Informativa sulla privacy

La presente informativa descrive quali dati personali Top-up Harbor (topupharbor.nl e topupharbor.com) tratta quando usi il sito, crei un account, effettui un ordine o ci contatti, perché lo facciamo, con chi condividiamo i dati e per quanto tempo li conserviamo.

1. Chi è responsabile dei tuoi dati

Top-up Harbor è una ditta individuale ed è il titolare del trattamento («noi»). Numero KVK (registro imprese olandese) 42167382, partita IVA NL005551549B56. Indirizzo postale: Begijnstraat 6, 4871 EH Etten-Leur, Paesi Bassi (non aperto al pubblico). Per domande sulla privacy e per esercitare i tuoi diritti scrivi a info@topupharbor.com.

2. Quali dati trattiamo, perché e su quale base giuridica

2.1 Visita al sito

• Dati: il tuo indirizzo IP, data e ora, la pagina richiesta, il codice di stato, il tipo di browser e la pagina di provenienza (log tecnici del server). Determiniamo la tua lingua in base all'impostazione della lingua del browser e alla tua scelta; non determiniamo la tua posizione a partire dal tuo indirizzo IP.
• Limitazione della frequenza: per evitare l'uso improprio dei moduli di accesso, di ordine e altri, conserviamo una forma sottoposta a hash del tuo indirizzo IP o numero cliente (un HMAC con una chiave segreta, da cui non è possibile risalire al tuo indirizzo IP o numero cliente) insieme al percorso richiesto e a un contatore.
• Finalità: far funzionare il sito e proteggerlo da abusi. Base giuridica: il nostro legittimo interesse (art. 6, par. 1, lett. f, GDPR).
• Periodo di conservazione: log del server 14 giorni; contatori sottoposti a hash al massimo pochi giorni (vedi sezione 5).
• Terzi: le nostre pagine caricano caratteri, immagini e script dal nostro server. Non vengono caricati caratteri, script, servizi di analisi o pubblicitari di terzi. Apri WhatsApp solo se clicchi tu stesso sul pulsante WhatsApp (vedi 2.9).

2.2 Account e accesso

• Dati: indirizzo e-mail, il tuo Player ID (Governor ID, 19 cifre; lo inserisci con il tuo primo ordine e lo conserviamo nel tuo account), la tua lingua, il momento in cui hai accettato i termini e il tuo ultimo accesso. A ogni accesso riuscito registriamo l'ora, la parte di rete del tuo indirizzo IP (per IPv4 i primi tre numeri, per IPv6 i primi tre blocchi) e il tipo di browser.
• Accesso: senza password, con un link di accesso monouso inviato per e-mail. Il link è valido 15 minuti e da noi viene conservato solo come hash unidirezionale. La tua sessione termina dopo 15 minuti di inattività.
• Finalità: account, accesso ai tuoi ordini, sicurezza del tuo account. Base giuridica: esecuzione del contratto (art. 6, par. 1, lett. b) e il nostro legittimo interesse alla sicurezza (lett. f).
• Periodo di conservazione: l'account finché lo usi e poi al massimo 24 mesi senza ordini né accessi; link di accesso scaduti 7 giorni dopo la scadenza; cronologia degli accessi (parte di rete dell'indirizzo IP, tipo di browser) 12 mesi.

