Informativa sulla privacy

Il titolare del trattamento dei dati raccolti tramite l'applicazione TITU e il sito titu.app è:

KAWLET, società a responsabilità limitata unipersonale di diritto francese, con sede legale in 15 Square Rameau, 59000 Lille (Francia), iscritta al Registro del commercio e delle società di Lille Métropole con il numero 993 159 250 (di seguito « TITU » o « noi »).

Contatto per qualsiasi domanda relativa alla protezione dei dati o per esercitare i Suoi diritti: yo@titu.app

Può anche scriverci per posta all'indirizzo della sede legale.

KAWLET non è tenuta a designare un responsabile della protezione dei dati (DPO) ai sensi dell'articolo 37 del GDPR. Le richieste sono trattate direttamente dalla direzione dell'impresa.

Autorità di controllo competente: Commission Nationale de l'Informatique et des Libertés (CNIL), autorità francese per la protezione dei dati, 3 Place de Fontenoy, TSA 80715, 75334 Paris Cedex 07 — cnil.fr. Se risiede in un altro Stato dell'Unione europea, può rivolgersi all'autorità di controllo del Suo paese di residenza.

La presente informativa si applica:

• all'applicazione mobile TITU (iOS e Android), che è il prodotto riservato ai membri;
• al sito titu.app, che comprende le pagine pubbliche, il percorso d'invito /j/{code} e l'elenco dei campi e dei club.

È redatta in conformità al Regolamento (UE) 2016/679 (GDPR) e alla legge francese n. 78-17 del 6 gennaio 1978 modificata, detta « Informatique et Libertés ».

Età minima: 16 anni. TITU non è destinato alle persone di età inferiore a 16 anni e non ne raccogliamo consapevolmente i dati. La creazione di un account presuppone che Lei abbia almeno 16 anni. Se esercita la responsabilità genitoriale e constata che un minore di 16 anni ha creato un account, ci scriva all'indirizzo di contatto: l'account sarà eliminato.

Due categorie di interessati sono considerate dalla presente informativa:

1. i membri, che hanno creato un account TITU;
2. i terzi i cui dati sono inseriti da un membro — un « +1 » invitato a una sessione, oppure un posto tenuto assegnato tramite numero di telefono. La sezione 6 è dedicata specificamente a loro.

Gli impegni che seguono non sono intenzioni: sono verificabili nel modo in cui il servizio è costruito.

• Non vendiamo alcun dato, a nessuno, in nessuna forma.
• Nessuna pubblicità comportamentale, nessuna profilazione pubblicitaria, nessun intermediario di dati, nessun circuito pubblicitario.
• Nessuna decisione automatizzata ai sensi dell'articolo 22 del GDPR.
• Nessun tracciante di terze parti per la misurazione del pubblico depositato sul Suo dispositivo: niente Google Analytics, niente pixel, niente SDK pubblicitario, nessuna registrazione di sessione.
• L'applicazione non chiede l'accesso né alla Sua rubrica, né alla Sua galleria fotografica, né alla Sua fotocamera, né al Suo microfono. Nessuna libreria che consenta tali accessi è integrata nell'applicazione. L'unico permesso facoltativo richiesto, oltre alle notifiche, è la geolocalizzazione, e unicamente per centrare la mappa dei campi sulla Sua posizione — tale posizione non viene allora né trasmessa né registrata.
• Il minimo di identificativi. Non raccogliamo alcun indirizzo e-mail: l'autenticazione avviene tramite numero di telefono, e non esistono né password né accesso tramite social network. Nessuna tabella applicativa di TITU contiene un indirizzo IP o uno user agent.
• La logica sensibile vive sul server. Le regole che proteggono i dati (chi vede cosa, chi può scrivere cosa) sono applicate dalla banca dati stessa, e non dall'applicazione: non possono essere aggirate da un telefono.

Questa sezione è la spina dorsale della presente informativa. Ogni trattamento vi è descritto isolatamente, con la base giuridica che lo autorizza ai sensi dell'articolo 6 del GDPR.

I destinatari tecnici comuni a tutti i trattamenti (fornitori di hosting, responsabili del trattamento) sono dettagliati alla sezione 12. I riferimenti a « Supabase » qui sotto rinviano al nostro fornitore di hosting della banca dati, situato nell'Unione europea.

4.1 — Creazione dell'account e autenticazione

• Dati: numero di telefono; nome o pseudonimo visualizzato; foto del profilo (facoltativa); lingua dell'account; data di creazione.
• Precisazione tecnica: il Suo numero di telefono è conservato nel servizio di autenticazione (auth.users), e non nella tabella applicativa del Suo profilo. Nessuna tabella funzionale di TITU contiene il Suo numero.
• Finalità: permetterLe di creare un account, di accedere tramite codice monouso (OTP) ricevuto via SMS, e di essere identificato dai Suoi compagni di squadra.
• Base giuridica: esecuzione del contratto (art. 6.1.b) — senza account non c'è servizio.
• Durata: per tutta la vita dell'account. Cancellato o anonimizzato all'eliminazione (sezione 16).
• Destinatari: Supabase (hosting e servizio di autenticazione); il fornitore d'invio SMS configurato a livello del servizio di autenticazione (Twilio) per il recapito del codice monouso. Il Suo nome e la Sua foto sono visibili ai membri dei Suoi gruppi, secondo l'impostazione di visibilità della Sua scheda.

4.2 — Sessioni, lista d'attesa e presenze

• Dati: presa di un posto, conferma, rinuncia, posizione nella fila, promozioni, squadra assegnata al blocco, assenze non comunicate (« no-show »), storico degli eventi di una sessione.
• Finalità: far funzionare la meccanica del gruppo — lo slot riservato, la conferma attiva, la fila a chi prima arriva, il blocco prima del calcio d'inizio.
• Base giuridica: esecuzione del contratto (art. 6.1.b).
• Durata: per tutta la vita dell'account. All'eliminazione, le righe delle partite future sono cancellate e il posto è restituito al gruppo; le righe delle partite già giocate sono conservate in forma anonimizzata (sezione 16).
• Destinatari: i membri attivi del Suo gruppo; Supabase.

