Informativa sul trattamento dei dati personali

Poker Clubs Italia — Informativa comune per l’applicazione mobile, la dashboard web e il sito.

Versione: 1.0
Ultimo aggiornamento: 12 luglio 2026
In vigore dal: 12 luglio 2026

La presente Informativa è resa ai sensi degli artt. 13 e 14 del Regolamento (UE) 2016/679 (“GDPR”) e del D.lgs. 196/2003 come modificato dal D.lgs. 101/2018 (“Codice Privacy”). Descrive come Poker Clubs Italia tratta i dati personali degli utenti dell’app mobile, della dashboard web per i gestori e del sito.

Indice

Titolare del trattamento e contatti
Ambito, definizioni e ruoli
Categorie di dati personali trattati
Finalità e basi giuridiche
Natura del conferimento
Modalità del trattamento e sicurezza
Destinatari e responsabili del trattamento
Trasferimenti di dati verso Paesi terzi
Periodo di conservazione
Diritti dell’interessato
Tutela dei minori
Cookie e strumenti di tracciamento
Rapporto tra Poker Clubs Italia e i Club
Modifiche all’Informativa
Reclami all’Autorità di controllo

1. Titolare del trattamento e contatti

Il Titolare del trattamento è Federico Infelici, ditta individuale, con sede legale in C.S. Burcinella 220/D, 52044 Cortona (AR), Italia, P.IVA/C.F. 02427350513 ([[ REA / N. ISCRIZIONE — se applicabile ]]), in persona del legale rappresentante pro tempore (di seguito “Poker Clubs Italia”, il “Titolare”, “noi”).

Email di contatto: info@pokerclubs.app
Email dedicata alla privacy: info@pokerclubs.app
PEC: federico.infelici@pec.it

Responsabile della protezione dei dati (DPO). Il Titolare non ha nominato un DPO, non essendo tenuto alla nomina ai sensi dell’art. 37 GDPR.

2. Ambito, definizioni e ruoli

La presente Informativa si applica ai seguenti servizi (congiuntamente, la “Piattaforma”):

l’App mobile “Poker Clubs Italia” per iOS e Android, rivolta ai giocatori, che consente di scoprire i club e gli eventi di poker sportivo, di prenotare la partecipazione e di richiedere l’adesione ai club;
la Dashboard web (dashboard.pokerclubs.app), rivolta ai gestori dei club, che consente di gestire la pagina del club, gli eventi, le prenotazioni, i contenuti e le comunicazioni;
il Sito (pokerclubs.app), sito informativo e di presentazione del servizio.

Definizioni. “Giocatore” = utente dell’App. “Gestore” = titolare o incaricato di un club che utilizza la Dashboard. “Club” = circolo/associazione o esercizio che pubblica la propria attività sulla Piattaforma. “Dati personali”, “trattamento”, “titolare”, “responsabile”, “interessato” hanno il significato di cui all’art. 4 GDPR.

Natura del servizio. Poker Clubs Italia è uno strumento tecnico e informativo di scoperta e gestione. La Piattaforma non organizza né offre gioco d’azzardo con vincite in denaro e non gestisce puntate, incassi o pagamenti di gioco. Le eventuali attività di gioco si svolgono presso i club, sotto l’esclusiva responsabilità di questi ultimi. Ciò rileva anche ai fini privacy: rispetto ai dati dei propri membri trattati dal Gestore per il tramite della Dashboard, i ruoli sono descritti alla sezione 13.

3. Categorie di dati personali trattati

A seconda del servizio utilizzato e delle azioni compiute, trattiamo le seguenti categorie di dati.

3.1 Dati di registrazione e di account

Nome, indirizzo email, password (conservata esclusivamente come hash crittografico, mai in chiaro), eventuale numero di telefono (facoltativo), provincia, immagine del profilo (avatar, facoltativa), tipologia di utente (giocatore/gestore/amministratore), stato di verifica dell’email.

3.2 Consensi e dichiarazioni

Accettazione dei Termini e Condizioni, consenso marketing/newsletter (facoltativo), dichiarazione di maggiore età (18+) e relativo timestamp di conferimento (adult_declaration_at), conservato ai fini di prova e audit del consenso.

In caso di accesso tramite Google o Apple, l’identificativo univoco fornito dal provider (google_id / apple_id), l’email e il nome comunicati dal provider stesso (l’email è associata all’account solo se verificata dal provider).

