Privacy policy di TraceGraph

Ultimo aggiornamento: 31 ottobre 2026

Chi siamo

TraceGraph è un'app per Windows e Mac. Titolare del trattamento: Davide Padoan, persona fisica, che pubblica l'app con il nome DavPad. Contatto per qualunque richiesta sui dati: support@tracegraph.app.

In breve

• I tuoi dati restano sul tuo computer. Nessun server di TraceGraph riceve le tue email e non serve un account.
• Non vendiamo né condividiamo i tuoi dati. Non li usiamo per pubblicità.
• Non usiamo intelligenza artificiale sul contenuto dei messaggi e l'app non invia email. La versione pubblica non invia statistiche d'uso; solo la versione beta lo fa, e solo se accetti (vedi «Statistiche d'uso nella versione beta»).

Cosa fa l'app

TraceGraph legge la casella di posta che colleghi per mostrarti a quali servizi online hai dato il tuo indirizzo, quali risultano coinvolti in violazioni note, quali ti inviano newsletter e come disiscriverti. Ti aiuta anche a preparare lettere GDPR da spedire tu. Il calcolo avviene sul tuo computer.

Dati degli account Google

Se colleghi un account Gmail, l'app chiede a Google due permessi: https://mail.google.com/ (necessario per leggere la posta via IMAP, non esiste un permesso IMAP più ristretto) e https://www.googleapis.com/auth/userinfo.email (per conoscere l'indirizzo dell'account).

• Come accede. Accedi nel browser di sistema; l'app riceve la risposta di Google su un indirizzo locale del tuo computer (127.0.0.1) solo durante l'accesso. Poi si collega a imap.gmail.com con il token ricevuto.
• Come usa i dati. Solo per le funzioni visibili nell'app: riconoscere i servizi, i tipi di messaggio, i dati di disiscrizione e le anomalie. La posta viene letta in sola lettura; l'app non modifica, sposta o cancella messaggi.
• Come li conserva. Solo sul tuo computer, in un database locale. Il token è cifrato con la cifratura del sistema operativo (su Windows quella legata al tuo utente, su Mac il Portachiavi) prima di essere salvato; se la cifratura non è disponibile non viene salvato.
• Con chi li condivide. Con nessuno. Nessun contenuto delle tue email, e nessun dato ricavato dal loro contenuto, viene inviato a noi o a terzi per analisi, pubblicità o altro. Le uniche uscite sono quelle elencate più sotto. L'unica eccezione riguarda la sola versione beta e solo se accetti: le statistiche d'uso pseudonime descritte più sotto.

La dichiarazione richiesta da Google:

The use of information received from Google Workspace scopes will adhere to the Google User Data Policy, including the Limited Use requirements.

La dichiarazione standard sull'uso limitato:

TraceGraph's use and transfer to any other app of information received from Google APIs will adhere to the Google API Services User Data Policy, including the Limited Use requirements.

In italiano: l'uso delle informazioni ricevute dagli ambiti (scope) di Google rispetterà la Google API Services User Data Policy, compresi i requisiti di Uso limitato (Limited Use). In pratica: usiamo i dati solo per le funzioni dell'app che vedi, non li trasferiamo se non nei casi consentiti da Google, nessuna persona li legge salvo i casi previsti dalla policy, e non li usiamo per pubblicità né per valutare l'affidabilità creditizia. Riferimenti: Google API Services User Data Policy e Gmail API: requisiti sui dati degli utenti.

Cosa viene letto dalle email

Per ogni messaggio l'app legge le intestazioni (mittente, oggetto, data, intestazioni di disiscrizione) e al massimo i primi 128 KB del messaggio, per ricavare un breve estratto e il link di disiscrizione. Non scarica mai più dei primi 128 KB di un messaggio e non salva gli allegati. Non legge altre app né i browser.

La prima scansione legge gli ultimi tre anni della casella; il resto della storia viene letto in sottofondo, un po' alla volta, mentre l'app è aperta. Le stesse regole valgono per i messaggi più vecchi.

