Tavernario — Privacy PolicyTavernario — Privacy PolicyTavernario — DatenschutzerklärungTavernario — Politique de confidentialitéTavernario — Política de privacidad

In breve

Tavernario è l'app per giocare di ruolo al tavolo: la scheda del tuo personaggio e, se sei il master, la tua campagna. Per non fartele perdere col telefono, per ritrovarle su un altro dispositivo e per giocare con i tuoi amici, l'app usa un account e conserva i tuoi dati su un server europeo. Non li vendiamo, non li usiamo per profilarti, non c'è pubblicità e non c'è nessuno strumento di tracciamento. Puoi esportare tutto e cancellare l'account quando vuoi, dall'app stessa. Le notifiche push, se le accetti, passano dal servizio di Google (Firebase) e, su iPhone, da quello di Apple.

• Titolare del trattamento: Linchetto Studio — Wanesa Kowal
• Contatto: info@linchettostudio.com

Quali dati trattiamo

Per l'account: il tuo indirizzo email, il nome che scegli, l'avatar (un disegno dell'app oppure, con Tavernario Pro, una tua foto, conservata sul server come le altre immagini), la lingua, la password (conservata solo come impronta cifrata e non reversibile), le date di registrazione e di ultima modifica. Di ogni accesso restano l'impronta cifrata del token, il tipo di sistema (per esempio iOS o macOS) e le date di creazione e scadenza.

Quello che crei nel gioco: i tuoi personaggi (scheda, punti ferita, condizioni, inventario, esperienza, note); le campagne di cui sei master (PNG, luoghi, segreti, scene, mappe, scontri, diario, regole della campagna); i contenuti che crei (classi, specie, armi, incantesimi, mostri…); i resoconti delle sessioni; e le immagini che scegli di aggiungere.

Per la conferma dell'indirizzo e il recupero della password: l'impronta cifrata del codice a sei cifre, il numero di tentativi e la scadenza. Il codice in chiaro non viene mai salvato.

Per proteggere gli account dai tentativi di indovinare la password: quando un accesso fallisce, contiamo per 15 minuti i tentativi sbagliati legati all'email scritta e all'indirizzo IP da cui arrivano; oltre una soglia l'accesso si blocca per un quarto d'ora. Questi conteggi si cancellano alla prima pulizia del server passata un'ora (vedi «Per quanto tempo»). È l'unico uso che facciamo del tuo indirizzo IP.

Per la sincronizzazione: un registro di quali righe sono cambiate e in che ordine, che serve a portare le modifiche sugli altri dispositivi — i tuoi e quelli di chi gioca con te. E, se una campagna chiede l'approvazione del master, la richiesta d'ingresso (quale personaggio, chi la fa, quando).

Per organizzare le sessioni: le sessioni giocate (data, ora di inizio e di fine, chi era presente, una nota del master); le date proposte per giocare (chi le propone, giorno e ora, una nota) e le risposte di ognuno (sì, no, forse); i messaggi della chat della campagna, col nome di chi scrive e l'ora, e fin dove ognuno l'ha letta.

Per le notifiche push, se le accetti: il codice che Firebase assegna all'app sul tuo telefono (il «token»), il sistema (android o ios), lo scarto del tuo fuso orario da UTC (per scriverti l'ora della sessione come la leggi tu), quando è stato registrato e l'ultima volta che l'app si è fatta viva; e i tuoi tre interruttori delle notifiche.

Se acquisti Tavernario Pro: lo store (Apple o Google), il prodotto, il codice della transazione e la ricevuta che lo store consegna all'app, e la data. Servono a far valere il Pro sul tuo account, su ogni dispositivo. Il pagamento lo gestisce lo store: noi non vediamo mai la tua carta né i tuoi dati di pagamento.

⚠️ Al tavolo, chi vede cosa

Questa è la parte in cui i dati non sono solo tuoi, e vale la pena spiegarla bene.

• Il master di una campagna vede le schede dei personaggi che ci giocano, e può correggerne punti ferita, condizioni, oggetti ed esperienza. Non può modificare il resto della scheda né cancellarla.
• Gli altri giocatori della stessa campagna vedono le schede del gruppo, il diario e i resoconti.
• I segreti del master restano al master. PNG e luoghi non ancora svelati, appunti, scene preparate e pedine nascoste non arrivano ai dispositivi dei giocatori: il filtro lo fa il server, non l'app.
• Chi ha il codice di una campagna vede, prima di entrare, il nome della campagna, il nome del master, le regole e i contenuti che il master ha creato per quella campagna. Il codice è l'invito: dallo solo a chi vuoi al tuo tavolo.
• Se chiedi di entrare in una campagna su approvazione, il master vede la scheda del personaggio e il tuo nome prima di decidere.
• Il tuo nome e il tuo avatar li vede chi gioca con te in almeno una campagna: nella chat, nelle date proposte, nelle presenze e nel gruppo. La foto dell'avatar si scarica solo con un accesso valido, e solo da chi condivide con te almeno una campagna. Il tuo indirizzo email non lo vede nessuno.
• Chat, date proposte e calendario delle sessioni li vedono solo i membri della campagna: il master e chi ci gioca con un personaggio. Ognuno vede chi ha risposto cosa e chi era presente. I messaggi della chat non si cancellano e non si modificano, né da chi li ha scritti né dal master: è il posto dove ci si mette d'accordo. Se lasci la campagna non la leggi più, e i tuoi messaggi restano col tuo nome; se cancelli l'account, invece, se ne vanno (vedi «Per quanto tempo»).

Cosa non facciamo, ed è verificabile

• Non chiediamo mai la tua posizione.
• Nessun analytics, nessun rilevatore di errori, nessun tracciamento pubblicitario. L'app non include alcuna libreria di questo tipo: di Firebase usiamo solo il recapito delle notifiche, non Google Analytics né Crashlytics.
• Nessuna pubblicità e nessuna profilazione. Non prendiamo decisioni automatizzate sul tuo conto.
• Le notifiche dicono il minimo. Passano dai server di Google, quindi non contengono mai la tua email né niente della scheda o dei segreti del master (vedi «Le notifiche», qui sotto).
• Non vendiamo e non cediamo i tuoi dati a nessuno.

L'infrastruttura che ospita il servizio (Cloudflare) tratta i dati tecnici di connessione per la sicurezza della rete, secondo la propria informativa.

Perché li trattiamo, e con quale base giuridica

• Per farti usare l'app, salvare e sincronizzare personaggi e campagne e farti giocare con chi vuoi: esecuzione del contratto (art. 6.1.b GDPR).
• Per la sicurezza del servizio e la prevenzione degli abusi — il freno sui tentativi di accesso, il limite di 300 immagini per account: legittimo interesse (art. 6.1.f).
• Per adempiere agli obblighi di legge che ci riguardano: obbligo legale (art. 6.1.c).

Dove stanno i dati, e a chi li affidiamo

L'archiviazione è su infrastruttura Cloudflare: il database (D1) e le immagini (R2) stanno entrambi nella regione europea EEUR. Il traffico fra app e server è sempre cifrato (HTTPS).

Verso gli Stati Uniti il trasferimento avviene sulle garanzie previste dal Capo V del GDPR (clausole contrattuali standard). L'accesso ai dati da parte nostra è limitato a chi gestisce tecnicamente il servizio, e solo per la manutenzione.

Le immagini non sono pubbliche: ognuna si scarica solo con un accesso valido, e il server verifica che chi la chiede possa vedere la cosa a cui appartiene — il ritratto di un PNG non ancora svelato non arriva ai giocatori.

Le notifiche

Le notifiche push le manda il nostro server quando nella chat o nel calendario di una tua campagna succede qualcosa: un messaggio nuovo nella chat, una data proposta, una sessione confermata dal master. Arrivano solo se le accetti: il permesso te lo chiede l'app la prima volta che apri la chat o proponi una data, mai all'avvio.

• Cosa c'è scritto: il nome della campagna, il nome di chi scrive o propone, la data e l'ora e, per i messaggi, l'inizio del testo (al massimo 120 caratteri). Questo testo passa dai server di Google, e su iPhone da quelli di Apple, per arrivare a te. Se non vuoi leggerlo nella tendina, spegni l'anteprima dalle impostazioni del telefono o i messaggi della chat dall'app.
• Solo ai membri della campagna, mai a chi ha fatto la cosa, e mai da una campagna archiviata.
• Le spegni quando vuoi: per tipo da Altro (messaggi della chat, proposte di data, sessioni confermate), oppure tutte dalle impostazioni del telefono. Gli interruttori stanno sul server, perché è lui a decidere cosa mandare, e valgono su ogni dispositivo del tuo account.
• Il token del telefono si cancella quando esci dall'account, quando entri da un altro dispositivo, quando chiedi la cancellazione, quando Firebase ci dice che non vale più e dopo 60 giorni in cui l'app non si fa viva.
• Sul computer (Mac e Windows) le notifiche push non ci sono.

Al tavolo, sulla stessa rete

Durante una sessione il master può aprire il tavolo sulla rete Wi-Fi (o sull'hotspot del suo telefono): da quel momento i dispositivi si parlano direttamente, senza passare da internet né dal nostro server, e ciò che cambia arriva subito. Il server continua a salvare tutto come sempre.

