Dichiarazione sulla protezione dei dati

Questa bozza descrive che cosa fa la versione attuale di Votara. Sarà verificata prima del lancio e aggiornata prima di ogni nuova funzione che tratta dati personali.

Titolare del trattamento

• PLACEHOLDER: nome e indirizzo del titolare del trattamento.
• PLACEHOLDER: indirizzo di contatto per le richieste sulla protezione dei dati.

Che cosa non fa questa versione

• Ancora nessun account utente, nessuna registrazione: gli account dell'Agora descritti più sotto non sono aperti.
• Nessun salvataggio di opinioni, voti o commenti. Vengono salvate solo le stime anonime di «Prima indovina», descritte più sotto.
• Nessuno script di terzi, nessun carattere caricato dall'esterno, nessun tracker, nessuno strumento di analisi, nessuna pubblicità.

Cookie

Votara imposta due cookie. Entrambi salvano una preferenza e nient'altro.

Cookie	Contenuto	Impostato quando	Durata
theme	light o dark	usa il pulsante chiaro/scuro	1 anno
PARAGLIDE_LOCALE	codice della lingua (de, fr, it o en)	una pagina viene caricata nel Suo browser	400 giorni

Nessuno dei due cookie serve a identificarLa, e nessuno viene trasmesso a terzi.

«Prima indovina» sulla pagina iniziale

Alle tre domande della pagina iniziale si risponde con un cursore o un campo numerico. Che cosa succede a una risposta dipende dal fatto che questa versione di Votara funzioni con una banca dati o no; la nota sotto il modulo indica sempre quale caso vale.

Senza banca dati non viene salvato nulla. Con JavaScript le Sue stime restano nel Suo browser.

Con una banca dati, un clic su «Confronta» salva una voce per la domanda a cui ha risposto:

Salvato	Esempio	Scopo
la domanda	population-observed-1860	raggruppare le stime per domanda
la Sua stima	3000000	mostrare che cosa hanno stimato i visitatori
la data (ora di Zurigo), senza l'ora	2026-10-31	periodo delle stime; cancellazione
un hash con chiave di un codice casuale del modulo	43 caratteri	contare ogni stima una sola volta al giorno

Il server crea il codice casuale a ogni visualizzazione del modulo; viene trasmesso in un campo nascosto del modulo, non viene salvato a sua volta e non è un cookie. Non vengono salvati con una stima: indirizzo IP, cookie, account, identificazione del browser (user agent), lingua, ora. Saltare una domanda non salva nulla.

Limitazione degli abusi. Per impedire invii automatici di massa, uno stesso mittente può inviare al massimo 30 stime all'ora. Il contatore è salvato sotto un codice calcolato dall'indirizzo IP con una chiave segreta che esiste solo nella memoria del server e viene sostituita ogni giorno (ora di Zurigo). L'indirizzo IP stesso non viene salvato; una volta sostituita la chiave, nessuno può più collegare il codice a un indirizzo. I contatori vengono cancellati dopo due giorni.

Che cosa viene mostrato. A partire da 100 stime per una domanda, la risposta a quella domanda mostra anche la mediana delle stime dei visitatori, l'intervallo in cui si trova la metà di esse, il loro numero e il loro periodo, con la dicitura «Opinione di utenti di Votara, non un sondaggio rappresentativo». Sotto le 100 stime viene solo indicato che non ce ne sono ancora abbastanza.

Conservazione. Le stime vengono cancellate automaticamente dopo 400 giorni, i contatori dopo due giorni. Le copie di sicurezza della banca dati sono conservate 14 giorni; una voce cancellata può quindi restare in una copia di sicurezza fino a 14 giorni in più. La banca dati funziona sullo stesso server del sito (vedi Hosting).

Senza JavaScript, dopo l'invio, le Sue risposte compaiono anche nell'indirizzo della pagina (per mostrare la risposta); questo indirizzo può comparire nei registri del server descritti qui sotto.

