Informativa sulla privacy

01In breve

• Un account è una chiave casuale. Ne conserviamo l’hash, non la chiave, e nient’altro che porti a te: niente email, nome, password o numero di telefono.
• I nostri server vedono il tuo indirizzo IP mentre sei connesso, come qualsiasi server VPN, e non lo scrivono nei log.
• Non registriamo i siti che visiti, il contenuto del tuo traffico né le tue query DNS.
• Questo sito ha un piccolo script nostro, nessuna analisi e nessuna risorsa di terzi. Imposta un cookie quando accedi, e un altro solo se scegli una lingua.

02Il tuo account

Quando crei un account, il sito genera una chiave casuale di 20 caratteri e te la mostra una volta. Il database conserva:

• un hash SHA-256 della chiave. Basta per riconoscerla all’accesso, non per recuperarla.
• il numero dell’account, la data di creazione, il giorno dell’ultimo utilizzo e se è disattivato.
• i tuoi dispositivi. Per ognuno: il suo numero nell’account, un nome casuale come Quiet Otter, la data in cui è stato aggiunto e la coppia di chiavi con cui parla con i nostri server. Conserviamo la metà privata per poterti ridare il suo file. Per un dispositivo aggiunto dall’app, anche un identificativo casuale inventato dall’app quando è stata installata, perché il sito la riconosca la volta dopo. Rimuovere un dispositivo cancella tutto questo.
• le tue passkey, se ne aggiungi. Per ognuna: l’identificativo che le ha dato il tuo dispositivo, la sua chiave pubblica, il suo nome nel tuo account, il contatore di firme che tiene la passkey stessa, se l’ultima volta ha chiesto il PIN o l’impronta, la data in cui è stata aggiunta e il giorno in cui è stata usata l’ultima volta. In più un identificativo casuale con cui il tuo dispositivo sa che queste passkey sono di un solo account. La chiave privata non lascia mai il tuo dispositivo. Rimuovere una passkey cancella tutto questo.
• la tua conversazione con l’assistenza, se ci scrivi: i messaggi e quando sono stati inviati. Viene cancellata 30 giorni dopo l’ultimo messaggio, o prima se tu o noi la cancelliamo. Cancellarla la toglie dal database.

Non possiamo inviarti di nuovo la chiave, reimpostarla né dirti qual era. Non l’abbiamo mai avuta, solo il suo hash. Se la perdi, l’account non si può recuperare, a meno che non abbia una passkey: con quella puoi ancora accedere qui e ottenere una nuova chiave.

03Piano, traffico e pagamenti

• Il tuo piano e l’inizio e la fine del suo periodo in corso.
• Il traffico usato dal tuo account nel periodo in corso, per server, in byte. Serve ad applicare la quota del piano e viene sostituito a ogni nuovo periodo.
• I totali giornalieri di traffico per server per tutti gli utenti insieme. Non si possono suddividere per persona.
• Gli ordini: quale piano, importo e valuta, quando è stato creato e se è stato pagato, annullato o è scaduto. Per un pagamento in criptovaluta, anche la rete e la transazione con cui è stato pagato. Se hai ordinato con un codice promozionale, anche il codice e il prezzo senza. Un ordine annullato o scaduto viene eliminato 30 giorni dopo la sua creazione.

I pagamenti si fanno come indicato accanto al tuo ordine. Ciò che quel canale di pagamento ci mostra (per esempio il nome di chi ordina un bonifico) ci arriva solo attraverso quel canale. Lo usiamo per abbinare il pagamento al numero d’ordine e non lo inseriamo nel database degli account.

04Sui nostri server VPN

• Un server vede l’indirizzo IP da cui ti connetti, finché sei connesso. Non scrive quell’indirizzo nei suoi log.
• Il suo log di servizio annota che una sessione di un numero di account è iniziata e terminata, da quale punto d’ingresso e con quale limite di velocità. Il tuo indirizzo non c’è. Queste voci servono al funzionamento del servizio, e il log di sistema le conserva al massimo un mese.
• Conta il traffico di ogni account per applicare le quote e ricorda quando un account si è connesso l’ultima volta. Quando un account non è più ammesso sul server e non si connette da 30 giorni, il server dimentica entrambe le cose.
• Perché ogni chiave di dispositivo sia connessa da un solo computer alla volta, un server ricorda, finché il dispositivo è connesso, un numero casuale che l’app sceglie a ogni avvio. Non viene scritto da nessuna parte e si dimentica quando il dispositivo si disconnette.
• Non registra le destinazioni a cui ti connetti, il contenuto del tuo traffico né le tue query DNS. Una connessione fallita viene registrata solo con l’errore. L’unica eccezione: un tentativo di raggiungere tramite il tunnel un indirizzo di rete privata o il server stesso viene rifiutato, e il rifiuto viene registrato con l’indirizzo, ma non con il tuo account né con il tuo indirizzo IP.
• La condivisione di file su reti peer-to-peer (BitTorrent, i suoi tracker e la DHT) viene riconosciuta dalla forma del traffico e bloccata. Il log annota allora che una sessione di un numero di account stava condividendo e come è stato riconosciuto. Gli indirizzi coinvolti non ci sono.

