BOZZA: da far rivedere a un legale prima del lancio · DRAFT: to be reviewed by a lawyer before launch

Informativa sulla privacy

Bozza 2026-10-17.7 · vale per il gioco sul server pubblico

1. Chi tratta i tuoi dati

Il titolare del trattamento è Lorenzo Nannicini, ditta individuale, Via Ferdinando Tacca 4, 59100 Prato (PO), Italia, partita IVA IT02583190463. Per tutto quello che riguarda i tuoi dati scrivi a [indirizzo email da creare]. Non c'è un responsabile della protezione dei dati (DPO): per una ditta individuale di queste dimensioni non è obbligatorio (art. 37 GDPR).

2. Due modi di giocare

Server pubblico (il gioco aperto su internet, gestito da noi): questa informativa vale qui. Anche l'account con l'email (§4) esiste solo qui.
«Ospita tu» (il gioco scaricato che gira sul computer di chi ospita): i tavoli, la chat e i registri restano su quel computer, e i servizi esterni (master IA, voce) li chiama chi ospita, con le sue chiavi. Noi non riceviamo niente di quei tavoli, e lì l'account non c'è. Restano però i servizi di terzi che il browser carica da sé anche lì (le librerie 3D da jsDelivr, il server STUN di Google per la voce fra giocatori: §6). Se chi ospita accende il tunnel per giocare con amici lontani, il suo tavolo diventa raggiungibile da internet attraverso Cloudflare: di quel tavolo e di quei dati risponde chi ospita. Se compri qualcosa nella Bottega vale invece quello che scriviamo qui sugli acquisti (§3, punto 9).

3. Cosa trattiamo quando giochi, perché, e per quanto

Per giocare non servono nome, email o registrazione: senza account i tuoi eroi stanno nel tuo browser e noi non sappiamo chi sei. L'account con l'email è facoltativo: cosa tiene lo trovi al §4.

