Cookie Policy / Informativa sui Tracker

More Than Eleven ("MT11", il "Servizio") è distribuito prevalentemente come applicazione mobile (iOS, Android). In questo contesto non vengono utilizzati "cookie" nel senso stretto del termine (propri del web), bensì strumenti equivalenti previsti dalle Linee guida del Garante del 10 giugno 2021 ("altri strumenti di tracciamento"): identificatori pubblicitari, storage locale, SDK di terze parti, token di sessione. La presente policy utilizza l'espressione "cookie" in senso esteso per ricomprendere tali strumenti, ove applicabile.

1. Categorie di strumenti

• Strettamente necessari al funzionamento del Servizio (non richiedono consenso)
• Analytics (richiedono consenso dell'Utente)
• Advertising / marketing (richiedono consenso dell'Utente)

L'app mostra al primo avvio un banner in-app con scelta granulare che consente di accettare, rifiutare o personalizzare le categorie di strumenti non-necessari. Su iOS, in aggiunta, è mostrato il prompt di sistema App Tracking Transparency (ATT) obbligatorio prima di accedere all'identificatore pubblicitario IDFA.

2. Strumenti tecnici strettamente necessari

Questi strumenti sono indispensabili al funzionamento del Servizio e, ai sensi dell'art. 122 del Codice Privacy e delle Linee guida Garante 2021, non richiedono consenso:

• JWT di sessione - Token in memoria + Keychain iOS / Keystore Android. Mantenere sessione autenticata. Durata: ~30 giorni o logout
• Refresh token - Storage criptato. Rinnovo automatico del JWT. Durata: fino a revoca o logout
• shared_preferences Flutter - Storage locale chiave-valore. Preferenze utente (lingua, tema, onboarding). Durata: fino a disinstallazione
• hive DB locale - Cache offline dati di gioco (profilo, partite, leaderboard). Durata: fino a disinstallazione
• cached_network_image - Cache immagini (avatar, loghi, asset). TTL interno
• flutter_secure_storage - Keychain / EncryptedSharedPreferences per credenziali sensibili
• reCAPTCHA v3 - Token anti-bot client-side. Base: legittimo interesse (sicurezza). One-shot, nessuno storage

L'eventuale disattivazione di questi strumenti impedisce il funzionamento del Servizio.

3. Strumenti di analytics (richiedono consenso)

Tali strumenti sono attivati solo previo consenso espresso tramite banner in-app. Base giuridica: consenso (art. 6.1.a GDPR), salvo diagnostica di sicurezza su legittimo interesse (art. 6.1.f GDPR).

• Firebase Analytics (Google LLC) - user_pseudo_id, event name, device/OS/app version, IP troncato, timestamp. Funnel utilizzo, retention
• Firebase Crashlytics (Google LLC) - Stack trace crash, device info, versione app. Base: legittimo interesse (stabilità)
• Firebase Performance Monitoring (Google LLC) - Tempi rete, rendering, start-up. Base: legittimo interesse

Se l'Utente rifiuta il consenso analytics, l'app chiama FirebaseAnalytics.setAnalyticsCollectionEnabled(false) e gli SDK non collezionano eventi (salvo minimi segnali di diagnostica non associati a identificativi personali).

4. Strumenti di advertising (richiedono consenso)

Base giuridica: consenso (art. 6.1.a GDPR).

• Google Mobile Ads (AdMob) (Google Ireland Ltd.) - advertising_id (IDFA/GAID), IP, device fingerprint, interazioni annuncio. Annunci rewarded + interstitial
• App Tracking Transparency (ATT) - solo iOS (Apple Inc.). Scelta Utente (authorized/denied/notDetermined). Gate obbligatorio Apple prima dell'accesso a IDFA

Senza consenso (Android) o con ATT denied (iOS) AdMob eroga annunci non personalizzati (NPA), basati su contesto generico e non su identificatori dell'Utente.

Forme di pubblicità:

• Rewarded ads: video opzionali scelti dall'Utente per bonus di gioco (Double Skill Session, Session Boost). Avvio volontario
• Interstitial ads: annunci in punti di transizione con frequenza controllata server-side (GameConfig)

4-bis. Misurazione delle campagne pubblicitarie (Google, Meta e TikTok) - consenso separato

Chiesto nella schermata in-app «Le tue scelte sulla privacy» (voce «Misurazione delle pubblicità (Google, Meta e TikTok)»), modificabile da Impostazioni → Privacy e dati. Senza consenso gli SDK Meta e TikTok non si attivano per la misurazione e non leggono identificatori pubblicitari, e i segnali pubblicitari Google del Consent Mode restano negati; l'accesso con Facebook resta disponibile.