Cosa viene salvato e dove

Solo sul tuo computer, in un database SQLite nella cartella dati dell'app. Per ogni messaggio: intestazioni, un estratto di circa 1.500 caratteri (mai il testo completo, nessun allegato) e i dati di disiscrizione trovati. Da questi l'app ricava gli elenchi di servizi, i tipi di messaggio e le categorie di dati personali presenti. Token di accesso, password per app e l'eventuale chiave di Have I Been Pwned sono cifrati con la cifratura del sistema operativo (su Windows quella legata al tuo utente, su Mac il Portachiavi). Le credenziali non raggiungono mai l'interfaccia grafica.

Dati personali trovati nelle email

L'app riconosce, con regole scritte a mano e senza intelligenza artificiale, quali categorie di dati personali compaiono nelle email che ricevi da un servizio (per esempio pagamenti e conti, acquisti, indirizzo e telefono, documenti, dati sanitari, lavoro, account e accessi). Sono categorie trovate nelle tue email: non significa che il servizio possieda quei dati, né che non ne abbia altri. Per ogni messaggio salva solo il nome della categoria, un livello di probabilità e una breve ragione (per esempio «totale d'ordine presente»), per aiutarti a ricostruire la tua impronta digitale dalle tracce nelle tue email.

L'app non copia in un elenco i valori veri e propri: nomi, indirizzi, numeri di telefono, date di nascita, nomi utente, datori di lavoro, città, cifre di carte o numeri di conto. L'estratto del messaggio descritto sopra può comunque contenere dati personali presenti nel testo, come il tuo nome in un saluto. Tutto resta solo sul tuo computer e si cancella rimuovendo il profilo dall'app.

Lettere GDPR

Per un servizio puoi preparare una lettera di accesso ai tuoi dati, di cancellazione, di stop al marketing o un sollecito. L'app scrive il testo e apre una bozza nel tuo programma di posta (Gmail, Outlook sul web o il programma di posta del sistema): la spedisci tu e l'app non invia email. Il destinatario lo scrivi tu: l'app non lo indovina. Se il testo è troppo lungo per il collegamento, la bozza si apre breve e il testo completo viene copiato negli appunti solo dopo il clic su «Apri la bozza». Il pulsante «Cerca la privacy policy» apre nel tuo browser una ricerca su duckduckgo.com con il dominio del servizio, solo quando lo premi.

Per ogni richiesta che segni come inviata l'app salva sul tuo computer soltanto: servizio, tipo (accesso, cancellazione, marketing), lingua, data di invio e stato (in attesa, risposta, proroga, data del sollecito). Non salva il testo della lettera, il destinatario né il nome scritto nella lettera. Questi dati si cancellano con il profilo o con il servizio.

Violazioni dei dati (Have I Been Pwned)

L'app scarica l'elenco pubblico delle violazioni di Have I Been Pwned e lo confronta sul tuo computer: i domini dei tuoi servizi non vengono inviati. Una piccola richiesta controlla se c'è qualcosa di nuovo; l'elenco intero viene scaricato solo se è cambiato o se la copia salvata ha più di 7 giorni. Il tuo indirizzo email viene inviato solo se inserisci una tua chiave facoltativa e avvii il controllo. I dati sulle violazioni sono di Have I Been Pwned, con licenza CC BY 4.0.

Statistiche d'uso nella versione beta

Nella versione beta, solo se lo accetti (la scelta è spenta di default), l'app invia statistiche d'uso pseudonime (conteggi e codici: tipi di email riconosciuti per lingua, durate, codici d'errore, schermate aperte, esiti di azioni) a un database Firebase / Google Cloud gestito dallo sviluppatore. Non vengono inviati contenuti delle email, indirizzi, mittenti, oggetti, nomi o domini di servizi, password o messaggi d'errore. I dati sono associati a un codice casuale generato sul tuo computer, azzerabile in qualsiasi momento. Google, come fornitore dell'infrastruttura, può trattare l'indirizzo IP della connessione nei propri log. Sono legate solo a un codice casuale, senza nome, indirizzo o contenuti delle email: per la legge sono dati pseudonimi, per questo hai su di essi i diritti descritti sotto.

