Cronofuga — Privacy PolicyCronofuga — Privacy PolicyCronofuga — DatenschutzerklärungCronofuga — Politique de confidentialitéCronofuga — Política de privacidad

In breve

Cronofuga è il diario delle escape room che hai fatto. Per farlo funzionare su più dispositivi, per non fartelo perdere quando ne cambi uno e per poterlo condividere con la tua squadra, l'app usa un account e conserva i tuoi dati su un server europeo. Non li vendiamo, non li usiamo per profilarti, non c'è pubblicità e non c'è nessuno strumento di tracciamento. Puoi cancellare l'account quando vuoi, dall'app stessa.

Quali dati trattiamo

Per l'account: il tuo indirizzo email, il nickname che scegli, nome e cognome, la città, la lingua dell'app, l'avatar — uno di quelli disegnati o una tua foto profilo — se vuoi comparire col nickname nelle classifiche, e la password — conservata solo come impronta cifrata e non reversibile. Restano anche le date di registrazione e di ultima modifica.

Di ogni accesso restano l'impronta cifrata del token, il tipo di sistema (ios o android) e le date di creazione, ultimo uso e scadenza. Il token in chiaro esiste solo sul tuo dispositivo.

Quello che scrivi nel diario: le sale e le stanze che aggiungi al catalogo (nome, indirizzo, durata, difficoltà, sito); le serate organizzate (titolo, descrizione, giorno e ora, posti); le fughe fatte (giorno, stanza, esito, tempo limite e tempo impiegato, percentuale raggiunta, aiuti chiesti, note); chi ha partecipato — utenti con un account e semplici nomi di ospiti; i commenti; e una foto per serata.

Le squadre: nome, codice d'invito, chi ne fa parte e con quale ruolo, gli inviti diretti mandati e ricevuti, l'avatar e la copertina della squadra, e — se un admin li usa — i bandi dalla squadra e i blocchi fra utenti. E la chat della squadra: i messaggi, le stanze proposte con le loro date, e chi ha segnato «posso» o «mi interessa».

Recensioni e valutazioni: i voti e i commenti che lasci alle strutture e alle stanze dove hai giocato. E, dopo una fuga con persone di fuori dalla squadra, chi c'era davvero (lo conferma chi ha organizzato) e le valutazioni fra i partecipanti: «ci rigiocherei?», una nota di consiglio facoltativa e, se serve, un «mi sono sentito a disagio o in pericolo».

Per le fughe aperte: la tua dichiarazione di essere maggiorenne, con la data.

Per Cronofuga Pro: la prova d'acquisto (vedi «Cronofuga Pro», qui sotto).

Se gestisci una sala: quali sale gestisci e con quale ruolo (proprietario o personale), e le fughe che convalidi.

Per la moderazione: le segnalazioni (chi segnala, cosa e perché), le decisioni prese, le sospensioni dalle recensioni e le sospensioni dell'account.

Per la conferma dell'indirizzo e il recupero della password: l'impronta cifrata del codice a sei cifre, il numero di tentativi e la scadenza. Il codice in chiaro non viene mai salvato.

Per le notifiche push: il codice che Firebase assegna all'app sul tuo telefono (il «token»), il sistema, quando è stato registrato e l'ultima volta che l'app si è fatta viva; e le tue preferenze sulle notifiche, in generale e serata per serata.

Per fermare chi prova password a raffica: un conteggio dei tentativi di accesso falliti, tenuto per quindici minuti e legato all'indirizzo email digitato e all'indirizzo IP di chi prova. Non serve ad altro, e si cancella da solo.

⚠️ La foto di fine partita, e i volti degli altri

È la parte in cui i dati non sono solo tuoi, e vale la pena spiegarla bene. La foto di fine partita è quasi sempre una foto di gruppo: caricandola stai fornendo un dato personale di altre persone.

• Carica solo foto che chi c'era è d'accordo di condividere. È una richiesta, non una formalità: le altre persone nella foto non hanno accettato niente al posto tuo.
• Le foto non sono pubbliche. Ogni file si scarica solo con un accesso valido, e il server controlla che chi lo chiede sia chi ha creato la serata, un membro di quella squadra o chi vi ha partecipato da fuori (su invito o da una fuga aperta), prima di consegnarlo.
• Cancellando il tuo account, le foto che hai caricato spariscono — anche quelle finite nelle serate di altri. Sono file tuoi e contengono volti.

⚠️ La foto profilo e le immagini della squadra

• La foto profilo, se ne carichi una al posto di un avatar disegnato, la vedono i tuoi compagni di squadra. Se accendi Mostra il mio nickname (vedi «Le classifiche») la vede chiunque abbia l'app, tranne chi hai bloccato: l'app lo dice sull'interruttore.
• L'avatar e la copertina di una squadra, quando sono foto, li vede chiunque abbia l'app: stanno nella pagina della squadra e nelle classifiche. Li cambiano solo gli admin, e chiunque li può segnalare.

⚠️ Chi ti può trovare, e cosa vede

Perché gli inviti diretti funzionino, chiunque abbia un account Cronofuga può cercare le persone per nickname o città e vedere quei due dati. È la funzione che permette di dire «invito lui», invece di passare per un codice.

⚠️ Il tuo indirizzo email non compare mai in quella ricerca, né in nessun altro punto dell'app: non è dato ad altri utenti in nessuna circostanza. Nome e cognome non compaiono nella ricerca: quello che si vede è il nickname.

Il tuo profilo lo può aprire chi ti incontra nell'app (in una ricerca, in una squadra, in una recensione, in una fuga aperta): mostra il nickname, l'avatar, quante fughe hai fatto e quante ne hai risolte, e delle statistiche d'insieme — la percentuale di riuscita, il tempo avanzato e gli aiuti in media, quante stanze, strutture e città, il genere che giochi di più, l'anno della prima fuga. I badge si vedono solo se hai il Pro. Chi hai bloccato, o chi ti ha bloccato, non vede il tuo profilo.

Se ricevi un invito che non vuoi, puoi rifiutarlo e bloccare chi te l'ha mandato: da quel momento non potrà più invitarti.

Le classifiche

Nelle classifiche entrano solo le fughe convalidate dalla sala. All'inizio ci compari come «Giocatore anonimo»: al tuo posto, ma senza nome. Se accendi Mostra il mio nickname, chiunque abbia l'app legge il tuo nickname, vede il tuo avatar o la tua foto profilo e i tuoi punti, e può aprire il tuo profilo; lo spegni quando vuoi, e torni anonimo dappertutto. La classifica di una stanza mostra anche il tempo, gli aiuti, quanti eravate, il giorno e il nome della squadra; quella delle squadre, il nome, l'avatar e la copertina di ciascuna.

Recensioni e valutazioni

• Le recensioni di strutture e stanze si possono scrivere solo dove hai giocato, e le legge chiunque abbia l'app, col tuo nickname e il tuo avatar. Quelle con uno spoiler le legge solo chi la stanza l'ha già fatta. Chi gestisce una sala non recensisce la propria.
• Le valutazioni dopo una fuga sono anonime e alla cieca: i voti non escono mai dal server, nemmeno verso chi li ha dati. Agli altri arrivano solo statistiche, e solo da tre valutazioni in su; le note di consiglio arrivano a chi le riceve senza il nome di chi le ha scritte. «Mi sono sentito a disagio o in pericolo» non è un voto: è una segnalazione a chi modera.
• Chi c'era lo conferma chi ha organizzato. Chi viene segnato assente lo sa e può contestare: la contestazione arriva a chi modera.

⚠️ Le fughe aperte

Chi organizza può mettere una fuga in vetrina. Chiunque abbia l'app la vede — stanza, struttura e città, giorno e ora, titolo e descrizione, il nickname e l'avatar di chi organizza e, se c'è, la squadra — e può chiedere di unirsi, anche portando amici senza l'app (di loro resta solo il nome). Per aprire una fuga agli sconosciuti, o chiedere di entrarci, bisogna aver confermato l'email e dichiarare di essere maggiorenni, una volta sola. Chi è bloccato, in un verso o nell'altro, non la vede e non può chiedere.

Se gestisci una sala

Le sale non si rivendicano dall'app: chi gestisce una escape room si accorda direttamente con noi, e la scheda della sua struttura viene affidata al suo account — quello con cui si è iscritto, o uno che creiamo per lui. Il proprietario aggiunge il suo personale scegliendolo fra gli iscritti, e chi è nel personale può uscirne quando vuole. Proprietario e personale convalidano le fughe inquadrando il QR della squadra, che mostra stanza, squadra e risultato dichiarato, e non possono recensire la propria sala.

Segnalazioni e moderazione

Puoi segnalare una foto profilo, la foto di una serata, un commento, un messaggio della chat di squadra, una recensione, le immagini di una squadra, una fuga aperta o una scheda del catalogo. La segnalazione arriva per email a chi modera, con quello che è stato segnalato (il testo, o il link per vedere l'immagine), il motivo, e il nickname e l'email di chi è segnalato e di chi segnala.

• Chi modera può togliere il contenuto; a chi ha scritto in una recensione la soluzione di un enigma, può togliere la recensione e sospendere le recensioni per 1, 7 o 30 giorni; può sospendere l'account: un account sospeso non entra più, e i suoi accessi vengono chiusi.
• Tre cose succedono da sole, in attesa di chi modera: una scheda del catalogo segnalata da tre persone si nasconde; una recensione segnalata perché svela una soluzione diventa leggibile solo da chi la stanza l'ha già fatta; e se nell'arco di 180 giorni tre persone diverse dicono di essersi sentite a disagio o in pericolo con la stessa persona, il suo account viene sospeso subito, finché chi modera non decide.

⚠️ Il catalogo delle sale è di tutti

Le strutture e le stanze che aggiungi non sono un dato tuo: sono la scheda di un'attività commerciale, ed è il pezzo che gli utenti di Cronofuga costruiscono insieme. Restano nel catalogo anche dopo che hai cancellato l'account, senza il tuo nome. Portarsele via andandosene lo distruggerebbe per chi resta.

Cosa non facciamo, ed è verificabile

• Non registriamo dove sei. La posizione la usa solo il telefono, per Vicino a me, e solo se lo tocchi (vedi «Fotocamera, galleria e posizione»): al nostro server non arriva mai.
• Non ti mandiamo email che non servano a te. Il servizio te ne invia esattamente due, e solo quando le chiedi tu: il codice per confermare l'indirizzo e il codice per rifare la password. Nessun avviso, nessuna novità, niente di promozionale.
• Le notifiche dicono il minimo. Quelle push passano dai server di Google, quindi non contengono mai l'indirizzo della sala né la tua email (vedi «Le notifiche», qui sotto).
• Non registriamo il tuo indirizzo IP. Il nostro server non tiene alcun registro delle richieste che riceve. L'infrastruttura che ospita il servizio (Cloudflare) tratta i dati tecnici di connessione per la sicurezza della rete, secondo la propria informativa: è una cosa che succede sotto di noi e su cui non abbiamo visibilità.
• Nessun analytics, nessun rilevatore di errori, nessun tracciamento pubblicitario. L'app non include alcuna libreria di questo tipo: di Firebase usiamo solo il recapito delle notifiche, non Google Analytics né Crashlytics.
• Nessuna pubblicità e nessuna profilazione. Non prendiamo decisioni automatizzate sul tuo conto, con un'eccezione di sicurezza: la sospensione cautelativa descritta in «Segnalazioni e moderazione», che poi rivede una persona.
• Non vendiamo e non cediamo i tuoi dati a nessuno.

Perché li trattiamo, e con quale base giuridica

• Per farti usare l'app, sincronizzare il diario fra i tuoi dispositivi, condividerlo con la tua squadra e conservarlo, per le classifiche, le recensioni, le fughe aperte e il Pro che hai comprato: esecuzione del contratto (art. 6.1.b GDPR).
• Per la sicurezza del servizio e la prevenzione degli abusi — per esempio i blocchi fra utenti, i bandi dalle squadre, le segnalazioni e le sospensioni, l'affidamento delle sale a chi le gestisce e la dichiarazione di maggiore età per le fughe aperte: legittimo interesse (art. 6.1.f).
• Per tenere in piedi il catalogo condiviso di sale e stanze anche quando chi le ha inserite se ne va: legittimo interesse (art. 6.1.f). Il dato che resta riguarda l'attività commerciale, non te: il tuo nome viene tolto.
• Per adempiere agli obblighi di legge che ci riguardano: obbligo legale (art. 6.1.c).

Dove stanno i dati, e a chi li affidiamo

L'archiviazione è su infrastruttura Cloudflare: il database (D1) e le foto (R2) stanno entrambi nella regione europea EEUR. Il traffico fra app e server è sempre cifrato (HTTPS). Anche le mappe le serve il nostro server (dati © OpenStreetMap, formato Protomaps): aprirle non contatta altri servizi.

È l'elenco completo: non ci sono altri fornitori. Verso gli Stati Uniti il trasferimento avviene sulle garanzie previste dal Capo V del GDPR (clausole contrattuali standard); a Resend arrivano solo le email descritte qui sopra — mai il diario, mai le foto — e a Google arrivano solo le notifiche. Gli acquisti del Pro passano da Apple e da Google (vedi «Cronofuga Pro»). Se incolli il link corto di Google Maps di una struttura, è il tuo telefono ad aprirlo presso Google per leggerne le coordinate. L'accesso ai dati da parte nostra è limitato a chi gestisce tecnicamente il servizio, e solo per la manutenzione.

Cronofuga Pro

Il Pro si compra una volta sola, con un acquisto in-app tramite l'App Store o Google Play: il pagamento lo gestiscono loro, secondo le proprie informative, e noi i dati di pagamento non li vediamo mai. Perché il Pro segua il tuo account su ogni telefono — anche passando da iPhone ad Android — il telefono ci manda la prova d'acquisto, e noi ne conserviamo la piattaforma, il prodotto, l'identificativo della transazione, la ricevuta e la data. Una prova d'acquisto vale per un solo account.

