# PRIVACY-CHANGELOG.md

Registro delle modifiche che incidono sul trattamento dei dati in FiBunnyCci.

Serve a due scopi: dimostrare l'**accountability** richiesta dall'art. 5.2 GDPR
(saper documentare *cosa* è cambiato e *quando*) e permettere ai giocatori di
capire cosa è cambiato rispetto a quando hanno giocato l'ultima volta.

**Regola:** ogni modifica che tocca dati, storage, richieste di rete o servizi terzi
va annotata qui **prima** del rilascio.

---

## [1.2] — 2026-07-26 · Trasparenza sui contenuti generati con IA (AI Act)

### Aggiunto
- **Dichiarazione di trasparenza sull'IA** in `credits.html`: quali contenuti sono stati
  generati con strumenti di IA (grafica e musica), con quali strumenti, e la precisazione
  che **il gioco non contiene sistemi di IA in esecuzione** — l'IA è servita solo come
  strumento di produzione in fase di sviluppo.
- Analisi di applicabilità del **Regolamento (UE) 2024/1689 (AI Act)** in
  `COMPLIANCE-CONTEXT.md §5-bis`, con l'indicazione dei casi che la farebbero decadere.
- Checklist "prima di aggiungere funzioni basate su IA" in `COMPLIANCE-CHECKLIST.md`.

### Nota
La dichiarazione **non era obbligatoria**: non contenendo il gioco alcun sistema di IA e
non essendo gli asset qualificabili come deepfake (creature di fantasia, nessuna
somiglianza con persone o eventi reali), gli obblighi dell'art. 50 non si applicano.
È stata aggiunta come buona pratica di trasparenza, in vista dell'applicazione dell'art. 50
dal 2 agosto 2026.

### Invariato
Nessuna modifica ai trattamenti di dati personali.

---

## [1.1] — 2026-07-26 · Sito fuori dai motori; chiusa la questione musica

### Modificato
- **Sito escluso dai motori di ricerca** finché il gioco è in sviluppo:
  `<meta name="robots" content="noindex, nofollow">` su `index.html` e sulle quattro
  pagine legali. `robots.txt` continua a **permettere** il crawling di proposito:
  bloccandolo, i motori non potrebbero leggere il `noindex` e potrebbero indicizzare
  comunque l'URL. Riferimento `sitemap.xml` commentato.
  Istruzioni per riattivare l'indicizzazione: dentro `robots.txt`.
- **Musica: provenienza accertata.** Le tre tracce (`overworld.mp3`, `battle.mp3`,
  `wudang.mp3`) sono state generate dal titolare con Suno. Decade il rilievo di
  diritto d'autore aperto nella versione 1.0. Aggiornati `credits.html`,
  `THIRD_PARTY_NOTICES.md`, `COMPLIANCE-CHECKLIST.md`, `COMPLIANCE-CONTEXT.md`.

### Invariato
Nessuna modifica ai trattamenti: il `noindex` riguarda la visibilità sui motori di
ricerca, non i dati. Restano 0 cookie, 0 richieste verso terzi, nessuna raccolta di
dati personali.

---

## [1.0] — 2026-07-26 · Prima informativa e rimozione dell'unico flusso verso terzi

### Rimosso
- **Google Fonts.** `index.html` caricava il font Nunito da
  `fonts.googleapis.com` / `fonts.gstatic.com`. Questo comportava l'invio
  dell'indirizzo IP del giocatore a Google (Stati Uniti) **a ogni caricamento della
  pagina e prima di qualsiasi interazione**, senza informativa né base giuridica
  documentata. Era l'unico dato che usciva verso un soggetto diverso dall'hosting.

### Aggiunto
- Font **Nunito self-hosted** (`assets/fonts/`, sottoinsiemi `latin` e `latin-ext`,
  licenza OFL 1.1). Risultato: **zero richieste verso domini terzi**.
- **Content Security Policy** (`default-src 'self'`) che impedisce al browser di
  caricare risorse esterne: rete di sicurezza contro l'introduzione accidentale di
  tracker.
- Pagine legali: `privacy.html`, `terms.html`, `legal.html`, `credits.html`.
- Barra legale nella pagina di gioco, con link HTML raggiungibili da tastiera.
- `.well-known/security.txt`, `robots.txt`, `sitemap.xml`.
- Documentazione: `DATA-FLOW.md`, `THIRD_PARTY_NOTICES.md`, `COMPLIANCE-CHECKLIST.md`.

### Invariato
- Nessun cookie, nessun analytics, nessuna pubblicità, nessuna profilazione.
- Nessun account e nessuna raccolta di dati personali.
- I salvataggi restano in `localStorage`, sul dispositivo del giocatore.

### Verificato
Audit eseguito in browser reale (Chromium, viewport mobile) su tutte le pagine:
- 0 richieste verso domini esterni (su 654 richieste totali);
- 0 cookie;
- 0 violazioni della Content Security Policy;
- 0 eccezioni JavaScript;
- nessun service worker, IndexedDB o Cache Storage.

### Da completare
- Dati identificativi del titolare (segnaposto `[NOME E COGNOME]`, `[PARTITA IVA]`,
  `[EMAIL DI CONTATTO]`, `[INDIRIZZO]`) nelle pagine legali e nel footer.
- Licenza delle tre tracce musicali in `assets/audio/` — vedi
  `THIRD_PARTY_NOTICES.md`.

---

## Modello per le voci future

```markdown
## [X.Y] — AAAA-MM-GG · Titolo sintetico

### Aggiunto / Modificato / Rimosso
- Che cosa è cambiato e **quali dati** ne sono interessati.

### Impatto sulla privacy
- Nuovi dati raccolti, nuovi destinatari, nuovi trasferimenti extra SEE.
- Base giuridica del nuovo trattamento.
- Se serve il consenso: come viene raccolto e come si revoca.

### Documenti aggiornati
- privacy.html · DATA-FLOW.md · (cookie policy, se introdotta)
```