Informativa sulla privacy

Titolare del trattamento

Il titolare del trattamento è l’editore di One For All, una persona fisica che agisce a titolo non professionale (vedi le note legali).

Per qualsiasi domanda o richiesta relativa ai tuoi dati, scrivi a contact@oneforall-tools.com.

Gli strumenti che funzionano nel tuo browser

La maggior parte degli strumenti (PDF, immagini, video e audio, testo, sviluppatori, design, calcolatrici, sicurezza) elabora i tuoi file e i tuoi testi direttamente nel browser, grazie a WebAssembly e ai Web Worker. I tuoi file non vengono caricati: non raggiungono mai il nostro server, quindi non possiamo né vederli, né conservarli, né condividerli.

Per funzionare, questi strumenti scaricano il proprio codice e, in alcuni casi, un modello (riconoscimento del testo, trascrizione, rimozione dello sfondo) dal nostro server. Questi download non contengono nulla che ti riguardi. Alcune preferenze vengono memorizzate solo nel tuo browser; sono elencate nell’informativa sui cookie.

Gli strumenti che passano dal nostro server

Alcuni strumenti non possono funzionare interamente nel tuo browser. Ognuno lo indica nella propria area di lavoro. Ecco esattamente cosa inviano e conservano:

• Anteprima Open Graph, analisi SEO e verifica link rotti: l’indirizzo web che inserisci viene inviato al nostro server, che recupera la pagina da sé, a proprio nome (oltre, per l’anteprima, alla sua immagine di condivisione e, per la verifica, a ogni link trovato nella pagina). I siti che controlli vedono il nostro server, non te. Non conserviamo né l’indirizzo, né la pagina, né i risultati.
• Convertitore di valute: il nostro server scarica i tassi di cambio di riferimento pubblicati dalla Banca centrale europea e li conserva per 6 ore. I tuoi importi vengono calcolati nel browser e non vengono mai inviati.
• Qual è il mio IP: l’indirizzo mostrato è quello che il nostro server vede per la tua connessione. Compare solo nella pagina, non viene mai conservato né registrato nei log dallo strumento, e il paese e l’operatore di rete approssimativi vengono ricavati sul nostro server a partire dai database liberi DB-IP, senza interpellare alcun terzo.
• Test velocità internet: il tuo browser scambia dati casuali con il nostro server per misurare la tua connessione. Non viene conservato nulla, a parte il consueto contatore contro gli abusi, basato su un’impronta del tuo indirizzo IP (vedi sotto), che limita il numero di test all’ora.

Come qualsiasi richiesta, anche queste possono comparire nei log tecnici descritti più avanti.

Il tuo account

Un account serve solo per le funzioni che conservano dati: link brevi, QR code dinamici, pagine di link, siti web e statistiche dei clic. Per il tuo account conserviamo:

• il tuo indirizzo email;
• la tua password, solo sotto forma di hash Argon2id: non conosciamo né memorizziamo mai la password in sé;
• la tua lingua preferita, per scriverti in quella lingua;
• le date di creazione, di ultima modifica e di conferma dell’indirizzo email.

Nient’altro: nessun nome, nessun indirizzo IP, nessuna informazione sul tuo dispositivo. Quando cambi indirizzo email, il nuovo indirizzo viene conservato insieme al suo link di conferma finché non lo confermi o il link scade.

Quando ti registri o cambi indirizzo email, verifichiamo che non provenga da un servizio di email usa e getta (in base a un elenco conservato sul nostro server) e che il suo dominio possa ricevere posta. A tale scopo, il nostro server interroga il DNS sui server di posta del solo dominio (la parte dopo la @) o, in mancanza di questi, sull’indirizzo del dominio stesso, mai sull’indirizzo email completo. Di questa verifica non viene conservato nulla.

I link che inviamo via email sono monouso, e ne conserviamo solo un’impronta (SHA-256). Un link di conferma (nuovo account o nuovo indirizzo) scade dopo 24 ore, un link di reimpostazione della password dopo 1 ora.

Un account il cui indirizzo email non viene mai confermato è eliminato automaticamente dopo 7 giorni.

