Servizio gestito da: DigitalFreedom — un marchio di DigitalFreedom Global LLC

Titolare del trattamento (persona giuridica): DigitalFreedom Global LLC, 30 N Gould St, Ste N, Sheridan, WY 82801, Stati Uniti

Protezione dei dati: data-protection@digitalfreedom.co.za
Modulo per le richieste: https://data-protection.digitalfreedom.co.za
Generale: hello@digitalfreedom.co.za

1. Introduzione

Questa informativa spiega come DigitalFreedom Global LLC («noi») raccoglie, utilizza, conserva e protegge i dati personali quando usate l’app Snapshots per iOS e il sito snapshots-quiz.app (insieme, «i Servizi»). Dove app e sito differiscono, la sezione lo specifica.

1.1 Ambito mondiale

Snapshots è distribuito tramite l’App Store di Apple ed è quindi disponibile in tutti i territori serviti da quello store. Questa informativa si applica in tutto il mondo, indipendentemente da dove scaricate o usate i Servizi.

Applichiamo il Regolamento generale sulla protezione dei dati (GDPR) come soglia minima mondiale: ogni utente, in ogni Paese, riceve almeno il livello di tutela qui descritto. Se la vostra legge locale è più protettiva, prevale quest’ultima. Sono considerati, tra gli altri: GDPR e BDSG, UK GDPR e Data Protection Act 2018, la legge svizzera sulla protezione dei dati, CCPA/CPRA e le altre leggi statali USA, PIPEDA, il Privacy Act 1988 australiano, la LGPD brasiliana, l’APPI giapponese, la PIPA coreana, il DPDP Act indiano e la POPIA.

2. Titolare del trattamento

Titolare ai sensi dell’art. 4(7) GDPR:

DigitalFreedom Global LLC (operante come DigitalFreedom) 30 N Gould St, Ste N Sheridan, WY 82801 Stati Uniti

Per le richieste usate il modulo su https://data-protection.digitalfreedom.co.za o scrivete a data-protection@digitalfreedom.co.za. Entrambe le vie sono aperte — e qualsiasi altro canale anche; trattiamo la vostra richiesta comunque arrivi.

Non è nominato un responsabile della protezione dei dati: non è raggiunta la soglia dell’art. 37 GDPR / § 38 BDSG.

3. Dati trattati

3.1 L’app — cosa lascia il dispositivo

Snapshots funziona senza indirizzo e-mail, senza password e senza accesso tramite social. Ciò che l’app invia al nostro backend è:

Dati	Perché	Quando
Nome giocatore scelto al primo avvio	Identifica la vostra posizione nella classifica mondiale e deve essere univoco	Una volta alla creazione, poi con ogni punteggio
Punteggi — punteggio finale, numero di rompicapo risolti, marca temporale	La classifica e il vostro record personale	A fine partita, o più tardi quando tornate online
Codice lingua dei rompicapo (es. `it`, `en`)	Perché il backend fornisca i rompicapo nella vostra lingua di gioco	A ogni richiesta di rompicapo
Dati tecnici di connessione — indirizzo IP, ora, user agent, risorsa richiesta	Inevitabili nella gestione di un server; erogazione, sicurezza, analisi degli errori	A ogni richiesta

Questo è l’elenco completo. Non c’è nessun indirizzo e-mail, nessuna password, nessun nome reale salvo che lo scriviate nel campo del nome giocatore, nessun dato di pagamento e nessun accesso a rubrica, calendario, foto, microfono, fotocamera, posizione o dati sanitari.

3.2 L’app — cosa resta sul dispositivo

Rompicapo risolti, immagini scaricate, impostazioni, preferenza audio, record personale e la copia locale della scheda giocatore sono conservati in un database locale sul dispositivo. Non vengono trasmessi. Chi elimina l’app li elimina con essa.

3.3 L’app — cosa non contiene

Nessun SDK di analisi di terzi. Né Firebase Analytics, né Google Analytics for Firebase, né Amplitude, né Mixpanel.
Nessun SDK di segnalazione crash. I crash ci arrivano solo tramite i rapporti aggregati di Apple, se avete autorizzato la condivisione in iOS.
Nessuna pubblicità. Nessun SDK pubblicitario, nessun annuncio, nulla venduto a un circuito pubblicitario.
Nessun identificatore pubblicitario. L’IDFA non viene mai letto e non compare la richiesta App Tracking Transparency, perché non c’è nulla da chiedere.
Nessuna notifica push da server. I promemoria sono pianificati localmente da iOS; nessun token push viene registrato né lascia il dispositivo.