dato	a cosa serve	base giuridica (GDPR)	per quanto
1. Nel tuo browser: i tuoi eroi, la chiave della Bottega (il codice anonimo dei tuoi acquisti), il numero e la chiave del «ruolino» di ogni eroe, i tavoli dove sei stato, le preferenze (volume, guida letta, lingua); mentre sei dentro l'account, al loro posto una copia degli eroi e della chiave della Bottega dell'account, con un segno anonimo dell'account, il nome al tavolo e i tavoli giocati da dentro (quelli senza account aspettano da parte, nello stesso browser, e tornano quando esci)	tenere il gioco sul tuo dispositivo; li leggiamo solo quando il gioco ce li manda per farti giocare	esecuzione del servizio che chiedi (art. 6.1.b)	finché non li cancelli tu (da «I miei eroi» o cancellando i dati del sito nel browser); la copia dell'account finché resti dentro: quando esci, o la sessione finisce, si cancella da quel browser, insieme al lasciapassare dei modelli comprati
2. Il ruolino sul server: per ogni eroe portato a un tavolo, il suo numero, un'impronta (hash) della chiave, nome dell'eroe, PE, oggetti, monete, ferite, stato	portare l'eroe da un tavolo all'altro senza che si possa barare	art. 6.1.b	365 giorni dall'ultima volta che l'eroe ha giocato, poi si cancella da solo (anche se l'eroe è sull'account)
3. Il tavolo: il nome che scegli, la chat (gli ultimi 200 messaggi), i tiri, le scelte dell'eroe, chi è entrato e chi è stato allontanato dall'host; per ogni giocatore anche l'impronta del suo indirizzo IP e il codice a caso del suo browser (punto 8); se chi ha aperto il tavolo era nel suo account, un'impronta (hash) dell'account legata al codice del tavolo, perché al risveglio la chiave del suo account parta solo quando torna lui (§6); per chi si siede da dentro l'account, la stessa impronta sul suo posto, perché dopo che è uscito il posto (con l'eroe, l'host e la chiave) non se lo riprenda il browser senza l'account	far funzionare la partita in comune e riprenderla	art. 6.1.b	finché il tavolo è aperto; una partita lasciata a metà si conserva 30 giorni per riprenderla, poi si cancella
4. Il registro del tavolo: i tiri, gli eventi della partita col nome di chi gioca (chi entra, chi tira, chi viene allontanato dall'host e con quale nome), gli errori tecnici del server, e la conversazione col master IA (quello che il tavolo gli dice e quello che risponde). La carta X è anonima: il registro segna che è stata giocata, non da chi	poter rifare i tiri e controllarli, capire i guasti, accertare abusi segnalati	nostro legittimo interesse alla sicurezza e al buon funzionamento (art. 6.1.f)	90 giorni dall'ultima riga scritta, poi la pulizia notturna lo cancella [da confermare: proposta più corta, 30 giorni]
5. Il master IA, solo se l'host del tavolo ci mette una chiave Claude: le azioni e i messaggi del tavolo, i nomi degli eroi e lo stato della partita	il nostro server li manda ad Anthropic (Claude), con la chiave dell'host, perché scriva il racconto e muova i personaggi (§6, «La chiave IA è dell'host»)	art. 6.1.b (è il master che si sceglie creando il tavolo; c'è sempre il master umano in alternativa)	da noi come ai punti 3-4; da Anthropic fino a 30 giorni; se i loro filtri di sicurezza segnalano un messaggio, fino a 2 anni i messaggi e fino a 7 anni i punteggi dei loro classificatori di sicurezza (§6)
6. La voce del master, solo se chi ha aperto il tavolo ha messo nel suo account una chiave ElevenLabs: l'audio che registri tenendo premuto il tasto del microfono (al massimo 60 secondi) e il testo che il master racconta, se al tavolo è accesa la voce del narratore	il nostro server li manda a ElevenLabs, con quella chiave: l'audio perché lo trascriva (il testo entra in chat come tua battuta), il racconto perché lo legga ad alta voce	art. 6.1.b (il microfono lo usi solo se premi il tasto; la voce del narratore si sceglie al tavolo)	l'audio del microfono non lo salviamo; nel registro restano solo la durata e la lunghezza del testo; il testo resta come la chat; l'audio del narratore resta nella memoria del server al più un'ora, per farlo ascoltare al tavolo [da verificare prima del lancio: le condizioni di ElevenLabs vietano i loro servizi sotto i 18 anni; se valgono anche via API, il microfono e la voce del narratore si spengono sotto i 18 anni]
7. La voce fra giocatori: audio e indirizzo IP	la voce va da browser a browser (WebRTC) e non passa dal nostro server; per collegarvi il browser usa un server STUN di Google, che vede il tuo indirizzo IP; anche gli altri del canale vocale lo vedono	art. 6.1.b (solo se entri nel canale vocale)	noi non lo conserviamo
8. Sicurezza: un'impronta del tuo indirizzo IP (HMAC con una chiave segreta del server) e un codice a caso del tuo browser (il «bid»)	limiti contro gli abusi (troppe connessioni, troppi tavoli, password tentate, troppi link chiesti), allontanamenti decisi dall'host, riconoscere chi ha già giocato a un tavolo quando lo si riprende	art. 6.1.f	nei limiti, in memoria, al più un'ora; nel file del tavolo, finché il tavolo esiste, anche addormentato (fino a 30 giorni dall'ultima partita)
9. Acquisti nella Bottega: l'email che scrivi alla cassa, l'ordine, le tue due conferme sul recesso con data e ora, il codice d'acquisto. I dati della carta e di fatturazione li tratta Stripe, non noi. Se leghi la Bottega al tuo account, vedi anche il §4	consegnarti il contenuto, mandarti la conferma, rimborsi, assistenza	art. 6.1.b; obblighi fiscali e contabili (art. 6.1.c)	10 anni per i documenti contabili (art. 2220 codice civile) [da confermare col commercialista], anche se elimini l'account; l'email, se non serve più per l'ordine, prima [oggi il codice non la toglie: da fare prima del lancio]
10. Creazione su misura (quando sarà in vendita): la descrizione e la foto che carichi, i disegni, il modello 3D	controllare che non ritragga persone vere o personaggi di altri, fare i disegni (OpenAI) e il modello 3D (Tripo, dal disegno scelto, mai dalla tua foto)	art. 6.1.b	la creazione finché resta fra i tuoi acquisti; la foto [da decidere: proposta cancellata a consegna fatta, o entro 7 giorni se la richiesta è rifiutata]
11. Campagne e mappe che carichi a un tavolo: il file, le immagini, i testi	mostrarle a chi gioca a quel tavolo	art. 6.1.b	finché il tavolo esiste
12. Segnalazioni: nome ed email di chi segnala, cosa segnala, cosa abbiamo deciso	gestire le segnalazioni di contenuti illegali (regolamento UE 2022/2065, art. 16)	obbligo di legge (art. 6.1.c)	[da decidere: proposta 12 mesi dalla decisione]
13. Log tecnici del server: avvii, errori, guasti; se un'email dell'account non parte, l'indirizzo accorciato (tipo «ma…@esempio.it»)	tenere il gioco acceso e sicuro	art. 6.1.f	oggi a rotazione (5 file da 20 MB: i più vecchi si cancellano da soli) [da decidere un tempo fisso: proposta 14 giorni]. Quando una richiesta alle funzioni di amministrazione viene rifiutata, il log scrive l'indirizzo da cui arriva; sul server pubblico, dietro il nostro proxy, è quello del proxy [da togliere nel codice prima del lancio]
14. Log d'accesso del server web: l'indirizzo IP in chiaro, l'ora, la pagina chiesta, il browser	difendere il servizio da attacchi e abusi, capire i guasti	art. 6.1.f	14 giorni, poi si cancellano da soli
15. Misure di moderazione nostre (§7 delle condizioni d'uso): l'impronta dell'indirizzo IP e il codice del browser bloccati, il motivo, la decisione	far valere il blocco e poterlo spiegare o riesaminare	art. 6.1.f; per le decisioni su segnalazioni, obbligo di legge (art. 6.1.c)	per quanto dura il blocco; la decisione e il motivo come le segnalazioni (punto 12)

Non sei obbligato a darci dati personali: per giocare non ne servono. Alcune funzioni però senza i loro dati non vanno: senza l'email non c'è l'account (si gioca lo stesso), senza l'email alla cassa non possiamo venderti niente né mandarti la conferma, senza il microfono non c'è la voce verso il master, senza il canale vocale non parli con gli altri (art. 13.2.e GDPR).

Non vendiamo i tuoi dati, non facciamo pubblicità e non ti profiliamo. Il master IA prende decisioni di gioco (cosa fa un mostro, che prova chiedere), non decisioni che hanno effetti giuridici su di te (art. 22 GDPR).

Decisione automatica nella creazione su misura. Prima del pagamento, la descrizione e la foto che carichi passano da un controllo automatico (la moderazione di OpenAI e un controllo delle immagini) che può rifiutare la richiesta, per esempio se ritrae una persona vera. È una decisione automatica necessaria per concludere il contratto (art. 22.2.a GDPR): hai diritto a chiedere che la guardi una persona, a dire la tua e a contestarla (art. 22.3) scrivendoci.