2.3 Ordine

• Dati: indirizzo e-mail, Player ID e server/zona (se indicati), il tuo nome come lo inserisci, il tuo paese, prodotto, quantità, importo, valuta, lingua, metodo di pagamento scelto, la lingua del tuo ordine, il testo e l'ora dei consensi che hai dato (condizioni generali, età, consegna immediata del contenuto digitale con perdita del diritto di recesso), la versione dei termini e della presente informativa che hai visto, la parte di rete del tuo indirizzo IP (per IPv4 i primi tre numeri, per IPv6 i primi tre blocchi) e il tipo di browser al momento del consenso ed eventuali note.
• Finalità: eseguire e consegnare il tuo ordine, collegare il pagamento al tuo ordine, IVA e contabilità, e poter dimostrare che cosa è stato concordato e a quale testo hai dato il consenso. Base giuridica: esecuzione del contratto (lett. b), obbligo legale di contabilità e IVA (lett. c) e il nostro legittimo interesse alla prova e alla prevenzione delle frodi (lett. f).
• Periodo di conservazione: l'ordine al massimo 7 anni (obbligo fiscale di conservazione, o più a lungo se la legge lo richiede); parte di rete dell'indirizzo IP e tipo di browser 12 mesi, il periodo in cui un pagamento viene di solito contestato.
• Paese dell'IP come prova ai fini IVA: quando effettui il tuo ordine, determiniamo con un database sul nostro server da quale paese proviene il tuo indirizzo IP. Insieme all'ordine vengono registrati solo il codice del paese e la versione del database; il tuo indirizzo IP non viene inviato a nessuno a questo scopo e non viene conservato a tal fine. La parte di rete del tuo indirizzo IP che registriamo quando acconsenti all'ordine (vedi sopra) è un dato distinto, con una propria finalità e un proprio periodo di conservazione, ed è indipendente dal paese dell'IP. Il paese dell'IP è una prova aggiuntiva di quali regole IVA si applicano, oltre al paese che indichi e al paese della banca o della carta con cui paghi. Finalità: amministrazione IVA e prevenzione delle frodi. Base giuridica: obbligo legale (lett. c) e nostro legittimo interesse (lett. f). Periodo di conservazione: il codice del paese 7 anni, insieme all'ordine (obbligo fiscale di conservazione); 10 anni quando ci sarà applicabile lo sportello unico OSS (2027). Se il paese differisce da quello indicato (per esempio a causa di una VPN) e quel paese non ha IVA olandese, controlliamo l'ordine manualmente prima di consegnare. Attribuzione: IP Geolocation by DB-IP (db-ip.com), licenza CC BY 4.0.

2.4 Pagamento

• Puoi pagare con Tikkie (ABN AMRO), con bonifico bancario sul nostro conto aziendale e, se la pagina di pagamento mostra questa opzione, con carta di pagamento (Visa, Mastercard) o Rapid Transfer tramite Skrill (Paysafe). Non trattiamo noi stessi dati di carte.
• Tikkie: inviamo ad ABN AMRO l'importo, una descrizione («Top-up Harbor» con il nostro numero d'ordine), una data di scadenza e un riferimento. Non inviamo il tuo nome né il tuo indirizzo e-mail. Dopo il pagamento riceviamo da ABN AMRO lo stato del pagamento e il nome e il numero di conto (IBAN) del pagatore.
• Bonifico bancario: trasferisci l'importo sul nostro conto aziendale. Nome, IBAN, importo e causale li vediamo poi sul nostro conto bancario.
• Skrill (Paysafe): se paghi con carta o Rapid Transfer, vai alla pagina di pagamento di Skrill. Inviamo a Skrill l'importo, la valuta, il nostro numero d'ordine e la lingua; non inviamo il tuo nome né il tuo indirizzo e-mail. Dopo il pagamento riceviamo da Skrill lo stato del pagamento, l'importo e il metodo di pagamento, non il numero della carta. Non conserviamo l'indirizzo e-mail che Skrill eventualmente invia.
• Controllo: confrontiamo il nome del pagatore con il nome che hai indicato nell'ordine. Una differenza porta a un controllo manuale da parte nostra; non porta automaticamente a un rifiuto. Registriamo anche il paese della banca del pagatore; è la nostra prova di dove risiedi ai fini dell'IVA. Per un pagamento tramite Skrill non riceviamo né il nome né l'IBAN del pagatore; controlliamo sempre manualmente un ordine di questo tipo prima della consegna.
• Finalità: collegare il pagamento al tuo ordine, rimborsi, contabilità, prevenzione delle frodi. Base giuridica: esecuzione del contratto (lett. b), obbligo legale (lett. c), legittimo interesse (lett. f).
• Periodo di conservazione: l'IBAN completo del pagatore 18 mesi, poi solo mascherato; il nome del pagatore e l'importo finché l'ordine viene conservato (7 anni).

