Informativa sul trattamento dei dati personali — BetwixtPro

1. Titolare del trattamento

Il Titolare del trattamento per i trattamenti direttamente riferibili alla piattaforma BetwixtPro è:

Antonio Lo Re
viale San Teodoro 25 - Catania - Italia
Email: info@commonjoin.com

Per richieste relative alla presente informativa o all'esercizio dei diritti privacy è possibile utilizzare l'indirizzo email sopra indicato.

2. Ambito dell'informativa

La presente informativa descrive il trattamento dei dati personali effettuato attraverso il sito e i servizi BetwixtPro, inclusi i sistemi di autenticazione Consumer e MY, i moduli applicativi, le funzionalità di supporto, i servizi di pagamento e le integrazioni tecniche utilizzate dalla piattaforma.

La Cookie Policy e la gestione delle tecnologie di tracciamento non necessarie sono disciplinate separatamente.

3. Ruoli privacy nei moduli utilizzati dalle strutture

Per i dati trattati direttamente da BetwixtPro per la gestione della piattaforma, degli account, dell'autenticazione, della sicurezza, dell'assistenza e della fatturazione, Antonio Lo Re opera quale Titolare del trattamento.

Quando una struttura utilizza i moduli BetwixtPro per gestire propri clienti, giocatori, collaboratori, prenotazioni, disponibilità o altre informazioni operative riferite alla propria attività, la struttura può determinare finalità e contenuti di tali trattamenti. In tale scenario la struttura opera quale Titolare dei dati dei propri interessati e BetwixtPro tratta tali dati per conto della struttura nell'ambito dell'erogazione tecnica del servizio, secondo gli accordi applicabili.

4. Categorie di dati trattati

A seconda delle funzionalità utilizzate, BetwixtPro può trattare:

  • dati identificativi e di contatto, quali nome, cognome, email, telefono e indirizzo;
  • dati relativi ad account e organizzazioni, inclusi username, azienda/struttura, ruolo, permessi, partita IVA quando fornita e identificativi interni;
  • dati di autenticazione e sicurezza, inclusi identificativi di sessione, hash di token, challenge, timestamp, informazioni di accesso e identificatori del provider di autenticazione;
  • dati Google utilizzati per l'accesso con Google: identificativo stabile Google (sub), email, stato email_verified, nome, cognome e immagine profilo quando restituiti dal servizio Google;
  • dati operativi dei moduli, inclusi player/clienti, collaboratori, istruttori, prenotazioni, disponibilità, notifiche, note, tag, membership, livelli e dati correlati alle attività gestite;
  • dati contenuti nelle richieste inviate tramite moduli pubblici o assistenza, compreso il testo libero inserito dall'utente;
  • dati di pagamento e fatturazione: BetwixtPro tratta identificativi Stripe, email di fatturazione, riferimenti di customer/payment method/subscription/invoice; i dati completi della carta vengono inseriti tramite Stripe Elements e non risultano gestiti come numeri carta grezzi dal backend auditato;
  • immagini e file caricati dall'utente; tali contenuti possono includere dati personali qualora raffigurino persone o contengano informazioni identificative;
  • dati tecnici e di utilizzo necessari al funzionamento e alla sicurezza del servizio, compresi indirizzo IP nei flussi che lo prevedono, informazioni di sessione, log applicativi e preferenze memorizzate nel browser.

5. Finalità e basi giuridiche

5.1 Creazione e gestione degli account e accesso ai servizi

I dati sono trattati per creare e gestire gli account, autenticare gli utenti, mantenere le sessioni, collegare un account ai moduli autorizzati e rendere disponibili le funzionalità richieste.

Base giuridica: esecuzione del contratto o di misure precontrattuali richieste dall'interessato; per le misure strettamente necessarie alla sicurezza, legittimo interesse del Titolare alla protezione del servizio e degli account.

5.2 Accesso tramite email / magic login

Per il Consumer magic login viene utilizzato l'indirizzo email e vengono generati challenge e dati tecnici di verifica. Il challenge ha validità tecnica di 15 minuti; il sistema applica un throttle di 60 secondi e un massimo di tentativi secondo le regole tecniche del servizio.

Base giuridica: esecuzione del servizio richiesto e legittimo interesse alla sicurezza dell'autenticazione.

5.3 Accesso con Google

Se l'utente sceglie "Accedi con Google", BetwixtPro riceve e verifica server-side la credential fornita da Google Identity Services. Il sistema utilizza l'identificativo Google stabile (sub) per riconoscere l'identità collegata e può acquisire email, email_verified, nome, cognome e immagine profilo.