• Firebase Analytics - segnali pubblicitari Consent Mode v2 (Google Ireland Ltd. / Google LLC) - ad_storage, ad_user_data, ad_personalization concessi solo con questo consenso: eventi dell'app (installazione, registrazione, acquisti) e identificativo pubblicitario utilizzabili da Google Ads. Misurazione delle conversioni delle campagne Google Ads
• Facebook SDK - App Events (Meta Platforms Ireland Ltd.) - advertising_id (IDFA solo con ATT autorizzato / GAID), device/OS/app version, IP, eventi: installazione/apertura, registrazione, primo allenamento completato, acquisti (importo e valuta). Attribuzione delle campagne su Facebook e Instagram
• TikTok Business SDK (TikTok Technology Limited) - advertising_id (IDFA solo con ATT autorizzato / GAID), device/OS/app version, IP, eventi: installazione/apertura, registrazione, primo allenamento completato, accesso, acquisti (importo e valuta). Attribuzione delle campagne su TikTok

Su iOS SKAdNetwork (framework Apple, dati aggregati) è gestito da questi SDK, solo con il consenso.

5. Elenco identifier

Al primo avvio e nelle sessioni successive il Servizio può impostare / leggere i seguenti identifier:

• jwt_token - Keychain / Keystore (MT11). ~30 giorni. Sessione. Non richiesto
• refresh_token - Storage sicuro (MT11). Fino a revoca. Non richiesto
• mt11_user_prefs - shared_preferences (MT11). Permanente. Non richiesto
• hive_box_* - Hive (MT11). Permanente. Non richiesto
• firebase_installation_id - Firebase (Google). Fino a reinstallazione. Tecnico
• fcm_token - Firebase Messaging (Google). Fino a revoca. Consenso push
• user_pseudo_id - Firebase Analytics (Google). Fino a clear/opt-out. Consenso analytics
• IDFA - Apple AdSupport. Fino a reset utente. ATT authorized + consenso ads
• GAID - Google Play Services. Fino a reset/opt-out. Consenso ads
• recaptcha_token - Google reCAPTCHA. One-shot. Legittimo interesse
• app_instance_id - Firebase. Fino a reinstallazione. Legittimo interesse diagnostica

6. Come gestire e revocare il consenso

All'interno dell'app:

• Impostazioni → Privacy e dati → Preferenze di consenso - analytics / marketing / push granulari
• Impostazioni → Privacy e dati → Cronologia consensi - versioni accettate e revoca

Dalle impostazioni di sistema del dispositivo:

• iOS: Impostazioni → Privacy → Tracciamento → More Than Eleven (revoca ATT). Apple Advertising (annunci personalizzati sistema). Notifiche
• Android: Google → Annunci → Elimina ID pubblicità. App → More Than Eleven → Notifiche. Memoria → Cancella dati per reset integrale

La revoca del consenso non incide sulla liceità del trattamento effettuato prima della revoca (art. 7.3 GDPR). Eventi e acquisti già registrati restano tracciati per le finalità previste (obblighi di legge, sicurezza, anti-frode) secondo retention in Privacy Policy.

7. Terze parti e trasferimenti extra-UE

Gli SDK di tracciamento trasferiscono dati ai rispettivi processori (Responsabili ai sensi art. 28 GDPR). Elenco completo, regioni server e garanzie di trasferimento extra-UE (EU-US Data Privacy Framework - Dec. UE 2023/1795, Clausole Contrattuali Standard - Dec. UE 2021/914) sono nella Privacy Policy sez. 5-7.

Principali destinatari:

• Google LLC / Google Ireland Ltd. (Firebase, AdMob, reCAPTCHA; Google Ads per la misurazione solo con consenso) - US / UE
• Apple Inc. (ATT framework, IDFA) - US
• Google LLC (Play Services, GAID) - US
• Meta Platforms Ireland Ltd. / Meta Platforms Inc. (Facebook SDK, solo con consenso alla misurazione) - UE / US
• TikTok Technology Limited (TikTok Business SDK, solo con consenso alla misurazione) - UE / extra-UE (SCC)

8. Durata e retention

• Crash report e analytics: 14 mesi (standard Firebase)
• Log impression/reward annunci: 14 mesi
• Token di sessione / JWT: fino a scadenza o logout
• Storage locale app: fino a clear manuale o disinstallazione

9. Contatti

In caso di reclamo, l'Utente ha diritto di rivolgersi al Garante per la Protezione dei Dati Personali ai sensi dell'art. 77 GDPR.