• Cosa vede chi è sulla stessa rete: il dispositivo del master annuncia il tavolo col nome della campagna (e un identificativo tecnico), quindi lo può vedere qualunque dispositivo collegato a quella rete.
• Chi si siede: solo chi ha un personaggio nella campagna e scrive il codice del tavolo, o ne inquadra il QR. Il dispositivo del giocatore manda al master l'identificativo del suo account e il suo nome.
• Cosa passa: le stesse informazioni della campagna che arriverebbero dal server, con gli stessi filtri: i segreti del master non arrivano ai giocatori. In più, i tiri di dado chiesti, fatti e mostrati, e i riposi.
• ⚠️ Sulla rete locale il collegamento non è cifrato: usalo su una rete di cui ti fidi, come quella di casa o l'hotspot del master.
• Su iPhone e Mac, per questo, l'app ti chiede il permesso di accedere alla rete locale. Se lo neghi, il resto dell'app funziona come sempre, con la normale sincronizzazione.

Tutto resta anche sul tuo dispositivo

Tavernario funziona senza rete — in una taverna senza campo, in una casa di campagna — perché personaggi e campagne sono scritti per intero anche sul dispositivo; la sincronizzazione serve a tenerne una copia al sicuro, a ritrovarli altrove e a giocare con gli altri. Uscendo dall'account, personaggi, campagne e immagini vengono tolti dal dispositivo. Restano le preferenze del dispositivo (lingua e tema), il Pro se su quel dispositivo era attivo e, per quando rientri, le statistiche dei tuoi tiri, gli scontri conclusi e il medagliere, che non lasciano mai il dispositivo.

Per quanto tempo

Finché tieni l'account. Se lo cancelli, gli accessi cadono subito e i dati restano 30 giorni: è la finestra per ripensarci. Alla scadenza la cancellazione avviene davvero, alla prima pulizia del server: la avvia il primo accesso o la prima registrazione di chiunque, al massimo una volta ogni 6 ore. ⚠️ Ciò che riguarda anche gli altri giocatori — i personaggi che restano nelle loro campagne, le copie dei tuoi contenuti che le loro schede usano — è spiegato nella pagina Cancellare l'account di Tavernario. Un account mai confermato si cancella da solo dopo 24 ore, alla prima pulizia successiva.

Con l'account se ne vanno anche i tuoi messaggi nella chat, le tue risposte alle date proposte, i token delle notifiche e i dati dell'acquisto del Pro; le date che hai proposto restano nella campagna, senza il tuo nome. Chat, date e calendario di una campagna si cancellano quando il master cancella la campagna. Firebase tiene una notifica solo finché non la consegna (al massimo quattro settimane, se il telefono resta spento).

Se cancelli una singola cosa, resta per un breve periodo un segno tecnico vuoto della cancellazione, necessario a propagarla agli altri dispositivi.

I tuoi diritti

Puoi chiedere accesso, rettifica, cancellazione, limitazione, portabilità dei dati e opporti al trattamento, scrivendo a info@linchettostudio.com. Due di questi non richiedono di scrivere a nessuno, perché sono dentro l'app:

• Esportare i tuoi dati in un file ZIP (un file JSON e le tue immagini), gratuitamente e senza limiti — da Altro → Account → Esporta i miei dati. Contiene il tuo account (email, nome, lingua), i tuoi personaggi, le campagne di cui sei master con tutto ciò che contengono, i contenuti che hai creato, le mappe, i resoconti che hai scritto e le tue immagini. Le schede degli altri giocatori sono loro e non ci sono. Non ci sono nemmeno l'avatar, i messaggi della chat, le date proposte con le risposte, i dati del Pro e le impostazioni delle notifiche, che stanno sul server (puoi chiederceli scrivendoci), né le statistiche dei tiri e il medagliere, che restano sul dispositivo.
• Cancellare l'account — da Altro → Account → Cancella l'account. Le istruzioni complete sono nella pagina Cancellare l'account di Tavernario.

Hai anche diritto di reclamo al Garante per la protezione dei dati personali.

Fotocamera, galleria e file

Tavernario chiede l'accesso alla fotocamera o alla galleria (sul computer, a un file) solo quando scegli di aggiungere un'immagine a un personaggio, a un PNG, a un luogo, a un oggetto o a un resoconto, o una tua foto come avatar; e la fotocamera anche quando inquadri il codice QR del tavolo, che viene letto sul dispositivo e non viene né salvato né inviato. Le immagini vengono ridotte sul dispositivo (al massimo 1024 pixel di lato) prima di partire. Non c'è nessuna analisi automatica delle immagini.

Sicurezza

Le password, i token di accesso e i codici sono conservati solo come impronte cifrate e non reversibili, mai in chiaro. Il token del tuo dispositivo è custodito nel portachiavi di sistema. Reimpostare la password fa cadere tutti gli accessi, su tutti i dispositivi, e così fa la richiesta di cancellazione. I codici di conferma e di recupero scadono, e dopo pochi tentativi sbagliati non sono più utilizzabili. Cosa può scrivere chi, in una campagna, lo controlla il server, non solo l'app.

Minori

Il servizio non è rivolto a minori di 14 anni (l'età del consenso digitale in Italia; in altri paesi dell'Unione europea può arrivare a 16).

Modifiche

Se questa informativa cambia in modo sostanziale, te lo diciamo nell'app prima che le modifiche abbiano effetto. Ogni versione è pubblicata a questo indirizzo con la sua data.

In short

Tavernario is the app for tabletop role-playing: your character's sheet and, if you're the GM, your campaign. So you don't lose them with your phone, can find them on another device and play with your friends, the app uses an account and keeps your data on a European server. We don't sell it, we don't use it to profile you, there are no ads and no tracking tools. You can export everything and delete your account whenever you like, from the app itself. Push notifications, if you allow them, go through Google's service (Firebase) and, on iPhone, Apple's.

• Data controller: Linchetto Studio — Wanesa Kowal
• Contact: info@linchettostudio.com

What data we process

For your account: your email address, the name you choose, your avatar (a drawing from the app or, with Tavernario Pro, a photo of yours, stored on the server like the other images), your language, your password (stored only as an encrypted, non-reversible fingerprint), sign-up and last-change dates. For each sign-in we keep the encrypted fingerprint of the token, the kind of system (for example iOS or macOS) and its creation and expiry dates.

What you create in the game: your characters (sheet, hit points, conditions, inventory, experience, notes); the campaigns you run (NPCs, places, secrets, scenes, maps, encounters, journal, campaign rules); the content you create (classes, species, weapons, spells, monsters…); session recaps; and the images you choose to add.

For email confirmation and password recovery: the encrypted fingerprint of the six-digit code, the number of attempts and the expiry. The code itself is never stored.

To protect accounts from password guessing: when a sign-in fails, for 15 minutes we count failed attempts tied to the email typed and to the IP address they come from; above a threshold sign-in is blocked for a quarter of an hour. These counts are deleted at the server's first clean-up after an hour (see "For how long"). It's the only use we make of your IP address.

For syncing: a log of which rows changed and in what order, used to bring changes to other devices — yours and those of the people you play with. And, if a campaign requires the GM's approval, the join request (which character, who asked, when).

To organise sessions: the sessions played (date, start and end time, who was there, a note from the GM); the dates proposed for playing (who proposed them, day and time, a note) and everyone's answers (yes, no, maybe); the messages in the campaign chat, with the sender's name and time, and how far each person has read it.

For push notifications, if you allow them: the code Firebase assigns to the app on your phone (the "token"), the system (android or ios), your time zone's offset from UTC (to write the session time the way you read it), when it was registered and the last time the app checked in; and your three notification switches.

If you buy Tavernario Pro: the store (Apple or Google), the product, the transaction code and the receipt the store hands to the app, and the date. They make Pro count on your account, on every device. Payment is handled by the store: we never see your card or your payment details.

⚠️ At the table, who sees what

This is where the data isn't only yours, and it's worth explaining properly.

• The GM of a campaign sees the sheets of the characters playing in it, and can correct their hit points, conditions, items and experience. They can't edit the rest of the sheet or delete it.
• The other players in the same campaign see the party's sheets, the journal and the recaps.
• The GM's secrets stay with the GM. NPCs and places not yet revealed, notes, prepared scenes and hidden tokens never reach players' devices: the server filters them, not the app.
• Whoever has a campaign's code sees, before joining, the campaign's name, the GM's name, the rules and the content the GM created for it. The code is the invitation: only give it to people you want at your table.
• If you ask to join a campaign that requires approval, the GM sees the character's sheet and your name before deciding.
• Your name and your avatar are seen by whoever plays with you in at least one campaign: in the chat, proposed dates, attendance and the party. The avatar photo can only be downloaded with a valid sign-in, and only by someone who shares at least one campaign with you. Nobody sees your email address.
• The chat, proposed dates and session calendar are visible only to the campaign's members: the GM and whoever plays in it with a character. Everyone sees who answered what and who was present. Chat messages can't be deleted or edited, neither by their author nor by the GM: it's where the group agrees on things. If you leave the campaign you no longer read it, and your messages stay with your name; if you delete your account, though, they go (see "For how long").