Puoi revocare il consenso in Impostazioni e vedere gli ultimi eventi in chiaro; se rifiuti, l'app funziona allo stesso modo e non invia nulla. Gli eventi già inviati sono conservati per la durata della beta e cancellati entro 30 giorni dalla sua fine. Questa raccolta non è presente nella versione pubblica.

Servizi esterni contattati

Su quale base trattiamo i dati

• Analisi della posta sul tuo computer e funzioni che avvii tu (elenco dei servizi, violazioni, disiscrizioni, lettere GDPR): esecuzione del servizio che hai richiesto installando e usando l'app (art. 6, par. 1, lett. b, GDPR). Questi dati restano sul tuo computer.
• Statistiche d'uso pseudonime della versione beta: il tuo consenso (art. 6, par. 1, lett. a). È spento di default, puoi rifiutarlo e puoi revocarlo in qualsiasi momento in Impostazioni; la revoca non toglie validità a ciò che è stato fatto prima.
• Messaggi che ci scrivi a support@tracegraph.app: rispondere alla tua richiesta (art. 6, par. 1, lett. b).
• Registri tecnici del sito: legittimo interesse a tenere il sito sicuro e funzionante (art. 6, par. 1, lett. f). Non li usiamo per profilarti. Puoi opporti scrivendoci.

Destinatari e responsabili del trattamento

• Google (Firebase / Google Cloud): riceve le statistiche d'uso pseudonime della sola versione beta, se le hai accettate. Agisce come responsabile del trattamento per nostro conto, secondo le condizioni di trattamento dei dati di Firebase.
• Cloudflare: ospita questo sito e inoltra i messaggi inviati a support@tracegraph.app alla casella di posta del titolare (che è un account Gmail, quindi anche Google tratta quei messaggi come fornitore della casella).
• Have I Been Pwned: riceve il tuo indirizzo email solo se inserisci la tua chiave facoltativa e avvii il controllo; in quel caso lo tratta secondo la propria informativa (haveibeenpwned.com/Privacy).
• Google, Microsoft e il tuo provider di posta: sono i fornitori delle caselle che colleghi tu; l'app si collega direttamente a loro dal tuo computer.
• Non ci sono altri destinatari. Non vendiamo i dati e non li diamo a società di pubblicità o di analisi.

Trasferimenti fuori dallo Spazio economico europeo

Google / Firebase. Google dichiara di aderire all'EU-U.S. Data Privacy Framework; se questo non fosse disponibile si applicano le clausole contrattuali tipo (condizioni di trattamento dei dati di Firebase, privacy e sicurezza in Firebase). Il database delle statistiche è in una regione dell'Unione europea (località eur3); il servizio di accesso anonimo di Firebase (Authentication) elabora i dati solo negli Stati Uniti e, secondo Google, registra gli indirizzi IP per qualche settimana.

Cloudflare. Cloudflare conserva i dati soprattutto negli Stati Uniti e nello Spazio economico europeo e per i trasferimenti verso gli Stati Uniti si basa sull'EU-U.S. Data Privacy Framework, con le clausole contrattuali tipo come alternativa (informativa di Cloudflare, accordo sul trattamento dei dati).

Have I Been Pwned e i tuoi provider di posta. Sono servizi che scegli e contatti tu dal tuo computer; i trasferimenti dei dati che ricevono dipendono dalle loro condizioni, non da noi.

Vendita e condivisione

Non vendiamo i tuoi dati e non li condividiamo con terzi. Non c'è pubblicità e non ci sono tracciamenti. Analisi di utilizzo: nessuna nella versione pubblica; nella sola versione beta, solo con il tuo consenso, le statistiche d'uso pseudonime descritte sopra.

