Privacy e cookie

Informativa sul trattamento dei dati personali di games.nubelab.it, il sito dei videogiochi di Nube (pagina dei giochi, gioco CASTEDDU, account di gioco), ai sensi degli articoli 13 e 14 del Regolamento (UE) 2016/679 (GDPR).

Ultimo aggiornamento: 2026-11-13. Per il sito nubelab.it vale la privacy policy di nubelab.it.

1. Chi tratta i dati

Il titolare del trattamento è NUBE S.R.L., Via Salvio Argiolas 23, 09067 Elmas (CA), Italia · P.IVA e C.F. 04109560922 · REA 363855 · PEC nubesrl2@legalmail.it · email info@nubelab.it.

2. Quali dati, perché e per quanto

a) Account di gioco

Dati: nome visibile nel gioco, email, password (salvata solo in forma cifrata non reversibile, argon2id: nessuno la può leggere, nemmeno Nube), data e versione dell'informativa accettata, data di iscrizione, data dell'ultimo accesso e dell'ultimo utilizzo, numero di accessi.
Perché: creare l'account, farti accedere e giocare, rispondere alle tue richieste (per esempio una password nuova).
Base giuridica: esecuzione del servizio che chiedi registrandoti (art. 6.1.b GDPR).
Per quanto: finché l'account esiste. Gli account senza accessi per 24 mesi vengono cancellati in automatico: se per 24 mesi non entri e non giochi con il tuo account, né dal sito né dall'app, lo cancelliamo con tutti i dati collegati. Quando un account viene cancellato (da te nell'app, su tua richiesta o in automatico) i dati spariscono subito dal database e dalle copie di sicurezza entro 30 giorni.

b) Sicurezza dell'accesso

Dati: cookie di sessione e di protezione dei moduli (vedi cookie); per bloccare chi prova a indovinare le password, i tentativi di accesso, registrazione e cambio password con indirizzo IP ed email salvati solo in forma cifrata (HMAC); i registri tecnici del server web (indirizzo IP, data e ora, pagina richiesta, browser).
Perché: proteggere gli account e il servizio da abusi e attacchi.
Base giuridica: legittimo interesse di Nube alla sicurezza del servizio (art. 6.1.f GDPR).
Per quanto: tentativi cancellati dopo 24 ore; registri del server cancellati in automatico dopo pochi giorni (al massimo una settimana), salvo che servano per accertare un attacco.

c) Statistiche del gioco e delle pagine (nostre, senza cookie)

Dati: per ogni pagina aperta (pagina dei giochi, pagina di CASTEDDU, gioco) il tempo passato con la pagina in primo piano e il tipo di dispositivo (computer, tablet, telefono), con un codice casuale che vale solo per quella pagina aperta; per ogni partita inizio, durata e tipo di dispositivo. Non salviamo il tuo indirizzo IP e non usiamo cookie per queste statistiche. Se hai fatto l'accesso, pagine viste e partite sono collegate al tuo account: le vede solo lo staff di Nube autorizzato, nello storico del giocatore della dashboard.
Perché: sapere quante persone visitano e giocano, quanto giocano, e migliorare il gioco.
Base giuridica: legittimo interesse di Nube a misurare e migliorare il proprio servizio (art. 6.1.f GDPR). Puoi opporti scrivendo a info@nubelab.it.
Per quanto: finché esiste l'account; quando l'account viene cancellato (anche in automatico dopo 24 mesi senza accessi) le partite si cancellano e le pagine viste restano solo come numeri anonimi.

d) Banner durante il gioco

Mentre giochi possono comparire in alto dei banner: pubblicità di aziende clienti di Nube e inviti a sostenere il progetto.
Dati: contiamo quante volte ogni banner viene mostrato e cliccato, giorno per giorno. Per evitare che i numeri vengano gonfiati teniamo per 3 giorni anche quante volte ogni giocatore ha visto o cliccato ogni banner.
Base giuridica: legittimo interesse di Nube a misurare i banner e a impedirne gli abusi (art. 6.1.f GDPR).
Alle aziende dei banner diamo solo numeri complessivi (viste e clic), mai dati personali. Se clicchi un banner si apre il sito dell'azienda, che tratta i dati secondo la propria informativa.

