1. Titolare del trattamento
Il titolare del trattamento dei dati personali è:
Federico Seghetto
Via Trieste 2, San Pietro di Morubio (VR)
E-mail: orvhalis@gmail.com
2. Che cos'è Orvhalis
Orvhalis è un servizio di messaggistica privata progettato per garantire la massima riservatezza. Il testo dei messaggi e i messaggi vocali sono cifrati end-to-end E2E direttamente sul tuo dispositivo: il server conserva e inoltra solo dati cifrati e non è tecnicamente in grado di leggerne il contenuto. Alcuni dati, elencati nella sezione 4, restano invece leggibili sul server (per esempio il titolo di un Eco o il nome di una stanza).
3. Dati che non raccogliamo
Orvhalis è progettato per raccogliere il minimo indispensabile. Per usare l'app non ti chiediamo:
- Indirizzo e-mail
- Numero di telefono
- Nome, cognome o qualsiasi altro dato anagrafico reale
- Dati biometrici trasmessi al server
- Posizione precisa del dispositivo (per esempio GPS): l'app non la chiede mai
- Dati di navigazione o profilazione comportamentale
Se scrivi all'indirizzo e-mail di contatto, il tuo indirizzo e-mail e il contenuto del messaggio arrivano al titolare (vedi sezione 9).
4. Dati raccolti e finalità
Il server tratta i dati elencati qui sotto. «In chiaro» significa leggibile da chi gestisce il server, senza bisogno di chiavi.
Account e accesso
-
Codice ID anonimo (formato
ID-XXXX-XXXX): generato automaticamente dal server al momento della registrazione. Non è collegato ad alcuna identità reale. - Password: arriva al server, attraverso la connessione cifrata (HTTPS), quando ti registri, accedi, la cambi, recuperi l'account o confermi con la password un'operazione come l'eliminazione dell'account, perché il server deve verificarla. Il server non la conserva: salva solo un'impronta non reversibile calcolata con Argon2, e non la scrive mai nei log.
- 12 parole di recupero (seedphrase): generate sul tuo dispositivo; arrivano al server solo alla registrazione e quando recuperi l'account, e sono salvate solo come impronta Argon2. Non sono recuperabili dal server in nessuna circostanza.
- Dati dell'account: data di iscrizione, data dell'ultimo cambio della password e dell'ultima chiusura delle sessioni, spazio occupato dai vocali.
- Registro del consenso: per gli account creati dal 24 ottobre 2026, la data e l'ora della registrazione (UTC), le versioni della Privacy Policy e dei Termini di Servizio in vigore in quel momento e l'età minima dichiarata. L'indirizzo IP non viene registrato.
- Sessioni: per ogni dispositivo un codice di sessione casuale, conservato in una memoria temporanea separata dal database per 90 giorni, che ripartono quando usi l'app; si cancella quando esci.
Chiavi di cifratura
- Chiave pubblica crittografica: associata al tuo account, necessaria per il sistema di cifratura end-to-end. È per natura pubblica e non consente di risalire alla tua identità.
- Chiave privata cifrata: conservata sul server esclusivamente in forma cifrata (AES-GCM 256 bit) con una chiave ricavata dalla tua password, che il server non conserva. Serve a usare l'account da più dispositivi.
- Copia cifrata dell'identità: una copia della tua identità di cifratura, con le identità dei tuoi contatti e le loro verifiche, cifrata sul tuo dispositivo con chiavi ricavate dalla password e dalle 12 parole. Serve a riaprire la tua identità su un nuovo dispositivo; il server non può aprirla.
- Altre chiavi: del protocollo Double Ratchet il server conserva solo le parti pubbliche; le chiavi monouso e le chiavi precedenti a un eventuale cambio sono conservate cifrate.
- Registro dei cambi di chiave: per ogni cambio (registrazione, cambio password, recupero…) le impronte della chiave vecchia e nuova, la data e il motivo. Lo vedi nel Profilo.
Contatti e comunicazioni
- Contatti: in chiaro, la coppia di codici di ogni legame, la data, come è nato (QR, NFC o a distanza), il soprannome privato che puoi dare a un contatto, gli eventuali limiti giornalieri e il silenzio per quel contatto.
- Messaggi privati e vocali: il contenuto è cifrato end-to-end. In chiaro: chi scrive a chi, data e ora, consegna e lettura, modifica, se è un vocale (con durata e dimensione), l'eventuale timer, le reazioni (emoji) con il codice di chi reagisce.
