Informativa sulla privacy di KeepNest

Chi è il titolare

Il titolare del trattamento è Andrei Chelariu, persona fisica, che pubblica KeepNest sull'App Store.

Per qualunque domanda sulla privacy: supporto@casachelariu.com.

Non è stato nominato un responsabile della protezione dei dati (DPO).

Dentro ogni casa sono gli amministratori a decidere chi entra e con quale ruolo, e a caricare i documenti della famiglia.

Quali dati trattiamo

Quelli che servono a far funzionare l'app:

• il tuo account: nome, indirizzo email, ruolo nella casa, la parte pubblica della tua passkey (quella privata resta nel portachiavi del tuo iPhone) e, per gli amministratori, il segreto del secondo fattore;
• le persone di casa: nome e cognome, altri nomi con cui compaiono sui documenti, data di nascita, anno di nascita e sesso, cittadinanza, codice fiscale o CNP, foto della scheda, note;
• i documenti di casa: i file (PDF, foto, scansioni), il testo che se ne estrae e quello che se ne legge, cioè tipo, titolo, ente, luogo, date, importi, numero del documento e note;
• i beni di casa: veicoli con la targa, immobili con l'indirizzo, animali con il microchip;
• scadenze, compiti, avvisi e i soldi di casa (abbonamenti e utenze, con fornitore e importo);
• se la casa ha acceso la posta di casa, le email inoltrate all'indirizzo della casa: chi le manda, l'oggetto, la data, il testo, i PDF allegati e la casella da cui arrivano; se la casa lo ha chiesto, anche quelle delle strutture sanitarie e quelle degli enti pubblici che riconosciamo come sanitarie, che possono dire qualcosa sulla salute (vedi sotto);
• i dispositivi: nome, modello e versione di iOS del telefono, versione dell'app, un identificativo del telefono e il codice per le notifiche; per il sito, il tipo di browser;
• i dati tecnici degli errori: il tipo di errore, il punto del programma in cui è successo, le versioni dell'app e del sistema, il modello del telefono e, per i blocchi e le chiusure improvvise dell'app, i dati che iOS raccoglie, già ridotti sul telefono; la casa compare solo come un codice che non dice quale sia. Gli errori che l'app ti mostra e quelli del server finiscono anche in un elenco dei problemi nel nostro database, che vede solo chi gestisce KeepNest. Mai il messaggio dell'errore, il testo dei documenti, i nomi, il contenuto delle richieste o l'indirizzo IP;
• i dati tecnici di sicurezza: l'indirizzo IP e il tipo di browser, per limitare i tentativi di accesso e nella sessione che precede l'ingresso, e il registro delle azioni (chi ha fatto che cosa e quando: accessi, modifiche, download, esportazioni).

Fra i documenti ci possono essere carte d'identità e passaporti, referti e certificati medici, dichiarazioni dei redditi, atti legali e documenti scolastici dei figli. I documenti sanitari sono dati particolari secondo l'articolo 9 del GDPR, e possono riguardare familiari minorenni.

Non chiediamo e non leggiamo la posizione, i contatti o il calendario. Dalle foto (JPEG, PNG, HEIC) l'app toglie coordinate e metadati identificanti prima di caricarle; un file di altro tipo, per esempio un PDF fatto da un'altra app, viene caricato così com'è. Per aggiungere un compleanno al calendario l'app apre il foglio di sistema dell'iPhone, senza leggere gli eventi. Non ci sono pubblicità né tracciamento, e i dati non si vendono. Non usiamo strumenti di analisi di altre aziende: gli unici numeri sull'uso sono i contatori d'uso della casa, spenti finché non li accendi tu (vedi sotto).

Contatori d'uso della casa. Sono spenti finché non li accendi tu, da Impostazioni, e l'interruttore vale per il telefono su cui lo tocchi. Accesi, contano quali schermate si aprono e quante volte un documento si aggiunge o si lascia a metà, per capire che cosa migliorare. Si contano per casa e per giorno, con la versione dell'app: niente contenuti, niente nomi di file, niente importi, niente persone. In una casa con una persona sola, però, i numeri della casa sono i suoi. Li guardiamo noi di KeepNest per migliorare l'app, li vede anche chi amministra la casa, e dopo novanta giorni si cancellano da soli.

Segnala un problema. Quando scrivi una segnalazione da Impostazioni parte solo quello che hai scritto, con la versione dell'app: niente schermate, niente registri, niente documenti. Arriva a chi gestisce KeepNest e agli amministratori della tua casa, con il tuo nome. Nessuna email: a chi gestisce KeepNest arrivano una riga nel suo elenco dei problemi, che dice solo che c'è una segnalazione, con un codice della casa e la versione dell'app, e una notifica di KeepNest che non dice altro. Il testo è conservato cifrato, esce nella copia dei tuoi dati e si cancella quando elimini il tuo account.