4.3 — Risultato, classifica e migliore in campo

• Dati: risultato della partita, gol, assist, autogol, voti (migliore in campo, giocata più bella, peggiore in campo), classifica calcolata del gruppo.
• Finalità: tenere il risultato, la classifica e i riconoscimenti del gruppo.
• Base giuridica: esecuzione del contratto (art. 6.1.b).
• Durata: per tutta la vita dell'account, poi conservati in forma anonimizzata — il risultato di una partita appartiene anche agli altri giocatori che erano in campo.
• Destinatari: i membri attivi del Suo gruppo; Supabase.
• Garanzia particolare — il vincolo di reciprocità: Lei vede i voti degli altri solo se ha votato a Sua volta. Questa regola non è applicata dall'applicazione: è iscritta nella politica di sicurezza a livello di riga della banca dati (policy votes_select_reciprocal, funzione has_voted). Una richiesta proveniente da un client modificato non può quindi aggirarla.

4.4 — Profilo calcistico, dotazione e club seguiti

• Dati: ruolo, piede forte, livello dichiarato, club attuale, nome della squadra, numero di scarpe, marca preferita, storia e palmarès inseriti liberamente; materiale dichiarato (categoria, taglia, stato, valutazione, foto facoltativa); club seguiti; commenti e reazioni pubblicati nel gruppo.
• Finalità: arricchire la Sua scheda giocatore e animare la vita del gruppo. Tutte queste informazioni sono facoltative.
• Base giuridica: esecuzione del contratto (art. 6.1.b) — queste funzionalità fanno parte del servizio che ci chiede di fornire.
• Durata: finché non le modifica o le elimina; cancellate all'eliminazione dell'account.
• Destinatari: le persone autorizzate dalla Sua impostazione di visibilità; Supabase.

4.5 — Visibilità della Sua scheda giocatore

• Dati: due impostazioni — la portata della Sua scheda (vestiaire: Lei e i membri attivi dei Suoi gruppi; members: qualsiasi account TITU connesso) e la visualizzazione o meno delle Sue statistiche di competizione.
• Finalità: lasciarLe decidere chi vede cosa.
• Base giuridica: esecuzione del contratto (art. 6.1.b), e consenso (art. 6.1.a) per la visualizzazione delle statistiche di competizione, disattivata per impostazione predefinita.
• Impostazioni predefinite: portata vestiaire, statistiche di competizione nascoste. Il livello « visibile a tutti, anche fuori da TITU » non esiste: il servizio rifiuta questo valore in scrittura.
• Durata: vita dell'account.

4.6 — I « +1 »: i dati di un terzo

Questo trattamento è oggetto della sezione 6, alla quale La rinviamo.

• Dati: nome del +1; numero di telefono facoltativo; identità del membro ospitante.
• Base giuridica: legittimo interesse (art. 6.1.f).

4.7 — I posti tenuti (titolari d'ufficio)

• Dati: numero di telefono inserito dal gestore del gruppo, nome indicativo facoltativo, identità della persona che ha lanciato l'invito.
• Finalità: permettere al fondatore di un gruppo di riservare il posto dei giocatori dello zoccolo duro prima ancora che abbiano un account, e di restituirglielo all'iscrizione.
• Base giuridica: legittimo interesse (art. 6.1.f) — costituire il gruppo dei giocatori che già si conoscono e giocano insieme.
• Durata: minimizzazione automatica. Un posto tenuto che non è stato reclamato viene eliminato dal server al momento del blocco della formazione (per impostazione predefinita due ore prima del calcio d'inizio). Il numero di un terzo che non si è mai iscritto non sopravvive quindi alla partita. Un posto reclamato scompare quando la persona che l'ha creato elimina il proprio account.
• Destinatari: i membri del gruppo (che vedono il posto tenuto); Supabase.

4.8 — Disponibilità geografica (« Disponibile in zona »)

• Dati: un punto geografico che Lei stesso colloca su una mappa (e non la Sua posizione GPS), un raggio da 1 a 30 km, un indicatore di attivazione e la data dell'ultima convocazione ricevuta.
• Finalità: essere avvisato quando un gruppo vicino cerca un giocatore per completare l'organico.
• Base giuridica: consenso (art. 6.1.a). La funzionalità è disattivata per impostazione predefinita e si attiva con un interruttore esplicito nel Suo profilo. Può disattivarla in qualsiasi momento, senza motivazione; la revoca vale per il futuro.
• Limiti: la ricerca esclude sistematicamente le persone già legate al gruppo; uno stesso giocatore non può essere convocato più di una volta ogni 20 ore; una convocazione raggiunge al massimo 30 persone, le più vicine per prime. Questi limiti sono applicati dal server.
• Durata: fino alla disattivazione o all'eliminazione dell'account. La riga viene cancellata all'eliminazione dell'account, e l'indicatore viene spento in caso di messa in pausa.
• Destinatari: nessun terzo riceve il Suo punto. Il gruppo che La convoca vede soltanto una distanza arrotondata.

4.9 — Rivendicazione d'identità nei risultati pubblici delle competizioni

Questo trattamento è oggetto della sezione 7, alla quale La rinviamo.

• Base giuridica: consenso (art. 6.1.a), con marca temporale e versionato.

4.10 — Notifiche push

Dettagliato alla sezione 8.

