Note legali

Privacy policy

Ultimo aggiornamento: 27 ottobre 2026

Questa informativa spiega quali dati personali raccogliamo quando visiti zeroshot.it o giochi a Zero Shot su app.zeroshot.it, perché li usiamo, con chi li condividiamo e per quanto tempo li teniamo. È scritta ai sensi degli articoli 13 e 14 del Regolamento (UE) 2016/679 (GDPR) e del D.lgs. 196/2003.

Zero Shot è un gioco non ufficiale fatto da fan per Codemotion Milan 2026 (28 e 29 ottobre 2026). Non è gestito da Codemotion, che non riceve i tuoi dati da noi.

1. Chi tratta i tuoi dati

I titolari del trattamento sono, insieme (contitolari ai sensi dell'art. 26 GDPR), le tre persone che hanno creato Zero Shot: Davide Ghiotto, Andrea Mazza e Yi Zhang. Ci siamo accordati per rispondere insieme a qualsiasi richiesta: per tutto ciò che riguarda i tuoi dati scrivi a [email protected]. Puoi comunque esercitare i tuoi diritti nei confronti di ciascuno di noi. Non abbiamo nominato un responsabile della protezione dei dati (DPO), perché non è obbligatorio per un progetto come questo.

2. Se visiti soltanto il sito

zeroshot.it è un sito statico: non ha account, moduli, pubblicità né pixel di social network, e i caratteri tipografici sono serviti dal nostro server, non da Google Fonts. Come ogni sito web, il server e la rete che lo proteggono (Cloudflare) registrano per ragioni tecniche e di sicurezza i dati di ogni richiesta: indirizzo IP, data e ora, pagina chiesta, browser e sistema operativo. Li usiamo solo per far funzionare il sito e difenderlo dagli abusi.

Il sito ricorda nel tuo browser il team che hai scelto per colorare la pagina. Questo dato resta sul tuo dispositivo e non ci viene mai inviato: i dettagli sono nella cookie policy.

Statistiche di visita

Sul sito e nell'app contiamo le visite con Umami, installato sul nostro server: nessun dato va a terzi. Registra la pagina vista, il sito da cui arrivi, browser, sistema operativo, tipo di dispositivo, lingua, paese e città approssimativi, e alcune azioni (per esempio l'iscrizione o una scansione, senza dire chi hai scansionato). Non usa cookie né altri dati salvati sul dispositivo e non conserva il tuo indirizzo IP: lo usa solo per ricavare il paese e un codice che riconosce la stessa visita e che cambia ogni mese. Dagli indirizzi togliamo codici di accesso, inviti e identificativi, e non registriamo le schermate dello staff. Così sappiamo quante persone usano il gioco e da dove arrivano, non chi sei.

3. Se giochi: i dati che raccogliamo

Account e accesso

• Email, per aprire l'account e mandarti il codice di accesso a 6 cifre. Il codice vale 10 minuti.
• Sessione: un identificativo di accesso, con l'indirizzo IP e il browser da cui l'hai aperta. Resti dentro finché usi l'app; dopo 30 giorni senza usarla devi rientrare.
• Provenienza: se sei entrato dal QR di un volantino, quale tiratura di volantini; se ti ha portato un altro giocatore, chi è stato.

Profilo di gioco

• Nickname, team scelto, avatar in pixel art, data di ingresso nel gioco.
• Punti, badge, posizione in classifica, tesori e cacce completate, carte meme ritirate dallo staff.
• Le persone che hai inquadrato e quelle che hanno inquadrato te, con data e ora: è il cuore del gioco.
• Se lo colleghi, il badge della conferenza: ne teniamo solo un'impronta crittografica (hash) e il codice breve Swapcard di 8 caratteri che serve a ridisegnarne il QR, mai il contenuto completo del QR. Se colleghi una carta fisica NFC, ne teniamo il numero.

Contatti che decidi di condividere

Nel profilo puoi aggiungere, se vuoi, una breve bio, profili LinkedIn, Instagram, TikTok e YouTube, un'email, un numero di telefono e fino a cinque link. Sono facoltativi. Li vede chi ti inquadra (ti "colleziona"), e quella persona può scaricarli in un file di contatti (.vcf). Se hai collegato una carta fisica NFC, li vede anche chiunque avvicini la carta al telefono, senza bisogno di un account: dai la carta solo a chi vuoi che li abbia. Una volta scaricati sono sul suo dispositivo: se poi li togli dal profilo non spariscono da lì.