3.4 Il sito web

Dati	Finalità	Base giuridica
Log del server presso l’hosting (IP, ora, URL richiesto, user agent)	Erogazione delle pagine, sicurezza, analisi degli errori	Art. 6(1)(f) GDPR — legittimo interesse alla gestione del sito
Google Analytics 4 con Consent Mode v2	Misurazione aggregata di traffico e contenuti	§ 25(1) TDDDG e art. 6(1)(a) GDPR — il vostro consenso per tutto ciò che viene memorizzato o letto sul dispositivo; prima del consenso solo ping aggregati senza cookie ex art. 6(1)(f)
La vostra scelta sui cookie	Per non chiedervelo di nuovo	Strettamente necessario, § 25(2) n. 2 TDDDG
Lingua e tema scelti	Per mostrare il sito come lo avete lasciato	Strettamente necessario, § 25(2) n. 2 TDDDG

Il sito è una build statica servita da GitHub Pages (GitHub, Inc.), i cui server scrivono i log di accesso; noi non vi accediamo. I caratteri tipografici sono serviti da questo dominio: nessuna richiesta a Google Fonts, nessun CDN, nessun video incorporato, nessun plugin social. I dettagli, con nomi e durate dei cookie, sono nell’informativa sui cookie.

3.5 Assistenza e corrispondenza

Se ci scrivete — assistenza, richiesta sulla protezione dei dati, segnalazione di vulnerabilità — trattiamo il contenuto del messaggio, il vostro indirizzo e-mail e quanto scegliete di includere, per rispondervi. Basi giuridiche: artt. 6(1)(b) e (f) GDPR e art. 6(1)(c) quando la trattazione è obbligatoria per legge.

4. Basi giuridiche

Base	Cosa copre
Esecuzione del contratto, art. 6(1)(b) GDPR	Creazione del nome giocatore, erogazione dei rompicapo, registrazione dei punteggi, classifica, sblocco dell’acquisto
Legittimo interesse, art. 6(1)(f) GDPR	Log del server, prevenzione di abusi e frodi, analisi degli errori, misurazione aggregata senza cookie prima del consenso
Consenso, art. 6(1)(a) GDPR	Google Analytics sul sito e tutto ciò che, oltre lo strettamente necessario, viene memorizzato o letto sul dispositivo
Obbligo legale, art. 6(1)(c) GDPR	Documentazione fiscale e contabile degli acquisti, gestione delle richieste delle autorità

5. Come usiamo i dati

Usiamo i vostri dati per fornire e gestire Snapshots, mostrare la classifica, erogare rompicapo nella vostra lingua, verificare e ripristinare l’acquisto, rispondere ai vostri messaggi, mantenere sicuro il servizio, individuare e correggere difetti e adempiere agli obblighi di legge. Non profiliamo, non costruiamo audience pubblicitarie e non addestriamo modelli di IA con i vostri dati.

6. Chi riceve i dati

6.1 Responsabili del trattamento

Responsabile	Ruolo	Luogo
Civo Ltd.	Infrastruttura cloud — cluster Kubernetes, database PostgreSQL gestito, storage a oggetti compatibile S3 per le immagini	Londra, Regno Unito (`lon1`)
RevenueCat, Inc.	Gestione dell’acquisto in-app: validazione delle ricevute e stato dell’abilitazione, legati a un identificativo pseudonimo	Stati Uniti
Migadu Mail AG	Hosting e-mail per gli indirizzi di contatto e assistenza	Svizzera
Google Ireland Ltd.	Google Analytics 4 — solo sito web, e solo dopo il vostro consenso	SEE, con trasferimento ulteriore a Google LLC negli Stati Uniti
GitHub, Inc.	Hosting di questo sito statico (GitHub Pages)	Stati Uniti

OpenAI Ireland Ltd. genera le parole e le immagini dei rompicapo prima che un giocatore le veda, in un processo pianificato sui nostri server. Nessun dato utente viene inviato a OpenAI — né nome giocatore, né punteggio, né messaggi. OpenAI è quindi un fornitore di produzione di contenuti, non un destinatario dei vostri dati personali.