Le notifiche

I promemoria della serata — la sera prima, due ore prima, e la mattina dopo se manca il risultato — sono notifiche locali: le programma il tuo telefono dalle serate che ha, e il nostro server non ne sa niente. Si spengono dall'account, nell'app.

Le notifiche push invece le manda il nostro server, quando qualcuno fa qualcosa che ti riguarda. Per recapitarle usiamo Firebase Cloud Messaging, il servizio di Google: è l'unico modo di raggiungere un telefono Android con l'app chiusa.

• Quando arrivano: una serata della tua squadra, o a cui partecipi, organizzata, spostata, annullata, giocata (col risultato) o convalidata dalla sala; un posto che si libera; l'invito a valutare una fuga; un commento a una serata dove sei tu o la tua squadra, e un messaggio nella chat della squadra; un invito in una squadra o a una fuga, i tuoi ruoli che cambiano; nelle fughe aperte, le richieste di unirsi (a chi organizza), le risposte (a chi ha chiesto) e chi ti ha portato con sé; un badge nuovo; se sei admin, chi entra nella squadra, e se sei admin o élite le serate da approvare.
• Alcune non si spengono dall'app, perché ti riguardano direttamente: se chi ha organizzato ti segna assente, se una tua recensione viene tolta, se vieni aggiunto al personale di una sala, se qualcuno aggiunge una stanza a una scheda che hai creato tu.
• Cosa c'è scritto: il titolo della serata (di solito il nome della stanza) o il nome della squadra, il nome di chi ha fatto la cosa, il giorno e l'ora, il risultato e, per i commenti e la chat, il loro testo (al massimo 180 caratteri). Questo testo passa dai server di Google per arrivare a te. L'indirizzo della sala non c'è mai, e nemmeno la tua email. ⚠️ Un commento può contenere uno spoiler della stanza: se non vuoi leggerlo nella tendina, spegni l'anteprima dalle impostazioni del telefono, o la chat dall'app.
• Mai a chi ha fatto la cosa, mai a chi non è più nella squadra, e mai da una persona che hai bloccato.
• Le spegni quando vuoi: per tipo dall'account (Fughe della squadra, Chat, Squadre, Badge), i commenti di una sola serata dal campanello in alto nella serata, o tutte dalle impostazioni del telefono. Le preferenze stanno sul server, perché è lui a decidere cosa mandare.
• Il token del telefono si cancella quando esci dall'account, quando chiedi la cancellazione, quando Firebase ci dice che non vale più e dopo 60 giorni in cui l'app non si fa viva.
• Su iPhone le notifiche push non ci sono ancora (i promemoria sì). Quando arriveranno passeranno anche dal servizio di Apple, e lo scriveremo qui.

Il diario resta anche sul tuo dispositivo

Cronofuga funziona offline, perché le escape room stanno spesso nei seminterrati: l'app scrive prima sul telefono e si allinea col server appena c'è rete. Una copia del tuo diario, quindi, vive sul dispositivo, sotto il controllo del sistema operativo. Uscendo dall'account quella copia si svuota; disinstallando l'app se ne va con lei. Se usi il widget (Pro), le tue prossime fughe compaiono anche sulla schermata Home: i dati li passa l'app al widget, sul telefono.

Per quanto tempo

• L'account e il diario: finché usi Cronofuga. Chiedendo la cancellazione, tutto viene eliminato dopo sette giorni — la finestra per ripensarci.
• Un account mai confermato: se non confermi l'indirizzo entro 24 ore dall'iscrizione, l'account viene cancellato del tutto.
• Gli accessi: un token scade da solo dopo 180 giorni. Chiedendo la cancellazione dell'account, cadono tutti subito.
• Una serata in programma rimasta senza risultato: 24 ore dopo l'orario previsto viene cancellata, coi suoi commenti e la sua foto.
• Le fughe fatte con altri restano nel diario di chi c'era, senza il tuo nome: quella sera è successa anche a loro.
• Le sale e le stanze del catalogo restano, senza il tuo nome.
• La chat della squadra: i messaggi non scadono. Spariscono quando chi li ha scritti li cancella o cancella l'account, o quando la squadra si scioglie.
• Le valutazioni: finché esistono gli account di chi le ha date e di chi le ha ricevute.
• La prova d'acquisto del Pro: finché esiste l'account.
• Le segnalazioni restano a chi modera come storico; se cancelli l'account, il tuo nome ne viene tolto.
• Le sospensioni dalle recensioni restano anche dopo la scadenza, perché dicono se è già successo; se ne vanno con l'account. Una sospensione dell'account dura finché chi modera non la toglie.
• I codici a sei cifre: valgono quindici minuti, si usano una volta sola e dopo cinque errori si bruciano.
• Il conteggio dei tentativi di accesso: quindici minuti, poi lo spazza un processo notturno.
• Il token delle notifiche: finché usi l'app su quel telefono (vedi «Le notifiche»). Firebase tiene una notifica solo finché non la consegna (al massimo quattro settimane, se il telefono resta spento).

I dettagli di cosa sparisce e cosa resta sono nella pagina Cancellare l'account.

I tuoi diritti

Puoi chiedere accesso, rettifica, cancellazione, limitazione, opposizione e portabilità dei tuoi dati (artt. 15–22 GDPR), e revocare un consenso quando è quella la base del trattamento.

• Cancellazione: si fa dall'app, in tre passi e senza chiedere niente a nessuno. Vedi come si fa.
• Copia dei tuoi dati: scrivi a info@linchettostudio.com dall'indirizzo dell'account. È gratuita. Nell'app non c'è ancora un pulsante che lo faccia da solo.
• Se non riesci più a entrare — password dimenticata, telefono perso — usa Password dimenticata? nella schermata di accesso: arriva un codice all'indirizzo dell'account e da lì se ne sceglie una nuova. Se nemmeno quello funziona, scrivici.

Rispondiamo senza ingiustificato ritardo e comunque entro un mese (art. 12 GDPR). Se ritieni che il trattamento violi il GDPR puoi rivolgerti al Garante per la protezione dei dati personali (gpdp.it).

Fotocamera, galleria e posizione

L'app chiede l'accesso alla fotocamera e alla galleria solo quando aggiungi una foto — quella di una serata, la tua foto profilo o, se sei admin, un'immagine della squadra — e per salvare nel rullino una foto che condividi. La fotocamera serve anche a inquadrare un QR: quello con cui un amico ti invita nella sua squadra e, se lavori in una sala, quello della fuga da convalidare. Puoi negare il permesso: tutto il resto continua a funzionare. Non leggiamo la tua galleria: vedi solo l'immagine che scegli tu.

La posizione l'app la chiede solo quando tocchi Vicino a me — fra le sale, nella scelta della stanza o fra le fughe aperte — e chiede quella approssimata. Serve a mettere in ordine le strutture per distanza: il conto lo fa il telefono, e la posizione non viene salvata né mandata al nostro server o ad altri. Puoi negare il permesso: le sale si trovano lo stesso per nome, per città o sulla mappa.

Sicurezza

Le password sono conservate come impronta PBKDF2-SHA256 con 100.000 iterazioni e un sale casuale per utente: dal database non si risale alla password. Dei token di accesso conserviamo solo l'impronta, mai il token. Il confronto delle password avviene a tempo costante, e «email inesistente» e «password sbagliata» danno di proposito lo stesso messaggio — distinguerli direbbe a un estraneo quali indirizzi sono iscritti.

Minori

Il servizio non è rivolto a minori di 14 anni (art. 8 GDPR e art. 2-quinquies del Codice privacy italiano). Se ci accorgiamo di un account di un minore di quell'età lo cancelliamo. Le fughe aperte agli sconosciuti sono riservate ai maggiorenni: per aprirne una o chiedere di unirsi bisogna dichiarare di avere almeno 18 anni.

Modifiche

Se questa informativa cambia in modo sostanziale aggiorniamo la data in cima e, quando la modifica ti riguarda davvero, lo segnaliamo nell'app. Succederà di sicuro quando arriveranno le notifiche push su iPhone.

In short

Cronofuga is the logbook of the escape rooms you've played. To make it work across devices, so you don't lose it when you change phone, and so you can share it with your team, the app uses an account and keeps your data on a European server. We don't sell it, we don't use it to profile you, there is no advertising and no tracking of any kind. You can delete your account whenever you want, from inside the app.

What we process

For the account: your email address, the nickname you choose, first and last name, your city, the app's language, your avatar — one of the drawn ones or a profile photo of yours —, whether you want to appear with your nickname on the leaderboards, and your password — kept only as an encrypted, non-reversible hash. We also keep the registration and last-modified dates.

For each session we keep the hash of the token, the type of system (ios or android) and the creation, last-use and expiry dates. The token itself exists only on your device.

What you write in the logbook: the venues and rooms you add to the catalogue (name, address, duration, difficulty, website); the evenings you organise (title, description, day and time, seats); the escapes you played (day, room, outcome, time limit and time taken, percentage reached, hints used, notes); who took part — users with an account and plain guest names; comments; and one photo per evening.

Teams: name, invite code, who belongs to them and in what role, direct invitations sent and received, the team's avatar and cover, and — if an admin uses them — team bans and blocks between users. And the team chat: messages, proposed rooms with their dates, and who marked "I can make it" or "I'm interested".

Reviews and ratings: the scores and comments you leave on venues and rooms where you've played. And, after an escape with people from outside the team, who was actually there (confirmed by the organiser) and the ratings between participants: "would I play with them again?", an optional piece of advice and, if needed, an "I felt uncomfortable or unsafe".

For open escapes: your declaration that you are an adult, with its date.

For Cronofuga Pro: the proof of purchase (see "Cronofuga Pro", below).

If you run a venue: which venues you run and in what role (owner or staff), and the escapes you validate.

For moderation: reports (who reports, what and why), the decisions taken, suspensions from reviews and account suspensions.

For address confirmation and password reset: the hash of the six-digit code, the number of attempts and the expiry. The code itself is never stored.

For push notifications: the code Firebase assigns to the app on your phone (the "token"), the system, when it was registered and the last time the app checked in; and your notification preferences, overall and evening by evening.

To stop password guessing: a count of failed sign-in attempts, kept for fifteen minutes and tied to the email address typed and to the IP address of whoever is trying. It is used for nothing else, and it deletes itself.

⚠️ The end-of-game photo, and other people's faces

This is the part where the data isn't only yours, and it's worth explaining properly. The end-of-game photo is almost always a group photo: by uploading it you are providing other people's personal data.

• Only upload photos the people in them agree to share. That's a request, not a formality: the other people in the photo didn't consent to anything on your behalf.
• Photos are not public. Every file is only downloadable with a valid session, and the server checks that whoever asks is the person who created the evening, a member of that team, or someone who took part from outside (by invitation or through an open escape), before handing it over.
• When you delete your account, the photos you uploaded go — including those in other people's evenings. They are your files and they contain faces.

⚠️ Your profile photo and team images

• Your profile photo, if you upload one instead of a drawn avatar, is seen by your teammates. If you turn on Show my nickname (see "Leaderboards") anyone with the app sees it, except people you've blocked: the app says so on the switch.
• A team's avatar and cover, when they are photos, are seen by anyone with the app: they appear on the team page and on the leaderboards. Only admins can change them, and anyone can report them.

⚠️ Who can find you, and what they see

For direct invitations to work, anyone with a Cronofuga account can search for people by nickname or city and see those two details. It's the feature that lets someone say "I'm inviting them" instead of going through a code.

⚠️ Your email address never appears in that search, or anywhere else in the app: it is not given to other users under any circumstances. First and last name don't appear in the search either — what's shown is the nickname.

Your profile can be opened by anyone who comes across you in the app (in a search, a team, a review, an open escape): it shows your nickname, your avatar, how many escapes you've played and how many you've solved, and some overall statistics — success rate, average time left and hints used, how many rooms, venues and cities, the genre you play most, the year of your first escape. Badges are only visible if you have Pro. People you've blocked, or who have blocked you, can't see your profile.

If you receive an invitation you don't want, you can decline it and block whoever sent it: from that moment they can no longer invite you.

Leaderboards

Only escapes validated by the venue make it onto the leaderboards. At first you appear as "Anonymous player": in your place, but without a name. If you turn on Show my nickname, anyone with the app reads your nickname, sees your avatar or profile photo and your points, and can open your profile; you can turn it off whenever you like, and you're anonymous everywhere again. A room's leaderboard also shows the time, the hints, how many of you there were, the day and the team name; the team leaderboard shows each team's name, avatar and cover.

Reviews and ratings

• Reviews of venues and rooms can only be written where you've played, and anyone with the app can read them, with your nickname and avatar. Those containing a spoiler can only be read by people who have already played the room. People who run a venue can't review their own.
• Post-escape ratings are anonymous and blind: the scores never leave the server, not even towards whoever gave them. Others only receive statistics, and only from three ratings up; pieces of advice reach the person they're about without the name of whoever wrote them. "I felt uncomfortable or unsafe" is not a score: it's a report to the moderators.
• Who was there is confirmed by the organiser. Anyone marked absent is told and can dispute it: the dispute goes to the moderators.

⚠️ Open escapes

An organiser can put an escape on display. Anyone with the app can see it — room, venue and city, day and time, title and description, the organiser's nickname and avatar and, if there is one, the team — and can ask to join, even bringing friends who don't have the app (only their name is kept). To open an escape to strangers, or to ask to join one, you must have confirmed your email and declare that you are an adult, once. Anyone blocked, in either direction, can't see it or ask.

