Questa è una traduzione di cortesia. Fanno fede le versioni in inglese e in francese. English · Français

Cosa vede il server, e per quanto tempo

Versione 2.14 · Ultimo aggiornamento: 1 novembre 2026

Questa informativa è breve perché c’è poco da descrivere, e precisa perché un’informativa sulla privacy vaga non vale nulla. Tutto ciò che segue si può verificare confrontandolo con il codice sorgente e con la scheda Rete del tuo browser.

1. Chi è responsabile

Il titolare del trattamento qui descritto è The House of Brendrof, con sede in Quebec, Canada, contattabile all’indirizzo privacy@obleevo.com. Non è stato nominato alcun responsabile della protezione dei dati. Non è stato nominato alcun rappresentante nell’Unione europea né nel Regno Unito.

Ai sensi della Loi sur la protection des renseignements personnels dans le secteur privé (Legge sulla protezione delle informazioni personali nel settore privato) del Québec, la persona responsabile della protezione delle informazioni personali è il titolare di The House of Brendrof, raggiungibile allo stesso indirizzo. Se tale persona non è designata per iscritto, il ruolo spetta per legge alla persona con la massima autorità nell’impresa.

La presente informativa riguarda il servizio di segnalazione su https://obleevo.com. Non riguarda ciò che gli altri partecipanti fanno con ciò che invii loro, che è una questione tra te e loro.

2. Perché c’è così poco da descrivere

L’unico compito del server è presentare due browser l’uno all’altro e poi farsi da parte. Passa blocchi di connessione opachi tra socket della stessa stanza; una volta che i browser hanno un canale cifrato diretto, tutto viaggia tra di loro e mai attraverso il server. Non c’è alcun database, alcuno storage di oggetti né alcuna coda di messaggi: tutto lo stato vive nella memoria di un unico processo e va perso quando quel processo si riavvia.

È per questo che gli elenchi qui sotto sono brevi. Si tratta di una proprietà del progetto e non di una promessa sulle nostre intenzioni, e non devi crederci sulla parola né per l’una né per l’altra — il codice che esegue il tuo browser è quello di ogni versione pubblicata, che chiunque può verificare su /verify.html, e il traffico di rete è ispezionabile negli strumenti per sviluppatori del tuo browser.

3. Cosa tratta il server

Nulla di questa tabella viene scritto su disco, tranne i contatori giornalieri della sua ultima riga, che dicono quanto fosse occupata la macchina e mai chi la occupasse. Non ci sono analytics, né telemetria, né servizi di segnalazione degli errori, né pubblicità, né fingerprinting. Il server web davanti all’applicazione non tiene alcun registro degli accessi, e il registro dell’applicazione contiene solo messaggi di funzionamento — mai un indirizzo IP. Il firewall del server registra invece i tentativi di connessione che blocca, su porte che il servizio non usa, con il loro indirizzo di origine; il sistema cancella quei registri dopo al massimo cinque settimane.

4. Cosa il server non riceve mai

• I byte dei file, i nomi dei file, le strutture delle cartelle e le dimensioni dei file;
• i messaggi della chat;
• i tratti sulla lavagna e le annotazioni sullo schermo;
• l’audio della voce e il video dello schermo condiviso;
• i nickname — viaggiano all’interno del canale cifrato tra i browser;
• le password delle stanze;
• i segreti dei link di invito;
• una Cassaforte, ciò che contiene, i nomi di ciò che contiene e la sua passphrase;
• le parole di sicurezza che due persone confrontano per verificarsi a vicenda.

5. Il link di invito

Un link di invito ha questo aspetto: https://example/#12345-SECRET. Tutto ciò che segue il # è un frammento di URL, e i frammenti vengono risolti interamente all’interno del browser: non compaiono nella riga della richiesta, e la Referrer-Policy è impostata in modo che non compaiano nemmeno in un’intestazione Referer. Il segreto che vi è contenuto è ciò che permette a due partecipanti di verificarsi a vicenda automaticamente, ed è qualcosa che il server non ha mai visto.

L’applicazione rimuove il frammento dalla barra degli indirizzi non appena sei nella stanza, così che non resti in vista durante una condivisione dello schermo, e conserva invece il segreto in memoria. Ovunque incolli quel link, ovviamente, il segreto lo segue.

6. Cosa viene conservato nel tuo browser

6.1 Cookie: nessuno. L’applicazione non imposta alcun cookie, e la libreria di segnalazione è configurata per non farlo. Non c’è alcun banner di consenso perché non c’è nulla a cui acconsentire.

6.2 Archiviazione di sessione. Tre chiavi, nessuna delle quali contiene qualcosa che hai scritto o inviato: gd-agreed, la versione delle Condizioni che hai accettato; gd-lang, la lingua dell’interfaccia, se ne hai scelta una; e gd-guided, un segno che la guida in tre passaggi è già stata mostrata in questa scheda. Scompaiono con la scheda. Non vengono mai inviate al server.

6.3 Archiviazione locale: nessuna. Di proposito. La tua scelta del tema è conservata solo in memoria, perché una preferenza ricordata è di per sé una traccia del fatto che questo browser ha aperto Obleevo.

6.4 Cache del service worker. I file statici dell’applicazione stessa — HTML, foglio di stile, script, font — sono memorizzati nella cache così che funzioni offline. Nessun contenuto degli utenti viene mai memorizzato nella cache. Bruciare una stanza svuota questa cache e annulla la registrazione del worker.