3.4 Dati d’uso e dati tecnici

Dati generati dall’interazione con la Piattaforma: log applicativi e di sicurezza, indirizzo IP, user‑agent, log di accesso HTTP, identificativi di sessione (token JWT). Sul Sito e sulla Dashboard sono utilizzati esclusivamente cookie/strumenti tecnici (vedi sezione 12).

3.5 Dati di geolocalizzazione

Su espressa autorizzazione dell’utente, l’App accede alla posizione del dispositivo (“quando in uso”) al solo scopo di mostrare i club più vicini e calcolare le distanze. Le coordinate sono trattate in modo transitorio per la singola richiesta e non sono memorizzate in modo persistente nei nostri database; se l’autorizzazione non è concessa, le distanze sono calcolate a partire dalla provincia. Le coordinate dei club derivano invece dalla geocodifica dell’indirizzo pubblico del club, eseguita lato server.

Nota tecnica: poiché le coordinate del dispositivo possono transitare come parametri della richiesta, esse possono comparire temporaneamente nei log tecnici di accesso; tali log sono soggetti a rotazione e non sono utilizzati per profilazione.

3.6 Dati del dispositivo e notifiche push

Per l’invio delle notifiche push: token push del dispositivo, sistema operativo (iOS/Android), nome del dispositivo, versione dell’app, data dell’ultimo accesso del dispositivo.

3.7 Contenuti caricati dagli utenti

Immagini e materiali caricati (es. foto e loghi dei club, immagini di eventi, immagini di riferimento per la generazione di volantini), con i relativi metadati tecnici (nome file, tipo, dimensione) e l’identità dell’utente che li ha caricati.

3.8 Prenotazioni ed eventi

Per le prenotazioni: riferimento all’evento, stato, eventuali note. Per gli inserimenti manuali effettuati dai Gestori (giocatori “ospite” non registrati): nome e telefono dell’ospite comunicati dal Gestore.

3.9 Adesioni e inviti

Adesioni ai club (stato, date) ed eventuali email di invito di persone non ancora registrate.

3.10 Dati dei contatti commerciali (Lead)

Per chi compila il form contatti del Sito: nome, nome del club, città/provincia, telefono, orario di contatto preferito, messaggio, oltre a indirizzo IP e user‑agent raccolti per finalità di sicurezza e anti‑abuso.

3.11 Dati di pagamento (solo Gestori)

Per l’abbonamento alla Dashboard, i pagamenti sono gestiti dal fornitore Stripe. Noi conserviamo unicamente identificativi pseudonimi (es. ID cliente e ID abbonamento Stripe) e i dati di stato dell’abbonamento; non trattiamo né conserviamo i dati completi della carta di pagamento, raccolti direttamente da Stripe sulle proprie pagine sicure.

3.12 Dati delle integrazioni connesse dai Gestori

Se un Gestore connette account di terze parti (Facebook, Instagram, WhatsApp), trattiamo i relativi token di accesso (conservati cifrati), gli identificativi di pagina/account e i contenuti pubblicati. Vedi sezione 13.

3.13 Log amministrativi e di audit

Per finalità di sicurezza e tracciabilità, registriamo i log di eventuali accessi amministrativi “in impersonificazione” (login‑as), inclusi email e nome dell’amministratore e dell’utente interessato, IP e user‑agent. Tali log hanno natura di registro di audit e possono conservare i dati anche dopo la cancellazione dell’account interessato (vedi sezione 9).

3.14 Analytics dell’App

Nell’App è integrato Firebase Analytics (Google) per finalità statistiche e di miglioramento del prodotto (schermate visualizzate, eventi d’uso, un identificativo utente e proprietà quali la provincia). Su iOS viene mostrato il prompt di App Tracking Transparency. Il trattamento è disciplinato alla sezione 12.