If you run a venue

Venues aren't claimed from the app: whoever runs an escape room comes to an agreement with us directly, and their venue's listing is assigned to their account — the one they signed up with, or one we create for them. The owner adds their staff by choosing them among registered users, and staff members can leave whenever they want. Owner and staff validate escapes by scanning the team's QR code, which shows the room, the team and the declared result, and they can't review their own venue.

Reports and moderation

You can report a profile photo, an evening's photo, a comment, a team chat message, a review, a team's images, an open escape or a catalogue listing. The report goes by email to the moderators, with what was reported (the text, or the link to see the image), the reason, and the nickname and email of the person reported and of the person reporting.

• The moderators can remove the content; for someone who wrote the solution to a puzzle in a review, they can remove the review and suspend reviewing for 1, 7 or 30 days; they can suspend the account: a suspended account can no longer sign in, and its sessions are ended.
• Three things happen on their own, while waiting for the moderators: a catalogue listing reported by three people is hidden; a review reported for giving away a solution becomes readable only by people who have already played the room; and if within 180 days three different people say they felt uncomfortable or unsafe with the same person, that person's account is suspended immediately, until the moderators decide.

⚠️ The venue catalogue belongs to everyone

The venues and rooms you add are not your data: they are the record of a business, and they are the part Cronofuga's users build together. They stay in the catalogue after you delete your account, without your name. Taking them away on your way out would destroy it for the people who stay.

What we don't do, and you can check it

• We don't record where you are. Your location is used only by the phone, for Near me, and only if you tap it (see "Camera, photo library and location"): it never reaches our server.
• We don't send you email you didn't ask for. The service sends you exactly two, and only when you ask: the code to confirm your address and the code to reset your password. No alerts, no newsletters, nothing promotional.
• Notifications say the minimum. Push notifications go through Google's servers, so they never contain the venue's address or your email (see "Notifications", below).
• We don't log your IP address. Our server keeps no record of the requests it receives. The infrastructure hosting the service (Cloudflare) processes technical connection data for network security under its own policy: that happens beneath us and we have no visibility into it.
• No analytics, no crash reporter, no advertising tracking. The app includes no library of that kind: of Firebase we only use notification delivery, not Google Analytics or Crashlytics.
• No advertising and no profiling. We make no automated decisions about you, with one safety exception: the precautionary suspension described in "Reports and moderation", which a person then reviews.
• We don't sell or share your data with anyone.

Why, and on what legal basis

• To let you use the app, sync your logbook across your devices, share it with your team and keep it, and for leaderboards, reviews, open escapes and the Pro you bought: performance of a contract (Art. 6(1)(b) GDPR).
• For the security of the service and to prevent abuse — for instance blocks between users, team bans, reports and suspensions, assigning venues to the people who run them and the adult declaration for open escapes: legitimate interest (Art. 6(1)(f)).
• To keep the shared catalogue of venues and rooms standing even when whoever added them leaves: legitimate interest (Art. 6(1)(f)). What remains concerns the business, not you: your name is removed.
• To meet the legal obligations that apply to us: legal obligation (Art. 6(1)(c)).

Where the data lives, and who handles it

Storage is on Cloudflare infrastructure: the database (D1) and the photos (R2) are both in the European region, EEUR. Traffic between app and server is always encrypted (HTTPS). The maps are served by our own server too (data © OpenStreetMap, Protomaps format): opening them contacts no other service.

That is the complete list: there are no other providers. Transfers to the United States rely on the safeguards in Chapter V GDPR (standard contractual clauses); Resend receives only the emails described above — never the logbook, never the photos — and Google only receives the notifications. Pro purchases go through Apple and Google (see "Cronofuga Pro"). If you paste a venue's short Google Maps link, it's your phone that opens it at Google to read the coordinates. Our own access to the data is limited to whoever runs the service technically, and only for maintenance.

Cronofuga Pro

Pro is bought once, with an in-app purchase through the App Store or Google Play: they handle the payment, under their own privacy policies, and we never see payment data. So that Pro follows your account onto every phone — even when switching from iPhone to Android — the phone sends us the proof of purchase, and we keep its platform, product, transaction identifier, receipt and date. A proof of purchase is valid for one account only.

Notifications

Evening reminders — the night before, two hours before, and the next morning if the result is missing — are local notifications: your phone schedules them from the evenings it has, and our server knows nothing about them. You turn them off from your account, in the app.

Push notifications, on the other hand, are sent by our server when someone does something that concerns you. To deliver them we use Firebase Cloud Messaging, Google's service: it's the only way to reach an Android phone while the app is closed.

• When they arrive: an evening of your team, or one you're taking part in, organised, moved, cancelled, played (with the result) or validated by the venue; a seat becoming free; the invitation to rate an escape; a comment on an evening you or your team are part of, and a message in the team chat; an invitation to a team or to an escape, your roles changing; in open escapes, requests to join (to the organiser), the replies (to whoever asked) and who brought you along; a new badge; if you're an admin, who joins the team, and if you're an admin or elite, evenings awaiting approval.
• Some can't be turned off in the app, because they concern you directly: if the organiser marks you absent, if one of your reviews is removed, if you're added to a venue's staff, if someone adds a room to a listing you created.
• What they say: the evening's title (usually the room's name) or the team's name, the name of whoever did the thing, day and time, the result and, for comments and chat, their text (at most 180 characters). That text goes through Google's servers to reach you. The venue's address is never included, and neither is your email. ⚠️ A comment may contain a spoiler for the room: if you don't want to read it in the notification shade, turn off previews in your phone's settings, or chat in the app.
• Never to whoever did the thing, never to anyone no longer in the team, and never from someone you blocked.
• Turn them off whenever you like: by type from your account (Team escapes, Chat, Teams, Badges), the comments of a single evening from the bell at the top of the evening, or all of them from your phone's settings. Preferences are stored on the server, because it decides what to send.
• The phone's token is deleted when you sign out, when you request account deletion, when Firebase tells us it's no longer valid and after 60 days without the app checking in.
• On iPhone push notifications aren't there yet (reminders are). When they come they'll also go through Apple's service, and we'll say so here.

Your logbook also stays on your device

Cronofuga works offline, because escape rooms are often in basements: the app writes to the phone first and syncs with the server as soon as there's a connection. A copy of your logbook therefore lives on the device, under the operating system's control. Signing out empties that copy; uninstalling the app takes it with it. If you use the widget (Pro), your next escapes also appear on the Home screen: the app passes the data to the widget, on the phone.

How long

• The account and the logbook: as long as you use Cronofuga. If you request deletion, everything is removed after seven days — the window to change your mind.
• An account never confirmed: if you don't confirm your address within 24 hours of signing up, the account is deleted entirely.
• Sessions: a token expires on its own after 180 days. Requesting account deletion ends them all immediately.
• A planned evening left without a result: 24 hours after the scheduled time it is deleted, with its comments and its photo.
• Escapes played with others stay in the logbook of everyone who was there, without your name: that evening happened to them too.
• Catalogue venues and rooms stay, without your name.
• The team chat: messages don't expire. They go when whoever wrote them deletes them or deletes their account, or when the team is dissolved.
• Ratings: as long as the accounts of whoever gave them and whoever received them exist.
• The Pro proof of purchase: as long as the account exists.
• Reports stay with the moderators as a record; if you delete your account, your name is removed from them.
• Suspensions from reviews stay even after they expire, because they show whether it has happened before; they go with the account. An account suspension lasts until the moderators lift it.
• The six-digit codes: they last fifteen minutes, can be used once, and burn out after five wrong attempts.
• The failed sign-in count: fifteen minutes, then a nightly job sweeps it away.
• The notification token: as long as you use the app on that phone (see "Notifications"). Firebase keeps a notification only until it's delivered (at most four weeks, if the phone stays off).

The details of what goes and what stays are on the Delete your account page.

Your rights

You can request access, rectification, erasure, restriction, objection and portability of your data (Arts. 15–22 GDPR), and withdraw consent where consent is the basis for processing.

• Erasure: done from the app, in three steps, without asking anyone. See how it works.
• A copy of your data: write to info@linchettostudio.com from the account's address. It's free. The app doesn't have a button that does it on its own yet.
• If you can no longer sign in — forgotten password, lost phone — use Forgot your password? on the sign-in screen: a code is sent to the account's address and you choose a new password from there. If even that doesn't work, write to us.

We reply without undue delay and in any case within one month (Art. 12 GDPR). If you believe the processing breaches the GDPR you may contact the Italian data protection authority, the Garante per la protezione dei dati personali (gpdp.it).

Camera, photo library and location

The app asks for camera and photo library access only when you add a photo — an evening's photo, your profile photo or, if you're an admin, a team image — and to save a photo you share into your camera roll. The camera is also used to scan a QR code: the one a friend uses to invite you to their team and, if you work at a venue, the one for the escape to validate. You can refuse: everything else keeps working. We don't read your library — we only see the image you pick.

The app asks for your location only when you tap Near me — among the venues, when choosing a room or among the open escapes — and it asks for an approximate one. It's used to sort venues by distance: the phone does the maths, and your location is neither stored nor sent to our server or anyone else. You can refuse: venues can still be found by name, by city or on the map.

Security

Passwords are stored as a PBKDF2-SHA256 hash with 100,000 iterations and a random per-user salt: the password cannot be recovered from the database. Of access tokens we keep only the hash, never the token. Password comparison is constant-time, and "email doesn't exist" and "wrong password" deliberately give the same message — telling them apart would let a stranger discover which addresses are registered.

Minors

The service is not intended for children under 14 (Art. 8 GDPR and Art. 2-quinquies of the Italian privacy code). If we become aware of an account belonging to someone younger, we delete it. Open escapes with strangers are for adults only: to open one or ask to join, you must declare that you are at least 18.

Changes

If this policy changes substantially we update the date at the top and, when the change genuinely affects you, we flag it in the app. It will certainly happen when push notifications on iPhone arrive.

Kurz gesagt

Cronofuga ist das Tagebuch der Escape Rooms, die du gespielt hast. Damit es auf mehreren Geräten funktioniert, damit du es beim Gerätewechsel nicht verlierst und damit du es mit deinem Team teilen kannst, nutzt die App ein Konto und speichert deine Daten auf einem europäischen Server. Wir verkaufen sie nicht, wir nutzen sie nicht, um ein Profil von dir zu erstellen, es gibt keine Werbung und keinerlei Tracking. Du kannst dein Konto jederzeit löschen, direkt in der App.

Welche Daten wir verarbeiten

Für das Konto: deine E-Mail-Adresse, der Nickname, den du wählst, Vor- und Nachname, die Stadt, die Sprache der App, dein Avatar — einer der gezeichneten oder ein eigenes Profilfoto —, ob du in den Ranglisten mit deinem Nickname erscheinen willst, und das Passwort — nur als verschlüsselter, nicht umkehrbarer Hash gespeichert. Außerdem bleiben das Datum der Registrierung und das der letzten Änderung gespeichert.

Von jeder Anmeldung bleiben der Hash des Tokens, die Art des Systems (ios oder android) sowie die Daten der Erstellung, der letzten Nutzung und des Ablaufs. Den Token im Klartext gibt es nur auf deinem Gerät.

Was du ins Tagebuch schreibst: die Anbieter und Räume, die du dem Katalog hinzufügst (Name, Adresse, Dauer, Schwierigkeit, Website); die organisierten Abende (Titel, Beschreibung, Tag und Uhrzeit, Plätze); die gespielten Spiele (Tag, Raum, Ergebnis, Zeitlimit und benötigte Zeit, erreichter Prozentsatz, genutzte Hinweise, Notizen); wer dabei war — Nutzer mit Konto und einfache Namen von Gästen; die Kommentare; und ein Foto pro Abend.

Die Teams: Name, Einladungscode, wer dazugehört und mit welcher Rolle, die gesendeten und empfangenen direkten Einladungen, Avatar und Titelbild des Teams und — falls ein Admin sie nutzt — die Ausschlüsse aus dem Team und die Blockierungen zwischen Nutzern. Dazu der Team-Chat: die Nachrichten, die vorgeschlagenen Räume mit ihren Terminen und wer „ich kann“ oder „interessiert mich“ angegeben hat.

Bewertungen und Rückmeldungen: die Sterne und Kommentare, die du bei Anbietern und Räumen hinterlässt, in denen du gespielt hast. Und nach einem Spiel mit Leuten von außerhalb des Teams: wer wirklich dabei war (das bestätigt, wer organisiert hat) und die Rückmeldungen zwischen den Teilnehmern — „würde ich wieder mit ihnen spielen?“, ein freiwilliger Hinweis und, falls nötig, ein „ich habe mich unwohl oder in Gefahr gefühlt“.

Für offene Spiele: deine Erklärung, volljährig zu sein, mit Datum.

Für Cronofuga Pro: der Kaufnachweis (siehe „Cronofuga Pro“ weiter unten).

Wenn du einen Anbieter betreibst: welche Anbieter du betreibst und in welcher Rolle (Inhaber oder Personal) sowie die Spiele, die du bestätigst.

Für die Moderation: die Meldungen (wer meldet, was und warum), die getroffenen Entscheidungen, die Sperren für Bewertungen und die Sperren von Konten.

Für die Bestätigung der Adresse und das Zurücksetzen des Passworts: der Hash des sechsstelligen Codes, die Zahl der Versuche und der Ablauf. Der Code im Klartext wird nie gespeichert.

Für die Push-Benachrichtigungen: der Code, den Firebase der App auf deinem Telefon zuweist (der „Token“), das System, wann er registriert wurde und wann sich die App zuletzt gemeldet hat; außerdem deine Einstellungen zu den Benachrichtigungen, allgemein und Abend für Abend.