05Su questo sito

• Un cookie, impostato quando accedi o crei un account. Contiene un token di sessione casuale, e il database ne conserva solo l’hash. Scade dopo 14 giorni, o quando esci. Se usi le passkey, il database annota anche quale ha aperto o confermato la sessione.
• Un secondo cookie solo se scegli una lingua nel menu in alto di una pagina. Contiene il codice della lingua e nient’altro, e dura un anno. Fino ad allora il sito segue la lingua che chiede il tuo browser e non la conserva.
• Un piccolo script nostro. Copia la chiave dell’account o l’indirizzo di pagamento quando glielo chiedi, ricorda il tema di colori scelto e chiude il menu delle lingue quando fai clic altrove. Quando aggiungi o usi una passkey, la chiede al browser e passa la risposta del browser a questo sito. Il tema resta nella memoria locale del browser e non ci viene mai inviato.
• Niente analisi, niente pubblicità, niente script, font o immagini di altri siti. Il tuo browser parla solo con questo sito.
• Il server web non tiene log degli accessi. Per frenare i tentativi di indovinare le chiavi e le registrazioni di massa, il sito conta i tentativi per indirizzo IP in memoria per un’ora al massimo. I codici promozionali sconosciuti si contano allo stesso modo, e anche per account. Questi conteggi non vengono mai scritti su disco.

06Nell’app

• Se accedi con la chiave dell’account, l’app invia quella chiave e il suo identificativo di installazione casuale a questo sito tramite HTTPS ogni sei ore per ottenere il suo file di connessione aggiornato. Quando il tunnel non è connesso, la richiesta parte dal tuo indirizzo.
• Una volta connessa, l’app chiede a ipinfo.io, attraverso il tunnel, da dove sembra provenire la connessione, per mostrarlo sulla mappa. ipinfo.io vede l’indirizzo del nostro server, non il tuo.
• La risoluzione dei nomi passa per resolver DNS cifrati dentro il tunnel, quelli impostati dal server a cui sei connesso.
• L’app tiene un log sul tuo computer per aiutare in caso di problemi. Non lascia mai il tuo computer da solo.

07Per quanto tempo conserviamo

Tutto quanto sopra viene conservato finché l’account esiste, salvo ciò che questa pagina dice che viene eliminato prima. Un account per cui non si è mai pagato e che non ha né un piano a pagamento in corso né un piano assegnato solo da un amministratore viene eliminato da solo dopo 30 giorni di inutilizzo: nessuna connessione ai nostri server, nessun accesso a questo sito e nessuna richiesta dall’app. Che venga eliminato così, da te dal tuo account o da un amministratore, l’hash della chiave, i dispositivi, le passkey, il piano, i contatori di traffico, gli ordini, la conversazione con l’assistenza e le sessioni vengono rimossi insieme. Le tabelle del database che li contenevano vengono riscritte senza di essi, e i server tolgono i dispositivi dell’account dalle loro liste di accesso entro circa un minuto. Un codice promozionale che hai usato conserva il conteggio di quell’uso e il suo importo, senza legame con l’account eliminato.

Il database non sovrascrive lo spazio su disco occupato dai dati rimossi. Finché quello spazio non viene riutilizzato, qualcuno con accesso al disco del server potrebbe ancora recuperare dati eliminati di recente.

Del database viene fatto un backup una volta al giorno. Ogni backup viene eliminato 30 giorni dopo essere stato fatto, a meno che i backup non falliscano da più di una settimana: allora quelli vecchi vengono conservati finché uno nuovo non riesce. Un account eliminato resta nei backup fatti prima della sua eliminazione finché anche questi non vengono eliminati.

08Richieste di terzi

Possiamo consegnare solo ciò che è elencato in questa pagina. Non abbiamo indirizzi email né nomi legati a un account. Per un pagamento in criptovaluta abbiamo la transazione con cui è stato fatto, e la blockchain pubblica la collega al wallet mittente. Non sappiamo nient’altro su come hai pagato. Non abbiamo un elenco dei siti che hai visitato né traccia di quale indirizzo IP abbia usato quale account.

09Modifiche

Quando questa informativa cambia, la data in alto cambia con essa. Una modifica che raccolga più dati su di te verrà annunciata su questo sito prima di entrare in vigore.

10Contatti

Scrivici attraverso il contatto indicato su questo sito. Rispondiamo senza chiedere chi sei. Per questo non serve mai la chiave dell’account, e non te la chiederemo mai.