La gestione dei dati personali su ColpoVincente si fonda sul rispetto rigoroso del Regolamento Generale sulla Protezione dei Dati (GDPR, Regolamento UE 2016/679) e del Codice in materia di protezione dei dati personali (D.Lgs. 196/2003 e successive modifiche). La raccolta delle informazioni è limitata a quanto strettamente necessario per consentire l'accesso ai servizi del portale informativo, garantire la conformità normativa e verificare l'autenticità delle interazioni sul nostro portale dedicato alle piattaforme di scommesse sportive.

Le categorie di dati personali trattate si articolano principalmente in due macro-gruppi:

• Dati anagrafici e identificativi: In caso di registrazione di un profilo utente o iscrizione alla newsletter informativa, vengono acquisiti nome, cognome, data di nascita, indirizzo di residenza, codice fiscale, recapito telefonico e indirizzo email. Per l'accesso a specifici servizi comparativi o concorsi a premi, possono essere richiesti estremi di un documento di riconoscimento valido (carta d'identità, passaporto o patente di guida) per adempiere agli obblighi di identificazione preventiva e prevenzione delle frodi.
• Dati di navigazione e telemetrici: Durante la consultazione delle pagine, i sistemi informatici acquisiscono automaticamente parametri tecnici quali indirizzo IP pubblico, identificativi univoci dei dispositivi (MAC address o ID pubblicitario anonimizzato), tipo e versione del browser, risoluzione dello schermo, sistema operativo, pagine visualizzate, timestamp di accesso e percorsi di navigazione tra i vari contenuti informativi.
• Dati relativi alle preferenze e alle interazioni: Vengono registrate le selezioni operate all'interno del sito, inclusi i filtri applicati nella consultazione delle recensioni su operatori di betting con criptovalute, i feedback forniti, le richieste di supporto inoltrate al nostro servizio di assistenza e le preferenze espresse in tema di comunicazioni editoriali.

Il trattamento di tali dati persegue finalità determinate, esplicite e legittime, ciascuna ancorata a una precisa base giuridica ai sensi dell'art. 6 del GDPR:

• Esecuzione di misure contrattuali o precontrattuali: Gestione delle credenziali di accesso, fornitura dei servizi editoriali personalizzati, elaborazione delle richieste inviate tramite form di contatto e risposta a quesiti degli utenti.
• Adempimento di obblighi di legge: Rispetto delle normative vigenti in materia fiscale, tutela del consumatore, cooperazione con le autorità giudiziarie o regolatorie competenti nel mercato italiano (inclusa l'Agenzia delle Dogane e dei Monopoli) e verifica del raggiungimento della maggiore età per la consultazione di contenuti correlati al gioco d'azzardo, in linea con i nostri standard di gioco responsabile.
• Legittimo interesse del titolare: Prevenzione di abusi informatici, attacchi DDoS o tentativi di frode, ottimizzazione dell'infrastruttura di rete attraverso analisi statistiche aggregate e valutazione dell'efficacia delle guide comparative pubblicate.
• Consenso espresso dell'interessato: Invio di comunicazioni promozionali mirate, analisi delle preferenze tramite cookie di profilazione di terze parti e iscrizione a canali di aggiornamento periodico su quote e novità normative. Tale consenso è sempre facoltativo e revocabile in qualsiasi momento senza pregiudicare la navigazione ordinaria.

I dati raccolti vengono conservati per un arco temporale non superiore a quello necessario per conseguire gli scopi per cui sono stati acquisiti: i registri di navigazione tecnica sono conservati per un massimo di 12 mesi per motivi di sicurezza informatica, mentre i dati anagrafici legati a profili attivi restano archiviati per la durata del rapporto contrattuale e, successivamente alla chiusura, per un periodo massimo di 10 anni in conformità con i termini di prescrizione civile e fiscale previsti dalla legislazione italiana.

