Privacy Policy

La presente informativa è resa ai sensi degli articoli 13 e 14 del Regolamento (UE) 2016/679 (GDPR) e descrive le modalità di trattamento dei dati personali degli utenti che visitano il sito store.imperiumcity.it (di seguito, "il Sito" o "lo Store") e il sito beta.imperiumcity.it, dedicato alla registrazione alla Closed Beta (vedi sezione 12).

L'informativa si riferisce esclusivamente al Sito e non ad altri siti web eventualmente raggiungibili tramite link in esso contenuti, di cui Imperium non è responsabile (ad esempio Discord, Stripe, social network).

1. Titolare del trattamento

Titolare del trattamento dei dati personali raccolti tramite il Sito è:

Non è stato nominato un Responsabile della Protezione dei Dati (DPO) in quanto il trattamento non rientra fra i casi di nomina obbligatoria previsti dall'art. 37 GDPR. Per ogni richiesta relativa ai tuoi dati, scrivi all'indirizzo email indicato sopra.

2. Tipologie di dati raccolti

Lo Store raccoglie e tratta le seguenti categorie di dati personali:

2.1 Dati forniti volontariamente dall'utente

• Nickname Minecraft, inserito al momento del checkout per identificare il destinatario in gioco dei beni virtuali acquistati.
• Indirizzo email, richiesto al checkout per l'invio della ricevuta d'acquisto e per comunicazioni di servizio relative all'ordine (conferme, problemi di consegna, modifiche).

2.2 Dati raccolti automaticamente

• Indirizzo IP, user-agent, data e ora delle richieste, registrati nei log dei server per finalità di sicurezza, prevenzione frodi, debugging e statistiche aggregate.
• Dati di sessione e carrello, memorizzati nel browser dell'utente (localStorage) per consentire il completamento dell'ordine. Non vengono trasmessi al server fino al checkout.
• Cookie, secondo quanto descritto nella Cookie Policy.

2.3 Dati di pagamento

• I dati delle carte di credito/debito e gli altri strumenti di pagamento sono gestiti integralmente da Stripe Inc. o da PayPal, a seconda del metodo scelto, e non transitano mai sui server di Imperium. Lo Store riceve dal gateway solo l'esito della transazione, un identificativo opaco e l'importo. Per maggiori informazioni vedi la Privacy Policy di Stripe e la Privacy Policy di PayPal.

3. Finalità del trattamento

I dati personali sono trattati per le seguenti finalità:

• (a) Esecuzione del contratto, perfezionamento dell'ordine, accredito dei beni virtuali (rank VIP, pacchetti, Aureon) nel server di gioco, gestione di rimborsi e dispute.
• (b) Assistenza post-vendita, risposta alle richieste tramite email o Discord, gestione di reclami e segnalazioni.
• (c) Adempimenti di legge, emissione di ricevute, obblighi fiscali, conservazione documentale ai sensi del DPR 633/72 e del DPR 600/73.
• (d) Sicurezza e prevenzione frodi, analisi dei log, rilevamento di accessi anomali, blocco di tentativi di abuso, dispute handling.
• (e) Statistiche aggregate, solo previo consenso, misurazione delle visite e delle conversioni in forma anonima.
• (f) Marketing diretto, solo previo consenso esplicito, invio di comunicazioni promozionali via email su promozioni e novità. Il consenso si presta selezionando la casella dedicata al checkout o iscrivendosi alla newsletter, ed è revocabile in ogni momento tramite il link di disiscrizione presente in ogni email.

4. Basi giuridiche del trattamento

• Finalità (a), (b): esecuzione di un contratto di cui l'utente è parte e di misure precontrattuali (art. 6.1.b GDPR).
• Finalità (c): obblighi di legge (art. 6.1.c GDPR).
• Finalità (d): legittimo interesse del Titolare alla sicurezza dei sistemi (art. 6.1.f GDPR).
• Finalità (e), (f): consenso esplicito dell'interessato (art. 6.1.a GDPR), revocabile in qualsiasi momento.

Il conferimento dei dati per le finalità (a), (b), (c), (d) è necessario per la fruizione del servizio: un eventuale rifiuto rende impossibile completare l'ordine. Il conferimento per le finalità (e), (f) è invece facoltativo e revocabile.