Puoi eliminare il tuo account in qualsiasi momento dalle sue impostazioni. L’eliminazione è immediata e definitiva: account, sessioni, link, QR code, pagina di link, avatar, sito web (con le sue immagini e i suoi messaggi) e statistiche vengono cancellati.

Sessioni di accesso

Quando usi le pagine di accesso o di registrazione, un cookie di sessione ti mantiene connesso e protegge i moduli (vedi l’informativa sui cookie). Sul nostro server conserviamo solo un’impronta (SHA-256) dell’identificativo di sessione, il numero del tuo account, un token di sicurezza per i moduli e le date della sessione. Nessun indirizzo IP e nessuna informazione sul tuo browser.

Una sessione termina dopo 2 ore di inattività, e al più tardi dopo 30 giorni. Se scegli di restare connesso, dura 30 giorni. La disconnessione la chiude immediatamente.

Link brevi, QR code e pagine di link

Per ogni link breve, QR code dinamico o link della tua pagina di link conserviamo l’indirizzo di destinazione, il titolo che gli assegni, il suo codice breve e le opzioni scelte (password, memorizzata solo sotto forma di hash Argon2id; data di scadenza; limite di clic; attivo o no), con le date di creazione e di modifica.

Per la tua pagina di link: il suo indirizzo, il nome visualizzato, la breve biografia, l’avatar, il tema e la scelta di consentire o meno l’indicizzazione ai motori di ricerca. L’avatar viene ricodificato sul nostro server come immagine di 256 × 256, il che ne rimuove i metadati (posizione, modello della fotocamera…).

Una pagina di link e i suoi link sono pubblici per natura: chiunque ne conosca l’indirizzo può vederli. Ai motori di ricerca viene chiesto di non indicizzare la tua pagina, a meno che tu non decida diversamente. Le immagini dei QR code vengono disegnate nel tuo browser e non vengono conservate.

Siti web

Per il tuo sito web conserviamo i suoi contenuti (testi, recapiti, orari, link e le immagini che carichi), le sue impostazioni, la versione pubblicata e, per 90 giorni, le versioni pubblicate precedenti. Le immagini vengono ridimensionate nel tuo browser, poi convertite sul nostro server, il che ne rimuove i metadati (luogo, dispositivo).

Un sito web è pubblico per natura: le informazioni professionali che vi pubblichi (nome, indirizzo, telefono, note legali) sono visibili a tutti, e i motori di ricerca possono indicizzarlo se lo consenti e se rispetta le nostre condizioni.

Quando un visitatore ti scrive tramite il modulo di contatto, conserviamo il suo messaggio, il suo nome e i recapiti che indica, cifrati, per 90 giorni al massimo, perché tu possa leggerli nel tuo account. Non li leggiamo, a meno che tu non ci segnali un messaggio. I numeri di carta, gli IBAN e i codici monouso che rileviamo vengono mascherati prima del salvataggio del messaggio. Per permetterti di bloccare un mittente, conserviamo anche un’impronta irreversibile del mittente.

Le statistiche del tuo sito web (visite, clic sui pulsanti, messaggi ricevuti) sono totali giornalieri, senza cookie né indirizzi IP. Vengono conservate per 13 mesi.

Come la legge francese per la fiducia nell’economia digitale (LCEN) impone ai fornitori di hosting, conserviamo per un anno, per ogni creazione, modifica, pubblicazione o eliminazione del tuo sito web, la data e l’indirizzo IP utilizzato, nonché la porta di origine quando raggiunge il nostro server. Questi dati vengono cifrati con una chiave pubblica non appena registrati: la chiave che permette di leggerli non si trova sul nostro server, e vengono aperti solo su richiesta di un’autorità giudiziaria.

Se il tuo sito web viene segnalato o è oggetto di una decisione di moderazione, ne conserviamo una copia congelata (contenuti e immagini) fino alla decisione e poi per 12 mesi, o più a lungo se un’autorità ce lo chiede.