- Lettura dei messaggi: quando apri una chat, il server registra che hai letto i messaggi anche se hai spento la conferma di lettura. Questa informazione non viene mostrata al mittente e serve solo a calcolare il numero dei messaggi non letti (per esempio quello sull'icona dell'app). La conferma di lettura visibile al mittente si registra solo se la tieni accesa.
- Stanze: i messaggi sono cifrati end-to-end con una chiave del gruppo che il server non conosce. In chiaro: il nome della stanza, chi l'ha creata, i membri e il loro stato, chi ha scritto ogni messaggio e quando, letture, consegne e reazioni.
- Eco: sono cifrati end-to-end solo il testo e l'eventuale vocale. In chiaro: il titolo, chi l'ha creato, il grado di urgenza, i destinatari, il percorso di inoltro nella rete, chi ha accettato o rifiutato, le date.
- Eventi: sono cifrati solo i vocali (dell'invito e dell'annullamento). In chiaro: titolo, descrizione, luogo e data, l'eventuale messaggio di annullamento, chi l'ha creato, i destinatari, il percorso di inoltro, le risposte e il check-in.
- Chat temporanee (nate da un Eco accettato): i messaggi sono cifrati come gli altri; in chiaro i due codici e la scadenza.
- Richieste di contatto a distanza: la parola segreta è salvata solo come impronta Argon2; in chiaro i due codici, il messaggio di accompagnamento (fino a 280 caratteri), il numero di tentativi e le date. Una richiesta non accettata scade dopo 24 ore e viene cancellata.
- Foto del profilo (facoltativa): ridotta sul tuo dispositivo e salvata sul server non cifrata. È mostrata solo ai tuoi contatti; puoi rimuoverla dal Profilo e viene cancellata subito dal server.
- Impostazioni: in chiaro, lingua, sfondo, timer, preferenze di notifica, sfocatura delle chat, conferma di lettura, silenzio, se ricevere Eco, Eventi e richieste a distanza, limite di contatti.
- Anelli NFC: il codice scritto nell'anello e l'account a cui appartiene, in chiaro. Puoi revocarlo dalle Impostazioni.
Notifiche e dati tecnici
- Iscrizioni alle notifiche push: se attivi le notifiche, per ogni dispositivo il server conserva l'indirizzo tecnico assegnato dal servizio di notifiche del tuo browser o sistema (Google, Apple, Microsoft o Mozilla), due chiavi tecniche, un'impronta della sessione e la data. Si cancellano quando esci dall'app, cambi la password, recuperi o elimini l'account, o quando il servizio le dichiara non più valide (vedi sezione 9).
- Log tecnici di sicurezza: registrazioni generate automaticamente per la protezione da attacchi informatici (es. rate limiting) e per la diagnostica di eventi rilevanti per la sicurezza. Non sono conservati nel database, ma a livello di infrastruttura server; possono riportare il codice ID dell'account coinvolto e sono conservati al massimo 14 giorni (vedi sezione 6).
- Indirizzi IP: non vengono salvati nel database. Sono usati per un tempo limitato contro gli abusi e nei log compaiono solo in forma ridotta o come impronta (vedi sezione 6).
- Contatore anonimo degli errori di decifratura: solo giorno, tipo di errore e numero; nessun codice, messaggio o contatto.
- Copie di sicurezza (backup): il database viene salvato manualmente, per esempio prima degli aggiornamenti, in copie conservate sullo stesso server. Contengono i dati presenti nel database al momento della copia, compresi quelli cancellati dopo.
Infrastruttura: i dati sono ospitati su server ubicati in Unione Europea (fornitore Hetzner, server in Finlandia), in conformità con la normativa GDPR.
Misure di sicurezza: adottiamo misure tecniche e organizzative adeguate, inclusi meccanismi moderni di hashing delle credenziali, cifratura end-to-end e protezione delle credenziali, per garantire un livello di sicurezza adeguato al rischio.
Periodo di conservazione: i dati vengono conservati per tutta la durata dell'account. Alla cancellazione dello stesso, tutti i dati collegati al codice dell'account — messaggi, contatti, impostazioni, materiale crittografico (incluse le chiavi per la cifratura end-to-end e i registri di sicurezza) e i file audio dei messaggi vocali — vengono eliminati in modo permanente e irreversibile (vedi sezione 8 per i dettagli, incluso il caso dei messaggi inviati in stanze di gruppo condivise con altri utenti).
