Privacy Policy

Il Titolare del trattamento dei dati personali è:

TCG Collectly è una piattaforma di intermediazione tecnologica dedicata agli investitori e collezionisti di carte da gioco (Pokémon TCG, One Piece TCG e altre serie). Il servizio fornisce strumenti di tracking prezzi, analisi di mercato, alert di arbitraggio, riconoscimento automatico delle carte tramite intelligenza artificiale e facilitazione delle pratiche di grading professionale tramite partner Middleman.

Trattiamo le seguenti categorie di dati personali:

• Dati di registrazione: indirizzo email, nome, immagine profilo, identificativo univoco generati e gestiti dal provider di autenticazione Clerk.
• Dati di contatto per spedizione: nome, cognome, indirizzo postale, recapito telefonico ed email inseriti nel modulo di grading per la generazione delle distinte di spedizione.
• Foto delle carte: immagini scattate o caricate tramite la funzione AI Vision per il riconoscimento automatico.
• Dati di utilizzo della piattaforma: ricerche effettuate, collezioni salvate, alert configurati, watchlist, interazioni con widget e dashboard.
• Dati di pagamento: per gli utenti che sottoscrivono un piano premium, gli estremi di pagamento sono trattati direttamente da Stripe Inc. (vedi sez. 6). TCG Collectly riceve solo l'identificativo della sottoscrizione e lo stato.
• Token di Push Notification: identificativo univoco rilasciato da Firebase Cloud Messaging per l'invio di notifiche push all'app Android (vedi sez. 7).
• Dati tecnici e di navigazione: indirizzo IP, user-agent, sistema operativo, modello dispositivo, lingua, log tecnici di accesso.

I dati vengono trattati sulle seguenti basi giuridiche (art. 6 GDPR):

• Esecuzione del contratto (art. 6.1.b):gestione dell'account, fornitura del servizio, generazione delle pratiche di grading, gestione degli abbonamenti.
• Consenso esplicito (art. 6.1.a): invio di push notification, cookie non strettamente necessari, comunicazioni marketing (richiesto consenso opt-in).
• Legittimo interesse (art. 6.1.f): sicurezza della piattaforma, prevenzione frodi, miglioramento del riconoscimento AI in forma aggregata e anonimizzata.
• Obbligo di legge (art. 6.1.c): adempimenti fiscali, contabili e antiriciclaggio per le transazioni economiche.

Le foto scattate o caricate tramite la funzione di scanning AI vengono:

• Trasmesse in modalità sicura (TLS 1.3) ai modelli di Vision AI (OpenAI / Anthropic) per il riconoscimento.
• Allegate alle pratiche di grading inviate ai partner Middleman, qualora l'utente decida di includerle.
• Cancellate dai server di TCG Collectly entro 30 giorni dall'elaborazione, salvo che siano parte di una pratica di grading attiva.

L'identificazione AI è un supporto tecnologico e non garantisce accuratezza al 100%. L'utente è responsabile della verifica dei dati prima dell'invio.

I pagamenti per gli abbonamenti premium sono processati esclusivamente da Stripe Payments Europe Ltd. (Dublino, Irlanda). Stripe agisce come autonomo titolare del trattamento per i dati di pagamento (numero carta, dati di fatturazione). TCG Collectly non memorizza né visualizza i dati della carta. Per dettagli consulta la Privacy Policy di Stripe.

L'app Android utilizza Firebase Cloud Messaging (FCM) di Google LLC per l'invio di notifiche push relative a:

• Alert di prezzo configurati dall'utente
• Aggiornamenti su pratiche di grading in corso
• Nuove uscite e set Pokémon disponibili
• Comunicazioni di servizio essenziali

Il consenso alle notifiche push viene richiesto al primo avvio dell'app e può essere revocato in qualsiasi momento dalle impostazioni di sistema Android. Il token FCM è anonimizzato e non consente l'identificazione diretta del dispositivo se non tramite associazione al tuo account.