What we don't do, and you can check

• We never ask for your location.
• No analytics, no crash reporters, no ad tracking. The app includes no library of that kind: of Firebase we only use notification delivery, not Google Analytics or Crashlytics.
• No ads and no profiling. We make no automated decisions about you.
• Notifications say the minimum. They go through Google's servers, so they never contain your email or anything from the sheet or the GM's secrets (see "Notifications", below).
• We don't sell or hand over your data to anyone.

The infrastructure hosting the service (Cloudflare) processes technical connection data for network security, under its own privacy policy.

Why we process it, and on what legal basis

• To let you use the app, save and sync characters and campaigns and play with whoever you choose: performance of a contract (Art. 6.1.b GDPR).
• For service security and abuse prevention — the sign-in throttle, the 300-image limit per account: legitimate interest (Art. 6.1.f).
• To meet our legal obligations: legal obligation (Art. 6.1.c).

Where the data lives, and who we entrust it to

Storage is on Cloudflare infrastructure: the database (D1) and the images (R2) are both in the European region EEUR. Traffic between the app and the server is always encrypted (HTTPS).

Transfers to the United States rely on the safeguards of Chapter V GDPR (standard contractual clauses). Our access to the data is limited to whoever technically runs the service, and only for maintenance.

Images aren't public: each one can only be downloaded with a valid sign-in, and the server checks that whoever asks can see the thing it belongs to — the portrait of an NPC not yet revealed doesn't reach players.

Notifications

Push notifications are sent by our server when something happens in the chat or calendar of one of your campaigns: a new message in the chat, a proposed date, a session confirmed by the GM. They only arrive if you allow them: the app asks for permission the first time you open the chat or propose a date, never at launch.

• What they say: the campaign's name, the name of whoever wrote or proposed, the date and time and, for messages, the start of the text (at most 120 characters). This text goes through Google's servers, and on iPhone Apple's, to reach you. If you'd rather not read it on the lock screen, turn off previews in your phone's settings or chat messages in the app.
• Only to the campaign's members, never to whoever did the thing, and never from an archived campaign.
• Turn them off whenever you like: by type from More (chat messages, proposed dates, confirmed sessions), or all of them from your phone's settings. The switches live on the server, because it decides what to send, and apply to every device on your account.
• The phone's token is deleted when you sign out, when you sign in from another device, when you request deletion, when Firebase tells us it's no longer valid, and after 60 days in which the app hasn't checked in.
• On computers (Mac and Windows) there are no push notifications.

At the table, on the same network

During a session the GM can open the table on the Wi-Fi network (or their phone's hotspot): from then on the devices talk to each other directly, without going through the internet or our server, and changes arrive right away. The server keeps saving everything as usual.

• What anyone on the same network sees: the GM's device announces the table with the campaign's name (and a technical identifier), so any device connected to that network can see it.
• Who sits down: only people who have a character in the campaign and type the table's code or scan its QR code. The player's device sends the GM their account identifier and their name.
• What travels: the same campaign information that would come from the server, with the same filters: the GM's secrets don't reach players. Plus the dice rolls requested, made and shown, and rests.
• ⚠️ On the local network the connection isn't encrypted: use it on a network you trust, like your home network or the GM's hotspot.
• On iPhone and Mac, the app asks for permission to access the local network for this. If you refuse, the rest of the app works as usual, with normal syncing.

Everything also stays on your device

Tavernario works offline — in a tavern with no signal, in a country house — because characters and campaigns are fully stored on the device too; syncing keeps a safe copy, lets you find them elsewhere and play with others. When you sign out, characters, campaigns and images are removed from the device. What stays is the device's preferences (language and theme), Pro if it was active on that device and, for when you sign back in, your dice-roll statistics, finished encounters and badges, which never leave the device.

For how long

As long as you keep your account. If you delete it, sign-ins end immediately and the data stays for 30 days: that's the window to change your mind. After that, deletion happens for real, at the server's next clean-up: it's started by anyone's first sign-in or sign-up, at most once every 6 hours. ⚠️ What also concerns other players — characters left in their campaigns, copies of your content their sheets use — is explained on the Delete your Tavernario account page. An account that's never confirmed deletes itself after 24 hours, at the next clean-up.

Your chat messages, your answers to proposed dates, your notification tokens and your Pro purchase data go with the account; the dates you proposed stay in the campaign, without your name. A campaign's chat, dates and calendar are deleted when the GM deletes the campaign. Firebase keeps a notification only until it delivers it (at most four weeks, if the phone stays off).

If you delete a single item, an empty technical marker of the deletion remains for a short time, needed to carry it to other devices.

Your rights

You can request access, rectification, erasure, restriction, data portability and object to processing by writing to info@linchettostudio.com. Two of these don't require writing to anyone, because they're in the app:

• Export your data as a ZIP file (a JSON file and your images), free and unlimited — from More → Account → Export my data. It contains your account (email, name, language), your characters, the campaigns you run with everything in them, the content you created, maps, the recaps you wrote and your images. Other players' sheets are theirs and aren't included. Nor are your avatar, chat messages, proposed dates and answers, Pro data and notification settings, which are on the server (you can ask us for them by email), or your dice-roll statistics and badges, which stay on the device.
• Delete your account — from More → Account → Delete account. Full instructions are on the Delete your Tavernario account page.

You also have the right to lodge a complaint with the Italian Data Protection Authority (Garante per la protezione dei dati personali).

Camera, gallery and files

Tavernario asks for access to the camera or gallery (on a computer, to a file) only when you choose to add an image to a character, NPC, place, item or recap, or a photo of yours as your avatar; and the camera also when you scan the table's QR code, which is read on the device and neither saved nor sent. Images are reduced on the device (at most 1024 pixels on a side) before leaving it. There is no automated analysis of images.

Security

Passwords, sign-in tokens and codes are stored only as encrypted, non-reversible fingerprints, never in plain text. Your device's token is kept in the system keychain. Resetting your password ends every sign-in on every device, and so does requesting deletion. Confirmation and recovery codes expire, and after a few wrong attempts can no longer be used. Who can write what in a campaign is checked by the server, not just the app.

Children

The service is not aimed at children under 14 (the age of digital consent in Italy; in other EU countries it can be up to 16).

Changes

If this policy changes substantially, we'll tell you in the app before the changes take effect. Each version is published at this address with its date.

Kurz gesagt

Tavernario ist die App für Rollenspiele am Tisch: der Bogen deines Charakters und, wenn du die Spielleitung (SL) übernimmst, deine Kampagne. Damit du sie nicht mit dem Handy verlierst, sie auf einem anderen Gerät wiederfindest und mit deinen Freunden spielen kannst, nutzt die App ein Konto und speichert deine Daten auf einem europäischen Server. Wir verkaufen sie nicht, wir nutzen sie nicht, um ein Profil von dir zu erstellen, es gibt keine Werbung und keinerlei Tracking-Tool. Du kannst jederzeit alles exportieren und dein Konto löschen, direkt in der App. Push-Benachrichtigungen laufen, wenn du sie erlaubst, über den Dienst von Google (Firebase) und auf dem iPhone über den von Apple.

• Verantwortlicher: Linchetto Studio — Wanesa Kowal
• Kontakt: info@linchettostudio.com

Welche Daten wir verarbeiten

Für das Konto: deine E-Mail-Adresse, der Name, den du wählst, dein Avatar (eine Zeichnung aus der App oder, mit Tavernario Pro, ein eigenes Foto, das wie die anderen Bilder auf dem Server gespeichert wird), die Sprache, das Passwort (nur als verschlüsselter, nicht umkehrbarer Fingerabdruck gespeichert), das Datum der Registrierung und der letzten Änderung. Von jeder Anmeldung bleiben der verschlüsselte Fingerabdruck des Tokens, die Art des Systems (zum Beispiel iOS oder macOS) sowie Erstellungs- und Ablaufdatum.

Was du im Spiel erstellst: deine Charaktere (Bogen, Trefferpunkte, Zustände, Inventar, Erfahrung, Notizen); die Kampagnen, die du leitest (NSC, Orte, Geheimnisse, Szenen, Karten, Begegnungen, Tagebuch, Regeln der Kampagne); die Inhalte, die du erstellst (Klassen, Spezies, Waffen, Zauber, Monster …); die Sitzungsberichte; und die Bilder, die du hinzufügen möchtest.

Für die Bestätigung der Adresse und das Zurücksetzen des Passworts: der verschlüsselte Fingerabdruck des sechsstelligen Codes, die Anzahl der Versuche und das Ablaufdatum. Der Code selbst wird nie im Klartext gespeichert.

Zum Schutz der Konten vor Versuchen, das Passwort zu erraten: Wenn eine Anmeldung fehlschlägt, zählen wir 15 Minuten lang die Fehlversuche, die mit der eingegebenen E-Mail und der IP-Adresse verbunden sind, von der sie kommen; ab einer Schwelle wird die Anmeldung für eine Viertelstunde gesperrt. Diese Zählungen werden bei der ersten Bereinigung des Servers nach einer Stunde gelöscht (siehe „Wie lange“). Das ist die einzige Verwendung, die wir von deiner IP-Adresse machen.