6.5 Riprendere un trasferimento, se lo chiedi. Un download di grandi dimensioni sopravvive a un’interruzione di rete. Se la scheda si chiude o il browser si arresta, ciò che era già arrivato resta nel file che hai scelto (Chrome ed Edge su un computer, file di 64 MB o più): in una nuova stanza puoi scegliere quel file parziale, che viene controllato blocco per blocco sul tuo dispositivo, e viene inviato solo ciò che manca — nulla di esso viene conservato nel browser. Altrimenti il registro dei blocchi arrivati vive in memoria. Se spunti Riprendi anche se la scheda si chiude quando accetti un file, quel registro viene scritto in un database IndexedDB chiamato ghostdrop-resume nel tuo browser. Contiene il nome e la dimensione del file, quali blocchi sono stati verificati, gli hash necessari per verificare il resto e l’handle che il tuo browser ha dato all’applicazione quando hai scelto dove salvare. Non contiene il contenuto del file — quello è già nel file che hai scelto. Non viene mai inviato al server né ad alcun altro partecipante. Viene eliminato quando il trasferimento termina, quando lo annulli, quando esci dalla stanza o la bruci, e in ogni caso dopo sette giorni. Uscire dalla stanza elimina l’intero database invece di svuotarlo, così che il nome smetta di comparire nell’elenco dell’archiviazione del tuo browser. A parte i file dell’applicazione stessa (6.4), le tre chiavi della scheda (6.2) e un download che arriva in un browser senza finestra di salvataggio (6.6), questa è l’unica cosa che Obleevo scrive nell’archiviazione del tuo browser, ed è disattivata a meno che tu non la chieda, trasferimento per trasferimento.

6.6 I file che salvi. Un file ricevuto viene scritto dove hai detto al browser di metterlo. Da quel momento è tuo e nulla nell’applicazione può raggiungerlo di nuovo. A un browser senza finestra di salvataggio — su un telefono, in Safari, in Firefox — non si può dire dove metterlo. Lì, un download di 64 MB o più viene scritto, man mano che arriva, nell’archiviazione privata che il browser riserva a questo sito, che non fa parte dei tuoi file e che nessun altro sito può leggere, e viene consegnato ai Download del browser una volta verificato ogni blocco; una cartella viene consegnata come un unico file .zip. Uno più piccolo resta fino ad allora nella memoria della scheda. Quell’archiviazione non viene mai inviata al server né a nessun altro. Mentre arriva, il download vi è cifrato con una chiave che esiste solo nella memoria della scheda, e viene decifrato sul posto solo quando tutti i blocchi sono arrivati, così che un download interrotto da una scheda chiusa o andata in crash non lasci dietro di sé nulla di leggibile. Viene cancellato quando esci dalla stanza o la bruci, e tutto ciò che una scheda chiusa o andata in crash vi ha lasciato viene cancellato alla successiva apertura di Obleevo. Due tipi di file ricevuti non vengono mai salvati: un’immagine o un video inviati come Visualizza una volta, e un’immagine passata attraverso la scheda Appunti. Entrambi restano solo nella memoria della scheda (sezione 12).

6.7 La Cassaforte. La Cassaforte di Obleevo, nella pagina iniziale e su /vault, cifra file, note, password e codici 2FA sul tuo dispositivo in un unico file .obleevo che salvi dove preferisci. Tutto avviene nel tuo browser: la tua passphrase viene trasformata in una chiave da Argon2id in un worker in background sul tuo dispositivo, e tutto viene cifrato con AES-256-GCM nella pagina. Nulla — né il file, né ciò che contiene, né i nomi di ciò che contiene, né la passphrase — viene inviato al server o a chiunque altro, e nulla di tutto ciò viene scritto nell’archiviazione del tuo browser: una cassaforte aperta esiste solo nella memoria della scheda, e si blocca dopo 10 minuti di inattività o 5 minuti in background. Se lasci la pagina mentre una cassaforte è aperta, ti viene chiesto prima; il panico e bruciare una stanza la bloccano comunque all’istante. In Chrome ed Edge su un computer, il salvataggio sovrascrive il file da cui è stata aperta la cassaforte, dopo che il tuo browser ti ha chiesto il permesso; quel permesso riguarda solo quel file ed è conservato solo nella memoria della scheda. Altrove ogni salvataggio è un nuovo download, e l’app ti ricorda di eliminare quello vecchio. Cambiare la passphrase dà alla cassaforte nuove chiavi: una volta salvato, il nuovo file non può essere aperto con la vecchia passphrase, né con nulla che una vecchia copia abbia lasciato trapelare. Le copie fatte in precedenza si aprono ancora con la vecchia passphrase, e un servizio di archiviazione cloud può conservarne versioni precedenti per conto proprio. Un file ricevuto in una stanza che metti nella tua cassaforte passa dalla memoria della scheda alla cassaforte, sul tuo dispositivo. Lo strumento di apertura offline è un unico file HTML che scarichi, che apre una cassaforte senza connessione a Internet e senza alcun contatto con Obleevo. Non conserviamo nulla da cui una cassaforte possa essere recuperata, quindi una passphrase dimenticata non può essere reimpostata da nessuno.

