Informativa sulla privacy

Il titolare del trattamento è Enkii (rue de poche, 72300 Le Mans, Francia), gestore di RankWar (rankwar.net). Contatto: info@enkii.fr.

Responsabile della protezione dei dati: Nirox Morais, Direttore, contatto info@enkii.fr.

RankWar non riceve né custodisce gli aiuti. Il pagamento va direttamente al creditore, fuori dalla piattaforma. L’unico pagamento che riceviamo è la registrazione una tantum di chi chiede aiuto.

Trattiamo i dati secondo il GDPR (UE/SEE), il UK GDPR e il Data Protection Act 2018 (Regno Unito), la legge federale svizzera (nLPD), la LGPD (Brasile), le leggi statali statunitensi applicabili, il DPDP Act 2023 e le Regole del 2025 (India), la Legge 22/11 (Angola), la Legge 133/V/2001 e successive modifiche (Capo Verde), la legge sulla protezione dei dati del tuo paese di residenza e, per ricchi e miliardari, quella del paese in cui vivono (per esempio Marocco, Canada, Sudafrica). Se due regole differiscono, applichiamo quella più protettiva per te.

• Account: nome, e-mail, password (gestita dal fornitore di autenticazione, mai in chiaro), paese, lingua.
• Google: se accedi con Google, Google invia a Supabase Auth l’identificativo stabile dell’account e i dati del profilo disponibili, come e-mail, nome e URL della foto. Supabase Auth conserva l’identità Google collegata e i dati ricevuti. RankWar usa l’e-mail verificata e può suggerire il nome durante la registrazione; non usiamo né mostriamo la foto. Google tratta i dati dell’account e dell’accesso secondo la propria informativa; Enkii è titolare del trattamento per le operazioni svolte in RankWar.
• Paese: quando tocchi «Usa la mia posizione», le coordinate del dispositivo vengono inviate una volta al nostro server, che determina il paese senza servizi esterni. Conserviamo solo il codice del paese, l’origine («posizione del dispositivo») e la data. Le coordinate non vengono mai conservate nel database, nei registri o negli strumenti di monitoraggio e non usiamo mai il tuo IP per determinare il paese.
• Dichiarazione di residenza: data e versione del testo.
• Bollette: titolo, storia, categoria, importo, valuta, nome del creditore, dati di pagamento del creditore (IBAN, boleto, chiave Pix o conto bancario) e documento della bolletta (PDF o immagine; nelle immagini rimuoviamo posizione e metadati).
• Bozze: ciò che scrivi e salvi senza inviare.
• Conferme, contestazioni e ringraziamenti.
• Pagamento della registrazione: importo, valuta, piattaforma, paese del profilo, paese della carta o dello store (se fornito), stato e date. Non conserviamo dati della carta.

• Account: nome, e-mail, password (gestita dal fornitore di autenticazione), paese scelto, lingua. «Ricco o miliardario» è solo il nome di un ruolo; non verifichiamo redditi o patrimonio.
• Google: se accedi con Google, Google invia a Supabase Auth l’identificativo stabile dell’account e i dati del profilo disponibili, come e-mail, nome e URL della foto. Supabase Auth conserva l’identità Google collegata e i dati ricevuti. RankWar usa l’e-mail verificata e può suggerire il nome durante la registrazione; non usiamo né mostriamo la foto. Google tratta i dati dell’account e dell’accesso secondo la propria informativa; Enkii è titolare del trattamento per le operazioni svolte in RankWar.
• Bollette aperte, prenotazioni, rinunce (con motivo), pagamenti dichiarati (importo, data, ricevuta e scelta di condividerla o meno con la persona aiutata).
• Profilo pubblico (facoltativo): vedi sezione 8.

• Creditore (terzo): nome e dati di pagamento ricevuti da chi chiede aiuto.
• Familiari o membri del nucleo familiare, se compaiono nella bolletta o nella storia.
• Pagatore: la ricevuta può mostrare il nome o i dati bancari di chi ha pagato.