5. Messaggi e contenuti
I messaggi sono protetti mediante crittografia end-to-end e possono essere letti esclusivamente dai partecipanti autorizzati alla conversazione.
Sono cifrati end-to-end il testo e i vocali dei messaggi privati, delle stanze e degli Eco, e i vocali degli Eventi. Restano in chiaro sul server i dati elencati nella sezione 4, in particolare: titoli degli Eco; titolo, descrizione, luogo, data e messaggio di annullamento degli Eventi; nomi delle stanze; messaggio delle richieste di contatto; soprannomi dei contatti; reazioni; foto del profilo.
I messaggi possono essere impostati per l'auto-distruzione: una volta scaduto il timer configurato dall'utente, vengono eliminati in modo permanente dal database. Il timer di un singolo messaggio parte dalla lettura; il timer generale delle chat viene applicato quando apri i tuoi messaggi.
6. Indirizzi IP
Gli indirizzi IP non vengono salvati in nessuna tabella del database. Il server li usa soltanto nei casi seguenti:
- Contatori anti-abuso, in una memoria temporanea separata dal database: per i tentativi di accesso e per le altre operazioni che verificano la password o le 12 parole, l'indirizzo IP completo resta 15 minuti (dopo 5 errori l'accesso da quell'indirizzo è bloccato per 15 minuti); per le registrazioni resta fino alla mezzanotte (al massimo 3 registrazioni al giorno per indirizzo).
- Registro degli accessi del server web: l'indirizzo IP è scritto con l'ultima parte azzerata e l'indirizzo della pagina senza i parametri.
- Log dell'applicazione: solo per gli eventi di sicurezza (per esempio un accesso fallito, un cambio password, l'eliminazione di un account, una connessione rifiutata) il registro riporta il codice ID dell'account coinvolto e un'impronta dell'indirizzo IP calcolata con una chiave segreta, da cui l'indirizzo non è leggibile; mai la password né il codice di sessione. Le registrazioni di attività ordinaria non arrivano al registro.
- Cloudflare Turnstile, solo alla registrazione (vedi sezione 9).
Il registro degli accessi del server web e i log dell'applicazione sono conservati al massimo 14 giorni e poi cancellati automaticamente. Gli indirizzi IP non vengono utilizzati per finalità di profilazione degli utenti, né comunicati a terzi, salvo quanto descritto per Cloudflare Turnstile.
7. Base giuridica del trattamento
Il trattamento dei dati è fondato sul contratto (art. 6, par. 1, lett. b del GDPR): i dati sono strettamente necessari per l'erogazione del servizio richiesto dall'utente.
8. Conservazione dei dati
I dati vengono conservati per tutta la durata del rapporto contrattuale (ossia finché l'account è attivo).
A seguito dell'eliminazione dell'account, vengono cancellati in modo permanente e irreversibile: i messaggi inviati e ricevuti, i contatti (nodi) associati all'account e le relative impostazioni, oltre all'account stesso.
Fanno eccezione i messaggi inviati dall'utente all'interno di stanze di gruppo ancora attive per altri partecipanti: la chiave di cifratura della stanza è già nota agli altri membri, per cui questi messaggi restano visibili a loro anche dopo l'eliminazione dell'account — lo stesso principio per cui, in qualunque sistema di messaggistica end-to-end, un messaggio già consegnato a un destinatario resta nella sua disponibilità. Vengono comunque sempre rimossi i dati personali dell'utente eliminato collegati alla stanza (appartenenza, stato di lettura, reazioni); se l'utente era l'unico membro rimasto, l'intera stanza viene eliminata.
Che cosa viene cancellato con l'eliminazione dell'account. Oltre a quanto indicato sopra, vengono cancellati subito: le credenziali e il registro del consenso, tutte le chiavi (compresa la copia cifrata dell'identità) e il registro dei cambi di chiave, i messaggi privati inviati e ricevuti con i loro vocali (anche per l'altra persona della conversazione), la foto del profilo, le iscrizioni alle notifiche, gli anelli NFC, gli Eco e gli Eventi che hai creato e la tua partecipazione a quelli degli altri, le chat temporanee, le richieste di contatto a distanza e tutte le sessioni aperte.
Che cosa resta.
