AdSense, Google AdMob) in conformità con le tue preferenze di consenso e le leggi applicabili. Le informazioni condivise possono includere:

• Identificatori dispositivo o pubblicitari (ad ID, cookie pubblicitari)
• Dati di navigazione e utilizzo (pagine visitate, interazioni, eventi app), sempre con controlli di privacy regionali
• Metriche di impression, clic, conversioni e performance pubblicitarie
• Informazioni demografiche approssimative (età, genere, posizione generale) quando hai dato il consenso

Nell'UE/SEE e Regno Unito, questa condivisione avviene solo dopo aver ottenuto il tuo consenso esplicito tramite la nostra CMP. Negli Stati Uniti, riconosciamo automaticamente i segnali di opt-out (GPC/GPP) e ci conformiamo alle leggi statali applicabili.

Nota per i residenti di alcuni stati USA: Alcune leggi statali (CCPA/CPRA California, VCDPA Virginia, CPA Colorado, CTDPA Connecticut, TDPSA Texas) possono considerare questa condivisione come "vendita" o "condivisione per pubblicità comportamentale". Offriamo controlli opt-out tramite segnali di privacy del browser (GPC/GPP) e dalle impostazioni del tuo account (Impostazioni → Privacy → Preferenze pubblicitarie). Per maggiori informazioni, vedi Sezione 14 di questa Informativa.

6.3 Autorità Legali e Conformità Normativa

Potremmo divulgare i tuoi dati personali quando richiesto dalla legge o quando crediamo in buona fede che sia necessario per:

• Rispettare ordini del tribunale, citazioni, richieste governative valide
• Far rispettare i nostri Termini e Condizioni
• Proteggere i nostri diritti, proprietà o sicurezza, così come quelli dei nostri utenti o del pubblico
• Prevenire frodi, abusi o attività illegali
• Cooperare con le indagini delle forze dell'ordine

6.4 Trasferimenti Aziendali

In caso di fusione, acquisizione, vendita di asset o ristrutturazione aziendale, i tuoi dati personali potrebbero essere trasferiti all'entità successore. Ti avviseremo con avviso prominente prima che i tuoi dati siano trasferiti e soggetti a un'Informativa sulla Privacy diversa.

8.1 Account Attivo

Finché il tuo account rimane attivo e utilizzi il servizio, conserviamo i tuoi dati personali per fornirti il servizio.

8.2 Contenuti Eliminati o Account Chiuso

• Cancellazione operativa: I dati vengono eliminati dai nostri sistemi di produzione entro circa 90 giorni dalla cancellazione del contenuto o dalla chiusura dell'account
• Backup: I dati possono rimanere nelle copie di backup automatiche per un periodo aggiuntivo fino a 90 giorni, dopo di che vengono eliminati definitivamente
• Eccezioni: Potremmo conservare determinati dati più a lungo se:

• È necessario per adempiere a obblighi legali (fatture, registri fiscali)
• C'è una controversia legale pendente o procedura di risoluzione
• Sono necessari per indagini di sicurezza, frode o abuso
• Hai specificamente richiesto la loro conservazione

8.3 Dati di Fatturazione e Transazioni

Fatture, ricevute, cronologia pagamenti e dati relativi agli abbonamenti: 5-10 anni, come richiesto dalle leggi fiscali e contabili applicabili (IRS negli Stati Uniti, normative locali in altri paesi).

8.4 Log di Sicurezza e Audit

• Cronologia accessi (LoginHistory): 12-24 mesi
• Log di accesso ed eventi di sicurezza: 12 mesi
• Registri delle modifiche ai dati sensibili (email, password, nome utente): 24 mesi

8.5 Registri di Consenso e Preferenze Privacy

Conserviamo lo stato del consenso, opt-out e preferenze privacy (segnali CMP, stringhe TCF 2.2, GPP/GPC, scelte sui cookie, preferenze pubblicitarie) per 24 mesi o il periodo minimo richiesto dalla legge, qualunque sia il maggiore. Questa conservazione ci consente di rispettare i requisiti di audit delle reti pubblicitarie e dimostrare un consenso valido quando legalmente richiesto.

8.6 Criteri di Conservazione

Per determinare il periodo di conservazione appropriato, consideriamo:

• La natura e la sensibilità dei dati
• Il potenziale rischio di danno da uso o divulgazione non autorizzati
• Le finalità del trattamento
• Se possiamo soddisfare le finalità attraverso altri mezzi meno invasivi
• Obblighi legali, normativi, fiscali o contabili applicabili

Puoi richiedere informazioni dettagliate sui nostri criteri e periodi di conservazione specifici inviando un'email a [email protected].