4. Finalità e basi giuridiche

#	Finalità	Categorie di dati	Base giuridica (art. 6 GDPR)
a	Creazione e gestione dell’account; erogazione dei servizi della Piattaforma (scoperta club, prenotazioni, adesioni, gestione club)	3.1, 3.3, 3.7, 3.8, 3.9	Esecuzione del contratto e di misure precontrattuali — art. 6.1.b
b	Gestione dell’abbonamento e dei pagamenti (Gestori)	3.11	Esecuzione del contratto — art. 6.1.b
c	Invio di notifiche push di servizio e comunicazioni relative al servizio	3.6	Esecuzione del contratto / legittimo interesse — art. 6.1.b/f
d	Geolocalizzazione per mostrare i club vicini	3.5	Consenso dell’interessato (autorizzazione di sistema) — art. 6.1.a
e	Marketing e newsletter	3.1, 3.10	Consenso — art. 6.1.a
f	Statistiche e miglioramento del prodotto (analytics App)	3.14	Consenso (opt‑out/ATT) — art. 6.1.a
g	Sicurezza, prevenzione abusi e frodi, tracciabilità e audit	3.4, 3.10, 3.13	Legittimo interesse — art. 6.1.f
h	Gestione dei contatti commerciali provenienti dal form del Sito	3.10	Misure precontrattuali / legittimo interesse — art. 6.1.b/f
i	Adempimento di obblighi di legge (contabili, fiscali, richieste dell’Autorità)	3.1, 3.11, 3.13	Obbligo legale — art. 6.1.c
l	Prova del consenso alla maggiore età e ai Termini	3.2	Obbligo legale / legittimo interesse — art. 6.1.c/f

Ove il trattamento si fondi sul legittimo interesse, l’interessato può ottenere informazioni sul bilanciamento effettuato e opporsi ai sensi dell’art. 21 GDPR (vedi sezione 10).

5. Natura del conferimento

Il conferimento dei dati contrassegnati come obbligatori in fase di registrazione (nome, email, password o accesso social, accettazione dei Termini e dichiarazione 18+) è necessario per la creazione dell’account e la fruizione dei servizi: il mancato conferimento impedisce la registrazione. Il conferimento di dati facoltativi (telefono, provincia, avatar, consenso marketing, geolocalizzazione) è libero e la sua mancanza comporta unicamente l’indisponibilità delle relative funzioni.

6. Modalità del trattamento e sicurezza

I dati sono trattati con strumenti elettronici, nel rispetto dei principi di liceità, correttezza, minimizzazione e limitazione delle finalità (art. 5 GDPR), e con misure tecniche e organizzative adeguate (art. 32 GDPR), tra cui:

hashing delle password e dei codici di reset con algoritmo bcrypt;
cifratura dei token delle integrazioni social e delle sessioni WhatsApp;
autenticazione a token (JWT) con scadenza; sessioni di impersonificazione a durata limitata;
trasmissione dei dati su canali cifrati (TLS/HTTPS);
controllo degli accessi e segregazione dei ruoli.

Nonostante l’adozione di misure adeguate, nessun sistema può garantire una sicurezza assoluta; invitiamo gli utenti a custodire con cura le proprie credenziali.

7. Destinatari e responsabili del trattamento

I dati possono essere comunicati a soggetti che agiscono quali responsabili del trattamento (art. 28 GDPR) o titolari autonomi, nei limiti necessari alle finalità sopra indicate. I principali fornitori sono:

Fornitore	Dati trattati	Finalità	Paese / Trasferimento
Stripe	Nome club, email del Gestore, identificativi abbonamento (dati carta raccolti da Stripe)	Fatturazione e gestione abbonamenti	USA (extra‑UE)
Backblaze B2	Immagini caricate (foto, loghi, volantini)	Archiviazione dei file	Fornitore USA, dati archiviati in regione UE (`eu-central-003`)
Google (Gemini)	Testi dell’evento, nome/indirizzo/telefono del club, logo e foto del club, immagini di riferimento	Generazione AI dei volantini	USA (extra‑UE)
Anthropic (Claude)	Testi relativi a evento/club	Generazione AI di testi per messaggi	USA (extra‑UE)
Google Sign‑In	Token identità, email, nome	Autenticazione (login social)	USA (extra‑UE)
Apple Sign‑In	Token identità, email, nome	Autenticazione (login social)	USA (extra‑UE)
Expo + Apple APNs + Google FCM	Token push, piattaforma, contenuto della notifica	Invio notifiche push	USA (extra‑UE)
Meta (Facebook/Instagram)	Token (cifrati), ID pagina/account, testo e immagini pubblicati	Pubblicazione dei contenuti del club	USA (extra‑UE)
WhatsApp (Meta)	Numero del club, numeri dei destinatari, testo e immagini dei messaggi	Invio messaggi ai membri (funzione attivata dal Gestore)	USA (extra‑UE)
Provider email (SMTP)	Email e nome del destinatario, contenuto delle email di servizio	Invio email transazionali/di servizio	[[ REGIONE_HOSTING_SMTP — server proprio mail.pokerclubs.app, da confermare ]]
Nominatim / OpenStreetMap	Indirizzo pubblico del club	Geocodifica indirizzo → coordinate	UE/UK
Firebase Analytics (Google) — solo App	Identificativo utente, eventi/schermate, proprietà (es. provincia)	Statistiche e miglioramento del prodotto	USA (extra‑UE)
OpenFreeMap — solo App	Indirizzo IP del dispositivo	Rendering delle mappe	UE (verificare hosting)

Inoltre, i dati sono trattati dal personale autorizzato del Titolare e possono essere comunicati a consulenti, professionisti e fornitori di servizi IT che agiscono come responsabili, nonché ad Autorità pubbliche ove richiesto per legge.

