Informativa sulla privacy

1. Titolare del trattamento

Il titolare del trattamento dei Suoi dati personali è il gestore di BaZi.cards:

Per qualsiasi richiesta in materia di protezione dei dati può scrivere a support@bazi.cards. Non abbiamo designato un responsabile della protezione dei dati (DPO), non ricorrendone i presupposti di legge: il titolare gestisce personalmente tutte le richieste.

2. Quali dati raccogliamo

Raccogliamo soltanto ciò di cui il Servizio ha effettivamente bisogno.

• Dati dell'account — il Suo indirizzo e-mail, la password in forma cifrata (hash: non vediamo mai la password in chiaro), la lingua dell'interfaccia e la data di registrazione.
• Dati di nascita — data, ora e luogo di nascita e, facoltativamente, il sesso. Può inserire anche i dati di nascita di un'altra persona (ad esempio per una lettura di compatibilità): in tal caso conferma di essere legittimato a comunicarli.
• Domande all'Oracolo — il testo delle domande che digita e le risposte generate automaticamente, conservati nel Suo account affinché possa consultarli in seguito.
• Dati di acquisto — quali letture ha ordinato, importo, valuta, data e identificativo dell'ordine. I numeri di carta e le altre credenziali di pagamento sono gestiti esclusivamente dal prestatore di servizi di pagamento e non raggiungono mai i nostri server.
• Dati della lista d'attesa — se chiede di essere avvisato dell'apertura dei pagamenti nella Sua area geografica, l'indirizzo e-mail che inserisce, la versione linguistica del sito e il prodotto con il prezzo mostrato in quel momento.
• Dati del programma referral — se nella Sua area geografica è disponibile un programma referral e vi partecipa (invitando qualcuno o seguendo un invito), conserviamo hash con chiave (HMAC) dell'indirizzo IP, della sua rete e dell'identificativo del browser per individuare autoinviti e abusi. Un hash non può essere ricondotto all'indirizzo stesso; gli hash vengono conservati per circa sei mesi dopo l'ultima visita. Base giuridica: nostro legittimo interesse a prevenire le frodi.
• Dati tecnici — indirizzo IP, tipo di browser, tipo di dispositivo, pagina di provenienza, data e ora della richiesta e log degli errori. Servono a far funzionare il sito in sicurezza e a difenderlo dagli abusi.
• Cookie e archiviazione locale — si veda la sezione 9 e la Cookie policy separata.

3. I dati di nascita sono trattati come dati sensibili

Una data, un'ora esatta e un luogo di nascita, uniti alle domande che pone, possono rivelare molto di una persona. Sebbene tali dati non rientrino sempre tra le «categorie particolari» previste dalla normativa sulla protezione dei dati, abbiamo scelto deliberatamente di trattarli con il livello di tutela riservato ai dati sensibili:

• li trattiamo esclusivamente per elaborare e interpretare la Sua carta, mai per finalità pubblicitarie o di profilazione per conto di terzi;
• chiediamo il Suo consenso esplicito prima del primo calcolo;
• può cancellarli dal Suo account in qualsiasi momento, e noi li elimineremo dai nostri sistemi secondo quanto descritto nella sezione 5;
• non li vendiamo, non li cediamo in licenza e non li comunichiamo mai a intermediari di dati (data broker).

4. Finalità e basi giuridiche

Quando il trattamento si fonda sul consenso, può revocarlo in qualsiasi momento; la revoca non pregiudica la liceità del trattamento effettuato prima di essa.

5. Per quanto tempo conserviamo i dati

• Account, dati di nascita, letture e cronologia dell'Oracolo — per tutta la durata dell'account. Se cancella l'account, vengono eliminati entro 30 giorni; le copie di backup vengono sovrascritte entro ulteriori 90 giorni.
• Registrazioni degli acquisti — per il periodo imposto dalla normativa fiscale e contabile applicabile al gestore (di norma da 5 a 10 anni), in una forma che non contiene più i dati di nascita.
• Log tecnici — fino a 90 giorni, salvo che uno specifico incidente richieda una conservazione più lunga.
• Corrispondenza con l'assistenza — fino a 3 anni dall'ultimo messaggio.
• Dati della lista d'attesa — fino alla Sua richiesta di cancellazione, e comunque non oltre 24 mesi dalla data di iscrizione.
• Consenso alla newsletter — fino alla disiscrizione.