Perché li trattiamo, e su quale base

• Per darti il servizio che hai accettato entrando con l'invito: conservare documenti e schede, calcolare le scadenze, mandarti gli avvisi, tenere allineati i telefoni. Base: esecuzione del servizio (art. 6.1.b GDPR).
• Per avvisarti in Inbox quando un fornitore scrive alla casa (o un mittente aggiunto dalla casa, o un ente pubblico nelle case in cui abbiamo acceso la posta degli enti), proporti importo e scadenza scritti nell'email e riconoscere a quale utenza di casa si riferiscono i PDF, se la casa ha acceso la posta di casa (vedi sotto). Base: esecuzione del servizio (art. 6.1.b GDPR).
• Per riportare nelle «Spese di casa», già saldate e senza aspettare un tocco, le ricevute chiare che arrivano con la posta di casa (vedi sotto). Base: esecuzione del servizio (art. 6.1.b GDPR).
• Per avvisare gli amministratori quando scrive alla casa una struttura sanitaria (o un ente pubblico, con un'email che riconosciamo come sanitaria), e tenerne i PDF, se la casa ha chiesto anche questa posta (vedi sotto). Base: il consenso esplicito dell'amministratore che ha creato l'indirizzo della casa, dato nell'app o per iscritto, per i dati sulla salute suoi e dei figli minorenni di cui è genitore (art. 9.2.a GDPR).
• Per proteggere i dati della casa: registro delle azioni, limiti ai tentativi di accesso, revoca dei telefoni, copie di sicurezza. Base: legittimo interesse alla sicurezza (art. 6.1.f GDPR).
• Per proporti tipo, titolo, date e importo di un documento con la lettura automatica, quando serve (vedi sotto). Base: il tuo consenso (art. 6.1.a GDPR) e, per i dati relativi alla salute, il tuo consenso esplicito (art. 9.2.a GDPR), che dai nell'app e puoi revocare quando vuoi; i documenti segnati «Riservato» non escono comunque. Questo vale anche per i PDF arrivati con la posta di casa, nelle case in cui la lettura automatica della posta è accesa.
• Per capire che cosa migliorare, con i contatori d'uso della casa. Base: il tuo consenso (art. 6.1.a GDPR), che dai accendendoli dalle Impostazioni e ritiri spegnendoli.
• Per leggere e risolvere un problema che segnali. Base: esecuzione del servizio (art. 6.1.b GDPR).
• Per accorgerci degli errori e ripararli. Base: legittimo interesse al funzionamento del servizio (art. 6.1.f GDPR).

Quando accetti l'invito, se sei adulto leggi e accetti la regola della casa su chi vede cosa. L'accettazione viene registrata con l'impronta del testo esatto che hai letto.

Dati particolari e minori. Oggi KeepNest lo usano alcune famiglie invitate: ognuna carica i propri documenti per la propria vita di casa, e nessuna vede quelli delle altre. Fra questi ci sono anche documenti sanitari e documenti dei figli. Li vedono solo i membri di quella casa: il database impedisce a una casa di vedere i dati di un'altra, e dentro la casa è l'app a decidere chi vede cosa, secondo il ruolo di ognuno; i file sanitari e d'identità sono salvati cifrati, altri file, come le pagelle, no. Alla lettura automatica un documento sanitario va solo se chi lo carica ha dato il permesso, che contiene il consenso esplicito per i dati sulla salute, suoi e dei figli minorenni di cui è genitore (art. 9.2.a GDPR).

Nessuna decisione con effetti giuridici su di te viene presa in modo solo automatico, e non facciamo profilazione.

La lettura automatica dei documenti

Quando un documento arriva, KeepNest prova prima a capirlo da solo: dal nome del file, dal testo del PDF, dai codici letti sul telefono. Solo se manca qualcosa lo manda al modello Claude di Anthropic, che propone tipo, titolo, date e importo. Può mandare anche documenti d'identità, sanitari e di tipo non riconosciuto; mai quelli segnati «Riservato» e i fogli con credenziali e password. La proposta la conferma sempre una persona.

Niente di tutto questo succede senza un permesso esplicito. Ogni adulto lo dà per sé nell'app aggiornata, al primo ingresso o dalle Impostazioni, dopo aver letto cosa esce e verso chi; lo revoca quando vuole dallo stesso posto, e da quel momento i suoi documenti non escono più. Il permesso viene registrato con l'impronta del testo esatto che ha letto. Quando il testo del permesso cambia, il permesso dato prima non vale più e l'app lo chiede di nuovo. Senza permesso l'app funziona lo stesso: tipo, titolo e date si scrivono a mano.