e) Chat della pagina dei giochi

La chat è lo stesso assistente di nubelab.it: i messaggi che scrivi vengono mandati al servizio di Nube che li fa elaborare a OpenAI per preparare la risposta. Non sono associati alla tua identità e non vengono conservati in modo persistente.
Le domande sui giochi hanno la risposta direttamente nella pagina, senza mandare niente al servizio.
Base giuridica: legittimo interesse di Nube a rispondere alle domande dei visitatori (art. 6.1.f GDPR).
Il testo dei messaggi non viene mai mandato a Google o a Meta: con il tuo consenso alle statistiche arriva solo il fatto che è stato mandato un messaggio e la sua lunghezza.

f) Statistiche di Google Analytics e marketing di Meta (solo con il tuo consenso)

Google Analytics 4 (Google Ireland Ltd.), caricato con Google Tag Manager: statistiche complessive su visite ed eventi del gioco (pagine viste, registrazione, accesso, inizio partita, tappe di 5, 15 e 30 minuti di gioco, clic sui banner). Solo se scegli «Statistiche» o «Accetta tutti». I dati restano in Analytics 14 mesi.
Meta Pixel (Meta Platforms Ireland Ltd., Facebook e Instagram): misurare le campagne pubblicitarie di Nube e mostrare annunci pertinenti a te e a persone simili. Eventi: pagina vista, pagina di CASTEDDU vista, registrazione completata, accesso, inizio partita, tappe di gioco, clic sui banner, clic su «Sostieni». Solo se scegli «Marketing» o «Accetta tutti».
Conversion API di Meta: con il consenso «Marketing», alcuni eventi (registrazione completata, clic su «Sostieni») possono partire anche dal nostro server, insieme a: email cifrata (SHA-256, un'impronta che Meta confronta con i suoi utenti), un codice casuale del tuo browser (cifrato), i cookie di Meta, indirizzo IP e tipo di browser. Serve a contare correttamente le registrazioni anche quando il browser blocca il Pixel; lo stesso evento non viene contato due volte.
Base giuridica: il tuo consenso (art. 6.1.a GDPR e art. 122 del Codice privacy), che puoi dare o togliere in ogni momento da Preferenze cookie, in fondo a ogni pagina. Senza consenso il sito e il gioco funzionano allo stesso modo e niente di tutto questo viene caricato.
Per la raccolta e la trasmissione dei dati tramite il Pixel, Nube e Meta sono contitolari del trattamento (art. 26 GDPR); il trattamento successivo è di Meta, secondo la sua informativa. Per Google vale la privacy policy di Google.

g) App CASTEDDU per iPhone e Android

Per giocare serve un account, come sul sito: la schermata iniziale dell'app si vede senza account, ma per giocare si crea un account gratuito o si entra con quello che hai (registrazione e accesso dall'app, con la conferma di avere almeno 18 anni). Senza account l'app non manda niente al nostro server.
Dati: gli stessi dell'account (punto a) e le stesse statistiche di gioco e dei banner (punti c e d), collegate al tuo account. Il gioco è dentro l'app; l'app parla solo con il nostro server (games.nubelab.it).
Accesso: l'app non usa cookie. L'accesso all'account usa un codice casuale (token) che resta nel portachiavi protetto del telefono (Keychain su iPhone, Keystore su Android); sul nostro server ne teniamo solo una forma cifrata non reversibile. Il codice vale 180 giorni e si rinnova usando l'app; con «Esci» lo cancelliamo dal telefono e dal server.
Nessun tracciamento: nell'app non ci sono Google Analytics, Meta Pixel, strumenti pubblicitari di terzi né identificativi pubblicitari del telefono; non incrociamo i dati con quelli di altre app o siti.
Pubblicità: i banner sono di attività locali e li serviamo noi; toccarne uno apre il sito dell'attività nel browser del telefono. Contiamo viste e tocchi solo come numeri per giorno (con un limite per account contro i numeri gonfiati, tenuto 3 giorni).
Cancellare l'account dall'app: Account → Elimina account → password → «Elimina definitivamente». L'account, le partite e gli accessi salvati vengono cancellati subito dal database (dalle copie di sicurezza entro 30 giorni).