L’elenco può cambiare; lo stato attuale è mantenuto nel nostro registro dei sub-responsabili ed è disponibile scrivendo a data-protection@digitalfreedom.co.za.

6.2 Piattaforma e distribuzione

Apple Distribution International Ltd. agisce come titolare autonomo per la distribuzione su App Store, TestFlight e gli acquisti in-app. Apple è venditore dell’acquisto in UE/SEE, Regno Unito, Svizzera e Turchia (commissionario) e nostro agente altrove, dove il venditore è DigitalFreedom Global LLC. Apple non ci trasmette i vostri dati di pagamento e noi non vediamo mai dati di carte. Il trattamento proprio di Apple è regolato da https://www.apple.com/legal/privacy/.

6.3 Obblighi di legge

Comunichiamo dati quando lo impongono la legge, un procedimento giudiziario o una richiesta legittima dell’autorità, e non oltre.

6.4 Operazioni societarie

In caso di fusione, acquisizione o cessione di rami d’azienda i vostri dati potrebbero essere trasferiti. Ne sareste informati in anticipo, come indicato al § 15.

6.5 Nessuna vendita

Non vendiamo i vostri dati personali e non li condividiamo per pubblicità comportamentale cross-context.

7. Trasferimenti internazionali

Civo lon1 (Londra, Regno Unito) — coperto dalla decisione di adeguatezza della Commissione europea per il Regno Unito (art. 45 GDPR).
Migadu (Svizzera) — coperto dalla decisione di adeguatezza per la Svizzera (art. 45 GDPR).
RevenueCat, Inc. (Stati Uniti) — clausole contrattuali tipo dell’UE secondo il quadro DPA pubblicato da RevenueCat, con cifratura in transito e a riposo e identificativi pseudonimi. Nessun dato di carta: il pagamento è gestito da Apple.
Google Ireland Ltd. / Google LLC (Stati Uniti) — clausole contrattuali tipo (decisione di esecuzione (UE) 2021/914), UK International Data Transfer Addendum e adesione di Google all’EU-US Data Privacy Framework.
GitHub, Inc. (Stati Uniti) — clausole contrattuali tipo secondo le condizioni di protezione dei dati di Microsoft/GitHub.
Apple — titolare autonomo; trasferimenti infragruppo secondo le proprie garanzie.

Il titolare è stabilito fuori dal SEE. I trattamenti che svolgiamo avvengono quindi fuori dal SEE e vi applichiamo lo standard del GDPR come soglia minima mondiale (§ 1.2). Per i trasferimenti privi di decisione di adeguatezza ci basiamo sulle clausole contrattuali tipo, applichiamo le garanzie del capo V e valutiamo il diritto del Paese destinatario prima di incaricare un responsabile.

8. Conservazione

Dati	Durata
Nome giocatore e data di creazione	Fino a vostra richiesta di cancellazione
Punteggi in classifica	Fino a vostra richiesta di cancellazione
Log del server	30 giorni, poi cancellati
Dati di acquisto e abilitazione (RevenueCat, Apple)	Per la durata dell’abilitazione; documentazione fiscale 7 anni, il termine che vincola il titolare negli Stati Uniti
Corrispondenza di assistenza	3 anni dalla chiusura
Tracciabilità delle richieste privacy	6 anni dalla chiusura, responsabilizzazione ex art. 5(2) GDPR
Dati di Google Analytics	14 mesi

Cancellare significa cancellare, non contrassegnare. Ciò che conserviamo perché la legge lo impone è vincolato a quella sola finalità — si veda cancellazione dei dati.

8a. Dati sanitari

Nessuno. Snapshots non legge né scrive dati HealthKit e non offre funzioni di salute o fitness. L’art. 9 GDPR non è coinvolto.

8b. Accesso alle informazioni sul dispositivo

Indipendentemente dalla normativa sulla protezione dei dati, il § 25(1) TDDDG e l’art. 5(3) della direttiva 2002/58/CE richiedono il vostro consenso per memorizzare informazioni sul dispositivo o leggere quelle già presenti, siano o meno dati personali.