• Conta il permesso di chi carica il documento: con il suo, KeepNest legge i documenti che carica lui, anche quando riguardano altre persone di casa: figli, persone senza un account, adulti che non ha ancora riconosciuto. Se un documento è già collegato a un altro adulto che non ha dato il permesso, non lo legge. Un documento d'identità o sanitario che l'app non ha ancora collegato a nessuno non lo legge finché in casa c'è un altro adulto che non ha dato il permesso. Per i documenti caricati da un minore decide un amministratore della casa.
• Non escono mai: i documenti segnati «Riservato» e i fogli con credenziali e password. «Riservato» si segna quando si carica un documento, dal tasto Condividi o dalla scheda del documento; lo può togliere chi l'ha messo oppure un amministratore della casa, mai un minore. I documenti che erano già chiusi alla lettura automatica prima di questo cambio restano riservati finché un amministratore non li riapre.
• Chi manda un documento con il tasto Condividi di un'altra app trova l'interruttore «Riservato», spento di partenza: chi lo accende tiene il documento fuori dalla lettura automatica. Con le versioni precedenti dell'app l'interruttore si chiama «Sensibile» e alcuni documenti si chiudono da soli.
• Di serie possono uscire i documenti finanziari e legali ammessi, come ISEE, 730, F24, coordinate bancarie e atti notarili. È una scelta del titolare del servizio, unica per tutto il server, che la può spegnere.
• Esce il testo del documento; se il documento non ha testo, per esempio una scansione o una foto, non esce il file: esce solo l'immagine delle sue pagine, ricostruita dall'app senza nessun dato nascosto, posizione compresa, solo se è breve: fino a 3 pagine, una foto fino a 5 MB. Il documento stesso può contenere nomi e numeri; i dati della famiglia salvati nell'app (nomi, date di nascita, targhe, indirizzi) non vengono aggiunti.
• C'è un tetto di spesa mensile: superato, la lettura automatica si ferma fino al mese dopo.
• I documenti già in archivio non vengono riletti da soli: un documento ancora da controllare in Inbox esce solo se qualcuno di casa chiede di leggerlo di nuovo, con queste stesse regole.

La posta di casa

La posta di casa è spenta di partenza, e si può accendere solo nelle case che abilitiamo noi. In quelle case la accende un amministratore, dall'app, con un codice recente del secondo fattore, e la spegne quando vuole. Accesa, la casa ha un suo indirizzo email con dentro un codice segreto: l'app lo mostra una volta sola, e nel database ne resta solo un'impronta. Un amministratore può cambiarlo, e quello vecchio smette subito di funzionare. Spenta la posta, l'indirizzo non porta più alla casa; gli avvisi già arrivati restano, con i tempi detti qui sotto, tranne quelli sanitari, che si cancellano alla prima pulizia notturna quando nella casa il consenso non vale più. Il consenso dato nell'app conta solo finché c'è un indirizzo in uso: a posta spenta non conta, e quindi gli avvisi sanitari se ne vanno. Quando la spegni o cambi l'indirizzo, togli anche l'inoltro dalla tua casella: finché c'è, le email continuano a passare da Cloudflare e dal nostro ricevitore, come detto più sotto, anche se la casa non le riceve più.

A quell'indirizzo si inoltrano dalla propria casella, per esempio con un filtro, le email dei fornitori di casa e, nelle case in cui abbiamo acceso anche la posta degli enti pubblici, quelle degli enti. Entrano solo quelle dei fornitori e degli enti che KeepNest conosce, con una firma digitale valida del dominio da cui scrivono. Un ente che conosciamo solo dall'elenco ufficiale delle pubbliche amministrazioni (IndicePA) entra solo se l'email porta la firma digitale esatta del suo dominio. Le altre si scartano, e il nostro server non ne tiene niente, salvo il conteggio detto più sotto. Passano però anche loro da Cloudflare, come detto più sotto: per questo conviene inoltrare solo le email dei fornitori e degli enti, non tutta la posta.

Nell'app, in «I tuoi fornitori», un adulto della casa può spuntare i fornitori da cui la casa riceve le email e, nelle case in cui abbiamo acceso la posta degli enti pubblici, anche gli enti e il proprio Comune. La scelta si salva per la casa, e il Comune scelto dice, di solito, dove vive la famiglia. Serve solo a preparare le regole da mettere nella propria casella: non cambia quali email entrano.

Oltre ai fornitori che KeepNest conosce, una casa può aggiungere i suoi mittenti, per esempio il Comune, la scuola o un ospedale, con la firma digitale del loro dominio oppure, per i mittenti che la casa ci chiede di segnare, con la verifica che iCloud fa quando l'email arriva nella casella. Questa verifica dice da quale servizio di posta è partita l'email, non chi l'ha scritta: chi usa lo stesso servizio del mittente, per esempio Aruba, Google o Microsoft, potrebbe farsi passare per lui. Per questo il segno si mette solo sui mittenti che la casa sceglie. Quell'elenco vale solo per quella casa. I mittenti li aggiunge e li toglie un amministratore, dall'app, con un codice recente del secondo fattore; quelli che abbiamo aggiunto noi su richiesta della casa si tolgono scrivendoci. Gli adulti della casa vedono l'elenco nell'app, con la data dell'ultima email entrata, tranne le strutture sanitarie, che vedono solo gli amministratori. Se la casa aggiunge una piattaforma che scrive per conto di altri, come il registro elettronico della scuola, il portale dei servizi del Comune o l'app della società sportiva, entra la posta di tutti quelli che la usano per scrivere alla casa: la scelta è della casa.

