Informativa sulla privacy — Eye

Bozza da far rivedere da un professionista. Ultimo aggiornamento: 21 ottobre 2026. Versione 0.7 (link accorciati, parte fissa dell'analisi, e elenco siti malevoli; età del sito e VirusTotal, facoltativi; Protezione automatica delle notifiche, analisi salvate, aggiornamento regole e campagne; app app.eye.android).

1. Chi siamo

Titolare del trattamento: Salvatore Garasto, persona fisica. Contatto privacy: [email protected]. Non è stato designato un Responsabile della protezione dei dati (DPO).

2. In breve

Eye controlla SMS, link, QR code, screenshot e, se lo attivi tu, le notifiche delle app di messaggi che scegli. Tutti i controlli avvengono sul tuo telefono. Non richiede account. Noi (il titolare) non riceviamo mai il contenuto che controlli: Eye non ha un server applicativo e non usa pubblicità né strumenti di analisi o tracciamento.

Eye si collega a Internet solo per:

• scaricare gli aggiornamenti delle regole e del catalogo delle campagne di truffa (file pubblici e firmati, §7): non invia nulla di tuo, ma il fornitore di hosting vede l'indirizzo IP del telefono;
• l'espansione dei link accorciati (§7 ter), parte fissa dell'analisi e sempre attiva: chiede al servizio di accorciamento (ad esempio bit.ly) dove porta il link, senza mai aprire il sito finale;
• il controllo dell'età del sito (§7 bis), disattivato per default e attivabile in Impostazioni, con l'app aperta: invia solo il nome del dominio al registro del dominio;
• il Secondo parere AI (§8), funzione facoltativa e spenta per default, con una tua chiave API e solo quando tocchi il pulsante.

3. Quali dati, perché e per quanto tempo

Cronologia e analisi salvate sono escluse da backup cloud e trasferimento tra dispositivi. Nel dettaglio numeri, link ed email sono nascosti finché non tocchi «Mostra dati sensibili». Chi usa il tuo telefono sbloccato può vedere cronologia e analisi salvate: se non vuoi, disattiva la cronologia e cancella le analisi salvate. I messaggi controllati possono contenere dati di altre persone (es. il mittente): salva solo ciò che ti serve.

Per default la scheda condivisibile non contiene il messaggio: puoi includerlo con l'apposito interruttore, e anche in quel caso link e numeri sono nascosti. «Manda a un familiare» invia solo esito e motivi, mai il messaggio. «Copia report» copia negli appunti esito, motivi, domini e l'anteprima con link e numeri nascosti.

Non raccogliamo nome, email, telefono, posizione, contatti né identificativo pubblicitario. Non prendiamo decisioni automatizzate con effetti giuridici su di te: il verdetto (e il parere AI) è un aiuto alla tua decisione.

4. Permessi

• Accesso alle notifiche (facoltativo): solo se attivi la Protezione automatica (§5), dopo una schermata che spiega cosa fa. Lo revochi in ogni momento.
• Notifiche (Android 13 e successivi, facoltativo): per mostrarti gli avvisi della Protezione automatica.
• Fotocamera (facoltativa): chiesta solo quando tocchi «Scansiona QR», serve solo a leggere il QR mentre la schermata è aperta. Le immagini sono elaborate sul telefono, non vengono salvate né inviate. In alternativa puoi scegliere un'immagine con il selettore di sistema: Eye vede solo l'immagine che scegli.
• Internet: per gli aggiornamenti di regole e campagne (§7) e il Secondo parere AI (§8). I link al sito del progetto si aprono nel browser.
• Avvio, rete e attività in background (permessi automatici): solo per ripianificare gli aggiornamenti dopo il riavvio e scaricarli quando c'è connessione.
• Visibilità di alcune app di messaggi (elenco fisso: Messaggi, Samsung Messages, WhatsApp, Telegram, Signal, Gmail, Outlook, Messenger): solo per mostrarti quelle installate tra cui scegliere. Eye non vede l'elenco completo delle tue app.
• Eye non chiede permessi per SMS, chiamate, contatti, accessibilità, posizione o memoria.

