Informativa sulla protezione dei dati di RonaGuard
Versione del 08.10.2026
Traduzione della versione tedesca. Fa fede unicamente la versione tedesca.
1. Campo d’applicazione
La presente informativa sulla protezione dei dati si applica all’app «RonaGuard» per iPhone e iPad, Mac e Android (di seguito «app») e alle pagine in cui è pubblicata. Si basa sulla legge federale svizzera sulla protezione dei dati (LPD) e, nella misura in cui è applicabile, sul regolamento generale dell’UE sulla protezione dei dati (RGPD). Nella LPD e nel RGPD l’espressione «dati personali» ha lo stesso significato.
La versione vigente si trova su https://sites.google.com/view/ronaguard-datenschutz, in italiano, in tedesco (https://sites.google.com/view/ronaguard-datenschutz/datenschutz), in inglese e in francese. Fa fede la versione tedesca.
2. Titolare del trattamento
Schweizerpunkt GmbH, Gotthelfstrasse 41, 8172 Niederglatt, Svizzera
E-mail: datenschutz@schweizerpunkt.ch
Del contenuto della Sua cassaforte non siamo responsabili noi, ma Lei stesso o l’organizzazione che gestisce una cassaforte condivisa. Non riceviamo mai questo contenuto. Siamo responsabili del servizio di risveglio (sezioni 4.5 e 4.6), delle e-mail che ci vengono inviate e delle pagine in cui è pubblicata la presente informativa (sezione 5).
3. L’essenziale in breve
• Non esistono né un account né un server per la Sua cassaforte. Non vediamo mai le Sue voci, le Sue chiavi, la Sua password principale o il Suo protocollo.
• La Sua cassaforte è una cartella cifrata in uno spazio di archiviazione da Lei scelto: sul dispositivo, nella cartella di un’app cloud (ad esempio iCloud Drive, OneDrive o Dropbox), direttamente in Google Drive o tramite WebDAV (ad esempio Infomaniak kDrive o Nextcloud). Il fornitore riceve soltanto file cifrati.
• L’app non contiene né analisi, né tracciamento, né pubblicità, né telemetria e non ci invia rapporti sugli arresti anomali.
• Il nostro unico servizio è il servizio di risveglio facoltativo su server in Svizzera. L’app lo utilizza soltanto se Lei attiva le notifiche immediate o configura un accesso d’emergenza. Non vede né nomi né contenuti della cassaforte.
• I dati di compilazione automatica restano cifrati sul Suo dispositivo.
• Il controllo delle fughe di dati è disattivato finché Lei non lo attiva. Allora vengono inviati a «Have I Been Pwned» soltanto 5 caratteri di un valore di hash.
4. L’app
4.1 La Sua cassaforte nel Suo spazio di archiviazione
• Le voci (ad esempio credenziali di accesso, carte, identità, note, chiavi SSH, passkey, codici 2FA), gli allegati e il protocollo vengono cifrati sul Suo dispositivo prima di essere salvati (Argon2id, XChaCha20-Poly1305). Le chiavi vengono create e restano sui Suoi dispositivi. La Sua password principale non viene salvata da nessuna parte. Se perde la password principale e il kit d’emergenza, nessuno può ripristinare la Sua cassaforte, nemmeno noi.
• Il fornitore del Suo spazio di archiviazione vede file cifrati con nomi casuali, il loro numero, la loro dimensione e gli orari di modifica, il Suo account e il Suo indirizzo IP durante la sincronizzazione, per le casseforti condivise gli account con cui la cartella è condivisa, nonché indicazioni tecniche sulla cifratura (senza nomi né contenuti). Poiché anche la visualizzazione di una voce viene registrata, vede quando un dispositivo è attivo.
• Con il fornitore Lei ha un proprio contratto; si applicano le sue disposizioni sulla protezione dei dati. Se appartiene a un gruppo statunitense (ad esempio Apple, Google, Microsoft o Dropbox), queste indicazioni tecniche possono giungere negli Stati Uniti; i contenuti restano cifrati. Per un uso professionale Le serve un contratto di elaborazione dei dati su mandato con il fornitore.
• Se la cassaforte si trova su Internet o presso un fornitore di file su iPhone, iPad o Android, l’app ne conserva una copia cifrata sul dispositivo, affinché la cassaforte si apra anche senza connessione. Questa copia è esclusa dai backup del dispositivo e viene eliminata quando Lei rimuove la cassaforte da questo dispositivo nell’app.
4.2 Accesso a Google Drive
Se salva la cassaforte direttamente in Google Drive, Lei accede a Google nel browser del Suo sistema (OAuth). Google è in tal caso il Suo fornitore di archiviazione.
