Perché il COPPA dovrebbe essere nel radar di ogni studio di giochi

Se il tuo gioco mobile raggiunge gli Stati Uniti e attrae chiunque abbia meno di 13 anni, il Children's Online Privacy Protection Act (COPPA) quasi certamente si applica — anche se i bambini non sono il tuo pubblico principale. Applicato dalla Federal Trade Commission statunitense, il COPPA regola il modo in cui i servizi online raccolgono e usano le informazioni personali dei bambini sotto i 13 anni, con sanzioni che raggiungono decine di milioni di dollari in accordi transattivi contro produttori di giochi e app.

Per gli editori che monetizzano con la pubblicità, il COPPA non è solo una casella legale da spuntare — ridisegna direttamente quali annunci puoi servire e quanto rendono.

Sei "rivolto ai minori" o a "pubblico misto"?

Il COPPA classifica le app in tre categorie, e i tuoi obblighi derivano da quella in cui ti trovi:

• Rivolto ai minori: ha come pubblico principale i bambini sotto i 13 anni. Gli indicatori includono personaggi cartooneschi, gameplay semplice, grafica vivace e marketing rivolto ai bambini. Il COPPA si applica allora a tutti gli utenti per impostazione predefinita.
• Pubblico misto: in parte rivolto ai minori, ma i bambini non sono il pubblico principale. Puoi usare uno schermo di verifica dell'età neutro e applicare il COPPA solo agli utenti che si identificano come sotto i 13 anni.
• Pubblico generale: non rivolto ai bambini. Il COPPA scatta solo se hai effettiva conoscenza di aver raccolto dati da un bambino sotto i 13 anni.

La FTC valuta la totalità di questi fattori — non puoi auto-dichiararti "pubblico generale" solo perché è la strada più facile. Una classificazione onesta è il fondamento di tutto ciò che segue.

Consenso parentale verificabile

Prima di raccogliere informazioni personali da un bambino sotto i 13 anni, il COPPA richiede un consenso parentale verificabile (VPC). Le "informazioni personali" sono ampie: includono identificatori persistenti come gli advertising ID usati per la pubblicità comportamentale, la geolocalizzazione, le foto e la voce.

I metodi VPC accettabili includono un modulo firmato, un piccolo addebito su una carta di pagamento o una chiamata con personale formato. Fondamentale: c'è un'eccezione: se raccogli un identificatore persistente esclusivamente per supportare operazioni interne — stato del gioco, frequency capping o servire annunci contestuali (non personalizzati) — generalmente non hai bisogno del VPC. Quell'eccezione è il motivo per cui la pubblicità contestuale è la via di monetizzazione predefinita per i contenuti per bambini.

L'impatto sul targeting degli annunci e sui ricavi

Per il traffico rivolto ai minori la regola è semplice: nessuna pubblicità personalizzata o comportamentale. Non puoi costruire profili, fare retargeting o usare identificatori persistenti per il targeting degli annunci legato a un bambino. Ciò che resta è la pubblicità contestuale — annunci scelti dal contenuto dell'app e dal contesto generale anziché dall'individuo.

• Gli eCPM contestuali sono tipicamente inferiori a quelli personalizzati perché gli inserzionisti non possono targettizzare pubblici precisi.
• Recupera valore attraverso accordi diretti, campagne di brand a misura di famiglia e video premiati ben posizionati.
• Segnali contestuali forti — genere, classificazione del contenuto, posizionamento — aiutano gli inserzionisti a fare offerte con sicurezza senza dati a livello utente.

Trattare il contestuale come una strategia deliberata, non come una limitazione, distingue gli studi che prosperano nello spazio per bambini da quelli che faticano.

Google Families Policy e Designed for Families

Se distribuisci su Google Play e ti rivolgi ai bambini, devi seguire la Families Policy e puoi aderire al programma Designed for Families. Requisiti chiave:

• Usa solo SDK pubblicitari certificati da Google approvati per il traffico rivolto ai minori.
• Segnala i contenuti rivolti ai minori in AdMob/Ad Manager tramite tag for child-directed treatment (TFCD) e tag for users under the age of consent (TFUA), che forzano annunci non personalizzati.
• Evita formati pubblicitari e contenuti inappropriati per i bambini e rispetta gli standard di classificazione dei contenuti e di divulgazione.

Configurare male questi segnali è uno degli errori più comuni — e più costosi — perché può significare servire annunci personalizzati ai bambini senza consenso.

Interazione con il GDPR-K nell'UE

Il COPPA è una legge statunitense, ma i dati dei minori sono protetti a livello globale. Ai sensi del GDPR dell'UE, spesso chiamato qui GDPR-K, l'età del consenso digitale varia da 13 a 16 anni a seconda dello Stato membro. Sotto quell'età, il consenso deve provenire da un genitore o tutore. Mentre il COPPA fissa la linea a 13 anni, l'UE non lo fa — quindi un age gate unico per tutti fallirà da qualche parte. Gli editori che operano a livello internazionale hanno bisogno di soglie d'età consapevoli della regione e della capacità di imporre annunci solo contestuali ovunque un utente ricada sotto l'età di consenso applicabile.

Come aiuta FlexyConsent

Gestire COPPA, GDPR-K e le regole Families di Google nei vari mercati è difficile a mano. FlexyConsent — una Consent Management Platform certificata da Google che supporta IAB TCF 2.3 e Google Consent Mode v2 — centralizza il consenso e i segnali di età così che le regole corrette si attivino automaticamente per regione. Può imporre il serving di annunci solo contestuali per gli utenti minorenni, propagare i corretti tag rivolti ai minori e per minorenni al tuo stack pubblicitario e mantenere un audit trail a prova di manomissione di ogni decisione di consenso nelle varie regioni. Questo articolo è una guida generale, non una consulenza legale; consulta un legale qualificato per la tua situazione.

Punti chiave

• Classifica onestamente — rivolto ai minori, pubblico misto o pubblico generale determina ogni obbligo che segue.
• Raccogliere dati personali (compresi gli ad ID) da utenti sotto i 13 anni richiede un consenso parentale verificabile; gli annunci solo contestuali sono la via senza consenso.
• Il traffico di minori significa annunci non personalizzati — pianifica per eCPM contestuali e recupera valore attraverso accordi diretti a misura di famiglia.
• Usa age gate consapevoli della regione: la linea del COPPA è 13 anni, ma il GDPR-K va da 13 a 16, e la Families Policy di Google aggiunge le proprie regole di tagging e SDK.