Ultimo aggiornamento: 1 ottobre 2026
Informativa privacy
Qui trovi cosa raccogliamo, perché, con chi può essere condiviso e come esercitare i tuoi diritti su web, iOS e Android.
1. Titolare, ambito e contatti
- Questa informativa si applica a TopCut.io, alla web app, alle app iOS e Android e ai servizi collegati. Il titolare del trattamento è TopCut.io, progetto gestito in forma individuale. Identità anagrafica e recapiti completi del titolare vengono forniti su richiesta scrivendo a legal@topcut.io, e in ogni caso alle autorità che ne facciano richiesta.
- Per esercitare i diritti privacy puoi scrivere a privacy@topcut.io; per questioni legali a legal@topcut.io; per assistenza, sicurezza o abusi a support@topcut.io. Le richieste ricevono gestione umana e possono essere presentate in italiano o inglese.
- TopCut è un progetto indipendente e non è affiliato, sponsorizzato o approvato da Nintendo, The Pokémon Company, Creatures o GAME FREAK.
2. Account, identità e autenticazione
- Trattiamo email, identificativo account, nickname, nome visualizzato, ruolo, lingua, fuso orario, regione, biografia, preferenze, consensi e stato dell'account. Il numero di telefono, il nome, il cognome e l'ID Play! Pokémon sono facoltativi salvo quando una specifica funzione o un evento li renda necessari.
- TopCut non consente più di caricare fotografie profilo: assegna un'icona grafica in base al ruolo. Le precedenti foto profilo e il relativo campo dati sono rimossi tramite una procedura di bonifica versionata.
- Nome, cognome, telefono e ID Play! Pokémon non sono esposti al pubblico. Possono essere visibili all'utente, agli organizzatori o al personale autorizzato quando necessario per un evento, per assistenza o per obblighi di sicurezza. Il profilo pubblico può mostrare nome visualizzato, nickname, ruolo, emblema, regione, biografia e statistiche scelte dalla piattaforma.
- Se scegli Google o Apple per l'accesso, riceviamo dal provider l'identificativo, l'email e gli eventuali dati di profilo autorizzati. Il provider tratta l'accesso secondo la propria informativa. Per passkey o MFA conserviamo solo identificativi tecnici e stato dei fattori, mai la chiave privata.
3. Eventi, mazzi e contenuti
- Trattiamo collezioni, mazzi, liste, carte cercate o preferite, team, messaggi, notifiche, eventi, iscrizioni, pairing, round, tavoli, risultati, drop, chiamate judge, classifiche, storico partite e audit necessari al funzionamento della piattaforma.
- Le informazioni competitive destinate all'evento possono essere mostrate a partecipanti, organizzatori, judge, staff o spettatori della live secondo ruolo e configurazione. Prima della pubblicazione, l'interfaccia indica quali dati sono condivisi.
- I contenuti inseriti dagli utenti possono essere esaminati da personale autorizzato per assistenza, sicurezza, contestazioni, moderazione e applicazione dei Termini. Non vendiamo contenuti o dati personali.
4. Fotocamera, posizione e notifiche
- Lo scanner usa la fotocamera solo dopo il tuo comando e il permesso del sistema. Il fotogramma completo resta sul dispositivo: l'OCR nativo avviene localmente. Al server arrivano soltanto testo riconosciuto, suggerimenti, firma visiva compatta, indicatori di qualità e la scelta finale necessaria a identificare e salvare la carta.
- TopCut non usa lo scanner per riconoscere persone, volti, documenti o ambienti. Puoi revocare il permesso fotocamera dalle impostazioni del dispositivo e continuare a cercare le carte manualmente.
- La posizione viene richiesta solo per funzioni come eventi vicini o base geografica e solo dopo una tua azione. Usiamo la posizione restituita dal browser o dal sistema, di regola approssimativa; la precisione dipende dal dispositivo. Non effettuiamo tracciamento continuo in background.
- Se abiliti le notifiche, trattiamo token push, piattaforma, preferenze e stato di consegna per avvisi operativi su account ed eventi. Puoi disattivarle nel profilo o nelle impostazioni del sistema.
5. Finalita e basi giuridiche
- Contratto e misure precontrattuali (art. 6.1.b GDPR): creare e proteggere l'account, fornire collezione, mazzi, scanner, team, eventi, live, assistenza, notifiche richieste, export e cancellazione.
- Obbligo legale (art. 6.1.c GDPR): rispondere alle autorità, gestire obblighi contabili o fiscali quando applicabili e documentare l'esercizio dei diritti.
- Legittimo interesse (art. 6.1.f GDPR): sicurezza, prevenzione di abusi e frodi, difesa dei diritti, audit competitivo, affidabilità, diagnostica essenziale e miglioramento del servizio. Valutiamo necessità e proporzionalità e puoi opporti per motivi connessi alla tua situazione.
- Consenso (art. 6.1.a GDPR): comunicazioni facoltative, canali opzionali e trattamenti che lo richiedono. Puoi revocarlo in ogni momento senza pregiudicare quanto svolto prima della revoca.
7. Fornitori, destinatari e trasferimenti
- I dati sono accessibili solo a personale autorizzato e, secondo la funzione usata, a fornitori di autenticazione, database e storage (Supabase), infrastruttura e protezione rete, email (Resend), notifiche (Apple Push Notification service e Firebase Cloud Messaging), marketplace (Apple e Google) e servizi tecnici di catalogo carte.
- Le immagini e i dati delle carte possono provenire da TCGdex e da fonti indicate nell'attribuzione. Il caricamento di una risorsa esterna può comunicare al relativo fornitore indirizzo IP e dati tecnici della richiesta. Non trasmettiamo a tali fonti il tuo profilo TopCut.