Codici 2FA, importazioni e condivisione. Un segreto 2FA vive solo all’interno del file cifrato, e i suoi codici vengono calcolati sul tuo dispositivo. Ne aggiungi uno incollando un link otpauth, digitando il segreto o scansionando con la fotocamera il codice QR del sito (sezione 12). Un elenco di password esportato da Bitwarden, 1Password, Chrome o Edge come file CSV viene letto interamente sul tuo dispositivo, e nulla di esso viene caricato; quel file contiene le tue password in chiaro, quindi l’app ti ricorda di eliminarlo. Una nota, una password o un codice 2FA che condividi dalla cassaforte in una stanza viene inviato sigillato, come Visualizza una volta, a una persona o alla stanza — in una stanza Rigorosa, solo alle persone verificate — e nulla di esso viene conservato da nessuna delle due parti una volta chiuso. Condividere un codice 2FA invia solo il codice corrente, mai il segreto. Non è possibile impedire una foto dello schermo scattata con un altro dispositivo.

7. Cosa viene consegnato al tuo sistema operativo

Le notifiche sono disattivate finché non le attivi, e il permesso viene chiesto solo quando lo fai. Ciò che dicono proviene da un elenco fisso di sei frasi scelte in base all’evento avvenuto — un file è in attesa, qualcuno vuole entrare e così via. Non contengono mai un nome di file, un nickname, un messaggio, un codice di stanza o qualsiasi altro contenuto, perché l’applicazione seleziona una voce dell’elenco invece di comporre un testo. Questo conta: una notifica viene scritta in un centro notifiche da un software che questa applicazione non controlla, quindi qualsiasi cosa una notifica dicesse avrebbe lasciato la stanza. Vengono mostrate solo mentre la scheda è in background, e puoi disattivarle di nuovo in qualsiasi momento.

Lo schermo viene mantenuto attivo mentre è in corso un trasferimento, una chiamata o una condivisione dello schermo, e può tornare a spegnersi non appena non succede nulla. Questo non invia dati da nessuna parte; chiede al tuo browser di non lasciare che il dispositivo vada in sospensione.

Il pulsante di condivisione consegna il link di invito al menu di condivisione del tuo sistema operativo, e poi all’applicazione che scegli da lì. Quel link contiene il segreto che fa entrare qualcuno nella stanza, quindi tratta la sua condivisione esattamente come tratteresti il suo invio in qualsiasi altro modo: chi lo riceve può entrare, e l’applicazione attraverso cui lo condividi ne avrà una copia. Nient’altro viene passato al menu di condivisione — non vengono letti file, messaggi né contatti.

La dettatura è disattivata a meno che tu non la consenta. La trasformazione della voce in testo è svolta dal servizio vocale del tuo browser, non da Obleevo. Dove il browser può farlo sul dispositivo, lo fa, e nulla esce. Dove non può, il suono della tua voce viene inviato al produttore del browser — Google per Chrome, Microsoft per Edge, Apple per Safari — secondo le sue condizioni, e l’applicazione te lo dice e te lo chiede prima della prima volta. I messaggi vocali sono diversi: vengono registrati nel tuo browser e inviati alla stanza attraverso lo stesso canale peer-to-peer cifrato di un messaggio di chat, e non passano mai dal server né da nessun altro.

La traduzione è disattivata finché non la attivi, e avviene sul tuo dispositivo. Dove il browser ha un traduttore integrato, il pulsante Traduci gli permette di mettere i messaggi degli altri nella tua lingua. Le parole non lasciano mai il tuo dispositivo e non raggiungono mai Obleevo né nessun altro. La prima volta che serve una lingua, il browser può scaricare un modello linguistico dal suo produttore — Google per Chrome — secondo le sue condizioni, e solo in risposta al tuo clic. Quel download non trasporta alcun testo dei messaggi, ma può rivelare al produttore quali lingue sono state richieste. Dove il browser non ha un traduttore integrato, il pulsante non viene mostrato.

Il titolo della scheda del browser mostra il numero di messaggi che non hai visto e, durante un trasferimento, una percentuale. Non mostra mai un nome né alcun contenuto, e viene azzerato quando torni alla scheda.

8. Basi giuridiche e consenso

Dove si applica il Regolamento generale sulla protezione dei dati (GDPR) del Regno Unito o dell’UE, ci basiamo su:

• Articolo 6(1)(b), esecuzione di un contratto — per i dati di connessione necessari a metterti in una stanza in cui hai chiesto di entrare;
• Articolo 6(1)(f), legittimo interesse — per le sfide proof-of-work e i limiti di frequenza che mantengono il servizio utilizzabile e resistente agli abusi. La nostra valutazione è che ciò sia minimamente invasivo: lo scopo stesso del progetto è limitare la frequenza senza identificare nessuno, il che è meno invasivo della limitazione basata sull’IP che sostituisce;
• Articolo 6(1)(c), obbligo legale — quando siamo tenuti a conservare o divulgare qualcosa, il che, dato ciò che conserviamo, sarebbe ben poco.

Québec. Ai sensi della Loi sur la protection des renseignements personnels dans le secteur privé (Legge sulla protezione delle informazioni personali nel settore privato), raccogliamo solo le informazioni necessarie a fornire il servizio che hai chiesto, e le raccogliamo direttamente da te. Le finalità sono quelle indicate nella sezione 3 e nessun’altra. Non viene utilizzata alcuna tecnologia di identificazione, localizzazione o profilazione; se ne fosse utilizzata una, l’articolo 8.1 della Legge ci imporrebbe di informartene e di darti i mezzi per disattivarla, e qui non c’è nulla da disattivare. Le impostazioni sulla privacy sono al livello più alto per impostazione predefinita perché non ci sono impostazioni da abbassare.

