Informativa sulla privacy

Versione del 20 ottobre 2026. Informativa ai sensi dell'art. 13 del Regolamento (UE) 2016/679 (GDPR) per chi usa l'Identità di Varca (id.varca.app) e l'app di un'organizzazione su Varca.

Chi è il titolare

Il titolare del trattamento è [NOME E COGNOME], persona fisica, residente in [INDIRIZZO]. Per qualsiasi domanda o richiesta su questi dati: [EMAIL DI CONTATTO].

Varca non è ancora una società: finché non lo sarà, il titolare è questa persona. Non è stato nominato un responsabile della protezione dei dati (DPO).

Che cos'è l'Identità

L'Identità è il servizio, all'indirizzo id.varca.app, con cui entri in Varca. Registri il tuo telefono (con l'app Varca per Android) o una chiave di sicurezza, e con questi accedi alle organizzazioni di cui fai parte, sul telefono e da un computer. Ogni organizzazione ha la propria app, su un'istanza separata dalle altre.

Quali dati tiene l'Identità

• Chi sei: il tuo nome e, se l'invito la indica, l'email con cui accedi da un computer (è anche l'indirizzo a cui arrivano il codice di recupero e gli avvisi quando viene aggiunto un telefono o una chiave). La lingua che hai scelto.
• I tuoi telefoni e le tue chiavi di sicurezza: per ciascuno il nome del modello (per un telefono, produttore e modello) o l'etichetta che gli dai; la chiave pubblica (quella privata non lascia mai il telefono o la chiave); le prove della sua attestazione (che la chiave è nell'hardware di sicurezza, che il telefono si è avviato in modo verificato e che l'app è la nostra); per una chiave di sicurezza, l'identificativo della credenziale, il modello (AAGUID), il contatore delle firme e come si collega; quando è stato aggiunto, quando è stato usato l'ultima volta e, se lo hai rimosso, quando.
• Il token per le notifiche di ciascun telefono, con cui l'Identità sveglia l'app quando c'è un accesso da approvare o qualcosa da vedere.
• Gli accessi da un computer: per ogni richiesta, il codice mostrato, il servizio che l'ha chiesta, quando, quanti tentativi; il nome del browser e del sistema operativo (da un elenco fisso, non l'intestazione completa del browser); la città e il paese approssimativi, stimati dall'indirizzo IP con un database che si trova sul server stesso (DB-IP), quando è possibile. L'indirizzo IP non viene salvato: è usato solo in memoria, per limitare i tentativi e per stimare il luogo.
• Le approvazioni: quale telefono ha approvato quale accesso e quando, e gli accessi che hai rifiutato ("Non sono io").
• Le sessioni: dove sei entrato con l'Identità (fino a 30 giorni dal telefono, fino a 12 ore da un computer) e a quali organizzazioni hai dato accesso (fino a un anno).
• Il recupero: un'impronta (hash) del tuo codice di recupero, mai il codice; le richieste di recupero, con il codice inviato per email (valido 10 minuti).
• Gli inviti: il nome e l'email di chi viene invitato e un'impronta dell'invito, valido 24 ore e una volta sola.

In memoria, mai su disco, per poco tempo: quale organizzazione ha svegliato il tuo telefono (un'ora) e le modifiche al tuo account chieste da un computer in attesa del telefono (cinque minuti).

Perché, e su quale base

• Per farti entrare e tenere al sicuro il tuo account: riconoscere il tuo telefono o la tua chiave, verificare le tue approvazioni, recuperare l'accesso se perdi il telefono. Base: l'esecuzione dell'accordo con cui usi Varca (art. 6.1.b GDPR). Senza questi dati non puoi accedere.
• Per proteggere te e il servizio dagli abusi: limitare i tentativi, dirti da dove arriva una richiesta di accesso perché tu possa riconoscerla, conservare la traccia di accessi, approvazioni e rifiuti. Base: il legittimo interesse alla sicurezza del servizio (art. 6.1.f GDPR).