4. L'account, se lo apri

L'account è facoltativo. Serve a ritrovare eroi e acquisti su altri dispositivi e a salvare le tue chiavi IA. Non ha password: entri con un link che ti mandiamo per email, o col codice di 6 cifre della stessa email. Non ti chiediamo il nome vero né la data di nascita, e all'account non leghiamo il tuo indirizzo IP.

dato	a cosa serve	base giuridica (GDPR)	per quanto
A. L'email	mandarti il link per entrare, l'avviso «Nuovo accesso» e la conferma se chiedi di eliminare l'account. Niente pubblicità, niente newsletter	art. 6.1.b	finché hai l'account (sotto: «Eliminare l'account»)
B. I link per entrare: l'email a cui l'abbiamo mandato, un'impronta (hash) del link e del codice di 6 cifre, l'ora, un'impronta del browser che l'ha chiesto, quanti codici sbagliati. Link e codice in chiaro stanno solo nell'email	farti entrare una volta sola, entro 15 minuti; far valere il codice solo nel browser che l'ha chiesto; fermare chi prova a indovinarlo	art. 6.1.b; i controlli contro gli abusi, art. 6.1.f	un giorno dopo la scadenza, poi si cancellano. Vale anche se chiedi un link con un'email che non ha un account: dopo un giorno nel database di quell'email non resta niente; restano solo le copie di sicurezza (sotto, «Eliminare l'account») e l'email già spedita nei registri di Scaleway (§6)
C. Il profilo: il nome al tavolo, se lo scrivi; la data di apertura e dell'ultimo accesso; quando hai confermato di avere almeno 14 anni e quale versione di questa informativa c'era	mostrarti il tuo account; poter dimostrare che l'età l'abbiamo chiesta (§8)	art. 6.1.b; per la conferma dei 14 anni, art. 6.1.c (legge 132/2025) [da confermare col legale]	finché hai l'account
D. Gli accessi: per ogni browser dove sei entrato, un'impronta della sessione, quando è nata e l'ultimo uso, e il tipo di dispositivo ricavato dal browser («Chrome su Mac», senza versioni); un'impronta del segno a caso di ogni browser che ha usato l'account	tenerti dentro senza rifare l'accesso; mostrarti i dispositivi aperti, per chiuderli; avvisarti per email quando entra un browser mai visto	art. 6.1.b; l'avviso, art. 6.1.f (la sicurezza del tuo account)	una sessione: il cookie scade 60 giorni dopo l'accesso, poi si rientra col link; sul server la sessione si cancella 60 giorni dopo l'ultimo uso (al più 180 dall'accesso), o subito quando esci; l'elenco dei browser visti: finché hai l'account
E. Gli eroi sull'account: le scelte della creazione (il nome e la scheda dell'eroe), la chiave del ruolino (cifrata), da quale dispositivo è arrivato, le date. I progressi restano nel ruolino (§3, punto 2)	ritrovarli su ogni dispositivo; far sedere un eroe dell'account solo chi è entrato in quell'account	art. 6.1.b	finché lo togli dall'account o elimini l'account
F. Il legame con la Bottega: la chiave della Bottega del tuo browser (cifrata), da cui vediamo i pacchetti e gli ordini pagati	ritrovare gli acquisti su ogni dispositivo dove entri	art. 6.1.b	finché hai l'account; gli ordini restano nella Bottega come al §3, punto 9
G. Le tue chiavi IA (Anthropic, ElevenLabs), se le metti: cifrate, con le ultime 4 cifre e la data; oppure, se scegli «solo per questa partita», solo nella memoria del server, mai su disco	far funzionare il master IA e la voce ai tavoli che apri tu, finché sei tu l'host (§6); quando premi «prova», una piccola richiesta al fornitore per vedere se la chiave va	art. 6.1.b	finché la togli o elimini l'account. Quella in memoria sparisce anche quando il server si riavvia o esci da tutti i dispositivi
H. Il registro dell'account: l'ora e il tipo di quello che succede (un link chiesto, un accesso col tipo di dispositivo, un'uscita, un eroe portato o tolto, una chiave messa o tolta: il servizio, mai la chiave). Senza indirizzo IP	capire i problemi e accorgerci degli abusi; te lo diamo in «Scarica i miei dati»	art. 6.1.f	90 giorni, poi si cancella da solo; se elimini l'account, sparisce con lui
I. I limiti: l'impronta del tuo indirizzo IP (§3, punto 8) e l'email ridotta alla sua forma base (senza la parte dopo il «+», e per Gmail senza i punti), solo per contare	al massimo 3 link ogni 15 minuti per email, 10 link e 20 accessi all'ora per indirizzo, 10 codici sbagliati al giorno per email	art. 6.1.f	in memoria, mai su disco: quanto il limite (un'ora, un giorno per i codici sbagliati), o fino al riavvio del server

Le email che ti mandiamo

Solo tre: il link per entrare (col codice di 6 cifre), l'avviso «Nuovo accesso» quando entra un browser che l'account non conosceva, e la conferma quando chiedi di eliminare l'account. Le spedisce per conto nostro Scaleway (§6).

Eliminare l'account

Da «Il mio account» premi «Elimina l'account»: ti mandiamo un link per confermare (vale 15 minuti), così una sessione rubata non basta. Quando confermi esci da tutti i dispositivi e le tue chiavi non si usano più per aprire tavoli (a un tavolo già aperto restano finché non lo lasci). Hai 7 giorni per ripensarci: rientri e premi «Ripensaci». Passati i 7 giorni cancelliamo l'account, l'email, gli accessi, gli eroi legati (anche i loro progressi sul server), le chiavi, il legame con la Bottega e il registro dell'account.

Restano: gli ordini pagati, con l'email scritta alla cassa, perché la legge chiede di tenerli (§3, punto 9); le gli eroi e la chiave della Bottega creati senza account, nei browser dove sono, finché non li cancelli tu (le copie dell'account si cancellano dai browser alla prima pagina che apri, perché la sessione non vale più); le copie di sicurezza del server, dove i dati restano al più 14 giorni [da verificare prima del lancio: anche la copia giornaliera di OVH e quella tirata sul nostro computer devono stare dentro i 14 giorni].