9. Conservazione

I periodi di conservazione sono nella tabella della sezione 3. La regola generale è che lo stato di una stanza viene distrutto quando la stanza viene distrutta — quando l’host la brucia, quando raggiunge il suo limite di tempo, nel momento in cui esce l’ultimo partecipante, o quando il processo si riavvia. Non esiste alcun backup, perché non c’è nulla di cui fare il backup.

Bruciare una stanza indica inoltre al browser di ogni partecipante di svuotare l’archiviazione, le cache e il service worker dell’origine, così che l’applicazione non lasci nulla nemmeno sulla sua macchina. I file già salvati sul suo disco sono suoi e non vengono toccati.

Sul tuo dispositivo. Una nota di ripresa che hai scelto di attivare (sezione 6.5) viene conservata finché il trasferimento non termina, finché non lo annulli, finché non esci dalla stanza o la bruci, o per sette giorni, a seconda di quale evento si verifichi per primo. Un download conservato nell’archiviazione del tuo browser (sezione 6.6) viene conservato finché non esci dalla stanza o la bruci oppure, se la scheda si è chiusa o è andata in crash prima, fino alla successiva apertura di Obleevo. Nient’altro di ciò che invii o ricevi viene conservato da nessuna parte.

10. Destinatari e responsabili del trattamento

10.1 Hosting. OVHcloud (Beauharnois, Quebec, Canada) gestisce la macchina su cui gira il processo di segnalazione e può quindi osservare i metadati di connessione a livello di rete. Agisce come responsabile del trattamento ai sensi di l’accordo sul trattamento dei dati che fa parte del contratto di OVHcloud.

10.2 STUN. I browser contattano un server STUN per conoscere il proprio indirizzo pubblico. il nostro server (turn.obleevo.com) o quello di Cloudflare (stun.cloudflare.com), a seconda di quale interroga il tuo browser, vede quindi il tuo indirizzo IP. Se per te è importante, usane uno tuo — è una modifica di configurazione di una sola riga.

10.3 Relay TURN. Il relay usato per primo è gestito da Cloudflare, Inc.; quello di riserva è descritto più avanti. Quando Nascondi il mio IP è attivo, i tuoi contenuti multimediali cifrati passano attraverso questo relay, che vede il tuo indirizzo IP e quello dei tuoi peer ma non può decifrare nulla. Le credenziali del relay identificano presso il relay questo servizio, non te. Le riceve solo chi occupa un posto in una stanza o fa il test di rete. Ogni posto riceve le proprie, con un nome casuale e non con qualcosa su di te, rinnovate mentre sei nella stanza. Quelle per il relay di Cloudflare sono valide al massimo un’ora (meno man mano che la sua quota mensile si esaurisce) e vengono annullate non appena lasci la stanza o questa termina; quelle per il relay di riserva descritto più avanti non si possono annullare, quindi sono valide al massimo dieci minuti. Il segreto a lungo termine o il token API del relay non lascia mai il server. Il relay ha una quota mensile: il server legge da Cloudflare solo il numero totale di byte trasportati dal relay al giorno - nulla su chi - e quando la quota è esaurita, o non può essere letta, smette di distribuire credenziali per esso e annulla quelle già distribuite. Dove è configurato un relay di riserva - gestito da The House of Brendrof su un server noleggiato da OVHcloud a Beauharnois, in Québec - subentra in quel momento; vede le stesse cose, il tuo indirizzo IP e quello dei tuoi peer ma mai il contenuto, e il suo software è impostato per non conservare alcun log. Senza un relay di riserva, o se anche questo non è disponibile, le connessioni sono dirette finché la quota non si libera; Nascondi il mio IP indica allora di essere in pausa invece di connetterti senza.

10.4 Nessun altro. Nessun fornitore di analytics, nessuna rete pubblicitaria, nessuna CDN, nessun servizio di font, nessun sistema di tracciamento degli errori. La Content-Security-Policy dell’applicazione vieta di caricare qualsiasi cosa da un’origine esterna, il che ne è una garanzia tecnica e non una semplice rassicurazione. Due cose escono solo quando lo chiedi: premere Cerca su VirusTotal apre VirusTotal, un servizio di Google, in una nuova scheda con l’impronta SHA-256 del file nel suo indirizzo — così VirusTotal riceve quell’impronta e il tuo indirizzo IP secondo le proprie condizioni, mai il file; e le email che ci invii vengono instradate da Cloudflare verso la casella di posta Google (Gmail) in cui le leggiamo. L’elenco di malware noti usato dal controllo dei file viene scaricato da questo sito e confrontato all’interno del tuo browser; nulla del tuo file viene inviato per farlo.

10.5 Forze dell’ordine. Daremo seguito a un ordine legale valido. Ciò che potrebbe essere prodotto si limita a ciò che esiste in quel momento: se un dato codice di stanza è attivo, le connessioni collegate e i loro indirizzi di rete finché sono aperte, i contatori giornalieri e i registri di sistema descritti nella sezione 20. Un ordine può anche obbligarci a conservare da quel momento ciò che esiste, o a raccogliere ciò che il server vede da quel momento in poi. Non possiamo produrre contenuti né una cronologia delle stanze chiuse, perché nulla di ciò esiste. Gli altri fornitori rispondono di ciò che detengono (sezione 20).

