Informativa sulla privacy

Questa informativa spiega quali dati tratta MeInTheStory, perché, per quanto tempo e come puoi tenere tutto sotto controllo. L’abbiamo scritta apposta con parole semplici. Vale per il sito meinthestory.net e per i libri creati al suo interno.

1. Chi si occupa dei tuoi dati

Il titolare del trattamento è MeInTheStory. Per qualsiasi questione di privacy, anche per contattare il nostro responsabile della protezione dei dati, scrivi a hello@meinthestory.net.

2. In breve

• Solo gli adulti (dai 18 anni in su) creano un account. Il bambino non compila mai nulla.
• Chiediamo il minimo indispensabile per realizzare il libro: quasi tutto è facoltativo.
• I dati del bambino sono criptati e non compaiono mai in link, e-mail, registri tecnici o strumenti di analisi.
• Non vendiamo dati e non mostriamo pubblicità. Usiamo uno strumento di analisi (PostHog) solo con il tuo permesso, e mai con i dati del bambino.
• In Il mio account puoi scaricare una copia dei tuoi dati o cancellare tutto quando vuoi, all’istante.

3. Quali dati trattiamo

Dati del genitore o tutore

• L’indirizzo e-mail, usato per accedere all’account e ricevere i link di accesso.
• Se accedi con Google: l’e-mail e l’identificativo del tuo account Google. Non riceviamo nome, foto, contatti né password.
• La lingua preferita del sito e la data e la versione del consenso che hai dato.
• Se l’account è a pagamento, i libri sbloccati per te (da Me In The Story o con un coupon) e i coupon che hai usato, con la data.

Dati della personalizzazione del libro

• Nome del bambino (obbligatorio). Cognome, età, città, come il bambino chiama la mamma, il papà, la nonna e il nonno, nome dell’animale domestico e dedica (tutti facoltativi).
• Se la storia parla di una bambina o di un bambino. Lo usiamo solo per scegliere l’illustrazione e le parole della storia.
• Lingua del libro.

Newsletter (solo se ti iscrivi)

• Indirizzo e-mail, lingua, le date della richiesta e della conferma, la versione di questa informativa che hai accettato e una versione cifrata (hash) dell’IP della richiesta, per impedire abusi.

Acquisti (solo se acquisti)

• L’ordine: cosa è stato acquistato, prezzo, valuta, sconto o coupon, date, stato del pagamento, il metodo di pagamento (come carta o Pix) e il riferimento del pagamento su Stripe. Non riceviamo né conserviamo mai il numero della carta.
• Se è un regalo: l’email di chi lo riceve, il messaggio (cancellato appena il regalo viene inviato) e la data di invio.
• La personalizzazione resta cifrata nell’ordine solo finché il libro non entra nella tua biblioteca.

Dati tecnici

• Un cookie di sessione, per mantenerti connesso.
• Una versione rimescolata (hash) dell’indirizzo IP, conservata insieme alle richieste di link di accesso, per impedire abusi.
• Registri di accesso: indirizzo IP (e porta di origine, quando l’hosting la comunica), data e ora, browser e le azioni compiute nell’account, come entrare, aggiungere, scaricare e inviare libri e usare coupon. Questi registri non includono mai dati del bambino.
• Date di creazione, scadenza e revoca dei link di invio. Quando invii il libro via e-mail, l’indirizzo del destinatario resta nei registri di accesso, così possiamo verificare una segnalazione di invio inappropriato.
• Analisi dell’uso (solo se accetti nell’avviso sui cookie): pagine visitate (con l’indirizzo ripulito dai codici di accesso), clic senza il loro testo, tipo di dispositivo e browser, paese e città approssimati dall’IP e, nelle pagine pubbliche (home, catalogo, libri, aiuto e pagine legali), registrazioni dello schermo con tutto il testo e i campi nascosti. Nella personalizzazione, in Il mio account e nei link di invio registriamo solo che la pagina è stata visitata; nel pannello dell’amministratore, niente. Questi dati non sono collegati alla tua e-mail né al tuo account.

Mentre compili la personalizzazione, la bozza resta solo nel tuo browser. Nulla arriva ai nostri server finché non chiedi di ricevere il libro.