6. A chi comunichiamo i dati

Non vendiamo dati personali e non li comunichiamo a inserzionisti. Per far funzionare il Servizio ci avvaliamo di un numero ristretto di responsabili del trattamento, che operano su nostra istruzione in base a contratti scritti ai sensi dell'art. 28 GDPR:

• Hosting — server situati nell'Unione europea (Finlandia). Il database, il calcolo delle carte e la conservazione del Suo account, delle letture e della cronologia dell'Oracolo si trovano lì.
• Nomi di dominio e protezione dei moduli — Cloudflare, Inc. (Stati Uniti). Cloudflare gestisce il DNS dei nostri domini e, nei moduli di accesso e di calcolo della carta, la verifica Cloudflare Turnstile che controlla che a usare il modulo sia una persona reale; per questa verifica tratta il Suo indirizzo IP e dati tecnici del browser. Il sito stesso è servito direttamente dai nostri server in Finlandia, non attraverso la rete di Cloudflare. Cloudflare agisce su nostre istruzioni in base al proprio accordo sul trattamento dei dati.
• Generazione del testo — la formulazione delle risposte dell'Oracolo (e, dove le letture a pagamento sono disponibili nella Sua area geografica, dei testi delle letture scritte) viene prodotta con l'aiuto di un fornitore esterno di un servizio di generazione del testo con sede negli Stati Uniti. Per ogni richiesta riceve soltanto il testo della Sua domanda o della sezione da scrivere e i dati di calcolo della carta necessari a tal fine (i pilastri, gli elementi, gli indicatori collegati della carta e le regole della tradizione selezionate per essa). Non riceve il Suo indirizzo e-mail, la password né i dati di pagamento. Il fornitore opera su nostra istruzione, in base a un contratto scritto ai sensi dell'art. 28 GDPR; secondo le sue condizioni contrattuali, i dati non vengono utilizzati per addestrare i suoi modelli e possono essere conservati per un periodo limitato (fino a 30 giorni) per individuare eventuali abusi, prima di essere cancellati.
• Invio delle e-mail — Brevo (Sendinblue SAS, Francia) invia le e-mail di conferma, di reimpostazione della password e, con il Suo consenso, le newsletter. Brevo riceve il Suo indirizzo e-mail e il contenuto del messaggio.
• Prestatore di servizi di pagamento — il prestatore scelto dal gestore riceve i dati necessari a eseguire il pagamento (importo, valuta, identificativo dell'ordine e i dati che Lei inserisce sulla sua pagina di pagamento). Per il pagamento in sé il prestatore è titolare autonomo del trattamento; la sua denominazione è indicata sulla pagina di pagamento prima che Lei paghi. Nella nostra pagina di pagamento il modulo di pagamento è fornito da Stripe (Stripe Payments Europe, Ltd., Irlanda, e Stripe, Inc., Stati Uniti): all’apertura della pagina Stripe imposta i propri cookie e raccoglie segnali tecnici del dispositivo e del browser per prevenire le frodi nei pagamenti (vedi la Cookie Policy).
• Telegram — se utilizza il nostro bot @Bazinterbot, Telegram Messenger Inc. tratta i Suoi messaggi in base alla propria informativa; noi riceviamo il Suo identificativo Telegram e i messaggi che invia al bot.
• Lista d'attesa — gli indirizzi lasciati nel modulo della lista d'attesa sono conservati nel nostro database, sugli stessi server nell'UE, e non vengono comunicati a nessun altro.

Possiamo inoltre comunicare dati quando la legge lo impone, ad esempio in risposta a una richiesta legittima di un'autorità giudiziaria o amministrativa, oppure per accertare, esercitare o difendere un diritto in sede giudiziaria.