• Registri di sicurezza: azioni rilevanti e accessi a documenti e dati di pagamento, con indirizzo IP, data e ora.
• Limitazione delle richieste: IP e identificativo dell’account in contatori temporanei (da minuti a ore).
• Consensi: cosa hai accettato, versione del testo e data.
• Messaggi che ci invii.
• Provvedimenti sull’account: avvisi, sospensioni e blocchi, con motivo.
• Commenti sul blog: testo, nome pubblico scelto e stato della moderazione. I commenti approvati sono visibili nell’articolo; il nome dell’account e l’e-mail non vengono pubblicati.

Statistiche anonime aggregate e flusso delle attività (categoria, importo e paese, senza nomi).

Non vendiamo dati personali né li condividiamo per pubblicità.

• Una bolletta o la storia possono rivelare dati sanitari e altri dati sensibili. Li trattiamo solo con il tuo consenso esplicito, dato all’invio di ogni bolletta (GDPR art. 9, par. 2, lett. a; UK GDPR; LGPD art. 11, I; nLPD; DPDP Act; leggi locali equivalenti). Puoi revocare il consenso ritirando la bolletta. Quando viene ritirata, cancelliamo i dati sensibili di quella bolletta entro 30 giorni, salvo ciò che la legge ci obbliga a conservare.
• Se la bolletta include dati di familiari o del nucleo familiare, anche minori, dichiari di essere legittimato a condividerli. Condividi solo lo stretto necessario, senza identificare minori con nome completo, scuola o indirizzo.
• Non includere nella storia nomi completi, indirizzi, telefoni o numeri di documenti di altre persone. Possiamo modificare o rifiutare contenuti che lo facciano.
• Il creditore non ci fornisce i dati: li riceviamo da chi chiede aiuto. Può quindi esercitare i propri diritti scrivendo a info@enkii.fr. Non lo informiamo individualmente perché sarebbe sproporzionato e potrebbe mettere a rischio la bolletta.
• Chi dichiara un pagamento deve coprire nella ricevuta tutto ciò che non serve (saldi, altre operazioni, numero completo della carta). Il team vede sempre la ricevuta; la persona aiutata la vede solo se chi paga sceglie di condividerla.

• Fornire il servizio (account, invio, verifica, visualizzazione e monitoraggio delle bollette, prenotazioni e conferme): esecuzione del contratto (GDPR art. 6, par. 1, lett. b; LGPD art. 7, V).
• Dati sensibili nelle bollette: consenso esplicito (sezione 5).
• Sicurezza, prevenzione delle frodi, registri di accesso, limitazione delle richieste, rinunce e blocchi: legittimo interesse (GDPR art. 6, par. 1, lett. f; LGPD art. 7, IX). Per i dati sensibili, prevenzione delle frodi (LGPD art. 11, II, g).
• Verificare il paese dichiarato (confronto con il paese della carta o dello store, solo per revisione manuale): legittimo interesse alla prevenzione delle frodi. Puoi opporti scrivendo a info@enkii.fr.
• Dati di pagamento del creditore: esecuzione del contratto (consentire il pagamento) e legittimo interesse alla prevenzione delle frodi.
• Profilo pubblico e classifiche: il tuo consenso (sezione 8).
• Incasso e fatturazione della registrazione: esecuzione del contratto e obbligo legale.
• E-mail di servizio (approvazione, rifiuto, pagamento dichiarato, conferma, rinunce, blocco): esecuzione del contratto.
• Attività pubblica anonima e statistiche: legittimo interesse.
• Rispettare la legge, rispondere alle autorità e segnalare frodi: obbligo legale e legittimo interesse.
• Trasferire dati fuori dal tuo paese, quando la legge locale richiede il consenso: il tuo consenso (sezione 12).
• Consentire e moderare i commenti del blog: fornire il servizio e tutelare il nostro legittimo interesse a prevenire abusi e mantenere sicura la community.