Für die Synchronisierung: ein Protokoll, welche Zeilen sich in welcher Reihenfolge geändert haben; es dient dazu, die Änderungen auf die anderen Geräte zu bringen – deine und die der Leute, die mit dir spielen. Und, wenn eine Kampagne die Zustimmung der Spielleitung verlangt, die Beitrittsanfrage (welcher Charakter, wer sie stellt, wann).

Zur Organisation der Sitzungen: die gespielten Sitzungen (Datum, Uhrzeit von Beginn und Ende, wer dabei war, eine Notiz der Spielleitung); die vorgeschlagenen Spieltermine (wer sie vorschlägt, Tag und Uhrzeit, eine Notiz) und die Antworten aller (ja, nein, vielleicht); die Nachrichten im Chat der Kampagne, mit dem Namen der schreibenden Person und der Uhrzeit, und bis wohin jede Person ihn gelesen hat.

Für Push-Benachrichtigungen, wenn du sie erlaubst: der Code, den Firebase der App auf deinem Handy zuweist (das „Token“), das System (android oder ios), die Abweichung deiner Zeitzone von UTC (um dir die Uhrzeit der Sitzung so zu schreiben, wie du sie liest), wann es registriert wurde und wann sich die App zuletzt gemeldet hat; und deine drei Schalter für Benachrichtigungen.

Wenn du Tavernario Pro kaufst: der Store (Apple oder Google), das Produkt, die Transaktionsnummer und der Beleg, den der Store der App übergibt, sowie das Datum. Sie dienen dazu, dass Pro für dein Konto gilt, auf jedem Gerät. Die Zahlung wickelt der Store ab: Wir sehen nie deine Karte oder deine Zahlungsdaten.

⚠️ Am Tisch: wer was sieht

Das ist der Teil, in dem die Daten nicht nur dir gehören, und es lohnt sich, ihn gut zu erklären.

• Die Spielleitung einer Kampagne sieht die Bögen der Charaktere, die darin spielen, und kann deren Trefferpunkte, Zustände, Gegenstände und Erfahrung korrigieren. Den Rest des Bogens kann sie weder ändern noch löschen.
• Die anderen Spieler derselben Kampagne sehen die Bögen der Gruppe, das Tagebuch und die Berichte.
• Die Geheimnisse der Spielleitung bleiben bei der Spielleitung. Noch nicht enthüllte NSC und Orte, Notizen, vorbereitete Szenen und verdeckte Spielfiguren gelangen nicht auf die Geräte der Spieler: Den Filter setzt der Server, nicht die App.
• Wer den Code einer Kampagne hat, sieht vor dem Beitritt den Namen der Kampagne, den Namen der Spielleitung, die Regeln und die Inhalte, die die Spielleitung für diese Kampagne erstellt hat. Der Code ist die Einladung: Gib ihn nur denen, die du an deinem Tisch haben willst.
• Wenn du beantragst, einer Kampagne mit Zustimmungspflicht beizutreten, sieht die Spielleitung den Bogen des Charakters und deinen Namen, bevor sie entscheidet.
• Deinen Namen und deinen Avatar sieht, wer in mindestens einer Kampagne mit dir spielt: im Chat, bei den Terminvorschlägen, bei der Anwesenheit und in der Gruppe. Das Foto des Avatars lässt sich nur mit einer gültigen Anmeldung herunterladen, und nur von jemandem, der mindestens eine Kampagne mit dir teilt. Deine E-Mail-Adresse sieht niemand.
• Chat, Terminvorschläge und Sitzungskalender sehen nur die Mitglieder der Kampagne: die Spielleitung und wer mit einem Charakter darin spielt. Alle sehen, wer was geantwortet hat und wer dabei war. Die Chatnachrichten lassen sich weder löschen noch bearbeiten, weder von der Person, die sie geschrieben hat, noch von der Spielleitung: Hier verabredet man sich. Wenn du die Kampagne verlässt, liest du den Chat nicht mehr, und deine Nachrichten bleiben mit deinem Namen stehen; wenn du dagegen dein Konto löschst, verschwinden sie (siehe „Wie lange“).

Was wir nicht tun – und das ist überprüfbar

• Wir fragen nie nach deinem Standort.
• Keine Analytics, keine Fehlererfassung, kein Werbetracking. Die App enthält keine Bibliothek dieser Art: Von Firebase nutzen wir nur die Zustellung der Benachrichtigungen, weder Google Analytics noch Crashlytics.
• Keine Werbung und kein Profiling. Wir treffen keine automatisierten Entscheidungen über dich.
• Die Benachrichtigungen sagen nur das Nötigste. Sie laufen über die Server von Google, deshalb enthalten sie nie deine E-Mail und nichts aus dem Bogen oder den Geheimnissen der Spielleitung (siehe „Die Benachrichtigungen“ weiter unten).
• Wir verkaufen deine Daten nicht und geben sie an niemanden weiter.

Die Infrastruktur, die den Dienst beherbergt (Cloudflare), verarbeitet technische Verbindungsdaten für die Netzwerksicherheit, gemäß ihrer eigenen Datenschutzerklärung.

Warum wir sie verarbeiten und auf welcher Rechtsgrundlage

• Damit du die App nutzen, Charaktere und Kampagnen speichern und synchronisieren und mit wem du willst spielen kannst: Vertragserfüllung (Art. 6 Abs. 1 lit. b DSGVO).
• Für die Sicherheit des Dienstes und die Verhinderung von Missbrauch – die Bremse bei Anmeldeversuchen, die Grenze von 300 Bildern pro Konto: berechtigtes Interesse (Art. 6 Abs. 1 lit. f DSGVO).
• Zur Erfüllung der gesetzlichen Pflichten, die uns betreffen: rechtliche Verpflichtung (Art. 6 Abs. 1 lit. c DSGVO).

Wo die Daten liegen und wem wir sie anvertrauen

Die Speicherung erfolgt auf Infrastruktur von Cloudflare: Die Datenbank (D1) und die Bilder (R2) liegen beide in der europäischen Region EEUR. Der Datenverkehr zwischen App und Server ist immer verschlüsselt (HTTPS).

Die Übermittlung in die Vereinigten Staaten erfolgt auf Grundlage der Garantien nach Kapitel V DSGVO (Standardvertragsklauseln). Unser Zugriff auf die Daten ist auf diejenigen beschränkt, die den Dienst technisch betreiben, und nur für die Wartung.

Die Bilder sind nicht öffentlich: Jedes lässt sich nur mit einer gültigen Anmeldung herunterladen, und der Server prüft, ob die anfragende Person das sehen darf, wozu es gehört – das Porträt eines noch nicht enthüllten NSC gelangt nicht zu den Spielern.

Die Benachrichtigungen

Die Push-Benachrichtigungen verschickt unser Server, wenn im Chat oder im Kalender einer deiner Kampagnen etwas passiert: eine neue Nachricht im Chat, ein vorgeschlagener Termin, eine von der Spielleitung bestätigte Sitzung. Sie kommen nur an, wenn du sie erlaubst: Die App fragt dich nach der Erlaubnis, wenn du zum ersten Mal den Chat öffnest oder einen Termin vorschlägst, nie beim Start.

• Was darin steht: der Name der Kampagne, der Name der Person, die schreibt oder vorschlägt, Datum und Uhrzeit und, bei Nachrichten, der Anfang des Textes (höchstens 120 Zeichen). Dieser Text läuft über die Server von Google und auf dem iPhone über die von Apple, um dich zu erreichen. Wenn du ihn nicht in der Mitteilungszentrale lesen willst, schalte die Vorschau in den Einstellungen des Handys aus oder die Chatnachrichten in der App.
• Nur an die Mitglieder der Kampagne, nie an die Person, die die Sache ausgelöst hat, und nie aus einer archivierten Kampagne.
• Du schaltest sie aus, wann du willst: nach Art unter Mehr (Chatnachrichten, Terminvorschläge, bestätigte Sitzungen) oder alle in den Einstellungen des Handys. Die Schalter liegen auf dem Server, weil er entscheidet, was verschickt wird, und gelten auf jedem Gerät deines Kontos.
• Das Token des Handys wird gelöscht, wenn du dich abmeldest, wenn du dich auf einem anderen Gerät anmeldest, wenn du die Löschung beantragst, wenn Firebase uns mitteilt, dass es nicht mehr gültig ist, und nach 60 Tagen, in denen sich die App nicht gemeldet hat.
• Auf dem Computer (Mac und Windows) gibt es keine Push-Benachrichtigungen.

Am Tisch, im selben Netzwerk

Während einer Sitzung kann die Spielleitung den Tisch im WLAN (oder über den Hotspot ihres Handys) öffnen: Ab dann sprechen die Geräte direkt miteinander, ohne über das Internet oder unseren Server zu gehen, und Änderungen kommen sofort an. Der Server speichert weiterhin alles wie gewohnt.