2.5 Consegna tramite il nostro fornitore (Indonesia)

• Che cosa riceve il fornitore: solo il codice prodotto (SKU), il tuo Player ID, il server/la zona (se indicati) e un nostro riferimento d'ordine generato casualmente, dal quale non si può risalire a te. Inoltre, a ogni richiesta il fornitore riceve tecnicamente l'indirizzo IP del nostro server. Il fornitore non riceve il tuo nome, il tuo indirizzo e-mail, il tuo indirizzo IP, il tuo paese, i tuoi dati di pagamento né il nostro numero d'ordine.
• Ruolo del fornitore: il fornitore utilizza questi dati per consegnare il tuo ordine ed è, per i dati che riceve da noi, un titolare del trattamento autonomo (vedi sezione 4). Il fornitore può trasmettere dati a soggetti più avanti nella catena che sono necessari per la consegna; non sappiamo chi siano. Puoi chiederci una copia delle clausole contrattuali tipo scrivendo a info@topupharbor.com.
• Che cos'altro fa il fornitore con i dati: oltre a consegnare il tuo ordine, il fornitore utilizza i dati per indagare su consegne non riuscite o in ritardo, per l'assistenza clienti, per prevenire frodi, chargeback e violazioni delle sanzioni, e per le registrazioni previste dalla legge. Conserva i dati per il tempo necessario a eseguire e assistere il tuo ordine e poi per cinque anni, o più a lungo se la legge lo richiede; dopodiché li cancella o li anonimizza.
• Verifica del tuo Player ID: se clicchi su «Verifica il mio Player ID», inviamo il tuo Player ID (e la zona, se indicata) al fornitore. Questo restituisce il nome del giocatore corrispondente. Lo mostriamo solo a te sullo schermo e non lo salviamo.
• Consegna: il fornitore accredita il contenuto digitale sul Player ID che indichi.
• Che cosa conserviamo noi: un registro delle consegne con Player ID, server/zona, numero di transazione del fornitore, stato e prezzo d'acquisto, per 7 anni.
• Finalità: consegnare il tuo ordine. Base giuridica: esecuzione del contratto (lett. b). Per il trasferimento, vedi la sezione 4.

2.6 Fatture e contabilità

• Dati: numero di fattura, data, prodotto, quantità, importo e IVA, metodo e riferimento di pagamento, il tuo indirizzo e-mail e il tuo Player ID (entrambi compaiono sulla fattura). Ti inviamo la fattura (PDF) per e-mail. Il nostro software di contabilità Moneybird riceve la fattura come allegato PDF e una riga di fattura; nell'elenco dei contatti di Moneybird non compaiono né nomi di clienti né indirizzi e-mail. Per il collegamento con il nostro conto bancario Moneybird utilizza un servizio di dati bancari.
• Finalità: obblighi legali di fatturazione e contabilità. Base giuridica: obbligo legale (lett. c).
• Periodo di conservazione: 7 anni (obbligo fiscale di conservazione, o più a lungo se la legge lo richiede).

2.7 E-mail

• Che cosa inviamo: il link di accesso, la conferma del tuo ordine (con le informazioni concordate e i tuoi consensi: versione del testo, lingua e ora), la fattura, la ricevuta di un recesso e, una sola volta, circa tre giorni dopo la consegna, un invito a scrivere una recensione (con un link per annullare l'iscrizione; base: il nostro legittimo interesse a raccogliere feedback) e, se ti iscrivi alla lista d'attesa o per un gioco non ancora in vendita, un'e-mail di conferma e poi, una sola volta, un'e-mail: alla riapertura o non appena vendiamo quel gioco (vedi 2.14). Tutte le e-mail vengono inviate e ricevute tramite il nostro provider di posta TransIP (Paesi Bassi).
• Assistenza clienti: se ci scrivi, conserviamo il tuo messaggio e la nostra risposta nella nostra casella di posta. Base giuridica: misure su tua richiesta prima di un contratto o esecuzione dello stesso (lett. b), altrimenti il nostro legittimo interesse a risponderti (lett. f).
• Periodo di conservazione: e-mail dell'assistenza clienti al massimo 24 mesi dopo l'ultimo messaggio, salvo che il messaggio serva per la contabilità o per una controversia.