- I messaggi che hai scritto nelle stanze che hanno ancora altri membri restano a loro, cifrati e con data e ora; come mittente il server scrive nel database, al posto del tuo codice, il testo fisso «account eliminato». Lo stesso testo sostituisce il tuo codice dove risulti come chi ha inoltrato un Eco o un Evento creato da altri.
- Le righe dei log degli ultimi 14 giorni che riportano il tuo codice, fino alla loro cancellazione automatica.
- Le copie di sicurezza del database fatte prima dell'eliminazione, che contengono ancora i tuoi dati finché esistono.
- Il contatore anonimo degli errori di decifratura e il conteggio degli account eliminati, che non contengono il tuo codice.
9. Comunicazione a terzi
I dati non vengono ceduti, venduti o comunicati a terzi per finalità di marketing, profilazione o analisi. Non utilizziamo servizi di analytics, pubblicità o tracciamento di terze parti.
Per far funzionare il servizio intervengono soltanto i fornitori e i servizi seguenti:
- Hetzner (fornitore del server, in Finlandia): ospita tutti i dati del servizio; i contenuti cifrati end-to-end restano illeggibili anche per il fornitore.
- Cloudflare Turnstile, per la protezione da attività automatizzate, solo nella pagina di registrazione. Lo script di Cloudflare viene caricato nel tuo browser solo quando apri il modulo di registrazione e riceve il tuo indirizzo IP e informazioni tecniche sul browser; per verificare l'esito, il server di Orvhalis invia a Cloudflare il risultato del controllo insieme al tuo indirizzo IP. Cloudflare, Inc. è un'azienda con sede negli Stati Uniti. Informativa privacy: cloudflare.com/turnstile-privacy-policy
- Servizi di notifica dei browser: se attivi le notifiche, queste passano obbligatoriamente dal servizio del produttore del tuo browser o sistema (Google, Apple, Microsoft o Mozilla), che vede l'indirizzo tecnico del dispositivo, l'ora e la dimensione della notifica. Il contenuto è cifrato per il tuo browser ed è sempre un testo generico (per esempio «Hai un nuovo messaggio»), senza contenuti, titoli, nomi o codici, insieme al numero dei messaggi non letti per l'icona dell'app. La notifica compare sullo schermo del dispositivo, anche quando è bloccato.
- E-mail di contatto: l'indirizzo orvhalis@gmail.com è un account Gmail (Google). Le e-mail che invii passano dai server di Google e sono lette solo dal titolare.
- PayPal: il pulsante «Sostieni Orvhalis» nel Profilo è solo un collegamento che apre la pagina di PayPal in una nuova scheda; l'app non trasmette alcun dato a PayPal. Ciò che fai su PayPal è regolato dall'informativa di PayPal; se fai una donazione, il titolare riceve i dati che PayPal comunica al beneficiario (per esempio nome ed e-mail).
I caratteri tipografici sono ospitati sul server di Orvhalis: l'app non contatta altri servizi esterni.
10. Diritti dell'interessato (GDPR)
In conformità al Regolamento UE 2016/679, l'utente ha diritto a:
- Accesso: ottenere conferma che siano o meno in corso trattamenti di dati personali che lo riguardano
- Rettifica: ottenere la correzione di dati inesatti
- Cancellazione ("diritto all'oblio"): ottenere l'eliminazione dei propri dati
- Portabilità: ricevere i propri dati in formato strutturato e leggibile da dispositivo automatico
- Opposizione: opporsi al trattamento in presenza di motivi legittimi
L'utente ha inoltre diritto di proporre reclamo all'Autorità Garante per la Protezione dei Dati Personali (www.garanteprivacy.it).
Per esercitare questi diritti è possibile utilizzare la funzione "Elimina account" disponibile nella sezione Profilo dell'applicazione, oppure contattare il titolare all'indirizzo indicato di seguito.
Oggi l'app non ha una funzione per scaricare i propri dati. Dall'app puoi vedere i tuoi contatti, le impostazioni, la foto, i messaggi, gli Eco, gli Eventi, le stanze e il registro dei cambi di chiave; il registro del consenso e la registrazione delle letture non sono visibili dall'app. Il contenuto dei messaggi è cifrato end-to-end: il server non è in grado di restituirlo in forma leggibile.