Per il primo collegamento o la creazione dell'account Consumer, il codice corrente richiede un'email Google verificata. Per accessi successivi di un'identità già collegata, l'identità viene risolta principalmente tramite il subject Google stabile (sub).

La credential Google non viene utilizzata come sessione applicativa persistente: al termine dell'autenticazione BetwixtPro emette la propria sessione Consumer.

I dati Google vengono utilizzati esclusivamente per fornire l'autenticazione, collegare correttamente l'identità dell'utente e mantenere i dati di profilo necessari al servizio. BetwixtPro non vende i dati ottenuti da Google e non li utilizza per pubblicità comportamentale, valutazione del credito o addestramento di modelli general-purpose di intelligenza artificiale.

Base giuridica: esecuzione del servizio richiesto dall'utente mediante il metodo di autenticazione scelto; legittimo interesse alla sicurezza e integrità dell'account.

5.4 Account MY e dati aziendali

Per gli account business/amministrativi possono essere trattati dati identificativi, di contatto, aziendali, credenziali e ruoli/permessi per creare, attivare e gestire l'account e consentire l'uso dei servizi sottoscritti.

Base giuridica: esecuzione del contratto e misure precontrattuali; obblighi di legge ove applicabili alla gestione amministrativa e contabile.

5.5 Richieste di contatto, supporto e disponibilità

I dati inseriti nei moduli di contatto o disponibilità vengono utilizzati per rispondere alla richiesta, inoltrarla alla struttura interessata quando necessario e prevenire abusi tramite strumenti di sicurezza come reCAPTCHA.

Base giuridica: misure precontrattuali o esecuzione della richiesta dell'interessato; legittimo interesse alla prevenzione di spam e abusi.

5.6 Gestione di player/clienti, prenotazioni, staff e attività delle strutture

I moduli Sport Hub possono trattare dati relativi a player/clienti, identità collegate, collaboratori, istruttori, prenotazioni, disponibilità, notifiche e storico operativo per permettere alla struttura di gestire le proprie attività attraverso BetwixtPro.

Base giuridica: per i trattamenti svolti dalla struttura quale Titolare si applicano le basi giuridiche determinate dalla struttura; BetwixtPro tratta i dati per conto della struttura nell'ambito dell'erogazione tecnica del servizio, secondo gli accordi applicabili.

5.7 Pagamenti e abbonamenti

I dati necessari ai pagamenti e agli abbonamenti sono trattati per gestire acquisti, rinnovi, fatturazione, pagamento e cessazione del servizio. L'inserimento dei dati carta avviene tramite Stripe.

Base giuridica: esecuzione del contratto; adempimento di obblighi legali, fiscali e contabili per i dati la cui conservazione è richiesta dalla legge.

5.8 Sicurezza, logging e prevenzione degli abusi

BetwixtPro tratta dati tecnici e log per proteggere applicazione, account e infrastruttura, diagnosticare malfunzionamenti, prevenire accessi non autorizzati e documentare eventi tecnici rilevanti. L'audit ha rilevato che alcuni log applicativi possono contenere identificativi e, in specifici flussi legacy, dati tecnici di attivazione.

Base giuridica: legittimo interesse del Titolare alla sicurezza, affidabilità e difesa del servizio e dei propri diritti.

6. Dati memorizzati nel browser

BetwixtPro utilizza storage del browser necessario al funzionamento delle funzionalità richieste. Tra i dati tecnicamente rilevati dall'audit rientrano token di sessione Consumer, dati temporanei di claim e return target, access/refresh token MY e preferenze applicative.

La sessione Consumer lato server ha una durata tecnica di 30 giorni. Alcuni dati temporanei di handoff hanno validità di 15 minuti. I token MY risultano emessi con scadenza tecnica di 10 ore. La presenza nel browser può avere una durata differente quando la singola chiave non implementa un proprio TTL e viene rimossa tramite logout, consumo, scadenza logica o altra azione prevista dal servizio.

Cookie, tracker e tecnologie di terze parti sono descritti nella Cookie Policy separata.

7. Destinatari e fornitori

I dati possono essere comunicati o resi accessibili, limitatamente a quanto necessario, alle seguenti categorie di destinatari:

  • fornitori di infrastruttura, hosting, database, storage e servizi tecnici;
  • provider email/SMTP utilizzati per messaggi di autenticazione, attivazione, assistenza e notifiche;
  • Google, per Google Sign-In, reCAPTCHA, Google Tag Manager e Google Maps nelle rispettive funzionalità;
  • Stripe, per pagamenti e abbonamenti;
  • Meta/Facebook, quando l'utente utilizza le funzionalità di pubblicazione o collegamento Facebook;
  • strutture/organizzazioni che utilizzano BetwixtPro, quando i dati riguardano richieste o attività gestite dalla struttura;
  • consulenti e soggetti autorizzati quando necessario per obblighi di legge, sicurezza o tutela dei diritti.

