Privacy Notice

Meridian Services S.r.l., —. P.IVA/VAT: —. Reg.: ABCDEFG.

Contatti: support@drowsyclub.com. DPO: support@drowsyclub.com. Abuse/illegal content: support@drowsyclub.com.

• Dati identificativi: email, nickname, eventuale nome visualizzato.
• Dati anagrafici: data di nascita (richiesta per verifica età).
• Dati di autenticazione: indirizzo email e codici OTP monouso (in forma di hash). Non è previsto login tramite social o provider di identità terzi.
• Dati tecnici: IP address, user-agent, timestamp di accesso, sessioni di accesso (inizio, ultimo accesso, dispositivo) e paese di accesso stimato a partire dall'indirizzo IP (solo a livello di nazione).
• Dati di pagamento: importo, riferimento della transazione presso il processore di pagamento (PAN e CVV non sono mai toccati dai nostri sistemi — gestione PCI-DSS interamente a carico del gateway).
• Dati di spedizione (solo in caso di acquisto di beni fisici): indirizzo di consegna ed eventuale recapito per il corriere.
• Dati di utilizzo: Star Dust spese/ricevute, contenuti visualizzati e relativo conteggio delle visualizzazioni (registrato al massimo una volta al giorno per contenuto), pagine visitate all'interno della piattaforma (solo il percorso della pagina, senza parametri di ricerca), livello VIP.

Il gioco opzionale «Anima Gemella» (Soulmate) ti propone una serie di scelte visuali che compongono un profilo di preferenze (un vettore di affinità su 8 dimensioni relative a gusto e intimità). Poiché tali dati possono rivelare informazioni sulla vita e sull'orientamento sessuale, li trattiamo come categoria particolare di dati ai sensi dell'art. 9 GDPR.

• Solo su tuo consenso esplicito (art. 9(2)(a) GDPR), raccolto una tantum prima del primo «Rito» con clausola dedicata e spunta separata; il gioco è del tutto facoltativo e non condiziona l'accesso al sito né agli altri servizi (art. 7(4) GDPR).
• Finalità unica: far progredire il gioco e abbinarti a un personaggio («Anima»). Il profilo non è usato per pubblicità, decisioni automatizzate che ti riguardano, né condiviso con terzi.
• Dato trattato: solo il vettore delle tue risposte e lo storico dei legami; nessun testo libero.
• Revoca in ogni momento da Account → Limiti di gioco: la revoca cancella immediatamente il profilo di preferenze e sospende il gioco, senza toccare l'account. Le eventuali «Unioni» già compiute (foto/carte già ottenute) restano tue in quanto acquisti.
• Conservazione: il profilo è conservato finché non lo revochi e viene comunque cancellato dopo 90 giorni di inattività del gioco.

• Esecuzione contrattuale (art. 6(1)(b) GDPR): erogazione del servizio, gestione wallet Star Dust, erogazione contenuti acquistati.
• Obbligo legale (art. 6(1)(c) GDPR): verifica età (DSA, 18 USC 2257), conservazione fiscale (10 anni), registro dei trattamenti.
• Legittimo interesse (art. 6(1)(f) GDPR): sicurezza piattaforma, prevenzione frodi, protezione dal riciclaggio, audit log, statistiche d'uso interne (sessioni di accesso, pagine visitate, visualizzazioni dei contenuti — raccolte lato server, senza cookie aggiuntivi né strumenti di terze parti; puoi opporti ex art. 21, vedi sezione 6).
• Consenso (art. 6(1)(a) GDPR): comunicazioni marketing (opt-in esplicito, revocabile in qualsiasi momento).
• Consenso esplicito per categorie particolari (art. 9(2)(a) GDPR): trattamento del profilo di preferenze del gioco «Anima Gemella» (Soulmate) — vedi sezione 2-bis.

