Informativa sul trattamento dei dati personali

INFORMATIVA SUL TRATTAMENTO DEI DATI PERSONALI

SUPERLEGA — Informativa privacy unica per Giocatori, Circoli e Ambassador Resa ai sensi degli artt. 13 e 14 del Regolamento (UE) 2016/679 («GDPR») e del d.lgs. 30 giugno 2003, n. 196 («Codice privacy»), come modificato dal d.lgs. 101/2018.

Versione 1.2 — 13 agosto 2026 — in vigore dalla data di pubblicazione indicata in testa a questa pagina, insieme all'impronta informatica del testo.

Questa informativa sostituisce integralmente il testo divulgativo in precedenza pubblicato alla pagina /privacy e la Parte II del documento «Termini d'Uso e Privacy per i Giocatori». In caso di contrasto con qualunque altro testo pubblicato sulla Piattaforma, prevale la presente informativa.

Come leggere questo documento

La Piattaforma SUPERLEGA è usata da persone diverse, con esigenze informative diverse. Per questo l'informativa è organizzata così:

• le sezioni da 1 a 6 valgono per tutti (titolare, ruoli, dati, finalità, basi giuridiche, consensi);
• la sezione 7 raccoglie le finalità e le basi giuridiche in forma di tabella, distinta per categoria di interessato: Giocatore (consumatore), Referente del Circolo (utente professionale) e Ambassador;
• le sezioni da 8 a 12 riguardano destinatari, trasferimenti fuori dall'Unione europea, conservazione, sicurezza e cancellazione;
• la sezione 13 spiega, in modo comprensibile, come funzionano gli automatismi: il livello di gioco e il punteggio Elo, l'ordinamento dei risultati, l'assistente conversazionale e — quale funzione sospesa — la figurina generata con intelligenza artificiale;
• la sezione 14 riguarda i minori;
• le sezioni da 15 a 20 riguardano i diritti, il reclamo al Garante, i cookie, le notifiche, la geolocalizzazione e gli aggiornamenti.

Le parti evidenziate con la dicitura «Funzione non attiva al lancio» descrivono trattamenti che avranno luogo soltanto se e quando la relativa funzione sarà attivata; fino ad allora quei dati non sono trattati.

1. Titolare del trattamento e contatti

Il titolare del trattamento è:

SUPERLEGA, ditta individuale Sede legale: Via Pietro Donadio n. 181, 80024 Cardito (NA), Italia P.IVA e Codice Fiscale: 10898451215 Iscrizione al Registro delle Imprese di Napoli, REA NA-1156965 PEC: matteo.vittorioso@pec.it

Contatti per la privacy:

Responsabile della protezione dei dati (DPO). SUPERLEGA non ha designato un DPO, non ricorrendo i presupposti dell'art. 37, par. 1, GDPR (non è un'autorità pubblica, non svolge come attività principale un monitoraggio regolare e sistematico su larga scala né tratta su larga scala categorie particolari di dati). La valutazione è riesaminata periodicamente e, in caso di nomina, i recapiti saranno pubblicati in questa sezione.

2. A chi si rivolge questa informativa (categorie di interessati)

1. Giocatori — persone fisiche che si registrano per prenotare campi, iscriversi a partite e tornei, usare le funzioni sociali e di gioco. Agiscono per finalità estranee all'attività d'impresa e sono consumatori.
2. Referenti dei Circoli — persone fisiche che amministrano, per conto di un circolo, di un centro sportivo, di una ASD/SSD o di un'impresa, il pannello gestionale della Piattaforma. I dati del Circolo in quanto ente non sono dati personali, salvo il caso della ditta individuale; sono invece dati personali quelli del referente e del titolare effettivo.
3. Ambassador — persone fisiche che segnalano circoli a SUPERLEGA nell'ambito del programma di procacciamento d'affari occasionale.
4. Terze persone i cui dati sono inseriti da un utente — ad esempio i giocatori indicati nella rosa di una squadra dal capitano, i nomi dei partecipanti a un pagamento diviso, gli ospiti indicati in un sondaggio di gruppo, i genitori o tutori di un minore. Per costoro l'informativa è resa ai sensi dell'art. 14 GDPR (v. § 6).
5. Visitatori non registrati — chi consulta le pagine pubbliche in modalità ospite.

3. Ruoli: chi decide cosa

• SUPERLEGA è titolare autonomo per il funzionamento della Piattaforma: account, profilo, prenotazioni, pagamenti in-app, funzioni sociali, moderazione, sicurezza, gamification, assistente, programma Ambassador, nonché la conservazione delle figurine generate prima della sospensione della relativa funzione (§ 13.4).
• Il Circolo è titolare autonomo per i trattamenti che compie per finalità proprie: gestione dei soci e dei tesseramenti, adempimenti sportivi e assicurativi, eventuale richiesta di certificati di idoneità sportiva, fatturazione dei propri corrispettivi, comunicazioni ai propri iscritti. Il rapporto è disciplinato dai Termini per i Circoli e dal relativo accordo sul trattamento dei dati.
• Stripe opera con doppio ruolo: è titolare autonomo per gli obblighi che la legge pone direttamente a suo carico quale istituto di pagamento (identificazione della clientela, antiriciclaggio, prevenzione delle frodi, conservazione dei dati di pagamento) ed è responsabile del trattamento per le operazioni svolte per conto di SUPERLEGA.
• Google è titolare autonomo limitatamente al servizio di identità («Accedi con Google»), mentre è responsabile per la generazione dei testi editoriali. Non è più responsabile della generazione della figurina, funzione sospesa (§ 13.4): nessuna fotografia del volto gli è trasmessa.
• SUPERLEGA non riceve né conserva i dati completi delle carte di pagamento, che sono raccolti direttamente da Stripe attraverso moduli ospitati dal medesimo.