• Was alle im selben Netzwerk sehen: Das Gerät der Spielleitung kündigt den Tisch mit dem Namen der Kampagne (und einer technischen Kennung) an; daher kann ihn jedes Gerät sehen, das mit diesem Netzwerk verbunden ist.
• Wer sich setzt: nur wer einen Charakter in der Kampagne hat und den Code des Tisches eingibt oder seinen QR-Code scannt. Das Gerät des Spielers schickt der Spielleitung die Kennung seines Kontos und seinen Namen.
• Was übertragen wird: dieselben Informationen der Kampagne, die vom Server kämen, mit denselben Filtern: Die Geheimnisse der Spielleitung erreichen die Spieler nicht. Dazu die angeforderten, ausgeführten und gezeigten Würfe sowie die Rasten.
• ⚠️ Im lokalen Netzwerk ist die Verbindung nicht verschlüsselt: Nutze sie in einem Netzwerk, dem du vertraust, etwa im WLAN zu Hause oder im Hotspot der Spielleitung.
• Auf dem iPhone und dem Mac bittet dich die App dafür um die Erlaubnis, auf das lokale Netzwerk zuzugreifen. Wenn du sie verweigerst, funktioniert der Rest der App wie gewohnt, mit der normalen Synchronisierung.

Alles bleibt auch auf deinem Gerät

Tavernario funktioniert ohne Netz – in einer Taverne ohne Empfang, in einem Landhaus –, weil Charaktere und Kampagnen vollständig auch auf dem Gerät gespeichert sind; die Synchronisierung dient dazu, eine sichere Kopie davon zu haben, sie anderswo wiederzufinden und mit den anderen zu spielen. Wenn du dich abmeldest, werden Charaktere, Kampagnen und Bilder vom Gerät entfernt. Erhalten bleiben die Einstellungen des Geräts (Sprache und Design), Pro, falls es auf diesem Gerät aktiv war, und, für deine nächste Anmeldung, die Statistiken deiner Würfe, die abgeschlossenen Begegnungen und deine Abzeichen, die das Gerät nie verlassen.

Wie lange

Solange du das Konto behältst. Wenn du es löschst, enden die Anmeldungen sofort und die Daten bleiben 30 Tage erhalten: Das ist die Frist, um es dir anders zu überlegen. Danach erfolgt die Löschung endgültig, bei der nächsten Bereinigung des Servers: Sie wird durch die erste Anmeldung oder Registrierung einer beliebigen Person ausgelöst, höchstens einmal alle 6 Stunden. ⚠️ Was auch die anderen Spieler betrifft – die Charaktere, die in ihren Kampagnen bleiben, die Kopien deiner Inhalte, die ihre Bögen verwenden –, erklärt die Seite Tavernario-Konto löschen. Ein nie bestätigtes Konto löscht sich nach 24 Stunden von selbst, bei der nächsten Bereinigung.

Mit dem Konto verschwinden auch deine Nachrichten im Chat, deine Antworten auf vorgeschlagene Termine, die Tokens der Benachrichtigungen und die Daten des Pro-Kaufs; die Termine, die du vorgeschlagen hast, bleiben in der Kampagne, ohne deinen Namen. Chat, Termine und Kalender einer Kampagne werden gelöscht, wenn die Spielleitung die Kampagne löscht. Firebase behält eine Benachrichtigung nur, bis sie zugestellt ist (höchstens vier Wochen, wenn das Handy ausgeschaltet bleibt).

Wenn du ein einzelnes Element löschst, bleibt für kurze Zeit eine leere technische Markierung der Löschung, die nötig ist, um sie an die anderen Geräte weiterzugeben.

Deine Rechte

Du kannst Auskunft, Berichtigung, Löschung, Einschränkung und Datenübertragbarkeit verlangen und der Verarbeitung widersprechen, indem du an info@linchettostudio.com schreibst. Für zwei davon musst du niemandem schreiben, weil sie in der App sind:

• Deine Daten exportieren als ZIP-Datei (eine JSON-Datei und deine Bilder), kostenlos und unbegrenzt – unter Mehr → Konto → Meine Daten exportieren. Sie enthält dein Konto (E-Mail, Name, Sprache), deine Charaktere, die Kampagnen, die du leitest, mit allem, was darin ist, die Inhalte, die du erstellt hast, die Karten, die Berichte, die du geschrieben hast, und deine Bilder. Die Bögen der anderen Spieler gehören ihnen und sind nicht dabei. Ebenfalls nicht enthalten sind dein Avatar, die Chatnachrichten, die Terminvorschläge mit den Antworten, die Pro-Daten und die Einstellungen der Benachrichtigungen, die auf dem Server liegen (du kannst sie per E-Mail bei uns anfordern), sowie die Statistiken deiner Würfe und deine Abzeichen, die auf dem Gerät bleiben.
• Das Konto löschen – unter Mehr → Konto → Konto löschen. Die vollständige Anleitung steht auf der Seite Tavernario-Konto löschen.

Du hast außerdem das Recht, Beschwerde beim Garante per la protezione dei dati personali (der italienischen Datenschutzbehörde) einzulegen.

Kamera, Fotomediathek und Dateien

Tavernario bittet nur dann um Zugriff auf die Kamera oder die Fotomediathek (auf dem Computer auf eine Datei), wenn du einem Charakter, einem NSC, einem Ort, einem Gegenstand oder einem Bericht ein Bild hinzufügen oder ein eigenes Foto als Avatar wählen möchtest; die Kamera außerdem, wenn du den QR-Code des Tisches scannst, der auf dem Gerät gelesen und weder gespeichert noch gesendet wird. Die Bilder werden auf dem Gerät verkleinert (höchstens 1024 Pixel pro Seite), bevor sie es verlassen. Es gibt keine automatische Analyse der Bilder.

Sicherheit

Passwörter, Zugangstokens und Codes werden nur als verschlüsselte, nicht umkehrbare Fingerabdrücke gespeichert, nie im Klartext. Das Token deines Geräts wird im Schlüsselbund des Systems aufbewahrt. Das Zurücksetzen des Passworts beendet alle Anmeldungen auf allen Geräten, und ebenso der Antrag auf Löschung. Bestätigungs- und Wiederherstellungscodes laufen ab und sind nach wenigen Fehlversuchen nicht mehr verwendbar. Wer in einer Kampagne was schreiben darf, prüft der Server, nicht nur die App.

Minderjährige

Der Dienst richtet sich nicht an Kinder unter 14 Jahren (das Alter der digitalen Einwilligung in Italien; in anderen Ländern der Europäischen Union kann es bis zu 16 Jahre betragen).

Änderungen

Wenn sich diese Datenschutzerklärung wesentlich ändert, sagen wir es dir in der App, bevor die Änderungen wirksam werden. Jede Version wird unter dieser Adresse mit ihrem Datum veröffentlicht.

Diese Übersetzung dient der Verständlichkeit; bei Abweichungen gilt die italienische Fassung.

En bref

Tavernario est l’application pour jouer aux jeux de rôle autour d’une table : la fiche de ton personnage et, si tu es maître du jeu (MJ), ta campagne. Pour que tu ne les perdes pas avec ton téléphone, que tu les retrouves sur un autre appareil et que tu joues avec tes amis, l’application utilise un compte et conserve tes données sur un serveur européen. Nous ne les vendons pas, nous ne les utilisons pas pour te profiler, il n’y a pas de publicité et aucun outil de traçage. Tu peux tout exporter et supprimer ton compte quand tu veux, depuis l’application elle-même. Les notifications push, si tu les acceptes, passent par le service de Google (Firebase) et, sur iPhone, par celui d’Apple.

• Responsable du traitement : Linchetto Studio — Wanesa Kowal
• Contact : info@linchettostudio.com

Quelles données nous traitons

Pour le compte : ton adresse e-mail, le nom que tu choisis, ton avatar (un dessin de l’application ou, avec Tavernario Pro, une photo à toi, conservée sur le serveur comme les autres images), la langue, le mot de passe (conservé uniquement sous forme d’empreinte chiffrée et non réversible), les dates d’inscription et de dernière modification. De chaque connexion, nous gardons l’empreinte chiffrée du jeton, le type de système (par exemple iOS ou macOS) et les dates de création et d’expiration.

Ce que tu crées dans le jeu : tes personnages (fiche, points de vie, états, inventaire, expérience, notes) ; les campagnes dont tu es MJ (PNJ, lieux, secrets, scènes, cartes, rencontres, journal, règles de la campagne) ; les contenus que tu crées (classes, espèces, armes, sorts, monstres…) ; les résumés des séances ; et les images que tu choisis d’ajouter.

Pour la confirmation de l’adresse et la récupération du mot de passe : l’empreinte chiffrée du code à six chiffres, le nombre de tentatives et l’échéance. Le code en clair n’est jamais enregistré.

Pour protéger les comptes contre les tentatives de deviner le mot de passe : quand une connexion échoue, nous comptons pendant 15 minutes les tentatives erronées liées à l’e-mail saisi et à l’adresse IP d’où elles proviennent ; au-delà d’un seuil, la connexion est bloquée pendant un quart d’heure. Ces décomptes sont effacés lors du premier nettoyage du serveur au-delà d’une heure (voir « Pendant combien de temps »). C’est la seule utilisation que nous faisons de ton adresse IP.

Pour la synchronisation : un registre des lignes qui ont changé et dans quel ordre, qui sert à porter les modifications sur les autres appareils — les tiens et ceux des personnes qui jouent avec toi. Et, si une campagne demande l’approbation du MJ, la demande d’entrée (quel personnage, qui la fait, quand).