11. Trasferimenti internazionali

Il servizio di segnalazione è ospitato in Canada (Quebec). Quando i dati di connessione lasciano il Regno Unito o il SEE, il trasferimento si basa su la decisione di adeguatezza della Commissione europea per il Canada e il regolamento di adeguatezza equivalente del Regno Unito. I tuoi contenuti non transitano affatto dalla nostra infrastruttura; vanno ovunque si trovino i due browser, il che è una questione tra i partecipanti.

Il server di segnalazione e il relay di riserva si trovano entrambi in Québec, quindi il loro funzionamento non comunica nulla al di fuori del Québec. Il server STUN e il relay di Cloudflare (sezioni 10.2 e 10.3) sono gestiti da un’azienda con sede negli Stati Uniti, su server in tutto il mondo: quando il tuo browser li usa, il tuo indirizzo IP viene trattato al di fuori del Québec, per la durata della connessione e mai insieme ad alcun contenuto. Le email che ci invii passano attraverso Cloudflare prima di arrivare alla casella di posta Google in cui le leggiamo (sezione 10.4).

12. Il tuo microfono e i tuoi altoparlanti

Il tuo microfono viene aperto solo quando premi il pulsante di chiamata, o il pulsante del microfono accanto alla casella del messaggio per registrare un messaggio vocale o dettare, e mai in risposta a qualcosa che invia un altro partecipante. Una registrazione lo rilascia non appena si interrompe o viene scartata. Uscire dalla chiamata interrompe le tracce del microfono, ed è questo che spegne l’indicatore di registrazione del tuo browser. Disattivare l’audio interrompe l’invio dell’audio ma mantiene aperta la chiamata; è l’uscita a rilasciare il dispositivo.

Camuffa la mia voce è disattivato a meno che tu non scelga Grave, Acuta, Scoiattolo, Mostro, Radio, Sussurro o Fantasma; finché è disattivato, il tuo microfono viene inviato così com’è. La modifica avviene sul tuo dispositivo, tramite l’elaborazione audio del tuo browser, prima che venga inviato qualcosa: ciò che esce è l’audio della chiamata già descritto, camuffato, attraverso la stessa connessione cifrata — nessuna registrazione, nessun campione della tua voce, nulla verso di noi o verso chiunque altro. Anche un messaggio vocale registrato mentre è attivo viene camuffato; la dettatura no, perché il servizio vocale del tuo browser ascolta direttamente il microfono (sezione 7). Gli altri nella chiamata vedono l’indicatore “voce camuffata” accanto al tuo nome. Se il camuffamento non può essere predisposto quando entri nella chiamata, non vieni messo nella chiamata con la tua voce reale al suo posto. Non è anonimato: uno spostamento di tonalità può essere annullato con un editor audio, e perfino Sussurro, che elimina del tutto la tonalità, lascia riconoscibili le tue parole, il tuo accento e il tuo modo di parlare.

L’audio degli altri partecipanti non viene riprodotto finché non entri nella chiamata. Chiunque sia connesso con te può iniziare a inviare audio in qualsiasi momento — è una proprietà della connessione peer-to-peer, non una scelta di questa applicazione — quindi l’audio non richiesto viene trattenuto anziché riprodotto, e la vista della chiamata ti dice quante persone stanno parlando. Inizia a essere riprodotto quando entri, e si interrompe quando esci.

I file non vengono mai scritti senza la tua accettazione. Un file che non hai accettato non ha alcuna posizione di salvataggio, alcun file parziale né alcuna registrazione; i dati inviati per esso vengono scartati senza essere letti.

La tua fotocamera viene usata per tre cose, ciascuna solo dopo che hai premuto un pulsante di scansione: leggere il codice QR di una stanza nella schermata di ingresso, leggere il codice di un altro partecipante con Scansiona il suo codice nella finestra delle parole di sicurezza, e leggere il codice QR 2FA di un sito web quando aggiungi un codice 2FA alla tua cassaforte. Viene aperta senza il microfono, l’immagine viene letta dal tuo browser sul tuo dispositivo per trovare il codice, e nulla di ciò che vede viene registrato o inviato da nessuna parte. Viene rilasciata nel momento in cui viene trovato un codice, lo scanner viene chiuso o lasci la pagina.

I tuoi appunti vengono letti solo quando premi Incolla qui nella scheda Appunti di una stanza per i tuoi dispositivi, una volta per ogni pressione, e il tuo browser potrebbe chiedertelo prima. Ciò che contengono viene allora inviato, sigillato, agli altri tuoi dispositivi in quella stanza — attraverso la connessione tra di loro, mai attraverso il nostro server — e da nessun’altra parte. L’applicazione scrive nei tuoi appunti quando premi un pulsante Copia, e di sua iniziativa in un solo caso: un testo che arriva da uno dei tuoi dispositivi in quella stanza mentre questa pagina è quella in primo piano. Un’immagine aspetta sempre che tu prema Accetta, poi Copia. Gli elementi copiati sono tenuti solo nella memoria della scheda, mai archiviati, e se ne vanno con la stanza. Una volta che qualcosa è nei tuoi appunti appartiene al tuo sistema operativo: altre applicazioni possono leggerlo, e una cronologia degli appunti o una sincronizzazione tra dispositivi, se ne hai una attiva, può conservarlo.