• L’app non vede mai la Sua password di Google. Ottiene accesso soltanto ai file che ha creato essa stessa (autorizzazione «drive.file»), non agli altri Suoi file, e non chiede né il nome né l’indirizzo e-mail del Suo account Google.
• La chiave di accesso (token) si trova soltanto nel portachiavi o nel Keystore del Suo dispositivo. Se Lei scollega lo spazio di archiviazione nell’app, questa revoca l’accesso presso Google.
• RonaGuard utilizza i dati provenienti dalle API di Google soltanto per salvare e sincronizzare la Sua cassaforte cifrata e per rimuovere copie eliminate, e non li trasmette a nessuno. L’uso e il trasferimento di questi dati rispettano la Google API Services User Data Policy, compresi i requisiti di uso limitato («Limited Use»).
4.3 Il protocollo
Il protocollo è il registro delle attività della cassaforte.
• Vengono registrati: quale membro (sotto forma di identificativo casuale), quando, con quale dispositivo, quale azione, per quale voce e quali campi erano interessati. Ne fanno parte anche lo sblocco, la visualizzazione, la copia e la compilazione automatica.
• Non vengono registrati: password, contenuti dei campi, siti web, indirizzi IP e luoghi.
• Il protocollo è cifrato e si trova nella Sua cassaforte. Nelle casseforti condivise i membri possono leggerlo. Le indicazioni orarie provengono dall’orologio del dispositivo interessato.
4.4 Casseforti condivise e inviti
Inviti, risposte, schede chiave e codici di accesso d’emergenza li trasmette Lei stesso, ad esempio tramite il menu di condivisione o una bozza di e-mail. L’app non invia nulla di propria iniziativa e i codici non contengono alcuna password.
Se un’organizzazione (ad esempio il Suo datore di lavoro) gestisce una cassaforte condivisa, è responsabile del trattamento. Decide su membri, ruoli e regole nonché sulla durata per cui il protocollo attribuisce azioni a persone, e deve informarla in merito. Per l’accesso, la cancellazione e gli altri Suoi diritti si rivolga a tale organizzazione.
4.5 Notifiche immediate (servizio di risveglio)
Quando qualcuno condivide qualcosa in una cassaforte condivisa o La aggiunge, RonaGuard può avvisarla subito, anche quando l’app è chiusa. A tal fine gestiamo un servizio di risveglio su server in Svizzera.
• Facoltativo: la funzione è disattivata. L’app lo chiede una volta, quando Lei crea la prima cassaforte condivisa o accetta un invito, e registra il Suo dispositivo soltanto dopo che Lei ha scelto «Attiva» e il sistema ha consentito le notifiche. Senza il servizio di risveglio tutto funziona; le condivisioni compaiono allora alla sincronizzazione successiva.
• Che cosa registra il servizio: il token push del Suo dispositivo con la piattaforma (cifrato), un valore di controllo di un segreto casuale della Sua installazione, identificativi di canale casuali derivati da chiavi con le relative chiavi di accesso (cifrate), un contrassegno che raggruppa i dispositivi di una stessa persona, nonché il giorno della registrazione e dell’ultimo rinnovo.
• Che cosa il servizio non vede: nomi, indirizzi e-mail, casseforti, voci e contenuti. Il testo della notifica è cifrato end-to-end e viene decifrato soltanto sul Suo telefono. Il servizio può sapere soltanto quali installazioni formano un gruppo e quando avviene un risveglio.
• Indirizzi IP: soltanto nella memoria di lavoro, come valore di controllo (HMAC) con una chiave rinnovata ogni giorno, per prevenire abusi e per al massimo 24 ore; mai nei file di log del servizio. Questi contengono soltanto tipi di evento, codici di stato e contatori.
• Recapito: Apple (Apple Push Notification service) o Google (Firebase Cloud Messaging) recapita il messaggio. Ricevono il token push, l’orario, la dimensione e il testo cifrato, che non possono leggere. Su Android l’app contiene a tal fine il componente Firebase Messaging di Google. Si avvia soltanto quando Lei attiva le notifiche, non invia dati di analisi né di arresti anomali e comunica a Google un identificativo di installazione necessario per il token push. I dispositivi senza servizi Google non ricevono notifiche immediate.
• Visualizzazione: con «Mostra nomi e titoli» (attivo, disattivabile) il telefono mostra chi ha condiviso che cosa; altrimenti un testo neutro. Sulla schermata di blocco Android mostra soltanto il testo neutro.