Cosa	Dove	Base
Database locale del gioco — scheda giocatore, rompicapo risolti, immagini, impostazioni	App	Strettamente necessario, § 25(2) n. 2 TDDDG
Cookie di Google Analytics	Sito web	Consenso, § 25(1) TDDDG
Scelta sui cookie, lingua e tema nel local storage	Sito web	Strettamente necessario, § 25(2) n. 2 TDDDG

Nessun identificatore pubblicitario viene letto su nessuna delle due superfici.

9. Sicurezza

Cifratura in transito (TLS); database e storage a oggetti cifrati a riposo
Controllo degli accessi con privilegio minimo; accesso amministrativo con autenticazione a più fattori
Richieste al backend autenticate con un token applicativo
Backup quotidiani del database
Risposta agli incidenti documentata secondo il nostro piano interno (artt. 33/34 GDPR)
Divulgazione coordinata delle vulnerabilità, pubblicata sulla pagina sicurezza e leggibile da macchina in /.well-known/security.txt

Nessun sistema è completamente sicuro e non rivendichiamo una sicurezza assoluta.

9.1 Notifica delle violazioni

Quando una violazione presenta probabilmente un rischio elevato per i vostri diritti e libertà (art. 34 GDPR), informiamo gli utenti interessati senza ingiustificato ritardo. Poiché Snapshots non conserva indirizzi e-mail, una comunicazione pubblica su questo sito è la via con cui possiamo raggiungervi; indicherà natura della violazione, categorie di dati coinvolte, probabili conseguenze, misure adottate e un contatto per ulteriori informazioni.

10. I vostri diritti

Ovunque viviate, potete esercitare almeno: accesso (art. 15), rettifica (art. 16), cancellazione (art. 17), limitazione (art. 18), portabilità (art. 20), opposizione (art. 21), revoca del consenso in qualsiasi momento e con la stessa facilità con cui è stato prestato (art. 7(3)) e reclamo a un’autorità di controllo.

10.2 Cosa aggiunge il vostro ordinamento

Diversi ordinamenti concedono di più o fissano termini, rimedi e figure designate differenti. Il § 17 è l’unico punto in cui ciò è indicato. Nulla nel § 17 abbassa la soglia minima.

10.3 Come esercitarli

Scrivete a data-protection@digitalfreedom.co.za o usate il modulo su https://data-protection.digitalfreedom.co.za. Poiché Snapshots non conserva indirizzi e-mail, indicateci il nome giocatore per permetterci di trovare i vostri dati. Rispondiamo entro un mese (art. 12(3) GDPR) o entro il termine più breve previsto dal vostro ordinamento.

11. Minori

Snapshots è un gioco per il pubblico generale e non si rivolge ai minori. L’età in cui un minore può prestare consenso a un trattamento è fissata dagli Stati membri tra 13 e 16 anni (art. 8(1) GDPR): questa informativa non indica quindi un numero unico. Non raccogliamo consapevolmente dati di minori al di sotto dell’età applicabile; se ne veniamo a conoscenza, li cancelliamo tempestivamente. Se siete genitori o tutori e ritenete che vostro figlio abbia creato un nome giocatore, scrivete a data-protection@digitalfreedom.co.za e lo rimuoveremo.

Descritti separatamente nell’informativa sui cookie, che riguarda il sito web. L’app non usa cookie e non contiene nessuno dei tag lì indicati.

13. Decisioni automatizzate e IA

13.1 Decisioni automatizzate

Non adottiamo decisioni automatizzate con effetti giuridici o analogamente significativi (art. 22 GDPR). La classifica è un elenco ordinato di punteggi, non una decisione su una persona.