Un’immagine o un video che hai ricevuto può essere mostrato nella pagina. Viene riletto dalla tua copia — il file che hai salvato, o quello tenuto in memoria — mai recuperato dalla rete, e mai da un file che il controllo del tuo browser ha segnalato come pericoloso. Nulla di esso viene conservato una volta che esci dalla stanza.

Ciò che viene inviato come Visualizza una volta — un messaggio, o una singola immagine o un breve video — viene tenuto solo nella memoria della scheda. Un file deve comunque essere accettato (Accetta) e superare prima il controllo del tuo browser, e non viene mai salvato su disco, mai proposto in una finestra di salvataggio e mai annotato per la ripresa. Viene eliminato quando lo chiudi, e la tua applicazione comunica al mittente che è stato aperto. Non è possibile impedire una foto dello schermo scattata con un altro dispositivo, e un’applicazione modificata potrebbe conservarlo.

13. Cosa possono vedere gli altri partecipanti

13.1 Una connessione peer-to-peer diretta rivela il tuo indirizzo IP agli altri partecipanti. È così che funziona WebRTC. Nascondi il mio IP, dove è configurato un relay, sostituisce il tuo indirizzo con quello del relay — cambiando chi lo vede anziché eliminarlo.

13.2 I partecipanti vedono il nickname che hai scelto, tutto ciò che invii e — se condividi uno schermo — tutto ciò che vi compare, comprese le notifiche che arrivano mentre condividi. Vedono anche quando stai scrivendo, se hai la mano alzata in una chiamata e — a meno che tu non disattivi le conferme di lettura con l’occhio accanto alla casella del messaggio — quando hai letto un messaggio che hanno inviato; questo viene comunicato solo al suo autore. Mentre qualcuno condivide uno schermo con te, riceve anche la dimensione del tuo schermo, così che ciò che invia vi si adatti. Quando cinque o più persone guardano uno schermo, il computer di una di loro può ritrasmetterlo a un massimo di altre quattro, attraverso la connessione che ha già con ciascuna; non vede nulla che non stesse già guardando, è indicato per nome sul riquadro, e ogni copia viene sigillata di nuovo per l’unica persona che la riceve. Nulla di tutto ciò passa dal nostro server.

13.3 Tutto ciò che un partecipante riceve, può tenerlo. Le nostre garanzie di cancellazione riguardano i nostri sistemi e la memoria del browser stesso. Non sono, e non possono essere, una garanzia riguardo ad altre persone.

14. Sicurezza

Nessun sistema è perfettamente sicuro, e questo non fa eccezione. Ciò che possiamo dire è specifico: il Gestore non è in condizione di leggere i tuoi contenuti, e questo è strutturale e non una questione di fiducia.

• I contenuti sono cifrati end-to-end tra i browser dal DTLS-SRTP obbligatorio di WebRTC. Il server non detiene alcuna chiave e non potrebbe decifrare nulla nemmeno se detenesse il testo cifrato, cosa che non fa.
• Inoltre, i contenuti vengono cifrati una seconda volta con chiavi post-quantistiche - un ibrido di X25519 e ML-KEM-768, combinato con il segreto della stanza quando c’è, con ogni chiave che sigilla per al massimo un minuto (un canale che non ha nulla da inviare conserva la sua ultima chiave fino al suo prossimo invio), e rinnovato ogni mezz’ora - così che il traffico registrato oggi non possa essere aperto in futuro da un computer quantistico. I messaggi e i file portano sempre questo livello; le chiamate e la condivisione dello schermo lo portano quando entrambi i browser possono sigillare i fotogrammi multimediali. Una volta che due persone sono connesse, anche le successive negoziazioni della loro connessione viaggiano all’interno di questo canale cifrato anziché attraverso il server.
• I partecipanti possono verificarsi a vicenda crittograficamente. In una stanza con una password o un segreto del link di invito ciò avviene automaticamente; altrimenti vengono mostrate otto parole da confrontare ad alta voce, il che rileva una connessione interposta.
• Ogni blocco trasferito viene sottoposto a hash dal mittente e di nuovo dal destinatario, così che un danneggiamento o una sostituzione vengano rilevati prima che qualcosa raggiunga il tuo disco.
• La Content-Security-Policy vieta gli script inline, gli stili inline e ogni origine esterna, e richiede Trusted Types, così che nessun testo possa raggiungere un punto della pagina che lo eseguirebbe come codice o lo leggerebbe come HTML. La pagina è isolata tra origini (cross-origin isolated): non carica nulla che un altro sito non abbia accettato di condividere, e nessuna finestra di un altro sito mantiene un controllo su di essa.
• Entrare costa un calcolo proof-of-work, il che rende costosa la ricerca di codici di stanza attivi senza che il server debba sapere chi sta cercando.
• Ogni messaggio che un peer può inviare è limitato in dimensione e frequenza, così che un partecipante ostile non possa esaurire la memoria di un altro partecipante.
• Le foto che invii partono senza il luogo in cui sono state scattate: prima che un’immagine JPEG, PNG o WebP venga controllata o inviata, il tuo browser ne rimuove la posizione GPS, i dettagli della fotocamera, il testo incorporato e qualsiasi cosa allegata dopo l’immagine, senza toccare l’immagine stessa. I formati che non può ripulire in modo sicuro (HEIC, video, raw) partono invariati, e la finestra di invio lo indica.
• Un’immagine che ricevi viene mostrata solo come copia ridisegnata a partire dai suoi pixel in una parte separata e usa e getta del tuo browser, così che un’immagine costruita per attaccare il browser, o con qualcosa di nascosto al suo interno, non raggiunga mai la pagina così com’è. Il file che hai salvato non viene modificato.
• I link nei messaggi vengono controllati sul tuo dispositivo - senza scaricare nulla per farlo - e aprirne uno mostra prima il sito a cui porta davvero, con le lettere simili, i marchi imitati e le destinazioni nascoste messi in chiaro. I nomi che in una stanza potrebbero essere confusi tra loro vengono segnalati allo stesso modo.
• Una voce o un volto in una chiamata possono essere imitati. Ogni persona in una chiamata è contrassegnata come verificata o no, e le parole di sicurezza possono essere confrontate ad alta voce o scansionando l’uno il codice dell’altro con la fotocamera, che viene usata solo mentre quella finestra è aperta.
• Premere Esc tre volte entro un secondo ti fa uscire subito dalla stanza (se sei l’host, la stanza viene bruciata), cancella la copia dell’applicazione di questo browser e la sua archiviazione, e lascia una pagina vuota.