• Visitatori: statistiche anonime e flusso delle attività (categoria, importo e paese, senza nomi). In paesi piccoli o con importi rari, qualcuno che conosce una persona potrebbe identificarla.
• Ricchi e miliardari con account (gratuito e senza verifica dell’identità): nome, importo, titolo, categoria, paese e storia di ogni bolletta pubblicata. Scrivi con attenzione: questi dati sono visibili a qualsiasi account di questo tipo.
• Chi riserva la bolletta aprendola: anche documento, nome del creditore e dati di pagamento. Ogni accesso è registrato con l’IP. Nessun altro li vede.
• Persona aiutata: vede l’iniziale del nome e il paese di chi dichiara di aver pagato, l’importo e la data. Vede la ricevuta (che può contenere dati del pagatore) solo se chi paga sceglie di condividerla. Mai il nome completo né i contatti.
• Team di RankWar (verifica e amministrazione): vede il necessario per verificare, risolvere contestazioni, prevenire frodi e gestire account (compresi e-mail, paese, pagamenti, documenti, ricevute e dati di pagamento del creditore), con registrazione degli accessi e obbligo di riservatezza. Non vede le bozze.
• Autorità, quando richiesto dalla legge.
• I lettori vedono il nome pubblico scelto e il testo dei commenti approvati. Il team di moderazione vede i commenti in attesa; il nome dell’account e l’e-mail non vengono pubblicati.

I profili sono invisibili per impostazione predefinita. Appare solo chi lo sceglie e solo dopo il primo aiuto confermato dalla persona aiutata.

• Se scegli un profilo pubblico, mostriamo il nome indicato nell’account, il paese, una frase fino a 140 caratteri e un sito HTTPS.
• Se scegli di mostrare gli aiuti, mostriamo quante persone hai aiutato, l’ultimo aiuto (solo categoria, importo e paese) e puoi apparire nelle classifiche «Chi ha dato di più» e «Chi ha aiutato più persone» (importo approssimativo in euro). Non appaiono mai nome, storia o dati di chi è stato aiutato.
• Questo consenso è indipendente dall’uso del servizio. Puoi revocarlo in ogni momento nell’account; la modifica è immediata. I link esterni sono contrassegnati «nofollow».
• Possiamo nascondere un profilo, con motivo registrato, per violazioni o frodi.

L’account di un ricco o miliardario è bloccato automaticamente alla 3ª rinuncia, compreso lasciare scadere le 48 ore di prenotazione senza pagare. Il blocco impedisce l’accesso, libera le prenotazioni e le bollette non pagate non appaiono più. Nulla viene cancellato.

Prima del blocco mostriamo il numero di rinunce. Dopo inviamo un’e-mail con il motivo. Hai diritto a chiedere una revisione da parte di una persona, spiegare il tuo caso e contestare la decisione scrivendo a info@enkii.fr. Rispondiamo entro 30 giorni e l’amministrazione può revocare il blocco (GDPR art. 22; LGPD art. 20). Negli altri casi, le decisioni sulle bollette sono prese da persone.

Vedi sezione 4.1. Il paese di chi chiede aiuto deriva solo dalla posizione del dispositivo. La posizione del browser può essere falsificata da chi sa come farlo; chiediamo quindi una dichiarazione di residenza e confrontiamo il paese della carta o dello store con quello del profilo, solo per revisione manuale. Le Condizioni disciplinano il blocco per dichiarazione di un paese falso.

• Supabase (database, autenticazione, archiviazione), Vercel (hosting), Resend (e-mail), Upstash (limitazione delle richieste), GoatCounter (statistiche senza cookie).
• Accesso con Google (facoltativo): Google opera come fornitore di identità e tratta i dati dell’account e dell’accesso secondo la propria informativa. Enkii è titolare del trattamento per i dati usati in RankWar; quelli ricevuti e conservati da Supabase Auth sono descritti nella sezione 4.1.
• Stripe (pagamento della registrazione sul web): tratta dati della carta e del pagamento per fornire il servizio e, a seconda del trattamento, opera come responsabile per nostro conto o come titolare autonomo per finalità proprie, come prevenzione delle frodi e obblighi di legge, secondo i propri termini e la propria informativa.
• OpenAI (generazione facoltativa di contenuti per il blog): riceve l’argomento, il pubblico, l’area SEO e la lingua indicati dall’amministratore per generare bozze di testo e immagini. Non inviare dati personali, dati degli account o documenti.
• Quando esisteranno le app iOS e Android, gli store Apple e Google tratteranno i pagamenti effettuati al loro interno.
• Supabase tratta i dati di autenticazione, database e archiviazione per conto di Enkii. Anche Vercel, Resend, Upstash e, quando attivata, OpenAI forniscono servizi per nostro conto; ai responsabili del trattamento si applicano le clausole contrattuali e le garanzie richieste dalla legge. Google tratta i dati dell’account e dell’accesso secondo la propria informativa. Stripe può operare come responsabile per nostro conto nell’elaborazione dei pagamenti e come titolare autonomo per finalità proprie, come prevenzione delle frodi e obblighi di legge. Database e file si trovano nell’Unione europea (Supabase, Irlanda). Il server dell’applicazione opera negli Stati Uniti (Vercel), con le garanzie della sezione 12.