Hosting dell’infrastruttura. Il server applicativo e il database (dove i dati personali sono conservati) sono ospitati presso [[ PROVIDER_HOSTING E REGIONE — da confermare ]].

L’elenco aggiornato dei responsabili del trattamento può essere richiesto scrivendo all’indirizzo di contatto privacy.

8. Trasferimenti di dati verso Paesi terzi

Alcuni fornitori sopra elencati hanno sede o infrastrutture al di fuori dell’Unione Europea (in particolare negli Stati Uniti). In tali casi il trasferimento avviene sulla base di adeguate garanzie ai sensi degli artt. 44‑49 GDPR, quali:

l’adesione dei fornitori all’EU‑U.S. Data Privacy Framework (ove applicabile), e/o
le Clausole Contrattuali Tipo (Standard Contractual Clauses) approvate dalla Commissione europea ai sensi dell’art. 46 GDPR, con misure supplementari ove necessario.

Copia delle garanzie adottate può essere richiesta scrivendo all’indirizzo di contatto privacy.

9. Periodo di conservazione

Categoria	Criterio di conservazione
Dati dell’account	Per tutta la durata dell’account. In caso di disattivazione i dati sono conservati in modalità soft‑delete per il tempo necessario ad adempimenti e difesa dei diritti, quindi cancellati o anonimizzati
Consensi e timestamp (18+, Termini)	Per il tempo necessario a provare l’avvenuto consenso
Token push del dispositivo	Rimozione automatica dei token inattivi da oltre 90 giorni
Dati di pagamento/abbonamento	Per la durata del rapporto e, per i dati fiscali/contabili, per i termini di legge (di norma 10 anni)
Log di sicurezza e di audit (incl. impersonificazione)	Per il tempo necessario alle finalità di sicurezza; i registri di audit possono conservare i dati anche dopo la cancellazione dell’account interessato
Contatti commerciali (Lead)	Per il tempo necessario alla gestione della richiesta e del successivo contatto commerciale
Contenuti caricati	Fino alla loro rimozione da parte dell’utente/Gestore o alla cessazione del rapporto

Trasparenza: allo stato, per alcune categorie (in particolare Lead e log di audit) non è previsto un termine massimo automatizzato; il Titolare provvede alla revisione periodica e all’eventuale cancellazione su richiesta, nei limiti di legge.

10. Diritti dell’interessato

Ai sensi degli artt. 15‑22 GDPR, l’interessato ha diritto di ottenere: accesso ai propri dati, rettifica, cancellazione (“diritto all’oblio”), limitazione del trattamento, portabilità, nonché di opporsi al trattamento fondato sul legittimo interesse e di revocare in ogni momento i consensi prestati (senza pregiudizio per i trattamenti già effettuati).

Per esercitare i diritti è possibile scrivere a info@pokerclubs.app. Risponderemo senza ingiustificato ritardo e comunque entro i termini di legge.

Cancellazione dell’account. Allo stato la cancellazione dell’account è gestita tramite richiesta all’assistenza (non è ancora disponibile una funzione self‑service nell’App): inoltrando la richiesta ai contatti sopra indicati, l’account e i dati associati saranno cancellati o anonimizzati nei limiti di legge. Alcuni dati possono essere conservati ove necessario per obblighi legali o per la difesa in giudizio.

11. Tutela dei minori

La Piattaforma è riservata ai soggetti maggiorenni (18+). In fase di registrazione è richiesta un’apposita dichiarazione di maggiore età, di cui conserviamo il timestamp. Non raccogliamo consapevolmente dati di minori di 18 anni; qualora venissimo a conoscenza di un trattamento di dati di un minore, provvederemo alla loro tempestiva cancellazione. Chi ritenga che un minore ci abbia fornito dati può contattarci ai recapiti sopra indicati.