15. Violazioni dei dati personali e incidenti di riservatezza

In caso di violazione che possa comportare un rischio per i tuoi diritti e le tue libertà, la notificheremo a la Commission d’accès à l’information du Québec entro 72 ore dal momento in cui ne siamo venuti a conoscenza, e la comunicheremo alle persone interessate quando il rischio è elevato. Poiché non conserviamo i recapiti di nessuno, la comunicazione individuale assumerebbe necessariamente la forma di un avviso pubblico ben visibile sul servizio.

In Québec, un incidente di riservatezza che presenta un rischio di pregiudizio grave viene segnalato tempestivamente alla Commission d’accès à l’information (Commissione di accesso all’informazione) e alle persone interessate, e viene iscritto nel registro degli incidenti di riservatezza che la Legge ci impone di tenere. Tale registro è a disposizione della Commissione su richiesta.

16. I tuoi diritti

Dove si applica il GDPR del Regno Unito o dell’UE hai i diritti di accesso, rettifica, cancellazione, limitazione, portabilità e opposizione al trattamento basato sul legittimo interesse. Scrivi a privacy@obleevo.com.

In Québec hai i diritti di accesso e di rettifica previsti dagli articoli 27 e 28 della Legge, il diritto di revocare il consenso, il diritto di far cessare la diffusione e di ottenere la deindicizzazione e — dal 22 settembre 2024 — il diritto alla portabilità: ricevere le informazioni personali informatizzate che hai fornito, in un formato tecnologico strutturato e di uso comune. Rispondiamo entro 30 giorni.

Dobbiamo essere onesti su cosa ti offrono qui questi diritti. Non conserviamo alcun identificatore che ci permetterebbe di trovare dati che ti riguardano — nessun account, nessun cookie, nessun indirizzo IP memorizzato. Ai sensi dell’articolo 11 del GDPR, un titolare del trattamento che non è in grado di identificare un interessato non è obbligato ad acquisire ulteriori informazioni per farlo, e la Legge del Québec ha lo stesso effetto pratico. A una richiesta di accesso verrà data una risposta veritiera e poco utile: non c’è nulla di conservato su di te da produrre, e una richiesta di portabilità non ha nulla da esportare. La cancellazione avviene da sola, continuamente, man mano che le stanze si chiudono.

Puoi presentare reclamo a un’autorità di controllo. In Québec è la Commission d’accès à l’information du Québec (Commissione di accesso all’informazione del Québec); nel Regno Unito, l’Information Commissioner’s Office; nell’UE, l’autorità del tuo paese di residenza. La nostra autorità capofila è la Commission d’accès à l’information du Québec.

17. California e altri stati degli Stati Uniti

17.1 Nei dodici mesi precedenti la presente informativa, le categorie di informazioni personali trattate si limitano a identificatori, sotto forma di un indirizzo IP conservato temporaneamente per la durata di una connessione di rete, e ad attività su Internet, sotto forma dei metadati di connessione descritti nella sezione 3. Entrambe sono raccolte direttamente dal tuo dispositivo e usate unicamente per fornire il servizio che hai richiesto.

17.2 Non vendiamo informazioni personali e non le condividiamo per pubblicità comportamentale cross-context, come tali termini sono definiti dal California Consumer Privacy Act (Legge sulla privacy dei consumatori della California) e successive modifiche. Non lo abbiamo mai fatto. Non esiste alcun programma di incentivi finanziari, e non discriminiamo nessuno per l’esercizio di un diritto alla privacy.

17.3 Non raccogliamo informazioni personali sensibili e quindi non abbiamo nulla di cui limitare l’uso.

17.4 I diritti di sapere, cancellare, rettificare e opporsi (opt-out) possono essere esercitati presso privacy@obleevo.com, fatta salva la stessa limitazione pratica descritta nella sezione 16: non conserviamo alcun identificatore che ci permetterebbe di collegare una richiesta a qualsiasi dato. I residenti di altri stati con leggi analoghe — Colorado, Connecticut, Virginia, Utah, Texas, Oregon, Montana e altri — possono esercitare i diritti equivalenti allo stesso modo.