9.1 Misure Tecniche

• Crittografia: Dati in transito via HTTPS/TLS; password memorizzate con hash crittografico bcrypt (mai in chiaro)
• Autenticazione sicura: Token di sessione sicuri gestiti da NextAuth, supporto per autenticazione a due fattori (futuro)
• Controllo accessi: Accesso basato sui ruoli, principio del minimo privilegio
• Monitoraggio sicurezza: Rilevamento di accessi non autorizzati, tentativi di intrusione, attività sospette
• Backup: Backup automatici regolari con crittografia e archiviazione sicura
• Segregazione ambienti: Separazione tra produzione, sviluppo e test
• Protezione DDoS: Cloudflare per la mitigazione degli attacchi denial of service

9.2 Misure Organizzative

• Policy di sicurezza e protezione dei dati
• Formazione e sensibilizzazione del personale
• Accordi di riservatezza con dipendenti e fornitori
• Audit di sicurezza e revisioni periodiche
• Piano di risposta agli incidenti di sicurezza

9.3 Limitazioni

Nonostante i nostri sforzi, nessun sistema di sicurezza è completamente infallibile. Non possiamo garantire che i nostri sistemi siano invulnerabili a tutti i tipi di attacchi informatici, hacking o accessi non autorizzati.

9.4 Notifica di Violazione della Sicurezza

In caso di violazione della sicurezza che interessa dati personali, Museum App rispetterà tutti gli obblighi di notifica stabiliti dalle leggi applicabili:

• GDPR/UK GDPR: Notifica all'autorità di controllo entro 72 ore; comunicazione alle persone interessate senza indebito ritardo quando c'è alto rischio
• Leggi statali USA: Notifica ai residenti interessati secondo i termini di ogni stato
• Forniremo informazioni sulla natura della violazione, dati interessati, misure adottate e passi che puoi intraprendere per proteggerti

9.5 La Tua Responsabilità

Sei responsabile di:

• Mantenere la riservatezza della tua password e credenziali di accesso
• Non condividere il tuo account con terzi
• Notificarci immediatamente qualsiasi uso non autorizzato del tuo account inviando un'email a [email protected]
• Usare password forti (minimo 8 caratteri, combinazione di lettere, numeri e simboli)
• Mantenere aggiornato il software del tuo dispositivo e browser

Per maggiori informazioni sulle nostre limitazioni di responsabilità in caso di violazioni della sicurezza, vedi Sezione 8 dei nostri Termini e Condizioni.

10.1 Stati Uniti (COPPA)

Museum App non consente l'utilizzo del servizio a utenti al di sotto dell'età minima per il consenso digitale nella loro giurisdizione — 13 anni nella maggior parte dei paesi (in conformità con il Children's Online Privacy Protection Act, COPPA) e 16 anni nello Spazio Economico Europeo, Regno Unito e Svizzera (in conformità con l'articolo 8 del GDPR).

Non raccogliamo intenzionalmente informazioni personali da minori al di sotto di questa soglia. Se scopriamo di aver raccolto dati da un tale utente senza il consenso verificabile dei genitori, elimineremo tali informazioni dai nostri sistemi il prima possibile.

10.2 Unione Europea e Regno Unito (GDPR/UK GDPR)

Si applicano le età minime locali per il consenso digitale previste dall'articolo 8 del GDPR/UK GDPR (tra 13 e 16 anni a seconda del paese membro). Quando legalmente richiesto, Museum App implementerà meccanismi ragionevoli per la verifica del consenso parentale o del tutore legale.

10.3 Pubblicità Rivolta ai Minori

Museum App non utilizza annunci personalizzati o identificatori per il targeting comportamentale diretti a utenti che sappiamo o ragionevolmente supponiamo essere minori.

Applichiamo policy di contenuto adatto alle famiglie e limitazioni di targeting in conformità con le policy delle reti pubblicitarie (Google AdSense/AdMob "Child-directed treatment").

10.4 Se Sei un Genitore o Tutore Legale

Se ritieni che tuo figlio minorenne abbia fornito dati personali a Museum App senza il tuo consenso, contattaci immediatamente a [email protected]. Adotteremo misure per eliminare tali informazioni il prima possibile.