2.8 Recesso

• Dati: nome, indirizzo e-mail, numero d'ordine, ora, se il diritto di recesso esisteva ancora in quel momento, e la parte di rete del tuo indirizzo IP e il tuo tipo di browser. Ricevi una ricevuta per e-mail.
• Finalità: far funzionare la funzione legale di recesso e poter dimostrare che e quando hai esercitato il recesso. Base giuridica: obbligo legale (lett. c) e il nostro legittimo interesse alla prova (lett. f).
• Periodo di conservazione: 7 anni, insieme all'ordine; parte di rete dell'indirizzo IP e tipo di browser 12 mesi.

2.9 Contatto tramite WhatsApp o telefono

• Se ci contatti tramite WhatsApp, WhatsApp (Meta) tratta il tuo numero di telefono, il nome del profilo e i messaggi secondo la propria informativa sulla privacy. Utilizziamo questi dati solo per gestire la tua richiesta, per esempio un ordine su misura. Base giuridica: misure su tua richiesta (lett. b) o il nostro legittimo interesse a risponderti (lett. f).
• Periodo di conservazione: al massimo 24 mesi dopo l'ultimo messaggio, salvo che serva per l'ordine (allora il periodo di conservazione dell'ordine).

2.10 Recensioni

• Dopo un ordine consegnato puoi scrivere una recensione: stelle, titolo e testo facoltativi e un nome a tua scelta (nome di battesimo o iniziali) oppure «Cliente verificato». Pubblichiamo la recensione solo dopo il nostro controllo, insieme al mese e al prodotto. Non mostriamo mai il tuo indirizzo e-mail, il Player ID, il numero d'ordine o il tuo nome completo. Non citare nomi di giocatori, Governor ID, server o alleanze.
• Base giuridica: il tuo consenso (lett. a). Puoi revocarlo in qualsiasi momento chiedendoci di rimuovere la recensione; lo facciamo senza ritardo.
• Periodo di conservazione: finché la recensione è mostrata. Se annulli l'iscrizione ai promemoria, conserviamo il tuo indirizzo e-mail in un elenco di esclusione per non scriverti più.
• Traduzione: le recensioni possono essere tradotte automaticamente in inglese per i visitatori che hanno scelto l'inglese. Quando lo facciamo, avviene in locale sul nostro server con un modello offline; il testo della tua recensione non viene inviato a nessuna terza parte. Conserviamo una traduzione finché esiste la recensione e la eliminiamo insieme ad essa. L'originale rimane sempre visibile.

2.11 Prevenzione delle frodi e limiti automatici

Applichiamo automaticamente le seguenti regole:

• I clienti che non abbiamo approvato manualmente possono ordinare fino a un importo massimo per ordine, per giorno e per settimana. Oltre tale limite il negozio rifiuta l'ordine finché non abbiamo approvato l'account.
• Dopo due consegne non riuscite consecutive allo stesso Player ID, per quel Player ID vale un tempo di attesa, durante il quale il negozio rifiuta nuovi ordini per quel Player ID.
• Per importi totali elevati contrassegniamo l'ordine per un controllo manuale. Possiamo bloccare manualmente un cliente o un Player ID.