Sito e Dashboard web. Utilizziamo esclusivamente cookie e strumenti tecnici/necessari (ad esempio la memorizzazione del token di sessione nel localStorage per mantenere l’autenticazione). Non utilizziamo cookie di profilazione né strumenti pubblicitari di terze parti. Per il dettaglio si rinvia alla Cookie Policy.
App mobile. È integrato Firebase Analytics (Google) per statistiche d’uso e miglioramento del prodotto. Su iOS viene mostrato il prompt di App Tracking Transparency; l’utente può disattivare la raccolta dalle impostazioni dell’App. Non condividiamo i dati con terze parti per finalità pubblicitarie. Il rendering delle mappe comporta la comunicazione dell’indirizzo IP al fornitore delle tile cartografiche.

La disciplina di dettaglio è contenuta nella Cookie Policy, redatta anche in conformità alle Linee guida del Garante del 10 giugno 2021.

13. Rapporto tra Poker Clubs Italia e i Club

Quando un Gestore utilizza la Dashboard per trattare i dati dei propri membri o contatti — ad esempio inviando messaggi WhatsApp/email, pubblicando sui social, registrando prenotazioni di giocatori “ospite” o gestendo inviti — il Club agisce quale titolare autonomo del trattamento dei dati dei propri membri, mentre Poker Clubs Italia agisce quale responsabile del trattamento / fornitore tecnico ai sensi dell’art. 28 GDPR.

Il Gestore è pertanto tenuto a fornire ai propri membri l’informativa e a raccogliere le basi giuridiche necessarie (in particolare i consensi per le comunicazioni), e a rispettare la normativa applicabile. I rapporti tra le parti sono disciplinati dai Termini per i Gestori e, ove previsto, da un apposito accordo sul trattamento dei dati (DPA).

14. Modifiche all’Informativa

Il Titolare può aggiornare la presente Informativa per adeguarla a novità normative o modifiche dei servizi. La versione aggiornata è pubblicata su questa pagina con indicazione della data e del numero di versione; per le modifiche sostanziali sarà fornita idonea evidenza agli utenti.

15. Reclami all’Autorità di controllo

Fermo il diritto di adire l’autorità giudiziaria, l’interessato può proporre reclamo al Garante per la protezione dei dati personali (Piazza Venezia 11, 00187 Roma — www.garanteprivacy.it) qualora ritenga che il trattamento violi il GDPR.

Avvertenza. Il presente documento costituisce una bozza avanzata predisposta come base di lavoro e non un parere legale definitivo. Prima della pubblicazione è necessario (i) compilare tutti i placeholder [[ … ]] con i dati reali e (ii) sottoporre il testo alla revisione di un avvocato abilitato.

Information Notice on the Processing of Personal Data

Poker Clubs Italia — Common information notice for the mobile application, the web dashboard and the website.

Version: 1.0
Last updated: 12 July 2026
In force from: 12 July 2026

This Information Notice is provided pursuant to Articles 13 and 14 of Regulation (EU) 2016/679 (“GDPR”) and of Legislative Decree 196/2003 as amended by Legislative Decree 101/2018 (Italian “Privacy Code”). It describes how Poker Clubs Italia processes the personal data of the users of the mobile app, of the web dashboard for Club Managers, and of the website.

Data Controller and contacts
Scope, definitions and roles
Categories of personal data processed
Purposes and legal bases
Nature of the data provision
Processing methods and security
Recipients and data processors
Data transfers to third countries
Retention period
Rights of the data subject
Protection of minors
Cookies and tracking tools
Relationship between Poker Clubs Italia and the Clubs
Amendments to this Notice
Complaints to the supervisory authority

1. Data Controller and contacts

The Data Controller is Federico Infelici, sole proprietorship (ditta individuale), with registered office at C.S. Burcinella 220/D, 52044 Cortona (AR), Italy, VAT no./Tax code IT02427350513 ([[ REA / N. ISCRIZIONE — se applicabile ]]), in the person of its legal representative pro tempore (hereinafter “Poker Clubs Italia”, the “Data Controller”, “we”).

Contact email: info@pokerclubs.app
Dedicated privacy email: info@pokerclubs.app
Certified email (PEC): federico.infelici@pec.it

Data Protection Officer (DPO). The Data Controller has not appointed a DPO, as it is not required to do so pursuant to Art. 37 GDPR.

2. Scope, definitions and roles

This Information Notice applies to the following services (jointly, the “Platform”):

the mobile App “Poker Clubs Italia” for iOS and Android, aimed at Players, which allows users to discover clubs and sports poker events, to book participation and to request membership of clubs;
the web Dashboard (dashboard.pokerclubs.app), aimed at Club Managers, which allows management of the club page, events, bookings, content and communications;
the Website (pokerclubs.app), an informational and service-presentation website.