PLACEHOLDER: base giuridica.

Account (Agora, non ancora aperta)

L'Agora (voti, proposte, commenti) è in costruzione e non è ancora aperta: in questa versione non può creare un account. Questa sezione descrive in anticipo che cosa salverà esattamente un account; sarà verificata prima dell'apertura dell'Agora.

Accedere senza password. Inserisce il Suo indirizzo e-mail e riceve un link che funziona una sola volta, per 15 minuti. Votara risponde allo stesso modo, che per l'indirizzo esista un account o no. Finché il link è in attesa, Votara salva solo un'impronta (hash) del link, l'indirizzo cifrato in modo che solo il link possa aprirlo, un'impronta dell'indirizzo calcolata con una chiave segreta (per cancellare i link in attesa insieme a un account) e l'ora di scadenza. Contro gli abusi sono accettate al massimo 10 richieste per connessione e 3 link per indirizzo all'ora; i contatori usano gli stessi codici che cambiano ogni giorno di «Prima indovina» e sono cancellati dopo due giorni. L'e-mail è inviata tramite un fornitore di posta elettronica (PLACEHOLDER: fornitore e sede); non contiene tracciamento né immagini.

Che cosa salva un account.

Salvato	Scopo	Conservato
il Suo indirizzo e-mail	inviarLe i link di accesso	fino all'eliminazione dell'account
uno pseudonimo (generato, ad es. user-k7m2q9xr, modificabile)	dare un nome al Suo account	fino all'eliminazione dell'account
lingua, livello dell'account, ruoli	e-mail nella Sua lingua; diritti d'accesso	fino all'eliminazione dell'account
esclusione dalle classifiche (attiva per impostazione predefinita), pseudonimo visibile (no)	le Sue scelte sulla privacy	fino all'eliminazione dell'account
versione e data delle condizioni d'uso e della dichiarazione sulla protezione dei dati accettate	registro dei consensi	fino all'eliminazione dell'account
un'impronta del Suo cookie di sessione, la sua scadenza	mantenere la Sua sessione	30 giorni dopo l'ultima visita, o uscita

Non salvati: il Suo vero nome, indirizzo postale, numero di telefono, data di nascita, indirizzo IP, identificazione del browser, posizione o appartenenza a un partito.

Cookie di sessione. Dopo l'accesso il Suo browser conserva un cookie __Host-session (su un server di prova locale session): un codice casuale, leggibile solo dal server (HttpOnly), inviato solo tramite HTTPS e mai ad altri siti. Scade 30 giorni dopo la Sua ultima visita o quando esce.

La Sua partecipazione. I voti giornalieri con il loro motivo sono opinioni politiche e sono trattati come dati degni di particolare protezione: collegati al Suo account al massimo 35 giorni, poi conservati solo in forma anonima (senza account, senza testo libero, con il giorno ma senza l'ora). Le Sue proposte, i Suoi commenti e le Sue note sono pubblici; il Suo pseudonimo vi compare solo se lo attiva. I risultati dei voti sono mostrati solo per gruppi di almeno 50 persone.

I Suoi dati, la Sua scelta. Nella pagina del Suo account può scaricare tutto ciò che è salvato sul Suo account (file JSON) ed eliminare subito l'account. L'eliminazione cancella il Suo indirizzo e-mail, lo pseudonimo, le impostazioni, il registro dei consensi, le sessioni e i link in attesa; i Suoi voti giornalieri restano contati, ma in forma anonima; le Sue valutazioni sono cancellate; i Suoi contributi restano, a Sua scelta, come «Account eliminato» oppure il loro testo è rimosso (i contenuti oggetto di una procedura legale sono conservati come prova). I backup contengono ancora i dati cancellati per al massimo 14 giorni.

PLACEHOLDER: base giuridica; valutazione d'impatto sulla protezione dei dati prima dell'apertura dell'Agora.