13.2 L’IA in Snapshots

Le parole e le tre immagini indizio di ogni rompicapo sono generate con intelligenza artificiale — OpenAI GPT-4o per le parole e le traduzioni, DALL·E 3 per le immagini — in un processo pianificato sui nostri server, prima che il rompicapo raggiunga un giocatore. Due conseguenze:

Ogni immagine che vedete in Snapshots è contenuto generato dall’IA, non la fotografia di una scena reale. Questa divulgazione è resa nello spirito dell’art. 50 del regolamento sull’IA (regolamento (UE) 2024/1689) sulla trasparenza dei contenuti sintetici.
Nulla di ciò che fate arriva a OpenAI. Nome giocatore, punteggi, risposte e messaggi non sono mai trasmessi a un fornitore di IA e nessun vostro dato serve ad addestrare modelli.

13.3 Marketing

Non inviamo e-mail commerciali né notifiche push pubblicitarie. Non esistono newsletter né liste di distribuzione.

14. Link di terzi

I Servizi rimandano a siti di terzi — l’App Store, le informative dei responsabili, organismi di normazione. Non rispondiamo delle loro prassi.

15. Modifiche

Possiamo aggiornare questa informativa. Le modifiche sostanziali sono annunciate tramite i Servizi e, quando una modifica richiede il vostro consenso ai sensi della legge applicabile, lo acquisiamo prima che la modifica vi riguardi: il semplice uso continuato non vale mai come consenso. La data «Ultimo aggiornamento» indica la versione vigente.

16. Contatti

DigitalFreedom Global LLC, 30 N Gould St, Ste N, Sheridan, WY 82801, Stati Uniti

Protezione dei dati: data-protection@digitalfreedom.co.za · https://data-protection.digitalfreedom.co.za
Generale: hello@digitalfreedom.co.za
Assistenza: https://support.apps.digitalfreedom.co.za

Nell’UE e nel SEE potete inoltre rivolgervi all’autorità di controllo del vostro Paese.

17. Disposizioni regionali

Ciò che ogni ordinamento aggiunge alla soglia comune. Il § 10.1 fissa il minimo valido ovunque; nulla di quanto segue lo abbassa. Tutte le richieste: data-protection@digitalfreedom.co.za o https://data-protection.digitalfreedom.co.za.

17.1 Unione europea e SEE

Il trattamento è disciplinato dal GDPR, applicabile anche in Norvegia, Islanda e Liechtenstein tramite l’accordo SEE.
Non esiste un’autorità capofila: il titolare non è stabilito nell’Unione, quindi lo sportello unico dell’art. 56 GDPR non si applica.
Potete proporre reclamo all’autorità della vostra residenza abituale, del luogo di lavoro o del luogo della presunta violazione (art. 77 GDPR) — in Italia il Garante per la protezione dei dati personali; negli Stati SEE Datatilsynet (Norvegia), Persónuvernd (Islanda) o Datenschutzstelle (Liechtenstein).
Svolgiamo valutazioni d’impatto quando l’art. 35 le richiede.
Sull’età del consenso digitale, fissata tra 13 e 16 anni, si veda il § 11.

17.2 Regno Unito

Si applicano UK GDPR e Data Protection Act 2018. L’autorità di controllo è l’Information Commissioner’s Office (ICO), https://ico.org.uk.

17.3 Svizzera

La legge federale sulla protezione dei dati riveduta (nLPD) si applica ai trattamenti che producono effetti in Svizzera, indipendentemente dalla sede del titolare. Lo standard GDPR di questa informativa ne copre la sostanza.
Diritto d’accesso (art. 25 nLPD): in sostanza l’accesso dell’art. 15 GDPR; rispondiamo entro 30 giorni.
Notifica delle violazioni (art. 24 nLPD): dovuta all’IFPDT «il più rapidamente possibile». Il nostro piano segue il termine più breve, in pratica le 72 ore del GDPR.
Autorità competente: l’Incaricato federale della protezione dei dati e della trasparenza (IFPDT).

17.4 Stati Uniti

Il nucleo comune delle leggi statali. Le leggi organiche (Virginia, Colorado, Connecticut, Texas, Oregon e le altre) riconoscono in sostanza i diritti del § 10.1 e aggiungono due elementi:

Ricorso. In caso di rifiuto potete presentare ricorso a noi; la nostra risposta indica come rivolgersi al Procuratore generale del vostro Stato. Eccezione: Utah, la cui legge non prevede ricorso.
Termini. Rispondiamo entro 45 giorni, prorogabili una volta di ulteriori 45 con avviso. Eccezione: Iowa, la cui legge consente 90 giorni più 45; noi applichiamo il termine più breve.