Um Leute zu stoppen, die Passwörter massenhaft durchprobieren: eine Zählung der fehlgeschlagenen Anmeldeversuche, fünfzehn Minuten lang aufbewahrt und an die eingegebene E-Mail-Adresse und an die IP-Adresse dessen gebunden, der es versucht. Sie dient zu nichts anderem und löscht sich von selbst.

⚠️ Das Foto nach dem Spiel und die Gesichter der anderen

Das ist der Teil, in dem die Daten nicht nur dir gehören, und es lohnt sich, ihn genau zu erklären. Das Foto nach dem Spiel ist fast immer ein Gruppenfoto: Wenn du es hochlädst, gibst du personenbezogene Daten anderer Menschen weiter.

• Lade nur Fotos hoch, mit deren Weitergabe alle Abgebildeten einverstanden sind. Das ist eine Bitte, keine Formalität: Die anderen Personen auf dem Foto haben nichts an deiner Stelle akzeptiert.
• Die Fotos sind nicht öffentlich. Jede Datei lässt sich nur mit einer gültigen Anmeldung herunterladen, und der Server prüft vor der Herausgabe, ob die anfragende Person den Abend erstellt hat, Mitglied dieses Teams ist oder von außen teilgenommen hat (auf Einladung oder über ein offenes Spiel).
• Wenn du dein Konto löschst, verschwinden die Fotos, die du hochgeladen hast — auch die in den Abenden anderer. Es sind deine Dateien, und sie enthalten Gesichter.

⚠️ Das Profilfoto und die Bilder des Teams

• Dein Profilfoto, wenn du eines statt eines gezeichneten Avatars hochlädst, sehen deine Teamkollegen. Wenn du Meinen Nickname zeigen einschaltest (siehe „Die Ranglisten“), sieht es jeder mit der App, außer den Personen, die du blockiert hast: Die App sagt das beim Schalter.
• Avatar und Titelbild eines Teams sieht, wenn es Fotos sind, jeder mit der App: Sie stehen auf der Seite des Teams und in den Ranglisten. Nur Admins können sie ändern, und jeder kann sie melden.

⚠️ Wer dich finden kann, und was er sieht

Damit direkte Einladungen funktionieren, kann jeder mit einem Cronofuga-Konto Personen nach Nickname oder Stadt suchen und diese beiden Angaben sehen. Diese Funktion macht es möglich zu sagen „ich lade ihn ein“, statt über einen Code zu gehen.

⚠️ Deine E-Mail-Adresse erscheint nie in dieser Suche und auch an keiner anderen Stelle der App: Sie wird unter keinen Umständen an andere Nutzer weitergegeben. Vor- und Nachname erscheinen nicht in der Suche: Angezeigt wird der Nickname.

Dein Profil kann öffnen, wer dir in der App begegnet (in einer Suche, einem Team, einer Bewertung, einem offenen Spiel): Es zeigt deinen Nickname, deinen Avatar, wie viele Spiele du gespielt und wie viele du gelöst hast, und Gesamtstatistiken — die Erfolgsquote, die im Schnitt übrige Zeit und die Hinweise, wie viele Räume, Anbieter und Städte, das Genre, das du am meisten spielst, das Jahr deines ersten Spiels. Die Abzeichen sind nur sichtbar, wenn du Pro hast. Wen du blockiert hast oder wer dich blockiert hat, sieht dein Profil nicht.

Wenn du eine Einladung erhältst, die du nicht willst, kannst du sie ablehnen und den Absender blockieren: Ab diesem Moment kann er dich nicht mehr einladen.

Die Ranglisten

In die Ranglisten kommen nur Spiele, die vom Anbieter bestätigt wurden. Anfangs erscheinst du dort als „Anonymer Spieler“: auf deinem Platz, aber ohne Namen. Wenn du Meinen Nickname zeigen einschaltest, liest jeder mit der App deinen Nickname, sieht deinen Avatar oder dein Profilfoto und deine Punkte und kann dein Profil öffnen; du schaltest es aus, wann du willst, und bist überall wieder anonym. Die Rangliste eines Raums zeigt auch die Zeit, die Hinweise, wie viele ihr wart, den Tag und den Namen des Teams; die Rangliste der Teams zeigt Name, Avatar und Titelbild jedes Teams.

Bewertungen und Rückmeldungen

• Bewertungen von Anbietern und Räumen kann man nur dort schreiben, wo man gespielt hat, und jeder mit der App kann sie lesen, mit deinem Nickname und deinem Avatar. Die mit einem Spoiler lesen nur diejenigen, die den Raum schon gespielt haben. Wer einen Anbieter betreibt, bewertet den eigenen nicht.
• Die Rückmeldungen nach einem Spiel sind anonym und blind: Die Stimmen verlassen nie den Server, nicht einmal in Richtung derer, die sie abgegeben haben. Die anderen erhalten nur Statistiken, und erst ab drei Rückmeldungen; die Hinweise erreichen die betroffene Person ohne den Namen dessen, der sie geschrieben hat. „Ich habe mich unwohl oder in Gefahr gefühlt“ ist keine Stimme: Es ist eine Meldung an die Moderation.
• Wer dabei war, bestätigt die Person, die organisiert hat. Wer als abwesend markiert wird, erfährt es und kann widersprechen: Der Widerspruch geht an die Moderation.

⚠️ Die offenen Spiele

Wer organisiert, kann ein Spiel ins Schaufenster stellen. Jeder mit der App sieht es — Raum, Anbieter und Stadt, Tag und Uhrzeit, Titel und Beschreibung, Nickname und Avatar der organisierenden Person und, falls vorhanden, das Team — und kann fragen, ob er mitmachen darf, auch mit Freunden ohne die App (von ihnen bleibt nur der Name). Um ein Spiel für Unbekannte zu öffnen oder um mitzumachen, muss man die E-Mail bestätigt haben und einmalig erklären, volljährig zu sein. Wer blockiert ist, in die eine oder die andere Richtung, sieht es nicht und kann nicht fragen.

Wenn du einen Anbieter betreibst

Anbieter werden nicht in der App beansprucht: Wer einen Escape Room betreibt, trifft direkt mit uns eine Vereinbarung, und der Eintrag seines Anbieters wird seinem Konto anvertraut — dem, mit dem er sich registriert hat, oder einem, das wir für ihn anlegen. Der Inhaber fügt sein Personal hinzu, indem er es unter den registrierten Nutzern auswählt, und wer zum Personal gehört, kann jederzeit austreten. Inhaber und Personal bestätigen die Spiele, indem sie den QR-Code des Teams scannen, der Raum, Team und angegebenes Ergebnis zeigt, und sie können den eigenen Anbieter nicht bewerten.

Meldungen und Moderation

Du kannst ein Profilfoto, das Foto eines Abends, einen Kommentar, eine Nachricht im Team-Chat, eine Bewertung, die Bilder eines Teams, ein offenes Spiel oder einen Katalogeintrag melden. Die Meldung geht per E-Mail an die Moderation, mit dem Gemeldeten (dem Text oder dem Link, um das Bild zu sehen), dem Grund und dem Nickname und der E-Mail der gemeldeten und der meldenden Person.

• Die Moderation kann den Inhalt entfernen; wer in einer Bewertung die Lösung eines Rätsels verraten hat, dem kann sie die Bewertung entfernen und das Bewerten für 1, 7 oder 30 Tage sperren; sie kann das Konto sperren: Ein gesperrtes Konto kommt nicht mehr hinein, und seine Anmeldungen werden beendet.
• Drei Dinge passieren von selbst, bis die Moderation entscheidet: Ein Katalogeintrag, den drei Personen gemeldet haben, wird ausgeblendet; eine Bewertung, die gemeldet wurde, weil sie eine Lösung verrät, können nur noch diejenigen lesen, die den Raum schon gespielt haben; und wenn innerhalb von 180 Tagen drei verschiedene Personen angeben, sich bei derselben Person unwohl oder in Gefahr gefühlt zu haben, wird deren Konto sofort gesperrt, bis die Moderation entscheidet.

⚠️ Der Katalog der Anbieter gehört allen

Die Anbieter und Räume, die du hinzufügst, sind nicht deine Daten: Sie sind der Eintrag eines Gewerbebetriebs, und sie sind der Teil, den die Nutzer von Cronofuga gemeinsam aufbauen. Sie bleiben im Katalog, auch nachdem du dein Konto gelöscht hast, ohne deinen Namen. Sie beim Gehen mitzunehmen, würde den Katalog für alle zerstören, die bleiben.

Was wir nicht tun — und das lässt sich prüfen

• Wir speichern nicht, wo du bist. Den Standort nutzt nur das Telefon, für In der Nähe, und nur wenn du darauf tippst (siehe „Kamera, Fotomediathek und Standort“): Bei unserem Server kommt er nie an.
• Wir schicken dir keine E-Mails, die nicht dir dienen. Der Dienst schickt dir genau zwei, und nur wenn du sie anforderst: den Code zur Bestätigung der Adresse und den Code zum Zurücksetzen des Passworts. Keine Hinweise, keine Neuigkeiten, nichts Werbliches.
• Die Benachrichtigungen sagen das Nötigste. Push-Benachrichtigungen laufen über die Server von Google, deshalb enthalten sie nie die Adresse des Anbieters und auch nicht deine E-Mail (siehe „Die Benachrichtigungen“ weiter unten).
• Wir speichern deine IP-Adresse nicht. Unser Server führt kein Protokoll der Anfragen, die er erhält. Die Infrastruktur, die den Dienst bereitstellt (Cloudflare), verarbeitet technische Verbindungsdaten für die Sicherheit des Netzes nach ihrer eigenen Datenschutzerklärung: Das geschieht unterhalb von uns, und wir haben keinen Einblick darin.
• Keine Analytics, kein Fehlerreporter, kein Werbe-Tracking. Die App enthält keine Bibliothek dieser Art: Von Firebase nutzen wir nur die Zustellung der Benachrichtigungen, weder Google Analytics noch Crashlytics.
• Keine Werbung und kein Profiling. Wir treffen keine automatisierten Entscheidungen über dich, mit einer Ausnahme zur Sicherheit: der vorsorglichen Sperre, die unter „Meldungen und Moderation“ beschrieben ist und die danach ein Mensch prüft.
• Wir verkaufen deine Daten nicht und geben sie an niemanden weiter.

Warum wir sie verarbeiten, und auf welcher Rechtsgrundlage

• Damit du die App nutzen, dein Tagebuch zwischen deinen Geräten synchronisieren, es mit deinem Team teilen und aufbewahren kannst, sowie für die Ranglisten, die Bewertungen, die offenen Spiele und das Pro, das du gekauft hast: Vertragserfüllung (Art. 6 Abs. 1 lit. b DSGVO).
• Für die Sicherheit des Dienstes und die Verhinderung von Missbrauch — zum Beispiel die Blockierungen zwischen Nutzern, die Ausschlüsse aus Teams, die Meldungen und Sperren, die Zuordnung der Anbieter zu denen, die sie betreiben, und die Erklärung der Volljährigkeit für offene Spiele: berechtigtes Interesse (Art. 6 Abs. 1 lit. f).
• Um den gemeinsamen Katalog von Anbietern und Räumen auch dann zu erhalten, wenn diejenigen, die sie eingetragen haben, gehen: berechtigtes Interesse (Art. 6 Abs. 1 lit. f). Was bleibt, betrifft den Gewerbebetrieb, nicht dich: Dein Name wird entfernt.
• Um die gesetzlichen Pflichten zu erfüllen, die uns betreffen: rechtliche Verpflichtung (Art. 6 Abs. 1 lit. c).

Wo die Daten liegen, und wem wir sie anvertrauen

Die Speicherung erfolgt auf Infrastruktur von Cloudflare: Die Datenbank (D1) und die Fotos (R2) liegen beide in der europäischen Region EEUR. Der Verkehr zwischen App und Server ist immer verschlüsselt (HTTPS). Auch die Karten liefert unser eigener Server (Daten © OpenStreetMap, Format Protomaps): Wenn du sie öffnest, wird kein anderer Dienst kontaktiert.

Das ist die vollständige Liste: Es gibt keine weiteren Anbieter. Die Übermittlung in die Vereinigten Staaten erfolgt auf Grundlage der in Kapitel V DSGVO vorgesehenen Garantien (Standardvertragsklauseln); an Resend gehen nur die oben beschriebenen E-Mails — nie das Tagebuch, nie die Fotos —, und an Google gehen nur die Benachrichtigungen. Die Käufe von Pro laufen über Apple und Google (siehe „Cronofuga Pro“). Wenn du den kurzen Google-Maps-Link eines Anbieters einfügst, öffnet dein Telefon ihn bei Google, um die Koordinaten zu lesen. Unser eigener Zugriff auf die Daten ist auf diejenigen beschränkt, die den Dienst technisch betreuen, und nur zur Wartung.

Cronofuga Pro

Pro kauft man einmalig, per In-App-Kauf über den App Store oder Google Play: Die Zahlung wickeln diese nach ihren eigenen Datenschutzerklärungen ab, und wir sehen nie Zahlungsdaten. Damit Pro deinem Konto auf jedes Telefon folgt — auch beim Wechsel vom iPhone zu Android —, schickt uns das Telefon den Kaufnachweis, und wir bewahren davon die Plattform, das Produkt, die Kennung der Transaktion, den Beleg und das Datum auf. Ein Kaufnachweis gilt nur für ein Konto.

Die Benachrichtigungen

Die Erinnerungen an den Abend — am Abend vorher, zwei Stunden vorher und am Morgen danach, falls das Ergebnis fehlt — sind lokale Benachrichtigungen: Dein Telefon plant sie anhand der Abende, die es kennt, und unser Server weiß nichts davon. Du schaltest sie im Konto aus, in der App.

Die Push-Benachrichtigungen dagegen verschickt unser Server, wenn jemand etwas tut, das dich betrifft. Für die Zustellung nutzen wir Firebase Cloud Messaging, den Dienst von Google: Es ist der einzige Weg, ein Android-Telefon bei geschlossener App zu erreichen.