Pour organiser les séances : les séances jouées (date, heure de début et de fin, qui était présent, une note du MJ) ; les dates proposées pour jouer (qui les propose, jour et heure, une note) et les réponses de chacun (oui, non, peut-être) ; les messages du chat de la campagne, avec le nom de l’auteur et l’heure, et jusqu’où chacun l’a lu.

Pour les notifications push, si tu les acceptes : le code que Firebase attribue à l’application sur ton téléphone (le « jeton »), le système (android ou ios), le décalage de ton fuseau horaire par rapport à UTC (pour t’écrire l’heure de la séance telle que tu la lis), la date d’enregistrement et la dernière fois que l’application s’est manifestée ; et tes trois interrupteurs de notifications.

Si tu achètes Tavernario Pro : la boutique (Apple ou Google), le produit, le code de la transaction et le reçu que la boutique remet à l’application, et la date. Ils servent à faire valoir le Pro sur ton compte, sur chaque appareil. Le paiement est géré par la boutique : nous ne voyons jamais ta carte ni tes données de paiement.

⚠️ À la table, qui voit quoi

C’est la partie où les données ne sont pas seulement les tiennes, et elle mérite d’être bien expliquée.

• Le MJ d’une campagne voit les fiches des personnages qui y jouent, et peut en corriger les points de vie, les états, les objets et l’expérience. Il ne peut ni modifier le reste de la fiche ni la supprimer.
• Les autres joueurs de la même campagne voient les fiches du groupe, le journal et les résumés.
• Les secrets du MJ restent au MJ. Les PNJ et les lieux pas encore révélés, les notes, les scènes préparées et les pions cachés n’arrivent pas sur les appareils des joueurs : c’est le serveur qui filtre, pas l’application.
• Qui a le code d’une campagne voit, avant d’y entrer, le nom de la campagne, le nom du MJ, les règles et les contenus que le MJ a créés pour cette campagne. Le code est l’invitation : ne le donne qu’aux personnes que tu veux à ta table.
• Si tu demandes à entrer dans une campagne sur approbation, le MJ voit la fiche du personnage et ton nom avant de décider.
• Ton nom et ton avatar sont visibles par ceux qui jouent avec toi dans au moins une campagne : dans le chat, les dates proposées, les présences et le groupe. La photo de l’avatar ne peut être téléchargée qu’avec une connexion valide, et seulement par quelqu’un qui partage au moins une campagne avec toi. Personne ne voit ton adresse e-mail.
• Le chat, les dates proposées et le calendrier des séances ne sont visibles que par les membres de la campagne : le MJ et ceux qui y jouent avec un personnage. Chacun voit qui a répondu quoi et qui était présent. Les messages du chat ne peuvent être ni supprimés ni modifiés, ni par leur auteur ni par le MJ : c’est là qu’on se met d’accord. Si tu quittes la campagne, tu ne le lis plus, et tes messages restent avec ton nom ; si tu supprimes ton compte, en revanche, ils disparaissent (voir « Pendant combien de temps »).

Ce que nous ne faisons pas, et c’est vérifiable

• Nous ne demandons jamais ta position.
• Aucun outil d’analyse, aucun outil de suivi des plantages, aucun traçage publicitaire. L’application n’inclut aucune bibliothèque de ce type : de Firebase, nous n’utilisons que l’acheminement des notifications, ni Google Analytics ni Crashlytics.
• Aucune publicité et aucun profilage. Nous ne prenons aucune décision automatisée à ton sujet.
• Les notifications disent le minimum. Elles passent par les serveurs de Google, elles ne contiennent donc jamais ton e-mail ni rien de la fiche ou des secrets du MJ (voir « Les notifications », ci-dessous).
• Nous ne vendons ni ne cédons tes données à personne.

L’infrastructure qui héberge le service (Cloudflare) traite les données techniques de connexion pour la sécurité du réseau, selon sa propre politique de confidentialité.

Pourquoi nous les traitons, et sur quelle base légale

• Pour te permettre d’utiliser l’application, d’enregistrer et de synchroniser personnages et campagnes et de jouer avec qui tu veux : exécution du contrat (art. 6.1.b du RGPD).
• Pour la sécurité du service et la prévention des abus — le frein sur les tentatives de connexion, la limite de 300 images par compte : intérêt légitime (art. 6.1.f).
• Pour respecter les obligations légales qui nous concernent : obligation légale (art. 6.1.c).

Où sont les données, et à qui nous les confions

Le stockage se fait sur l’infrastructure de Cloudflare : la base de données (D1) et les images (R2) se trouvent toutes deux dans la région européenne EEUR. Le trafic entre l’application et le serveur est toujours chiffré (HTTPS).

Vers les États-Unis, le transfert repose sur les garanties prévues au chapitre V du RGPD (clauses contractuelles types). Notre accès aux données est limité à ceux qui gèrent techniquement le service, et uniquement pour la maintenance.

Les images ne sont pas publiques : chacune ne peut être téléchargée qu’avec une connexion valide, et le serveur vérifie que la personne qui la demande peut voir l’élément auquel elle appartient — le portrait d’un PNJ pas encore révélé n’arrive pas aux joueurs.

Les notifications

Les notifications push sont envoyées par notre serveur quand il se passe quelque chose dans le chat ou le calendrier de l’une de tes campagnes : un nouveau message dans le chat, une date proposée, une séance confirmée par le MJ. Elles n’arrivent que si tu les acceptes : l’application te demande l’autorisation la première fois que tu ouvres le chat ou proposes une date, jamais au démarrage.

• Ce qui y est écrit : le nom de la campagne, le nom de la personne qui écrit ou propose, la date et l’heure et, pour les messages, le début du texte (120 caractères au maximum). Ce texte passe par les serveurs de Google, et sur iPhone par ceux d’Apple, pour arriver jusqu’à toi. Si tu ne veux pas le lire dans le volet des notifications, désactive l’aperçu dans les réglages du téléphone, ou les messages du chat dans l’application.
• Uniquement aux membres de la campagne, jamais à la personne qui a fait l’action, et jamais depuis une campagne archivée.
• Tu les désactives quand tu veux : par type depuis Plus (messages du chat, dates proposées, séances confirmées), ou toutes depuis les réglages du téléphone. Les interrupteurs sont sur le serveur, parce que c’est lui qui décide quoi envoyer, et ils valent sur chaque appareil de ton compte.
• Le jeton du téléphone est supprimé quand tu te déconnectes, quand tu te connectes depuis un autre appareil, quand tu demandes la suppression, quand Firebase nous indique qu’il n’est plus valide, et après 60 jours pendant lesquels l’application ne s’est pas manifestée.
• Sur ordinateur (Mac et Windows), il n’y a pas de notifications push.

À la table, sur le même réseau

Pendant une séance, le MJ peut ouvrir la table sur le réseau Wi-Fi (ou sur le partage de connexion de son téléphone) : à partir de là, les appareils communiquent directement, sans passer par internet ni par notre serveur, et les modifications arrivent tout de suite. Le serveur continue de tout enregistrer comme d’habitude.

• Ce que voit quiconque est sur le même réseau : l’appareil du MJ annonce la table avec le nom de la campagne (et un identifiant technique), donc tout appareil connecté à ce réseau peut la voir.
• Qui s’assoit : seulement ceux qui ont un personnage dans la campagne et saisissent le code de la table ou scannent son code QR. L’appareil du joueur envoie au MJ l’identifiant de son compte et son nom.
• Ce qui circule : les mêmes informations de la campagne que celles qui arriveraient du serveur, avec les mêmes filtres : les secrets du MJ n’arrivent pas aux joueurs. En plus, les jets de dés demandés, effectués et montrés, et les repos.
• ⚠️ Sur le réseau local, la connexion n’est pas chiffrée : utilise-la sur un réseau de confiance, comme celui de chez toi ou le partage de connexion du MJ.
• Sur iPhone et Mac, l’application te demande pour cela l’autorisation d’accéder au réseau local. Si tu la refuses, le reste de l’application fonctionne comme d’habitude, avec la synchronisation normale.

Tout reste aussi sur ton appareil

Tavernario fonctionne sans réseau — dans une taverne sans couverture, dans une maison de campagne — parce que personnages et campagnes sont aussi enregistrés en entier sur l’appareil ; la synchronisation sert à en garder une copie en lieu sûr, à les retrouver ailleurs et à jouer avec les autres. Quand tu te déconnectes, personnages, campagnes et images sont retirés de l’appareil. Restent les préférences de l’appareil (langue et thème), le Pro s’il était actif sur cet appareil et, pour ta prochaine connexion, les statistiques de tes jets, les rencontres terminées et ton médaillier, qui ne quittent jamais l’appareil.

Pendant combien de temps

Tant que tu gardes ton compte. Si tu le supprimes, les connexions prennent fin immédiatement et les données restent 30 jours : c’est le délai pour changer d’avis. À l’échéance, la suppression a lieu pour de bon, lors du nettoyage suivant du serveur : il est déclenché par la première connexion ou inscription de n’importe qui, au plus une fois toutes les 6 heures. ⚠️ Ce qui concerne aussi les autres joueurs — les personnages qui restent dans leurs campagnes, les copies de tes contenus qu’utilisent leurs fiches — est expliqué sur la page Supprimer son compte Tavernario. Un compte jamais confirmé se supprime tout seul au bout de 24 heures, lors du nettoyage suivant.

