Le precauzioni che abbiamo preso,una per una.
Questa non è una dichiarazione d'intenti: è l'elenco di cosa c'è già dentro al programma, come è fatto e perché l'abbiamo fatto così. In fondo c'è la parte che di solito non si scrive — quello che ancora non facciamo.
Non hai una password, quindi non possiamo perderla
Su Dumpbox non esiste un campo password. Si entra con Google, con Apple, o con un codice che arriva alla tua email: tre strade che finiscono tutte in una sessione firmata, e nessuna delle tre ci fa passare per le mani una tua parola segreta.
Non è una scorciatoia. Un archivio di password è la cosa più preziosa che un sito piccolo possa custodire ed è anche quella che sa custodire peggio: se non ce l'abbiamo, non c'è niente da rubare, niente che tu abbia riusato altrove, niente da cambiare di corsa il giorno di una brutta notizia.
L'unica password che esiste nel prodotto è quella facoltativa che puoi mettere su un link condiviso. Di quella sul server non resta il testo, resta un'impronta con del sale davanti, e il confronto avviene sul server: il valore non arriva mai al browser di chi prova a entrare.
- Nessuna password d'accesso: né salvata, né trasmessa, né da recuperare.
- Sessione in un cookie httpOnly di quattordici giorni: nessuno script può leggerlo, nemmeno il nostro.
- Tutto il sito solo in HTTPS, con l'obbligo dichiarato al browser per un anno.
I dati che non abbiamo
Cosa raccogliamo sta per intero nell'informativa e ci sta in poche righe: email, nome, username, le foto che carichi. Ma la lista che conta davvero è quella opposta.
Non ti chiediamo il numero di telefono per iscriverti. Non leggiamo la tua rubrica. Non sappiamo dove sei mentre usi il sito. Non compriamo dati su di te da nessuno, e non vendiamo i tuoi a nessuno.
La fotocamera e il microfono non possiamo nemmeno chiedertele: le spegniamo a livello di browser con un'intestazione che parte su ogni singola risposta del sito. Non è una promessa che ti chiediamo di credere, è una riga che puoi leggere tu stesso negli strumenti per sviluppatori del tuo browser.
- Permissions-Policy: camera=(), microphone=(), payment=() — su ogni pagina.
- Nessun altro sito può incorniciare Dumpbox dentro di sé: le pagine rifiutano di stare in un frame.
- I link che sono già di per sé una chiave partono con no-referrer: quell'indirizzo non esce verso nessuno, nemmeno come provenienza di un carattere tipografico.
La posizione di una foto non è mai un indirizzo
Le foto scattate col telefono si portano spesso dentro un GPS preciso a pochi metri. Su un contenuto pubblico quel numero non è «un luogo»: è casa di qualcuno.
Quando leggiamo la data dello scatto, il blocco GPS è disattivato apposta. L'unica funzione che lo legge lo arrotonda a due decimali — circa un chilometro — prima ancora di restituirlo: il punto esatto non esiste in nessun momento dentro il programma, nemmeno per un istante e nemmeno in memoria. Poi te lo mostriamo come suggerimento, e finisce nella galleria soltanto se lo confermi tu.
Lo stesso arrotondamento viene rifatto sul server, sul valore che arriva. Sul livello di precisione non ci fidiamo del browser — nemmeno del nostro.
- Due decimali: circa 1,1 km. Bastano a spargere i punti su una mappa, non bastano a trovare una porta.
Quello che carica un ospite non lo vede nessuno finché non lo approvi
Chi inquadra il QR carica senza account, dal browser, senza installare niente. Il file finisce in un'area d'attesa dove si può scrivere ma non leggere: né lo stesso ospite, né un altro ospite, né chi indovinasse l'indirizzo esatto del file. Le foto compaiono quando chi possiede la galleria le approva.
In ingresso guardiamo i byte veri del file, non il nome e non quello che dichiara il browser. I formati ammessi sono una lista chiusa, e le immagini che possono contenere codice eseguibile non ci sono dentro.
Un link di contribuzione non è per sempre: puoi proteggerlo con una password, dargli una scadenza, o smettere di accettare caricamenti. E quando elimini l'account, tutti i tuoi link e i tuoi QR smettono di funzionare nello stesso istante.
- Le contribuzioni degli ospiti sono in sola scrittura: chi carica non può rileggere nemmeno il proprio file.
- Le regole che controllano chi legge cosa vivono sul server, non nella pagina: cambiare il browser non cambia i permessi.
Se dici di no, restiamo a contare
Prima della tua scelta non parte una sola richiesta: non sono «meno dati», sono zero — e non lo diciamo a memoria, è stato verificato sul sito vero, con un browser pulito, guardando il traffico di rete. Quello che cambia è cosa succede dopo, e le due strade sono diverse davvero.
