Informativa sulla Privacy

1. Titolare del trattamento

Il Titolare del trattamento è FA Analytics S.r.l.s., in costituzione (di seguito il "Titolare"). Fino alla sua costituzione, il trattamento è svolto dal socio fondatore che gestisce la piattaforma SoccerBetting.win, residente nella Repubblica Italiana; la società subentra nei trattamenti in corso e questa informativa sarà aggiornata con i suoi dati. Il Titolare può essere contattato all'indirizzo support@soccerbetting.win per qualsiasi questione relativa al trattamento dei dati personali, incluso l'esercizio dei diritti di cui alla sezione 10.

2. Categorie di dati trattati

Il Servizio tratta le seguenti categorie di dati personali:

a) Dati di registrazione e account: nome e cognome, indirizzo email, password (conservata esclusivamente in forma cifrata tramite hashing, mai in chiaro), Paese di residenza, data e ora di accettazione dei Termini e Condizioni, piano di abbonamento attivo.

b) Dati di fatturazione e fiscali: non sono raccolti dal Titolare in fase di registrazione, ma al momento del pagamento. Per determinare l'IVA, il Titolare tratta sempre il Paese, il CAP e l'indirizzo IP indicati al pagamento e il Paese di emissione della carta comunicato da Stripe. Solo se l'utente chiede la fattura o acquista come impresa, il Titolare tratta anche nome e cognome o ragione sociale, indirizzo, codice fiscale o partita IVA e codice destinatario o PEC (sezione 5).

c) Dati di navigazione e tecnici: indirizzo IP, log di accesso e di autenticazione, identificativi di sessione, tipo di browser e dispositivo, dati generati automaticamente dai sistemi di sicurezza dell'infrastruttura (es. protezione anti-abuso e anti-DDoS di Cloudflare).

d) Dati di utilizzo del Servizio: preferenze d'uso e cronologia sintetica delle analisi visualizzate. Alcuni di questi dati (es. lo storico giornaliero dei conteggi delle analisi) sono conservati esclusivamente in locale sul dispositivo dell'utente tramite localStorage del browser e non vengono trasmessi ai server del Titolare.

e) Dati di pagamento: gli estremi completi degli strumenti di pagamento (es. numero di carta) NON sono trattati né conservati dal Titolare, ma esclusivamente da Stripe, indicata alla sezione 5. Il Titolare riceve unicamente l'esito della transazione, il Paese della carta e i dati relativi all'abbonamento acquistato (piano, stato, importi e ricevute).

f) Dati della lista d'attesa: nome, indirizzo email ed eventuale codice di invito, raccolti per informare l'utente sul lancio del Servizio.

3. Finalità e basi giuridiche del trattamento

a) Erogazione del Servizio (creazione e gestione dell'account, autenticazione, fornitura dei contenuti in base al piano sottoscritto, gestione dell'abbonamento e dei pagamenti) — base giuridica: esecuzione del contratto, art. 6, par. 1, lett. b) GDPR.

b) Adempimenti contabili e fiscali del Titolare (determinazione dell'IVA, emissione delle fatture richieste, tenuta della documentazione contabile e delle prove del Paese del cliente) — base giuridica: obbligo legale, art. 6, par. 1, lett. c) GDPR.

c) Sicurezza dell'infrastruttura (prevenzione di accessi abusivi, frodi anche nei pagamenti, attacchi informatici; log tecnici) — base giuridica: legittimo interesse del Titolare alla sicurezza del Servizio, art. 6, par. 1, lett. f) GDPR.

d) Verifica del requisito di età (dichiarazione di maggiore età in fase di registrazione) — base giuridica: legittimo interesse alla tutela dei minori, art. 6, par. 1, lett. f) GDPR.

e) Comunicazioni di servizio (email di conferma registrazione, reset password, avvisi su modifiche ai Termini) — base giuridica: esecuzione del contratto, art. 6, par. 1, lett. b) GDPR. Eventuali comunicazioni promozionali saranno inviate solo previo consenso espresso (art. 6, par. 1, lett. a) GDPR), revocabile in qualsiasi momento.

f) Lista d'attesa (informare l'utente sul lancio del Servizio) — base giuridica: misure precontrattuali adottate su richiesta dell'interessato, art. 6, par. 1, lett. b) GDPR.