ColpoVincente applica un principio di minimizzazione e riservatezza: le informazioni personali degli utenti non vengono vendute, cedute a titolo oneroso né noleggiate a soggetti terzi per scopi di marketing commerciale o profilazione esterna. La comunicazione o il trasferimento dei dati personali a soggetti esterni avviene esclusivamente nei limiti strettamente necessari all'erogazione dei servizi informativi, all'adempimento di obblighi legali e regolamentari stabiliti dalla normativa italiana ed europea, nonché alla tutela dell'integrità tecnica dell'infrastruttura web.

I destinatari e le categorie di responsabili del trattamento con cui i dati possono essere condivisi includono:

• Fornitori di infrastruttura tecnologica e cloud hosting: Società che gestiscono server, database distribuiti, reti di distribuzione dei contenuti (CDN) e servizi di sicurezza perimetrale (DDoS mitigation e Web Application Firewall). Tali entità operano in qualità di Responsabili del Trattamento (Data Processors) secondo contratti vincolanti (DPA - Data Processing Agreement) conformi all'Articolo 28 del Regolamento UE 2016/679 (GDPR).
• Piattaforme di analisi statistica e metriche aggregate: Strumenti tecnici utilizzati per valutare l'efficienza delle pagine, la velocità di caricamento e i pattern di navigazione anonimizzati. L'integrazione di questi applicativi adotta l'offuscamento parziale degli indirizzi IP per impedire l'identificazione diretta dei singoli terminali.
• Autorità di vigilanza, organi giudiziari e regolatori: Informazioni tecniche, log di connessione o segnalazioni possono essere trasmesse a enti di controllo, quali l'Agenzia delle Dogane e dei Monopoli (ADM), le forze dell'ordine o l'autorità giudiziaria, unicamente in risposta a mandati formali, notifiche di legge o verifiche volte a contrastare illeciti informatici e attività fraudolente.
• Servizi di monitoraggio per la tutela dell'utente: Nelle sezioni dedicate all'orientamento normativo e alle politiche di gioco responsabile, possono essere integrati canali di raccordo con registri di autoesclusione o strumenti di supporto informativo conformi ai requisiti di tutela del consumatore.

Tutti i trasferimenti di dati personali verso Paesi non appartenenti allo Spazio Economico Europeo (SEE) sono subordinati a rigorose verifiche giuridiche. Tali flussi avvengono unicamente in presenza di decisioni di adeguatezza emesse dalla Commissione Europea o mediante la sottoscrizione delle Clausole Contrattuali Standard (Standard Contractual Clauses - SCC), integrate da misure tecniche supplementari come la crittografia a riposo (AES-256) e in transito (TLS 1.3).

In conformità al Regolamento Generale sulla Protezione dei Dati (GDPR, Regolamento UE 2016/679) e alla normativa nazionale vigente, ciascun utente registrato o visitatore della piattaforma detiene precisi diritti esigibili in qualunque momento nei confronti del titolare del trattamento. L'esercizio di tali facoltà avviene senza oneri economici ingiustificati e riceve riscontro formale entro il termine ordinario di 30 giorni dalla ricezione dell'istanza, prorogabile fino a ulteriori 60 giorni esclusivamente in casi di oggettiva complessità tecnica o documentale.

Il quadro normativo garantisce i seguenti diritti specifici:

• Diritto di Accesso (Art. 15 GDPR): facoltà di ottenere la conferma dell'esistenza o meno di un trattamento in corso e di ricevere un estratto dettagliato contenente le categorie di dati personali trattati, le finalità, i destinatari o le categorie di destinatari e il periodo di conservazione stimato.
• Diritto di Rettifica (Art. 16 GDPR): facoltà di richiedere la rettifica tempestiva di informazioni inesatte, obsolete o l'integrazione di dati anagrafici e contabili incompleti.
• Diritto alla Cancellazione («Diritto all'Oblio», Art. 17 GDPR): facoltà di richiedere la rimozione definitiva dei record anagrafici e delle tracce di navigazione qualora i dati non siano più necessari per le finalità originarie. Tale diritto trova un limite operativo inderogabile negli obblighi legali di conservazione previsti dalle normative antiriciclaggio (D.Lgs. 231/2007), che impongono l'archiviazione documentale per 10 anni dalla chiusura del conto, nonché nei protocolli per il gioco responsabile relativi ai registri di autoesclusione.
• Diritto di Limitazione del Trattamento (Art. 18 GDPR): possibilità di richiedere il congelamento temporaneo delle attività di elaborazione in caso di contestazione sull'esattezza dei dati o di presunta illiceità del trattamento, mantenendo la sola conservazione fisica dei record.
• Diritto alla Portabilità dei Dati (Art. 20 GDPR): diritto di ricevere i dati personali forniti direttamente in un formato strutturato, interoperabile e leggibile da dispositivo informatico comune (ad esempio formato JSON o CSV), ovvero di richiederne la trasmissione diretta a un altro operatore di servizi online.
• Diritto di Opposizione (Art. 21 GDPR): facoltà di opporsi in qualsiasi momento, per motivi connessi a situazioni personali specifiche, ai trattamenti basati sul legittimo interesse, nonché opposizione incondizionata e immediata verso ogni forma di profilazione commerciale o invio di comunicazioni promozionali.

Sul piano dell'infrastruttura tecnologica, la protezione dell'integrità, riservatezza e disponibilità delle informazioni viene garantita tramite un sistema multilivello di misure tecniche e organizzative costantemente aggiornate:

• Crittografia dei flussi e dei database: adozione del protocollo di cifratura TLS 1.3 con suite crittografiche a 256 bit per tutte le sessioni di trasmissione tra browser e server, combinata con la crittografia a riposo (encryption at rest) tramite algoritmo AES-256 applicata ai database di autenticazione e ai registri transazionali.
• Controllo granulare degli accessi (RBAC): segmentazione dei privilegi operativi basata sul principio del minimo privilegio, con autenticazione a più fattori (MFA) obbligatoria per tutto il personale amministrativo e tecnico autorizzato alla manutenzione dei sistemi.
• Sicurezza perimetrale e monitoraggio: impiego di Web Application Firewall (WAF), sistemi di rilevamento e prevenzione delle intrusioni (IDS/IPS) attivi 24 ore su 24 e tracciamento continuo degli eventi di sistema (log audit) per contrastare attacchi DDoS o tentativi di accesso non autorizzato.
• Piani di Disaster Recovery e Formazione: procedure documentate di backup periodico distribuito geograficamente con test trimestrali di ripristino, unitamente a corsi di formazione e aggiornamento periodico sui rischi di ingegneria sociale e gestione delle violazioni dei dati personali (Data Breach).

Per qualsiasi domanda relativa al trattamento dei dati personali, all'esercizio dei diritti previsti dal Regolamento UE 2016/679 (GDPR) o per chiarimenti sulle procedure di conservazione, potete contattare il nostro Responsabile della Protezione dei Dati (DPO) all'indirizzo dedicato: [email protected]. Il team di conformità elabora le richieste formali entro i termini legali standard di 30 giorni dalla ricezione della documentazione di verifica dell'identità.

Qualora riteniate che la gestione dei vostri dati non sia conforme alle normative vigenti, avete il diritto di inoltrare un reclamo formale all'autorità di vigilanza competente. In Italia, l'ente preposto è il Garante per la Protezione dei Dati Personali (Piazza Venezia 11, 00187 Roma, protocollo consultabile su garanteprivacy.it). Vi incoraggiamo comunque a contattare preventivamente il nostro ufficio legale per una risoluzione diretta di qualsiasi controversia tecnica o gestionale.

Ci riserviamo il diritto di aggiornare la presente informativa per riflettere variazioni legislative, integrazioni tecnologiche o modifiche nelle nostre analisi editoriali, incluse le sezioni dedicate alle linee guida per il gioco responsabile e alle informazioni su chi siamo. In caso di modifiche sostanziali all'utilizzo dei dati analitici o di tracciamento, verrà pubblicato un avviso evidente sulle pagine principali del portale.

Data dell'ultimo riesame del documento: 15 febbraio 2025 (Versione 2.4).