• Wann sie kommen: ein Abend deines Teams oder einer, an dem du teilnimmst, wurde organisiert, verschoben, abgesagt, gespielt (mit dem Ergebnis) oder vom Anbieter bestätigt; ein Platz wird frei; die Einladung, ein Spiel zu bewerten; ein Kommentar zu einem Abend, an dem du oder dein Team beteiligt seid, und eine Nachricht im Team-Chat; eine Einladung in ein Team oder zu einem Spiel, deine Rollen ändern sich; bei offenen Spielen die Anfragen zum Mitmachen (an die organisierende Person), die Antworten (an die, die gefragt haben) und wer dich mitgebracht hat; ein neues Abzeichen; wenn du Admin bist, wer dem Team beitritt, und wenn du Admin oder Elite bist, die Abende, die freigegeben werden müssen.
• Manche lassen sich in der App nicht ausschalten, weil sie dich direkt betreffen: wenn dich die organisierende Person als abwesend markiert, wenn eine deiner Bewertungen entfernt wird, wenn du zum Personal eines Anbieters hinzugefügt wirst, wenn jemand einem Eintrag, den du erstellt hast, einen Raum hinzufügt.
• Was drinsteht: der Titel des Abends (meist der Name des Raums) oder der Name des Teams, der Name dessen, der die Aktion ausgeführt hat, Tag und Uhrzeit, das Ergebnis und bei Kommentaren und Chat deren Text (höchstens 180 Zeichen). Dieser Text läuft über die Server von Google, um dich zu erreichen. Die Adresse des Anbieters ist nie dabei, und auch nicht deine E-Mail. ⚠️ Ein Kommentar kann einen Spoiler zum Raum enthalten: Wenn du ihn nicht in der Mitteilungszentrale lesen willst, schalte die Vorschau in den Einstellungen des Telefons aus oder den Chat in der App.
• Nie an den, der die Aktion ausgeführt hat, nie an jemanden, der nicht mehr im Team ist, und nie von einer Person, die du blockiert hast.
• Du schaltest sie aus, wann du willst: nach Art im Konto (Team-Spiele, Chat, Teams, Abzeichen), die Kommentare eines einzelnen Abends über die Glocke oben im Abend, oder alle in den Einstellungen des Telefons. Die Einstellungen liegen auf dem Server, weil er entscheidet, was verschickt wird.
• Der Token des Telefons wird gelöscht, wenn du dich abmeldest, wenn du die Löschung beantragst, wenn Firebase uns mitteilt, dass er nicht mehr gültig ist, und nach 60 Tagen, in denen sich die App nicht meldet.
• Auf dem iPhone gibt es die Push-Benachrichtigungen noch nicht (die Erinnerungen schon). Wenn sie kommen, laufen sie auch über den Dienst von Apple, und wir schreiben es hier.

Das Tagebuch bleibt auch auf deinem Gerät

Cronofuga funktioniert offline, weil Escape Rooms oft im Keller liegen: Die App schreibt zuerst auf das Telefon und gleicht sich mit dem Server ab, sobald es Netz gibt. Eine Kopie deines Tagebuchs lebt also auf dem Gerät, unter der Kontrolle des Betriebssystems. Wenn du dich abmeldest, wird diese Kopie geleert; wenn du die App deinstallierst, verschwindet sie mit ihr. Wenn du das Widget (Pro) nutzt, erscheinen deine nächsten Spiele auch auf dem Home-Bildschirm: Die Daten gibt die App auf dem Telefon an das Widget weiter.

Wie lange

• Das Konto und das Tagebuch: solange du Cronofuga nutzt. Wenn du die Löschung beantragst, wird alles nach sieben Tagen entfernt — die Frist, um es dir anders zu überlegen.
• Ein nie bestätigtes Konto: Wenn du die Adresse nicht innerhalb von 24 Stunden nach der Registrierung bestätigst, wird das Konto vollständig gelöscht.
• Die Anmeldungen: Ein Token läuft nach 180 Tagen von selbst ab. Wenn du die Löschung des Kontos beantragst, enden sie alle sofort.
• Ein geplanter Abend, der ohne Ergebnis geblieben ist: 24 Stunden nach der vorgesehenen Uhrzeit wird er gelöscht, mit seinen Kommentaren und seinem Foto.
• Die mit anderen gespielten Spiele bleiben im Tagebuch derer, die dabei waren, ohne deinen Namen: Dieser Abend ist auch ihnen passiert.
• Die Anbieter und Räume des Katalogs bleiben, ohne deinen Namen.
• Der Team-Chat: Die Nachrichten laufen nicht ab. Sie verschwinden, wenn die Person, die sie geschrieben hat, sie oder ihr Konto löscht, oder wenn sich das Team auflöst.
• Die Rückmeldungen: solange die Konten derer bestehen, die sie abgegeben und erhalten haben.
• Der Kaufnachweis von Pro: solange das Konto besteht.
• Die Meldungen bleiben bei der Moderation als Verlauf; wenn du dein Konto löschst, wird dein Name daraus entfernt.
• Die Sperren für Bewertungen bleiben auch nach ihrem Ablauf, weil sie zeigen, ob es schon einmal passiert ist; sie verschwinden mit dem Konto. Eine Kontosperre gilt, bis die Moderation sie aufhebt.
• Die sechsstelligen Codes: Sie gelten fünfzehn Minuten, lassen sich nur einmal verwenden und verfallen nach fünf Fehlversuchen.
• Die Zählung der Anmeldeversuche: fünfzehn Minuten, dann räumt sie ein nächtlicher Prozess weg.
• Der Token für die Benachrichtigungen: solange du die App auf diesem Telefon nutzt (siehe „Die Benachrichtigungen“). Firebase bewahrt eine Benachrichtigung nur auf, bis sie zugestellt ist (höchstens vier Wochen, wenn das Telefon ausgeschaltet bleibt).

Was verschwindet und was bleibt, steht im Detail auf der Seite Konto löschen.

Deine Rechte

Du kannst Auskunft, Berichtigung, Löschung, Einschränkung, Widerspruch und Datenübertragbarkeit deiner Daten verlangen (Art. 15–22 DSGVO) und eine Einwilligung widerrufen, wenn sie die Grundlage der Verarbeitung ist.

• Löschung: geht in der App, in drei Schritten und ohne jemanden zu fragen. Siehe so geht’s.
• Kopie deiner Daten: Schreib an info@linchettostudio.com von der Adresse des Kontos aus. Sie ist kostenlos. In der App gibt es noch keine Schaltfläche, die das selbst erledigt.
• Wenn du nicht mehr hineinkommst — Passwort vergessen, Telefon verloren —, nutze Passwort vergessen? auf dem Anmeldebildschirm: Ein Code kommt an die Adresse des Kontos, und von dort wählst du ein neues. Wenn auch das nicht funktioniert, schreib uns.

Wir antworten ohne unangemessene Verzögerung und in jedem Fall innerhalb eines Monats (Art. 12 DSGVO). Wenn du der Ansicht bist, dass die Verarbeitung gegen die DSGVO verstößt, kannst du dich an den Garante per la protezione dei dati personali (gpdp.it) wenden, die italienische Datenschutzbehörde.

Kamera, Fotomediathek und Standort

Die App fragt nach Zugriff auf die Kamera und die Fotomediathek nur, wenn du ein Foto hinzufügst — das eines Abends, dein Profilfoto oder, wenn du Admin bist, ein Bild des Teams —, und um ein Foto, das du teilst, in deinen Aufnahmen zu speichern. Die Kamera dient auch zum Scannen eines QR-Codes: des Codes, mit dem dich ein Freund in sein Team einlädt, und, wenn du bei einem Anbieter arbeitest, des Codes des zu bestätigenden Spiels. Du kannst die Berechtigung verweigern: Alles andere funktioniert weiter. Wir lesen deine Mediathek nicht: Wir sehen nur das Bild, das du auswählst.

Nach dem Standort fragt die App nur, wenn du auf In der Nähe tippst — bei den Anbietern, bei der Wahl des Raums oder bei den offenen Spielen —, und sie fragt nach einem ungefähren. Er dient dazu, die Anbieter nach Entfernung zu sortieren: Die Rechnung macht das Telefon, und der Standort wird weder gespeichert noch an unseren Server oder an andere geschickt. Du kannst die Berechtigung verweigern: Die Anbieter findest du trotzdem nach Name, nach Stadt oder auf der Karte.

Sicherheit

Die Passwörter werden als PBKDF2-SHA256-Hash mit 100.000 Iterationen und einem zufälligen Salt pro Nutzer gespeichert: Aus der Datenbank lässt sich das Passwort nicht zurückgewinnen. Von den Zugangstokens speichern wir nur den Hash, nie den Token. Der Vergleich der Passwörter erfolgt in konstanter Zeit, und „E-Mail existiert nicht“ und „falsches Passwort“ ergeben absichtlich dieselbe Meldung — sie zu unterscheiden, würde einem Fremden verraten, welche Adressen registriert sind.

Minderjährige

Der Dienst richtet sich nicht an Kinder unter 14 Jahren (Art. 8 DSGVO und Art. 2-quinquies des italienischen Datenschutzgesetzes). Wenn wir das Konto einer Person unter diesem Alter bemerken, löschen wir es. Die offenen Spiele mit Unbekannten sind Volljährigen vorbehalten: Um eines zu öffnen oder um mitzumachen, muss man erklären, mindestens 18 Jahre alt zu sein.

Änderungen

Wenn sich diese Datenschutzerklärung wesentlich ändert, aktualisieren wir das Datum oben und weisen, wenn die Änderung dich wirklich betrifft, in der App darauf hin. Das wird ganz sicher passieren, wenn die Push-Benachrichtigungen auf das iPhone kommen.

Diese Übersetzung dient der Verständlichkeit; bei Abweichungen gilt die italienische Fassung.

En bref

Cronofuga est le journal des escape games que tu as faits. Pour qu’il fonctionne sur plusieurs appareils, pour que tu ne le perdes pas quand tu en changes et pour pouvoir le partager avec ton équipe, l’app utilise un compte et conserve tes données sur un serveur européen. Nous ne les vendons pas, nous ne les utilisons pas pour te profiler, il n’y a pas de publicité ni aucun outil de traçage. Tu peux supprimer ton compte quand tu veux, depuis l’app elle-même.

Quelles données nous traitons

Pour le compte : ton adresse e-mail, le pseudo que tu choisis, tes nom et prénom, ta ville, la langue de l’app, ton avatar — l’un de ceux qui sont dessinés ou une photo de profil à toi —, si tu veux apparaître avec ton pseudo dans les classements, et ton mot de passe — conservé uniquement sous forme d’empreinte chiffrée et non réversible. Les dates d’inscription et de dernière modification sont aussi conservées.

De chaque connexion, nous gardons l’empreinte chiffrée du jeton, le type de système (ios ou android) et les dates de création, de dernière utilisation et d’expiration. Le jeton en clair n’existe que sur ton appareil.

Ce que tu écris dans le journal : les enseignes et les salles que tu ajoutes au catalogue (nom, adresse, durée, difficulté, site) ; les soirées organisées (titre, description, jour et heure, places) ; les parties jouées (jour, salle, résultat, temps limite et temps réalisé, pourcentage atteint, indices demandés, notes) ; qui a participé — des utilisateurs avec un compte et de simples noms d’invités ; les commentaires ; et une photo par soirée.

Les équipes : nom, code d’invitation, qui en fait partie et avec quel rôle, les invitations directes envoyées et reçues, l’avatar et la couverture de l’équipe et — si un admin les utilise — les exclusions de l’équipe et les blocages entre utilisateurs. Et la discussion de l’équipe : les messages, les salles proposées avec leurs dates, et qui a indiqué « je peux » ou « ça m’intéresse ».

Avis et évaluations : les notes et les commentaires que tu laisses aux enseignes et aux salles où tu as joué. Et, après une partie avec des personnes extérieures à l’équipe, qui était vraiment là (c’est l’organisateur qui le confirme) et les évaluations entre participants : « je rejouerais avec eux ? », un conseil facultatif et, si besoin, un « je me suis senti mal à l’aise ou en danger ».

Pour les parties ouvertes : ta déclaration d’être majeur, avec la date.

Pour Cronofuga Pro : la preuve d’achat (voir « Cronofuga Pro », ci-dessous).

Si tu gères une enseigne : quelles enseignes tu gères et avec quel rôle (propriétaire ou personnel), et les parties que tu valides.

Pour la modération : les signalements (qui signale, quoi et pourquoi), les décisions prises, les suspensions des avis et les suspensions de compte.

Pour la confirmation de l’adresse et la récupération du mot de passe : l’empreinte chiffrée du code à six chiffres, le nombre de tentatives et l’échéance. Le code en clair n’est jamais enregistré.

Pour les notifications push : le code que Firebase attribue à l’app sur ton téléphone (le « jeton »), le système, la date de son enregistrement et la dernière fois que l’app s’est manifestée ; ainsi que tes préférences de notifications, en général et soirée par soirée.

Pour arrêter ceux qui essaient des mots de passe en rafale : un décompte des tentatives de connexion échouées, conservé quinze minutes et lié à l’adresse e-mail saisie et à l’adresse IP de qui essaie. Il ne sert à rien d’autre et s’efface tout seul.

⚠️ La photo de fin de partie, et les visages des autres

C’est la partie où les données ne sont pas seulement les tiennes, et elle mérite d’être bien expliquée. La photo de fin de partie est presque toujours une photo de groupe : en la téléversant, tu fournis des données personnelles d’autres personnes.