Le email delle strutture sanitarie, per esempio un ospedale o un'ASL, entrano solo nelle case in cui l'amministratore che inoltra la posta ci ha dato per iscritto il consenso esplicito, per i dati sulla salute suoi e dei figli minorenni di cui è genitore (art. 9.2.a GDPR). Deve inoltrare solo le email che riguardano lui o quei figli. Può ritirare il consenso quando vuole, scrivendoci: da quel momento quelle email si scartano, come nelle case che il consenso non l'hanno dato. Gli avvisi sanitari già arrivati si cancellano alla prima pulizia notturna; i documenti restano finché un amministratore non li cancella.

Il consenso si dà e si ritira anche nell'app, da «Posta di casa». Lo dà un amministratore, per sé, e viene registrato con l'impronta del testo esatto che ha letto; se il testo cambia, quello dato prima non vale più e va dato di nuovo. Nell'app, per la casa conta il consenso di chi ha creato l'indirizzo in uso, finché resta un amministratore attivo della casa: se lo ritira, se non è più un amministratore attivo, o se un altro amministratore cambia l'indirizzo senza aver dato il consenso nell'app, quelle email si scartano, come detto sopra. Il consenso dato per iscritto vale finché non ci viene chiesto di toglierlo, e allora lo togliamo noi. Vale però solo finché nella casa nessuno ha dato o ritirato un consenso nell'app.