• Mac: il Mac non viene registrato presso il servizio; mostra notifiche locali finché RonaGuard è in esecuzione e la cassaforte è aperta. Se Lei condivide qualcosa e ha attivato le notifiche, il Suo dispositivo (anche il Mac) chiama il servizio per risvegliare gli altri membri. In tale occasione non viene registrato nulla.
• Base giuridica: il Suo consenso (se si applica il RGPD: art. 6 par. 1 lett. a RGPD). Può revocarlo in qualsiasi momento: la disattivazione in «Impostazioni» › «Notifiche» annulla la registrazione del Suo dispositivo e la cancella immediatamente presso il servizio.
• Durata di conservazione: fino alla disattivazione, finché Apple o Google segnalano il token come non valido, al più tardi 90 giorni dopo l’ultimo rinnovo. Conserviamo i backup cifrati del servizio per al massimo 14 giorni.
4.6 Accesso d’emergenza con periodo di attesa
Lei può designare una persona di fiducia che, in caso d’emergenza, può richiedere l’accesso a una cassaforte personale. Se Lei non rifiuta entro il periodo di attesa (da 1 a 30 giorni, 7 giorni per impostazione predefinita), la persona lo ottiene, secondo il livello scelto: «Visualizzare» (leggere e copiare le voci) o «Rilevare» (inoltre copiare tutto in una propria cassaforte o proseguire la cassaforte con una nuova password principale). Il nostro servizio di risveglio garantisce il periodo di attesa.
• Facoltativo: la funzione è disattivata finché Lei non configura una persona di fiducia. Lei dà il consenso al momento della configurazione, la persona di fiducia quando conserva il codice di accesso d’emergenza.
• Che cosa registra il servizio per ogni persona di fiducia: un identificativo casuale, tre chiavi pubbliche per verificare i comandi, il periodo di attesa e il livello, una parte sigillata per la persona di fiducia che non apre nulla senza un file nella cartella della Sua cassaforte, gli identificativi di canale per le notifiche, lo stato con gli orari di richiesta, rifiuto e rilascio, nonché messaggi cifrati fino al loro invio.
• Che cosa il servizio non vede: nomi, indirizzi e-mail, casseforti, luoghi di archiviazione, contenuti e la chiave della Sua cassaforte. Può sapere soltanto che due gruppi di installazioni sono collegati da un accesso d’emergenza e quando l’accesso è stato richiesto, rifiutato o rilasciato.
• Le app di entrambe le persone chiedono al servizio lo stato attuale. Il servizio tratta gli indirizzi IP come descritto nella sezione 4.5.
• Base giuridica: il consenso di entrambe le persone (se si applica il RGPD: art. 6 par. 1 lett. a RGPD). Revoca: se Lei rimuove la persona di fiducia, il servizio cancella immediatamente il deposito. Se la persona di fiducia rimuove il codice di accesso d’emergenza, la sua app smette di interrogare il servizio.
• Durata di conservazione: fino alla rimozione, altrimenti 730 giorni dopo l’ultimo comando valido. Backup cifrati per al massimo 14 giorni.
• Dopo il rilascio la persona di fiducia ha accesso alla Sua cassaforte; ciò che vede o copia resta presso di lei. Per il rispetto del periodo di attesa Lei si affida al nostro servizio.
4.7 Compilazione automatica
• La compilazione automatica è disattivata finché Lei non la attiva in RonaGuard e non sceglie RonaGuard a tal fine nelle impostazioni del Suo sistema.
• Per le casseforti che Lei offre, l’app salva sul dispositivo dati di compilazione automatica cifrati (titoli, nomi utente, indirizzi, password, chiavi 2FA e passkey). Non lasciano il dispositivo e sono esclusi dai backup. Ogni compilazione la conferma con la biometria, o con il codice del dispositivo se Lei lo consente.
• Il sistema comunica all’app per quale sito web o quale app deve avvenire la compilazione. Questa indicazione resta sul dispositivo e non compare nel protocollo. Su Android RonaGuard legge a tal fine il nome, il certificato di firma e la fonte d’installazione di quell’unica app, non un elenco delle Sue app.
• Sui dispositivi Apple, nomi utente e siti web si trovano inoltre nell’archivio di compilazione automatica del sistema finché «Suggerimenti sopra la tastiera» è attivo.
• Unico accesso alla rete: se su Android Lei accede a un’app con una passkey e tale app non è collegata alla voce, RonaGuard recupera dal sito web del servizio interessato il file /.well-known/assetlinks.json per verificare che l’app appartenga a quel servizio. Il servizio vede in tal caso il Suo indirizzo IP; non vengono inviati cookie e il risultato resta soltanto nella memoria di lavoro. Sui dispositivi Apple l’estensione di compilazione automatica non ha accesso alla rete.