Alcuni responsabili si trovano fuori dal SEE, dal Regno Unito, dalla Svizzera e dal tuo paese, per esempio negli Stati Uniti. Usiamo le garanzie previste dalla legge: decisioni di adeguatezza (compreso l’EU-US Data Privacy Framework per i fornitori aderenti), clausole contrattuali tipo della Commissione europea, UK Addendum/IDTA, clausole riconosciute dalla Svizzera e clausole standard ANPD (Brasile), oltre a misure supplementari.

Nei paesi la cui legge richiede consenso o autorizzazione per trasferire dati all’estero (per esempio Angola e Capo Verde), chiediamo il tuo consenso espresso alla registrazione. Se lo revochi, non potremo più fornire il servizio. Puoi richiedere copia delle garanzie a info@enkii.fr.

• Documenti delle bollette e ricevute di pagamento: cancellati automaticamente 30 giorni dopo che la bolletta è pagata, rifiutata o ritirata.
• Bozze mai inviate: cancellate dopo 12 mesi senza attività, con preavviso per e-mail.
• Dopo la cancellazione dell’account: eliminiamo l’utente Supabase Auth, comprese le identità Google collegate e le sessioni, e cancelliamo o rendiamo anonimi i dati del profilo e i contenuti dell’utente. Conserviamo solo riferimenti pseudonimizzati minimi necessari per registri di pagamento, fatturazione, consenso e cronologia, per i periodi applicabili. I file collegati a una prenotazione o conferma di pagamento in corso vengono eliminati al termine del processo; gli altri file privati vengono eliminati durante la cancellazione dell’account.
• Registrazioni del pagamento della registrazione e fatturazione: termine legale contabile e fiscale (in Francia, 10 anni).
• Registri di sicurezza con IP: 12 mesi.
• Registri del consenso: finché l’account esiste e poi per il termine di prescrizione applicabile.
• Registro dei blocchi e delle frodi: per il tempo necessario a impedire nuove frodi, al massimo 5 anni.
• Contatori di limitazione delle richieste: da minuti a ore.
• Profilo pubblico: finché non lo disattivi.
• Commenti in attesa, rifiutati o rimossi: cancellati automaticamente dopo 30 giorni. Commenti approvati: conservati finché esiste l’account e cancellati quando l’account viene eliminato.

• Dati di pagamento del creditore cifrati con AES-256-GCM e chiave conservata fuori dal codice.
• Documenti e ricevute in archivio privato, accessibili con link che scadono dopo 60 secondi, emessi dopo verifica dei permessi; verifichiamo il tipo reale del file e nelle immagini rimuoviamo i metadati.
• Controllo degli accessi sul server in tutte le rotte, protezione a livello di riga nel database, registrazione di ogni accesso a documenti e dati di pagamento, limitazione dei tentativi, intestazioni di sicurezza e protezione dalle richieste contraffatte.
• Attivazione della registrazione solo con conferma firmata di Stripe.

Nessun sistema è immune agli attacchi. In caso di violazione che presenti un rischio per te, notifichiamo l’autorità competente e, quando richiesto, te, nei termini di legge (72 ore nel GDPR e nel Regno Unito; 3 giorni lavorativi in Brasile; il prima possibile in Svizzera).

Usiamo solo il necessario: cookie di sessione per l’autenticazione, un cookie per la lingua e la preferenza del tema chiaro/scuro nell’archivio del browser. Le statistiche sono prodotte con GoatCounter, senza cookie. Stripe può usare cookie propri durante il pagamento. Non usiamo pubblicità o tracciamento di terzi. Rispettiamo il segnale Global Privacy Control. Se cambia, chiederemo prima il consenso.

Hai diritto ad accesso, rettifica, cancellazione, limitazione, opposizione, portabilità, revoca del consenso in qualsiasi momento e revisione delle decisioni automatizzate.