7. Trasferimenti internazionali

I nostri server si trovano nell'Unione europea (Finlandia); il Suo account, i dati di nascita, le letture e la cronologia dell'Oracolo sono conservati lì. Alcuni responsabili elencati nella sezione 6 trattano dati al di fuori del Suo Paese:

• Stati Uniti — servizio di generazione del testo. Quando pone una domanda all'Oracolo, o viene preparata per Lei una lettura scritta, il testo della domanda (o della sezione) e i dati di calcolo della carta descritti nella sezione 6 vengono inviati, tramite connessione cifrata, al fornitore negli Stati Uniti, che restituisce la formulazione della risposta. Il Suo indirizzo e-mail, la password e i dati di pagamento non vengono inviati. Per gli utenti nell'UE/SEE, in Svizzera e nel Regno Unito questo trasferimento si fonda sulle clausole contrattuali tipo approvate dalla Commissione europea (art. 46 GDPR), con il relativo addendum britannico, incluse nel contratto di trattamento dei dati del fornitore; per gli utenti altrove si fonda sul meccanismo richiesto dalla legge locale, descritto nella sezione 12. Il trasferimento è necessario per rispondere alla Sua domanda; se non desidera che avvenga, non utilizzi l'Oracolo.
• Stati Uniti — protezione dei moduli (Cloudflare Turnstile). Cloudflare può trattare il Suo indirizzo IP e i dati tecnici della richiesta negli Stati Uniti e in altri Paesi in cui opera la sua rete. Per gli utenti nell'UE/SEE, in Svizzera e nel Regno Unito questo si fonda sulle clausole contrattuali tipo incluse nell'addendum sul trattamento dei dati di Cloudflare; per gli utenti altrove si fonda sul meccanismo richiesto dalla legge locale, descritto nella sezione 12.
• Telegram e invio delle e-mail. Se utilizza il nostro bot Telegram, Telegram Messenger Inc. tratta i Suoi messaggi in base alla propria informativa; Brevo invia le nostre e-mail dall'Unione europea.

Limitiamo i dati trasferiti a quanto realmente necessario a ciascun responsabile del trattamento, e non vendiamo mai dati personali.

8. I Suoi diritti

In base al Paese in cui risiede, Le spettano i diritti che seguono; noi li riconosciamo a ogni utente, a prescindere dalla giurisdizione (artt. 15–22 GDPR):

• Accesso — ottenere una copia dei dati che La riguardano;
• Rettifica — correggere i dati inesatti (i dati di nascita sono modificabili nel Suo account);
• Cancellazione — ottenere l'eliminazione del Suo account e dei Suoi dati;
• Limitazione e opposizione — limitare o opporsi al trattamento fondato sul legittimo interesse;
• Portabilità — ricevere i Suoi dati in un formato leggibile da dispositivo automatico;
• Revoca del consenso — in qualsiasi momento, per le newsletter e il trattamento dei dati di nascita;
• Reclamo — proporre reclamo a un'autorità di controllo. In Italia è il Garante per la protezione dei dati personali (www.garanteprivacy.it); negli altri Stati dell'UE/SEE l'autorità del Suo Paese di residenza; nel Regno Unito l'Information Commissioner's Office (ICO). Resta salva la possibilità di ricorrere all'autorità giudiziaria.

Per esercitare un diritto scriva a support@bazi.cards dall'indirizzo e-mail collegato al Suo account. Rispondiamo entro 30 giorni; se la richiesta è complessa possiamo prorogare il termine di ulteriori 60 giorni, comunicandoLe il motivo. Non chiediamo alcun corrispettivo, salvo che la richiesta sia manifestamente infondata o eccessiva.

9. Cookie e statistiche

Il sito utilizza un numero ridotto di cookie strettamente necessari e tecnologie simili: bazi_uid — un identificativo anonimo che collega i Suoi calcoli, le letture gratuite e gli acquisti prima che Lei effettui l'accesso (400 giorni); bazi_session_it — mantiene attivo l'accesso al Suo account (30 giorni); bazi_lang — la lingua che preferisce (fino a 1 anno); e alcune voci nell'archiviazione locale (local storage) del Suo browser — la Sua scelta sui cookie, l'ultima carta calcolata e le carte che ha salvato, un identificativo anonimo e, se lo ha inserito, l'indirizzo e-mail per ricevute e notifiche. L'archiviazione locale resta sul Suo dispositivo finché non la cancella. L'elenco completo è nella Cookie policy. Questi cookie e queste voci non richiedono il Suo consenso, in conformità all'art. 122 del Codice privacy e alle Linee guida del Garante sui cookie.