5. Per quanto, in breve

Senza account: quello che sta nel tuo browser finché lo tieni, il ruolino 365 giorni dall'ultima partita, il tavolo 30 giorni dall'ultima partita, il registro del tavolo 90 giorni, i log d'accesso 14 giorni. Con l'account: finché lo tieni, più i 7 giorni per ripensarci. Gli ordini: 10 anni.

6. A chi arrivano i dati, e fuori dall'UE

chi	cosa	dove, e con quale garanzia
OVH SAS (Francia)	il server dove gira il gioco e stanno i dati del §3 e del §4, con le copie di sicurezza	UE; tratta i dati per conto nostro (responsabile del trattamento, art. 28 GDPR)
Scaleway SAS (Francia)	spedisce le email dell'account (§4): l'indirizzo, l'oggetto, il testo col link e il codice	UE; responsabile del trattamento (art. 28 GDPR)
Anthropic (Claude), contraente nell'UE Anthropic Ireland, Limited	il master IA (§3, punto 5), solo con la chiave dell'host del tavolo	Stati Uniti; clausole contrattuali tipo della Commissione UE (decisione 2021/914) nel loro accordo sul trattamento dei dati. Anthropic non usa i dati dell'API per addestrare i modelli e li cancella entro 30 giorni, salvo i messaggi segnalati dai filtri di sicurezza (fino a 2 anni; i punteggi dei classificatori di sicurezza fino a 7 anni)
ElevenLabs (ElevenLabs Poland sp. z o.o. e ElevenLabs Inc.)	trascrizione del microfono, voce del narratore (§3, punto 6), solo con la chiave di chi ha aperto il tavolo	UE e Stati Uniti; ElevenLabs aderisce all'EU-U.S. Data Privacy Framework (decisione di adeguatezza del 10/07/2023)
Stripe (Stripe Payments Europe, Limited, Irlanda)	i pagamenti (§3, punto 9): Stripe tratta i dati della carta anche come titolare autonomo, con la sua informativa	UE e Stati Uniti; Data Privacy Framework e clausole tipo
OpenAI (OpenAI Ireland Ltd)	controllo e disegni della creazione su misura (§3, punto 10)	Stati Uniti; [garanzia da verificare prima di accendere la creazione su misura]
Holymolly Ltd (Tripo)	il modello 3D della creazione su misura, dal disegno (§3, punto 10)	Hong Kong, che non ha una decisione di adeguatezza: al servizio va solo il disegno, senza dati che ti identifichino [clausole tipo da chiedere a Tripo]
Google	il server STUN della voce fra giocatori (§3, punto 7): vede l'indirizzo IP	Stati Uniti; Data Privacy Framework
jsDelivr (rete di distribuzione)	il browser scarica da lì le librerie 3D del gioco: vede l'indirizzo IP	[proposta: servire le librerie dal nostro server e togliere questa voce]

La chiave IA è dell'host. Sul server pubblico non c'è una chiave IA nostra: il master IA e la voce vanno solo con la chiave dell'host del tavolo, quella che scrive nella sala del tavolo, o con quella salvata nell'account di chi ha aperto il tavolo, finché è lui l'host. Se l'host lascia il tavolo la sua chiave va via con lui; chi diventa host al suo posto non paga con le chiavi del suo account: il master riparte solo se lui scrive una chiave nella sala. Con quella chiave il nostro server manda al fornitore i messaggi di tutto il tavolo, anche quelli degli altri giocatori, e per la voce l'audio di chi preme il tasto del microfono. Così i messaggi del master IA di quel tavolo arrivano ad Anthropic sul conto di quella persona, alle condizioni che lei ha con Anthropic (e lo stesso per ElevenLabs). La chiave non va mai agli altri giocatori né alle pagine del gioco (torna solo con le ultime 4 cifre) e non finisce nei log. Chi non vuole che i suoi messaggi vadano a un master IA gioca a un tavolo col master umano. [ruoli da chiarire col legale: docs/LEGALE.md §8]

Se usi il riconoscimento vocale del browser invece del nostro (quando la voce del server non c'è), l'audio lo tratta il produttore del browser (per esempio Google in Chrome, Apple in Safari) con le sue regole: noi riceviamo solo il testo.

7. Cookie e memoria del browser

Il gioco usa la memoria del browser: la memoria locale (localStorage) per i tuoi eroi, la chiave della Bottega e le preferenze (con l'account, mentre sei dentro, quelli dell'account, e da parte quelli senza account); la memoria di sessione (sessionStorage) per quello che serve solo nella scheda aperta (il tavolo in cui stai entrando, l'eroe scelto, le luci, la partita di prova, l'email a cui hai chiesto il link mentre aspetti), che si cancella quando chiudi la scheda; il database del browser (IndexedDB) per le miniature dell'editor di mappe. I cookie: dndia_pass, quando la Bottega è attiva (il lasciapassare dei file, 12 ore); tomo_ingresso, quando premi «Gioca» nella pagina di benvenuto o entri nel gioco (vale solo «portami dritto al gioco», un anno); e, solo se usi l'account, tomo_sessione (sei entrato, 60 giorni dall'accesso), tomo_richiesta (il browser che ha chiesto il link, perché il codice dell'email valga solo lì, quanto il link: poco più di 15 minuti) e tomo_disp (un segno a caso di questo browser, per avvisarti via email quando entra un browser che l'account non ha mai visto, 400 giorni). Sul server pubblico i tre dell'account si chiamano col prefisso __Host- (per esempio __Host-tomo_sessione) e le pagine non li possono leggere. Sono tutti strumenti tecnici: servono a darti il servizio che chiedi o a ricordare le tue scelte, sono nostri, e non li usiamo per statistiche, profilazione o pubblicità. Per questi la legge non chiede il consenso, solo questa informazione (art. 122 del Codice privacy, d.lgs. 196/2003; art. 5.3 della direttiva 2002/58/CE; Linee guida del Garante sui cookie del 10 giugno 2021). Per questo non c'è un banner. Se un giorno aggiungessimo statistiche o altro che non è tecnico, te lo chiederemo prima.