Avec le compte disparaissent aussi tes messages dans le chat, tes réponses aux dates proposées, les jetons des notifications et les données de l’achat du Pro ; les dates que tu as proposées restent dans la campagne, sans ton nom. Le chat, les dates et le calendrier d’une campagne sont supprimés quand le MJ supprime la campagne. Firebase ne garde une notification que jusqu’à ce qu’il la délivre (quatre semaines au maximum, si le téléphone reste éteint).

Si tu supprimes un seul élément, une trace technique vide de la suppression reste pendant une courte période, nécessaire pour la propager aux autres appareils.

Tes droits

Tu peux demander l’accès, la rectification, l’effacement, la limitation, la portabilité des données et t’opposer au traitement, en écrivant à info@linchettostudio.com. Deux d’entre eux ne demandent d’écrire à personne, parce qu’ils sont dans l’application :

• Exporter tes données dans un fichier ZIP (un fichier JSON et tes images), gratuitement et sans limite — depuis Plus → Compte → Exporter mes données. Il contient ton compte (e-mail, nom, langue), tes personnages, les campagnes dont tu es MJ avec tout ce qu’elles contiennent, les contenus que tu as créés, les cartes, les résumés que tu as écrits et tes images. Les fiches des autres joueurs sont à eux et n’y figurent pas. N’y figurent pas non plus ton avatar, les messages du chat, les dates proposées et les réponses, les données du Pro et les réglages des notifications, qui sont sur le serveur (tu peux nous les demander par e-mail), ni les statistiques de tes jets et ton médaillier, qui restent sur l’appareil.
• Supprimer le compte — depuis Plus → Compte → Supprimer le compte. Les instructions complètes sont sur la page Supprimer son compte Tavernario.

Tu as aussi le droit d’introduire une réclamation auprès du Garante per la protezione dei dati personali (l’autorité italienne de protection des données).

Appareil photo, galerie et fichiers

Tavernario demande l’accès à l’appareil photo ou à la galerie (sur ordinateur, à un fichier) uniquement quand tu choisis d’ajouter une image à un personnage, à un PNJ, à un lieu, à un objet ou à un résumé, ou une photo à toi comme avatar ; et l’appareil photo aussi quand tu scannes le code QR de la table, qui est lu sur l’appareil et n’est ni enregistré ni envoyé. Les images sont réduites sur l’appareil (1024 pixels de côté au maximum) avant de le quitter. Il n’y a aucune analyse automatique des images.

Sécurité

Les mots de passe, les jetons d’accès et les codes sont conservés uniquement sous forme d’empreintes chiffrées et non réversibles, jamais en clair. Le jeton de ton appareil est gardé dans le trousseau du système. Réinitialiser le mot de passe met fin à toutes les connexions, sur tous les appareils, tout comme la demande de suppression. Les codes de confirmation et de récupération expirent et, après quelques tentatives erronées, ne sont plus utilisables. Qui peut écrire quoi dans une campagne, c’est le serveur qui le contrôle, pas seulement l’application.

Mineurs

Le service ne s’adresse pas aux enfants de moins de 14 ans (l’âge du consentement numérique en Italie ; dans d’autres pays de l’Union européenne, il peut aller jusqu’à 16 ans).

Modifications

Si cette politique change de manière substantielle, nous te le dirons dans l’application avant que les modifications prennent effet. Chaque version est publiée à cette adresse avec sa date.

Cette traduction est fournie pour faciliter la lecture ; en cas de divergence, la version italienne fait foi.

En resumen

Tavernario es la aplicación para jugar a rol en la mesa: la hoja de tu personaje y, si diriges la partida como GM, tu campaña. Para que no los pierdas con el teléfono, para que los encuentres en otro dispositivo y para jugar con tus amigos, la aplicación usa una cuenta y guarda tus datos en un servidor europeo. No los vendemos, no los usamos para elaborar tu perfil, no hay publicidad ni ninguna herramienta de seguimiento. Puedes exportarlo todo y eliminar tu cuenta cuando quieras, desde la propia aplicación. Las notificaciones push, si las aceptas, pasan por el servicio de Google (Firebase) y, en iPhone, por el de Apple.

• Responsable del tratamiento: Linchetto Studio — Wanesa Kowal
• Contacto: info@linchettostudio.com

Qué datos tratamos

Para la cuenta: tu dirección de correo electrónico, el nombre que eliges, tu avatar (un dibujo de la aplicación o, con Tavernario Pro, una foto tuya, guardada en el servidor como las demás imágenes), el idioma, la contraseña (guardada solo como huella cifrada e irreversible), las fechas de registro y de última modificación. De cada inicio de sesión quedan la huella cifrada del token, el tipo de sistema (por ejemplo iOS o macOS) y las fechas de creación y caducidad.

Lo que creas en el juego: tus personajes (hoja, puntos de golpe, estados, inventario, experiencia, notas); las campañas que diriges como GM (PNJ, lugares, secretos, escenas, mapas, encuentros, diario, reglas de la campaña); los contenidos que creas (clases, especies, armas, conjuros, monstruos…); los resúmenes de las sesiones; y las imágenes que decides añadir.

Para la confirmación de la dirección y la recuperación de la contraseña: la huella cifrada del código de seis cifras, el número de intentos y la caducidad. El código en claro nunca se guarda.

Para proteger las cuentas de los intentos de adivinar la contraseña: cuando un inicio de sesión falla, contamos durante 15 minutos los intentos fallidos vinculados al correo escrito y a la dirección IP desde la que llegan; por encima de un umbral, el inicio de sesión se bloquea durante un cuarto de hora. Estos recuentos se borran en la primera limpieza del servidor pasada una hora (consulta «Durante cuánto tiempo»). Es el único uso que hacemos de tu dirección IP.

Para la sincronización: un registro de qué filas han cambiado y en qué orden, que sirve para llevar los cambios a los demás dispositivos: los tuyos y los de quienes juegan contigo. Y, si una campaña requiere la aprobación del GM, la solicitud de entrada (qué personaje, quién la hace, cuándo).

Para organizar las sesiones: las sesiones jugadas (fecha, hora de inicio y de fin, quién estaba presente, una nota del GM); las fechas propuestas para jugar (quién las propone, día y hora, una nota) y las respuestas de cada uno (sí, no, quizá); los mensajes del chat de la campaña, con el nombre de quien escribe y la hora, y hasta dónde lo ha leído cada uno.

Para las notificaciones push, si las aceptas: el código que Firebase asigna a la aplicación en tu teléfono (el «token»), el sistema (android o ios), la diferencia de tu zona horaria respecto a UTC (para escribirte la hora de la sesión tal como la lees tú), cuándo se registró y la última vez que la aplicación dio señales de vida; y tus tres interruptores de notificaciones.

Si compras Tavernario Pro: la tienda (Apple o Google), el producto, el código de la transacción y el recibo que la tienda entrega a la aplicación, y la fecha. Sirven para que el Pro valga en tu cuenta, en todos los dispositivos. El pago lo gestiona la tienda: nunca vemos tu tarjeta ni tus datos de pago.

⚠️ En la mesa, quién ve qué

Esta es la parte en la que los datos no son solo tuyos, y vale la pena explicarla bien.

• El GM de una campaña ve las hojas de los personajes que juegan en ella, y puede corregir sus puntos de golpe, estados, objetos y experiencia. No puede modificar el resto de la hoja ni eliminarla.
• Los demás jugadores de la misma campaña ven las hojas del grupo, el diario y los resúmenes.
• Los secretos del GM se quedan con el GM. Los PNJ y lugares aún no revelados, los apuntes, las escenas preparadas y las fichas ocultas no llegan a los dispositivos de los jugadores: el filtro lo hace el servidor, no la aplicación.
• Quien tiene el código de una campaña ve, antes de entrar, el nombre de la campaña, el nombre del GM, las reglas y los contenidos que el GM ha creado para esa campaña. El código es la invitación: dáselo solo a quien quieras en tu mesa.
• Si pides entrar en una campaña con aprobación, el GM ve la hoja del personaje y tu nombre antes de decidir.
• Tu nombre y tu avatar los ve quien juega contigo en al menos una campaña: en el chat, en las fechas propuestas, en las asistencias y en el grupo. La foto del avatar solo se puede descargar con una sesión válida, y solo puede hacerlo quien comparte contigo al menos una campaña. Nadie ve tu dirección de correo.
• El chat, las fechas propuestas y el calendario de las sesiones solo los ven los miembros de la campaña: el GM y quienes juegan en ella con un personaje. Cada uno ve quién ha respondido qué y quién estuvo presente. Los mensajes del chat no se pueden eliminar ni modificar, ni por quien los escribió ni por el GM: es donde el grupo se pone de acuerdo. Si dejas la campaña, ya no lo lees, y tus mensajes se quedan con tu nombre; en cambio, si eliminas la cuenta, desaparecen (consulta «Durante cuánto tiempo»).