4. Natura del conferimento

Il conferimento dei dati contrassegnati come obbligatori in fase di registrazione è necessario per la creazione dell'account e l'erogazione del Servizio; il mancato conferimento rende impossibile la registrazione.

5. Modalità del trattamento e responsabili

I dati sono trattati con strumenti informatici e telematici, con misure di sicurezza adeguate ai sensi dell'art. 32 GDPR (cifratura in transito tramite TLS, cifratura a riposo, controllo degli accessi, hashing delle password).

Il Titolare si avvale dei seguenti fornitori, nominati responsabili del trattamento ai sensi dell'art. 28 GDPR o operanti come autonomi titolari secondo le rispettive informative:

Supabase, Inc.— servizi di autenticazione e database per la gestione degli account utente. I dati sono ospitati su infrastruttura cloud con possibilità di selezione della regione di hosting; il Titolare utilizza, ove disponibile, una regione di hosting nell'Unione Europea. Informativa: supabase.com/privacy.

Cloudflare, Inc.— infrastruttura di erogazione del sito e delle API (Cloudflare Workers/Pages), rete di distribuzione dei contenuti (CDN), protezione DDoS, sicurezza perimetrale e inoltro della posta elettronica. Cloudflare tratta dati tecnici di connessione (indirizzi IP, log di rete) necessari all'erogazione e alla sicurezza e, per l'inoltro della posta, i messaggi inviati agli indirizzi @soccerbetting.win. Informativa: cloudflare.com/privacypolicy.

Stripe Payments Europe, Ltd.— i pagamenti sono elaborati da Stripe Payments Europe, Ltd. (Irlanda). Stripe tratta i dati della carta per eseguire il pagamento e, come titolare autonomo, per prevenire frodi e adempiere agli obblighi antiriciclaggio; il Titolare non riceve né conserva i numeri della carta. Da Stripe il Titolare riceve l'esito del pagamento, il Paese della carta e i dati dell'abbonamento. Per determinare l'IVA il Titolare tratta il Paese, il CAP e l'indirizzo IP indicati al pagamento, e li conserva 10 anni come richiesto dalla normativa fiscale. Se l'utente chiede la fattura o acquista come impresa, il Titolare tratta anche nome o ragione sociale, indirizzo, codice fiscale o partita IVA e codice destinatario o PEC. Alcuni dati possono essere trasferiti negli Stati Uniti sulla base del Data Privacy Framework o delle clausole contrattuali standard. Informativa: stripe.com/privacy.

Resend, Inc.— invio delle email transazionali e di servizio (conferme, reimpostazione password, comunicazioni sulla lista d'attesa). Informativa: resend.com/legal/privacy-policy.

Google Ireland Limited — gestione della casella di assistenza support@soccerbetting.win. Informativa: policies.google.com/privacy.

I dati sportivi elaborati dalla piattaforma (statistiche di partite, prezzi di mercato, eventi) sono forniti da fornitori terzi di dati sportivi e non contengono dati personali degli utenti; nessun dato degli utenti viene comunicato a tali fornitori.

6. Trasferimenti extra-UE

Alcuni fornitori sopra indicati hanno sede fuori dall'Unione Europea (Supabase, Inc., Cloudflare, Inc. e Resend, Inc. negli Stati Uniti). Stripe Payments Europe, Ltd. ha sede in Irlanda; i trasferimenti di alcuni dati di pagamento negli Stati Uniti sono indicati alla sezione 5. Eventuali trasferimenti di dati personali verso Paesi extra-UE avvengono sulla base di garanzie adeguate ai sensi degli artt. 44-49 GDPR, in particolare:

(a) le decisioni di adeguatezza della Commissione Europea, inclusa quella relativa all'EU-U.S. Data Privacy Framework (10 luglio 2023), per i fornitori e i Paesi che vi rientrino; e/o

(b) le Clausole Contrattuali Standard (SCC) adottate dalla Commissione Europea con Decisione 2021/914, integrate ove necessario da misure supplementari. Copia delle garanzie può essere richiesta al Titolare.