• Dati: token di notifica del dispositivo, piattaforma (iOS/Android), lingua del token; coda delle notifiche da inviare.
• Base giuridica: esecuzione del contratto (art. 6.1.b) per il contenuto delle notifiche, che è strettamente funzionale; l'autorizzazione di sistema resta revocabile in qualsiasi momento nelle impostazioni del Suo telefono.

4.11 — Misurazione del pubblico

Dettagliato alla sezione 9.

• Base giuridica: legittimo interesse (art. 6.1.f) — capire se il prodotto funziona, senza traccianti né profilazione.

4.12 — Meteo di una partita

• Dati: le coordinate del campo e l'ora del calcio d'inizio. Nessun dato che La riguardi viene trasmesso.
• Finalità: mostrare, nello storico del gruppo, il meteo che c'era al momento della partita.
• Base giuridica: esecuzione del contratto (art. 6.1.b).
• Destinatario: Open-Meteo, servizio europeo interrogato senza chiave né account. Il servizio riceve un punto geografico e una data, mai un identificativo di giocatore.
• Durata: il meteo è registrato una sola volta con la partita e conservato con lo storico del gruppo.

4.13 — Elenco dei campi e dei club, e clic verso un'offerta partner

Dettagliato alla sezione 10.

• Base giuridica: legittimo interesse (art. 6.1.f). Questo trattamento non riguarda, dal lato dei visitatori, alcun dato personale.

4.14 — Sicurezza, prevenzione degli abusi e registri tecnici

• Dati: contatori di ricerche e di rivendicazioni d'identità per account, su una finestra mobile di 24 ore (30 ricerche, 5 rivendicazioni); registro delle richieste di rivendicazione; registro di autenticazione tenuto dal servizio di autenticazione, che contiene l'indirizzo IP e lo user agent delle sessioni.
• Finalità: impedire gli abusi, in particolare l'uso improprio della ricerca d'identità come mezzo per svelare l'identità di terzi; garantire la sicurezza degli account.
• Base giuridica: legittimo interesse (art. 6.1.f) — garantire la sicurezza del servizio e proteggere le persone i cui dati potrebbero essere esposti.
• Durata: i contatori sono azzerati a ogni nuova finestra di 24 ore. Queste registrazioni sono cancellate all'eliminazione dell'account, compreso il registro di autenticazione, che viene ripulito sia per identificativo di account sia per numero di telefono.
• Destinatari: Supabase; noi stessi, a fini di sicurezza.

4.15 — Tracciabilità delle decisioni sul ciclo di vita dell'account

• Dati: un registro in sola aggiunta che annota le messe in pausa, le riattivazioni e le eliminazioni, con la data, il tipo di evento e alcuni contatori (numero di posti restituiti, di +1 ritirati, di dispositivi scollegati). Conserva l'identificativo tecnico dell'account, ma nessun altro attributo identificante dopo un'eliminazione.
• Finalità: poter dimostrare che una richiesta di eliminazione è stata effettivamente eseguita, e diagnosticare un incidente.
• Base giuridica: legittimo interesse (art. 6.1.f) e obbligo legale (art. 6.1.c, articolo 5.2 del GDPR: responsabilizzazione).
• Durata: conservato senza limiti di tempo, in forma non identificante. Questo registro non è accessibile né a anon né agli account connessi: vi accede soltanto il ruolo di servizio.

4.16 — Risposta alle Sue richieste

• Dati: il contenuto del Suo messaggio e gli elementi necessari per identificarLa.
• Finalità: trattare le Sue richieste di esercizio dei diritti e le Sue richieste di assistenza.
• Base giuridica: obbligo legale (art. 6.1.c) per le richieste di esercizio dei diritti; legittimo interesse (art. 6.1.f) per l'assistenza.
• Durata: 3 anni a decorrere dall'ultimo scambio, a fini di prova del trattamento della richiesta.

Gli impegni che seguono sono tenuti dalla struttura della banca dati, e non da una direttiva interna. Non dipendono né da una buona pratica di sviluppo, né da una configurazione che si potrebbe dimenticare di ripristinare: i dati che essi vietano non hanno alcun posto dove scriversi.

5.1 — Nessuna persona nei dati di competizione. Le tabelle che accolgono i dati pubblici delle federazioni (club, campi, competizioni, squadre, iscrizioni, calendari, risultati, classifiche) non contengono alcuna colonna in grado di ricevere il nome di una persona, un telefono, un indirizzo e-mail, una data di nascita, un arbitro o una distinta nominativa. Le colonne chiamate « nome » vi designano esclusivamente club, squadre, campi, competizioni o giornate. Queste 56 tabelle sono peraltro interamente chiuse: sicurezza a livello di riga attivata senza alcuna regola di accesso, e nessun permesso concesso ai ruoli anonimo e autenticato. Nessuna richiesta pubblica può leggerle.

5.2 — Le foto del profilo non sono pubbliche. Lo spazio di archiviazione delle foto del profilo è privato. Il servizio non restituisce mai un indirizzo d'immagine pubblico, ma un semplice percorso; la visualizzazione passa da un collegamento firmato di breve durata (5 minuti), rilasciato soltanto se le regole di accesso lo consentono — vale a dire a Lei stesso o a un membro attivo di un gruppo che condividete. Un client modificato non può concedersi il diritto di vedere un volto.

5.3 — I « +1 » sono fuori classifica per costruzione. Gli ospiti sono registrati in una tabella dedicata, distinta dalla tabella delle formazioni. La classifica, i risultati e le statistiche individuali sono calcolati esclusivamente a partire dalla tabella delle formazioni. Un +1 non può quindi comparire in classifica, non perché un filtro lo escluda, ma perché non vi figura.

5.4 — Un'identità non rivendicata non ha alcun posto dove scriversi. Nella tabella che accoglie un'identità di competizione, l'identificativo dell'account è la chiave primaria. È strutturalmente impossibile registrarvi la scheda di una persona che non abbia un account TITU e non abbia confermato di essere sé stessa.