Quando scrivi un indirizzo nell’editor, il nostro server lo invia, senza il tuo indirizzo IP, alla banca dati nazionale francese degli indirizzi (Base Adresse Nationale, IGN) o, fuori dalla Francia, a Photon (komoot, dati OpenStreetMap), per suggerirti indirizzi. La mappa mostrata sul tuo sito è un’immagine creata dal nostro server a partire dai dati OpenStreetMap: i tuoi visitatori non contattano alcun servizio esterno.

Statistiche dei clic

Quando qualcuno apre uno dei tuoi link brevi, QR code o pulsanti della pagina di link, contiamo la visita senza identificare il visitatore. Conserviamo solo totali giornalieri per link:

• il numero di clic al giorno, con bot e anteprime dei link conteggiati a parte;
• il sito di provenienza, solo come nome di dominio (ad esempio example.com), mai l’indirizzo completo;
• il tipo di dispositivo (smartphone, tablet o computer) e la famiglia del browser (Chrome, Safari, Firefox…);
• il paese, sotto forma di codice di due lettere, solo se fornito da una rete di distribuzione dei contenuti affidabile posta davanti al nostro server; non deduciamo mai noi stessi un paese da un indirizzo IP. In caso contrario, il paese viene registrato come «sconosciuto».

Non conserviamo mai l’indirizzo IP del visitatore, l’identificativo completo del suo browser né l’indirizzo completo della pagina di provenienza, e nulla permette di collegare due clic alla stessa persona. Per evitare un gonfiamento artificiale dei numeri, un visitatore viene contato solo un numero limitato di volte al minuto per lo stesso link: a tal fine si usa un contatore temporaneo indicizzato su un’impronta con chiave segreta (HMAC) dell’indirizzo IP, con gli indirizzi IPv6 raggruppati per rete /64. Il contatore non contiene alcun indirizzo IP e scade dopo un minuto.

Le statistiche vengono conservate finché il link esiste, e cancellate insieme a esso o al tuo account.

Misurazione dell’audience

Per sapere quali strumenti vengono usati e mantenere veloce il sito, contiamo le pagine visualizzate: per ogni giorno, il numero di visite per pagina del sito e per lingua, il numero di risposte con errore e il tempo di risposta del nostro server. Le visite automatizzate (bot, anteprime dei link) vengono conteggiate a parte, in base all’identificativo del browser, che non viene conservato.

Questo conteggio non usa né cookie, né identificativi, né indirizzi IP, e non registra mai l’indirizzo completo della pagina né quello della pagina di provenienza: nessun visitatore può essere riconosciuto né seguito da una pagina all’altra. I contatori grezzi dell’ora in corso vengono raggruppati in totali giornalieri e poi cancellati; questi totali vengono conservati per 25 mesi.

Segnalazioni

Quando segnali un link, una pagina o un sito web tramite il nostro modulo di segnalazione, conserviamo la tua segnalazione (l’indirizzo interessato, il tipo di problema e la tua spiegazione) e, solo se li fornisci, il tuo nome e il tuo indirizzo email, per esaminarla e comunicarti la nostra decisione. Questi dati non vengono mai comunicati a chi ha creato il contenuto, salvo obbligo di legge. Le segnalazioni vengono cancellate 12 mesi dopo la loro gestione.

Prevenzione degli abusi e sicurezza

Per proteggere il sito da attacchi di forza bruta e abusi (tentativi di accesso, registrazioni, creazione di link, strumenti lato server), contiamo le richieste in brevi intervalli di tempo. Il visitatore è identificato solo tramite un’impronta con chiave segreta (HMAC-SHA-256) del suo indirizzo IP, con gli indirizzi IPv6 raggruppati per rete /64; l’indirizzo IP in sé non viene mai conservato. A seconda dell’azione, questi contatori durano da un minuto a 24 ore.

Per bloccare phishing e malware, il nostro server scarica regolarmente elenchi pubblici di siti pericolosi (URLhaus di abuse.ch e OpenPhish) e li confronta con le destinazioni dei link sul nostro stesso server. Nulla che ti riguardi, né nulla dei tuoi link, viene inviato a questi servizi.