- Non conserviamo numeri di carte di pagamento. Apple o Google gestiscono il pagamento e ci comunicano soltanto prodotto, ricevuta o identificativo transazione, stato e durata dell'eventuale diritto di accesso.
- Quando un trattamento comporta trasferimenti fuori dallo Spazio economico europeo, usiamo il meccanismo applicabile al fornitore, come decisione di adeguatezza, Data Privacy Framework ove valido o clausole contrattuali standard, insieme a misure tecniche e organizzative proporzionate.
8. Conservazione
- Account e contenuti restano conservati finché l'account è attivo o sono necessari a fornire il servizio. Dopo una richiesta validata avviamo la cancellazione o anonimizzazione, salvo dati che devono restare per obblighi di legge, sicurezza, contestazioni, diritti di terzi o integrità di risultati già condivisi.
- Dati di evento e risultati possono essere mantenuti come storico competitivo; quando non serve più associare l'identità, adottiamo cancellazione, separazione o anonimizzazione compatibilmente con il record degli altri partecipanti.
- Log tecnici e di sicurezza seguono finestre operative limitate e possono essere conservati più a lungo solo se collegati a incidenti o abusi. Richieste privacy, registri legali e dati di acquisto restano per il periodo necessario a dimostrare l'adempimento e rispettare i termini di legge.
- Backup cifrati seguono cicli di rotazione separati. Un dato cancellato dai sistemi attivi può restare nei backup fino alla naturale sovrascrittura e non viene ripristinato nell'uso ordinario.
9. Diritti, export e cancellazione account
- Puoi chiedere accesso, rettifica, portabilita, cancellazione, limitazione, opposizione e revoca del consenso quando applicabili. Nel Profilo puoi esportare i dati e presentare o annullare una richiesta di cancellazione; senza accesso all'account puoi scrivere a privacy@topcut.io.
- Per proteggerti possiamo chiedere una verifica proporzionata dell'identità. Rispondiamo di regola entro un mese, prorogabile nei casi complessi previsti dal GDPR, informandoti dei motivi.
- Puoi proporre reclamo al Garante per la protezione dei dati personali (garanteprivacy.it) o all'autorità competente del tuo Stato. L'esercizio dei diritti è gratuito salvo richieste manifestamente infondate o eccessive nei casi consentiti dalla legge.
10. Minori
- In Italia, chi ha compiuto 14 anni può prestare autonomamente il consenso per servizi della società dell'informazione; sotto tale soglia serve chi esercita la responsabilità genitoriale quando il trattamento si basa sul consenso. Negli altri paesi vale la soglia locale applicabile.
- La registrazione verifica paese e data di nascita: sotto la soglia del proprio paese non è possibile creare un account. Il controllo è applicato dal database e non dipende dal modulo.
- Chi è sotto quella soglia può comunque giocare come giocatore a carico di un adulto. In quel caso l'account è dell'adulto, che dichiara di esercitare la responsabilità genitoriale o di agire con il suo consenso, e inserisce lui i dati del minore. Di ogni giocatore a carico trattiamo soltanto nome, data di nascita e ID Play! Pokémon se presente: nessuna email, nessun telefono, nessuna immagine, nessuna credenziale, nessun accesso alla piattaforma.
- L'organizzatore dell'evento a cui il giocatore a carico partecipa vede il nome e la categoria d'età copiati nell'iscrizione, non la data di nascita, e vede il nome dell'adulto che lo ha iscritto: in sala deve sapere chi accompagna un minore e a chi rivolgersi. Nessun altro utente accede a quei dati, e l'elenco pubblico degli iscritti non riporta l'accompagnatore. L'adulto può modificarli o cancellarli in qualsiasi momento dal proprio profilo; la cancellazione del suo account elimina anche i giocatori a carico.
- Le categorie competitive Junior e Senior non rendono pubblici nome anagrafico, telefono o ID Play! Pokémon. Gli organizzatori accedono solo ai dati necessari degli iscritti ai propri eventi e devono rispettare le regole su minori, supervisione e comunicazioni.
- Se ritieni che un minore abbia creato un account o fornito dati senza i presupposti richiesti, scrivi a privacy@topcut.io: verificheremo e adotteremo le misure necessarie.
11. Automazione e profilazione
- TopCut non adotta decisioni esclusivamente automatizzate che producano effetti giuridici o analogamente significativi ai sensi dell'art. 22 GDPR.
- Scanner, controlli anti-abuso, classifiche e suggerimenti producono risultati tecnici o assistivi. Le letture dubbie dello scanner richiedono conferma; decisioni organizzative, disciplinari e di moderazione restano contestabili e soggette a verifica umana.
12. Sicurezza e incidenti
- Applichiamo controllo degli accessi, privilegi minimi, separazione degli ambienti, cifratura in transito, audit, rate limit, backup e verifiche automatiche. Nessun sistema è immune da rischio: usa password uniche, MFA o passkey quando disponibili e non condividere le credenziali.
- In caso di violazione dei dati personali valuteremo rischio e impatto e, quando richiesto, informeremo autorità e interessati nei termini previsti. Segnalazioni riservate possono essere inviate a support@topcut.io.
13. Aggiornamenti
- Aggiorniamo questa informativa quando cambiano funzioni, fornitori, basi giuridiche o requisiti normativi. La data in alto identifica la versione vigente.
- Le modifiche sostanziali sono comunicate con mezzi proporzionati, come avviso nell'app o email. Se una nuova finalità richiede consenso, non la attiviamo prima di averlo raccolto.