• Ne téléverse que des photos que les personnes présentes acceptent de partager. C’est une demande, pas une formalité : les autres personnes sur la photo n’ont rien accepté à ta place.
• Les photos ne sont pas publiques. Chaque fichier ne se télécharge qu’avec une connexion valide, et le serveur vérifie, avant de le livrer, que la personne qui le demande est celle qui a créé la soirée, un membre de cette équipe ou quelqu’un qui y a participé de l’extérieur (sur invitation ou par une partie ouverte).
• En supprimant ton compte, les photos que tu as téléversées disparaissent — y compris celles qui se trouvent dans les soirées des autres. Ce sont tes fichiers, et ils contiennent des visages.

⚠️ La photo de profil et les images de l’équipe

• Ta photo de profil, si tu en téléverses une au lieu d’un avatar dessiné, est visible par tes coéquipiers. Si tu actives Afficher mon pseudo (voir « Les classements »), toute personne ayant l’app la voit, sauf celles que tu as bloquées : l’app le précise sur l’interrupteur.
• L’avatar et la couverture d’une équipe, quand ce sont des photos, sont visibles par toute personne ayant l’app : ils figurent sur la page de l’équipe et dans les classements. Seuls les admins peuvent les changer, et tout le monde peut les signaler.

⚠️ Qui peut te trouver, et ce qu’il voit

Pour que les invitations directes fonctionnent, toute personne ayant un compte Cronofuga peut chercher des gens par pseudo ou ville et voir ces deux informations. C’est la fonction qui permet de dire « je l’invite », au lieu de passer par un code.

⚠️ Ton adresse e-mail n’apparaît jamais dans cette recherche, ni nulle part ailleurs dans l’app : elle n’est communiquée à d’autres utilisateurs en aucune circonstance. Tes nom et prénom n’apparaissent pas dans la recherche : on y voit le pseudo.

Ton profil peut être ouvert par qui te croise dans l’app (dans une recherche, une équipe, un avis, une partie ouverte) : il montre ton pseudo, ton avatar, combien de parties tu as jouées et combien tu en as réussies, et des statistiques d’ensemble — le taux de réussite, le temps restant et les indices en moyenne, combien de salles, d’enseignes et de villes, le genre auquel tu joues le plus, l’année de ta première partie. Les badges ne sont visibles que si tu as le Pro. Les personnes que tu as bloquées, ou qui t’ont bloqué, ne voient pas ton profil.

Si tu reçois une invitation dont tu ne veux pas, tu peux la refuser et bloquer la personne qui te l’a envoyée : à partir de ce moment, elle ne pourra plus t’inviter.

Les classements

Seules les parties validées par l’enseigne entrent dans les classements. Au départ, tu y apparais comme « Joueur anonyme » : à ta place, mais sans nom. Si tu actives Afficher mon pseudo, toute personne ayant l’app lit ton pseudo, voit ton avatar ou ta photo de profil et tes points, et peut ouvrir ton profil ; tu le désactives quand tu veux, et tu redeviens anonyme partout. Le classement d’une salle montre aussi le temps, les indices, combien vous étiez, le jour et le nom de l’équipe ; celui des équipes, le nom, l’avatar et la couverture de chacune.

Avis et évaluations

• Les avis sur les enseignes et les salles ne peuvent être écrits que là où tu as joué, et toute personne ayant l’app peut les lire, avec ton pseudo et ton avatar. Ceux qui contiennent un spoiler ne sont lisibles que par ceux qui ont déjà fait la salle. Qui gère une enseigne ne donne pas d’avis sur la sienne.
• Les évaluations après une partie sont anonymes et à l’aveugle : les votes ne sortent jamais du serveur, pas même vers ceux qui les ont donnés. Les autres ne reçoivent que des statistiques, et seulement à partir de trois évaluations ; les conseils arrivent à la personne concernée sans le nom de celui qui les a écrits. « Je me suis senti mal à l’aise ou en danger » n’est pas un vote : c’est un signalement à la modération.
• Qui était là, c’est l’organisateur qui le confirme. Une personne marquée absente en est informée et peut contester : la contestation arrive à la modération.

⚠️ Les parties ouvertes

L’organisateur peut mettre une partie en vitrine. Toute personne ayant l’app la voit — salle, enseigne et ville, jour et heure, titre et description, le pseudo et l’avatar de l’organisateur et, s’il y en a une, l’équipe — et peut demander à se joindre, même avec des amis qui n’ont pas l’app (on ne garde que leur nom). Pour ouvrir une partie aux inconnus, ou demander à y entrer, il faut avoir confirmé son e-mail et déclarer être majeur, une seule fois. Une personne bloquée, dans un sens ou dans l’autre, ne la voit pas et ne peut pas demander.

Si tu gères une enseigne

Les enseignes ne se revendiquent pas depuis l’app : qui gère un escape game se met d’accord directement avec nous, et la fiche de son enseigne est confiée à son compte — celui avec lequel il s’est inscrit, ou un compte que nous créons pour lui. Le propriétaire ajoute son personnel en le choisissant parmi les inscrits, et qui fait partie du personnel peut en sortir quand il veut. Propriétaire et personnel valident les parties en scannant le QR code de l’équipe, qui montre la salle, l’équipe et le résultat déclaré, et ne peuvent pas donner d’avis sur leur propre enseigne.

Signalements et modération

Tu peux signaler une photo de profil, la photo d’une soirée, un commentaire, un message de la discussion d’équipe, un avis, les images d’une équipe, une partie ouverte ou une fiche du catalogue. Le signalement arrive par e-mail à la modération, avec ce qui a été signalé (le texte, ou le lien pour voir l’image), le motif, ainsi que le pseudo et l’e-mail de la personne signalée et de celle qui signale.

• La modération peut retirer le contenu ; à qui a écrit dans un avis la solution d’une énigme, elle peut retirer l’avis et suspendre les avis pendant 1, 7 ou 30 jours ; elle peut suspendre le compte : un compte suspendu ne peut plus se connecter, et ses connexions sont fermées.
• Trois choses se produisent toutes seules, en attendant la modération : une fiche du catalogue signalée par trois personnes est masquée ; un avis signalé parce qu’il dévoile une solution ne devient lisible que par ceux qui ont déjà fait la salle ; et si, en 180 jours, trois personnes différentes disent s’être senties mal à l’aise ou en danger avec la même personne, son compte est suspendu immédiatement, jusqu’à la décision de la modération.

⚠️ Le catalogue des enseignes appartient à tout le monde

Les enseignes et les salles que tu ajoutes ne sont pas tes données : ce sont la fiche d’une activité commerciale, et c’est la partie que les utilisateurs de Cronofuga construisent ensemble. Elles restent dans le catalogue même après la suppression de ton compte, sans ton nom. Les emporter en partant détruirait le catalogue pour ceux qui restent.

Ce que nous ne faisons pas, et c’est vérifiable

• Nous n’enregistrons pas où tu es. Ta position n’est utilisée que par le téléphone, pour Près de moi, et seulement si tu le touches (voir « Appareil photo, galerie et position ») : elle n’arrive jamais à notre serveur.
• Nous ne t’envoyons pas d’e-mails qui ne te servent pas. Le service t’en envoie exactement deux, et seulement quand tu les demandes : le code pour confirmer ton adresse et le code pour refaire ton mot de passe. Aucune alerte, aucune nouveauté, rien de promotionnel.
• Les notifications disent le minimum. Les notifications push passent par les serveurs de Google, elles ne contiennent donc jamais l’adresse de l’enseigne ni ton e-mail (voir « Les notifications », ci-dessous).
• Nous n’enregistrons pas ton adresse IP. Notre serveur ne tient aucun journal des requêtes qu’il reçoit. L’infrastructure qui héberge le service (Cloudflare) traite les données techniques de connexion pour la sécurité du réseau, selon sa propre politique : cela se passe en dessous de nous et nous n’y avons aucune visibilité.
• Aucun outil d’analyse, aucun rapporteur d’erreurs, aucun traçage publicitaire. L’app n’inclut aucune bibliothèque de ce type : de Firebase, nous n’utilisons que la livraison des notifications, ni Google Analytics ni Crashlytics.
• Aucune publicité et aucun profilage. Nous ne prenons aucune décision automatisée te concernant, avec une exception de sécurité : la suspension préventive décrite dans « Signalements et modération », qu’une personne réexamine ensuite.
• Nous ne vendons ni ne cédons tes données à personne.

Pourquoi nous les traitons, et sur quelle base légale

• Pour te permettre d’utiliser l’app, de synchroniser le journal entre tes appareils, de le partager avec ton équipe et de le conserver, et pour les classements, les avis, les parties ouvertes et le Pro que tu as acheté : exécution du contrat (art. 6, par. 1, point b) du RGPD).
• Pour la sécurité du service et la prévention des abus — par exemple les blocages entre utilisateurs, les exclusions des équipes, les signalements et les suspensions, l’attribution des enseignes à ceux qui les gèrent et la déclaration de majorité pour les parties ouvertes : intérêt légitime (art. 6, par. 1, point f)).
• Pour maintenir le catalogue partagé des enseignes et des salles même quand ceux qui les ont ajoutées s’en vont : intérêt légitime (art. 6, par. 1, point f)). La donnée qui reste concerne l’activité commerciale, pas toi : ton nom est retiré.
• Pour remplir les obligations légales qui nous concernent : obligation légale (art. 6, par. 1, point c)).

Où sont les données, et à qui nous les confions

Le stockage se fait sur l’infrastructure de Cloudflare : la base de données (D1) et les photos (R2) se trouvent toutes deux dans la région européenne EEUR. Le trafic entre l’app et le serveur est toujours chiffré (HTTPS). Les cartes aussi sont servies par notre propre serveur (données © OpenStreetMap, format Protomaps) : les ouvrir ne contacte aucun autre service.

C’est la liste complète : il n’y a pas d’autres prestataires. Vers les États-Unis, le transfert repose sur les garanties prévues au chapitre V du RGPD (clauses contractuelles types) ; Resend ne reçoit que les e-mails décrits ci-dessus — jamais le journal, jamais les photos — et Google ne reçoit que les notifications. Les achats du Pro passent par Apple et Google (voir « Cronofuga Pro »). Si tu colles le lien court Google Maps d’une enseigne, c’est ton téléphone qui l’ouvre chez Google pour en lire les coordonnées. Notre propre accès aux données est limité à ceux qui gèrent techniquement le service, et uniquement pour la maintenance.

Cronofuga Pro

Le Pro s’achète une seule fois, par un achat intégré via l’App Store ou Google Play : ce sont eux qui gèrent le paiement, selon leurs propres politiques, et nous ne voyons jamais les données de paiement. Pour que le Pro suive ton compte sur chaque téléphone — même en passant d’un iPhone à Android —, le téléphone nous envoie la preuve d’achat, et nous en conservons la plateforme, le produit, l’identifiant de la transaction, le reçu et la date. Une preuve d’achat ne vaut que pour un seul compte.

Les notifications

Les rappels de la soirée — la veille au soir, deux heures avant, et le lendemain matin si le résultat manque — sont des notifications locales : ton téléphone les programme à partir des soirées qu’il connaît, et notre serveur n’en sait rien. Tu les désactives depuis le compte, dans l’app.

Les notifications push, en revanche, c’est notre serveur qui les envoie, quand quelqu’un fait quelque chose qui te concerne. Pour les livrer, nous utilisons Firebase Cloud Messaging, le service de Google : c’est le seul moyen d’atteindre un téléphone Android quand l’app est fermée.

• Quand elles arrivent : une soirée de ton équipe, ou à laquelle tu participes, organisée, déplacée, annulée, jouée (avec le résultat) ou validée par l’enseigne ; une place qui se libère ; l’invitation à évaluer une partie ; un commentaire sur une soirée où tu es, toi ou ton équipe, et un message dans la discussion de l’équipe ; une invitation dans une équipe ou à une partie, tes rôles qui changent ; dans les parties ouvertes, les demandes pour se joindre (à l’organisateur), les réponses (à qui a demandé) et qui t’a emmené avec lui ; un nouveau badge ; si tu es admin, qui rejoint l’équipe, et si tu es admin ou élite, les soirées à approuver.
• Certaines ne se désactivent pas depuis l’app, parce qu’elles te concernent directement : si l’organisateur te marque absent, si l’un de tes avis est retiré, si tu es ajouté au personnel d’une enseigne, si quelqu’un ajoute une salle à une fiche que tu as créée.
• Ce qu’elles disent : le titre de la soirée (en général le nom de la salle) ou le nom de l’équipe, le nom de la personne qui a fait l’action, le jour et l’heure, le résultat et, pour les commentaires et la discussion, leur texte (180 caractères au maximum). Ce texte passe par les serveurs de Google pour t’arriver. L’adresse de l’enseigne n’y figure jamais, ni ton e-mail. ⚠️ Un commentaire peut contenir un spoiler de la salle : si tu ne veux pas le lire dans le volet des notifications, désactive l’aperçu dans les réglages du téléphone, ou la discussion dans l’app.
• Jamais à la personne qui a fait l’action, jamais à quelqu’un qui n’est plus dans l’équipe, et jamais de la part d’une personne que tu as bloquée.
• Tu les désactives quand tu veux : par type depuis le compte (Parties de l’équipe, Discussion, Équipes, Badges), les commentaires d’une seule soirée avec la cloche en haut de la soirée, ou toutes depuis les réglages du téléphone. Les préférences sont sur le serveur, parce que c’est lui qui décide quoi envoyer.
• Le jeton du téléphone est effacé quand tu te déconnectes, quand tu demandes la suppression, quand Firebase nous dit qu’il n’est plus valide et après 60 jours sans que l’app se manifeste.
• Sur iPhone, les notifications push n’existent pas encore (les rappels, oui). Quand elles arriveront, elles passeront aussi par le service d’Apple, et nous l’écrirons ici.