I link, i QR code, le pagine di link, i siti web e gli account rilevati o segnalati come abusivi possono essere sospesi o eliminati (vedi le condizioni d’uso). In tal caso conserviamo la data e il motivo della decisione, e te la spieghiamo via email. Il codice breve di un link sospeso o eliminato resta riservato per non poter essere riutilizzato; conserviamo solo tale codice e la data della sospensione. Ogni decisione viene annotata in un registro interno di moderazione (data, elemento interessato, motivo, autore della decisione).

Email

Ti inviamo email solo per questioni legate al tuo account: conferma dell’indirizzo, reimpostazione della password, cambio di indirizzo e avvisi di sicurezza (password o indirizzo modificati, tentativo di registrazione con un indirizzo che ha già un account). Nessuna newsletter, nessuna pubblicità. Le email vengono inviate tramite il nostro fornitore di servizi email, che tratta il tuo indirizzo e il messaggio al solo scopo di recapitarli.

Se ci scrivi a contact@oneforall-tools.com, usiamo il tuo indirizzo e il tuo messaggio solo per risponderti.

Log tecnici

Come ogni sito, il nostro funziona su server web che tengono un log tecnico delle richieste: indirizzo IP, data e ora, indirizzo richiesto, codice di risposta, pagina di provenienza e identificativo del browser. Questo log è conservato dal nostro fornitore di hosting, OVH SAS, per il periodo che stabilisce; lo usiamo solo per garantire la sicurezza del sito e risolvere i problemi, mai per statistiche né per profilazione. I link segreti che inviamo via email non vi compaiono mai: la loro parte segreta viene trasmessa solo con il modulo che invii, mai nell’indirizzo di una pagina.

Basi giuridiche

• L’esecuzione del contratto che ci lega (le condizioni d’uso): il tuo account, le sessioni, i link, i QR code, la pagina di link, il sito web e i suoi messaggi, le statistiche, le email dell’account e gli strumenti lato server che scegli di usare.
• Il nostro legittimo interesse a mantenere il sito sicuro e privo di abusi: contatori delle richieste, controlli anti-phishing, moderazione e log tecnici.
• L’adempimento di un obbligo di legge: conservare i dati identificativi richiesti ai fornitori di hosting e rispondere alle richieste delle autorità competenti con i dati in nostro possesso.

Non usiamo i tuoi dati a fini pubblicitari né di profilazione, e il tuo consenso non è richiesto per i pochi elementi conservati nel tuo browser, come spiegato nell’informativa sui cookie.

Tempi di conservazione

• Account: fino alla sua eliminazione.
• Account mai confermato: 7 giorni.
• Link inviati via email: 24 ore (conferma), 1 ora (reimpostazione della password), o fino al loro utilizzo.
• Sessioni: 2 ore di inattività, 30 giorni al massimo.
• Link, QR code, pagina di link, avatar e statistiche dei clic: finché non li elimini, o finché non elimini il tuo account.
• Codice di un link breve eliminato (la parte finale del suo indirizzo): riservato solo a te per 30 giorni (se elimini il tuo account, in quel periodo resta bloccato per tutti), perché nessun altro possa appropriarsi dei link e dei QR code che hai già condiviso. In seguito, come per i nomi delle pagine di link non più in uso, conserviamo senza limiti di tempo solo un’impronta (HMAC) da cui non è possibile risalire al codice: ci indica soltanto che è già stato usato e, se viene riutilizzato, i suoi nuovi visitatori confermano la destinazione per 7 giorni. Per il nome di una pagina di link conserviamo anche un’impronta dell’account che lo ha usato, finché tale account esiste: viene cancellata quando l’account viene eliminato.
• Sito web: finché non lo elimini, o finché non elimini il tuo account; versioni pubblicate precedenti: 90 giorni.
• Messaggi ricevuti tramite il tuo sito web: 90 giorni.
• Statistiche del tuo sito web: 13 mesi.
• Dati che identificano la creazione e le modifiche del tuo sito web (indirizzo IP e, se nota, porta): 1 anno.
• Copie congelate di un sito web segnalato: fino alla decisione, poi 12 mesi.
• Registro di moderazione: 12 mesi.
• Statistiche di audience (totali giornalieri anonimi): 25 mesi.
• Segnalazioni: 12 mesi dopo la loro gestione.
• Messaggi che invii al nostro indirizzo di contatto: per il tempo necessario a gestire la tua richiesta, poi 12 mesi al massimo dalla nostra ultima risposta.
• Contatori delle richieste: da un minuto a 24 ore.
• Log tecnici: conservati dal nostro fornitore di hosting, OVH SAS, per il periodo che stabilisce.
• Backup tecnici (database e file, per rimediare a un guasto): 14 giorni, poi vengono cancellati. Un dato eliminato scompare quindi anche dai backup entro 14 giorni al massimo.

