Privacy dell'app

L'interesse che perseguiamo. L'interesse è sapere quando e dove l'app si blocca, per correggerla. È un interesse concreto e attuale: l'app gestisce formazioni con una scadenza, e un crash nel momento sbagliato fa perdere una giornata di gioco a chi si è iscritto alla stagione. Senza i rapporti, un difetto che colpisce un modello di telefono resta invisibile finché qualcuno non scrive all'assistenza, e spesso nessuno scrive.

Perché non c'è una strada meno invasiva. Non esiste un modo meno invasivo di ottenere la stessa informazione. Chiedere alle persone di descrivere il crash non funziona: chi lo subisce non vede la traccia dell'errore e non sa quale riga del codice l'ha causato. I test prima del rilascio si fanno su pochi dispositivi, e la varietà di telefoni Android è proprio ciò che li rende insufficienti. Il dato raccolto è limitato a ciò che serve a riprodurre l'errore: nessun contenuto di gioco, nessuna email, nessun nome utente.

Il bilanciamento con i tuoi diritti. L'impatto sulla persona è basso. Il rapporto non contiene il suo nome, la sua email o ciò che ha scritto nell'app, e l'identificativo dell'installazione è casuale e diverso da quello dell'account: serve a contare quante installazioni sono colpite dallo stesso errore, non a riconoscere chi le usa. Chi installa un'app si aspetta ragionevolmente che lo sviluppatore ne corregga i difetti, e che per farlo sappia quando si verificano. Il punto che pesa di più è il luogo: Crashlytics gira sull'infrastruttura globale di Google, anche fuori dallo Spazio economico europeo. Lo teniamo presente nelle garanzie.

Cosa abbiamo fatto per ridurre l'impatto. Sono proprietà del codice e della configurazione, verificabili, non promesse.

• La raccolta è spenta di default nei file dell'app e si accende solo nelle versioni distribuite: mai nelle build di sviluppo, dove la si spegne esplicitamente.
• L'app non associa ai rapporti l'identificativo dell'account, il nome utente o l'email: non chiama le funzioni che servirebbero a farlo.
• Non ci sono registrazioni personalizzate aggiunte dallo sviluppatore: arrivano solo i dati che Crashlytics raccoglie da sé quando l'app si blocca.
• Un interruttore nel Profilo spegne la raccolta su quel telefono nell'istante in cui lo tocchi, e cancella i rapporti rimasti sul telefono e non ancora inviati; se la scelta salvata non si legge, quella sessione non raccoglie.
• Google conserva i rapporti per 90 giorni e poi ne avvia la rimozione, per sua stessa dichiarazione.
• Il trasferimento fuori dallo SEE avviene sulla base del Data Privacy Framework UE-USA a cui Google dichiara di aderire per Firebase.

Il tuo diritto di opporti. Puoi opporti da solo, senza scriverci: nell'app, Profilo → Diagnostica → «Rapporti sui crash». Spento l'interruttore, da quel telefono non parte più nessun rapporto, e quelli rimasti in attesa di invio vengono cancellati. La scelta vale per il telefono e non per l'account, perché è per installazione che Crashlytics raccoglie: su un altro telefono va spento di nuovo. Puoi anche scrivere a privacy@fantayoupong.it, per esempio per chiedere di cancellare i rapporti già inviati prima di spegnerlo.

Quando rifacciamo questa valutazione. La valutazione si rifà ogni volta che cambia uno di questi elementi.

• Una nuova versione di questa informativa, perché la valutazione è pubblicata al suo interno.
• Qualsiasi dato aggiunto ai rapporti, per esempio registrazioni personalizzate o l'identificativo dell'account.
• Un cambio del fornitore o delle sue condizioni di conservazione e di trasferimento dei dati.
• In ogni caso una volta all'anno, all'inizio di ogni stagione di gioco.

L'interesse che perseguiamo. L'interesse è tenere in piedi un gioco con classifiche, trofei e distintivi senza che qualcuno lo falsi, lo metta fuori uso o ne perda i dati, e poter rispondere a chi contesta un punteggio. È lo stesso interesse che il titolare ha già riconosciuto per il sito — sicurezza, antiabuso e coerenza dello stato — applicato alla parte del servizio che vive nell'app.

Perché non c'è una strada meno invasiva. Ognuno di questi strumenti risponde a un rischio che senza di esso resterebbe scoperto. Senza attestazione chiunque potrebbe chiamare il nostro server fingendosi l'app; senza contatori, la richiesta del codice di iscrizione diventerebbe un modo per inondare di email una casella altrui; senza copie, un errore o un attacco cancellerebbe la stagione di tutti; senza registri, una contestazione sul punteggio si deciderebbe sulla parola. Dove si poteva usare meno, si è usato meno: gli indirizzi IP non si conservano, se ne tiene l'impronta.

Il bilanciamento con i tuoi diritti. L'impatto è basso per l'attestazione e i contatori, che non contengono dati leggibili, e più alto per le copie di sicurezza, che contengono tutto. Chi usa un servizio online si aspetta che sia protetto e che i suoi dati non vadano persi. I registri riguardano solo ciò che è successo nel gioco e sono letti solo dagli amministratori. Il punto debole, detto per quello che è: il registro delle modifiche amministrative oggi non ha una scadenza, e le copie di sicurezza si trovano negli Stati Uniti. Il primo pesa finché non avrà una scadenza, il secondo è coperto dalle garanzie.

Cosa abbiamo fatto per ridurre l'impatto. Sono proprietà del codice e della configurazione, verificabili, non promesse.

• Nessun utente può leggere i contatori, le copie di sicurezza, il registro dell'attività o quello amministrativo: le regole dell'archivio li chiudono a ogni client.
• I contatori conservano l'impronta dell'email e dell'indirizzo IP, calcolata con SHA-256, e mai il valore in chiaro.
• Le copie di sicurezza si rinnovano ogni notte e si tengono 14 giorni; il registro dell'attività si cancella dopo 180 giorni.
• Le modifiche fatte dagli amministratori passano solo da funzioni del server che le registrano: la scrittura diretta sui profili è chiusa.
• Il trasferimento negli Stati Uniti avviene sulla base del Data Privacy Framework UE-USA a cui Google dichiara di aderire per Firebase.

Il tuo diritto di opporti. Puoi opporti scrivendo a privacy@fantayoupong.it. Per questi trattamenti un'opposizione si valuta caso per caso: la sicurezza del servizio e la difesa da contestazioni sono ragioni che possono prevalere, e se prevalgono te lo diciamo spiegando perché. Resta sempre possibile eliminare l'account dall'app, e con esso i dati che lo riguardano, nei tempi descritti in questa pagina.

Quando rifacciamo questa valutazione. La valutazione si rifà ogni volta che cambia uno di questi elementi.

• Una nuova versione di questa informativa, perché la valutazione è pubblicata al suo interno.
• Una nuova durata di conservazione per copie di sicurezza, registri o contatori.
• Un cambio del luogo in cui si trovano archivio, file o funzioni del server.
• In ogni caso una volta all'anno, all'inizio di ogni stagione di gioco.