Biometria (Illinois BIPA). Non sono raccolti identificatori biometrici; Snapshots non usa Face ID né Touch ID.

Dati sanitari del consumatore (Washington, Nevada). Snapshots non tratta dati sanitari: il My Health My Data Act e l’equivalente del Nevada non sono coinvolti e non viene pubblicata un’informativa separata.

Link «Do Not Sell or Share». Non richiesto: non vendiamo nulla e non condividiamo nulla per pubblicità comportamentale cross-context. Se ciò cambiasse, il link diverrebbe obbligatorio e comparirebbe.

California — informativa al momento della raccolta (CCPA/CPRA)

Fornita ai residenti in California al momento della raccolta o prima, ai sensi dei §§ 1798.100(a) e 1798.130(a)(5)(A) del Cal. Civ. Code. L’informativa completa: https://snapshots-quiz.app/it/privacy/.

Categoria (CCPA § 1798.140(v))	Cosa raccogliamo	Finalità	Comunicata per finalità commerciali?	Venduta o condivisa?
A. Identificativi	Nome giocatore; indirizzo IP; identificativo pseudonimo dell’acquisto	Classifica, erogazione, sicurezza, abilitazione	Sì — ai responsabili del § 6.1	No
B. Dati cliente	Stato dell’acquisto (sbloccato o no)	Ripristino dell’acquisto	Sì — RevenueCat, Apple	No
C. Categorie protette	Nessuna	—	—	—
D. Informazioni commerciali	L’acquisto in-app unico	Erogazione del servizio	Sì — Apple, RevenueCat	No
E. Dati biometrici	Nessuno	—	—	—
F. Attività di rete	Richieste al nostro backend; pagine viste dopo il consenso	Erogazione, sicurezza, misurazione aggregata	Sì — Civo, Google (solo sito)	No
G. Geolocalizzazione	Nessuna. L’IP è trattato per erogazione e sicurezza, non per localizzarvi	—	—	No
H. Dati sensoriali	Nessuno	—	—	—
I. Dati professionali	Nessuno	—	—	—
J. Dati scolastici	Nessuno	—	—	—
K. Inferenze	Nessuna	—	—	—
L. Dati personali sensibili	Nessuno	—	—	—

Non abbiamo venduto né condiviso dati personali di residenti in California e non intendiamo farlo. Le durate sono al § 8. I vostri diritti — conoscere, cancellare, correggere, portabilità, non discriminazione — si esercitano a data-protection@digitalfreedom.co.za; verifichiamo le richieste in modo proporzionato al rischio e rispondiamo entro 45 giorni, prorogabili una volta di 45. Un rappresentante autorizzato è accettato con prova del mandato.

Shine the Light (§ 1798.83): non comunichiamo dati personali a terzi per loro finalità di marketing diretto; la risposta annuale è «nessuno». Global Privacy Control è rispettato come valido segnale di opt-out; poiché non vendiamo né condividiamo, in pratica non cambia nulla, ma viene riconosciuto. Reclami: California Privacy Protection Agency, 2101 Arena Boulevard, Sacramento, CA 95834, https://cppa.ca.gov/complaint/, o il Procuratore generale della California.

17.5 Canada

Consenso (PIPEDA, principio 3): espresso quando l’informazione è sensibile o la finalità non evidente; implicito quando è evidente e i dati non sono sensibili. Revoca in qualsiasi momento, fatte salve limitazioni legali o contrattuali e un preavviso ragionevole.
I vostri diritti: accesso e copia, contestazione dell’esattezza e correzione, revoca del consenso, reclamo all’Ufficio del Commissario per la privacy del Canada, https://www.priv.gc.ca. Rispondiamo entro 30 giorni (PIPEDA § 8(4)).
Québec (Legge 25): la persona responsabile della protezione dei dati personali è Marcel R. G. Berger, data-protection@digitalfreedom.co.za, 30 N Gould St, Ste N, Sheridan, WY 82801, Stati Uniti. Prima di qualsiasi comunicazione fuori dal Québec si svolge una valutazione dei fattori relativi alla vita privata; le destinazioni sono Regno Unito e Svizzera (adeguati) e Stati Uniti con clausole contrattuali tipo. Potete chiedere i vostri dati in un formato tecnologico strutturato e di uso corrente e siete informati di ogni decisione basata esclusivamente su un trattamento automatizzato — non ne adottiamo. La versione francese è su https://snapshots-quiz.app/fr/confidentialite/.
CASL: non inviamo alcun messaggio elettronico commerciale.
Le leggi provinciali (BC PIPA, Alberta PIPA) si applicano quando più protettive; reclami anche a OIPC BC e OIPC Alberta.