4. Categorie di dati personali trattati

4.1 Dati dell'account e del profilo del Giocatore

Nome e cognome; nome utente; indirizzo di posta elettronica; password (conservata esclusivamente in forma di impronta crittografica); data di nascita (dato obbligatorio, necessario per verificare la soglia di età e la maggiore età per le funzioni a pagamento); luogo di nascita, ove indicato; genere (facoltativo, con possibilità di non dichiararlo; una volta impostato è modificabile solo tramite richiesta sottoposta a verifica manuale); città o zona; fotografia del profilo, anche diversa per ciascuno sport praticato; sport praticati e livello dichiarato per ciascuno di essi; lingua dell'interfaccia; tema chiaro o scuro; unità di misura; preferenze di notifica; impostazione su chi può invitare l'utente; ruolo sulla Piattaforma. In caso di accesso con account Google: indirizzo di posta elettronica, nome, immagine e identificativo dell'account comunicati dal fornitore di identità.

Numero di telefono. Il recapito telefonico è raccolto in due casi: quando l'Utente lo indica per essere contattato in merito a una prenotazione, e quando è il Circolo a inserirlo registrando al banco la prenotazione di un proprio cliente. In quest'ultimo caso il dato è comunicato dal Circolo, che ne risponde nei confronti dell'interessato ai sensi del § 6, e SUPERLEGA lo tratta per conto del Circolo al solo fine di gestire la prenotazione e i relativi avvisi.

Che cosa vedono gli altri utenti. Sono visibili agli altri utenti della Piattaforma, anche senza che vi sia una relazione di amicizia: nome utente, fotografia del profilo, sport praticati, livello per sport, statistiche di gioco e posizione nelle classifiche. Compaiono nella ricerca dei giocatori, nelle schede delle partite e dei tornei, nelle classifiche e nelle immagini condivisibili del profilo. Non sono mai visibili agli altri utenti: indirizzo di posta elettronica, numero di telefono, data di nascita, dati di pagamento e dati fiscali. La visibilità del profilo si restringe dalle impostazioni dell'account.

4.2 Dati di gioco, prestazione e classifica

Prenotazioni, partite, iscrizioni, squadre, tornei, campionati; risultati, referti, marcatori con il minuto, autogol, ammonizioni, presenze e assenze; livello per sport (da 1,0 a 7,0), fascia (Bronzo, Argento, Oro, Platino, Diamante, Campione, Leggenda), punteggio Elo per sport e relativo storico; risposte al test di autovalutazione iniziale; statistiche individuali; badge, traguardi e progressi della gamification; recensioni dei centri sportivi con voto e commento; voto al migliore in campo; registrazioni di presenza tramite codice QR.

4.3 Dati di pagamento e contabili

Identificativo cliente e identificativi delle operazioni presso Stripe; importo, causale, data ed esito; metodo di pagamento in forma mascherata (circuito e ultime quattro cifre, resi disponibili da Stripe); prenotazioni pagate in app, pagate presso la struttura, quote di partita, quote di iscrizione ai tornei, tessere, servizio di ricerca del sostituto (nonché, per il solo passato, le figurine acquistate prima della sospensione della funzione: § 13.4); rimborsi e storni; contestazioni di addebito; sospesi a titolo di mancata presentazione («no-show») e relativo stato; documenti di cortesia in formato PDF.

4.4 Dati relativi ai contenuti e alle relazioni sociali

Messaggi nelle chat con amici e nei gruppi; commenti pubblicati durante le partite; nome utente e fotografia visibili agli altri utenti; relazioni di «follow» e amicizie reciproche; appartenenza ai gruppi e codici di invito; voti espressi nei sondaggi multi-data; nomi di ospiti e di partecipanti inseriti da altri utenti; elenco degli utenti bloccati; segnalazioni inviate e ricevute, con la relativa motivazione in testo libero.

4.5 Dati tecnici, di sicurezza e di prova

Indirizzo IP; identificativo del browser e del dispositivo (cosiddetto «user-agent»); registri di accesso e di errore; identificativo della sottoscrizione alle notifiche push e relative chiavi di cifratura generate dal browser; registro dei consensi, che conserva per ciascuna accettazione l'utente, il documento e la sua versione, l'impronta crittografica del testo, la data e ora in tempo universale, l'indirizzo IP e l'user-agent al momento dell'accettazione; conteggi per la limitazione della frequenza delle richieste.

4.6 Dati di ubicazione

Coordinate geografiche rilevate dal dispositivo, solo se l'utente attiva la funzione di localizzazione; indirizzo o comune digitato per la ricerca; indirizzo risolto; distanza calcolata rispetto ai centri sportivi; area geografica desumibile dalle porzioni di mappa consultate; luogo e orario del check-in presso la struttura.

4.7 Fotografia del volto e figurine generate con intelligenza artificiale — FUNZIONE SOSPESA

Dal 7 agosto 2026 questo trattamento non ha più luogo. La funzione che generava una figurina a partire dalla fotografia del volto è sospesa: nessuna fotografia del volto è raccolta per questa finalità, nessuna fotografia è trasmessa al fornitore di intelligenza artificiale e nessuna immagine è generata. Il consenso relativo non è più richiesto.

Restano trattate soltanto le immagini già generate prima della sospensione, per la sola conservazione e fino alla loro cancellazione (§ 11), che l'utente può chiedere in ogni momento a privacy@superlega.io.

Le categorie di dati che il trattamento comportava — fotografia del volto caricata dall'utente; stile richiesto ed eventuale descrizione libera; immagine generata; identificativo del pagamento — e le cautele che vi si applicavano sono descritte, come funzione sospesa e riattivabile, al § 13.4.

4.8 Dati del Referente del Circolo

Nome, cognome, indirizzo di posta elettronica e ruolo del referente; credenziali di accesso al pannello gestionale; dati commerciali dell'organizzazione (denominazione, sport, indirizzo, coordinate geografiche, sito internet, dominio verificato, fotografie della struttura, listini, politiche di cancellazione, tessere); stato del conto di incasso; corrispondenza con l'assistenza. I dati di identificazione fiscale e i documenti d'identità richiesti per l'apertura del conto di incasso sono raccolti e conservati direttamente da Stripe, che li tratta quale titolare autonomo per i propri obblighi di legge.