7. Periodi di conservazione

Dati account: per tutta la durata del rapporto e fino a 12 mesi dalla chiusura dell'account, salvo obblighi di conservazione più lunghi.

Documentazione contabile e fiscale, inclusi il Paese, il CAP, l'indirizzo IP e il Paese della carta usati per determinare l'IVA: 10 anni, ai sensi dell'art. 2220 c.c. e della normativa tributaria (art. 22 D.P.R. 600/1973).

Log tecnici e di sicurezza: di norma fino a 12 mesi, salvo esigenze di accertamento di illeciti.

Dati della lista d'attesa: fino al lancio e comunque non oltre 12 mesi dall'iscrizione, salvo che l'utente si registri.

Dati in localStorage: risiedono esclusivamente sul dispositivo dell'utente, che può cancellarli in autonomia in qualsiasi momento tramite le impostazioni del browser.

8. Cookie e tecnologie locali

Il Servizio utilizza esclusivamente cookie e tecnologie tecniche strettamente necessarie: token di sessione per l'autenticazione (gestiti da Supabase Auth), eventuali cookie di sicurezza dell'infrastruttura Cloudflare, e localStorage per preferenze e dati d'uso locali. Per tali strumenti tecnici non è richiesto il consenso ai sensi del provvedimento del Garante del 10 giugno 2021 sulle Linee guida cookie.

Il Servizio non utilizza attualmente cookie di profilazione né strumenti di tracciamento di terze parti a fini pubblicitari. Qualora in futuro venissero introdotti, questa informativa sarà aggiornata e sarà richiesto il consenso preventivo tramite apposito banner.

9. Minori

Il Servizio è riservato a soggetti maggiorenni. Il Titolare non raccoglie consapevolmente dati di minori di 18 anni. Qualora venisse a conoscenza della registrazione di un minore, il Titolare procederà alla chiusura dell'account e alla cancellazione dei relativi dati.

10. Diritti dell'interessato

Ai sensi degli artt. 15-22 GDPR, l'utente ha diritto di:

accesso (art. 15) — ottenere conferma del trattamento e copia dei dati; rettifica (art. 16) — correggere dati inesatti; cancellazione (art. 17, "diritto all'oblio") — nei casi previsti; limitazione (art. 18); portabilità (art. 20) — ricevere i dati in formato strutturato e leggibile da dispositivo automatico; opposizione (art. 21) — in particolare ai trattamenti basati sul legittimo interesse; revoca del consenso (art. 7) — in qualsiasi momento, senza pregiudicare la liceità del trattamento precedente.

Le richieste possono essere inviate all'indirizzo support@soccerbetting.win. Il Titolare risponde entro un mese dalla richiesta (art. 12 GDPR), prorogabile di due mesi nei casi complessi.

L'utente ha inoltre diritto di proporre reclamo al Garante per la Protezione dei Dati Personali (www.garanteprivacy.it — Piazza Venezia 11, 00187 Roma) o all'autorità di controllo del proprio Stato membro di residenza abituale, ai sensi dell'art. 77 GDPR.

11. Processi decisionali automatizzati

I contenuti del Servizio (analisi statistiche e segnali) sono generati da algoritmi, ma tali elaborazioni riguardano dati sportivi, non dati personali degli utenti. Il Titolare non effettua sugli utenti processi decisionali automatizzati che producano effetti giuridici o incidano significativamente sulla loro persona ai sensi dell'art. 22 GDPR, né attività di profilazione.

12. Modifiche alla presente informativa

La presente informativa può essere aggiornata per riflettere modifiche normative, tecniche o organizzative (ad esempio l'integrazione di nuovi fornitori). Le versioni aggiornate saranno pubblicate su questa pagina con indicazione della data; le modifiche sostanziali saranno comunicate agli utenti registrati via email.