Conservazione, rimozione e disinstallazione

I dati sul tuo computer restano finché non li rimuovi. Se rimuovi un profilo dall'app, i dati di quel profilo vengono cancellati dal database e, per Google, l'accesso viene revocato. Il reset completo (Impostazioni) cancella dal database profili con credenziali, account, email analizzate, dati rilevati, cronologia delle disiscrizioni, richieste GDPR e punteggi; non ritira l'autorizzazione presso Google (la rimozione di un profilo sì). Per Microsoft e per le password per app l'accesso si revoca dal tuo account o cambiando la password per app. Secondo la documentazione Microsoft, quando disinstalli la versione per Windows dello Store i file dell'app vengono rimossi insieme all'app. Per il Mac, la procedura sarà descritta quando la versione uscirà. Se vuoi togliere anche l'autorizzazione a Google, rimuovi prima il profilo dall'app: un'app disinstallata non può più farlo. L'autorizzazione a Microsoft si toglie dal tuo account Microsoft (account.microsoft.com, sezione privacy / app con accesso).

Le statistiche della beta si conservano per la durata della beta e si cancellano entro 30 giorni dalla fine. I messaggi che ci scrivi si conservano per il tempo necessario a rispondere e a gestire la tua richiesta.

Come revocare l'accesso Google

Rimuovi il profilo dall'app, oppure apri la pagina dei permessi del tuo account Google (myaccount.google.com/permissions), scegli TraceGraph e seleziona "Rimuovi accesso".

Questo sito

Il sito non usa cookie, non misura le visite, non include tracciamenti e non carica font, script o immagini da altri siti. È ospitato da Cloudflare, che per far funzionare e proteggere il sito tratta dati tecnici di accesso (come l'indirizzo IP, la pagina richiesta, data e ora, il programma di navigazione). L'informativa di Cloudflare non indica un periodo fisso di conservazione di questi registri: dice che dipende dallo scopo, dalla natura dei dati e dagli obblighi di legge (cloudflare.com/privacypolicy). Noi non li usiamo per altri scopi.

Decisioni automatizzate

Non prendiamo decisioni basate unicamente su un trattamento automatizzato che producano effetti giuridici su di te o che incidano in modo analogo sulla tua persona. Il riconoscimento dei servizi e dei tipi di messaggio, fatto sul tuo computer con regole scritte a mano, serve solo a mostrarti informazioni: le scelte (per esempio disiscriverti) le fai tu.

Età minima

L'app è pensata per persone con almeno 14 anni. In Italia il consenso al trattamento dei dati per i servizi online può essere dato da sé a partire dai 14 anni (art. 2-quinquies del Codice privacy); sotto i 14 anni serve chi esercita la responsabilità genitoriale. Se hai meno di 14 anni, usa l'app solo con un genitore o un tutore, e non attivare le statistiche della beta senza di loro.

I tuoi diritti

Hai il diritto di:

• accedere ai tuoi dati e averne copia;
• farli rettificare se sono inesatti;
• farli cancellare;
• chiedere la limitazione del trattamento;
• ricevere i dati che ci hai fornito in un formato strutturato (portabilità), quando il trattamento si basa sul contratto o sul consenso;
• opporti al trattamento basato sul legittimo interesse;
• revocare in qualsiasi momento il consenso alle statistiche della beta, in Impostazioni.

Poiché i dati restano sul tuo computer e non li riceviamo (salvo le statistiche d'uso pseudonime della sola versione beta, se le hai accettate), puoi consultarli e cancellarli direttamente dall'app. Per qualunque altra richiesta scrivi a support@tracegraph.app: rispondiamo senza ritardo e comunque entro un mese. Le statistiche della beta sono legate a un codice casuale e non al tuo nome: per esercitare i diritti su di esse può servirci quel codice, che trovi in Impostazioni. Hai inoltre il diritto di presentare reclamo all'autorità per la protezione dei dati: in Italia il Garante per la protezione dei dati personali; nel resto dell'Unione, l'autorità del tuo paese.

Modifiche

Se questa policy cambia, aggiorneremo la data in cima alla pagina.