5.5 — Nessun contenuto Google Places entra nei nostri dati. Di questo servizio conserviamo soltanto un identificativo opaco, in una tabella separata i cui vincoli non accettano nessun altro fornitore né alcuna altra finalità che il collegamento di un luogo. Nessun contenuto Places (nome, recensioni, foto, descrizione) alimenta le nostre schede dei campi né alcun trattamento automatizzato di redazione.

5.6 — Nessun indirizzo IP nei dati applicativi. Nessuna tabella funzionale di TITU contiene una colonna di indirizzo IP o di user agent. Queste informazioni esistono soltanto nel registro del servizio di autenticazione, per la sicurezza degli account, e sono ripulite all'eliminazione dell'account.

È il punto più delicato del servizio, e lo documentiamo integralmente.

Che cosa accade. Quando a una sessione mancano giocatori, un membro può iscrivere un « +1 »: un amico che non ha un account TITU. Inserisce allora il suo nome e, facoltativamente, il suo numero di telefono. Si tratta dei dati di una persona che non ha stipulato alcun contratto con noi e che, al momento dell'inserimento, forse ignora che il suo nome è iscritto su una distinta.

Base giuridica: il legittimo interesse (art. 6.1.f del GDPR). L'interesse perseguito è l'organizzazione di una partita tra persone che già si conoscono: il membro ospitante invita un amico con cui ha già concordato di giocare. I dati in questione sono minimi (un nome, eventualmente un numero), il trattamento è di breve durata e non comporta né profilazione, né attività promozionale, né trasmissione a terzi. Abbiamo effettuato un bilanciamento e riteniamo che l'incidenza sulla vita privata del +1 sia ridotta allo stretto necessario.

Informazione dell'interessato. Il membro ospitante si impegna, iscrivendo un +1, ad aver informato la persona che la sta iscrivendo a una sessione TITU e a disporre del suo accordo per comunicarne il numero. Se Lei è iscritto come +1 e non lo desidera, ha due strade: chiedere al membro che L'ha iscritta di ritirarLa, oppure scriverci direttamente all'indirizzo di contatto — procederemo alla cancellazione.

Che cosa viene fatto e che cosa non viene fatto:

• Un +1 non è mai in classifica. È registrato in una tabella dedicata (vedere la sezione 5.3): non può comparire nei risultati individuali, nelle statistiche né nella classifica del gruppo. Non è una scelta di visualizzazione, è la struttura dei dati.
• Il numero è utilizzato per una cosa soltanto: il riconoscimento all'iscrizione. Se in seguito la persona crea un account TITU con quel numero, il servizio riconosce la corrispondenza e collega la scheda del +1 al suo account: recupera così la traccia delle partite che ha realmente giocato. Il numero non è mai utilizzato per inviare un messaggio, un invito o un sollecito.
• Il numero è normalizzato (vengono conservate soltanto le cifre) e uno stesso numero non può essere iscritto due volte sulla stessa sessione.
• Limiti imposti dal server. Un +1 può essere aggiunto soltanto se ci sono posti realmente liberi, se la lista d'attesa è vuota (nessuno in attesa deve essere scavalcato) ed entro il tetto fissato dal gruppo. Queste regole sono applicate dalla banca dati, non dall'applicazione.
• Un'assenza non comunicata di un +1 è imputata al suo ospitante, non a lui.

Periodo di conservazione. Il nome di un +1 figura sulla distinta del gruppo e vi rimane, perché fa parte dello storico comune degli altri giocatori. Il numero di telefono, invece, viene cancellato nei casi seguenti: quando il membro ospitante elimina il proprio account; quando il +1 crea un account e diventa membro a pieno titolo; oppure su richiesta inviata al nostro indirizzo di contatto. Occorre sapere, in tutta trasparenza, che il ritiro di un +1 da una sessione da parte del suo ospitante contrassegna la riga come ritirata ma non elimina da solo il numero: una richiesta di cancellazione deve esserci inviata, e vi diamo seguito.

La convocazione della community. Quando un giocatore si unisce a una sessione tramite l'appello alla community (sezione 4.8), viene registrato nella stessa tabella dedicata, con l'indicazione della sua provenienza. Non è membro del gruppo e non entra nella classifica del gruppo.

TITU Le permette, se lo desidera, di collegare al Suo account le statistiche di un giocatore reperito nei risultati pubblici delle competizioni.

⚠️ Precisazione essenziale e senza ambiguità: nessuna federazione ci trasmette dati, e non abbiamo alcun accordo di trasmissione con alcuna federazione. Leggiamo unicamente risultati di competizione pubblicati pubblicamente, nel momento in cui Lei ce lo chiede. Qualsiasi formulazione che lasciasse intendere il contrario sarebbe inesatta.

Base giuridica: il Suo consenso (art. 6.1.a del GDPR), raccolto prima del trattamento, con marca temporale e versionato. Il testo del consenso porta un numero di versione (a oggi 2026-07-30.1) che viene registrato con la Sua conferma. È il server a fare fede: se il testo è cambiato dopo la visualizzazione, la rivendicazione viene rifiutata e il consenso deve essere ridato sulla versione aggiornata. La funzionalità è del tutto facoltativa; non fare nulla è una risposta perfettamente valida.