17.6 Australia e Nuova Zelanda

Australia: il Privacy Act 1988 e gli Australian Privacy Principles si applicano a un’entità estera che opera in Australia. L’APP 12 fissa 30 giorni per l’accesso. L’APP 8 ci rende responsabili del trattamento da parte di un destinatario estero — una delle ragioni per cui ogni destinatario è indicato al § 6. Reclami: Office of the Australian Information Commissioner (OAIC).
Nuova Zelanda: il Privacy Act 2020 si applica a un’entità estera che opera in Nuova Zelanda. L’IPP 12 limita la comunicazione fuori dal Paese; le richieste di accesso ricevono risposta entro 20 giorni lavorativi. Reclami: Office of the Privacy Commissioner (NZ).

17.7 Brasile (LGPD)

Encarregado (art. 41 LGPD): Marcel R. G. Berger, data-protection@digitalfreedom.co.za, 30 N Gould St, Ste N, Sheridan, WY 82801, Stati Uniti. Questa informativa è la pubblicazione di tali recapiti richiesta dalla Risoluzione CD/ANPD n. 18/2024.
Basi legali (art. 7): esecuzione del contratto (V) per gioco, classifica e acquisto; obbligo legale (II) per i termini di conservazione; legittimo interesse (IX) per sicurezza e analisi degli errori; consenso (I) per l’analisi del sito.
Diritti dell’art. 18: conferma, accesso, correzione, anonimizzazione, blocco o eliminazione di dati non necessari, portabilità, eliminazione dei dati trattati sulla base del consenso, informazioni sulle condivisioni e sulle conseguenze del rifiuto, e revoca. Rispondiamo entro 15 giorni (art. 19 § 3).
Trasferimenti (art. 33): adeguatezza per Regno Unito e Svizzera, garanzie contrattuali per le tratte statunitensi.
Minori (art. 14): il trattamento dei dati di un minore di 12 anni richiede un consenso parentale specifico ed evidenziato; non gestiamo tale meccanismo e non trattiamo quindi consapevolmente tali dati.
Incidenti (art. 48): ANPD e interessati vengono informati; il nostro obiettivo sono 72 ore. Reclami: https://www.gov.br/anpd. La versione portoghese è su https://snapshots-quiz.app/pt/privacidade/.

17.8 India (DPDP Act, 2023)

DigitalFreedom Global LLC è Data Fiduciary e non è designata Significant Data Fiduciary.
Consenso (§ 6): libero, specifico, informato, incondizionato e inequivocabile, con atto positivo chiaro, revocabile con la stessa facilità con cui è stato dato.
I vostri diritti (§§ 11–14): accesso a ciò che viene trattato e ai destinatari; correzione, completamento e cancellazione; gestione dei reclami; designazione di un’altra persona per esercitare i vostri diritti in caso di decesso o incapacità.
Grievance Officer (§ 8(10), IT Rules 2021): Marcel R. G. Berger, data-protection@digitalfreedom.co.za. Riscontro entro 24 ore; risoluzione entro 15 giorni, estesi a 30 per reclami complessi con spiegazione. Escalation: il Data Protection Board of India, una volta costituito.
Minori (§ 9): i dati di una persona sotto i 18 anni sono trattati solo con consenso parentale verificabile; nessun tracciamento, nessun monitoraggio comportamentale, nessuna pubblicità rivolta a minori — non c’è alcuna pubblicità.
Trasferimenti (§ 16): consentiti salvo verso destinazioni notificate come limitate; nessuna delle destinazioni usate lo è attualmente.