• Ogni email accolta diventa un avviso in Inbox, con un titolo neutro, «Messaggio di» e il nome del fornitore o dell'ente, e con la data. Il titolo dice chi scrive, non che cosa: può essere una bolletta come una pubblicità. Lo vedono gli adulti della casa, tranne gli avvisi sanitari.
• Se scrive una struttura sanitaria, l'avviso si chiama «Messaggio sanitario», senza il nome della struttura, e lo vedono solo gli amministratori. Del testo di quell'email non teniamo niente, quindi non proponiamo né importo né scadenza.
• Trattiamo come sanitarie anche le email degli enti pubblici che dall'oggetto o dal testo riconosciamo come sanitarie, per esempio quando parlano di un certificato di malattia, di un referto o di una pratica di invalidità civile: valgono le stesse regole delle strutture sanitarie, consenso compreso. Le riconosciamo dalle parole: un'email sulla salute scritta con parole diverse può entrare come un'email normale.
• Importo e scadenza si propongono solo se sono scritti nel testo dell'email. Li cerca il server con regole fisse, senza intelligenza artificiale, e li conferma una persona: da un avviso non nasce mai da sola una scadenza da saldare. Fanno eccezione le ricevute chiare, quelle in cui KeepNest riconosce con certezza che hai già saldato, quanto e a chi. Quelle le riporta da sé nelle «Spese di casa», già saldate e segnate come arrivate dalla posta, e l'avviso si chiude. Oggi lo fa con le ricevute dei servizi in abbonamento di cui conosce la forma, cioè, per ora, quelle di Apple. Queste voci le vedono solo gli adulti della casa, e ognuno di loro le può annullare con «Annulla», finché nessuno le ha cambiate: tornano com'erano prima dell'email.
• Nelle case in cui abbiamo acceso questa funzione anche per pagoPA e per l'App IO, KeepNest guarda anche le loro ricevute, se arrivano dopo l'accensione, dai loro indirizzi ufficiali e con la firma digitale del loro dominio. Una ricevuta di IO diventa da sola una voce già saldata nelle «Spese di casa» solo se la cifra è certa e se è per un ente che KeepNest conosce e che non è sanitario, per esempio l'ACI o l'Agenzia delle Entrate: se l'ente non si capisce, o non è fra quelli, da sola non nasce niente. La voce si può spostare in un'altra sezione. Le ricevute di pagoPA non diventano mai una voce da sole, perché non dicono con certezza a chi è andato il pagamento. Il giorno della voce è quello in cui si è saldato, se la ricevuta lo scrive in modo chiaro e la data è attendibile; se no usiamo quello dell'email, e lo segnaliamo nell'app. KeepNest non unisce mai da solo due ricevute: se in casa c'è già una voce che può essere lo stesso pagamento, non nasce niente, e l'avviso resta in Inbox con un suggerimento per una persona. Della ricevuta, nella voce, teniamo solo la cifra, il giorno e il nome dell'ente. Il testo dell'email nella voce non entra mai. Le ricevute arrivate dopo l'accensione che riconosciamo come destinate a una struttura sanitaria o socio-assistenziale non diventano mai una voce, nemmeno come proposta, e valgono come email sanitarie, con le regole dette sopra. Le riconosciamo dal nome e dalle parole: una scritta in un altro modo può entrare come un'email normale, ma non diventa una voce, perché le voci nascono solo per gli enti che KeepNest conosce. Le ricevute arrivate prima dell'accensione non diventano mai una voce da sole: al massimo KeepNest propone la cifra, e decide una persona. Nel dubbio non nasce niente, e l'avviso resta in Inbox come prima. Come le altre, queste voci le vedono solo gli adulti della casa e si annullano con «Annulla».
• Nelle case in cui abbiamo acceso questa funzione, quando un fornitore ti scrive che la fattura è disponibile ma non la allega, KeepNest legge dall'email, con regole fisse e senza intelligenza artificiale, solo numero della fattura, codice cliente, date, periodo e totale. Date, periodo e totale li tiene cifrati con l'avviso per 24 mesi. Numero e codice cliente, a parte, li tiene solo in una forma che non si può rileggere; possono però restare nel testo dell'email, che si tiene cifrato con i tempi detti qui sotto. Quando in casa entra il documento di quella fattura, KeepNest lo collega all'avviso da sé solo se è sicuro che sia la stessa fattura; altrimenti, se trova un solo documento che le somiglia, lo propone, e decide un adulto o un amministratore della casa, mai un minorenne.
• I PDF allegati, fino a tre e solo se sono PDF veri, diventano documenti in Inbox, «Documento di» e il nome del fornitore o dell'ente, a nome dell'amministratore che ha creato l'indirizzo, e da lì seguono le regole degli altri documenti. Dal loro testo il server legge con regole fisse anche i codici della fornitura (POD, PDR, codice cliente) e a parte ne tiene solo un'impronta, che non si può rileggere: servirà a riconoscere a quale utenza di casa si riferiscono.
• Un PDF non entra quando chi ha creato l'indirizzo non è più attivo nella casa, quando lo stesso file è già in casa o quando supera i limiti di un caricamento normale. L'avviso arriva lo stesso. Se il PDF manca perché chi ha creato l'indirizzo non è più attivo, il documento si può portare in casa con il tasto Condividi.
• I PDF di una struttura sanitaria si chiamano «Documento sanitario» ed entrano solo se chi ha creato l'indirizzo è ancora amministratore. Si salvano cifrati e nascono «Riservati»: non vanno alla lettura automatica, nemmeno con «Rileggi», finché un amministratore non toglie «Riservato». Li vedono gli amministratori, gli adulti che hanno accettato la regola per cui in casa gli adulti vedono tutto, e i minorenni a cui un amministratore ha dato il permesso di vedere tutto.
• Il testo delle email non va mai al modello Claude. I PDF allegati, invece, nelle case in cui abbiamo acceso questa funzione, vanno da soli alla lettura automatica quando arrivano da un fornitore che KeepNest conosce e, nelle case in cui abbiamo acceso anche la posta degli enti pubblici, da un ente che KeepNest conosce. Valgono le stesse regole scritte sopra: serve il permesso dell'amministratore a cui nome il PDF è entrato, e un PDF già collegato a un altro adulto che non ha dato il permesso non esce; i documenti segnati «Riservato» e i fogli con credenziali e password non escono; i PDF delle email sanitarie, comprese quelle degli enti che dall'oggetto o dal testo riconosciamo come sanitarie, non ci vanno da soli, perché nascono «Riservati», come detto sopra; c'è il tetto mensile. Un ente che non è una struttura sanitaria può comunque allegare un documento che parla di salute: anche per quello vale il permesso, che comprende il consenso per i dati sulla salute. I PDF delle strutture socio-assistenziali, come le case di riposo, quelli di un mittente aggiunto dalla casa e quelli arrivati prima che la funzione fosse accesa ci vanno solo se qualcuno di casa li apre e preme «Rileggi». Nelle altre case resta tutto come prima: nessun PDF della posta va da solo al modello.
• KeepNest non ti mostra link o IBAN presi dal testo delle email, e il PDF allegato lo vedi com'è arrivato. Se l'allegato è un avviso pagoPA, sulla sua scheda può comparire il tasto «Paga»: ti fa copiare il codice avviso e il codice dell'ente e apre il sito ufficiale. Il pagamento lo fai tu, fuori dall'app, e resta una tua scelta.