Le journal reste aussi sur ton appareil

Cronofuga fonctionne hors ligne, parce que les escape games se trouvent souvent dans des sous-sols : l’app écrit d’abord sur le téléphone et se synchronise avec le serveur dès qu’il y a du réseau. Une copie de ton journal vit donc sur l’appareil, sous le contrôle du système d’exploitation. En te déconnectant, cette copie se vide ; en désinstallant l’app, elle s’en va avec elle. Si tu utilises le widget (Pro), tes prochaines parties apparaissent aussi sur l’écran d’accueil : c’est l’app qui transmet les données au widget, sur le téléphone.

Pendant combien de temps

• Le compte et le journal : tant que tu utilises Cronofuga. Si tu demandes la suppression, tout est effacé après sept jours — le délai pour changer d’avis.
• Un compte jamais confirmé : si tu ne confirmes pas ton adresse dans les 24 heures qui suivent l’inscription, le compte est entièrement supprimé.
• Les connexions : un jeton expire tout seul après 180 jours. Si tu demandes la suppression du compte, elles tombent toutes immédiatement.
• Une soirée prévue restée sans résultat : 24 heures après l’heure prévue, elle est supprimée, avec ses commentaires et sa photo.
• Les parties jouées avec d’autres restent dans le journal de ceux qui étaient là, sans ton nom : cette soirée leur est arrivée à eux aussi.
• Les enseignes et les salles du catalogue restent, sans ton nom.
• La discussion de l’équipe : les messages n’expirent pas. Ils disparaissent quand la personne qui les a écrits les supprime ou supprime son compte, ou quand l’équipe est dissoute.
• Les évaluations : tant qu’existent les comptes de ceux qui les ont données et de ceux qui les ont reçues.
• La preuve d’achat du Pro : tant que le compte existe.
• Les signalements restent à la modération comme historique ; si tu supprimes ton compte, ton nom en est retiré.
• Les suspensions des avis restent même après leur échéance, parce qu’elles indiquent si c’est déjà arrivé ; elles s’en vont avec le compte. Une suspension de compte dure jusqu’à ce que la modération la lève.
• Les codes à six chiffres : ils valent quinze minutes, ne s’utilisent qu’une fois et sont grillés après cinq erreurs.
• Le décompte des tentatives de connexion : quinze minutes, puis un processus nocturne l’efface.
• Le jeton des notifications : tant que tu utilises l’app sur ce téléphone (voir « Les notifications »). Firebase ne garde une notification que jusqu’à ce qu’elle soit livrée (quatre semaines au maximum, si le téléphone reste éteint).

Le détail de ce qui disparaît et de ce qui reste se trouve sur la page Supprimer le compte.

Tes droits

Tu peux demander l’accès, la rectification, l’effacement, la limitation, l’opposition et la portabilité de tes données (art. 15 à 22 du RGPD), et retirer un consentement quand c’est lui la base du traitement.

• Effacement : il se fait depuis l’app, en trois étapes et sans rien demander à personne. Voir comment faire.
• Copie de tes données : écris à info@linchettostudio.com depuis l’adresse du compte. Elle est gratuite. Dans l’app, il n’y a pas encore de bouton qui le fasse tout seul.
• Si tu n’arrives plus à te connecter — mot de passe oublié, téléphone perdu —, utilise Mot de passe oublié ? sur l’écran de connexion : un code arrive à l’adresse du compte et, à partir de là, tu en choisis un nouveau. Si même cela ne fonctionne pas, écris-nous.

Nous répondons dans les meilleurs délais et en tout cas dans un délai d’un mois (art. 12 du RGPD). Si tu estimes que le traitement viole le RGPD, tu peux t’adresser au Garante per la protezione dei dati personali (gpdp.it), l’autorité italienne de protection des données.

Appareil photo, galerie et position

L’app demande l’accès à l’appareil photo et à la galerie uniquement quand tu ajoutes une photo — celle d’une soirée, ta photo de profil ou, si tu es admin, une image de l’équipe —, et pour enregistrer dans ta pellicule une photo que tu partages. L’appareil photo sert aussi à scanner un QR code : celui avec lequel un ami t’invite dans son équipe et, si tu travailles dans une enseigne, celui de la partie à valider. Tu peux refuser l’autorisation : tout le reste continue de fonctionner. Nous ne lisons pas ta galerie : nous ne voyons que l’image que tu choisis.

L’app ne demande ta position que quand tu touches Près de moi — parmi les enseignes, dans le choix de la salle ou parmi les parties ouvertes —, et elle demande une position approximative. Elle sert à trier les enseignes par distance : c’est le téléphone qui fait le calcul, et ta position n’est ni enregistrée ni envoyée à notre serveur ou à d’autres. Tu peux refuser l’autorisation : on trouve quand même les enseignes par nom, par ville ou sur la carte.

Sécurité

Les mots de passe sont conservés sous forme d’empreinte PBKDF2-SHA256 avec 100 000 itérations et un sel aléatoire par utilisateur : à partir de la base de données, on ne remonte pas au mot de passe. Des jetons d’accès, nous ne conservons que l’empreinte, jamais le jeton. La comparaison des mots de passe se fait en temps constant, et « e-mail inexistant » et « mot de passe erroné » donnent volontairement le même message — les distinguer dirait à un inconnu quelles adresses sont inscrites.

Mineurs

Le service ne s’adresse pas aux mineurs de moins de 14 ans (art. 8 du RGPD et art. 2-quinquies du Code italien de la protection des données). Si nous découvrons le compte d’un mineur de cet âge, nous le supprimons. Les parties ouvertes aux inconnus sont réservées aux majeurs : pour en ouvrir une ou demander à s’y joindre, il faut déclarer avoir au moins 18 ans.

Modifications

Si cette politique change de manière substantielle, nous mettons à jour la date en haut et, quand la modification te concerne vraiment, nous le signalons dans l’app. Cela arrivera à coup sûr quand les notifications push arriveront sur iPhone.

Cette traduction est fournie pour faciliter la lecture ; en cas de divergence, la version italienne fait foi.

En resumen

Cronofuga es el diario de las escape rooms que has hecho. Para que funcione en varios dispositivos, para que no lo pierdas cuando cambias de uno y para poder compartirlo con tu equipo, la app usa una cuenta y guarda tus datos en un servidor europeo. No los vendemos, no los usamos para elaborar tu perfil, no hay publicidad ni ninguna herramienta de rastreo. Puedes eliminar la cuenta cuando quieras, desde la propia app.

Qué datos tratamos

Para la cuenta: tu dirección de correo electrónico, el apodo que elijas, nombre y apellidos, la ciudad, el idioma de la app, tu avatar — uno de los dibujados o una foto de perfil tuya —, si quieres aparecer con tu apodo en las clasificaciones, y la contraseña — guardada solo como huella cifrada y no reversible. También se guardan las fechas de registro y de última modificación.

De cada inicio de sesión se guardan la huella cifrada del token, el tipo de sistema (ios o android) y las fechas de creación, último uso y caducidad. El token en claro existe solo en tu dispositivo.

Lo que escribes en el diario: los locales y las salas que añades al catálogo (nombre, dirección, duración, dificultad, web); las quedadas organizadas (título, descripción, día y hora, plazas); los escapes hechos (día, sala, resultado, tiempo límite y tiempo empleado, porcentaje alcanzado, pistas pedidas, notas); quién participó — usuarios con cuenta y simples nombres de invitados —; los comentarios; y una foto por quedada.

Los equipos: nombre, código de invitación, quién forma parte y con qué rol, las invitaciones directas enviadas y recibidas, el avatar y la portada del equipo y — si un admin los usa — las expulsiones del equipo y los bloqueos entre usuarios. Y el chat del equipo: los mensajes, las salas propuestas con sus fechas, y quién ha marcado «puedo» o «me interesa».

Reseñas y valoraciones: las puntuaciones y los comentarios que dejas a los locales y a las salas donde has jugado. Y, tras un escape con personas de fuera del equipo, quién estuvo de verdad (lo confirma quien organizó) y las valoraciones entre participantes: «¿volvería a jugar con ellos?», un consejo opcional y, si hace falta, un «me he sentido incómodo o en peligro».

Para los escapes abiertos: tu declaración de que eres mayor de edad, con la fecha.

Para Cronofuga Pro: el justificante de compra (consulta «Cronofuga Pro», más abajo).

Si gestionas un local: qué locales gestionas y con qué rol (propietario o personal), y los escapes que validas.

Para la moderación: las denuncias (quién denuncia, qué y por qué), las decisiones tomadas, las suspensiones de las reseñas y las suspensiones de cuenta.

Para confirmar la dirección y recuperar la contraseña: la huella cifrada del código de seis cifras, el número de intentos y la caducidad. El código en claro nunca se guarda.

Para las notificaciones push: el código que Firebase asigna a la app en tu teléfono (el «token»), el sistema, cuándo se registró y la última vez que la app dio señales de vida; y tus preferencias sobre las notificaciones, en general y quedada por quedada.

Para frenar a quien prueba contraseñas en ráfaga: un recuento de los intentos de acceso fallidos, guardado durante quince minutos y vinculado a la dirección de correo escrita y a la dirección IP de quien lo intenta. No sirve para nada más y se borra solo.

⚠️ La foto del final de la partida, y las caras de los demás

Es la parte en la que los datos no son solo tuyos, y vale la pena explicarla bien. La foto del final de la partida es casi siempre una foto de grupo: al subirla estás facilitando datos personales de otras personas.

• Sube solo fotos que quienes estaban allí estén de acuerdo en compartir. Es una petición, no una formalidad: las demás personas de la foto no han aceptado nada en tu lugar.
• Las fotos no son públicas. Cada archivo solo se descarga con una sesión válida, y el servidor comprueba, antes de entregarlo, que quien lo pide es quien creó la quedada, un miembro de ese equipo o alguien que participó desde fuera (por invitación o desde un escape abierto).
• Al eliminar tu cuenta, las fotos que has subido desaparecen — también las que están en las quedadas de otros. Son archivos tuyos y contienen caras.

⚠️ La foto de perfil y las imágenes del equipo

• Tu foto de perfil, si subes una en lugar de un avatar dibujado, la ven tus compañeros de equipo. Si activas Mostrar mi apodo (consulta «Las clasificaciones»), la ve cualquiera que tenga la app, salvo quien hayas bloqueado: la app lo dice en el interruptor.
• El avatar y la portada de un equipo, cuando son fotos, los ve cualquiera que tenga la app: están en la página del equipo y en las clasificaciones. Solo los admins pueden cambiarlos, y cualquiera puede denunciarlos.

⚠️ Quién puede encontrarte, y qué ve

Para que las invitaciones directas funcionen, cualquiera que tenga una cuenta de Cronofuga puede buscar personas por apodo o ciudad y ver esos dos datos. Es la función que permite decir «lo invito a él», en lugar de pasar por un código.

⚠️ Tu dirección de correo no aparece nunca en esa búsqueda, ni en ningún otro punto de la app: no se facilita a otros usuarios en ninguna circunstancia. El nombre y los apellidos no aparecen en la búsqueda: lo que se ve es el apodo.

Tu perfil lo puede abrir quien se cruce contigo en la app (en una búsqueda, un equipo, una reseña, un escape abierto): muestra tu apodo, tu avatar, cuántos escapes has hecho y cuántos has resuelto, y unas estadísticas de conjunto — el porcentaje de éxito, el tiempo sobrante y las pistas de media, cuántas salas, locales y ciudades, el género al que más juegas, el año de tu primer escape. Las insignias solo se ven si tienes el Pro. Quien hayas bloqueado, o quien te haya bloqueado, no ve tu perfil.

Si recibes una invitación que no quieres, puedes rechazarla y bloquear a quien te la envió: desde ese momento ya no podrá invitarte.

Las clasificaciones

En las clasificaciones solo entran los escapes validados por el local. Al principio apareces como «Jugador anónimo»: en tu puesto, pero sin nombre. Si activas Mostrar mi apodo, cualquiera que tenga la app lee tu apodo, ve tu avatar o tu foto de perfil y tus puntos, y puede abrir tu perfil; lo desactivas cuando quieras, y vuelves a ser anónimo en todas partes. La clasificación de una sala muestra también el tiempo, las pistas, cuántos erais, el día y el nombre del equipo; la de los equipos, el nombre, el avatar y la portada de cada uno.

Reseñas y valoraciones

• Las reseñas de locales y salas solo se pueden escribir donde has jugado, y las lee cualquiera que tenga la app, con tu apodo y tu avatar. Las que contienen un spoiler solo las lee quien ya ha hecho la sala. Quien gestiona un local no reseña el suyo.
• Las valoraciones tras un escape son anónimas y a ciegas: los votos nunca salen del servidor, ni siquiera hacia quien los dio. A los demás solo les llegan estadísticas, y solo a partir de tres valoraciones; los consejos llegan a la persona valorada sin el nombre de quien los escribió. «Me he sentido incómodo o en peligro» no es un voto: es una denuncia a la moderación.
• Quién estuvo lo confirma quien organizó. Quien queda marcado como ausente se entera y puede impugnarlo: la impugnación llega a la moderación.

⚠️ Los escapes abiertos

Quien organiza puede poner un escape en el escaparate. Cualquiera que tenga la app lo ve — sala, local y ciudad, día y hora, título y descripción, el apodo y el avatar de quien organiza y, si lo hay, el equipo — y puede pedir unirse, incluso llevando amigos que no tienen la app (de ellos solo queda el nombre). Para abrir un escape a desconocidos, o pedir entrar en uno, hay que haber confirmado el correo y declarar que eres mayor de edad, una sola vez. Quien está bloqueado, en un sentido o en el otro, no lo ve y no puede pedir.