8. Minori

Per giocare sul server pubblico devi avere almeno 14 anni, con o senza account. Sotto i 14 anni l'uso del master IA e il trattamento dei dati che ne segue richiederebbero il consenso di un genitore (legge 132/2025, art. 4, comma 4), e online non abbiamo un modo serio di verificarlo: per questo sotto i 14 anni il server pubblico non è ammesso. A casa, con «Ospita tu», decide la famiglia. [da confermare col legale]. Per aprire l'account spunti la casella «ho almeno 14 anni» (niente data di nascita): teniamo l'ora in cui l'hai spuntata. Le salvaguardie per chi ha meno di 18 anni sono nelle condizioni d'uso (§3). Gli acquisti li fa un maggiorenne, o un minore col permesso di un genitore. Se scopriamo che un tavolo o un account è usato da un bambino senza il permesso, lo chiudiamo e cancelliamo i suoi dati.

9. I tuoi diritti

Puoi chiederci di vedere i tuoi dati, di correggerli, di cancellarli, di limitarne l'uso, di averne una copia in un formato leggibile, e di opporti ai trattamenti basati sul nostro legittimo interesse (artt. 15-21 GDPR). Rispondiamo entro un mese. Puoi anche fare reclamo al Garante per la protezione dei dati personali (garanteprivacy.it, art. 77 GDPR), o all'autorità del Paese in cui vivi.

Con l'account molte cose le fai da solo, in «Il mio account»: vedi i tuoi dati, cambi il nome, togli un eroe o una chiave, chiudi un dispositivo, scarichi tutto in un file («Scarica i miei dati», art. 20 GDPR) ed elimini l'account (§4). Per il resto scrivici dall'email dell'account.

Senza account non sappiamo chi sei: per trovare i tuoi dati ci serve qualcosa che li leghi a te, il numero del ruolino (in «I miei eroi»), il codice del tavolo, o il codice d'acquisto della ricevuta. Senza, non possiamo collegarti a niente (art. 11 GDPR). Gli eroi nel browser li cancelli da solo, in qualunque momento.

10. Sicurezza

Il gioco pubblico passa solo in HTTPS. Delle chiavi dei ruolini teniamo l'impronta (hash); se l'eroe è sull'account, anche la chiave, cifrata. Nel gioco gli indirizzi IP stanno solo come impronta, in chiaro solo nel log d'accesso del server web (§3, punto 14, 14 giorni); i file sono leggibili solo dal programma del gioco. Per l'account: niente password da rubare; link, codici e sessioni sono numeri a caso di cui teniamo solo l'impronta; le chiavi IA, le chiavi dei ruolini e la chiave della Bottega sull'account sono cifrate (AES-256-GCM) con una chiave del server tenuta fuori dal database e dalle sue copie di sicurezza. Le chiavi dei servizi esterni non finiscono mai nei log. Se succedesse una violazione dei dati che ti mette a rischio, avviseremo il Garante e, se serve, te (artt. 33-34 GDPR).

11. Se cambia

Se cambiamo questa informativa cambia la data in alto, e se la modifica conta te lo diciamo nel gioco prima che valga.

Privacy notice

Draft 2026-10-17.7 · applies to the game on the public server

1. Who handles your data

The data controller is Lorenzo Nannicini, sole proprietorship, Via Ferdinando Tacca 4, 59100 Prato (PO), Italy, VAT IT02583190463. For anything about your data write to [email address to be created]. There is no data protection officer: it is not required for a business of this size (Art. 37 GDPR).

2. Two ways to play

Public server (the game on the internet, run by us): this notice applies here. The email account (§4) also exists only here.
«Host it yourself» (the downloaded game running on the host's computer): tables, chat and logs stay on that computer, and the external services (AI master, voice) are called by the host with their own keys. We receive nothing from those tables, and there is no account there. Third-party services that the browser loads by itself still apply there too (the 3D libraries from jsDelivr, Google's STUN server for voice between players: §6). If the host turns on the tunnel to play with friends far away, their table becomes reachable from the internet through Cloudflare: the host is responsible for that table and its data. If you buy something in the Shop, what we say here about purchases applies (§3, item 9).

3. What we process when you play, why, and for how long

You don't need a name, an email or a sign-up to play: without an account your heroes stay in your browser and we don't know who you are. The email account is optional: what it keeps is in §4.