Che cosa si tiene, e per quanto:

• Il messaggio intero non lo salviamo mai: il nostro ricevitore lo legge in memoria e manda al server solo le parti che servono. L'indirizzo di chi scrive non si salva. L'oggetto resta insieme al testo dell'email, ripulito e cifrato allo stesso modo e con gli stessi tempi, detti qui sotto; delle email delle strutture sanitarie non si tiene nemmeno l'oggetto. A parte resta il codice di conferma dell'inoltro, detto più sotto.
• Il testo dell'email è ripulito dai link, dagli indirizzi email, dagli IBAN, dai numeri di telefono e dai codici lunghi che i nostri filtri riconoscono: qualcuno, scritto in una forma diversa, può restare. Il testo è cifrato con la chiave della casa e serve solo a proporre importo e scadenza. Si cancella quando l'avviso si chiude o, se resta aperto, alla prima pulizia notturna dopo 30 giorni. Delle email delle strutture sanitarie il testo non si tiene affatto.
• La riga del messaggio, con fornitore, data, dimensione, numero dei PDF e un'impronta che impedisce di ripetere lo stesso avviso, resta 24 mesi e si cancella alla prima pulizia notturna dopo. Con lei se ne vanno il legame fra i PDF e l'email con cui sono arrivati e le impronte dei codici della fornitura; i documenti restano.
• Per collegare una casella, l'amministratore apre dall'app una finestra di 15 minuti: in quel tempo può entrare anche l'email con cui la casella chiede di confermare l'inoltro (oggi solo quella di Gmail), e di lei si tiene soltanto il codice scritto nell'oggetto, cifrato. Gli amministratori lo vedono nell'app per 15 minuti; poi resta salvato finché la finestra non si riapre, l'indirizzo non cambia o la posta non si spegne.
• Il nostro server può tenere un conteggio delle consegne di posta che riceve, giorno per giorno e per motivo: quante sono entrate e quante sono state scartate, e perché. Il conteggio non dice chi le ha mandate, cosa c'era scritto né a quale casa erano dirette; se però la posta è accesa in poche case, il conteggio di un giorno può riguardarne una sola. I conteggi si cancellano dopo 13 mesi.
• Quello che sta nel database resta anche nelle copie di sicurezza, per i tempi detti più sotto.

Le email passano da Cloudflare, con i servizi Email Routing e Workers: le riceve, e il nostro ricevitore, che gira lì, le porta al server. La rete di Cloudflare è globale, quindi i messaggi possono passare anche fuori dall'Unione europea, con le garanzie descritte più sotto. Mentre passano, Cloudflare vede le email intere, con gli allegati, l'indirizzo della casa col suo codice e la casella da cui sono state inoltrate. Di ogni email che arriva, anche di quelle che poi scartiamo, Cloudflare registra mittente, destinatario e oggetto. Il destinatario è l'indirizzo della casa, col suo codice; il mittente di un'email inoltrata può essere la casella da cui arriva; l'oggetto lo sceglie chi scrive, e può dire cose delicate, anche sulla salute nelle email delle strutture sanitarie: quello della conferma dell'inoltro di Gmail, per esempio, porta il codice e la casella che inoltra. Questi dati li vede anche chi gestisce KeepNest: il pannello di Cloudflare li mostra fino a 30 giorni, le sue statistiche li tengono 31 giorni. Sono i tempi per cui si possono consultare, non la prova che spariscano ovunque. Che il contenuto delle email non lo tenga lo dice la pagina del servizio; il contratto non ne parla, e non dice per quanto restano le copie temporanee del messaggio. I registri delle chiamate del nostro ricevitore presso Cloudflare sono spenti.

A chi arrivano i dati

KeepNest usa questi fornitori. Ognuno riceve solo quello che serve al suo compito.

Gli inviti

Gli inviti li manda un amministratore con il mezzo che preferisce, per esempio un messaggio WhatsApp: in quel caso il testo dell'invito, con il nome della persona e il link, passa dal servizio scelto. Il link vale 48 ore e si usa una volta sola. Se lo apri nel browser, l'indirizzo con il codice dell'invito resta per 1 giorno nei registri delle richieste di Vercel.

Trasferimenti fuori dall'Unione europea

Anthropic tratta negli Stati Uniti i documenti che riceve, compresi documenti sanitari, d'identità e di figli minorenni, con le clausole contrattuali tipo. Vercel, Neon, Cloudflare e Backblaze tengono i dati principali in regioni UE ma sono società statunitensi: aderiscono al Data Privacy Framework UE-USA e usano le clausole contrattuali tipo, e Vercel dichiara che il suo trattamento principale avviene negli Stati Uniti. La posta di casa, nelle case che l'hanno accesa, passa invece dalla rete globale di Cloudflare, anche fuori dall'UE: verso gli Stati Uniti vale il Data Privacy Framework UE-USA, verso gli altri paesi le clausole contrattuali tipo, nel modulo fra titolare e responsabile (Modulo Due). Backblaze allega le clausole nella forma a moduli del 2021, senza citare nel testo il numero della decisione europea. Scaleway e healthchecks.io trattano i dati nell'UE; healthchecks.io dichiara fornitori propri anche fuori dallo Spazio economico europeo. Apple consegna le notifiche in tutto il mondo: per le notifiche non esiste un contratto sul trattamento e Apple non aderisce al Data Privacy Framework. Sentry tratta gli errori nella sua regione UE di Francoforte e li conserva 30 giorni; tiene negli Stati Uniti solo i dati dell'account di chi gestisce il pannello. È una società statunitense: aderisce al Data Privacy Framework UE-USA e usa le clausole contrattuali tipo.