4.9 Dati dell'Ambassador

Nome, cognome, data e luogo di nascita, codice fiscale, eventuale partita IVA e relativo regime; coordinate bancarie (IBAN); importi maturati, liquidati e stornati; ricevute per prestazione occasionale e fatture in formato PDF; documenti sottoscritti e relative evidenze di firma; elenco dei circoli segnalati e dei relativi abbonamenti; corrispondenza con l'amministrazione e con lo studio del commercialista.

4.10 Dati relativi ai minori e a chi ne ha la responsabilità

Data di nascita ed età calcolata del minore; identità, recapito e relazione dichiarata del genitore o tutore; liberatorie e consensi raccolti; documenti sottoscritti. Si veda il § 14.

4.11 Categorie particolari di dati (art. 9 GDPR) e dati relativi a reati (art. 10 GDPR)

SUPERLEGA non chiede e non raccoglie dati sulla salute. In particolare, la Piattaforma non raccoglie certificati medici di idoneità sportiva, referti sanitari, dati su infortuni, allergie o condizioni fisiche: se un Circolo richiede un certificato di idoneità per l'accesso ai propri impianti o ai propri corsi, lo fa al di fuori della Piattaforma e in qualità di titolare autonomo, con propria informativa. La Piattaforma non prevede alcun campo destinato a registrare infortuni o condizioni di salute; il cronometro del referto consente di sospendere il gioco anche per un'interruzione dovuta a un infortunio, ma non registra alcuna informazione sulla natura dell'evento né sulla persona coinvolta.

Ciò premesso, categorie particolari di dati possono comunque emergere in tre modi, che è corretto dichiarare:

1. Fotografia del volto. L'immagine di una persona è dato personale comune; diventa dato biometrico ai sensi dell'art. 9 solo se sottoposta a un trattamento tecnico specifico finalizzato all'identificazione univoca. SUPERLEGA non effettua e vieta contrattualmente ogni riconoscimento facciale, ricerca per volto o confronto biometrico: le fotografie servono unicamente a rendere riconoscibile il profilo agli altri utenti. Il trattamento della fotografia per la generazione della figurina è sospeso (§ 13.4): il relativo consenso esplicito ai sensi dell'art. 9, par. 2, lett. a), GDPR — richiesto in via prudenziale perché una fotografia può lasciar desumere l'origine etnica — non è più raccolto e tornerà ad essere richiesto solo con l'eventuale riattivazione della funzione.
2. Genere. Il dato non rientra di per sé fra quelli dell'art. 9, ma può indirettamente riferirsi all'identità di genere della persona. Il conferimento è facoltativo (è sempre disponibile l'opzione «Preferisco non dirlo», che consente comunque l'accesso alle partite miste) e il dato è usato esclusivamente per l'ammissione alle partite riservate a una categoria. Le richieste di modifica sono esaminate manualmente da personale autorizzato, con accesso limitato e riservatezza rafforzata.
3. Testi liberi. Messaggi in chat, commenti, recensioni, note delle segnalazioni e messaggi inviati all'assistente sono campi liberi: l'utente può spontaneamente inserirvi informazioni sulla propria salute, sulle proprie convinzioni o su presunti illeciti altrui. Si invita a non inserire in tali campi dati particolari o relativi a reati. Ove ciò accada, il trattamento si fonda, secondo i casi, sull'art. 9, par. 2, lett. e) (dati resi manifestamente pubblici dall'interessato) o lett. f) (accertamento, esercizio o difesa di un diritto). Le segnalazioni che contengono accuse di condotte penalmente rilevanti (ad esempio truffa, sostituzione di persona, condotte in danno di minori) sono trattate ai sensi dell'art. 10 GDPR in combinato con l'art. 2-octies del Codice privacy e con gli obblighi di gestione delle segnalazioni previsti dal Regolamento (UE) 2022/2065 sui servizi digitali, con accesso riservato al solo personale incaricato, conservazione limitata e divieto di ogni ulteriore utilizzo.

5. Fonti dei dati

I dati sono raccolti:

• direttamente presso l'interessato, quando questi li inserisce nel proprio profilo, nelle prenotazioni, nei referti, nelle chat o nei documenti;
• automaticamente, per il solo funzionamento tecnico (dati di connessione, registri, esiti dei pagamenti restituiti da Stripe, stato del conto di incasso);
• presso terzi, e precisamente: Google, quando si sceglie l'accesso con account Google; Stripe, per l'esito delle operazioni e lo stato del conto; altri utenti della Piattaforma, nei casi descritti al § 6; il Circolo, per i dati dei propri soci e delle proprie iscrizioni caricati nel gestionale.

6. Dati di persone inserite da altri utenti (informativa ex art. 14 GDPR)

Alcune funzioni consentono a un utente di indicare il nome di altre persone, anche non registrate:

Chi inserisce i dati di un'altra persona è tenuto ad accertarsi di poterlo fare e a informarla, portandole a conoscenza la presente informativa. SUPERLEGA li tratta per la sola finalità organizzativa per cui sono stati inseriti (formare la squadra, dividere la spesa, contare i presenti), sulla base del legittimo interesse all'organizzazione dell'attività sportiva di gruppo (art. 6, par. 1, lett. f) e, per il consenso genitoriale, dell'obbligo di legge di cui all'art. 8 GDPR.

Poiché SUPERLEGA, per queste persone, spesso non dispone di un recapito, l'informativa individuale comporterebbe uno sforzo sproporzionato ai sensi dell'art. 14, par. 5, lett. b), GDPR: l'informazione è quindi resa mediante la pubblicazione della presente informativa e mediante l'avvertenza mostrata in app a chi inserisce i dati. Chi si veda inserito senza il proprio consenso può chiederne in ogni momento la cancellazione scrivendo a privacy@superlega.io: la richiesta è evasa senza necessità di registrarsi.