• Scaricare i dati: pulsante «Scarica i miei dati» nella pagina Account (file JSON; i dati di pagamento cifrati dei creditori non sono inclusi).
• Correggere: puoi modificare nome, frase e storia; il paese di chi chiede aiuto può essere modificato solo dal team, con registrazione.
• Eliminare l’account: pulsante «Elimina il mio account» nella pagina Account. Eliminiamo l’utente Supabase Auth, comprese le identità Google collegate e le sessioni, e cancelliamo o rendiamo anonimi i dati del profilo e i contenuti dell’utente. Possono rimanere riferimenti pseudonimizzati minimi nei registri di pagamento, fatturazione, consenso e cronologia che dobbiamo conservare (sezione 13). I file necessari a una prenotazione o conferma di pagamento in corso vengono eliminati al termine del processo; gli altri file privati vengono eliminati durante la cancellazione dell’account.
• Limitare, opporti, revocare consensi: dalla pagina Account o scrivendo a info@enkii.fr.
• Rispondiamo nel termine previsto dalla legge applicabile e di regola entro 30 giorni (in Brasile, dichiarazione completa entro 15 giorni). Possiamo chiedere una prova dell’identità. Non penalizziamo chi esercita i propri diritti.

• Unione europea e SEE: diritti del GDPR, compresa l’opposizione al legittimo interesse. Autorità capofila: CNIL (Francia); puoi rivolgerti anche all’autorità del tuo paese (per esempio CNPD in Portogallo, AEPD in Spagna).
• Regno Unito: diritti del UK GDPR. Autorità: ICO.
• Svizzera: diritti della nLPD. Autorità: PFPDT/FDPIC.
• Brasile: diritti dell’art. 18 LGPD (conferma, accesso, rettifica, anonimizzazione, cancellazione, portabilità, informazioni sulla condivisione, revoca del consenso, revisione delle decisioni automatizzate). Responsabile: contatto della sezione 1. Autorità: ANPD.
• Stati Uniti: non vendiamo né condividiamo dati personali per pubblicità. I residenti in stati con leggi sulla privacy hanno diritto a sapere, accedere, correggere, cancellare, trasferire e ricorrere contro un rifiuto; puoi usare un rappresentante autorizzato o scrivere a info@enkii.fr. Dati sanitari: li trattiamo solo con consenso e per fornire il servizio. Negli stati con leggi specifiche (per esempio Washington), puoi revocare il consenso, accedere e cancellare. Autorità: procuratore generale del tuo stato.
• India: trattiamo dati con il tuo consenso o altra base del DPDP Act 2023. Hai diritto a informazioni, rettifica e cancellazione, a reclamare e a nominare chi eserciterà i tuoi diritti in caso di morte o incapacità. Rispondiamo ai reclami in un termine ragionevole, al massimo 90 giorni. Reclami: info@enkii.fr. Se non sei soddisfatto, puoi rivolgerti al Data Protection Board of India.
• Angola: diritti della Legge 22/11. Autorità: APD.
• Capo Verde: diritti della Legge 133/V/2001 e successive modifiche. Autorità: CNPD.
• Messico, Argentina, Bolivia, Venezuela e Mozambico: rispettiamo i diritti riconosciuti dalla legge del tuo paese. Puoi reclamare all’autorità locale (in Argentina, AAIP).
• Marocco, Canada, Sudafrica e altri paesi (ricchi e miliardari): rispettiamo i diritti del tuo paese (Marocco: Legge 09-08 e CNDP; Canada: PIPEDA e leggi provinciali; Sudafrica: POPIA e Information Regulator).

RankWar è riservata ai maggiorenni dai 18 anni. Se scopriamo un account di un minore, lo eliminiamo. Dati di minori del nucleo familiare: vedi sezione 5.

Se modifichiamo questa informativa in modo rilevante, avvisiamo per e-mail e nell’app con 30 giorni di anticipo, salvo urgenza legale. Conserviamo le versioni precedenti.

Puoi scrivere a info@enkii.fr. Hai sempre diritto a reclamare all’autorità del tuo paese: CNPD (Portogallo), CNIL (Francia), ANPD (Brasile), ICO (Regno Unito), PFPDT (Svizzera), APD (Angola), CNPD (Capo Verde), Data Protection Board (India), procuratore generale del tuo stato (Stati Uniti) o altra autorità.