Sicurezza e lotta ai trucchi

Siccome ogni scansione vale punti e premi fisici, qualcuno prova ad aprire account finti o a usare script. Per scoprirlo registriamo, per ogni accesso e ogni scansione (anche quelle fallite): data e ora, esito, tipo di codice inquadrato, se è arrivato dalla fotocamera o scritto a mano, indirizzo IP, browser, un identificativo casuale del dispositivo salvato dall'app e un cookie tecnico che riconosce il browser (vedi la cookie policy). Registriamo anche la prima volta che usi l'app da un browser, i superamenti dei limiti di richieste e le azioni dello staff sugli account.

Alcuni controlli automatici agiscono da soli, senza che una persona li guardi:

• rifiutano l'iscrizione con un'email che risulta usa e getta, inventata o con un dominio che non riceve posta;
• non assegnano i punti di un'infezione finché il nuovo giocatore non ha incontrato di persona un giocatore già verificato, e non contano gli account aperti dallo stesso browser o dispositivo.

Un programma incrocia poi i dati e segnala i comportamenti sospetti allo staff. Il blocco dell'account e l'esclusione dalla classifica pubblica li decide una persona, dopo aver guardato i segnali, e possono essere applicati senza avvisarti, per non aiutare chi imbroglia. Se pensi a un errore scrivici: una persona riesamina il caso.

Controlli sull'email

Quando apri un account, o quando inserisci un'email tra i contatti, verifichiamo che l'indirizzo sembri reale: che non sia di un servizio usa e getta e che il dominio riceva posta. L'indirizzo viene inoltre inviato a un servizio esterno di verifica, che stima se è inventato. Durante l'evento possiamo attivare un controllo che chiede a Swapcard, la piattaforma dei biglietti di Codemotion, se l'email risulta iscritta alla conferenza: Swapcard riceve l'indirizzo e risponde solo sì o no.

Se non giochi

Un giocatore può inquadrare il QR del badge della conferenza di chi non gioca ancora. In quel caso teniamo solo l'impronta crittografica (hash) di quel QR, legata a chi l'ha inquadrato, per sapere chi ti ha "infettato" se poi entri nel gioco. Non teniamo il contenuto del QR e non sappiamo a chi appartiene finché non colleghi il badge. L'agenda dell'app mostra nome, bio e foto dei relatori, pubblicati da Codemotion su Sessionize.

Notifiche push

Se le attivi, il browser ci dà un indirizzo tecnico a cui mandarti le notifiche del gioco. Le consegna il servizio push del produttore del tuo browser o telefono (Apple, Google, Microsoft o Mozilla). Puoi spegnerle quando vuoi dalle impostazioni del browser o del telefono.

Fotocamera e NFC

L'app usa la fotocamera per leggere i QR e, dove c'è, l'NFC per leggere le carte. Le immagini restano sul tuo telefono: ci arriva solo il codice letto.

Se ci scrivi

Se scrivi a [email protected] o in privato al profilo Instagram, usiamo il tuo indirizzo e quello che ci scrivi solo per risponderti.

4. Cosa vedono gli altri

• Nickname, avatar, team e punti compaiono nella classifica dell'app, che vedono tutti i giocatori.
• Lo schermo pubblico /live, proiettato sui monitor della conferenza e aperto a tutti su internet, mostra la parte alta della classifica con nickname e avatar, i totali dei team, le ultime azioni con i nickname dei giocatori coinvolti (per esempio chi ha inquadrato chi) e la rete dei contatti con nodi anonimi.
• Il profilo Instagram @zeroshot.it pubblica classifiche, vincitori e riepiloghi del gioco, con nickname e avatar.
• I contatti facoltativi del tuo profilo li vede solo chi ti ha collezionato e chi legge la tua carta NFC, se ne hai una.

Ti consigliamo di scegliere un nickname che non sia il tuo nome completo se non vuoi comparire con quello. Se non vuoi apparire su /live o nei post su Instagram scrivici e ti togliamo.