5. Protezione automatica delle notifiche (facoltativa, gratuita)

• Come funziona. È spenta per default. Se la attivi da Impostazioni, Eye ti mostra prima una spiegazione; poi Android ti chiede di concedere l'«accesso alle notifiche». Eye controlla solo le notifiche delle app di messaggi che scegli tu (puoi escluderne alcune) e, se una sembra una truffa, ti mostra un avviso che non contiene il testo del messaggio.
• Cosa legge. Titolo e testo delle notifiche di quelle app (es. nome del mittente e messaggio). Android consegna a Eye anche le notifiche delle altre app: Eye le ignora senza analizzarle né conservarle. Dalla versione 15 Android nasconde alle app i codici di verifica (OTP) contenuti nelle notifiche.
• Dove avviene. Interamente sul tuo telefono, con le stesse regole dei controlli manuali. Il testo non viene salvato su disco né inviato a noi o a terzi. Se tocchi l'avviso, il messaggio si apre in Eye e viene salvato in cronologia solo se la cronologia è attiva. Eye non risponde, non apre link e non cancella messaggi.
• Revoca. Puoi disattivarla dall'interruttore in Impostazioni e togliere l'accesso in qualsiasi momento dalle impostazioni di Android («Accesso alle notifiche»).

6. Librerie Google (ML Kit)

La lettura dei QR usa la libreria open source ZXing, interamente sul telefono. La lettura del testo negli screenshot usa Google ML Kit, inclusa nell'app, che funziona sul dispositivo: immagini e testo letto non vengono inviati a Google né a noi. Abbiamo disattivato nell'app il componente con cui queste librerie invierebbero a Google dati tecnici di diagnostica. Poiché non possiamo garantire il comportamento interno di librerie di terzi, per prudenza consideriamo comunque possibile l'invio a Google di dati tecnici di diagnostica (informazioni sul dispositivo e sull'app, un identificativo per la diagnostica, prestazioni e codici di errore), come descritto da Google: https://developers.google.com/ml-kit/android-data-disclosure. Il testo e le immagini che analizzi non vengono mai inviati.

Modello di intelligenza artificiale sul telefono. Per riconoscere meglio le truffe, Eye usa anche un piccolo modello di classificazione del testo (MiniLM multilingue) incluso nell'app: analizza il testo solo sul tuo dispositivo, senza connessione, e non invia nulla a noi né ad altri. Non è collegato al «Secondo parere AI» facoltativo descritto al §8, che invece usa un servizio esterno con la tua chiave.

Gemini Nano sul telefono. Sui telefoni compatibili, quando l'app è aperta, Eye chiede un secondo parere a Gemini Nano, il modello di Google già presente nel sistema Android (AICore). L'elaborazione avviene solo sul dispositivo: il testo analizzato non viene inviato a Google né a noi. Il parere viene salvato cifrato nella cronologia come il resto dell'analisi. Il modello è scaricato e aggiornato da Android, non da Eye.

Aggiornamenti dell'app. Eye chiede a Google Play, tramite la libreria ufficiale per gli aggiornamenti in-app, se è disponibile una nuova versione e, se lo scegli, la scarica tramite Play. Non inviamo nulla a nostri server.

Eccezioni personali. Se segni un verdetto come «falso positivo» o «falso negativo», Eye salva solo sul tuo telefono e cifrata un'impronta del messaggio (app di provenienza, mittente, modello del testo senza date e numeri, siti dei link) e una breve anteprima oscurata, per riconoscere i messaggi simili. Nulla viene inviato. Puoi eliminarle quando vuoi da Impostazioni › Eccezioni o con «Cancella dati».

7. Aggiornamento delle regole e del catalogo campagne

Eye scarica periodicamente da https://eye-security.netlify.app/data/ le regole di rilevamento, un elenco pubblico di siti di truffa e malware già noti (che Eye consulta poi sul telefono, anche senza rete: nessun tuo link viene inviato per questo controllo) e il catalogo delle campagne di truffa in corso (e, se attivi gli avvisi automatici, in automatico, per avvisarti sulle nuove campagne). Sono file pubblici, uguali per tutti e firmati digitalmente: la richiesta non contiene identificativi, cookie né dati tuoi, e non ci dice chi sei né cosa controlli. Come per ogni connessione Internet, il fornitore di hosting Netlify, Inc. (USA), che agisce per nostro conto come responsabile del trattamento (art. 28), riceve l'indirizzo IP e dati tecnici della richiesta e li conserva nei propri log per il periodo previsto dalla politica di Netlify (consulta la sua informativa privacy). Il fornitore può trattarli fuori dallo Spazio economico europeo con le garanzie previste dal GDPR (ad esempio il Data Privacy Framework UE-USA, se il fornitore vi aderisce, o le clausole contrattuali tipo). I link alle fonti ufficiali del catalogo si aprono nel browser solo se li tocchi.