• Supabase Inc. (hosting DB+Auth — USA/EU, SCC in atto)
• Vercel Inc. (hosting applicazione — USA, SCC)
• Cloudflare Inc. (CDN, Stream, R2 Storage — USA, SCC, DPF certified)
• Resend Inc. (email transazionali — USA, SCC)
• Processori di pagamento — l'incasso degli acquisti è affidato a processori terzi specializzati. I processori designati per l'area UE sono CommerceGate e Verotel FlexPay (entrambi con stabilimento nell'UE), operativi dal momento dell'attivazione dei pagamenti sulla Piattaforma; CCBill LLC (USA) è previsto unicamente come eventuale circuito di riserva e, ove attivato, il trasferimento dei dati avviene sulla base di Clausole Contrattuali Standard (SCC 2021/914). Il processore effettivamente utilizzato per ciascuna transazione è indicato in ricevuta.
• Kloudend, Inc. (ipapi.co — stima del paese di accesso a partire dall'IP, interrogato solo come fallback quando l'informazione geografica non è già fornita dalla CDN; riceve il solo indirizzo IP — USA, SCC)

Non vendiamo dati personali. I trasferimenti extra-UE avvengono esclusivamente verso paesi coperti da decisione di adeguatezza o tramite Clausole Contrattuali Standard (SCC) 2021/914.

• Dati account attivo: per tutta la durata dell'account + 730 giorni dopo la chiusura.
• Dati fiscali/pagamenti: 10 anni dalla fatturazione (art. 2220 c.c.).
• Sessioni di accesso (IP, user-agent, paese stimato): 90 giorni.
• Pagine visitate: 12 mesi.
• Conteggio visualizzazioni contenuti: 12 mesi.
• Profilo di preferenze del gioco «Anima Gemella» (Soulmate): fino alla revoca del consenso e comunque cancellato dopo 90 giorni di inattività del gioco.
• Audit log amministrativo e delle transazioni (valuta virtuale, azioni admin): 5 anni.
• Registro dei consensi cookie: 24 mesi.
• Dati di utenti che dichiarano un'età inferiore a 18 anni: nessuna conservazione (account rifiutato e cancellato).

Puoi esercitare i seguenti diritti:

• Accesso (art. 15) — ricevere copia dei tuoi dati
• Rettifica (art. 16) — correggere dati inesatti
• Cancellazione (art. 17, "diritto all'oblio") — tramite /account
• Limitazione (art. 18)
• Portabilità (art. 20) — export JSON strutturato
• Opposizione (art. 21) al legittimo interesse
• Reclamo al Garante (garanteprivacy.it) o all'autorità del proprio Stato UE.

Richieste: support@drowsyclub.com. Rispondiamo entro 30 giorni (prorogabili di 60 per richieste complesse — art. 12(3)).

Il servizio è inaccessibile ai minori di 18 anni. Se riceviamo dati di un minore li cancelliamo senza ritardo (entro 72 ore). Se ritieni che un minore sia iscritto, segnalaci a support@drowsyclub.com.

Misure tecniche e organizzative (art. 32 GDPR):

• TLS 1.2+ obbligatorio, HSTS preload
• Cifratura at-rest (AES-256 via Supabase)
• Cifratura AES-256-GCM per campi sensibili (es. TOTP secret)
• RLS (Row Level Security) su tutte le tabelle con dati utente
• Rate limiting su endpoint autenticazione
• Audit log immutabile per azioni admin
• CSP, X-Frame-Options DENY, Permissions-Policy restrittiva
• Watermark per-utente sui contenuti video

Utilizziamo esclusivamente cookie tecnici essenziali (session, language, CSRF). Non utilizziamo cookie di profilazione o di terze parti per pubblicità. Dettaglio completo nella Cookie Policy.

L'accesso alla Piattaforma è subordinato alla dichiarazione della maggiore età; non effettuiamo trattamenti automatizzati, inclusa la profilazione, che producano effetti giuridici o incidano in modo analogo significativo sull'interessato ai sensi dell'art. 22 GDPR. L'utente che dichiara un'età inferiore alla soglia è escluso dall'accesso e può contattare il supporto in caso di errore.

In caso di violazione di dati personali con rischio per i diritti e le libertà degli interessati, notifichiamo al Garante entro 72 ore (art. 33 GDPR) e agli interessati senza ritardo quando il rischio è elevato (art. 34 GDPR).

Residents di California hanno diritto a: sapere quali dati raccogliamo, cancellare, correggere, opt-out dalla "vendita" o "condivisione" di dati. Non vendiamo dati personali. Per esercitare i diritti: support@drowsyclub.com. Non discriminiamo chi esercita diritti CCPA.

Aggiornamenti materiali sono notificati via email con 30 giorni di anticipo. La data dell'ultimo aggiornamento è riportata in fondo a questa pagina.