Le fotografie di gruppo o di squadra ritraggono più persone: chi le carica dichiara di aver ottenuto il consenso di tutti i ritratti e, se fra loro vi sono minori, dei rispettivi genitori (artt. 96 e 97 della legge 22 aprile 1941, n. 633, e art. 10 c.c.).

7. Finalità del trattamento, basi giuridiche e conservazione

7.1 Finalità comuni a tutti gli utenti

Marketing. Alla data della presente informativa SUPERLEGA non invia comunicazioni promozionali per posta elettronica né cede dati a terzi per finalità di marketing. Qualora tale attività fosse avviata, sarà preceduta da consenso specifico e revocabile e da un aggiornamento della presente informativa.

7.2 Finalità specifiche per i Referenti dei Circoli

7.3 Finalità specifiche per gli Ambassador

Funzione non attiva al lancio: la firma elettronica avanzata con codice temporaneo tramite prestatore di servizi fiduciari non è operativa; al lancio opera esclusivamente la modalità manuale sopra descritta, che non comporta la comunicazione dei dati ad alcun prestatore di firma.

7.4 Funzioni non attive al lancio

• Credito prepagato del Giocatore (Wallet). Le funzioni di ricarica e di spesa del credito non sono attive: nessun dato relativo a ricariche o a spese di credito del consumatore è trattato. Resta attivo il solo saldo delle provvigioni dell'Ambassador, che non è un borsellino spendibile ma la mera registrazione di un debito di SUPERLEGA, liquidabile su richiesta.
• Firma elettronica avanzata presso prestatore esterno: v. § 7.3.

7.5 Test di bilanciamento sintetico per i trattamenti fondati sul legittimo interesse

L'interessato può in ogni momento opporsi ai trattamenti fondati sul legittimo interesse ai sensi dell'art. 21 GDPR (v. § 15).

8. Consensi: quali sono, come si prestano e come si revocano

I trattamenti fondati sul consenso sono soltanto quelli elencati qui sotto. Ciascun consenso è facoltativo, specifico, separato dagli altri, mai preselezionato e revocabile in ogni momento senza pregiudizio della liceità del trattamento già svolto. Il rifiuto o la revoca non compromettono l'uso del resto della Piattaforma, ma rendono indisponibile la funzione corrispondente.

Le notifiche relative a operazioni richieste dall'utente (conferma di un pagamento, conferma o annullamento di una prenotazione, comunicazione dell'organizzatore sulla partita cui si è iscritti) non sono disattivabili singolarmente, in quanto necessarie all'esecuzione del contratto: per non riceverle occorre revocare il permesso delle notifiche nel browser o disiscriversi dalla partita.

9. Destinatari dei dati e responsabili del trattamento

I dati possono essere resi accessibili a:

• personale autorizzato di SUPERLEGA, istruito ai sensi dell'art. 29 GDPR, con accesso limitato a quanto necessario;
• altri utenti della Piattaforma, nei limiti di quanto ciascuno rende visibile (nome utente, fotografia, livello, statistiche, appartenenza a squadre e gruppi, contenuti pubblicati). Le fotografie sono conservate in archivi accessibili tramite indirizzo internet non indovinabile: chi dispone del collegamento può visualizzarle. Lo stesso vale per le figurine già prodotte prima del 7 agosto 2026, di cui non se ne aggiungono di nuove (§ 13.4);
• il Circolo presso cui si prenota o ci si iscrive, limitatamente ai dati necessari a erogare il servizio;
• i fornitori indicati nella tabella che segue, nominati responsabili del trattamento ai sensi dell'art. 28 GDPR ove agiscano per conto di SUPERLEGA;
• professionisti e consulenti (studio del commercialista, difensore in caso di controversia);
• autorità pubbliche, nei casi previsti dalla legge.

I dati non sono diffusi, se non nei limiti della visibilità pubblica sopra descritta, e non sono ceduti a terzi per finalità di marketing.

9.1 Elenco dei fornitori

Collegamenti verso servizi di terzi. I pulsanti di condivisione verso WhatsApp, Facebook, Instagram, TikTok e Google Calendar sono semplici collegamenti: nessuno script di tali soggetti è incorporato nella Piattaforma e SUPERLEGA non trasmette loro alcun dato. Seguendo il collegamento l'utente entra nel servizio del terzo, soggetto alla relativa informativa.

10. Trasferimenti verso Paesi terzi

Alcuni fornitori trattano dati al di fuori dello Spazio economico europeo. In tali casi il trasferimento avviene esclusivamente in presenza delle garanzie previste dal Capo V del GDPR (artt. 44 e seguenti):

Copia delle garanzie adottate può essere richiesta scrivendo a privacy@superlega.io.

Nessuna fotografia del volto è oggi trasferita fuori dallo Spazio economico europeo per la generazione di figurine: la funzione è sospesa (§ 13.4). L'impegno a utilizzare esclusivamente un livello di servizio del fornitore che esclude contrattualmente l'utilizzo dei contenuti trasmessi per l'addestramento dei modelli resta in vigore per l'assistente conversazionale e per la generazione dei testi editoriali, e tornerebbe ad applicarsi alla fotografia in caso di riattivazione della funzione.

11. Periodi di conservazione — quadro riepilogativo

Salvo quanto già indicato nelle tabelle del § 7, si applicano i seguenti criteri.

Scaduti i termini, i dati sono cancellati o resi irreversibilmente non riferibili a una persona identificabile.

12. Chiusura dell'account: anonimizzazione, non cancellazione integrale

L'utente può chiudere il proprio account dalle impostazioni. La chiusura comporta:

1. l'immediata cessazione dell'accesso e la rimozione del profilo dalla visibilità pubblica;
2. l'anonimizzazione del profilo: nome, cognome, nome utente, indirizzo di posta, data e luogo di nascita, fotografie e preferenze sono cancellati o sostituiti con valori non riferibili alla persona;
3. la conservazione delle sole scritture che la legge impone di conservare — movimenti economici, richieste di liquidazione, pratiche degli Ambassador, sospesi, registro dei consensi, firme e liberatorie — ai sensi dell'art. 17, par. 3, lett. b) ed e), GDPR, per adempiere obblighi contabili e fiscali e per accertare, esercitare o difendere un diritto. Tali scritture sono separate dai dati identificativi e conservate per i termini indicati al § 11.

