Claspet
English

Informativa privacy

Cosa non chiediamo, cosa il server vede davvero, per quanto tempo lo tiene, con chi passa, e come si cancella.

Ultimo aggiornamento: 9 ottobre 2026

Questa pagina è scritta per essere verificata, non per essere creduta. Ogni frase descrive un comportamento del programma, non una nostra intenzione: dove diciamo «il server non può», è perché non ha le chiavi, non perché abbiamo deciso di non guardare. Vale per le app Claspet per iPhone, Mac e Android, per il server api.claspet.com e per questo sito.

Chi tratta i dati

Il titolare del trattamento è Interfibra S.r.l., Contrada San Giovanni in Golfo 207/E, 86100 Campobasso (CB), Italia. Per domande e per esercitare i tuoi diritti scrivi a claspet@interfibra.it; il telefono è +39 335 736 7638. Non abbiamo nominato un responsabile della protezione dei dati: per le nostre dimensioni e per il tipo di dati che trattiamo la legge non lo richiede, e ci risponde la stessa casella.

Cosa serve per aprire un account

Un nome da mostrare, che scegli tu e che può essere un soprannome; un nome utente che l'app tira a sorte (tre gruppi di quattro caratteri, per esempio kbdf.7x2m.9qrt); un identificatore casuale generato dall'app; le chiavi pubbliche del tuo dispositivo. Nient'altro.

Non esiste una ricerca per nome e non esiste un elenco degli utenti. Si entra in contatto con un invito, un codice da inquadrare o nove cifre da dettare: chi non ha avuto da te uno di questi non ti trova.

Cosa il server non può leggere

Il testo dei messaggi, le foto, i video, i file, i messaggi vocali, le posizioni condivise, i sondaggi, i nomi dei gruppi e l'elenco di chi ne fa parte. Le chiamate audio e video sono cifrate da un capo all'altro.

Le chiavi che aprono tutto questo nascono sul dispositivo e non lo lasciano. Non esiste una copia sul server, non esiste una chiave nostra che apra le tue conversazioni, e non possiamo aggiungerne una senza che il tuo telefono se ne accorga: è il motivo del registro di trasparenza descritto più sotto.

Cosa il server sa

Questa è la parte che la maggior parte delle informative non scrive.

L'indirizzo di rete serve a limitare gli abusi, per esempio a impedire che qualcuno apra migliaia di account. Il servizio di messaggistica lo tiene in memoria e non lo scrive nel proprio archivio; finisce però, come su qualunque sito, nel registro tecnico del web server, che viene ruotato e conservato per non più di quattordici giorni. Il registro di sistema della macchina non annota più quando un dispositivo si collega e si scollega: dal 5 settembre 2026 quelle righe si accendono solo per cercare un guasto, e si rispengono.

Le notifiche passano da Apple e da Google

Per avvisarti quando l'app è chiusa, il server manda una notifica attraverso il servizio del sistema del tuo telefono.

Apple e Google vedono quindi che c'è una notifica per un certo dispositivo e in quale momento. Vale per qualunque app che manda notifiche e non possiamo evitarlo; possiamo solo, e lo facciamo, non metterci dentro niente.

Le chiamate

Una chiamata prova prima a collegare direttamente i due dispositivi: in quel caso ciascuno vede l'indirizzo di rete dell'altro, come in ogni chiamata diretta su internet. Se la strada diretta non si apre, la chiamata passa da un nostro ripetitore (TURN), sulla stessa macchina del server, che vede gli indirizzi di rete delle due parti ma non il contenuto, che resta cifrato. Il ripetitore annota solo gli errori.

Cose che succedono sul tuo telefono

Quando segnali qualcuno

Dall'app puoi segnalare un contatto. La segnalazione arriva a noi con l'identificativo del tuo account e di quello segnalato, il motivo che scrivi e, solo se lo scegli, gli ultimi messaggi che hai ricevuto da quella persona (mai i tuoi), fino a venti. Quei messaggi escono dalla cifratura: li leggiamo in chiaro, ed è il solo modo in cui possiamo verificare cosa è successo. Li usiamo solo per gestire la segnalazione e, se la legge lo impone, per trasmetterli all'autorità.

Quando arriva una segnalazione il server ci manda un'email a claspet@interfibra.it con chi ha segnalato chi, quando e il motivo. I messaggi allegati non sono nell'email: si leggono solo sul server.

Oggi le segnalazioni non hanno una cancellazione automatica e non si cancellano con l'account: le teniamo finché servono a gestire il caso e a difenderci da contestazioni. Puoi chiederci di cancellare quelle che hai fatto tu scrivendo a claspet@interfibra.it. Il blocco di un contatto, invece, resta solo sul tuo telefono: il server non sa chi hai bloccato.

Il recupero (facoltativo)

Se lo attivi, l'app ti dà un foglio di rientro con un codice e una frase, da conservare tu. Sul server resta un deposito cifrato che contiene solo la tua identità (le chiavi del dispositivo, il nome utente), non i messaggi né i contatti. La chiave che lo apre si ottiene solo con la frase e con la risposta di tre «custodi», tre server separati che da soli non possono aprirlo: custode1.claspet.com sulla macchina del server presso Hetzner, e custode2 e custode3 su due macchine gestite da Interfibra. Ogni custode conserva un codice anonimo, una sua chiave e quanti tentativi sono stati fatti, e vede l'indirizzo di rete e l'ora di chi prova a rientrare. Tutte e tre le macchine sono amministrate da noi: è una protezione contro chi prova a indovinare la frase, non contro chi gestisce il servizio.