In caso di rifiuto il negozio mostra una spiegazione. Puoi chiederci di far riesaminare la decisione da una persona e di esporre il tuo punto di vista: scrivi all'indirizzo indicato nella sezione 1. Base giuridica: il nostro legittimo interesse alla prevenzione delle frodi (lett. f). Periodo di conservazione: dati del tempo di attesa per Player ID 90 giorni dopo l'ultimo insuccesso; blocchi fino alla loro revoca, con un controllo annuale.

2.12 Backup

• Ogni notte creiamo un backup cifrato completo dei nostri dati (ordini, clienti, fatture, impostazioni) e ogni ora un backup cifrato dei dati di ordini e clienti. I backup vengono cifrati prima di lasciare il server. Conserviamo i backup notturni sette giorni e quelli orari 48 ore sul server; collochiamo una copia cifrata in una casella dedicata e protetta del nostro ambiente di posta presso TransIP, nei Paesi Bassi.
• Il nostro provider di hosting TransIP crea inoltre propri backup del server circa ogni quattro ore, con copie settimanali conservate per poco più di tre settimane.
• Periodo di conservazione: le copie cifrate nella casella al massimo 30 giorni; una pulizia automatica poi le elimina definitivamente. Se cancelliamo dati su tua richiesta, possono quindi restare al massimo altri 30 giorni nei backup cifrati. In caso di ripristino da un backup, applichiamo di nuovo le cancellazioni precedenti.

2.13 Documento d'identità

Non chiediamo una copia del tuo documento d'identità e il negozio non ha alcuna funzione per caricarne o salvarne una. Non inviarci quindi una copia del tuo documento d'identità.

2.14 Lista d'attesa per la riapertura

• Se il negozio è temporaneamente chiuso, puoi lasciare il tuo indirizzo e-mail per ricevere una sola e-mail non appena riapriremo. A questo scopo conserviamo il tuo indirizzo e-mail, la lingua della pagina, gli orari di iscrizione e di conferma e la versione del testo di consenso. Per limitare gli abusi conserviamo un valore con hash (HMAC) del tuo indirizzo IP, non l'indirizzo stesso.
• Confermi l'iscrizione con il link di un'e-mail di conferma. Senza conferma non ti scriviamo alla riapertura.
• Per un gioco non ancora in vendita puoi lasciare il tuo indirizzo e-mail allo stesso modo, per ricevere una sola e-mail non appena vendiamo quel gioco. In quel caso conserviamo gli stessi dati e anche di quale gioco si tratta. Tutto ciò che è scritto in questa sezione vale allo stesso modo: confermi con un link, puoi annullare l'iscrizione in qualsiasi momento e, dopo quell'unica e-mail, cancelliamo subito il tuo indirizzo.
• Base giuridica: il tuo consenso (lettera a). Puoi revocarlo in qualsiasi momento con il link di annullamento nell'e-mail di conferma o scrivendoci; cancelliamo allora subito il tuo indirizzo.
• Periodo di conservazione: senza conferma 48 ore. Dopo la conferma, finché non abbiamo inviato l'e-mail di riapertura (poi cancelliamo subito il tuo indirizzo), e al massimo 12 mesi.

3. Con chi condividiamo i dati

Non vendiamo i tuoi dati personali. Condividiamo dati solo con le seguenti parti, nella misura necessaria per la finalità indicata:

I servizi che non ricevono dati personali dei clienti (tassi di cambio, monitoraggio della disponibilità del nostro sito) non sono elencati qui. Le banche con cui lavoriamo conservano i dati di pagamento finché lo richiedono i loro obblighi legali; ciò vale anche per un conto aziendale che non utilizziamo più.