Definitions. “Player” = user of the App. “Club Manager” = the owner or appointee of a club who uses the Dashboard. “Club” = a private club/association or business that publishes its activity on the Platform. “Personal data”, “processing”, “controller”, “processor”, “data subject” have the meaning set out in Article 4 GDPR.

Nature of the service. Poker Clubs Italia is a technical and informational tool for discovery and management. The Platform does not organise or offer gambling with cash winnings and does not handle bets, collections or gaming payments. Any gaming activities take place at the clubs, under their exclusive responsibility. This is also relevant for privacy purposes: with respect to the data of its members processed by the Club Manager through the Dashboard, the roles are described in section 13.

3. Categories of personal data processed

Depending on the service used and the actions performed, we process the following categories of data.

3.1 Registration and account data

Name, email address, password (stored exclusively as a cryptographic hash, never in clear text), any telephone number (optional), province, profile image (avatar, optional), user type (Player/Club Manager/administrator), email verification status.

3.2 Consents and declarations

Acceptance of the Terms and Conditions, marketing/newsletter consent (optional), declaration of legal age (18+) and the related timestamp of its provision (adult_declaration_at), retained for the purposes of proof and auditing of consent.

In the case of login via Google or Apple, the unique identifier provided by the provider (google_id / apple_id), the email and the name communicated by the provider itself (the email is associated with the account only if verified by the provider).

3.4 Usage data and technical data

Data generated by interaction with the Platform: application and security logs, IP address, user-agent, HTTP access logs, session identifiers (JWT tokens). On the Website and the Dashboard, only technical cookies/tools are used (see section 12).

3.5 Geolocation data

Upon the user’s express authorisation, the App accesses the device location (“while in use”) for the sole purpose of showing the nearest clubs and calculating distances. The coordinates are processed transiently for the single request and are not stored persistently in our databases; if authorisation is not granted, distances are calculated from the province. The clubs’ coordinates, on the other hand, derive from the geocoding of the club’s public address, performed server-side.

Technical note: since the device coordinates may pass through as request parameters, they may temporarily appear in the technical access logs; such logs are subject to rotation and are not used for profiling.

3.6 Device data and push notifications

For sending push notifications: device push token, operating system (iOS/Android), device name, app version, date of the device’s last access.

3.7 Content uploaded by users

Images and materials uploaded (e.g. club photos and logos, event images, reference images for flyer generation), together with the related technical metadata (file name, type, size) and the identity of the user who uploaded them.

3.8 Bookings and events

For bookings: reference to the event, status, any notes. For manual entries made by Club Managers (unregistered “guest” players): the guest’s name and telephone number provided by the Club Manager.

3.9 Memberships and invitations

Club memberships (status, dates) and any invitation emails of persons not yet registered.

3.10 Business contact data (Leads)

For those who fill in the Website’s contact form: name, club name, city/province, telephone, preferred contact time, message, as well as IP address and user-agent collected for security and anti-abuse purposes.

3.11 Payment data (Club Managers only)

For the Dashboard subscription, payments are handled by the provider Stripe. We retain only pseudonymous identifiers (e.g. Stripe customer ID and subscription ID) and the subscription status data; we do not process or store the full payment card data, which are collected directly by Stripe on its own secure pages.

3.12 Data from integrations connected by Club Managers

If a Club Manager connects third-party accounts (Facebook, Instagram, WhatsApp), we process the related access tokens (stored encrypted), the page/account identifiers and the published content. See section 13.

3.13 Administrative and audit logs

For security and traceability purposes, we record logs of any administrative “impersonation” accesses (login-as), including the email and name of the administrator and of the user concerned, IP and user-agent. Such logs have the nature of an audit log and may retain the data even after the deletion of the account concerned (see section 9).

3.14 App analytics

The App integrates Firebase Analytics (Google) for statistical and product-improvement purposes (screens viewed, usage events, a user identifier and properties such as the province). On iOS, the App Tracking Transparency prompt is shown. The processing is governed by section 12.