Lo que no hacemos, y se puede comprobar

• Nunca te pedimos tu ubicación.
• Sin analítica, sin detectores de errores, sin seguimiento publicitario. La aplicación no incluye ninguna biblioteca de ese tipo: de Firebase solo usamos el envío de notificaciones, ni Google Analytics ni Crashlytics.
• Sin publicidad y sin elaboración de perfiles. No tomamos decisiones automatizadas sobre ti.
• Las notificaciones dicen lo mínimo. Pasan por los servidores de Google, así que nunca contienen tu correo ni nada de la hoja o de los secretos del GM (consulta «Las notificaciones», más abajo).
• No vendemos ni cedemos tus datos a nadie.

La infraestructura que aloja el servicio (Cloudflare) trata los datos técnicos de conexión para la seguridad de la red, según su propia política de privacidad.

Por qué los tratamos y con qué base jurídica

• Para que puedas usar la aplicación, guardar y sincronizar personajes y campañas y jugar con quien quieras: ejecución del contrato (art. 6.1.b RGPD).
• Para la seguridad del servicio y la prevención de abusos (el freno a los intentos de inicio de sesión, el límite de 300 imágenes por cuenta): interés legítimo (art. 6.1.f).
• Para cumplir las obligaciones legales que nos afectan: obligación legal (art. 6.1.c).

Dónde están los datos y a quién se los confiamos

El almacenamiento está en la infraestructura de Cloudflare: la base de datos (D1) y las imágenes (R2) están ambas en la región europea EEUR. El tráfico entre la aplicación y el servidor siempre está cifrado (HTTPS).

La transferencia a Estados Unidos se basa en las garantías previstas en el capítulo V del RGPD (cláusulas contractuales tipo). Nuestro acceso a los datos se limita a quien gestiona técnicamente el servicio, y solo para el mantenimiento.

Las imágenes no son públicas: cada una solo se puede descargar con una sesión válida, y el servidor comprueba que quien la pide pueda ver aquello a lo que pertenece; el retrato de un PNJ aún no revelado no llega a los jugadores.

Las notificaciones

Las notificaciones push las envía nuestro servidor cuando pasa algo en el chat o en el calendario de una de tus campañas: un mensaje nuevo en el chat, una fecha propuesta, una sesión confirmada por el GM. Solo llegan si las aceptas: la aplicación te pide el permiso la primera vez que abres el chat o propones una fecha, nunca al iniciarse.

• Qué dicen: el nombre de la campaña, el nombre de quien escribe o propone, la fecha y la hora y, en los mensajes, el comienzo del texto (120 caracteres como máximo). Este texto pasa por los servidores de Google, y en iPhone por los de Apple, para llegar hasta ti. Si no quieres leerlo en el panel de notificaciones, desactiva la vista previa en los ajustes del teléfono, o los mensajes del chat en la aplicación.
• Solo a los miembros de la campaña, nunca a quien hizo la acción, y nunca desde una campaña archivada.
• Las desactivas cuando quieras: por tipo desde Más (mensajes del chat, fechas propuestas, sesiones confirmadas), o todas desde los ajustes del teléfono. Los interruptores están en el servidor, porque es él quien decide qué enviar, y valen en todos los dispositivos de tu cuenta.
• El token del teléfono se elimina cuando cierras sesión, cuando inicias sesión desde otro dispositivo, cuando solicitas la eliminación, cuando Firebase nos dice que ya no es válido y tras 60 días en los que la aplicación no da señales de vida.
• En el ordenador (Mac y Windows) no hay notificaciones push.

En la mesa, en la misma red

Durante una sesión, el GM puede abrir la mesa en la red wifi (o en el punto de acceso de su teléfono): desde ese momento los dispositivos se comunican directamente, sin pasar por internet ni por nuestro servidor, y los cambios llegan al instante. El servidor sigue guardándolo todo como siempre.

• Qué ve cualquiera que esté en la misma red: el dispositivo del GM anuncia la mesa con el nombre de la campaña (y un identificador técnico), así que cualquier dispositivo conectado a esa red puede verla.
• Quién se sienta: solo quien tiene un personaje en la campaña y escribe el código de la mesa o escanea su código QR. El dispositivo del jugador envía al GM el identificador de su cuenta y su nombre.
• Qué se transmite: la misma información de la campaña que llegaría del servidor, con los mismos filtros: los secretos del GM no llegan a los jugadores. Además, las tiradas de dados pedidas, hechas y mostradas, y los descansos.
• ⚠️ En la red local la conexión no está cifrada: úsala en una red de confianza, como la de tu casa o el punto de acceso del GM.
• En iPhone y Mac, la aplicación te pide para ello permiso para acceder a la red local. Si lo deniegas, el resto de la aplicación funciona como siempre, con la sincronización normal.

Todo se queda también en tu dispositivo

Tavernario funciona sin conexión (en una taberna sin cobertura, en una casa de campo) porque los personajes y las campañas están guardados por completo también en el dispositivo; la sincronización sirve para tener una copia a salvo, encontrarlos en otro lugar y jugar con los demás. Al cerrar sesión, los personajes, las campañas y las imágenes se quitan del dispositivo. Se quedan las preferencias del dispositivo (idioma y tema), el Pro si estaba activo en ese dispositivo y, para cuando vuelvas a entrar, las estadísticas de tus tiradas, los encuentros terminados y tu medallero, que nunca salen del dispositivo.

Durante cuánto tiempo

Mientras conserves la cuenta. Si la eliminas, las sesiones se cierran de inmediato y los datos se quedan 30 días: es el plazo para cambiar de opinión. Al vencer, la eliminación se produce de verdad, en la siguiente limpieza del servidor: la pone en marcha el primer inicio de sesión o registro de cualquier persona, como máximo una vez cada 6 horas. ⚠️ Lo que afecta también a los demás jugadores (los personajes que se quedan en sus campañas, las copias de tus contenidos que usan sus hojas) se explica en la página Eliminar la cuenta de Tavernario. Una cuenta nunca confirmada se elimina sola al cabo de 24 horas, en la siguiente limpieza.

Con la cuenta se van también tus mensajes en el chat, tus respuestas a las fechas propuestas, los tokens de las notificaciones y los datos de la compra del Pro; las fechas que propusiste se quedan en la campaña, sin tu nombre. El chat, las fechas y el calendario de una campaña se eliminan cuando el GM elimina la campaña. Firebase guarda una notificación solo hasta que la entrega (cuatro semanas como máximo, si el teléfono sigue apagado).

Si eliminas un solo elemento, durante un breve periodo queda una marca técnica vacía de la eliminación, necesaria para propagarla a los demás dispositivos.

Tus derechos

Puedes solicitar el acceso, la rectificación, la supresión, la limitación y la portabilidad de los datos, y oponerte al tratamiento, escribiendo a info@linchettostudio.com. Dos de ellos no requieren escribir a nadie, porque están en la aplicación:

• Exportar tus datos en un archivo ZIP (un archivo JSON y tus imágenes), gratis y sin límites, desde Más → Cuenta → Exportar mis datos. Contiene tu cuenta (correo, nombre, idioma), tus personajes, las campañas que diriges como GM con todo lo que contienen, los contenidos que has creado, los mapas, los resúmenes que has escrito y tus imágenes. Las hojas de los demás jugadores son suyas y no están incluidas. Tampoco lo están tu avatar, los mensajes del chat, las fechas propuestas con sus respuestas, los datos del Pro y los ajustes de las notificaciones, que están en el servidor (puedes pedírnoslos por correo), ni las estadísticas de tus tiradas y tu medallero, que se quedan en el dispositivo.
• Eliminar la cuenta, desde Más → Cuenta → Eliminar cuenta. Las instrucciones completas están en la página Eliminar la cuenta de Tavernario.

También tienes derecho a presentar una reclamación ante el Garante per la protezione dei dati personali (la autoridad italiana de protección de datos).

Cámara, galería y archivos

Tavernario pide acceso a la cámara o a la galería (en el ordenador, a un archivo) solo cuando decides añadir una imagen a un personaje, a un PNJ, a un lugar, a un objeto o a un resumen, o una foto tuya como avatar; y a la cámara también cuando escaneas el código QR de la mesa, que se lee en el dispositivo y no se guarda ni se envía. Las imágenes se reducen en el dispositivo (1024 píxeles por lado como máximo) antes de salir de él. No hay ningún análisis automático de las imágenes.

Seguridad

Las contraseñas, los tokens de acceso y los códigos se guardan solo como huellas cifradas e irreversibles, nunca en claro. El token de tu dispositivo se guarda en el llavero del sistema. Restablecer la contraseña cierra todas las sesiones, en todos los dispositivos, y lo mismo hace la solicitud de eliminación. Los códigos de confirmación y de recuperación caducan y, tras pocos intentos fallidos, dejan de poder usarse. Quién puede escribir qué en una campaña lo controla el servidor, no solo la aplicación.

Menores

El servicio no está dirigido a menores de 14 años (la edad del consentimiento digital en Italia; en otros países de la Unión Europea puede llegar a 16).

Cambios

Si esta política cambia de forma sustancial, te lo diremos en la aplicación antes de que los cambios surtan efecto. Cada versión se publica en esta dirección con su fecha.

Esta traducción se ofrece para facilitar la lectura; en caso de discrepancia, prevalece la versión italiana.