Per quanto tempo

Con chi condividiamo i dati

Non c'è pubblicità, non c'è profilazione, non ci sono strumenti di analisi dentro l'app, e non vendiamo nulla a nessuno. I soli fornitori coinvolti sono:

Apple e Google possono trattare i dati delle notifiche anche negli Stati Uniti; il trasferimento si basa sulle garanzie previste dal regolamento europeo (il quadro UE-USA per la protezione dei dati, a cui le due società aderiscono, e le clausole contrattuali standard). Consegniamo dati a un'autorità solo quando la legge ce lo impone, e possiamo consegnare solo ciò che esiste: l'elenco qui sopra, e nulla di più.

Su quale base

Cancellare l'account

Dall'app: Impostazioni, sezione Account, «Cancella l'account…», poi scrivi la parola di conferma, perché non è un gesto che si annulla.

Cancellare toglie dal server l'account, le chiavi pubbliche, i pacchetti di chiavi con il nome da mostrare, l'elenco dei dispositivi, i gettoni di notifica, i messaggi ancora in coda, gli allegati e il deposito del recupero. Sul telefono cancella l'archivio locale e le chiavi. Se la rete non risponde, l'app si ferma e non cancella niente in locale: meglio riprovare che restare con un telefono vuoto e un account vivo.

Restano: il nome utente con la sua chiave pubblica e la data, in un elenco dei nomi non più assegnabili e nel registro di trasparenza qui sotto, perché nessun altro possa prendere il tuo nome e farsi passare per te; le segnalazioni; sui custodi separati, il codice anonimo dell'iscrizione al recupero, che senza il deposito non apre più niente; le copie di sicurezza, per al massimo sette giorni. Non possiamo togliere i messaggi che hai già mandato dai telefoni di chi li ha ricevuti: quelle copie sono loro, non nostre.

Il registro di trasparenza

Esiste un registro pubblico, in sola aggiunta, che associa ogni nome utente alla chiave pubblica annunciata in un certo momento. Serve a impedire che noi si possa sostituire di nascosto la chiave di una persona con un'altra per leggerne i messaggi. L'app lo controlla a ogni contatto nuovo e ricontrolla che la storia di quel nome sia coerente con quella che aveva già visto: una chiave sostituita di nascosto la fa fermare.

Cosa non fa ancora. L'app contiene la chiave di un auditor e ne verifica le firme: se la radice firmata dall'auditor e quella servita dal server non coincidono, gli invii si fermano. Ma l'auditor oggi gira sulla stessa macchina del server, con un utente e chiavi separate: è una difesa vera contro un servizio che sbaglia o viene compromesso da solo, non contro chi amministra la macchina. Ci accorgiamo di un server che cambia idea e di uno che racconta storie diverse a persone diverse; non ci accorgeremmo di chi controlla l'intera macchina e mente in modo coerente fin dall'inizio a un dispositivo appena installato. Finché l'auditor non sarà ospitato da un terzo, la garanzia vera è questa.

Quel registro non si può riscrivere: se si potessero togliere delle voci, non dimostrerebbe più niente. Non contiene messaggi, contatti, indirizzi di rete o altro che riveli con chi hai parlato.

I tuoi diritti

Puoi chiederci di accedere ai tuoi dati, di correggerli, di cancellarli, di limitarne il trattamento, di riceverli in un formato leggibile o di opporti al trattamento basato sul legittimo interesse, scrivendo a claspet@interfibra.it. Rispondiamo entro un mese. Puoi anche proporre reclamo al Garante per la protezione dei dati personali (garanteprivacy.it) o all'autorità del paese in cui vivi.

Va detto con onestà: sulla maggior parte dei dati non possiamo esserti utili, perché non li abbiamo. Non possiamo consegnarti i tuoi messaggi, perché non li possiamo leggere; non possiamo dirti con chi hai parlato, perché non lo sappiamo. Per dimostrare che un account è tuo ti chiederemo di scriverci dall'app («Impostazioni», «Segnala un problema») o di indicarci il nome utente: non abbiamo altro modo di riconoscerti. La cancellazione la fai da solo dall'app, subito.

Minori

Claspet è per chi ha almeno tredici anni, o l'età più alta che la legge del tuo paese richiede per usare da solo un servizio online; sotto quell'età serve il consenso di un genitore (vedi i Termini d'uso). L'app non chiede l'età, perché non chiede nulla: se scopriamo un account di una persona più giovane, senza quel consenso, lo chiudiamo.

Se questa informativa cambia

La data in alto dice quando è stata scritta l'ultima versione. Se cambia qualcosa di sostanziale, e in particolare se il server comincia a sapere qualcosa che oggi non sa, lo diremo dentro l'app, che ti chiederà di rileggerla, e non solo qui.