5. Modalità del trattamento

I dati sono trattati con strumenti informatici, adottando misure di sicurezza tecniche e organizzative adeguate ai sensi dell'art. 32 GDPR, tra cui:

• cifratura in transito (TLS 1.2+);
• cifratura at-rest dei dati più sensibili (es. secret 2FA degli amministratori);
• controllo degli accessi basato sui ruoli;
• autenticazione a due fattori obbligatoria sul pannello di amministrazione;
• logging degli accessi e audit trail delle operazioni sensibili;
• protezione anti-brute-force con rate limiting e lockout dell'account;
• backup periodici dei database, conservati cifrati;
• aggiornamento regolare delle dipendenze software per chiudere vulnerabilita' note.

I dati non sono sottoposti a processi decisionali automatizzati né a profilazione automatizzata in grado di produrre effetti giuridici sull'interessato ai sensi dell'art. 22 GDPR.

6. Periodo di conservazione

I dati personali sono conservati per i seguenti tempi:

• Dati ordine (nickname, email, contenuto ordine, ricevute): 10 anni dalla data della transazione, ai sensi degli obblighi fiscali previsti dall'art. 2220 c.c.
• Log tecnici e di sicurezza (IP, user-agent, log accessi): massimo 12 mesi, salvo conservazione superiore in caso di richiesta dell'Autorità Giudiziaria nell'ambito di indagini in corso.
• Cookie e dati di tracciamento opt-in: secondo la durata indicata nella Cookie Policy, comunque non oltre la revoca del consenso da parte dell'utente.
• Email di marketing (quando attivate): fino alla revoca del consenso, senza limite massimo predefinito.

7. Destinatari e responsabili del trattamento

I dati possono essere comunicati ai seguenti soggetti, che agiscono in qualità di Responsabili del trattamento ai sensi dell'art. 28 GDPR, sulla base di apposito contratto:

• Stripe Inc. (sede Stati Uniti), processamento pagamenti con carta. Trasferimento extra-UE coperto dalle Standard Contractual Clauses (Clausole Contrattuali Standard ex art. 46 GDPR). Privacy Policy: stripe.com/it/privacy.
• Aruba S.p.A. (sede Italia), fornitore SMTP per l'invio delle email transazionali (ricevute) tramite l'indirizzo [email protected]. Privacy Policy: aruba.it/informativa-privacy.
• PayPal (Europe) S.à r.l. et Cie, S.C.A. (sede Lussemburgo), processamento dei pagamenti PayPal. Riceve email e importo dell'ordine ai fini della transazione. Privacy Policy: paypal.com/it/legalhub/privacy-full.
• Cloudflare Inc. (sede Stati Uniti), servizi CDN, protezione DDoS e reverse proxy davanti al Sito. Tratta indirizzo IP e metadati tecnici delle richieste. Trasferimento extra-UE coperto da certificazione EU-U.S. Data Privacy Framework e Clausole Contrattuali Standard.
• Servizi di rendering avatar Minecraft (minotar.net e mc-heads.net, Stati Uniti): quando il Sito o l'email di ricevuta mostrano la testa della skin del giocatore, il browser o il client di posta richiedono l'immagine a questi servizi, comunicando loro il solo nickname pubblico di gioco e l'indirizzo IP del visitatore, come per qualsiasi risorsa esterna.
• Discord Inc. (sede Stati Uniti), solo se l'utente sceglie di accedere con Discord: lo Store riceve l'identificativo dell'account Discord al fine di verificare l'identità di gioco collegata. Trasferimento extra-UE coperto dalle garanzie del Capo V GDPR.
• Hosting provider VPS (sede Unione Europea), server che ospita lo Store e i database. I dati restano all'interno dello Spazio Economico Europeo.

I dati possono inoltre essere comunicati ad autorità pubbliche competenti (Forze dell'Ordine, Autorità Giudiziaria, Garante Privacy) in ottemperanza a obblighi di legge o a richieste motivate.

I dati personali non vengono ceduti a terzi per finalità commerciali né rivenduti per profilazione di terze parti.