La chiusura non può essere completata se risultano: prenotazioni future non ancora fruite, partite imminenti cui si è iscritti, sospesi non saldati, un saldo da liquidare, la posizione di Ambassador con pratiche aperte o la titolarità di un'organizzazione. In tali casi l'utente riceve l'indicazione precisa dell'ostacolo e delle modalità per rimuoverlo: si tratta di un impedimento temporaneo e motivato, non di un diniego del diritto alla cancellazione, che resta esercitabile ai recapiti del § 1 e la cui eventuale limitazione è sempre motivata per iscritto ai sensi dell'art. 12, par. 4, GDPR.

I contenuti pubblicati che riguardano anche altri (risultati, classifiche, referti, recensioni, messaggi in un gruppo) non sono cancellati ma resi anonimi, per non alterare l'integrità delle competizioni e le conversazioni altrui.

13. Processi decisionali automatizzati, profilazione e intelligenza artificiale

SUPERLEGA non adotta decisioni interamente automatizzate che producano effetti giuridici o incidano in modo analogamente significativo sulla persona ai sensi dell'art. 22, par. 1, GDPR. Alcuni automatismi incidono però su ciò che si può fare in app: sono descritti qui di seguito, con la relativa logica, le conseguenze e le tutele.

13.1 Livello per sport e punteggio Elo

Logica. A ciascuno sport praticato è associato un livello da 1,0 a 7,0. Il primo valore nasce da un test di autovalutazione di otto domande (anni di pratica, frequenza, lezioni, domande tecniche) ed è limitato a un massimo di 4,0: l'autodichiarazione, da sola, non consente di superare tale soglia. Il livello si muove poi in funzione dei risultati delle partite, elaborati da un algoritmo di tipo Elo distinto per sport; con le sole partite aperte si può raggiungere al massimo 5,9, mentre i due gradi più alti (Campione e Leggenda) richiedono risultati in tornei o campionati con referto validato. Sono applicate misure contro l'alterazione artificiosa del punteggio.

Conseguenze. Il livello è un criterio consigliato, non un filtro di ammissione: una partita può indicare una fascia di livello e la Piattaforma avvisa chi ne è fuori che non rientra nell'intervallo, ma non ne impedisce l'iscrizione. Il livello incide sull'ordine e sull'evidenza con cui le partite sono proposte e sulla presentazione del profilo agli altri utenti. Per iscriversi alle partite di uno sport è invece necessario aver dichiarato un livello per quello sport.

I destinatari degli avvisi di ricerca di un sostituto non sono selezionati in base al livello: ricevono l'avviso soltanto gli utenti che hanno attivato quella notifica e che si trovano entro un raggio di circa 25 chilometri dal luogo della partita.

Perché non è una decisione «solo automatizzata» con effetti significativi. Il livello non incide su diritti, contratti, credito o accesso a servizi essenziali: riguarda l'equilibrio delle partite, e non preclude la partecipazione a nessuna partita. I risultati che alimentano il calcolo sono inseriti e validati da persone, e su richiesta il livello è riesaminato da una persona.

Tutele riconosciute comunque. L'utente ha diritto di: (i) conoscere il valore attuale e la distinzione fra livello dichiarato e livello confermato dai risultati; (ii) chiedere la rettifica di un risultato errato scrivendo a supporto@superlega.io, con propagazione della correzione su punteggio, livello, classifiche e statistiche derivate; (iii) ottenere il riesame umano del proprio livello; (iv) esprimere la propria opinione e contestare l'esito.

13.2 Ordinamento dei risultati e suggerimenti

Logica. Centri sportivi e partite sono ordinati in via prevalente per distanza dalla posizione dichiarata o rilevata (formula della distanza sferica), e in subordine per pertinenza rispetto allo sport, alla data, alla fascia oraria e ai filtri impostati. In assenza di posizione l'ordinamento non è geografico. I suggerimenti di persone si basano sulle relazioni di «follow» e sull'appartenenza ai gruppi. Nessun corrispettivo è pagato per migliorare il posizionamento nei risultati.

Conseguenze. Ciò che si vede per primo. Nessun effetto su diritti o obblighi.

Tutele. I criteri sono qui dichiarati; l'utente può modificare i filtri, disattivare la geolocalizzazione e opporsi ai suggerimenti fondati sulle relazioni scrivendo ai recapiti del § 1.

13.3 Assistente conversazionale

Stai parlando con un sistema automatico. L'assistente presente in app non è una persona: è un sistema di intelligenza artificiale, come indicato dall'apposito contrassegno e dal messaggio di apertura, ai sensi dell'art. 50 del Regolamento (UE) 2024/1689 (AI Act).

Logica. Il messaggio digitato è dapprima esaminato da un filtro interno: se riguarda pagamenti, rimborsi, addebiti, fatture, account, cancellazione dei dati, privacy o contestazioni, il modello non viene interpellato e la risposta è il solo invito a rivolgersi a una persona. Superato il filtro, il testo è trasmesso al fornitore del modello senza alcun dato identificativo dell'utente e riceve una risposta basata su una base di conoscenza sul funzionamento del servizio. L'assistente non può compiere azioni, non accede alla banca dati né ai dati di altri utenti e non fornisce consulenza legale, fiscale, medica, assicurativa o di investimento. Il messaggio dell'utente è trattato come contenuto e mai come istruzione.

Attivando la funzione «Parla con una persona» l'utente invia volontariamente all'assistenza la trascrizione della conversazione: si invita pertanto a non digitare nella chat dati che non si desidera trasmettere.