17.9 Giappone (APPI)

L’APPI si applica a un operatore estero che acquisisce informazioni personali in relazione alla fornitura di servizi a persone in Giappone; Snapshots è quindi coperto.
Specificazione della finalità: la finalità d’uso è determinata nel modo più ristretto possibile e pubblicata qui. Un cambio di finalità è limitato a ciò che resta in connessione rilevante con quella originaria; oltre, serve un nuovo consenso.
Comunicazione a terzi all’estero: nessun dato utente è comunicato a terzi per finalità proprie. I responsabili del § 6.1 agiscono su nostra istruzione; i Paesi interessati sono Regno Unito, Svizzera e Stati Uniti e le garanzie sono al § 7.
Informazioni rese pubbliche (art. 32): nome e indirizzo dell’operatore, finalità d’uso, procedura per le richieste di divulgazione e contatto per i reclami figurano in questa informativa e nelle note legali. Rappresentante: Marcel R. G. Berger.
Notifica delle violazioni: rapporto preliminare alla Personal Information Protection Commission entro circa 3–5 giorni e rapporto finale entro 30 giorni (60 in caso di accesso abusivo).
Non viene inviata posta pubblicitaria: il regime 特定電子メール法 non è coinvolto.

17.10 Corea (PIPA)

La PIPA si applica a un operatore estero che tratta informazioni personali offrendo servizi a interessati in Corea; Snapshots è quindi coperto.
Consenso analitico e separato: quando la base è il consenso, viene raccolto separatamente per ciascuna voce, distinguendo voci obbligatorie e facoltative; il rifiuto di una voce facoltativa non blocca mai il servizio.
Trasferimento transfrontaliero: destinatari, Paesi di destinazione, voci trasferite e finalità sono ai §§ 6 e 7.
Minori di 14 anni: il trattamento richiede il consenso del rappresentante legale. Snapshots non si rivolge ai minori; vale il § 11.
Termini: le richieste di accesso, correzione, cancellazione e sospensione sono trattate entro 10 giorni, altrimenti ne comunichiamo motivo e tempi. Tale termine è più breve del mese del GDPR e prevale.
Violazioni: gli interessati sono informati senza indugio; oltre la soglia di legge la Personal Information Protection Commission è informata entro 72 ore.

17.11 Turchia (KVKK)

La KVKK (legge n. 6698) ricalca il GDPR nell’impianto ma si appoggia di più al consenso esplicito come base generale; ogni trattamento è valutato separatamente secondo il diritto turco.
I trasferimenti all’estero si fondano sulle garanzie del § 7 e, ove necessario, sul vostro consenso esplicito dopo l’informativa sul trasferimento.
Termine: 30 giorni. Potete rivolgervi alla Kişisel Verileri Koruma Kurumu dopo esservi rivolti prima a noi, entro 30 giorni dalla nostra risposta o 60 dalla vostra richiesta.

17.12 Sudafrica (POPIA)

Il § 3(1) della POPIA si applica a un titolare domiciliato nella Repubblica o a un trattamento con mezzi ivi situati. Nessuno dei due è il caso: il titolare è domiciliato in Wyoming e tratta su server a Londra. Un dominio .co.za è un nome, non un mezzo di trattamento: la legge non è quindi applicabile ai fatti attuali. Le richieste in stile POPIA ricevono comunque risposta attraverso gli stessi canali e negli stessi tempi di ogni altro luogo — un impegno di servizio, non un riconoscimento di applicabilità. Due punti in cui la POPIA si discosterebbe dalla soglia GDPR, detti senza giri di parole: considera minore chiunque abbia meno di 18 anni e il suo § 22(1) impone la notifica delle violazioni senza la soglia di rischio elevato del GDPR; il nostro piano segue lo standard GDPR. Information Regulator: JD House, 27 Stiemens Street, Braamfontein, Johannesburg, 2001, https://inforegulator.org.za.

17.13 Tutti gli altri Paesi

Ovunque l’App Store distribuisca e nessuna sezione precedente si applichi: la soglia GDPR di questa informativa è il vostro minimo (§ 1.2), qualsiasi norma locale imperativa più protettiva prevale, e ogni richiesta passa da data-protection@digitalfreedom.co.za o https://data-protection.digitalfreedom.co.za.

Informativa sulla privacy