Come funziona, nell'ordine:

1. Su richiesta, mai in via preventiva. Nulla viene letto finché non ha dichiarato Lei stesso il Suo club. Non esiste alcuna costituzione preliminare di schede di giocatori, nessuna banca di identità in attesa di essere reclamate.
2. La ricerca non conserva nulla. Le distinte pubbliche sono lette in quell'istante da una funzione dedicata che non scrive in alcuna banca dati. Il suo unico stato è una cache in memoria volatile di 5 minuti, limitata, che scompare con il processo. Nessun file, nessuna riga, nessuna traccia delle persone che non sono Lei.
3. I candidati che Le vengono proposti sono anonimizzati. Lei non vede mai il nome completo di un terzo: soltanto il nome seguito dall'iniziale del cognome (« Luca A. »), l'anno di nascita quando la fonte lo pubblica, ed elementi sportivi (squadra, competizione, stagione, partite, gol, numero di maglia). L'identificativo federale reale non esce mai in chiaro.
4. Il collegamento verso un candidato è cifrato, breve e personale. Ogni candidato proposto è accompagnato da un token cifrato che contiene l'identificativo reale, il Suo identificativo di account e una scadenza a 10 minuti. Un token proposto a qualcun altro viene rifiutato; un token scaduto viene rifiutato. Si può rivendicare soltanto ciò che è stato proposto a noi, a noi stessi, ed entro dieci minuti.
5. Conserviamo soltanto Lei. Dopo la Sua conferma, viene registrata soltanto la Sua scheda. Gli altri candidati non hanno, strutturalmente, alcun posto dove scriversi: nella tabella che accoglie un'identità, l'identificativo dell'account è la chiave primaria (sezione 5.4).
6. Un'identità, un account. Una stessa identità di competizione può essere collegata a un solo account TITU.

Dati conservati dopo la Sua conferma: nome e cognome così come pubblicati dalla fonte, identificativo della competizione, club e squadra, indirizzo della fonte, versione del consenso, data della rivendicazione; nonché le Sue statistiche per stagione (competizione, livello, squadra, numero, partite, gol, cartellini, date della prima e dell'ultima partita).

Data di nascita: viene conservata soltanto per la persona che ha confermato di essere sé stessa. Per gli altri candidati l'anno esiste solo per il tempo della visualizzazione, e non viene mai registrato. Se la fonte pubblica soltanto l'anno, registriamo soltanto l'anno — non inventiamo un 1º gennaio. Sulla Sua scheda è mostrato soltanto l'anno, mai una data completa. Alla data della presente informativa, nessuna delle fonti attualmente collegate pubblica data o anno di nascita: nessun dato di nascita è quindi effettivamente raccolto.

Visualizzazione: le Sue statistiche di competizione sono nascoste per impostazione predefinita. La loro comparsa sulla Sua scheda presuppone una seconda impostazione, che attiva esplicitamente (sezione 4.5).

Copertura: la funzionalità è disponibile soltanto per i paesi per i quali è supportata una fonte pubblica. Se il Suo paese non ne ha una, il servizio glielo dice e nulla viene letto.

Revoca in qualsiasi momento. Un pulsante nel Suo profilo slega l'identità. La revoca cancella immediatamente la Sua scheda d'identità e l'insieme delle Sue statistiche di competizione, senza archiviazione, senza copia, senza cestino. Nel registro interno delle rivendicazioni, l'identificativo che designa una persona viene azzerato; resta soltanto la traccia di un evento (una rivendicazione ha avuto luogo in tale data, su tale federazione, per tale club), senza nome.

Contestazione. Se ritiene che un account si sia collegato alla Sua identità, ci scriva all'indirizzo di contatto: possiamo contrassegnare l'identità come contestata — il che la ritira immediatamente dalla visualizzazione — e poi slegarla.

Protezione contro l'uso improprio. Un account è limitato a 30 ricerche e 5 rivendicazioni ogni 24 ore. Questo limite chiude deliberatamente una possibilità di abuso: rivendicare e annullare in continuazione per far comparire un nome completo a ogni giro.

Che cosa conserviamo: per ogni dispositivo, un token di notifica, la piattaforma (iOS o Android) e la lingua del token. Nessun identificativo pubblicitario, nessun identificativo hardware.

Quando viene chiesto il permesso. Non viene mai chiesto al primo avvio dell'applicazione. Viene chiesto dopo che Lei ha creato un gruppo o vi si è unito, cioè nel momento in cui una notifica ha finalmente un senso per Lei. Il rifiuto non ha conseguenze sul resto del servizio.

Il contenuto delle notifiche è composto sul nostro server, nella lingua del dispositivo destinatario, a partire da una coda interna. Una notifica può contenere il nome del gruppo, il nome del campo, la data della partita e, a seconda dei casi, il nome di un giocatore (per esempio quando Le è stato riservato un posto o quando un giocatore si è unito alla sessione).

Destinatari: il messaggio composto e il token del dispositivo sono trasmessi a Google (Firebase Cloud Messaging) per il recapito e, su iOS, ad Apple (APNs). È il meccanismo standard di recapito delle notifiche mobili; non esiste modo di consegnare una notifica push senza passare da questi servizi.

Durata: un token è conservato finché l'applicazione è installata e l'account attivo. Viene cancellato immediatamente se mette l'account in pausa o se lo elimina, ed è rimosso automaticamente quando il servizio di recapito ci segnala che non è più valido.

Revoca: può revocare l'autorizzazione in qualsiasi momento nelle impostazioni del Suo sistema operativo. La schermata Impostazioni di TITU indica lo stato corrente dell'autorizzazione e propone il percorso per tornare indietro.

Utilizziamo PostHog, in regione Unione europea, per capire se il prodotto funziona.