Tutele. Nessuna decisione è adottata dall'assistente; ogni questione che incide su denaro, account o dati è indirizzata a una persona.

13.4 Figurina generata con intelligenza artificiale — FUNZIONE SOSPESA, RIATTIVABILE

Stato attuale: il trattamento non ha luogo. Dal 7 agosto 2026 la funzione che generava una figurina a partire dalla fotografia del volto è sospesa. In concreto, e con effetto immediato:

• nessuna fotografia del volto è raccolta per questa finalità;
• nessuna fotografia è trasmessa a Google (Gemini) né ad alcun altro fornitore di intelligenza artificiale, e quindi nessun trasferimento del volto verso gli Stati Uniti ha luogo per questa finalità;
• nessuna immagine è generata e nessun corrispettivo è addebitato;
• il consenso esplicito e separato che la funzione richiedeva non è più raccolto;
• restano soltanto le figurine già prodotte prima di tale data, conservate secondo il § 11 e cancellabili in ogni momento su richiesta dell'interessato.

Perché è descritta ancora qui. La descrizione che segue non racconta un trattamento in corso: è la fotografia del progetto, conservata perché la funzione può essere riattivata. In tal caso questa informativa sarà aggiornata prima della riattivazione e il consenso sarà richiesto ex novo.

Come funzionava (descrizione conservata a fini di documentazione)

Logica. Su richiesta dell'utente e previo consenso esplicito e separato, la fotografia caricata era trasmessa a Google (Gemini), negli Stati Uniti, insieme all'indicazione dello stile prescelto. L'eventuale testo libero era depurato e considerato come sola descrizione di stile, mai come istruzione. Il sistema era vincolato a produrre contenuti non offensivi e a non rappresentare altre persone reali identificabili.

Conseguenze e limiti. L'immagine prodotta era generata artificialmente e poteva non essere fedele. Non era utilizzata per identificare la persona né per alcuna forma di riconoscimento biometrico. Chi condivideva la figurina all'esterno della Piattaforma doveva indicarne la natura artificiale, in coerenza con gli obblighi di trasparenza dell'art. 50 dell'AI Act.

Tutele previste. Consenso revocabile; cancellazione della fotografia trasmessa entro 30 giorni; cancellazione della figurina su richiesta; nessun uso della fotografia per finalità diverse.

Condizioni che dovranno valere prima di una eventuale riattivazione

1. Base giuridica e informativa del trasferimento: consenso esplicito e separato ai sensi degli artt. 6.1.a e 9.2.a GDPR e informativa sul trasferimento verso gli Stati Uniti ai sensi degli artt. 13.1.f e 49 GDPR, con indicazione della garanzia adottata (adeguatezza o clausole contrattuali tipo) e della relativa valutazione d'impatto del trasferimento.
2. Valutazione d'impatto sulla protezione dei dati (art. 35 GDPR) documentata e conclusa prima dell'avvio, trattandosi di uso innovativo di tecnologia su immagini del volto potenzialmente riferibili a minori.
3. Verifica dell'età di chi compare nella fotografia, con esclusione dei minori o, in alternativa, raccolta e verifica del consenso di chi esercita la responsabilità genitoriale.
4. Ciclo di vita delle immagini: cancellazione automatica e verificata della fotografia trasmessa entro 30 giorni, scadenza e revocabilità dell'indirizzo pubblico dell'immagine generata, cancellazione effettiva su richiesta.
5. Marcatura dei contenuti conforme all'art. 50, paragrafi 2 e 4, del Regolamento (UE) 2024/1689, verificata in produzione e non solo nel codice.
6. Impegno contrattuale del fornitore a non utilizzare i contenuti trasmessi per l'addestramento dei modelli, con livello di servizio idoneo.

13.5 Articoli di cronaca delle partite generati con intelligenza artificiale

Alcuni resoconti delle partite sono redatti da un sistema di intelligenza artificiale a partire dai soli dati del referto (squadre, marcatori con il minuto, autogol, classifica), con il divieto di aggiungere fatti non forniti. Il testo cita nomi di giocatori reali e può essere condiviso pubblicamente. Chi vi è nominato può chiederne la rettifica o la rimozione scrivendo a supporto@superlega.io; la rettifica del dato di partenza si propaga al testo.

13.6 Sospesi per mancata presentazione e limitazione delle nuove prenotazioni

Logica. Se un giocatore non si presenta, i presenti indicano in app che cosa è accaduto; da questa indicazione discende automaticamente l'importo del sospeso, secondo regole predeterminate e rese note prima della prenotazione. Finché il sospeso non è saldato, non è possibile effettuare nuove prenotazioni.

Perché non è una decisione «solo automatizzata». Il presupposto (l'assenza) è accertato da persone, non da un algoritmo; l'automatismo si limita all'applicazione della regola economica.

Tutele. Il creditore dell'importo è il Circolo, non SUPERLEGA. Il giocatore può contestare l'accertamento e l'importo scrivendo a supporto@superlega.io, ottenere il riesame da parte di una persona, esporre la propria versione dei fatti e chiedere la rimozione della limitazione. Le penali sono soggette ai limiti inderogabili degli artt. 33 e 34 del Codice del Consumo e all'art. 1384 c.c.

13.7 Sicurezza e limitazione automatica delle richieste

Meccanismi automatici limitano il numero di richieste per utente o per indirizzo IP e possono sospendere temporaneamente una funzione in caso di anomalia. La misura è temporanea, tecnica e non valutativa della persona; ogni blocco può essere segnalato a supporto@superlega.io per il riesame.