5. Perché li trattiamo e su quale base

Non vendiamo i tuoi dati, non li usiamo per pubblicità e non facciamo profilazione commerciale.

6. A chi li affidiamo

Usiamo alcuni fornitori che trattano i dati per conto nostro (responsabili del trattamento, art. 28 GDPR) o come titolari autonomi per il proprio servizio:

• Hostinger International Ltd. (Cipro): il server su cui girano il sito, l'app e il database, in un data center in Germania.
• Cloudflare, Inc. (USA): DNS, connessione HTTPS e protezione dagli attacchi; il traffico verso il sito e l'app passa dalla sua rete.
• Resend (Plus Five Five, Inc., USA): invio delle email con il codice di accesso.
• Un servizio di verifica delle email, basato su intelligenza artificiale, che stima se un indirizzo è inventato.
• Swapcard SAS (Francia): solo se il controllo è attivo, verifica che l'email sia iscritta a Codemotion.
• Apple, Google, Microsoft, Mozilla: consegna delle notifiche push, se le hai attivate.
• Sessionize: le foto dei relatori nell'agenda arrivano dai suoi server, che vedono il tuo indirizzo IP.
• Meta Platforms Ireland Ltd.: pubblicazione dei post sul profilo Instagram @zeroshot.it.
• Google: l'email con il codice usa i caratteri di Google Fonts, che il tuo programma di posta può scaricare quando la apri.

Alcuni di questi fornitori hanno sede negli Stati Uniti o possono trattare dati fuori dall'Unione europea. In quei casi il trasferimento si basa sulla decisione di adeguatezza EU-US Data Privacy Framework, per le aziende che vi aderiscono, o sulle clausole contrattuali tipo approvate dalla Commissione europea (art. 46 GDPR).

Lo staff di Zero Shot, con il gilet giallo, vede i dati che servono a consegnarti le carte e ad aiutarti ad accedere. Non comunichiamo i tuoi dati ad altri, salvo quando ce lo impone la legge.

7. Per quanto tempo

• I codici di accesso valgono 10 minuti, le sessioni 30 giorni dall'ultimo uso; quelli scaduti si cancellano con il resto dei dati.
• Account, profilo, contatti condivisi, punti, scansioni e registro delle attività: fino a 12 mesi dopo la fine dell'evento, cioè fino al 29 ottobre 2027. Dopo li cancelliamo o li rendiamo anonimi.
• Iscrizioni alle notifiche push: finché non le spegni o il browser non le fa scadere.
• Log tecnici del server e di Cloudflare: per il tempo breve previsto dai fornitori.
• Statistiche di visita: fino al 29 ottobre 2027, come gli altri dati del gioco.
• Email che ci mandi: il tempo necessario a risponderti e a gestire la richiesta.
• I post su Instagram restano pubblicati finché non li togliamo, anche su tua richiesta.
• Le copie di backup del database si cancellano da sole dopo 14 giorni.

Puoi chiederci di cancellare il tuo account prima di queste scadenze, in qualsiasi momento.

8. I tuoi diritti

Scrivendo a [email protected] dall'email del tuo account puoi:

• sapere quali dati abbiamo su di te e averne una copia (art. 15);
• correggerli (art. 16);
• farli cancellare, compreso l'intero account (art. 17);
• limitarne l'uso (art. 18);
• riceverli in un formato leggibile da un computer (art. 20);
• opporti ai trattamenti basati sul legittimo interesse, per esempio alla comparsa nei post su Instagram (art. 21);
• ritirare un consenso dato, senza conseguenze su quanto fatto prima.

Rispondiamo entro un mese. Se pensi che trattiamo i tuoi dati in modo scorretto puoi presentare reclamo al Garante per la protezione dei dati personali o all'autorità del Paese in cui vivi.

9. Età minima

Zero Shot è pensato per chi partecipa a Codemotion. Per giocare devi avere almeno 14 anni. Se scopriamo un account aperto da chi ha meno di 14 anni, lo cancelliamo.

10. Modifiche

Se cambiamo il modo in cui trattiamo i dati aggiorniamo questa pagina e la data in cima. Per i cambiamenti importanti avvisiamo i giocatori nell'app.