8. Trasferimenti verso paesi extra SEE

Alcuni fornitori tecnologici possono trattare dati anche al di fuori dello Spazio Economico Europeo. Quando un trasferimento internazionale è applicabile, esso deve avvenire nel rispetto del Capo V GDPR, sulla base di una decisione di adeguatezza della Commissione europea o, ove necessario, mediante garanzie adeguate quali le Clausole Contrattuali Standard e le ulteriori misure applicabili.

9. Conservazione dei dati

BetwixtPro conserva i dati personali per il tempo necessario a conseguire le finalità per cui sono stati raccolti e, successivamente, per il periodo eventualmente necessario a rispettare obblighi di legge, gestire contestazioni o tutelare diritti.

Quando il codice prevede una scadenza tecnica, si applicano le relative regole, tra cui:

  • magic challenge Consumer: 15 minuti;
  • throttle magic login: 60 secondi;
  • sessione Consumer server: 30 giorni;
  • access e refresh token MY: 10 ore;
  • return target di autenticazione Consumer: 15 minuti.

Per account, identità collegate, richieste, player/clienti, prenotazioni, notifiche, immagini, dati di pagamento/fatturazione e log privi di TTL tecnico, la durata è determinata in base alla permanenza del rapporto, alla necessità operativa, agli obblighi legali applicabili e ai termini necessari per l'accertamento, l'esercizio o la difesa di diritti.

Alla cessazione delle finalità e dei periodi applicabili, i dati sono cancellati o resi non più identificabili, salvo obblighi di ulteriore conservazione.

10. Sicurezza

BetwixtPro adotta misure tecniche e organizzative volte a proteggere i dati da accessi non autorizzati, perdita, alterazione o divulgazione indebita. Tra i meccanismi tecnici rilevati figurano token applicativi con scadenza, memorizzazione server-side degli hash di token Consumer, revoca delle sessioni e verifica server-side delle credenziali Google.

Nessuna misura di sicurezza può eliminare completamente ogni rischio connesso alla trasmissione o conservazione dei dati.

11. Conferimento dei dati

I dati contrassegnati come necessari nei singoli flussi sono richiesti per fornire la relativa funzionalità. Il mancato conferimento può impedire la creazione dell'account, l'autenticazione, la risposta a una richiesta, una prenotazione o l'utilizzo del servizio interessato.

L'uso di Google Sign-In è facoltativo quando è disponibile un metodo di accesso alternativo previsto dal servizio.

12. Provenienza dei dati

I dati sono raccolti:

  • direttamente dall'interessato;
  • dal suo account Google quando utilizza Google Sign-In;
  • dalla struttura/organizzazione che utilizza BetwixtPro per gestire i propri utenti, clienti o collaboratori;
  • automaticamente dai sistemi tecnici nella misura necessaria a sessioni, sicurezza e funzionamento.

13. Decisioni automatizzate

Nel perimetro tecnico auditato non risultano processi decisionali unicamente automatizzati che producano effetti giuridici o incidano in modo analogo significativamente sull'interessato ai sensi dell'art. 22 GDPR.

14. Diritti dell'interessato

Nei casi previsti dal GDPR, l'interessato può chiedere:

  • accesso ai propri dati personali;
  • rettifica dei dati inesatti;
  • cancellazione;
  • limitazione del trattamento;
  • portabilità dei dati, quando applicabile;
  • opposizione ai trattamenti fondati sul legittimo interesse;
  • revoca del consenso, quando il trattamento si fonda sul consenso, senza pregiudicare la liceità del trattamento precedente alla revoca.

Le richieste possono essere inviate a info@commonjoin.com.

L'interessato ha inoltre diritto di proporre reclamo all'autorità di controllo competente, in Italia il Garante per la protezione dei dati personali.

15. Modifiche all'informativa

La presente informativa può essere aggiornata quando cambiano le funzionalità, i trattamenti, i fornitori o gli obblighi normativi. La versione aggiornata sarà resa disponibile sulla pagina Privacy Policy di BetwixtPro.

Per i dati Google, BetwixtPro mantiene l'informativa aggiornata rispetto alle modalità con cui l'app accede, utilizza, conserva o condivide i dati provenienti dall'account Google.

16. Riferimenti