Informativa sulla privacy di WWWveilig Authenticator

Ultimo aggiornamento: 3 novembre 2026

Questa è una traduzione dell'informativa sulla privacy in lingua olandese. In caso di differenze tra le due, fa fede la versione olandese.

Chi è il titolare

L'app e l'API su api.wwwveilig.nl sono un servizio di WWWveilig, che fa parte di EVweb BV. EVweb BV è titolare del trattamento dei dati personali effettuato dall'app e dall'API.

EVweb BV / Centerdesk / WWWveilig
Bijlestaal 44M
1721 PW Broek op Langedijk
Paesi Bassi

Domande su questa informativa o sui tuoi dati? Scrivi a privacy@wwwveilig.nl.

Cosa resta solo sul tuo telefono

Le chiavi segrete con cui vengono calcolati i tuoi codici a sei cifre. Sono conservate nell'archivio sicuro del sistema operativo (iOS Keychain, Android Keystore) e vengono usate solo sul dispositivo. La generazione di un codice avviene offline e non invia nulla.
L'indirizzo dell'API a cui appartengono i tuoi account.

L'app non ha un account proprio. Non ci sono nome utente, password né registrazione.

Cosa memorizza l'API

Quando un'applicazione collega il tuo telefono come secondo passaggio, il servizio memorizza:

Un riferimento utente di quell'applicazione: per sapere a quale dei suoi utenti appartiene questo telefono. È l'identificativo proprio di quell'applicazione, non il tuo nome.
Un'etichetta facoltativa (spesso il tuo indirizzo email): per distinguere i tuoi account nell'app. Viene fornita dall'applicazione, non da noi.
Una copia cifrata della chiave segreta: per verificare i codici che inserisci. Conservata in forma cifrata.
Nome, piattaforma e versione dell'app del tuo dispositivo: perché tu possa riconoscere il tuo telefono e noi possiamo fornirti assistenza.
Un token per le notifiche push: per recapitare al tuo telefono le richieste di approvazione.
Per ogni richiesta di accesso: ora, stato, indirizzo IP ed eventuale testo sulla posizione fornito dall'applicazione: per mostrarti da dove proviene una richiesta e come registrazione di sicurezza.

Teniamo un registro di sicurezza di eventi come "codice verificato", "richiesta approvata" e "collegamento revocato", con l'indirizzo IP coinvolto. Le voci del registro di sicurezza vengono cancellate automaticamente dopo 180 giorni.

Richieste di indirizzi che non esistono

Quando qualcosa chiede al servizio un indirizzo che non esiste, rispondiamo con una breve pagina "non consentito" e registriamo la richiesta: l'indirizzo IP da cui è effettivamente arrivata, l'identificazione del browser o del programma, l'indirizzo richiesto e l'ora. È così che ci accorgiamo di scansioni e tentativi ripetuti di sondare il servizio, il che rientra nel nostro legittimo interesse a mantenerlo sicuro (articolo 6, paragrafo 1, lettera f), del GDPR). Queste registrazioni riguardano la richiesta, non un account: non cerchiamo di stabilire chi l'abbia inviata e non le combiniamo con altri dati. Vengono cancellate automaticamente dopo 90 giorni.

Accesso demo per i revisori delle app

Nella prima schermata di un telefono senza account compare Account demo (revisione dell'app). È pensato per i revisori di Google Play e dell'App Store. Ciò che inserisci lì (indirizzo email e password) viene inviato al nostro sito demo m.centerdesk.nl, che accetta solo i propri account di revisione e collega il telefono a uno di essi. Gli utenti normali non hanno bisogno di questa schermata.

Cosa non facciamo

Non vendiamo né affittiamo i tuoi dati.
Non usiamo pubblicità, tracciamento o strumenti di analisi.
Non creiamo profili su di te e non prendiamo decisioni automatizzate che ti riguardano.
Non ti chiediamo nome, indirizzo, numero di telefono o data di nascita.
Non abbiamo accesso agli account che proteggi: solo l'applicazione a cui accedi sa chi sei.

Chi altro è coinvolto

Le notifiche push vengono recapitate tramite il servizio del produttore del sistema operativo: Apple Push Notification service su iOS e Firebase Cloud Messaging su Android e, dove configurato, tramite il relay push di Expo. Questi servizi ricevono il token di notifica e il testo della notifica per poterla recapitare. Non condividiamo nient'altro con terze parti.

Il servizio è ospitato su server nell'Unione europea.

Per quanto tempo conserviamo i dati

Dati del collegamento: finché l'account non viene rimosso dall'app o il gestore dell'applicazione non disattiva la tua verifica in due passaggi.
Richieste di accesso: scadono entro pochi minuti; la registrazione resta parte del registro di sicurezza.
Registro di sicurezza: 180 giorni, poi viene cancellato automaticamente.
Richieste di indirizzi inesistenti: 90 giorni, poi vengono cancellate automaticamente.

I tuoi diritti

In base al GDPR puoi chiedere di accedere ai tuoi dati, di rettificarli o di cancellarli, e puoi opporti al loro trattamento. Il servizio ti conosce solo tramite un identificativo dell'applicazione a cui accedi, quindi di solito la via più rapida sono le impostazioni dell'account di quell'applicazione.

Puoi sempre rimuovere i dati da solo:

Rimuovere un account: nell'app, Impostazioni → l'account → Rimuovi. In questo modo la chiave segreta viene cancellata e il telefono viene scollegato.
Rimuovere tutto: Impostazioni → Reimposta questo telefono.
Richiesta di cancellazione completa: vedi Eliminare i tuoi dati, oppure scrivi a privacy@wwwveilig.nl.

Hai inoltre il diritto di presentare un reclamo all'Autorità olandese per la protezione dei dati (Autoriteit Persoonsgegevens).

Sicurezza

Le chiavi segrete sono conservate in forma cifrata. Ogni codice a sei cifre può essere usato una sola volta. Le richieste di approvazione scadono entro pochi minuti e sono legate a un unico dispositivo. Tutto il traffico usa TLS.

Modifiche

Se questa informativa cambia in modo sostanziale, aggiorniamo la data in cima alla pagina e, se ti riguarda, lo segnaliamo nell'app.