4. Per cosa li usiamo e con quale base giuridica

• Creare il tuo account e farti accedere: esecuzione del contratto (LGPD art. 7º, V; GDPR art. 6(1)(b)).
• Creare, conservare e consegnare il libro personalizzato con i dati del bambino: consenso specifico ed evidenziato del genitore o tutore (LGPD art. 14, § 1º; GDPR art. 6(1)(a) e art. 8). Dai questo consenso spuntando la casella nel modulo e puoi revocarlo in qualsiasi momento cancellando il libro o l’account.
• Inviare il libro a chi scegli tu: esecuzione del contratto, su tua richiesta.
• Misurare le collaborazioni promozionali: contiamo quante volte è stato usato ogni coupon. Chi ha promosso il coupon riceve solo il conteggio, mai chi l’ha usato. Legittimo interesse (LGPD art. 7º, IX; GDPR art. 6(1)(f)).
• Proteggere il servizio e le famiglie dagli abusi (limite alle richieste di link e verifica delle segnalazioni): legittimo interesse (LGPD art. 7º, IX; GDPR art. 6(1)(f)).
• Capire come viene usato il sito e migliorarlo (PostHog): consenso (LGPD art. 7º, I; GDPR art. 6(1)(a)), dato nell’avviso sui cookie e revocabile in qualsiasi momento.
• Avvisarti dei nuovi titoli (newsletter): consenso (LGPD art. 7, I; GDPR art. 6(1)(a)), confermato tramite il link che inviamo alla tua e-mail. Puoi annullare l’iscrizione quando vuoi con il link presente in ogni e-mail della newsletter.
• Vendere, incassare e consegnare i libri, compresi i regali, ed emettere la ricevuta: esecuzione del contratto (LGPD art. 7, V; GDPR art. 6(1)(b)). Conservare gli ordini per il periodo previsto dalla legge fiscale: obbligo di legge (LGPD art. 7, II; GDPR art. 6(1)(c)).
• Adempiere agli obblighi di legge, come conservare i registri di accesso quando la legge lo richiede (Marco Civil da Internet (legge brasiliana su Internet), art. 15).

Non prendiamo decisioni automatizzate su di te e non creiamo profili.

5. Come li proteggiamo

• I dati della personalizzazione sono criptati nel database con AES-256-GCM. La chiave è conservata separatamente dal database.
• Link di accesso, sessioni e link di invio sono conservati solo come hash: chi riuscisse a vedere il database non potrebbe usarli.
• I link di accesso valgono 15 minuti e una sola volta. I link di invio valgono 7 giorni e puoi revocarli.
• Tutto il traffico usa HTTPS.
• Il PDF e l’EPUB vengono generati al momento del download e non restano salvati sui nostri server.
• Il pagamento avviene sulla pagina sicura di Stripe: i dati della carta non passano dai nostri server.

6. Con chi li condividiamo

Solo con i fornitori necessari al funzionamento del servizio, che trattano i dati per nostro conto e secondo le nostre istruzioni:

• Hostinger: hosting del sito e del database.
• Resend: invio delle e-mail (link di accesso, libri inviati da te, e-mail degli acquisti e dei regali e la newsletter, se ti iscrivi). Riceve l’indirizzo del destinatario e il contenuto dell’e-mail, che non include mai dati del bambino.
• Google: solo se scegli di accedere con Google.
• PostHog (Stati Uniti): analisi dell’uso del sito, solo con il tuo consenso. Non riceve mai i dati del bambino, la tua e-mail o l’identificativo del tuo account.
• Stripe: elaborazione dei pagamenti (carta, Pix e altri metodi). Riceve la tua e-mail, l’importo e i dati che inserisci nella sua pagina di pagamento. Stripe tratta questi dati anche come titolare, per prevenire le frodi e rispettare le leggi finanziarie, secondo la propria informativa sulla privacy. Non riceve mai dati del bambino.

Quando invii il libro a qualcuno, quella persona riceve un link per scaricarlo e il libro, ovviamente, contiene la personalizzazione.

Non vendiamo né affittiamo dati e non li condividiamo per fini pubblicitari.

Autorità: consegniamo registri o dati solo su ordine del giudice o richiesta di un’autorità competente per legge, nei termini di legge (Marco Civil da Internet, artt. 10, 15 e 22).