14. Minori

1. Sotto i 14 anni la Piattaforma non è accessibile. SUPERLEGA non raccoglie né conserva consapevolmente dati personali di minori di 14 anni — l'età a partire dalla quale l'ordinamento italiano riconosce validità al consenso del minore in relazione ai servizi della società dell'informazione (art. 8 GDPR; art. 2-quinquies del d.lgs. 196/2003). Se in fase di registrazione o di primo accesso è dichiarata un'età inferiore, l'account e i dati associati sono cancellati automaticamente e senza indugio, fatti salvi i soli dati la cui conservazione sia imposta dalla legge. Della registrazione impedita resta unicamente un'impronta informatica non reversibile (hash) dell'indirizzo di posta elettronica, conservata al solo scopo di impedire una nuova iscrizione in violazione della soglia di età: il trattamento è necessario per adempiere all'obbligo di non trattare dati di minori senza base giuridica (art. 6, par. 1, lett. c, in relazione all'art. 8 GDPR) e si fonda, quanto al minimo dato residuo, sul legittimo interesse a impedire l'elusione della verifica (art. 6, par. 1, lett. f).
2. La data di nascita è obbligatoria proprio per rendere effettiva questa verifica. La dichiarazione è raccolta con modalità che ne scoraggiano l'elusione; SUPERLEGA può sospendere gli account per i quali emergano dati non veritieri sull'età e chiedere elementi ulteriori.
3. Profilo Junior (14-17 anni). Il minore di età compresa fra 14 e 17 anni può attivare esclusivamente un Profilo Junior (art. 6 dei Termini). Quanto ai dati personali: il minore presta autonomamente il consenso ai trattamenti connessi ai servizi della società dell'informazione che lo richiedono (art. 8 GDPR; art. 2-quinquies del d.lgs. 196/2003); l'approvazione del genitore richiesta per l'attivazione attiene invece alla capacità di concludere contratti (art. 2 c.c.) e alla responsabilità per le obbligazioni economiche, che restano sempre in capo al genitore collegato: il Profilo Junior non può effettuare pagamenti, e ogni azione onerosa genera una richiesta di autorizzazione che il genitore conclude e paga nel proprio profilo. L'iscrizione a tornei e competizioni richiede la liberatoria del genitore, raccolta e conservata dalla Piattaforma nel medesimo flusso di autorizzazione, con versione e impronta del testo sottoscritto.
4. Dati del genitore o tutore. Sono trattati indirizzo di posta elettronica, identificativo dell'account collegato, nome, relazione dichiarata, nonché data, indirizzo IP e testo delle approvazioni e liberatorie rese, per le sole finalità di: collegare i profili, documentare l'approvazione e le autorizzazioni di spesa, conservarne la prova (art. 7, par. 1, GDPR). Le richieste di autorizzazione del minore sono conservate insieme all'esito. La relazione è oggetto di autodichiarazione verso un indirizzo di posta elettronica che il genitore controlla; SUPERLEGA compie sforzi ragionevoli per verificare che l'approvazione provenga da chi esercita la responsabilità genitoriale, tenuto conto delle tecnologie disponibili (art. 8, par. 2, GDPR), e può chiedere elementi di riscontro ulteriori.
5. Fotografie di minori. Il caricamento della fotografia di un minore da parte di un terzo (ad esempio in una foto di squadra) richiede il consenso di chi esercita la responsabilità genitoriale. Su semplice richiesta del genitore l'immagine è rimossa senza indugio.
6. Nessuna pubblicità profilata ai minori e nessun uso dei dati dei minori per finalità promozionali. Le meccaniche di ingaggio della gamification non prevedono premi in denaro né spese obbligate.
7. Esercizio dei diritti. Fino al compimento dei 18 anni i diritti di cui al § 15 possono essere esercitati dal minore o da chi ne ha la responsabilità genitoriale, scrivendo a privacy@superlega.io.

15. Diritti dell'interessato

15.1 Quali diritti

15.2 Come esercitarli

Scrivendo a privacy@superlega.io, oppure alla PEC matteo.vittorioso@pec.it, oppure per posta ordinaria alla sede legale. È sufficiente descrivere la richiesta; se necessario per accertare l'identità, potranno essere chiesti elementi ulteriori, senza raccogliere più dati del necessario.

Tempi. Riscontro entro un mese dalla richiesta, prorogabile di due mesi in caso di complessità o di numero elevato di richieste, con informativa sui motivi della proroga. L'esercizio dei diritti è gratuito; solo per richieste manifestamente infondate o eccessive, e in particolare ripetitive, può essere chiesto un contributo spese ragionevole o può essere opposto un rifiuto motivato.

Copia e portabilità. Alla data della presente informativa non è disponibile una funzione automatica di scarico dei dati: la copia e la trasmissione in formato aperto sono fornite su richiesta, entro i termini sopra indicati.

15.3 Limiti

Il diritto di accesso può essere limitato quando dal suo esercizio possa derivare un pregiudizio effettivo e concreto allo svolgimento di indagini difensive o all'esercizio di un diritto in sede giudiziaria (art. 2-undecies del Codice privacy): è il caso, tipicamente, dei dati contenuti in una segnalazione pendente. La limitazione è sempre motivata e non impedisce il reclamo al Garante.

15.4 Reclami e riesame delle decisioni di moderazione

Chi vede rimosso un proprio contenuto, sospeso l'account o limitato l'accesso a una funzione riceve la motivazione della decisione e può chiederne il riesame gratuito scrivendo a supporto@superlega.io, secondo quanto previsto dal Regolamento (UE) 2022/2065. Restano impregiudicati il ricorso agli organismi di risoluzione extragiudiziale e all'autorità giudiziaria.

15.5 Reclamo all'autorità di controllo

L'interessato ha diritto di proporre reclamo al Garante per la protezione dei dati personali:

Garante per la protezione dei dati personali Piazza Venezia n. 11, 00187 Roma Centralino: +39 06 696771 — Posta: garante@gpdp.it — PEC: protocollo@pec.gpdp.it Sito: www.garanteprivacy.it

È fatto salvo il ricorso all'autorità giudiziaria ai sensi degli artt. 78 e 79 GDPR e dell'art. 152 del Codice privacy.