Se dici di sì, gli strumenti sono quattro e la cookie policy li elenca uno per uno. Se dici di no, resta il conteggio e basta: nessun cookie scritto o letto, nessun identificatore, gli annunci non vengono personalizzati, e a ogni evento viene tolto tutto tranne il nome. Parte «qualcuno si è iscritto», mai chi — e non è una cautela di principio: senza quella sottrazione partirebbero il tuo nome utente e perfino quello di altre persone.
Non ti diciamo che è «totalmente anonimo», perché una riga onesta vale più di una rassicurante: per contare, una richiesta a Google parte, e come ogni richiesta sul web porta con sé il tuo indirizzo IP e il browser che usi. Quello non possiamo farlo sparire. Quello che possiamo fare, e facciamo, è non attaccarci nient'altro.
Il banner non ti accoglie in faccia: aspetta che tu abbia visto cos'è Dumpbox, così chi passa e se ne va non lo vede mai. I due bottoni hanno la stessa larghezza esatta, perché rifiutare non può costare più che accettare, e «Ignora» è definitivo: non torna a chiedertelo la volta dopo.
La scelta si cambia quando vuoi dalla cookie policy, e la revoca vale nell'istante in cui la fai — non dal prossimo caricamento della pagina.
- Prima della tua scelta: zero richieste a servizi terzi, né misura né pubblicità.
- Se rifiuti: nessun cookie, nessun identificatore, e di ogni evento parte il solo nome.
- Il consenso si revoca dalla stessa pagina in cui si legge cosa fa ciascuno strumento.
Quando c'è l'intelligenza artificiale, lo diciamo
Sul sito ci sono immagini generate, e sono una cosa sola: le copertine di una parte delle gallerie pubblicate dal nostro account ufficiale, quelle che riempiono le pagine pubbliche finché non ci sono abbastanza foto vere. Non sono fotografie di una serata: sono illustrazioni. La regola che le governa non è «niente volti», è nessuna somiglianza a una persona reale — un volto inventato che ride va bene, il primo piano di chi sta su un palco no.
Sulle tue foto, invece, non passa nessun modello. Non le usiamo per addestrare niente e non le usiamo per la nostra pubblicità: la licenza che ci dai nei Termini copre ospitarle e mostrarle a chi decidi tu, e finisce lì.
Nemmeno l'immagine per le storie è generata. È la tua foto ricomposta con del testo su una tela disegnata dentro il tuo browser, sul tuo dispositivo: per farla non esce niente verso nessun terzo.
- Le immagini generate stanno solo sulle gallerie del nostro account ufficiale, mai sulle tue.
- Nessun contenuto caricato dalle persone viene usato per addestrare modelli, nostri o di altri.
Se qualcosa va storto, c'è una coda e c'è un'ora
Ogni foto, commento, galleria o profilo si segnala da dentro la pagina in due tocchi, scegliendo fra nove motivi. Chi ha pubblicato non vede chi ha segnalato, mai — e chi segnala non deve scrivere a nessun indirizzo per farlo.
La promessa scritta è che una persona guardi entro ventiquattro ore. Non è uno slogan appeso: è un solo numero dentro il codice, e serve a due cose insieme — a disegnare il tempo che vedi e a ordinare la coda, con le segnalazioni scadute in cima. Così una in ritardo non può nascondersi in fondo alla lista.
E andarsene è veloce quanto entrare: l'account si elimina da solo dalle Impostazioni, subito, e porta via con sé gallerie, foto, video, commenti e link. Non c'è un periodo di ripensamento, e lo diciamo prima invece di scoprirlo dopo.
- Nove motivi di segnalazione, dal copyright all'autolesionismo, senza dover scrivere una email.
- Ventiquattro ore è la finestra dell'impegno, ed è lo stesso numero che ordina la coda di chi modera.
Quello che ancora non facciamo
Non mettiamo un'etichetta accanto a ogni immagine generata. La dichiarazione è questa pagina e i Termini, non una scritta sotto la foto — ed è una scelta, non una dimenticanza: quelle immagini stanno solo sulle gallerie del nostro account, non ritraggono nessuna persona reale e non vengono mai spacciate per la fotografia di una serata avvenuta davvero. Il giorno in cui l'AI arrivasse dove stanno le foto delle persone, quella scritta diventerebbe obbligatoria — e prima ancora cambierebbe questa riga.
Non guardiamo le foto prima che vengano caricate. Non c'è nessun filtro automatico che decide al posto tuo, e questo ha due facce: nessuno legge i tuoi contenuti per sport, ma un contenuto sbagliato viene tolto dopo una segnalazione, non prima.
Non c'è ancora una revisione di sicurezza fatta da qualcuno che non siamo noi. Dumpbox è una ditta individuale, in beta: l'infrastruttura è di Google e Cloudflare, il codice è nostro e per ora lo rivediamo noi. Il giorno in cui cambierà, cambierà anche questa riga.
Se trovi un problema, scrivi a privacy@dumpbox.ai. Risponde una persona, non un modulo.