h) Caratteri tipografici del gioco sul sito (Google Fonts)

Il gioco aperto dal sito scarica alcuni caratteri tipografici (titoli e insegne dei locali) da Google Fonts (Google Ireland Ltd.): il browser si collega ai server di Google, che ricevono l'indirizzo IP e il tipo di browser, come per qualunque file scaricato da un sito. Google Fonts non usa cookie e non è uno strumento di statistica o di pubblicità.
Base giuridica: legittimo interesse di Nube a mostrare il gioco correttamente (art. 6.1.f GDPR).
Le altre pagine del sito (pagina dei giochi, pagina di CASTEDDU, questa pagina) usano caratteri serviti dal nostro server e l'app CASTEDDU li ha al suo interno: non si collegano a Google Fonts. Per Google vale la privacy policy di Google.

i) Modulo di contatto

Dati: nome, email e testo del messaggio che scrivi nel modulo «Contatti» della pagina di CASTEDDU (anche senza account), data e ora dell'invio e, se hai fatto l'accesso, il collegamento al tuo account. Contro i messaggi automatici e gli abusi usiamo un campo nascosto e un tempo minimo di compilazione, e contiamo gli invii per indirizzo IP ed email salvati solo in forma cifrata (HMAC, cancellati dopo 24 ore, come al punto 2b). Niente captcha di terzi.
Perché: leggere il messaggio e risponderti.
Base giuridica: la tua richiesta: risponderti serve a dare seguito a quello che chiedi, anche prima di un eventuale accordo con Nube (misure precontrattuali su richiesta dell'interessato, art. 6.1.b GDPR); per i messaggi che non riguardano un servizio o un accordo, il legittimo interesse di Nube a rispondere a chi la contatta (art. 6.1.f GDPR).
Come arriva: il messaggio viene salvato sul nostro server e, nello stesso momento, mandato per email dalla casella di posta di Nube (gestita dal suo fornitore di posta) alle caselle delle persone di Nube che rispondono, tra cui una casella Gmail (Google). La mail ha come indirizzo di risposta il tuo: la risposta ti arriva direttamente dalla persona che ti scrive.
Per quanto: 12 mesi dall'invio, poi il messaggio si cancella in automatico dal nostro server (dalle copie di sicurezza entro 30 giorni). Le email scambiate per risponderti restano nelle caselle di posta solo per il tempo che serve a gestire la richiesta. Puoi chiedere prima la cancellazione scrivendo a info@nubelab.it.

Alla prima visita un banner ti chiede cosa accettare: Accetta tutti, Rifiuta o Personalizza (statistiche e marketing separati). Prima della scelta non si carica niente di Google Tag Manager, Google Analytics o Meta (l'unica cosa di Google è il download dei caratteri del gioco, senza cookie: vedi il punto 2h). La scelta vale 6 mesi, poi te la richiediamo. Chiudere il banner con la × equivale a rifiutare.

Nome	Di chi	A cosa serve	Durata	Tipo
`__Host-gn_s`	Nube	tiene aperto l'accesso al tuo account (nel database solo un'impronta cifrata)	30 giorni, rinnovati quando giochi	tecnico, necessario
`__Host-gn_c`	Nube	protegge i moduli (registrazione, accesso, contatti) dalle richieste false	fino alla chiusura del browser	tecnico, necessario
`gn_consenso`	Nube	ricorda la tua scelta sui cookie	6 mesi	tecnico, necessario
`gta-casteddu-qualita` (memoria del browser)	Nube	solo sui telefoni e sui dispositivi con poca memoria, se la grafica del gioco si è bloccata: il gioco riparte con la qualità più bassa; resta sul tuo dispositivo e non arriva a noi	7 giorni	tecnico, necessario
`_ga`, `_ga_<ID>`	Google	Google Analytics: distingue i visitatori nelle statistiche	fino a 2 anni	statistiche (con consenso)
`gn_vid`	Nube	codice casuale del browser che mandiamo a Meta (cifrato) per collegare gli eventi del Pixel e del server	12 mesi	marketing (con consenso)
`_fbp`, `_fbc`	Meta	Meta Pixel: misura delle campagne e annunci pertinenti	90 giorni	marketing (con consenso)