Che cosa facciamo:

• Soltanto eventi nominati, attivati esplicitamente dal nostro codice. Non c'è alcuna acquisizione automatica dei Suoi gesti, alcuna registrazione di sessione (« session replay »), alcuna mappa di calore, alcun monitoraggio di ciò che digita.
• L'elenco degli eventi è breve e chiuso. Nell'applicazione: group_created, group_joined, place_taken, slot_confirmed, absence_declared, score_submitted, motm_voted, guest_added, community_opened, community_joined, card_shared, push_permission. Sul sito: web_join_viewed, web_otp_sent, web_otp_verified, web_group_joined, web_lang_switch, web_confirm, web_declare_absence, web_undo_absence, web_pass_offer, web_take_place, web_submit_score.
• Ogni evento è accompagnato da proprietà tecniche minime: l'identificativo dell'oggetto interessato (una sessione, un gruppo), la piattaforma e l'ambiente. Nessun contenuto da Lei inserito viene trasmesso.
• Una volta connesso, gli eventi sono collegati all'identificativo tecnico del Suo account (un UUID). Prima della connessione, sono inviati sotto l'identificativo anon.
• Nessun cookie di misurazione del pubblico, nessuna memorizzazione sul Suo dispositivo, nessun identificativo pubblicitario. L'invio è una semplice richiesta HTTP diretta; non integriamo il kit di sviluppo di PostHog. Di conseguenza, questo trattamento non implica alcun accesso né alcuna iscrizione di informazioni nel Suo terminale ai sensi dell'articolo 82 della legge francese « Informatique et Libertés », e non è quindi soggetto alla raccolta preventiva di un consenso a tale titolo.
• Come per qualsiasi richiesta di rete, il server di PostHog vede l'indirizzo IP all'origine della chiamata. Noi non lo registriamo dal nostro lato e non lo colleghiamo ad alcun altro trattamento.

Base giuridica: legittimo interesse (art. 6.1.f). Può opporsi a questo trattamento in qualsiasi momento scrivendoci all'indirizzo di contatto.

Durata: ci impegniamo a non conservare questi eventi oltre 25 mesi.

Senza chiave di configurazione, la misurazione è totalmente inattiva: il codice non trasmette nulla.

Il sito titu.app pubblica un elenco dei campi da calcio e dei club, costruito a partire da dati pubblici (dati aperti pubblici, registri pubblici, informazioni pubblicate dalle federazioni). Queste pagine non contengono alcun dato personale: descrivono luoghi, impianti, club e competizioni. I dirigenti, i contatti nominativi e le distinte nominative ne sono esclusi per costruzione (sezione 5.1).

Consultazione. Navigare nell'elenco non presuppone né account né cookie di monitoraggio. Nessuna delle nostre tabelle conserva l'indirizzo IP di un visitatore.

Clic verso un'offerta di prenotazione partner. Quando fa clic su un'offerta di prenotazione, passa da un reindirizzamento tecnico che incrementa un contatore. Questo contatore contiene esattamente: l'identificativo dell'offerta, la data del giorno, l'area d'origine del clic (scheda, pagina città o mappa), il numero di clic e le marche temporali del primo e dell'ultimo clic della giornata. Né indirizzo IP, né cookie, né account, né identificativo di giocatore, né impronta del browser. È quindi impossibile, a partire da questo contatore, sapere chi ha fatto clic.

Il reindirizzamento è inoltre configurato per non trasmettere alcun referrer al sito partner, e il collegamento in uscita porta gli attributi nofollow sponsored noopener noreferrer. Il partner non sa quindi da quale pagina di TITU proveniva.

Posizione sulla mappa. Il pulsante « vicino a me » della mappa dei campi utilizza la geolocalizzazione del Suo dispositivo unicamente per centrare la visualizzazione. Questa posizione non è né trasmessa a un server, né registrata. È distinta dal punto di disponibilità geografica descritto alla sezione 4.8, che è Lei stesso a collocare e che, quello sì, è registrato con il Suo consenso.

TITU non deposita alcun cookie pubblicitario né alcun cookie di misurazione del pubblico. Non c'è quindi alcun banner di consenso, perché non c'è nulla da consentire.

Gli unici elementi depositati sul Suo browser sono strettamente necessari al funzionamento del sito ed esenti da consenso ai sensi dell'articolo 82 della legge francese « Informatique et Libertés »:

Nell'applicazione mobile, le preferenze equivalenti sono conservate localmente sul dispositivo e scompaiono con la disinstallazione.

I Suoi dati non sono mai venduti, noleggiati né ceduti. Sono accessibili alle persone autorizzate in KAWLET, nella stretta misura del necessario, e ai responsabili tecnici del trattamento elencati qui sotto. Ciascuno agisce su nostre istruzioni ed è vincolato da un accordo di trattamento conforme all'articolo 28 del GDPR.

Trasferimenti fuori dall'Unione europea. Il nucleo dei Suoi dati — account, gruppi, sessioni, risultati, schede — è ospitato nell'Unione europea. I trasferimenti verso gli Stati Uniti si limitano a ciò che è tecnicamente inevitabile: la distribuzione delle pagine del sito, il recapito di un SMS e il recapito di una notifica push. Sono disciplinati dai meccanismi previsti al capo V del GDPR (decisione di adeguatezza, clausole contrattuali tipo).

Altri possibili destinatari: gli altri membri dei Suoi gruppi, nei limiti descritti alla sezione 4; e, se del caso, le autorità giudiziarie o amministrative su richiesta regolare.

Trasparenza su questo punto: al di fuori dei casi in cui una durata è esplicitamente indicata qui sopra, i dati collegati al Suo account sono conservati finché il Suo account esiste. Non applichiamo alcuna cancellazione automatica per anzianità; sono la messa in pausa e l'eliminazione, descritte alle sezioni 15 e 16, a comandarne la sorte.