Chi riceve i dati

• Le organizzazioni in cui entri. A ogni accesso, l'app di ciascuna riceve: un identificativo diverso per ogni organizzazione (non permette di collegarti da un'organizzazione all'altra), il tuo nome, la tua lingua, le chiavi pubbliche dei tuoi telefoni (per verificare le tue approvazioni) e il fatto che hai usato una chiave hardware e l'impronta. Non riceve la tua email, i tuoi telefoni né le altre organizzazioni a cui accedi.
• La console di Varca, usata dal titolare per l'assistenza (per esempio togliere un telefono perso): vede il nome, l'email di accesso, telefoni e chiavi (etichetta, tipo, quando aggiunti e usati l'ultima volta), se esiste un codice di recupero e in quali organizzazioni accedi. Mai una chiave, un token per le notifiche o che cosa hai approvato.
• Fornitori che trattano i dati per conto del titolare:
  • Hostinger, che fornisce il server su cui gira l'Identità ([DA VERIFICARE: località del server]);
  • Google (Firebase Cloud Messaging), che recapita le notifiche: riceve il token del telefono e un messaggio vuoto che sveglia l'app, mai il contenuto;
  • Scaleway (Francia), che invia le email: riceve il tuo indirizzo e il testo del messaggio (il codice di recupero, un avviso);
  • GitHub, che conserva le copie di backup, cifrate in modo che solo il titolare possa leggerle.
• Trasferimenti fuori dall'Unione europea: Google e GitHub sono società statunitensi. [DA VERIFICARE: base del trasferimento per ciascuno, per esempio l'EU-US Data Privacy Framework o clausole contrattuali tipo.]

Per quanto tempo

• Ciò che riguarda te, i tuoi telefoni, le chiavi, gli accessi, le approvazioni e i rifiuti resta finché esiste la tua Identità. Oggi nulla viene cancellato in automatico: un telefono rimosso smette di funzionare ma resta registrato, e le richieste scadute restano nella cronologia.
• Le sessioni scadono come detto sopra; gli inviti dopo 24 ore; i codici di recupero inviati per email dopo 10 minuti.
• I registri tecnici del server (eventi, senza contenuti) sono tenuti 90 giorni.
• Le copie di backup cifrate sono conservate senza scadenza.
• Se lasci un'organizzazione, il tuo Account in quell'organizzazione viene rimosso; la tua Identità resta, con le altre.

Cosa tiene l'app di un'organizzazione

Ogni organizzazione (per esempio Stipa) ha la propria app, su un'istanza separata. Anche per questi dati il titolare, per ora, è la persona indicata sopra.

• Il tuo Account lì: il nome, il collegamento alla tua Identità (con l'identificativo riservato a quell'organizzazione), il tuo ruolo e i tuoi diritti, le sessioni e le iscrizioni alle notifiche.
• Quello che fai lì: ticket, note, commenti, mappe, documenti, conversazioni con l'Agente e i loro allegati, le assenze, e le approvazioni, con la firma del tuo telefono come prova di ciò che hai approvato.
• L'Agente dell'organizzazione usa un modello linguistico. Le richieste passano per OpenRouter (Stati Uniti), con il divieto di usarle per l'addestramento. Il modello predefinito è DeepSeek V4 Flash, servito solo da fornitori che non conservano i dati (in Europa o altrove, come OpenRouter li elenca). Quando non risponde, o per una foto o un PDF, risponde un modello di riserva (Google Gemini 2.5 Flash Lite) su fornitori scelti da OpenRouter; la ricerca sul web usa un modello di OpenAI, che riceve solo le domande di ricerca, mai la conversazione. Per una singola conversazione si può scegliere un altro modello fra quelli verificati. Prima che una richiesta parta, email, IBAN, codici fiscali, partite IVA, numeri di telefono e i nomi già noti all'organizzazione sono sostituiti da segnaposto; altri nomi scritti nel testo possono arrivare al modello. [DA VERIFICARE: base del trasferimento verso OpenRouter e gli altri fornitori fuori dall'Unione europea.]
• Questi dati restano finché esiste l'organizzazione o finché non chiedi di cancellarli; le copie di backup cifrate senza scadenza, come sopra.

I tuoi diritti

Puoi chiedere in qualsiasi momento:

• accesso: sapere quali dati abbiamo su di te e averne copia;
• rettifica: correggerli;
• cancellazione: farli cancellare, quando non devono più essere conservati;
• limitazione: che siano solo conservati, senza altro uso, mentre si verifica una tua richiesta;
• portabilità: riceverli in un formato leggibile da una macchina;
• opposizione: al trattamento basato sul legittimo interesse.

Come: scrivi a [EMAIL DI CONTATTO]. Ti rispondiamo entro un mese. Alcune cose le fai già da solo, in Il tuo account: cambiare il nome e la lingua, togliere un telefono o una chiave, fare un nuovo codice di recupero, "Esci ovunque". Oggi la copia dei tuoi dati e la cancellazione sono fatte a mano dal titolare, su tua richiesta.

Hai anche il diritto di presentare reclamo al Garante per la protezione dei dati personali (Piazza Venezia 11, 00187 Roma, www.garanteprivacy.it).

Modifiche

Se questa informativa cambia, la nuova versione è pubblicata a questo indirizzo con la sua data.