L'app Android richiede i seguenti permessi:

• Internet: indispensabile per il funzionamento del servizio.
• Notifiche (POST_NOTIFICATIONS): per ricevere alert e aggiornamenti. Opzionale.
• Fotocamera (CAMERA): per scansionare le carte tramite AI Vision. Richiesto solo all'uso. Opzionale.
• Storage (READ_MEDIA_IMAGES): per caricare foto dalla galleria. Richiesto solo all'uso. Opzionale.

Nessun permesso sensibile (rubrica, posizione precisa, microfono, SMS) viene richiesto.

I dati possono essere condivisi con:

• Partner Middleman: contatti e informazioni sulle carte trasmessi al partner selezionato per evadere la pratica di grading.
• Provider tecnici (Responsabili del Trattamento):
  • Clerk (autenticazione) – USA
  • OpenAI / Anthropic (AI Vision e analisi) – USA
  • Stripe (pagamenti) – Irlanda / USA
  • Firebase / Google LLC (push notifications) – USA
  • Cloudflare R2 (storage immagini) – USA / EU
  • MongoDB Atlas (database) – EU
  • Resend (invio email transazionali) – USA
  • Scrape.do (raccolta dati di mercato pubblici) – non riceve dati personali
• Autorità: in caso di obbligo di legge o richieste legittime delle autorità competenti.

Alcuni dei nostri provider hanno sede negli Stati Uniti. Tali trasferimenti avvengono sulla base delle Standard Contractual Clauses (SCC) approvate dalla Commissione Europea (Decisione 2021/914) e/o tramite l'adesione al EU-US Data Privacy Framework, garantendo un livello di protezione adeguato ai sensi dell'art. 46 GDPR.

Il sito web utilizza cookie tecnici (necessari al funzionamento) e, previo consenso, cookie di terze parti per finalità analitiche e funzionali. Puoi gestire le tue preferenze tramite il banner cookie visualizzato al primo accesso. L'app Android non utilizza cookie ma identificatori tecnici equivalenti gestiti dal sistema operativo.

• Dati account: per tutta la durata dell'account, eliminati entro 30 giorni dalla richiesta di cancellazione.
• Dati di pagamento e fatturazione: 10 anni (obbligo di legge fiscale).
• Foto carte (AI Vision): 30 giorni dall'elaborazione.
• Pratiche di grading: 5 anni dalla chiusura della pratica.
• Log tecnici: 12 mesi.

Hai il diritto di esercitare in qualsiasi momento:

• Accesso ai tuoi dati (art. 15)
• Rettifica di dati inesatti (art. 16)
• Cancellazione / diritto all'oblio (art. 17)
• Limitazione del trattamento (art. 18)
• Portabilità dei dati in formato strutturato (art. 20)
• Opposizione al trattamento (art. 21)
• Revoca del consenso in qualsiasi momento
• Reclamo al Garante per la protezione dei dati personali (www.garanteprivacy.it)

Per esercitare i tuoi diritti scrivi a privacy@tcgcollectly.it. Risponderemo entro 30 giorni come previsto dall'art. 12 GDPR.

Il servizio non è destinato a minori di 16 anni. Non raccogliamo consapevolmente dati personali di minori. Qualora un genitore o tutore ritenga che siano stati raccolti dati di un minore, può richiederne l'immediata cancellazione scrivendo a privacy@tcgcollectly.it.

Adottiamo misure tecniche e organizzative adeguate per proteggere i dati: cifratura in transito (TLS 1.3) e a riposo, autenticazione multi-fattore per gli accessi amministrativi, segregazione degli ambienti, audit log, principio di minimizzazione. In caso di violazione dei dati personali (data breach) provvederemo a notificare il Garante e gli interessati nei termini di legge (artt. 33-34 GDPR).

Ci riserviamo il diritto di aggiornare la presente Privacy Policy in qualsiasi momento. Le modifiche sostanziali saranno notificate tramite email o avviso in app/sito almeno 15 giorni prima dell'efficacia. La data di ultimo aggiornamento è sempre indicata in cima al documento.

Per qualsiasi domanda sulla privacy o per esercitare i tuoi diritti:

privacy@tcgcollectly.it

Autorità di controllo: Garante per la Protezione dei Dati Personali – Piazza Venezia, 11 – 00187 Roma – www.garanteprivacy.it