Ai sensi dell'articolo 32 del GDPR, mettiamo in atto le misure seguenti:

• Cifratura delle comunicazioni in TLS su tutti gli scambi, applicazione e sito.
• Cifratura dei dati a riposo a cura del nostro fornitore di hosting.
• Sicurezza a livello di riga della banca dati. Ogni tabella sensibile porta regole di accesso valutate dal motore della banca dati: un client può leggere soltanto ciò che la regola autorizza, qualunque sia la richiesta che invia. È questo meccanismo a tenere il vincolo di reciprocità dei voti (sezione 4.3) e la riservatezza delle foto del profilo (sezione 5.2).
• Tutte le operazioni sensibili sono transazionali ed eseguite lato server. Prendere un posto, dichiarare un'assenza, confermare, rivendicare un'identità, eliminare un account: il client chiama, non decide.
• Le transizioni nel tempo (apertura della fila, blocco, scadenza di un'offerta) sono attivate da un'attività pianificata sul server, mai dal dispositivo: cambiare l'ora del proprio telefono non ha alcun effetto.
• Separazione dei dati di competizione: sicurezza a livello di riga attivata senza regola di accesso e nessun permesso concesso ai ruoli pubblici.
• Limitazione della frequenza delle richieste sulle funzioni sensibili, e registro di audit sulla rivendicazione d'identità.
• Spazio di archiviazione delle foto privato, accesso tramite collegamento firmato di 5 minuti.

In caso di violazione dei dati che possa comportare un rischio per i Suoi diritti e le Sue libertà, effettueremo la notifica alla CNIL entro 72 ore (articolo 33 del GDPR) e La informeremo direttamente quando il rischio è elevato (articolo 34).

La pausa è un gesto reversibile che La ritira dalla circolazione senza distruggere il Suo storico. Si attiva da Impostazioni › Zona di pericolo › Pausa.

Che cosa accade immediatamente:

1. I Suoi posti futuri sono restituiti al gruppo — le Sue iscrizioni alle sessioni future sono liberate, e viene chiamata la riserva successiva. Ciò vale anche per i « +1 » di cui era l'ospitante e per le sessioni a cui si era unito tramite l'appello alla community.
2. La Sua disponibilità geografica viene spenta (la riga è conservata per poterle essere restituita).
3. I Suoi token di notifica sono eliminati: non riceve più nulla.
4. Le notifiche non ancora inviate che Le erano destinate sono eliminate.
5. La Sua scheda giocatore cessa di essere consultabile dagli altri.

Che cosa viene preservato: il Suo nome, la Sua foto, la Sua lingua, la Sua appartenenza ai gruppi, il Suo storico delle partite, la Sua classifica, il Suo profilo calcistico, la Sua dotazione, i Suoi commenti, e la Sua identità di competizione se ne ha rivendicata una.

Che cosa è bloccato durante la pausa: non può più prendere o confermare un posto, unirsi a un gruppo, aggiungere un « +1 », votare, commentare, reagire, né modificare la Sua disponibilità geografica. Ogni tentativo è rifiutato dalla banca dati stessa, con un messaggio esplicito.

Il rientro avviene con un solo gesto, dalla stessa schermata. La Sua disponibilità geografica viene riattivata soltanto se lo era prima della pausa. Per contro, i posti restituiti non tornano: qualcuno può aver giocato al Suo posto, e noi non spossessiamo nessuno.

Una riserva: un giocatore che è l'ultimo gestore di un gruppo con altri membri non può mettersi in pausa finché non ha passato le chiavi. Non è un ostacolo ai Suoi diritti: il passaggio si fa in due gesti dalla schermata dello spogliatoio.

L'eliminazione si attiva da Impostazioni › Zona di pericolo › Elimina il mio account, con una conferma esplicita. È immediata, definitiva e senza cestino: non c'è né periodo di grazia, né backup, né possibilità di ripristino. Un account eliminato non può essere riattivato.

Prima di qualsiasi congelamento, i Suoi posti sono restituiti. È la prima operazione, e copre tutte le forme di posto che un account può occupare: le Sue iscrizioni alle sessioni future, i « +1 » di cui era l'ospitante, le sessioni a cui si è unito tramite l'appello alla community, e i posti tenuti che aveva creato o che Le erano destinati. Una sola di queste forme dimenticata lascerebbe un posto fantasma: un gruppo che si crede in dieci e gioca in nove. Non è un dettaglio di visualizzazione — è il dato di altre persone che rovineremmo.

Che cosa viene CANCELLATO, senza copia e senza archivio:

• il Suo numero di telefono, compreso nel registro di autenticazione — un registro che non è collegato al Suo account da alcun legame tecnico e che quindi l'eliminazione dell'account non raggiunge da sola: viene ripulito esplicitamente, sia per identificativo sia per numero;
• la Sua foto del profilo: il riferimento è cancellato immediatamente, e il file è eliminato dallo spazio di archiviazione da un'attività automatica che si esegue ogni cinque minuti;
• la Sua lingua, il Suo profilo calcistico, la Sua dotazione, i Suoi club seguiti;
• i Suoi commenti e le Sue reazioni;
• il Suo punto di disponibilità geografica e il suo raggio;
• i Suoi token dei dispositivi e la Sua coda di notifiche — comprese le notifiche destinate ad altri che La nominavano;
• il registro degli eventi di sessione che portava il Suo nome in chiaro (« il tale ha preso un posto »), nonché, negli stessi testi, il nome di un « +1 » che aveva portato;
• la Sua identità di competizione e l'insieme delle Sue statistiche, nonché il registro di rivendicazione che La riguarda;
• i posti tenuti che aveva creato e quelli che portavano il Suo numero;
• il numero di telefono di qualsiasi « +1 » che aveva portato;
• la Sua identità di autenticazione e l'insieme delle Sue sessioni e dei Suoi token.

Che cosa viene ANONIMIZZATO e conservato:

Il Suo profilo diventa un guscio senza alcun attributo identificante: il Suo nome visualizzato è sostituito da uno pseudonimo tecnico privo di significato (della forma #a3f91c), la foto e la lingua sono azzerate.