4.8 Controllo delle fughe di dati
Soltanto se Lei attiva il controllo delle fughe di dati (inizialmente disattivato) e sceglie «Controlla ora» nel controllo cassaforte, mai in background: l’app invia i primi 5 caratteri del valore di hash SHA-1 di una password ad api.pwnedpasswords.com («Have I Been Pwned») e confronta la risposta sul Suo dispositivo. Il servizio vede il Suo indirizzo IP, ma né la Sua password né il suo valore di hash completo. È gestito al di fuori della Svizzera e dell’UE; si applicano le sue disposizioni. Il risultato resta nella memoria di lavoro.
4.9 Connessioni dell’app
L’app si collega soltanto:
1. al Suo spazio di archiviazione e, per Google Drive, al servizio di accesso di Google, anche per rimuovere presso il fornitore copie di dati eliminati (sezione 4.11);
2. al nostro servizio di risveglio e, su Android, a Firebase di Google, soltanto con il Suo consenso (sezioni 4.5 e 4.6);
3. a «Have I Been Pwned», soltanto se Lei lo attiva e avvia un controllo (sezione 4.8);
4. soltanto su Android e soltanto per le passkey nelle app: al sito web del servizio interessato (sezione 4.7).
Non esistono altre connessioni: nessuna ricerca di aggiornamenti, nessuna pubblicità, nessuna analisi, nessun carattere tipografico e nessuna icona di siti web da Internet (l’app mostra per ogni voce la sua iniziale).
4.10 Autorizzazioni
• Face ID, Touch ID o impronta digitale: soltanto se Lei attiva lo sblocco con questo mezzo. L’app riceve dal sistema operativo soltanto il risultato; i dati biometrici non lasciano l’area protetta del dispositivo.
• File e cartelle da Lei selezionati: per la cassaforte nonché per l’importazione e l’esportazione.
• Rete: per le connessioni della sezione 4.9.
• Notifiche: soltanto quando Lei attiva le notifiche.
• Compilazione automatica: soltanto se Lei la attiva (sezione 4.7).
RonaGuard non chiede né la Sua posizione, né i Suoi contatti, né il Suo identificativo pubblicitario, e non utilizza né la fotocamera né il microfono.
4.11 Cancellazione e durata di conservazione
• I dati restano nel Suo spazio di archiviazione finché Lei non li elimina. Le voci eliminate restano 30 giorni nel cestino. Dopo tale periodo, o quando Lei svuota il cestino, la chiave della voce viene cancellata; il suo contenuto non è quindi più leggibile, nemmeno negli eventi meno recenti del protocollo. Nel protocollo resta soltanto il fatto che la voce è esistita e che cosa le è successo.
• Dove l’interfaccia del Suo fornitore lo consente (Nextcloud, Google Drive), dopo l’eliminazione definitiva l’app rimuove anche le copie nel cestino e le versioni precedenti presso il fornitore («Svuota anche il cestino del fornitore», disattivabile per ogni cassaforte). Altrimenti indica che cosa vi resta e per quanto tempo.
• I backup dei Suoi dispositivi e le esportazioni da Lei create possono contenere ancora dei dati. Le esportazioni in formato CSV o JSON non sono cifrate; l’app La avverte in merito.
• Nelle casseforti condivise gli ex membri possono essere pseudonimizzati; il loro nome non è allora più leggibile.
• L’app cancella i dati di compilazione automatica quando Lei disattiva la compilazione automatica, ne esclude una cassaforte o rimuove la cassaforte dal dispositivo.
• Sui dispositivi Apple le voci nel portachiavi possono sopravvivere a una disinstallazione. Rimuova quindi le Sue casseforti nell’app prima di disinstallarla.
• Per il servizio di risveglio vedi le sezioni 4.5 e 4.6.
5. Queste pagine e il sito web
5.1 Google Sites
Pubblichiamo la presente informativa con Google Sites (https://sites.google.com/view/ronaguard-datenschutz). Quando Lei visita queste pagine, Google tratta dati secondo le proprie disposizioni sulla protezione dei dati. L’app non utilizza Google Sites.
5.2 Sito web di RonaGuard
Il sito web proprio di RonaGuard non è ancora online: è in fase di sviluppo. È costruito in modo da non impostare cookie, non utilizzare servizi di analisi o di tracciamento e non caricare contenuti da terzi. Se Lei vi cambia personalmente la lingua, il Suo browser memorizza la scelta nella memoria locale (localStorage), senza inviarcela. Prima della pubblicazione indicheremo qui quale provider di hosting lo gestisce, dove ha sede e per quanto tempo conserva i log di accesso.
