Privacy

Chi è responsabile

Io: Luca Zanussi, persona privata, in Italia. Gestisco questo sito da solo, su un server che noleggio da Contabo, un'azienda di hosting tedesca, e che amministro io, senza guadagnarci nulla e per conto di nessun altro. Per qualsiasi cosa riguardi i tuoi dati, scrivi all'indirizzo in cima a questa pagina.

Cosa succede quando visiti il sito

Tutto viaggia cifrato. Ogni connessione a questo sito usa HTTPS, e il tuo browser viene istruito a non usare mai altro. Quello che leggi e quello che il browser chiede sono cifrati tra te e il mio server: chi sta nel mezzo può vedere che hai visitato il sito, ma non quali pagine.

Il server tiene un registro breve. Come ogni server web, il mio annota ogni richiesta a cui risponde: il tuo indirizzo IP, la descrizione che il browser dà di sé, la pagina richiesta e l'ora. Un raccoglitore, Vector, aggiunge la città approssimativa e il fornitore di rete a cui appartiene l'indirizzo, e conserva il registro nel mio sistema di monitoraggio, Grafana Loki. Lo uso solo per far funzionare il sito e per capire cosa è andato storto quando non funziona. Tutto viene cancellato dopo un mese.

Gli attacchi vengono bloccati, e segnalati. CrowdSec, uno strumento di sicurezza open source, legge lo stesso registro per riconoscere gli attacchi automatici, e blocca per un giorno l'indirizzo da cui arrivano. Quando succede, segnala quell'indirizzo e il tipo di attacco a CrowdSec, l'azienda francese che lo sviluppa, che condivide una lista di blocco con altri server. Le visite normali non vengono mai segnalate, e i suoi registri vengono cancellati dopo 7 giorni.

Conto le visite, non i visitatori. Uso una mia copia di Umami, uno strumento di statistiche open source. Non imposta cookie e non conserva indirizzi IP. Trasforma indirizzo e browser in un codice anonimo che cambia ogni giorno, così non può riconoscerti domani né seguirti su altri siti. Quello che vedo sono totali: quali pagine vengono lette, da quale paese e città, con che tipo di dispositivo e da quale sito si arriva. Poiché niente in questi numeri riporta a te, li conservo finché esiste il sito, e non lasciano mai macchine che controllo io.

Un solo cookie, e solo se lo chiedi tu. Se cambi lingua, il sito ricorda la scelta in un cookie chiamato NEXT_LOCALE, che sparisce quando chiudi il browser. La preferenza per il tema chiaro o scuro resta nella memoria del tuo browser e non lascia mai il tuo dispositivo. Nessuno dei due richiede il tuo consenso, ed è per questo che il sito non ha un banner dei cookie.

Il segnale di privacy del tuo browser è rispettato. Se il tuo browser invia Global Privacy Control, sta chiedendo ai siti di non vendere né condividere i tuoi dati. Questo sito non fa né l'una né l'altra cosa, con nessuno, quindi non c'è altro da disattivare. Lo dichiara anche nella sua dichiarazione GPC.

Chi altro vede qualcosa

Contabo sempre, nel senso che il sito gira su un server che noleggio da Contabo: tutto passa dalle sue macchine, ma si limita a tenerle in funzione e non guarda cosa ci gira sopra.

Per il resto, molto poco, e solo in questi casi.

• CrowdSec riceve l'indirizzo di chi attacca il sito, come descritto sopra.

• Quando apri una mappa a schermo intero, il tuo browser carica le tessere della mappa da OpenFreeMap, gestito da Hyperknot in Ungheria, quindi nell'Unione europea. Riceve il tuo indirizzo IP come qualsiasi server web, e dichiara di non conservare registri degli accessi.

• Quando segui un link verso un altro sito, valgono le regole di quel sito.

Tutto il resto arriva dal mio server: i caratteri, le fotografie e le immagini delle anteprime dei link. Un fotogramma di un video o l'icona di un sito li scarica il mio server e te li consegna come propri, così il tuo browser non contatta mai YouTube, Vimeo o il sito citato. Non ci sono pubblicità, pulsanti social, tracker, moduli per commenti né newsletter. Non vendo, non condivido e non profilo nulla.

I tuoi diritti

Il GDPR ti dà il diritto di sapere cosa conservo su di te, di farlo correggere o cancellare, di limitarne o contestarne l'uso e di riceverlo in un formato portabile. In pratica non conservo quasi nulla che possa identificarti, ma scrivi all'indirizzo in cima e risponderò entro un mese. La base giuridica del registro, della protezione dagli attacchi e del conteggio delle visite è il mio legittimo interesse a far funzionare un sito sicuro (articolo 6, paragrafo 1, lettera f del GDPR).

Se pensi che abbia sbagliato qualcosa, puoi presentare reclamo al Garante per la protezione dei dati personali, o all'autorità per la protezione dei dati del paese in cui vivi.

Perché mi sta a cuore

La privacy non è qualcosa che ho aggiunto alla fine. Penso che leggere non debba voler dire essere osservati, e un sito personale è un buon posto per metterlo in pratica: può dirti tutto quello che fa, e fare pochissimo.

Se vuoi proteggere la tua privacy anche altrove, la guida Surveillance Self-Defense della Electronic Frontier Foundation e la sua estensione per browser Privacy Badger sono buoni punti di partenza. Più vicino a noi, EDRi, la rete delle organizzazioni europee per i diritti digitali, e il Centro Hermes, il suo membro italiano, difendono questi diritti in Europa e in Italia: dalla tutela della crittografia all'opposizione alla scansione dei messaggi privati.