11. Contatti per la privacy
Per qualsiasi richiesta relativa al trattamento dei tuoi dati personali:
Federico Seghetto
Via Trieste 2, San Pietro di Morubio (VR)
orvhalis@gmail.com
1. Accettazione dei termini
L'utilizzo di Orvhalis implica la piena accettazione dei presenti Termini di Servizio. Chi non accetta questi termini non è autorizzato a utilizzare il servizio.
2. Età minima
L'utilizzo di Orvhalis è riservato a persone che abbiano raggiunto l'età minima prevista dalla normativa applicabile nel paese dell'utente, e comunque non inferiore a 16 anni. Registrandosi, l'utente dichiara di soddisfare questo requisito. Il titolare si riserva il diritto di sospendere o eliminare gli account per cui risulti che il requisito di età non sia rispettato.
3. Uso lecito del servizio
È espressamente vietato utilizzare Orvhalis per:
- Attività illegali o contrarie alla normativa vigente
- Molestie, minacce, stalking o comportamenti abusivi nei confronti di altri utenti
- Diffusione di contenuti che violino diritti di terzi
- Tentativi di compromettere la sicurezza del servizio o di altri utenti
- Qualsiasi attività che violi le leggi italiane o dell'Unione Europea applicabili
4. Responsabilità per i contenuti
I messaggi scambiati tramite Orvhalis sono cifrati end-to-end: il titolare del servizio non ha accesso tecnico al loro contenuto e non è in grado di moderarli.
L'utente è il solo responsabile dei contenuti che invia e riceve. Il titolare declina ogni responsabilità per i contenuti generati dagli utenti.
5. Custodia della seedphrase
L'utente è il solo responsabile della custodia della propria seedphrase (frase seme). Questo codice di recupero è generato localmente sul dispositivo dell'utente e non è accessibile né recuperabile dal server in alcuna circostanza. La perdita della seedphrase comporta l'impossibilità definitiva di recuperare l'accesso all'account: il titolare non può fornire assistenza in caso di smarrimento.
La seedphrase viene utilizzata esclusivamente per verificare le richieste di recupero dell'account.
6. Servizio in fase beta
Orvhalis è attualmente fornito "così com'è" (as-is), in fase di sviluppo e test (beta). Il servizio potrebbe presentare interruzioni, malfunzionamenti o variazioni di funzionalità senza preavviso. Il titolare non garantisce la continuità del servizio e non è responsabile per eventuali disservizi o perdita di dati.
7. Sospensione e chiusura degli account
Il titolare si riserva il diritto di sospendere o eliminare, in qualsiasi momento e senza obbligo di preavviso, gli account che risultino in violazione dei presenti Termini di Servizio o delle leggi vigenti.
L'utente può eliminare il proprio account in qualsiasi momento tramite la funzione "Elimina account" nella sezione Profilo dell'applicazione. La cancellazione dell'account e dei dati principali ad esso associati è immediata e irreversibile; per il dettaglio di cosa viene rimosso e delle eccezioni attualmente esistenti, vedi la sezione "Conservazione dei dati" della Privacy Policy.
8. Limitazione di responsabilità
Nei limiti consentiti dalla legge, il titolare non è responsabile per danni diretti, indiretti, incidentali o consequenziali derivanti dall'uso o dall'impossibilità di utilizzo del servizio, inclusa la perdita di dati o messaggi.
9. Modifiche ai termini
Il titolare si riserva il diritto di aggiornare i presenti Termini di Servizio. Le modifiche sostanziali saranno comunicate agli utenti con un avviso all'interno dell'applicazione. L'uso continuato del servizio dopo la notifica costituisce accettazione delle modifiche.
10. Legge applicabile e foro competente
I presenti Termini di Servizio sono regolati dalla legge italiana. Per qualsiasi controversia derivante dall'interpretazione o dall'esecuzione dei presenti termini, il foro competente è quello di Verona, salvo diversa disposizione di legge a favore del consumatore.
11. Contatti
Per informazioni o segnalazioni:
Federico Seghetto
orvhalis@gmail.com
12. Dispositivo NFC
Il dispositivo NFC (come l'anello Orvhalis) è di proprietà esclusiva dell'utente. In caso di smarrimento, furto o utilizzo non autorizzato da parte di terzi, Orvhalis declina ogni responsabilità per eventuali conseguenze. L'utente può revocare il token NFC in qualsiasi momento dalla sezione Impostazioni del proprio account, rendendo il dispositivo inutilizzabile per aggiungere nuovi contatti.