data	purpose	legal basis (GDPR)	how long
1. In your browser: your heroes, the Shop key (the anonymous code of your purchases), the number and key of each hero's «roster» (ruolino), the tables you joined, preferences (volume, tips read, language); while you are signed in, in their place a copy of the account's heroes and Shop key, with an anonymous mark of the account, your table name and the tables played while signed in (the ones without an account wait aside, in the same browser, and come back when you sign out)	keeping the game on your device; we only read them when the game sends them so you can play	performance of the service you ask for (Art. 6(1)(b))	until you delete them (from «My heroes» or by clearing the site data in your browser); the account's copy while you stay signed in: when you sign out, or the session ends, it is deleted from that browser, together with the pass for the purchased models
2. The roster on the server: for each hero brought to a table, its number, a hash of its key, the hero's name, XP, items, coins, wounds, condition	carrying the hero from one table to the next without cheating	Art. 6(1)(b)	365 days after the hero last played, then deleted automatically (also if the hero is on the account)
3. The table: the name you choose, the chat (last 200 messages), dice rolls, your hero's choices, who joined and who was removed by the host; for each player also the fingerprint of their IP address and their browser's random code (item 8); if whoever opened the table was signed in, a fingerprint (hash) of that account tied to the table code, so that when the table reopens their account key starts only when they are back (§6); for whoever sits down while signed in, the same fingerprint on their seat, so that once they sign out the seat (with the hero, the host role and the key) cannot be taken back by the browser without the account	running and resuming the shared game	Art. 6(1)(b)	while the table is open; an unfinished game is kept 30 days so you can resume it, then deleted
4. The table log: rolls, game events with the players' names (who joins, who rolls, who is removed by the host and under which name), server error reports, and the conversation with the AI master (what the table tells it and what it answers). The X-card is anonymous: the log records that it was played, not by whom	replaying and checking rolls, understanding faults, investigating reported abuse	our legitimate interest in security and proper operation (Art. 6(1)(f))	90 days after the last line written, then the nightly clean-up deletes it [to be confirmed: proposed shorter, 30 days]
5. The AI master, only if the table's host enters a Claude key: the table's actions and messages, hero names and game state	our server sends them to Anthropic (Claude), with the host's key, so it can write the story and play the characters (§6, «The AI key belongs to the host»)	Art. 6(1)(b) (it is the master chosen when creating the table; a human master is always available instead)	with us as in items 3-4; with Anthropic up to 30 days; if their safety filters flag a message, up to 2 years for the messages and up to 7 years for their trust and safety classification scores (§6)
6. The master's voice, only if whoever opened the table saved an ElevenLabs key in their account: the audio you record while holding the microphone button (60 seconds at most) and the text the master narrates, if the narrator voice is on at the table	our server sends them to ElevenLabs, with that key: the audio to transcribe it (the text enters the chat as your line), the story to read it aloud	Art. 6(1)(b) (you use the microphone only when you press the button; the narrator voice is chosen at the table)	we do not store the microphone audio; the log keeps only its duration and the text length; the text is kept like the chat; the narrator audio stays in the server's memory for one hour at most, so the table can hear it [to be checked before launch: ElevenLabs' terms forbid their services under 18; if this also applies through the API, the microphone and narrator voice are turned off under 18]
7. Voice between players: audio and IP address	voice goes browser to browser (WebRTC) and does not pass through our server; to connect, the browser uses a Google STUN server, which sees your IP address; the others in the voice channel see it too	Art. 6(1)(b) (only if you join the voice channel)	we do not store it
8. Security: a fingerprint of your IP address (HMAC with a server secret) and a random code of your browser (the «bid»)	limits against abuse (too many connections, tables, password attempts, sign-in links), bans decided by the host, recognising who already played at a table when it is resumed	Art. 6(1)(f)	in the limits, in memory, one hour at most; in the table file, as long as the table exists, including while asleep (up to 30 days after the last game)
9. Shop purchases: the email you type at checkout, the order, your two withdrawal confirmations with date and time, the purchase code. Card and billing data are handled by Stripe, not by us. If you link the Shop to your account, see also §4	delivering the content, sending the confirmation, refunds, support	Art. 6(1)(b); tax and accounting obligations (Art. 6(1)(c))	10 years for accounting records (Art. 2220 Italian Civil Code) [to be confirmed with the accountant], also if you delete the account; the email sooner, once the order no longer needs it [the code does not remove it yet: to be done before launch]
10. Custom creation (once on sale): the description and photo you upload, the drawings, the 3D model	checking that it doesn't depict real people or other people's characters, making the drawings (OpenAI) and the 3D model (Tripo, from the chosen drawing, never from your photo)	Art. 6(1)(b)	the creation as long as it is among your purchases; the photo [to be decided: proposed deleted on delivery, or within 7 days if the request is rejected]
11. Campaigns and maps you upload to a table: the file, images, texts	showing them to the players at that table	Art. 6(1)(b)	while the table exists
12. Reports: name and email of the reporter, what is reported, what we decided	handling notices of illegal content (Regulation (EU) 2022/2065, Art. 16)	legal obligation (Art. 6(1)(c))	[to be decided: proposed 12 months after the decision]
13. Server technical logs: start-ups, errors, faults; if an account email fails to go out, the shortened address (like «ma…@example.com»)	keeping the game running and secure	Art. 6(1)(f)	today on rotation (5 files of 20 MB: the oldest are deleted automatically) [a fixed time to be decided: proposed 14 days]. When a request to the admin functions is refused, the log records the address it came from; on the public server, behind our proxy, that is the proxy's address [to be removed in the code before launch]
14. Web server access log: the IP address in plain form, the time, the page requested, the browser	protecting the service from attacks and abuse, understanding faults	Art. 6(1)(f)	14 days, then deleted automatically
15. Our own moderation measures (§7 of the terms of use): the blocked IP fingerprint and browser code, the reason, the decision	enforcing the block and being able to explain or review it	Art. 6(1)(f); for decisions on notices, legal obligation (Art. 6(1)(c))	as long as the block lasts; the decision and reason like notices (item 12)

You are not required to give us personal data: none is needed to play. Some features don't work without their data: without an email there is no account (you can still play), without the email at checkout we cannot sell you anything or send the confirmation, without the microphone there is no voice to the master, without the voice channel you don't talk to the others (Art. 13(2)(e) GDPR).

We don't sell your data, we don't show ads and we don't profile you. The AI master makes game decisions (what a monster does, which check to ask for), not decisions with legal effects on you (Art. 22 GDPR).

Automated decision in the custom creation. Before payment, the description and photo you upload go through an automated check (OpenAI's moderation and an image check) that may reject the request, for example if it depicts a real person. It is an automated decision necessary to enter into the contract (Art. 22(2)(a) GDPR): you have the right to ask for a person to look at it, to express your point of view and to contest it (Art. 22(3)) by writing to us.