16. Sicurezza dei dati

SUPERLEGA adotta misure tecniche e organizzative adeguate ai sensi degli artt. 25 e 32 GDPR, fra cui:

• cifratura del canale (protocollo HTTPS) per ogni comunicazione e cifratura dei dati a riposo presso i fornitori di infrastruttura;
• password mai conservate in chiaro, ma soltanto sotto forma di impronta crittografica non reversibile;
• regole di sicurezza a livello di singola riga della banca dati, che impediscono a un utente di leggere o modificare dati altrui, con funzioni progettate per non rivelare informazioni per differenza (ad esempio, non è possibile scoprire se un altro utente ha un sospeso o quale sia la sua età);
• verifica autoritativa lato server di prezzi, durate, importi e diritti di accesso: nessun valore proveniente dal dispositivo dell'utente è considerato attendibile;
• archivi riservati per i documenti fiscali degli Ambassador e per le ricevute, con accesso limitato al personale incaricato e allo studio professionale;
• nomi di file non indovinabili per le immagini caricate, così da impedirne l'enumerazione;
• generazione locale dei codici QR di accesso, senza chiamate a servizi esterni;
• limitazione della frequenza delle richieste e presidi contro l'automazione abusiva;
• profilazione minima degli accessi interni e istruzione del personale autorizzato ai sensi dell'art. 29 GDPR;
• nessun trattamento dei dati completi delle carte di pagamento, raccolti direttamente da Stripe;
• notifica delle violazioni al Garante entro 72 ore e agli interessati nei casi di rischio elevato (artt. 33 e 34 GDPR).

Nessun sistema è però totalmente sicuro: si raccomanda di usare una password robusta e non riutilizzata e di non condividere le proprie credenziali.

17. Cookie e tecnologie simili

La Piattaforma non utilizza cookie di profilazione, pubblicitari o analitici, propri o di terzi, e non impiega alcuno strumento di misurazione del comportamento degli utenti. Per questa ragione non è mostrato alcun banner di consenso: sono impiegati soltanto strumenti tecnici, esenti dal consenso ai sensi dell'art. 122 del Codice privacy, e cookie strettamente necessari all'esecuzione del pagamento richiesto dall'utente.

I cookie di Stripe sono descritti nell'informativa del fornitore, consultabile su stripe.com/privacy. La gestione dei cookie può avvenire in ogni momento dalle impostazioni del browser; la disattivazione di quelli tecnici impedisce il funzionamento del servizio.

Qualora in futuro fossero attivati strumenti di misurazione o di profilazione, saranno preceduti da un banner di consenso e da un aggiornamento della presente sezione.

18. Notifiche push

Il recapito delle notifiche presuppone il permesso concesso nel browser e la memorizzazione nel dispositivo di una sottoscrizione tecnica: si applica l'art. 5, par. 3, della direttiva 2002/58/CE. Il contenuto del messaggio viaggia cifrato secondo il protocollo Web Push, e i servizi di recapito dei produttori di browser conoscono il dispositivo destinatario ma non il contenuto in chiaro.

Le notifiche si distinguono in:

• notifiche di servizio — relative a operazioni richieste dall'utente (pagamenti, conferme, annullamenti, comunicazioni dell'organizzatore o del gestore sulla partita cui si è iscritti): sono necessarie all'esecuzione del contratto e non sono disattivabili singolarmente;
• notifiche facoltative — nuovi centri in zona, traguardi, nuovi follower: sono inviate solo previo consenso e sono disattivabili dagli interruttori del profilo, per categoria.

La revoca del permesso nel browser interrompe tutte le notifiche.

19. Geolocalizzazione

La posizione è utilizzata solo se l'utente la attiva e serve a mostrare i centri e le partite vicine, a ordinarli per distanza e a selezionare i destinatari degli avvisi di ricerca di un sostituto.

Occorre distinguere due casi, perché il trattamento è diverso:

• Ricerca occasionale («vicino a me»): le coordinate sono usate per il tempo del calcolo e non sono conservate.
• Posizione di riferimento: se l'utente attiva gli avvisi «nuovi centri in zona» o le richieste di sostituto (SOS), le coordinate rilevate in quel momento sono salvate nel suo profilo. Servono a calcolare la distanza dai centri, dalle partite e dai tornei anche nelle sessioni successive, e a individuare i destinatari degli avvisi entro un raggio di circa 25 chilometri. Sono conservate per la durata dell'account, sono cancellate alla sua chiusura e possono essere rimosse in qualsiasi momento scrivendo a privacy@superlega.io. La disattivazione degli avvisi interrompe l'invio ma non cancella da sola la posizione già salvata. L'indirizzo digitato o le coordinate rilevate possono essere trasmessi al servizio di ricerca degli indirizzi (Nominatim, OpenStreetMap Foundation), in parte tramite i server di SUPERLEGA e in parte direttamente dal browser; la memoria temporanea delle ricerche dura 10 minuti. La consultazione delle mappe comporta il prelievo delle mattonelle cartografiche dai server di CARTO, con comunicazione a quest'ultimo dell'indirizzo IP del browser e dell'area consultata.

Il check-in con codice QR presso la struttura genera un dato di presenza in un luogo e a un orario determinati, trattato per la gestione della prenotazione e conservato secondo i termini del § 11. Il codice è generato localmente sul dispositivo, senza alcuna chiamata a servizi esterni.

20. Natura del conferimento e conseguenze del rifiuto

21. Aggiornamenti dell'informativa

La presente informativa può essere aggiornata per evoluzione del servizio, per ragioni tecniche o di sicurezza o per adeguamento normativo. Ogni versione è pubblicata sulla Piattaforma con l'indicazione della data di entrata in vigore ed è conservata con l'impronta crittografica del testo, così che sia sempre ricostruibile quale versione fosse vigente in un dato momento. Delle modifiche sostanziali — in particolare l'attivazione di nuove finalità, di nuovi fornitori extra-UE o di strumenti di misurazione — è data comunicazione con congruo preavviso per posta elettronica o in app; ove la modifica riguardi trattamenti fondati sul consenso, questo è raccolto nuovamente.

Registro delle versioni