The legal documents are available in Italian and English. The English version is shown for your selected language.

Privacy del sito Born of Legends — versione 6 novembre 2026, aggiornamento conservazione degli ordini.

Titolare: NURALE S.r.l., via della Meccanica 13, 25047 Darfo Boario Terme (BS), Italia, P.IVA IT04502630165, PEC nurale.srls@pec.itasoft.it. Contatto privacy e diritti: support.nurale@gmail.com. Referente aziendale: Andrea Moschella; non è stato nominato un DPO.

Questa informativa riguarda bornoflegends.games e l’Area giocatore. Per il gioco si applica anche https://nurale.games/privacy/. Gli acquisti web sono riservati a maggiorenni residenti nell’UE con fatturazione UE.

Accesso: email e password sono inoltrate a Firebase Authentication per verificare l’account; non salviamo la password. Trattiamo UID, token e profili di gioco per autenticazione e servizi richiesti (esecuzione del contratto). I token sono conservati cifrati sul server; il browser riceve un cookie tecnico HttpOnly e Secure, con durata massima di 8 ore. La lingua scelta resta nella memoria locale del browser.

Acquisti: trattiamo ordine, prodotti, importi, valuta, server scelto, data, stato, riferimenti Stripe e dettagli fiscali per consegna, assistenza, rimborsi e obblighi contabili (contratto e obbligo legale). Conserviamo la prova del consenso alla consegna immediata e alla perdita del recesso, incluso il testo e la versione delle condizioni. Stripe raccoglie email e indirizzo di fatturazione, dati fiscali e dati di pagamento ed emette i documenti post-pagamento. Non conserviamo i numeri completi delle carte. Informativa Stripe: https://stripe.com/it/privacy.

Riscatti e premi: usiamo account, profilo, visite, codici e operazioni per fornire i vantaggi richiesti e impedirne l’abuso (contratto e interesse legittimo alla sicurezza). Assistenza: trattiamo email, contenuto dei messaggi e riferimenti degli ordini per gestire richieste e reclami.

Sicurezza: contatori temporanei limitano accessi e richieste ripetute. Nei registri applicativi email, UID e IP sono sostituiti da impronte HMAC pseudonimizzate: restano dati personali, non dati anonimi. Evitiamo password, token, cookie e corpi delle richieste nei log. I rapporti diagnostici Sentry sono filtrati per rimuovere dati identificativi. Base giuridica: interesse legittimo alla sicurezza e affidabilità del servizio.

Fornitori: Google/Firebase per autenticazione; Stripe per pagamenti, imposte e documenti; Fly.io per hosting a Francoforte; Neon per database a Francoforte; Sentry (Functional Software) per diagnostica, con raccolta negli Stati Uniti. I fornitori possono operare come responsabili del trattamento o titolari autonomi per i loro obblighi. Dati contabili possono essere comunicati a consulenti autorizzati e autorità quando necessario.

Trasferimenti internazionali: alcuni fornitori sono statunitensi o usano società del gruppo fuori dallo SEE. Si applicano le garanzie previste dai relativi accordi sul trattamento dei dati, incluse clausole contrattuali tipo e decisioni di adeguatezza ove applicabili. Per informazioni e copia delle garanzie scrivi al contatto privacy.

Conservazione: sessioni fino all’uscita o 8 ore; contatori ant-abuso per pochi minuti; log disponibili nella consultazione Fly per 7 giorni. Gli eventi diagnostici sono conservati per il periodo necessario alla diagnosi e alla risoluzione degli errori, secondo le impostazioni del servizio e le esigenze di gestione degli incidenti. Account e profili fino alla cancellazione. Ticket ordinari fino a 24 mesi dalla chiusura, salvo controversie o specifici obblighi di legge.

Ordini e prove contrattuali: conserviamo una copia minima dell’ordine e la prova del consenso per 10 anni dalla data dell’ordine, anche se elimini l’account di gioco, salvi diversi obblighi o controversie. La copia contabile è separata dal profilo: dopo l’eliminazione dell’account resta senza alcun collegamento all’account di gioco (importo, IVA, Paese, data e codici del pagamento), ma non è anonima, perché si può ricollegare a te tramite i riferimenti del pagamento presso Stripe. Dopo 10 anni la cancelliamo. Gli ordini mai arrivati al pagamento si cancellano con l’account. Non vi conserviamo password, dati completi della carta o l’intero profilo di gioco.

Diritti: puoi chiedere accesso, rettifica, cancellazione, limitazione, portabilità e opposizione nei casi previsti dagli artt. 15-21 GDPR; la cancellazione non comprende dati soggetti a conservazione obbligatoria. Scrivi a support.nurale@gmail.com: rispondiamo entro un mese, salvo proroghe consentite dalla legge. Puoi proporre reclamo al Garante (https://www.garanteprivacy.it/) o all’autorità competente.