Se togli il consenso, i cookie di statistica e di marketing vengono cancellati dal sito. Puoi anche cancellarli dalle impostazioni del browser.

4. A chi arrivano i dati

Staff di Nube autorizzato, solo per quello che serve al suo lavoro (per esempio l'amministratore della dashboard).
Fornitore del server su cui gira games.nubelab.it, come responsabile del trattamento per conto di Nube.
OpenAI, per le risposte della chat (vedi 2.e).
Fornitori di posta elettronica: i messaggi del modulo di contatto passano dalla casella di posta di Nube alle caselle di chi risponde, tra cui Gmail di Google (vedi 2.i).
Google e Meta, solo con il tuo consenso (vedi 2.f); Google riceve anche le richieste dei caratteri del gioco (vedi 2.h).
Autorità, quando la legge lo richiede.

Non vendiamo i tuoi dati e non li diamo alle aziende dei banner.

5. Dati fuori dall'Unione europea

Google (anche come fornitore della casella Gmail che riceve i messaggi del modulo di contatto), Meta e OpenAI possono trattare dati anche negli Stati Uniti. Il trasferimento avviene sulla base del EU-US Data Privacy Framework (decisione di adeguatezza della Commissione europea del 10 luglio 2023), per le aziende che vi aderiscono, e delle Clausole contrattuali standard approvate dalla Commissione europea.

6. I tuoi diritti e la cancellazione dell'account

Puoi chiedere in ogni momento di vedere i tuoi dati, correggerli, cancellarli, limitarne il trattamento, opporti ai trattamenti basati sul legittimo interesse, riceverli in un formato leggibile (portabilità) e togliere il consenso ai cookie (articoli 15-22 GDPR). Togliere il consenso non cambia quello che è stato fatto prima.

Cancellare l'account dall'app CASTEDDU: Account → Elimina account (vedi il punto 2g): è immediato.

Cancellare l'account dal sito: scrivi a info@nubelab.it dall'indirizzo email dell'account. Lo cancelliamo entro 30 giorni (di solito molto prima), insieme alle partite, alle sessioni e agli accessi salvati nell'app; le pagine viste restano solo come numeri anonimi. Tutti i modi e cosa si cancella: Eliminare l'account.

Account inattivi: se per 24 mesi non entri e non giochi con il tuo account, lo cancelliamo in automatico (vedi il punto 2a).

Per esercitare i diritti: info@nubelab.it o PEC nubesrl2@legalmail.it. Rispondiamo entro un mese. Puoi anche presentare reclamo al Garante per la protezione dei dati personali.

7. Età minima

CASTEDDU è per chi ha almeno 18 anni, come la sua classificazione negli store (nel gioco si possono investire i passanti e rubare le auto). Per creare un account bisogna dichiarare di avere almeno 18 anni. Se scopriamo un account di una persona più giovane, lo cancelliamo.

8. Sicurezza

Il sito usa solo connessioni cifrate (HTTPS). Le password sono salvate con argon2id; i cookie dell'accesso non sono leggibili dagli script della pagina; i tentativi ripetuti di accesso vengono bloccati; il gioco e la dashboard sono raggiungibili solo con l'accesso; il database sta fuori dalla parte pubblica del server e ne facciamo una copia al giorno, tenuta al massimo 30 giorni in una cartella accessibile solo al servizio dei giochi.

9. Modifiche

Se questa informativa cambia (per esempio nuovi strumenti o nuove finalità) la aggiorniamo in questa pagina con la data nuova. Per ogni account salviamo la versione dell'informativa accettata alla registrazione.