7. Trasferimento internazionale

Alcuni fornitori (come Resend, Google, PostHog e Stripe) possono trattare dati al di fuori del Brasile e dello Spazio economico europeo, in particolare negli Stati Uniti. In questi casi ci affidiamo a fornitori che offrono le garanzie previste dalla LGPD (art. 33) e dal GDPR (capo V), come le clausole contrattuali tipo.

8. Per quanto tempo li conserviamo

• Account e libri: finché l’account esiste. Quando elimini l’account, cancelliamo subito l’account, i libri, i dati dei bambini e i link di invio.
• Richieste di link di accesso e di accesso con Google: la personalizzazione viene tolta dalla richiesta non appena il libro entra nella biblioteca; le richieste vere e proprie vengono cancellate entro 30 giorni.
• Sessioni: fino a 30 giorni, o finché non esci.
• Newsletter: finché l’iscrizione è attiva. Quando annulli l’iscrizione, la tua e-mail esce subito dalla lista; se elimini l’account, anche l’iscrizione di quella e-mail viene annullata. Le richieste non confermate vengono cancellate entro 30 giorni.
• Registri di accesso: 6 mesi, in modo riservato (Marco Civil da Internet, art. 15), anche se elimini l’account. In caso di segnalazione di abuso o richiesta di un’autorità, possiamo conservare i registri e una copia cifrata dei libri dell’account coinvolto per il tempo necessario alla verifica.
• Analisi dell’uso (PostHog): eventi fino a 1 anno e registrazioni dello schermo fino a 30 giorni.
• Uso dei coupon: quando elimini l’account, la registrazione dell’utilizzo non è più collegata a te e resta solo come conteggio.
• Link di invio: valgono 7 giorni; la registrazione scompare quando elimini il libro o l’account.
• Ordini: 5 anni dopo l’acquisto, per il periodo previsto dalle leggi fiscali e contabili, anche se elimini l’account. Quando elimini l’account, l’ordine non è più collegato a te: cancelliamo l’e-mail del regalo e qualsiasi personalizzazione ancora presente.
• Le copie di backup del database possono impiegare fino a 30 giorni per essere sostituite.

9. I tuoi diritti

Puoi, in qualsiasi momento: verificare se trattiamo i tuoi dati, accedervi, correggerli, riceverne una copia (portabilità), chiederne la cancellazione, revocare il consenso, sapere con chi li condividiamo e opporti a un trattamento (LGPD art. 18; GDPR artt. da 15 a 22).

Il modo più rapido è Il mio account: lì puoi scaricare tutti i tuoi dati in JSON o eliminare l’account all’istante. Per qualsiasi altra richiesta, scrivi a hello@meinthestory.net. Rispondiamo entro 15 giorni.

Se ritieni che non abbiamo risolto bene la questione, puoi presentare un reclamo all’Autorità nazionale brasiliana per la protezione dei dati (ANPD), in Brasile, oppure all’autorità di protezione dei dati del tuo Paese nell’Unione europea.

10. Cookie e archiviazione nel browser

Essenziali, sempre attivi:

• mits_session: cookie che ti mantiene connesso (30 giorni). Senza di esso, l’account non funziona.
• Tema chiaro o scuro: resta salvato nel tuo browser (localStorage).
• Bozza della personalizzazione: resta solo in questa scheda del browser (sessionStorage) e scompare quando la chiudi.
• mits-consent: conserva la tua scelta nell’avviso sui cookie (localStorage).

Solo se clicchi su «Accetta» nell’avviso sui cookie:

• ph_…_posthog (PostHog): identificativo anonimo di questo browser, per contare le visite e i percorsi nel sito (fino a 1 anno).

Non usiamo cookie pubblicitari. Puoi cambiare la tua scelta quando vuoi in «Preferenze cookie», a piè di pagina; se rifiuti, PostHog viene disattivato e ciò che aveva salvato nel tuo browser viene cancellato.

11. Bambini

MeInTheStory è pensato perché gli adulti creino libri per i bambini. Non raccogliamo dati direttamente dai bambini e non consentiamo account a chi ha meno di 18 anni. Se vieni a sapere che un bambino ha creato un account, scrivi a hello@meinthestory.net e cancelleremo tutto.

12. Modifiche a questa informativa

Quando cambieremo qualcosa di importante, ti avviseremo via e-mail o sul sito prima che la modifica entri in vigore. Se la modifica riguarda l’uso dei dati dei bambini, ti chiederemo un nuovo consenso.