Statistiche facoltative: solo con il tuo consenso carichiamo Google Analytics 4 sulle pagine pubbliche. Il rifiuto non limita il sito; puoi cambiare scelta dal pulsante «Preferenze statistiche». Prima del consenso non inviamo dati a Google Analytics. Non lo carichiamo nell’Area giocatore o nel backoffice. Trattiamo visualizzazioni, clic essenziali, provenienza limitata al dominio e dati tecnici del browser/dispositivo. Non inviamo credenziali, nickname, UID, ordini, parametri URL o frammenti. Non abilitiamo pubblicità personalizzata o Google Signals. Google è un fornitore aggiuntivo, con possibili trattamenti internazionali secondo i suoi accordi e garanzie; informativa: https://policies.google.com/privacy. I cookie statistici _ga hanno durata massima di 180 giorni; la scelta è conservata localmente per 180 giorni. I dati evento GA4 sono conservati fino a 14 mesi secondo le impostazioni della proprietà. La revoca ferma la raccolta successiva e cancella i cookie statistici del sito, senza cancellare retroattivamente i dati già raccolti: per i diritti scrivi al contatto privacy. Non vendiamo dati. I controlli automatici verificano sicurezza, pagamento e consegna: puoi chiedere una verifica umana all’assistenza. Per dati di minori o acquisti non autorizzati contattaci. Pubblicheremo qui le modifiche rilevanti all’informativa.

Born of Legends website privacy notice — version 6 November 2026, order retention update.

Controller: NURALE S.r.l., via della Meccanica 13, 25047 Darfo Boario Terme (BS), Italy, VAT IT04502630165, PEC nurale.srls@pec.itasoft.it. Privacy contact and rights: support.nurale@gmail.com. Company privacy contact: Andrea Moschella; no DPO has been appointed.

This notice covers bornoflegends.games and the Player Area. The game is also covered by https://nurale.games/privacy/. Website purchases are restricted to adults resident in the EU with EU billing.

Access: email and password are forwarded to Firebase Authentication to verify your account; we do not store your password. We process UID, tokens and game profiles for authentication and requested services (contract performance). Tokens are encrypted on the server; the browser receives a technical HttpOnly and Secure session cookie lasting at most 8 hours. Your selected language stays in browser local storage.

Purchases: we process order details, products, amounts, currency, selected server, time, status, Stripe references and tax evidence for delivery, support, refunds and accounting obligations (contract and legal obligation). We retain evidence of immediate-delivery and withdrawal consent, including the wording and version of the terms. Stripe collects billing email/address, tax details and payment data, and issues post-payment documents. We do not store full card numbers. Stripe privacy: https://stripe.com/privacy.

Codes and rewards: account, profile, visits, codes and operations provide the requested benefits and prevent abuse (contract and legitimate security interests). Support processes your email, message contents and order references to handle requests and complaints.

Security: temporary counters limit repeated access attempts and requests. Email, UID and IP in application security logs are replaced by pseudonymised HMAC fingerprints; these remain personal data. Passwords, tokens, cookies and request bodies are excluded. Sentry diagnostics are filtered to remove identifying data. Legal basis: legitimate interests in service security and reliability.

Providers: Google/Firebase for authentication; Stripe for payments, tax and documents; Fly.io for hosting in Frankfurt; Neon for the database in Frankfurt; Sentry (Functional Software) for diagnostics, collected in the United States. Providers act as processors or independent controllers for their own obligations. Accounting data may be shared with authorised advisers and authorities where necessary.

International transfers: some providers are US companies or use group companies outside the EEA. Their data-processing agreements provide safeguards including standard contractual clauses and adequacy decisions where applicable. Contact us for details and copies of the safeguards.

Retention: sessions until logout or 8 hours; abuse-prevention counters for minutes; logs in the Fly consultation service for 7 days. Diagnostic events are kept as needed to diagnose and resolve errors, subject to service settings and incident-management needs. Accounts and profiles remain until deletion. Ordinary support tickets remain up to 24 months after closure, except disputes or specific legal obligations.

Orders and contractual evidence: a minimal copy of the order and the proof of consent are retained for 10 years from the order date, even if you delete your game account, subject to other legal requirements or disputes. Accounting records are separate from the profile: after account deletion they remain with no link to your game account (amount, VAT, country, date and payment codes), but they are not anonymous, as they can be linked back to you through the payment references held by Stripe. After 10 years we delete them. Orders that never reached payment are deleted with the account. We do not keep passwords, full card data or your entire game profile in that copy.

Rights: request access, correction, erasure, restriction, portability and objection where provided under Articles 15-21 GDPR; mandatory-retention records are excluded from erasure. Contact support.nurale@gmail.com; we respond within one month, subject to lawful extensions. You may complain to the Italian Garante (https://www.garanteprivacy.it/) or your competent authority.

Optional analytics: only with your consent do we load Google Analytics 4 on public pages. Refusing does not limit the website; change your choice using “Analytics preferences”. Before consent, no data is sent to Google Analytics. It is not loaded in the Player Area or backoffice. We process page views, essential clicks, referral domain and technical browser/device information. We do not send credentials, nicknames, UIDs, orders, URL parameters or fragments. Personalised advertising and Google Signals are disabled. Google is an additional provider and may process data internationally under its agreements and safeguards; privacy: https://policies.google.com/privacy. The _ga analytics cookies last up to 180 days; the consent choice is stored locally for 180 days. GA4 event data is retained for up to 14 months under the property settings. Withdrawal stops future collection and clears this website’s analytics cookies, without retroactively deleting data already collected; contact privacy support to exercise your rights. We do not sell personal data. Automated checks verify security, payment and delivery; you can request human review through support. Contact us about children’s data or unauthorised purchases. Material changes will be published here.