6. Contatto per e-mail
Se ci contatta per e-mail, trattiamo il Suo indirizzo e-mail e il contenuto del Suo messaggio per rispondere alla Sua richiesta. Nella misura in cui il RGPD è applicabile, ci basiamo a tal fine sull’art. 6 par. 1 lett. b RGPD (contratto o misure precontrattuali) o sull’art. 6 par. 1 lett. f RGPD (interesse legittimo a rispondere alle richieste). Cancelliamo questi dati non appena non sono più necessari, salvo obblighi legali di conservazione. La preghiamo di non inviarci mai password, file della cassaforte o il Suo kit d’emergenza.
7. Store delle app e sistema operativo
Se scarica l’app dall’App Store o da Google Play, Apple o Google trattano i dati secondo le proprie disposizioni. Da loro riceviamo soltanto statistiche aggregate, ad esempio il numero di installazioni. Riceviamo rapporti sugli arresti anomali soltanto se Lei ha consentito nel sistema operativo di condividere tali rapporti con gli sviluppatori di app; li utilizziamo esclusivamente per correggere errori. I servizi del sistema operativo come il portachiavi, la biometria, la compilazione automatica, gli appunti, le notifiche e i backup non fanno parte di RonaGuard; per essi si applicano le disposizioni di Apple o di Google.
8. Destinatari e comunicazione all’estero
• Servizio di risveglio: il provider di hosting in Svizzera tratta i dati su nostro mandato. Per il recapito Apple e Google ricevono il token push, l’orario, la dimensione e il testo cifrato, su Android inoltre l’identificativo di installazione Firebase. Possono trattare questi dati negli Stati Uniti. La comunicazione si basa sullo Swiss-U.S. Data Privacy Framework o sull’EU-U.S. Data Privacy Framework, nella misura in cui le imprese sono certificate secondo tale quadro, altrimenti su clausole contrattuali tipo. Non possono leggere il contenuto delle notifiche.
• Trattano dati sotto la propria responsabilità: il Suo fornitore di archiviazione, «Have I Been Pwned», gli store delle app, Google per queste pagine e i siti web dei servizi di cui Lei usa le passkey nelle app su Android. Ciò avviene in parte al di fuori della Svizzera e dell’UE, ad esempio negli Stati Uniti.
• Non vendiamo dati, non mostriamo pubblicità e non creiamo profili.
9. I Suoi diritti
In base alla LPD e, nella misura in cui è applicabile, al RGPD, Lei dispone in particolare dei seguenti diritti:
• accesso ai Suoi dati personali
• rettifica dei dati inesatti
• cancellazione
• limitazione del trattamento
• opposizione al trattamento
• consegna o trasmissione dei dati
• revoca di un consenso dato, con effetto per il futuro
Non disponiamo dei dati della Sua cassaforte. Lei esercita questi diritti direttamente nell’app, ad esempio con l’esportazione e la cancellazione; nelle casseforti condivise si rivolga all’organizzazione che gestisce la cassaforte. Le indicazioni registrate dal servizio di risveglio non possiamo attribuirle ad alcuna persona (nessun account, nessun nome). Lei le cancella quindi nell’app: la disattivazione delle notifiche cancella immediatamente la Sua registrazione, la rimozione di una persona di fiducia il deposito per l’accesso d’emergenza. Per ogni altra richiesta: datenschutz@schweizerpunkt.ch
Lei ha inoltre il diritto di presentare reclamo a un’autorità di controllo della protezione dei dati. In Svizzera si tratta dell’Incaricato federale della protezione dei dati e della trasparenza (IFPDT). Nell’UE e nel SEE si tratta in particolare dell’autorità di controllo del Suo luogo di residenza.
10. Bambini
RonaGuard non si rivolge ai bambini. Non ci sono né account, né pubblicità, né chat. L’app non chiede né l’età né il nome; il servizio di risveglio facoltativo registra soltanto le indicazioni tecniche delle sezioni 4.5 e 4.6.
11. Sicurezza
La cifratura avviene sul Suo dispositivo; la Sua protezione dipende quindi anche da Lei. Raccomandiamo una password principale composta da almeno cinque parole casuali, un blocco del dispositivo e un kit d’emergenza conservato in un luogo sicuro. La preghiamo di segnalare le lacune di sicurezza a datenschutz@schweizerpunkt.ch con l’oggetto «Sicherheit RonaGuard».
12. Modifiche
Adattiamo la presente informativa quando cambiano l’app o i requisiti legali. Fa fede la versione attuale, che trova su https://sites.google.com/view/ronaguard-datenschutz.