4. Purposes and legal bases

#	Purpose	Data categories	Legal basis (Art. 6 GDPR)
a	Creation and management of the account; provision of the Platform’s services (club discovery, bookings, memberships, club management)	3.1, 3.3, 3.7, 3.8, 3.9	Performance of the contract and of pre-contractual measures — Art. 6.1.b
b	Management of the subscription and payments (Club Managers)	3.11	Performance of the contract — Art. 6.1.b
c	Sending service push notifications and service-related communications	3.6	Performance of the contract / legitimate interest — Art. 6.1.b/f
d	Geolocation to show nearby clubs	3.5	Consent of the data subject (system authorisation) — Art. 6.1.a
e	Marketing and newsletter	3.1, 3.10	Consent — Art. 6.1.a
f	Statistics and product improvement (App analytics)	3.14	Consent (opt-out/ATT) — Art. 6.1.a
g	Security, prevention of abuse and fraud, traceability and auditing	3.4, 3.10, 3.13	Legitimate interest — Art. 6.1.f
h	Management of business contacts coming from the Website form	3.10	Pre-contractual measures / legitimate interest — Art. 6.1.b/f
i	Compliance with legal obligations (accounting, tax, requests from the Authority)	3.1, 3.11, 3.13	Legal obligation — Art. 6.1.c
l	Proof of consent to legal age and to the Terms	3.2	Legal obligation / legitimate interest — Art. 6.1.c/f

Where the processing is based on legitimate interest, the data subject may obtain information on the balancing carried out and object pursuant to Article 21 GDPR (see section 10).

5. Nature of the data provision

The provision of the data marked as mandatory during registration (name, email, password or social login, acceptance of the Terms and 18+ declaration) is necessary for the creation of the account and the use of the services: failure to provide it prevents registration. The provision of optional data (telephone, province, avatar, marketing consent, geolocation) is free and its absence results only in the unavailability of the related functions.

6. Processing methods and security

The data are processed by electronic means, in compliance with the principles of lawfulness, fairness, minimisation and purpose limitation (Article 5 GDPR), and with appropriate technical and organisational measures (Article 32 GDPR), including:

hashing of passwords and reset codes with the bcrypt algorithm;
encryption of the tokens of the social integrations and of the WhatsApp sessions;
token-based authentication (JWT) with expiry; impersonation sessions of limited duration;
transmission of data over encrypted channels (TLS/HTTPS);
access control and segregation of roles.

Despite the adoption of appropriate measures, no system can guarantee absolute security; we invite users to keep their credentials carefully.

7. Recipients and data processors

The data may be disclosed to parties acting as data processors (Article 28 GDPR) or as independent controllers, to the extent necessary for the purposes indicated above. The main providers are:

Provider	Data processed	Purpose	Country / Transfer
Stripe	Club name, Club Manager’s email, subscription identifiers (card data collected by Stripe)	Billing and subscription management	USA (non-EU)
Backblaze B2	Uploaded images (photos, logos, flyers)	File storage	US provider, data stored in the EU region (`eu-central-003`)
Google (Gemini)	Event texts, club name/address/telephone, club logo and photos, reference images	AI generation of flyers	USA (non-EU)
Anthropic (Claude)	Texts relating to the event/club	AI generation of text for messages	USA (non-EU)
Google Sign-In	Identity token, email, name	Authentication (social login)	USA (non-EU)
Apple Sign-In	Identity token, email, name	Authentication (social login)	USA (non-EU)
Expo + Apple APNs + Google FCM	Push token, platform, notification content	Sending push notifications	USA (non-EU)
Meta (Facebook/Instagram)	Tokens (encrypted), page/account ID, published text and images	Publication of the club’s content	USA (non-EU)
WhatsApp (Meta)	Club’s number, recipients’ numbers, message text and images	Sending messages to members (function activated by the Club Manager)	USA (non-EU)
Email provider (SMTP)	Recipient’s email and name, content of the service emails	Sending transactional/service emails	[[ REGIONE_HOSTING_SMTP — server proprio mail.pokerclubs.app, da confermare ]]
Nominatim / OpenStreetMap	Club’s public address	Address geocoding → coordinates	EU/UK
Firebase Analytics (Google) — App only	User identifier, events/screens, properties (e.g. province)	Statistics and product improvement	USA (non-EU)
OpenFreeMap — App only	Device IP address	Map rendering	EU (verify hosting)

In addition, the data are processed by the Data Controller’s authorised personnel and may be disclosed to consultants, professionals and IT service providers acting as processors, as well as to public Authorities where required by law.

Infrastructure hosting. The application server and the database (where the personal data are stored) are hosted at [[ PROVIDER_HOSTING E REGIONE — da confermare ]].

The updated list of data processors may be requested by writing to the privacy contact address.