Vercel, Anthropic e Cloudflare si servono a loro volta di altri fornitori, i sub-responsabili, che elencano nelle loro pagine legali. Fra i servizi di Cloudflare che usiamo ci sono l'archivio dei file (R2), il ricevitore della posta (Workers) ed Email Routing: per R2 e Workers Cloudflare elenca Google e Oracle, per Email Routing non ne elenca; in più ci sono le società del suo gruppo e i servizi per l'assistenza. Rileggiamo quegli elenchi ogni dodici mesi.

Per quanto tempo

• Account eliminato dall'app: si cancella subito. Spariscono l'indirizzo email con cui entri, le passkey, le sessioni, il secondo fattore e i codici di recupero, e dai telefoni collegati il nome e il codice per le notifiche; nome ed email dell'account diventano valori anonimi. L'ultimo amministratore di una casa non può eliminare il proprio account finché in casa ci sono altre persone con un account. Se è rimasto solo, l'app glielo dice e, se conferma, con l'account si cancella anche la casa, con tutti i documenti.
• Uscita da una casa: per uscire da solo devi prima scaricare la copia dei tuoi documenti. L'accesso si chiude subito su tutti i dispositivi, e dopo 30 giorni l'account si cancella come sopra.
• Cosa resta in entrambi i casi: la scheda della persona e i documenti, che appartengono alla casa; il registro delle azioni; l'accettazione della regola di visibilità; l'appartenenza come riga chiusa; i telefoni usati, come righe revocate e senza nome. Quando con l'account se ne va anche la casa, restano solo il registro delle azioni e ciò a cui rimanda: le appartenenze chiuse, i telefoni revocati e le schede ridotte a un identificativo, senza nomi, date e note.
• Documenti nel cestino: dopo 30 giorni si cancellano dal database e dall'archivio dei file, ma restano nelle copie di sicurezza (vedi sotto). I documenti delicati o sanitari che riguardano un minore aspettano l'approvazione di due amministratori, che oggi non esiste ancora: fino ad allora restano nel cestino.
• Copia dei tuoi documenti chiesta dall'app: resta disponibile 7 giorni, e si cancella anche appena la scarichi per intero.
• Sul telefono: i dati dell'app si cancellano quando esci, quando il telefono viene revocato e alla prima apertura dopo 7 giorni senza contatto con il server. I documenti scansionati e non ancora inviati restano sul telefono finché non li mandi o li cancelli, e spariscono con l'uscita confermata o con la revoca.
• Database: il ripristino continuo di Neon permette di tornare indietro fino a 7 giorni, quindi un dato cancellato resta recuperabile fino a 7 giorni.
• Indirizzo IP e tipo di browser: nella sessione ponte di 15 minuti che precede l'ingresso, cancellata quando viene usata e, se non viene usata, alla prima passata notturna dopo la scadenza; nella tabella dei tentativi di accesso, tolti quando la finestra di quel limite è passata e comunque entro la notte successiva.
• Registri delle richieste presso Vercel: 1 giorno.
• Contatori d'uso della casa: 90 giorni. Segnalazioni: fino all'eliminazione dell'account di chi le ha scritte, o fino alla sua uscita dalla casa, se viene prima.
• Errori presso Sentry: 30 giorni.
• Elenco dei problemi: 12 mesi dall'ultima volta che il problema si è visto, poi la riga si cancella da sola.
• Posta di casa: i tempi sono scritti nella sua sezione, più sopra.

Copie di sicurezza su Backblaze: 90 giorni, e vale sia per le copie del database sia per la copia dei file, che stanno nello stesso archivio. Dopo i 90 giorni la copia viene ritirata e cancellata definitivamente entro due settimane da una regola del fornitore. Registro delle azioni: 24 mesi, poi le righe più vecchie si cancellano ogni notte. Impronta dell'indirizzo IP nei limitatori dei tentativi: per quanto dura il limite che sta contando, cioè un minuto o un'ora per quasi tutti e 24 ore per i limiti giornalieri del recupero dell'accesso, e comunque cancellata entro la notte successiva.

• Le copie del database e dei file su Backblaze sono protette contro la cancellazione per 90 giorni, con un blocco in modalità governance che l'amministratore dell'account può togliere. Dopo i 90 giorni una regola del fornitore le ritira e le cancella definitivamente entro due settimane; ogni notte un nostro controllo verifica che nell'archivio non resti niente di più vecchio, e ci avvisa se ne trova.