Un dato scaduto non può più essere utilizzato. Viene cancellato da una pulizia automatica che si esegue man mano che il sito viene usato: può quindi restare memorizzato un po’ oltre questi tempi.

Destinatari dei tuoi dati

Non vendiamo né affittiamo mai i tuoi dati, e non li condividiamo a fini pubblicitari. Li trattano solo questi fornitori, per nostro conto e per le finalità sopra indicate:

• il nostro fornitore di hosting (OVH SAS), che gestisce il server e conserva il database;
• il nostro fornitore di servizi email, per recapitare le email dell’account;

I dati possono inoltre essere comunicati alle autorità quando la legge lo richiede.

Trasferimenti al di fuori dell’Unione europea

Scegliamo fornitori di hosting e di servizi email che conservano i dati nell’Unione europea. Se ciò dovesse cambiare, questa informativa lo indicherà e specificherà le garanzie adottate.

I tuoi diritti

Il GDPR ti riconosce il diritto di:

• accedere ai tuoi dati e riceverne una copia;
• farli rettificare: puoi cambiare indirizzo email, password e lingua nelle impostazioni dell’account, e modificare i tuoi link e la tua pagina di link in qualsiasi momento;
• farli cancellare: eliminando il tuo account dalle impostazioni, cancelli in un colpo solo tutto ciò che vi è collegato;
• ricevere i dati che ci hai fornito in un formato strutturato e leggibile da dispositivo automatico (portabilità);
• opporti ai trattamenti basati sul nostro legittimo interesse, e chiederne la limitazione;
• definire disposizioni sulla sorte dei tuoi dati dopo la tua morte.

Per esercitare questi diritti, scrivi a contact@oneforall-tools.com, preferibilmente dall’indirizzo del tuo account. Rispondiamo entro un mese. In caso di ragionevoli dubbi sulla tua identità, possiamo chiederti di confermarla.

Se ritieni che i tuoi diritti non siano rispettati, puoi presentare un reclamo all’autorità francese per la protezione dei dati, la Commission nationale de l’informatique et des libertés (CNIL, www.cnil.fr), oppure all’autorità del paese in cui risiedi.

Come proteggiamo i tuoi dati

• connessioni cifrate (HTTPS con HSTS) e intestazioni di sicurezza rigorose, tra cui una Content Security Policy (CSP);
• password sottoposte a hash con Argon2id e confrontate con un elenco di password comuni;
• identificativi di sessione e parte segreta dei link inviati via email memorizzati solo sotto forma di impronte SHA-256, e mai inseriti nell’indirizzo di una pagina; indirizzi IP mai memorizzati in chiaro nel nostro database: solo sotto forma di impronte con chiave segreta nei contatori delle richieste e, per i siti web, sigillati con una chiave pubblica nel registro di identificazione;
• strumenti lato server isolati: le pagine web vengono recuperate da un componente che rifiuta gli indirizzi privati e interni, e le immagini che carichi vengono controllate, poi ricodificate in un processo separato;
• raccolta minima: misurazione anonima dell’audience, senza cookie né indirizzi IP; nessuna pubblicità, nessun tracciamento.

Modifiche a questa informativa

Aggiorniamo questa informativa quando il sito cambia; la data in cima alla pagina indica la versione in vigore. Se una modifica incide in modo significativo sull’uso dei tuoi dati, ne informeremo via email i titolari di account prima che entri in vigore.