8. Trasferimento di dati al di fuori dello Spazio Economico Europeo

Alcuni fornitori (in particolare Stripe per i pagamenti, Cloudflare, i servizi di rendering avatar e Discord) hanno sede o trattano dati al di fuori dello Spazio Economico Europeo. In tali casi il trasferimento avviene sulla base delle garanzie previste dal Capo V del GDPR, in particolare:

• Clausole Contrattuali Standard approvate dalla Commissione Europea con Decisione 2021/914 (art. 46.2.c GDPR);
• ove applicabili, decisioni di adeguatezza ai sensi dell'art. 45 GDPR (es. EU-U.S. Data Privacy Framework per soggetti certificati).

9. Diritti dell'interessato

Ai sensi degli articoli 15-22 del GDPR, l'utente può esercitare in qualsiasi momento i seguenti diritti:

• Diritto di accesso (art. 15), chiedere conferma dell'esistenza di un trattamento e ottenere copia dei dati.
• Diritto di rettifica (art. 16), chiedere la correzione di dati inesatti o incompleti.
• Diritto di cancellazione (art. 17), chiedere la cancellazione dei dati ("diritto all'oblio"), fermi restando gli obblighi di conservazione di legge.
• Diritto di limitazione (art. 18), chiedere la limitazione del trattamento in casi specifici.
• Diritto alla portabilità (art. 20), ricevere i dati in formato strutturato, comune e leggibile da dispositivo automatico.
• Diritto di opposizione (art. 21), opporsi al trattamento per legittimo interesse e al marketing diretto.
• Diritto di revoca del consenso (art. 7.3), revocare in qualsiasi momento il consenso prestato, senza pregiudicare la liceità del trattamento basato sul consenso prestato prima della revoca.
• Diritto di reclamo (art. 77), proporre reclamo al Garante per la protezione dei dati personali o all'autorità di controllo dello Stato membro di residenza, lavoro o luogo della presunta violazione.

Per esercitare questi diritti scrivi a [email protected], allegando un documento di identità per ragioni di sicurezza. Risponderemo entro 30 giorni, prorogabili di altri due mesi in caso di particolare complessità.

10. Cookie e tecnologie simili

Per il dettaglio dei cookie utilizzati, delle finalità, della durata e delle modalità di gestione del consenso, si rinvia alla Cookie Policy, che costituisce parte integrante della presente informativa.

11. Minori

Lo Store è rivolto a un pubblico di età pari o superiore ai 14 anni, in conformità all'art. 8 GDPR e all'art. 2-quinquies del Codice Privacy italiano (D.lgs. 196/2003). Per i minori di 14 anni è richiesto il consenso del titolare della potestà genitoriale.

Se sei un genitore o tutore e ritieni che un minore di 14 anni abbia fornito dati personali tramite lo Store, contatta [email protected]: provvederemo alla cancellazione immediata.

12. Closed Beta (beta.imperiumcity.it)

Il sito beta.imperiumcity.it consente di riscattare un codice invito e registrarsi alla lista d'attesa della Closed Beta del server. A tal fine vengono raccolti:

• Codice invito, nickname Minecraft e indirizzo email, necessari per registrare l'accesso, inviare l'email di conferma e quella di benvenuto. Base giuridica: esecuzione di misure precontrattuali richieste dall'interessato (art. 6.1.b GDPR).
• Indirizzo IP e log tecnici, per sicurezza e prevenzione degli abusi (art. 6.1.f GDPR), conservati al massimo 12 mesi.
• Consenso marketing facoltativo: solo se selezioni la casella dedicata, l'email viene usata anche per news, eventi e offerte (art. 6.1.a GDPR). Il consenso non è necessario per registrarsi ed è revocabile in qualsiasi momento scrivendo a [email protected].

Il form è protetto da Cloudflare Turnstile, che tratta metadati tecnici della richiesta per distinguere gli utenti reali dai bot (vedi sezioni 7 e 8 per Cloudflare). I dati della registrazione beta sono conservati per la durata della fase di beta e cancellati o anonimizzati entro 12 mesi dalla sua conclusione. Valgono i diritti descritti nella sezione 9.

13. Modifiche all'informativa

Imperium si riserva il diritto di modificare la presente informativa in qualsiasi momento per adeguarla a sopravvenute esigenze normative o operative. La versione aggiornata sarà sempre disponibile a questa pagina e la data dell'ultimo aggiornamento è indicata in cima al documento.

In caso di modifiche sostanziali che riguardino finalità basate sul consenso, l'utente sarà nuovamente invitato a prestarlo.