Newsletter «Prima di votare» (non ancora aperta)

La newsletter è pronta ma non è ancora aperta: in questa versione non può iscriversi. Questa sezione descrive in anticipo che cosa salverà un'iscrizione; sarà verificata prima dell'apertura della newsletter.

Che cosa riceve. Un'e-mail circa quattro settimane prima di ogni domenica di votazione federale, nella lingua che sceglie: il titolo e il tipo di ogni oggetto federale, un link alla sua pagina su Votara e la pagina ufficiale della giornata di votazione. Nessuna raccomandazione di voto, nessun'altra e-mail.

Doppia conferma, senza account. Inserisce il Suo indirizzo e-mail e una lingua. Votara invia un link che funziona una sola volta, per 48 ore; l'iscrizione inizia solo quando lo apre e preme «Conferma». Un'iscrizione non è collegata a nessun account Votara, e l'esportazione di un account non la contiene.

Salvato	Scopo	Conservato
il Suo indirizzo e-mail	inviarLe la newsletter	fino alla disdetta
la lingua	inviarla nella Sua lingua	fino alla disdetta
la versione del testo d'iscrizione, data e ora della richiesta e della conferma	provare il Suo consenso	fino alla disdetta
un'impronta (hash) del link di conferma	confermare l'iscrizione	fino alla conferma, al massimo 48 ore
la data dell'ultima giornata di votazione per cui ha ricevuto l'e-mail	non inviare due volte la stessa e-mail	fino alla disdetta

Non salvati: il Suo nome, l'indirizzo IP, l'identificazione del browser e se apre un'e-mail o clicca un link (nessun pixel di tracciamento, nessun link tracciato).

Senza conferma e disdetta. Un indirizzo non confermato entro 48 ore è cancellato automaticamente. Ogni e-mail contiene un link per disdire: un pulsante sulla pagina, senza accesso; la disdetta cancella subito il Suo indirizzo (non si conserva nessuna lista di ex iscritti). I backup contengono ancora i dati cancellati per al massimo 14 giorni.

Contro gli abusi. Sono accettate al massimo 5 richieste per connessione e 3 per indirizzo all'ora; i contatori usano gli stessi codici che cambiano ogni giorno di «Prima indovina» e sono cancellati dopo due giorni.

Invio. Le e-mail sono inviate tramite un fornitore di posta elettronica (PLACEHOLDER: fornitore e sede). Non contengono immagini né tracciamento. Un'e-mail della newsletter non è mai inviata automaticamente: una persona di Votara avvia ogni invio.

PLACEHOLDER: base giuridica; durate di conservazione da confermare con il nostro avvocato.

Registri del server

Ogni richiesta passa da un reverse proxy (Traefik) prima di raggiungere il server dell'applicazione (Node.js).

• Il reverse proxy può tenere registri di accesso: indirizzo IP, data e ora, indirizzo richiesto, codice di stato, dimensione della risposta, pagina di provenienza e identificazione del browser (user agent). PLACEHOLDER: confermare se la registrazione degli accessi è attiva e per quanto tempo i registri vengono conservati.
• Il server dell'applicazione scrive i messaggi di errore nel registro del server. Questi possono contenere l'indirizzo richiesto. Il registro ha una dimensione limitata, le voci più vecchie vengono sovrascritte. PLACEHOLDER: durata di conservazione.

Questi registri servono a gestire il sito e ad analizzare errori e attacchi. PLACEHOLDER: base giuridica.

Hosting

PLACEHOLDER: fornitore di hosting e sede. L'attuale versione di prova funziona su un server a Francoforte (Germania). La sede della versione pubblica non è ancora decisa.

I Suoi diritti

Secondo la legge federale sulla protezione dei dati (LPD), può chiedere informazioni sui Suoi dati personali e chiederne la rettifica o la cancellazione. PLACEHOLDER: come presentare una richiesta.

Modifiche

Questa dichiarazione sarà aggiornata prima che Votara offra account, votazioni o altre funzioni che trattano dati personali.