18. Minori

Il servizio non è rivolto ai minori e non trattiamo consapevolmente i loro dati personali. Poiché non raccogliamo informazioni sull’età e non gestiamo account, non possiamo rilevare l’uso da parte di un minore. Se ritieni che un minore abbia usato il servizio in un modo che ti preoccupa, contattaci — anche se è bene sapere fin da ora che non ci saranno dati memorizzati da eliminare.

19. Processi decisionali automatizzati

Non ce ne sono ai sensi dell’articolo 22 del GDPR o dell’articolo 12.1 della Legge del Québec. Il limitatore di frequenza e il filtro proof-of-work sono soglie meccaniche applicate a una connessione, non decisioni su una persona, e non producono alcun effetto giuridico o analogamente significativo. Nessuna decisione su qualcuno viene presa esclusivamente mediante un trattamento automatizzato, quindi non c’è nulla di cui dobbiamo informarti né nulla su cui presentare osservazioni.

20. Che cosa può essere tracciato, e che cosa no

Obleevo non è uno strumento di anonimato e non è fatto per sottrarsi alla legge; gli usi illegali sono vietati (sezione 6 delle Condizioni). Questa sezione dà i fatti nei due sensi, perché tutti, autorità comprese, sappiano esattamente che cosa esiste. Descrive il servizio pubblico su obleevo.com.

Ciò che non esiste dalla nostra parte.

• Nessun account: né nome, né indirizzo email, né password.
• Nessun contenuto sui nostri server. File, messaggi, chiamate e schermi sono cifrati end-to-end tra i browser: non abbiamo le chiavi e non possiamo leggerli. Un relay, quando serve, trasporta pacchetti cifrati senza conservarli.
• Nessun registro delle connessioni su chi ha parlato con chi. Il server web non tiene alcun registro degli accessi, il registro dell’applicazione non contiene indirizzi IP né codici di stanza, e il software del nostro relay di riserva è impostato per non registrare nulla.
• Nulla da consegnare su una stanza terminata: quando finisce, il server non conserva né il suo codice, né i suoi partecipanti, né i suoi orari.

Ciò che resta tracciabile.

• Il nostro server di segnalazione vede il tuo indirizzo IP e il tuo codice di stanza finché la tua connessione è aperta. Non vengono annotati, ma in quel momento esistono.
• I server STUN e i relay vedono il tuo indirizzo IP e, quando trasportano una connessione, quello degli altri, gli orari e il volume: Cloudflare secondo le proprie condizioni, e il nostro relay di riserva per la durata della connessione (sezione 10).
• Gli altri partecipanti vedono il tuo indirizzo IP in una connessione diretta (sezione 13).
• Il tuo provider, la tua rete e il tuo resolver DNS possono vedere che ti connetti a obleevo.com, quando e quanti dati passano.
• Esistono conteggi giornalieri: connessioni nel minuto di maggiore attività, minuti di connessione, stanze aperte, posti occupati, il ritardo peggiore del server e i suoi minuti di funzionamento. Sono numeri per giorno, senza indirizzi né codici di stanza (sezione 3).
• OVHcloud, Cloudflare, Google e altri fornitori di hosting e di rete tengono propri registri secondo le proprie condizioni, che non controlliamo. Un’email che ci scrivi resta nella nostra casella con il tuo indirizzo.
• La macchina tiene alcuni registri di sistema propri: il firewall registra i tentativi che blocca su porte inutilizzate, con il loro indirizzo di origine, per al massimo cinque settimane, e il diario di sistema conserva messaggi tecnici per al massimo due giorni, tra cui gli accessi falliti all’amministrazione del server, con il loro indirizzo. Altri file tecnici del sistema possono conservare più a lungo messaggi o tentativi di accesso all’amministrazione del server, con il loro indirizzo.
• I partecipanti possono conservare o inoltrare file e screenshot, registrare e testimoniare.
• Un dispositivo sequestrato o compromesso può contenere tracce: file ricevuti, download, cronologia del browser, un file di cassaforte, notifiche.
• La polizia dispone di altri mezzi d’indagine che non dipendono da noi.

Rispondiamo agli ordini validi con ciò che esiste (sezione 10.5). Non contare sul servizio per nasconderti o per cancellare ciò che hai fatto.

21. Modifiche alla presente informativa

Potremmo aggiornare la presente informativa. La versione e la data in alto cambieranno, e le modifiche sostanziali saranno annunciate sul servizio stesso. Non possiamo avvisarti via email, per la ragione descritta in tutto questo documento.

22. Contatti

The House of Brendrof
Quebec, Canada — raggiungibile solo via email
Privacy: privacy@obleevo.com
Persona responsabile della protezione delle informazioni personali (Québec): il titolare di The House of Brendrof
Responsabile della protezione dei dati: Non è stato nominato alcun responsabile della protezione dei dati

Ultima revisione: 2026-11-01

Chi siamo · Collabora con noi · Tutorial · Perché Obleevo · Domande frequenti · Condizioni · Accessibilità · Cookie · Sicurezza · Modello di minaccia · Audit di sicurezza · Formato della cassaforte · Contatti · Novità

Obleevo è sviluppato da The House of Brendrof. Software proprietario, gratuito.

Torna a Obleevo