4. Trasferimenti al di fuori dello Spazio economico europeo

• Il nostro fornitore, Indonesia. Per l'Indonesia non esiste una decisione di adeguatezza della Commissione europea. Trasferiamo quindi i dati della sezione 2.5 al nostro fornitore sulla base delle clausole contrattuali tipo della Commissione europea (modulo uno, da titolare a titolare del trattamento), che fanno parte del nostro accordo con il fornitore, insieme a una valutazione delle leggi e delle prassi dell'Indonesia applicabili al trasferimento. Limitiamo il trasferimento ai dati necessari per consegnare il tuo ordine. Puoi richiedere una copia delle clausole contrattuali tipo scrivendo all'indirizzo indicato nella sezione 1.
• WhatsApp (Meta). Se ci contatti tramite WhatsApp, Meta può trattare dati al di fuori del SEE; la base è indicata nell'informativa sulla privacy di WhatsApp.
• Per gli altri destinatari della sezione 3 non avviene alcun trasferimento al di fuori del SEE.

5. Per quanto tempo conserviamo i dati

Alla scadenza di un periodo cancelliamo o anonimizziamo i dati, salvo che un obbligo legale o una controversia in corso ne richieda la conservazione.

6. I tuoi diritti

Hai il diritto di accesso, rettifica, cancellazione, limitazione del trattamento, portabilità e opposizione, e puoi revocare un consenso dato.

• Come: invia un'e-mail all'indirizzo indicato nella sezione 1, dall'indirizzo e-mail del tuo account. Ti chiediamo prima di confermare la tua identità, per esempio rispondendo da quell'indirizzo e indicando un dato che possiamo verificare (come il tuo Player ID o un numero d'ordine). Per questo non chiediamo la copia di un documento d'identità.
• Termine: rispondiamo entro un mese. Per richieste complesse o numerose possiamo prorogare tale termine di al massimo due mesi; te lo comunicheremo entro il primo mese. È gratuito.
• Accesso e portabilità: ricevi un riepilogo dei tuoi dati in un formato comune e leggibile da una macchina (JSON).
• Cancellazione: cancelliamo o anonimizziamo i tuoi dati. I dati che dobbiamo conservare per legge (fatture e relativi dati d'ordine, 7 anni) restano conservati e vengono usati solo per tale obbligo; ti comunichiamo che cosa resta e perché. I dati presenti nei backup cifrati scompaiono entro il termine della sezione 2.12.
• Limitazione: contrassegniamo i tuoi dati in modo da non utilizzarli più, se non per la conservazione e per la difesa di diritti.
• Limiti automatici: vedi la sezione 2.11; puoi chiedere il riesame da parte di una persona.
• Reclamo: puoi presentare reclamo all'autorità olandese per la protezione dei dati (Autoriteit Persoonsgegevens, autoriteitpersoonsgegevens.nl).

7. Cookie e archiviazione locale

• Cookie di sessione tuh_shop (negozio). Necessario per il funzionamento: ricorda la tua scelta della lingua, la visualizzazione della valuta, la tua sessione di accesso, un token di sicurezza contro l'uso improprio dei moduli e un contatore per la verifica del tuo Player ID. Il cookie è HttpOnly, Secure e SameSite=Lax. La tua sessione di accesso termina dopo 15 minuti di inattività.
• Archiviazione locale nel tuo browser (localStorage e sessionStorage): ricorda la tua scelta di lingua e valuta sulle pagine statiche e se hai chiuso un avviso. Questi dati restano nel tuo browser e non ci vengono inviati.
• Non utilizziamo cookie di analisi, di marketing o di tracciamento. Vedi anche la nostra cookie policy.

8. Sicurezza

Adottiamo misure tecniche e organizzative: connessioni tramite HTTPS, link di accesso conservati solo come hash e utilizzabili una sola volta, durata limitata della sessione, indirizzi IP sottoposti a hash per la limitazione della frequenza, backup cifrati e accesso ai dati dei clienti solo per il titolare tramite un pannello di amministrazione protetto. In caso di violazione dei dati personali seguiamo una procedura fissa e la notifichiamo entro 72 ore all'autorità olandese per la protezione dei dati quando la legge lo richiede, e a te quando la violazione presenta probabilmente un rischio elevato per te.

9. Modifiche

Possiamo modificare la presente informativa. La versione e la data in alto indicano quale testo si applica. Con un ordine registriamo quale versione hai visto.