4. The account, if you open one

The account is optional. It lets you find your heroes and purchases on other devices and save your AI keys. It has no password: you sign in with a link we email you, or with the 6-digit code in the same email. We don't ask for your real name or date of birth, and we don't link your IP address to the account.

data	purpose	legal basis (GDPR)	how long
A. Your email	sending you the sign-in link, the «New sign-in» alert and the confirmation if you ask to delete the account. No ads, no newsletters	Art. 6(1)(b)	as long as you have the account (below: «Deleting the account»)
B. Sign-in links: the email it was sent to, a hash of the link and of the 6-digit code, the time, a hash of the browser that asked for it, how many wrong codes. The link and the code in plain form exist only in the email	letting you in once, within 15 minutes; making the code work only in the browser that asked for it; stopping anyone trying to guess it	Art. 6(1)(b); the anti-abuse checks, Art. 6(1)(f)	one day after expiry, then deleted. This also applies if you ask for a link with an email that has no account: after one day nothing of that email is left in the database; only the backups remain (below, «Deleting the account») and the email already sent in Scaleway's logs (§6)
C. The profile: your table name, if you write one; the date you opened the account and of the last sign-in; when you confirmed you are at least 14 and which version of this notice was in force	showing you your account; being able to prove that we asked about age (§8)	Art. 6(1)(b); for the age confirmation, Art. 6(1)(c) (Italian Law 132/2025) [to be confirmed with the lawyer]	as long as you have the account
D. Sign-ins: for each browser you signed in from, a hash of the session, when it started and was last used, and the kind of device read from the browser («Chrome on Mac», no versions); a hash of the random mark of each browser that used the account	keeping you signed in; showing you the open devices so you can close them; emailing you when a browser never seen before signs in	Art. 6(1)(b); the alert, Art. 6(1)(f) (the security of your account)	a session: the cookie expires 60 days after you sign in, then you sign in again with a link; on the server the session is deleted 60 days after last use (180 days after sign-in at most), or right away when you sign out; the list of browsers seen: as long as you have the account
E. Heroes on the account: the creation choices (the hero's name and sheet), the roster key (encrypted), which device it came from, the dates. Progress stays in the roster (§3, item 2)	finding them on every device; letting an account hero sit at a table only for someone signed in to that account	Art. 6(1)(b)	until you remove it from the account or delete the account
F. The link to the Shop: your browser's Shop key (encrypted), from which we see your packs and paid orders	finding your purchases on every device you sign in from	Art. 6(1)(b)	as long as you have the account; orders stay in the Shop as in §3, item 9
G. Your AI keys (Anthropic, ElevenLabs), if you enter them: encrypted, with the last 4 characters and the date; or, if you choose «solo per questa partita» (just for this game), only in the server's memory, never on disk	running the AI master and the voice at the tables you open, while you are the host (§6); when you press «prova» (test), a small request to the provider to check the key works	Art. 6(1)(b)	until you remove it or delete the account. The one in memory also disappears when the server restarts or you sign out of all devices
H. The account log: the time and type of what happens (a link requested, a sign-in with the kind of device, a sign-out, a hero brought or removed, a key added or removed: the service, never the key). No IP address	understanding problems and spotting abuse; you get it in «Scarica i miei dati» (Download my data)	Art. 6(1)(f)	90 days, then deleted automatically; if you delete the account, it goes with it
I. Limits: the fingerprint of your IP address (§3, item 8) and your email reduced to its base form (without the part after «+», and for Gmail without dots), only for counting	at most 3 links every 15 minutes per email, 10 links and 20 sign-ins per hour per address, 10 wrong codes per day per email	Art. 6(1)(f)	in memory, never on disk: as long as the limit (one hour, one day for wrong codes), or until the server restarts

The emails we send you

Only three: the sign-in link (with the 6-digit code), the «New sign-in» alert when a browser the account didn't know signs in, and the confirmation when you ask to delete the account. Scaleway sends them on our behalf (§6).

Deleting the account

In «Il mio account» (My account) press «Elimina l'account» (Delete the account): we email you a link to confirm (valid 15 minutes), so a stolen session is not enough. When you confirm you are signed out of all devices and your keys are no longer used to open tables (at a table already open they stay until you leave it). You have 7 days to change your mind: sign in again and press «Ripensaci» (Changed my mind). After the 7 days we delete the account, the email, the sign-ins, the linked heroes (including their progress on the server), the keys, the link to the Shop and the account log.

What stays: paid orders, with the email typed at checkout, because the law requires us to keep them (§3, item 9); the heroes and the Shop key created without an account, in the browsers where they are, until you delete them (the account's copies are deleted from the browsers at the first page you open, because the session is no longer valid); the server backups, where data stay 14 days at most [to be checked before launch: OVH's daily copy and the copy pulled to our own computer must also stay within 14 days].

5. How long, in short

Without an account: what is in your browser for as long as you keep it, the roster 365 days after the last game, the table 30 days after the last game, the table log 90 days, access logs 14 days. With an account: as long as you keep it, plus the 7 days to change your mind. Orders: 10 years.