Come proteggiamo i dati

• Connessioni sempre cifrate (HTTPS), e il sito chiede ai browser di usare solo HTTPS.
• Niente password: si entra con una passkey, sbloccata da Face ID o dal codice del telefono. Le azioni delicate degli amministratori chiedono anche un codice recente del secondo fattore.
• Cifrati con AES-256-GCM e una chiave per ogni casa, a sua volta protetta da una chiave principale (cifratura a busta): codice fiscale e CNP, data di nascita, numeri dei documenti, targhe, indirizzi degli immobili, microchip, note delle persone, dei documenti e degli abbonamenti, codici per le notifiche, risultati della lettura automatica, testo delle segnalazioni.
• Cifrati con la sola chiave principale: indirizzo e codice di chi apre una casa con la registrazione, i collegamenti delle email in uscita, le risposte che il server tiene per riconoscere le richieste ripetute.
• Leggibili dal server, perché servono a cercare e a far funzionare l'app: nomi e altri nomi, anno di nascita e sesso, cittadinanza, indirizzi email degli account e degli inviti, titoli, enti, luoghi, date, importi e note pubbliche dei documenti, scadenze, compiti, soldi di casa, nomi e modelli dei telefoni, registro delle azioni, contatori d'uso della casa.
• I file d'identità e delicati, sanitari, finanziari e legali, il loro testo estratto e le foto delle persone sono cifrati a blocchi con la chiave della casa prima di essere salvati, e si aprono solo passando dal server, che controlla i permessi. Gli altri file e il loro testo sono salvati senza una nostra cifratura, e si scaricano con un collegamento che vale 5 minuti.
• Ognuno vede solo quello che il suo ruolo e la regola della casa gli permettono. Il registro delle azioni si scrive solo in aggiunta.
• Sul telefono accesso e chiavi stanno nel portachiavi di iOS, leggibili solo a telefono sbloccato, e l'app non entra su un iPhone senza codice. Un amministratore può revocare un telefono in qualunque momento.
• Posta di casa: come la proteggiamo, e cosa vede Cloudflare, è scritto nella sua sezione, più sopra.

I limiti, detti chiaramente:

• la chiave principale sta fra le impostazioni protette di Vercel: chi amministra quell'account, oggi il titolare, può tecnicamente decifrare i dati;
• un file appena caricato resta in un'area di attesa, non ancora cifrato, per il tempo della lavorazione;
• la separazione fra case diverse la fa il codice dell'applicazione, controllato da prove automatiche, e la impone anche il database; ne restano fuori solo alcuni lavori interni del server che non riguardano una sola casa, come le copie di sicurezza e la coda dei lavori.

Se succede una violazione dei dati, avvisiamo le persone della casa con quello che sappiamo e, quando la legge lo richiede, il Garante entro 72 ore.

Minori

In una casa ci possono essere figli minorenni: le loro schede e i loro documenti li gestiscono gli amministratori, come genitori.

Un minore entra nell'app solo con l'invito di un amministratore, che ne sceglie il ruolo; con il ruolo di minore vede soltanto quello che quel ruolo gli permette. L'app non verifica l'età e non controlla che il ruolo corrisponda all'età.

I documenti che riguardano un minore non entrano nelle copie dei documenti chieste dall'app, tranne quando chi la chiede è l'unica persona della casa con un account: allora la copia contiene tutta la casa, compresi i documenti dei figli.

Con la lettura automatica, i documenti dei figli escono con il permesso di chi li carica; quelli caricati da un minore escono solo se un amministratore della casa ha dato il suo permesso. Un minore non può togliere il segno «Riservato».

I tuoi diritti

Puoi accedere ai tuoi dati, correggerli, cancellarli, limitarne il trattamento, opporti, riceverli in un formato leggibile e revocare un consenso dato, senza effetto su quello che è stato fatto prima (articoli dal 15 al 22 del GDPR).

• Correggere: schede e documenti si correggono dall'app, secondo il tuo ruolo.
• Avere una copia: nell'app, Impostazioni, «Chiedi una copia dei miei documenti». Contiene i documenti che il tuo ruolo ti permette di portare fuori casa (per un adulto, i propri documenti d'identità e sanitari); per gli altri che ti riguardano chiedi a un amministratore.
• Cancellare l'account: nell'app, in fondo alle Impostazioni, sotto «Esci», «Elimina account».
• Revocare il permesso per la lettura automatica: nell'app, Impostazioni, «Lettura automatica».
• Ritirare l'accettazione della regola di visibilità: nell'app, Impostazioni, «Chi vede cosa in casa», «Ritira»; oppure scrivi a supporto@casachelariu.com.
• Tutto il resto: scrivi a supporto@casachelariu.com.

Quando esci da una casa, i documenti restano alla casa: per uscire da solo devi prima scaricare la tua copia. Rispondiamo nei tempi previsti dal GDPR, di norma entro un mese.

Puoi anche fare reclamo al Garante per la protezione dei dati personali (www.garanteprivacy.it) o all'autorità del Paese UE in cui vivi, per esempio in Romania l'ANSPDCP (www.dataprotection.ro).

Modifiche

Quando cambia qualcosa di sostanziale aggiorniamo questa pagina e la data in cima.