Si gestionas un local

Los locales no se reclaman desde la app: quien gestiona una escape room se pone de acuerdo directamente con nosotros, y la ficha de su local se asigna a su cuenta — la que usó para registrarse, o una que creamos para él. El propietario añade a su personal eligiéndolo entre los usuarios registrados, y quien forma parte del personal puede salir cuando quiera. Propietario y personal validan los escapes escaneando el código QR del equipo, que muestra la sala, el equipo y el resultado declarado, y no pueden reseñar su propio local.

Denuncias y moderación

Puedes denunciar una foto de perfil, la foto de una quedada, un comentario, un mensaje del chat del equipo, una reseña, las imágenes de un equipo, un escape abierto o una ficha del catálogo. La denuncia llega por correo a la moderación, con lo que se ha denunciado (el texto, o el enlace para ver la imagen), el motivo, y el apodo y el correo de la persona denunciada y de quien denuncia.

• La moderación puede retirar el contenido; a quien haya escrito en una reseña la solución de un enigma, puede retirarle la reseña y suspenderle las reseñas durante 1, 7 o 30 días; puede suspender la cuenta: una cuenta suspendida ya no puede entrar, y se cierran sus sesiones.
• Tres cosas ocurren solas, a la espera de la moderación: una ficha del catálogo denunciada por tres personas se oculta; una reseña denunciada por desvelar una solución pasa a ser legible solo para quien ya ha hecho la sala; y si en 180 días tres personas distintas dicen haberse sentido incómodas o en peligro con la misma persona, su cuenta queda suspendida de inmediato, hasta que la moderación decida.

⚠️ El catálogo de locales es de todos

Los locales y las salas que añades no son un dato tuyo: son la ficha de una actividad comercial, y son la parte que los usuarios de Cronofuga construyen juntos. Se quedan en el catálogo incluso después de que hayas eliminado la cuenta, sin tu nombre. Llevárselos al irse lo destruiría para quienes se quedan.

Lo que no hacemos, y se puede comprobar

• No registramos dónde estás. La ubicación solo la usa el teléfono, para Cerca de mí, y solo si lo tocas (consulta «Cámara, galería y ubicación»): nunca llega a nuestro servidor.
• No te enviamos correos que no te sirvan a ti. El servicio te envía exactamente dos, y solo cuando los pides tú: el código para confirmar la dirección y el código para restablecer la contraseña. Ningún aviso, ninguna novedad, nada promocional.
• Las notificaciones dicen lo mínimo. Las push pasan por los servidores de Google, así que nunca contienen la dirección del local ni tu correo (consulta «Las notificaciones», más abajo).
• No registramos tu dirección IP. Nuestro servidor no guarda ningún registro de las peticiones que recibe. La infraestructura que aloja el servicio (Cloudflare) trata los datos técnicos de conexión para la seguridad de la red, según su propia política: es algo que ocurre por debajo de nosotros y sobre lo que no tenemos visibilidad.
• Ninguna analítica, ningún detector de errores, ningún rastreo publicitario. La app no incluye ninguna biblioteca de este tipo: de Firebase usamos solo la entrega de las notificaciones, ni Google Analytics ni Crashlytics.
• Ninguna publicidad y ninguna elaboración de perfiles. No tomamos decisiones automatizadas sobre ti, con una excepción de seguridad: la suspensión cautelar descrita en «Denuncias y moderación», que después revisa una persona.
• No vendemos ni cedemos tus datos a nadie.

Por qué los tratamos, y con qué base jurídica

• Para que puedas usar la app, sincronizar el diario entre tus dispositivos, compartirlo con tu equipo y conservarlo, y para las clasificaciones, las reseñas, los escapes abiertos y el Pro que has comprado: ejecución del contrato (art. 6.1.b RGPD).
• Para la seguridad del servicio y la prevención de abusos — por ejemplo, los bloqueos entre usuarios, las expulsiones de los equipos, las denuncias y las suspensiones, la asignación de los locales a quien los gestiona y la declaración de mayoría de edad para los escapes abiertos: interés legítimo (art. 6.1.f).
• Para mantener en pie el catálogo compartido de locales y salas incluso cuando quien los añadió se va: interés legítimo (art. 6.1.f). El dato que queda se refiere a la actividad comercial, no a ti: tu nombre se elimina.
• Para cumplir las obligaciones legales que nos afectan: obligación legal (art. 6.1.c).

Dónde están los datos, y a quién se los confiamos

El almacenamiento está en infraestructura de Cloudflare: la base de datos (D1) y las fotos (R2) están ambas en la región europea EEUR. El tráfico entre la app y el servidor siempre va cifrado (HTTPS). También los mapas los sirve nuestro propio servidor (datos © OpenStreetMap, formato Protomaps): abrirlos no contacta con ningún otro servicio.

Es la lista completa: no hay otros proveedores. Hacia Estados Unidos, la transferencia se basa en las garantías previstas en el capítulo V del RGPD (cláusulas contractuales tipo); a Resend solo le llegan los correos descritos arriba — nunca el diario, nunca las fotos — y a Google solo las notificaciones. Las compras del Pro pasan por Apple y Google (consulta «Cronofuga Pro»). Si pegas el enlace corto de Google Maps de un local, es tu teléfono quien lo abre en Google para leer las coordenadas. Nuestro propio acceso a los datos se limita a quien gestiona técnicamente el servicio, y solo para el mantenimiento.

Cronofuga Pro

El Pro se compra una sola vez, con una compra dentro de la app a través del App Store o Google Play: el pago lo gestionan ellos, según sus propias políticas, y nosotros nunca vemos los datos de pago. Para que el Pro siga a tu cuenta en cualquier teléfono — incluso al pasar de iPhone a Android —, el teléfono nos envía el justificante de compra, y guardamos de él la plataforma, el producto, el identificador de la transacción, el recibo y la fecha. Un justificante de compra vale para una sola cuenta.

Las notificaciones

Los recordatorios de la quedada — la noche anterior, dos horas antes y la mañana siguiente si falta el resultado — son notificaciones locales: las programa tu teléfono a partir de las quedadas que tiene, y nuestro servidor no sabe nada de ellas. Se desactivan desde la cuenta, en la app.

Las notificaciones push, en cambio, las envía nuestro servidor cuando alguien hace algo que te afecta. Para entregarlas usamos Firebase Cloud Messaging, el servicio de Google: es la única forma de llegar a un teléfono Android con la app cerrada.

• Cuándo llegan: una quedada de tu equipo, o en la que participas, organizada, cambiada, cancelada, jugada (con el resultado) o validada por el local; una plaza que queda libre; la invitación a valorar un escape; un comentario en una quedada en la que estás tú o tu equipo, y un mensaje en el chat del equipo; una invitación a un equipo o a un escape, tus roles que cambian; en los escapes abiertos, las peticiones para unirse (a quien organiza), las respuestas (a quien pidió) y quién te ha llevado consigo; una insignia nueva; si eres admin, quién entra en el equipo, y si eres admin o élite, las quedadas pendientes de aprobar.
• Algunas no se desactivan desde la app, porque te afectan directamente: si quien organizó te marca como ausente, si se retira una de tus reseñas, si te añaden al personal de un local, si alguien añade una sala a una ficha que creaste tú.
• Qué dicen: el título de la quedada (normalmente el nombre de la sala) o el nombre del equipo, el nombre de quien hizo la acción, el día y la hora, el resultado y, en los comentarios y el chat, su texto (como máximo 180 caracteres). Ese texto pasa por los servidores de Google para llegarte. La dirección del local nunca aparece, ni tampoco tu correo. ⚠️ Un comentario puede contener un spoiler de la sala: si no quieres leerlo en el panel de notificaciones, desactiva la vista previa en los ajustes del teléfono, o el chat en la app.
• Nunca a quien hizo la acción, nunca a quien ya no está en el equipo, y nunca de una persona que has bloqueado.
• Las desactivas cuando quieras: por tipo desde la cuenta (Escapes del equipo, Chat, Equipos, Insignias), los comentarios de una sola quedada desde la campana de arriba en la quedada, o todas desde los ajustes del teléfono. Las preferencias están en el servidor, porque es él quien decide qué enviar.
• El token del teléfono se borra cuando cierras sesión, cuando pides la eliminación, cuando Firebase nos dice que ya no es válido y tras 60 días sin que la app dé señales de vida.
• En iPhone todavía no hay notificaciones push (los recordatorios sí). Cuando lleguen, pasarán también por el servicio de Apple, y lo escribiremos aquí.

El diario se queda también en tu dispositivo

Cronofuga funciona sin conexión, porque las escape rooms suelen estar en sótanos: la app escribe primero en el teléfono y se sincroniza con el servidor en cuanto hay red. Así que una copia de tu diario vive en el dispositivo, bajo el control del sistema operativo. Al cerrar sesión esa copia se vacía; al desinstalar la app se va con ella. Si usas el widget (Pro), tus próximos escapes aparecen también en la pantalla de inicio: es la app la que pasa los datos al widget, en el teléfono.

Durante cuánto tiempo

• La cuenta y el diario: mientras uses Cronofuga. Si pides la eliminación, todo se borra al cabo de siete días — el margen para pensártelo mejor.
• Una cuenta nunca confirmada: si no confirmas la dirección en las 24 horas siguientes al registro, la cuenta se elimina por completo.
• Los inicios de sesión: un token caduca solo al cabo de 180 días. Si pides la eliminación de la cuenta, caen todos de inmediato.
• Una quedada programada que se queda sin resultado: 24 horas después de la hora prevista se elimina, con sus comentarios y su foto.
• Los escapes hechos con otros se quedan en el diario de quienes estaban, sin tu nombre: aquella quedada también les pasó a ellos.
• Los locales y las salas del catálogo se quedan, sin tu nombre.
• El chat del equipo: los mensajes no caducan. Desaparecen cuando quien los escribió los borra o elimina su cuenta, o cuando el equipo se disuelve.
• Las valoraciones: mientras existan las cuentas de quien las dio y de quien las recibió.
• El justificante de compra del Pro: mientras exista la cuenta.
• Las denuncias se quedan en la moderación como historial; si eliminas tu cuenta, se quita tu nombre de ellas.
• Las suspensiones de las reseñas se quedan incluso después de vencer, porque dicen si ya ha pasado antes; se van con la cuenta. Una suspensión de cuenta dura hasta que la moderación la levanta.
• Los códigos de seis cifras: valen quince minutos, se usan una sola vez y tras cinco errores se invalidan.
• El recuento de los intentos de acceso: quince minutos, luego lo barre un proceso nocturno.
• El token de las notificaciones: mientras uses la app en ese teléfono (consulta «Las notificaciones»). Firebase guarda una notificación solo hasta que la entrega (como máximo cuatro semanas, si el teléfono sigue apagado).

El detalle de lo que desaparece y lo que se queda está en la página Eliminar la cuenta.

Tus derechos

Puedes solicitar el acceso, la rectificación, la supresión, la limitación, la oposición y la portabilidad de tus datos (arts. 15–22 RGPD), y retirar un consentimiento cuando sea esa la base del tratamiento.

• Supresión: se hace desde la app, en tres pasos y sin pedir nada a nadie. Consulta cómo se hace.
• Copia de tus datos: escribe a info@linchettostudio.com desde la dirección de la cuenta. Es gratuita. En la app todavía no hay un botón que lo haga solo.
• Si ya no consigues entrar — contraseña olvidada, teléfono perdido —, usa ¿Has olvidado la contraseña? en la pantalla de acceso: llega un código a la dirección de la cuenta y desde ahí eliges una nueva. Si ni siquiera eso funciona, escríbenos.

Respondemos sin dilación indebida y, en todo caso, en el plazo de un mes (art. 12 RGPD). Si consideras que el tratamiento infringe el RGPD, puedes dirigirte al Garante per la protezione dei dati personali (gpdp.it), la autoridad italiana de protección de datos.

Cámara, galería y ubicación

La app pide acceso a la cámara y a la galería solo cuando añades una foto — la de una quedada, tu foto de perfil o, si eres admin, una imagen del equipo — y para guardar en el carrete una foto que compartes. La cámara sirve también para escanear un código QR: el que usa un amigo para invitarte a su equipo y, si trabajas en un local, el del escape que hay que validar. Puedes denegar el permiso: todo lo demás sigue funcionando. No leemos tu galería: solo vemos la imagen que eliges tú.

La ubicación la app solo la pide cuando tocas Cerca de mí — entre los locales, al elegir la sala o entre los escapes abiertos — y pide una aproximada. Sirve para ordenar los locales por distancia: la cuenta la hace el teléfono, y la ubicación no se guarda ni se envía a nuestro servidor ni a nadie más. Puedes denegar el permiso: los locales se encuentran igual por nombre, por ciudad o en el mapa.

Seguridad

Las contraseñas se guardan como huella PBKDF2-SHA256 con 100.000 iteraciones y una sal aleatoria por usuario: a partir de la base de datos no se puede llegar a la contraseña. De los tokens de acceso guardamos solo la huella, nunca el token. La comparación de las contraseñas se hace en tiempo constante, y «correo inexistente» y «contraseña incorrecta» dan a propósito el mismo mensaje — distinguirlos le diría a un extraño qué direcciones están registradas.

Menores

El servicio no está dirigido a menores de 14 años (art. 8 RGPD y art. 2-quinquies del Código italiano de protección de datos). Si detectamos una cuenta de un menor de esa edad, la eliminamos. Los escapes abiertos a desconocidos están reservados a mayores de edad: para abrir uno o pedir unirse hay que declarar que se tienen al menos 18 años.

Cambios

Si esta política cambia de forma sustancial, actualizamos la fecha de arriba y, cuando el cambio te afecta de verdad, lo indicamos en la app. Ocurrirá con seguridad cuando lleguen las notificaciones push en iPhone.

Esta traducción se ofrece para facilitar la lectura; en caso de discrepancia, prevalece la versión italiana.