• ✓ Accesso: Ottenere una copia dei tuoi dati personali
• ✓ Rettifica: Correggere dati inesatti o incompleti
• ✓ Cancellazione: Richiedere la cancellazione dei tuoi dati (con alcune eccezioni legali)
• ✓ Portabilità: Ricevere i tuoi dati in formato scaricabile
• ✓ Opposizione: Opporti a determinati trattamenti dei dati
• ✓ Revoca del consenso: Annullare consensi precedentemente concessi
• ✓ Opt-out pubblicitario: Rifiutare la pubblicità personalizzata (una volta implementata)

12.1 Dal Tuo Account

Vai su Impostazioni → Privacy e Sicurezza per:

• Visualizzare e modificare le tue informazioni personali
• Scaricare i tuoi dati: Richiedere un export completo che include post, collectible, messaggi, commenti, cronologia attività e altro (vedi processo dettagliato sotto)
• Eliminare il tuo account definitivamente
• Gestire le preferenze di privacy, cookie e notifiche

12.2 Via Email

Per richieste speciali (correzione di dati specifici, cancellazione parziale, portabilità verso un altro servizio, ecc.), invia un'email a [email protected] indicando:

• Il tuo nome completo e nome utente
• Email associata al tuo account
• Diritto che desideri esercitare (accesso, rettifica, cancellazione, portabilità, opposizione)
• Descrizione dettagliata della tua richiesta

Tempi di risposta: 30-45 giorni a seconda della tua posizione (GDPR: 30 giorni; CCPA: 45 giorni). Verificheremo la tua identità tramite codice email prima di elaborare richieste sensibili.

12.3 Diritti Aggiuntivi

• Agenti autorizzati: Puoi designare un rappresentante legale per inviare richieste per tuo conto (richiede procura)
• Appelli (USA): Se rifiutiamo la tua richiesta, puoi appellarti scrivendo a [email protected] con oggetto "Appello". Risponderemo entro 45 giorni, o il periodo richiesto dalla legge applicabile
• Segnali di privacy: Riconosciamo Global Privacy Control (GPC) e Global Privacy Platform (GPP) per l'opt-out pubblicitario automatico

13.1 Opt-in (consenso preventivo)

Per gli utenti nell'Unione Europea, Spazio Economico Europeo, Regno Unito e altre giurisdizioni che lo richiedono, chiediamo il tuo consenso esplicito (opt-in) prima di inviarti comunicazioni marketing, come:

• Newsletter con novità sui prodotti
• Promozioni e offerte speciali
• Contenuti educativi sul collezionismo
• Sondaggi e feedback degli utenti

13.2 Opt-out (disiscrizione)

Puoi disiscriverti dalle comunicazioni marketing in qualsiasi momento tramite:

• Link "Annulla iscrizione" in ogni email marketing
• Impostazioni account: Impostazioni → Notifiche → Disattiva "Email promozionali"
• Email: [email protected] con oggetto "Disiscrizione marketing"

13.3 Comunicazioni Transazionali (non annullabili)

Alcune comunicazioni sono essenziali per il funzionamento del servizio e non possono essere annullate finché mantieni il tuo account attivo:

• Conferme di registrazione e verifica email
• Reset password
• Notifiche di sicurezza (nuovo dispositivo, modifiche account)
• Conferme di pagamento e fatture
• Modifiche ai Termini e Condizioni o Informativa sulla Privacy
• Avvisi di chiusura o sospensione account

16.1 Notifica delle Modifiche

Modifiche minori: Aggiorniamo la data "Ultimo aggiornamento" all'inizio di questa Informativa

Modifiche sostanziali: Ti avviseremo tramite:

• Email al tuo indirizzo registrato
• Notifica prominente nell'applicazione (banner o pop-up)
• Avviso sul nostro sito web

16.2 Data di Efficacia

Le modifiche entreranno in vigore alla data indicata in cima a questa Informativa ("Ultimo aggiornamento"). L'uso continuato del servizio dopo la data di efficacia costituisce la tua accettazione delle modifiche.

16.3 Cronologia delle Versioni

Puoi richiedere versioni precedenti di questa Informativa sulla Privacy inviando un'email a [email protected].

16.4 Servizi di Terze Parti - Geolocalizzazione

Questo sito utilizza dati GeoLite2 creati da MaxMind, disponibili su https://www.maxmind.com. Questo servizio ci consente di rilevare il tuo paese di origine per rispettare le normative sulla privacy applicabili (GDPR, CCPA, LGPD).