Per capire come viene utilizzato il sito ci avvaliamo di una nostra statistica interna (first-party), ospitata su questo sito. Registra dati di utilizzo anonimi — pagine visitate, fonte di provenienza, clic, profondità di scorrimento, tempo trascorso sulla pagina, tipo di dispositivo e larghezza dello schermo — mediante uno script che forniamo noi stessi, senza cookie, senza archiviazione nel browser e senza identificarLa personalmente. Non utilizziamo alcun servizio di analisi web di terze parti (come Google Analytics o Yandex Metrica), non installiamo cookie di statistica o pubblicitari e non utilizziamo pixel dei social network. Una misurazione di base delle pagine viste viene eseguita a ogni visita; la misurazione più dettagliata (mappe dei clic e tracciamento dello scorrimento) viene caricata solo dopo che ha premuto «Accetta tutti» nel banner dei cookie. I dettagli sono nella Cookie policy.

Registrazione della sessione. Solo dopo che ha premuto «Accetta tutti», la misurazione dettagliata rileva anche il punto dello schermo in cui clicca e conserva una registrazione anonima della Sua visita alla pagina — modifiche della pagina, movimenti del puntatore, clic e scorrimento — per permetterci di trovare e correggere gli errori del sito. Tutto ciò che digita nei campi di inserimento viene mascherato e non viene mai registrato; i blocchi con i Suoi dati di nascita, i risultati del calcolo e il modulo di pagamento sono esclusi dalle registrazioni. Una registrazione è collegata solo a un identificativo di sessione casuale, non al Suo account, al Suo indirizzo e-mail o ai Suoi dati di pagamento. Può revocare il consenso in qualsiasi momento nelle impostazioni dei cookie; da quel momento la registrazione si interrompe.

10. Limite di età

Il Servizio è destinato agli adulti. Non creiamo consapevolmente account né accettiamo pagamenti da persone di età inferiore a 18 anni. Se ritiene che un minore ci abbia comunicato dati personali, ci scriva e li cancelleremo.

11. Sicurezza

Tutto il traffico è cifrato (TLS). Le password sono conservate come hash con salt. L'accesso al database è riservato al gestore ed è tracciato. L'integrità dell'applicazione viene verificata prima di ogni rilascio. Nessun sistema è perfettamente sicuro: qualora dovessimo rilevare una violazione dei dati personali suscettibile di incidere sui Suoi diritti, ne informeremo Lei e l'autorità competente nei termini previsti dalla legge (artt. 33 e 34 GDPR).

12. Disposizioni per aree geografiche

Italia e Unione europea

Trattiamo i dati personali in conformità al Regolamento (UE) 2016/679 (GDPR) e, per gli utenti in Italia, al Codice in materia di protezione dei dati personali (d.lgs. 30 giugno 2003, n. 196, come modificato dal d.lgs. 101/2018), nonché ai provvedimenti e alle linee guida del Garante per la protezione dei dati personali. Le basi giuridiche indicate nella sezione 4 si riferiscono all'art. 6 e, per i dati di nascita ove applicabile, all'art. 9 del GDPR. L'autorità di controllo competente per l'Italia è il Garante per la protezione dei dati personali, Piazza Venezia 11, 00187 Roma.

Regno Unito

Per gli utenti nel Regno Unito si applicano lo UK GDPR e il Data Protection Act 2018; l'autorità di controllo è l'Information Commissioner's Office (ICO).

Altri Paesi

Per gli utenti di altri Paesi applichiamo gli stessi standard descritti in questa Informativa; qualora la legge locale Le riconosca diritti ulteriori, li rispettiamo.

13. Modifiche all'Informativa

Potremo aggiornare questa Informativa quando cambiano il Servizio o la normativa. La versione in vigore e la relativa data sono sempre indicate in cima a questa pagina. Se una modifica incide in modo sostanziale sui Suoi diritti, ne daremo comunicazione agli utenti registrati via e-mail prima della sua entrata in vigore.