Da quel momento, le righe che puntavano a Lei puntano soltanto a un identificativo nudo, e sono quindi anonimizzate con un solo gesto:

• le formazioni delle partite già giocate;
• i gol, gli assist e le statistiche di quelle partite;
• i voti che ha espresso e quelli che ha ricevuto;
• le distinte in cui figurava un « +1 » che aveva portato — il suo nome resta, perché non è un Suo dato: è quello di un terzo iscritto sulla distinta di un gruppo che ha il diritto di conservare il proprio storico.

Perché non cancellare tutto? Perché il risultato di una partita non è soltanto un Suo dato. Appartiene anche alle altre nove persone che erano in campo. Cancellare la riga mutilerebbe il loro storico, la loro classifica e i loro risultati. Distruggiamo quindi il legame con Lei, il che fa uscire quelle righe dall'ambito del regolamento, anziché distruggere la memoria comune di un gruppo.

Una riserva, identica a quella della pausa: un giocatore che è l'ultimo gestore di un gruppo con altri membri deve prima passare le chiavi. Il passaggio si fa in due gesti dalla schermata dello spogliatoio. Se non riesce a portarlo a termine, ci scriva: procederemo noi all'eliminazione.

Due punti di trasparenza:

1. In un caso di ripiego tecnico in cui la riga di autenticazione non potesse essere eliminata nella stessa operazione, l'account viene bandito prima di qualsiasi tentativo di cancellazione: l'accesso diventa impossibile anche se la cancellazione fallisce. Questo ordine è la garanzia, e l'eliminazione del residuo viene poi portata a termine a nostra cura.
2. L'eliminazione dell'account è disponibile soltanto nell'applicazione mobile. Se non ha più accesso all'applicazione, ci scriva all'indirizzo di contatto: eseguiremo noi l'eliminazione.

Sui Suoi dati personali Lei dispone dei diritti seguenti:

• Diritto di accesso (art. 15) — ottenere la conferma che trattiamo i Suoi dati e ottenerne una copia.
• Diritto di rettifica (art. 16) — correggere un dato inesatto o incompleto. La maggior parte delle Sue informazioni è direttamente modificabile nell'applicazione.
• Diritto alla cancellazione (art. 17) — ottenere l'eliminazione dei Suoi dati. Si esercita direttamente con l'eliminazione dell'account (sezione 16), oppure su richiesta.
• Diritto alla limitazione del trattamento (art. 18).
• Diritto di opposizione (art. 21) — opporsi a un trattamento fondato sul nostro legittimo interesse, in particolare la misurazione del pubblico.
• Diritto alla portabilità (art. 20) — ricevere i dati che ci ha fornito in un formato strutturato e leggibile da dispositivo automatico.
• Diritto di revocare il Suo consenso in qualsiasi momento, con la stessa facilità con cui l'ha prestato, per i trattamenti che ne dipendono: la disponibilità geografica (un interruttore nel profilo), la rivendicazione d'identità (un pulsante di revoca nel profilo), la visualizzazione delle statistiche di competizione, e le notifiche push (le impostazioni del Suo sistema). La revoca non pregiudica la liceità del trattamento effettuato prima di essa.
• Diritto di impartire istruzioni relative alla sorte dei Suoi dati dopo il Suo decesso (articolo 85 della legge francese « Informatique et Libertés »).

Che cosa l'applicazione Le permette di fare da solo, immediatamente: consultare e modificare il Suo profilo, la Sua scheda giocatore, la Sua dotazione e le Sue impostazioni di visibilità; attivare o disattivare la disponibilità geografica; slegare un'identità di competizione, il che cancella le statistiche associate; mettere l'account in pausa; eliminare l'account, con l'enunciazione di ciò che viene cancellato e di ciò che viene anonimizzato.

⚠️ Che cosa l'applicazione NON permette ancora, in tutta onestà: non esiste una funzione di esportazione automatizzata dei Suoi dati in un file leggibile da dispositivo automatico, e non esiste una schermata unica che riepiloghi l'insieme dei dati detenuti e dei consensi prestati. I diritti di accesso (art. 15) e di portabilità (art. 20) si esercitano quindi su richiesta inviata a yo@titu.app; Le trasmetteremo un'esportazione in un formato strutturato. Non pretendiamo il contrario, e questa funzionalità fa parte dei nostri sviluppi futuri.

Come esercitare i Suoi diritti: scriva a yo@titu.app, da un mezzo che permetta di identificarLa, precisando la Sua richiesta. In caso di ragionevole dubbio possiamo chiederLe un documento d'identità. Rispondiamo entro un mese, prorogabile di due mesi in caso di richiesta complessa, nel qual caso La informiamo.

Se Lei è un « +1 » di cui un membro ha inserito il nome ed eventualmente il numero, senza essere Lei stesso membro: i Suoi diritti sono gli stessi. Ci scriva all'indirizzo di contatto, oppure chieda al membro che L'ha iscritta di ritirarLa.

Reclamo: se ritiene che i Suoi diritti non siano rispettati, può presentare un reclamo alla CNIL (cnil.fr/plaintes) oppure all'autorità di controllo del Suo paese di residenza.

La presente informativa può evolvere, in particolare per riflettere una nuova funzionalità, un cambio di responsabile del trattamento o un'evoluzione normativa.

In caso di modifica sostanziale, La informeremo con un messaggio nell'applicazione o sul sito prima della sua entrata in vigore. Quando la modifica riguarda un trattamento fondato sul Suo consenso, Le sarà chiesto un nuovo consenso — è in particolare il caso della rivendicazione d'identità, il cui testo porta un numero di versione registrato con la Sua conferma e verificato dal server a ogni rivendicazione.

La versione in vigore è sempre accessibile dal sito titu.app e dalle impostazioni dell'applicazione. La data dell'ultimo aggiornamento figura in testa al documento.

Versione 1.0 — in vigore a decorrere dal 30 luglio 2026.