6. Who receives the data, and outside the EU

who	what	where, and which safeguard
OVH SAS (France)	the server where the game runs and the data of §3 and §4 are kept, with the backups	EU; processes data on our behalf (processor, Art. 28 GDPR)
Scaleway SAS (France)	sends the account emails (§4): the address, the subject, the text with the link and the code	EU; processor (Art. 28 GDPR)
Anthropic (Claude), EU contracting entity Anthropic Ireland, Limited	the AI master (§3, item 5), only with the key of the table's host	United States; EU Standard Contractual Clauses (Decision 2021/914) in their data processing addendum. Anthropic does not use API data to train models and deletes it within 30 days, except messages flagged by safety filters (up to 2 years; trust and safety classification scores up to 7 years)
ElevenLabs (ElevenLabs Poland sp. z o.o. and ElevenLabs Inc.)	microphone transcription, narrator voice (§3, item 6), only with the key of whoever opened the table	EU and United States; ElevenLabs participates in the EU-U.S. Data Privacy Framework (adequacy decision of 10 July 2023)
Stripe (Stripe Payments Europe, Limited, Ireland)	payments (§3, item 9): Stripe also processes card data as an independent controller, under its own notice	EU and United States; Data Privacy Framework and Standard Contractual Clauses
OpenAI (OpenAI Ireland Ltd)	checks and drawings for the custom creation (§3, item 10)	United States; [safeguard to be verified before the custom creation goes live]
Holymolly Ltd (Tripo)	the 3D model of the custom creation, from the drawing (§3, item 10)	Hong Kong, which has no adequacy decision: only the drawing is sent, with no data identifying you [Standard Contractual Clauses to be requested from Tripo]
Google	the STUN server for voice between players (§3, item 7): sees the IP address	United States; Data Privacy Framework
jsDelivr (content delivery network)	the browser downloads the game's 3D libraries from there: it sees the IP address	[proposed: serve the libraries from our own server and remove this line]

The AI key belongs to the host. On the public server there is no AI key of ours: the AI master and the voice work only with the key of the table's host, the one typed in the table lobby, or with the one saved in the account of whoever opened the table, while they are the host. If the host leaves the table their key leaves with them; whoever becomes host in their place does not pay with their account keys: the master starts again only if they type a key in the lobby. With that key our server sends the provider the messages of the whole table, including the other players' messages, and for the voice the audio of whoever presses the microphone button. So the AI master's messages for that table reach Anthropic on that person's account, under the terms that person has with Anthropic (and the same for ElevenLabs). The key never reaches the other players or the game's pages (only its last 4 characters come back) and never ends up in the logs. Anyone who doesn't want their messages to go to an AI master plays at a table with a human master. [roles to be clarified with the lawyer: docs/LEGALE.md §8]

If you use the browser's speech recognition instead of ours (when the server voice is not available), the audio is handled by the browser maker (for example Google in Chrome, Apple in Safari) under its own rules: we only receive the text.

7. Cookies and browser storage

The game uses the browser's storage: local storage (localStorage) for your heroes, the Shop key and preferences (with an account, while you are signed in, the account's ones, and aside the ones without an account); session storage (sessionStorage) for what is only needed in the open tab (the table you are joining, the chosen hero, the lights, the practice game, the email you asked a link for while you wait), deleted when you close the tab; the browser database (IndexedDB) for the map editor's thumbnails. The cookies: dndia_pass, when the Shop is active (the file pass, 12 hours); tomo_ingresso, when you press «Play» on the welcome page or enter the game (it only means «take me straight to the game», one year); and, only if you use the account, tomo_sessione (you are signed in, 60 days from sign-in), tomo_richiesta (the browser that asked for the link, so the email code works only there, as long as the link: just over 15 minutes) and tomo_disp (a random mark of this browser, to warn you by email when a browser the account has never seen signs in, 400 days). On the public server the three account cookies carry the __Host- prefix (for example __Host-tomo_sessione) and pages cannot read them. All of them are technical: they deliver the service you ask for or remember your choices, they are first-party, and we don't use them for statistics, profiling or advertising. For these the law requires no consent, only this information (Art. 122 Italian Privacy Code, Legislative Decree 196/2003; Art. 5(3) Directive 2002/58/EC; Italian DPA cookie guidelines of 10 June 2021). That's why there is no banner. If we ever add statistics or anything non-technical, we will ask you first.

8. Minors

You must be at least 14 to play on the public server, with or without an account. Under 14, using the AI master and the related processing of data would require a parent's consent (Italian Law 132/2025, Art. 4(4)), and online we have no serious way to verify it: that is why the public server is not allowed under 14. At home, with «Host it yourself», the family decides. [to be confirmed with the lawyer]. To open an account you tick the box «I am at least 14» (no date of birth): we keep the time you ticked it. The safeguards for under-18s are in the terms of use (§3). Purchases are made by an adult, or by a minor with a parent's permission. If we find a table or an account used by a child without permission, we close it and delete their data.

9. Your rights

You can ask us to access, correct, erase or restrict your data, to receive a copy in a readable format, and to object to processing based on our legitimate interest (Arts. 15-21 GDPR). We reply within one month. You can also complain to the Italian data protection authority, the Garante per la protezione dei dati personali (garanteprivacy.it, Art. 77 GDPR), or to the authority where you live.

With an account you can do much of it yourself, in «Il mio account»: see your data, change your name, remove a hero or a key, close a device, download everything in a file («Scarica i miei dati», Art. 20 GDPR) and delete the account (§4). For the rest, write to us from the account's email.

Without an account we don't know who you are: to find your data we need something linking it to you, the roster number (in «My heroes»), the table code, or the purchase code on your receipt. Without it we cannot link you to anything (Art. 11 GDPR). You can delete the heroes in your browser yourself, at any time.

10. Security

The public game runs only over HTTPS. For roster keys we keep a hash; if the hero is on the account, the key too, encrypted. In the game IP addresses are kept only as a fingerprint, in plain form only in the web server access log (§3, item 14, 14 days); files are readable only by the game process. For the account: no password to steal; links, codes and sessions are random numbers of which we keep only a hash; the AI keys, roster keys and Shop key on the account are encrypted (AES-256-GCM) with a server key kept outside the database and its backups. Keys for external services never end up in the logs. If a data breach put you at risk, we would notify the Garante and, where needed, you (Arts. 33-34 GDPR).

11. Changes

If we change this notice the date at the top changes, and if the change matters we tell you in the game before it applies.