8. Data transfers to third countries

Some of the providers listed above have their headquarters or infrastructure outside the European Union (in particular in the United States). In such cases, the transfer takes place on the basis of appropriate safeguards pursuant to Articles 44-49 GDPR, such as:

the providers’ adherence to the EU-U.S. Data Privacy Framework (where applicable), and/or
the Standard Contractual Clauses approved by the European Commission pursuant to Article 46 GDPR, with supplementary measures where necessary.

A copy of the safeguards adopted may be requested by writing to the privacy contact address.

9. Retention period

Category	Retention criterion
Account data	For the entire duration of the account. In the event of deactivation, the data are retained in soft-delete mode for the time necessary for compliance and the defence of rights, then deleted or anonymised
Consents and timestamps (18+, Terms)	For the time necessary to prove that consent was given
Device push tokens	Automatic removal of tokens inactive for more than 90 days
Payment/subscription data	For the duration of the relationship and, for tax/accounting data, for the periods provided by law (normally 10 years)
Security and audit logs (incl. impersonation)	For the time necessary for security purposes; the audit logs may retain the data even after the deletion of the account concerned
Business contacts (Leads)	For the time necessary to handle the request and the subsequent business contact
Uploaded content	Until their removal by the user/Club Manager or the termination of the relationship

Transparency: at present, for some categories (in particular Leads and audit logs) no automated maximum term is provided; the Data Controller carries out periodic reviews and any deletion upon request, within the limits of the law.

10. Rights of the data subject

Pursuant to Articles 15-22 GDPR, the data subject has the right to obtain: access to their data, rectification, erasure (“right to be forgotten”), restriction of processing, portability, as well as to object to processing based on legitimate interest and to withdraw at any time the consents given (without prejudice to the processing already carried out).

To exercise these rights, you may write to info@pokerclubs.app. We will respond without undue delay and in any case within the time limits provided by law.

Account deletion. At present, account deletion is handled through a request to support (a self-service function is not yet available in the App): by sending the request to the contacts indicated above, the account and the associated data will be deleted or anonymised within the limits of the law. Some data may be retained where necessary for legal obligations or for the defence of legal claims.

11. Protection of minors

The Platform is reserved for persons of legal age (18+). During registration, a specific declaration of legal age is required, of which we retain the timestamp. We do not knowingly collect data of minors under 18; should we become aware of the processing of a minor’s data, we will proceed to delete it promptly. Anyone who believes that a minor has provided us with data may contact us at the contact details indicated above.

12. Cookies and tracking tools

Website and web Dashboard. We use exclusively technical/necessary cookies and tools (for example, storing the session token in localStorage to maintain authentication). We do not use profiling cookies or third-party advertising tools. For details, please refer to the Cookie Policy.
Mobile App. Firebase Analytics (Google) is integrated for usage statistics and product improvement. On iOS, the App Tracking Transparency prompt is shown; the user can disable collection from the App’s settings. We do not share the data with third parties for advertising purposes. Map rendering entails the disclosure of the IP address to the map tile provider.

The detailed rules are contained in the Cookie Policy, drawn up also in compliance with the Guidelines of the Garante (Italian Data Protection Authority) of 10 June 2021.

13. Relationship between Poker Clubs Italia and the Clubs

When a Club Manager uses the Dashboard to process the data of its members or contacts — for example by sending WhatsApp/email messages, publishing on social media, recording bookings of “guest” players or managing invitations — the Club acts as an independent controller of the processing of its members’ data, while Poker Clubs Italia acts as data processor / technical provider pursuant to Article 28 GDPR.

The Club Manager is therefore required to provide its members with the information notice and to collect the necessary legal bases (in particular the consents for communications), and to comply with the applicable legislation. The relationships between the parties are governed by the Terms for Club Managers and, where provided, by a specific data processing agreement (DPA).

14. Amendments to this Notice

The Data Controller may update this Information Notice to adapt it to regulatory developments or changes to the services. The updated version is published on this page with an indication of the date and the version number; for substantial changes, appropriate notice will be given to users.

15. Complaints to the supervisory authority

Without prejudice to the right to bring an action before the judicial authority, the data subject may lodge a complaint with the Garante per la protezione dei dati personali (Italian Data Protection Authority) (Piazza Venezia 11, 00187 Rome — www.garanteprivacy.it) if they believe that the processing infringes the GDPR.

Notice. This document constitutes an advanced draft prepared as a working basis and not a definitive legal opinion. Before publication it is necessary to (i) fill in all the [[ … ]] placeholders with the real data and (ii) submit the text for review by a qualified lawyer.