7 ter. Link accorciati

Parte fissa dell'analisi, sempre attiva (non c'è un interruttore). Un link accorciato (ad esempio «bit.ly/abc») nasconde il sito vero. Per valutarlo, Eye chiede al servizio che lo ha creato l'indirizzo finale, con una richiesta HTTPS di sola intestazione (nessuna pagina viene caricata) e senza seguire il reindirizzamento: Eye non contatta mai il sito finale né altri siti. Succede sia con l'app aperta (incolla, condividi, QR, screenshot) sia, se hai attivato la Protezione automatica, per i link nelle notifiche delle app che hai scelto. Al servizio di accorciamento arrivano il link accorciato (che lo identifica), l'indirizzo IP del telefono e un identificativo generico dell'app, senza cookie né altri dati tuoi; il servizio può contare la richiesta come un clic sul link e tratta i dati secondo le proprie regole. Per ogni messaggio sono controllati al massimo tre link, con un limite di circa quattro secondi. L'indirizzo finale ricevuto resta in memoria 24 ore (non su disco) e viene usato solo per analizzare il messaggio e, con l'app aperta, per il controllo dell'età (§7 bis); Eye non registra gli indirizzi. Si invia solo il link accorciato al servizio di accorciamento che lo ha creato, mai il sito finale; la base giuridica è l'esecuzione del servizio che hai richiesto (art. 6.1.b): senza questo passaggio Eye non potrebbe valutare dove porta il link. Se non vuoi che questo avvenga, non sottoporre a Eye messaggi con link accorciati o non attivare la Protezione automatica.

7 bis. Età del sito e pulsante VirusTotal

Età del sito (disattivata per default, attivabile in Impostazioni › «Controllo dell'età dei siti»). Solo se l'impostazione è attivata, quando guardi il risultato di un controllo con l'app aperta, per i siti trovati nel messaggio (al massimo tre, esclusi i siti molto noti e i servizi che accorciano i link) Eye chiede la data di registrazione del dominio, tramite il protocollo pubblico RDAP, direttamente al registro competente per quel dominio (l'elenco dei registri è il file pubblico dell'IANA, https://data.iana.org/rdap/dns.json, scaricato e tenuto sul telefono per 30 giorni; non usiamo servizi intermediari). Viene inviato solo il nome del dominio (ad esempio «esempio.com»): mai il messaggio, il link completo, numeri o altri tuoi dati. Come in ogni connessione Internet, il registro e l'IANA vedono l'indirizzo IP del telefono e trattano i dati secondo le proprie regole. Non avviene mai in background né dalla Protezione automatica. Un sito registrato da poco è un segnale di rischio; un sito vecchio non è una garanzia di sicurezza. La data trovata resta sul telefono in una cache (7 giorni, solo nome del dominio e data, esclusa dai backup) e, se la cronologia è attiva, con l'analisi salvata (cifrata). «Cancella dati» elimina la cache.

Apri su VirusTotal. Se un messaggio contiene un sito, compare il pulsante «Apri su VirusTotal». Eye non invia nulla a VirusTotal: solo se tocchi il pulsante (dopo un avviso) apre nel tuo browser la pagina di VirusTotal dedicata al nome del dominio (mai il link completo, che può contenere codici personali). Da quel momento valgono le regole sulla privacy di VirusTotal (Google): https://policies.google.com/privacy.

8. Secondo parere AI (facoltativo)

• Come funziona. Lo attivi tu in Impostazioni scegliendo un servizio (Anthropic, Google Gemini, OpenAI o un servizio «OpenAI-compatibile» indicato da te) e inserendo una tua chiave API. L'invio parte solo quando tocchi «Chiedi un secondo parere all'AI»; prima del primo invio a un servizio Eye ti dice cosa verrà inviato e a chi e ti chiede conferma. Non parte mai dalla Protezione automatica.
• Cosa viene inviato. Il testo del messaggio e le istruzioni per l'analisi, insieme alla tua chiave. Per default, prima dell'invio Eye nasconde telefoni, IBAN, email, codici fiscali e numeri di 4 o più cifre (es. codici OTP); i link restano visibili perché servono all'analisi. Nomi, indirizzi e altri dati scritti in parole non vengono nascosti. Puoi scegliere di inviare il testo non oscurato (sconsigliato). Il messaggio può contenere dati di altre persone (es. il mittente): invialo solo se ti serve.
• Chi riceve i dati. Solo il servizio che hai scelto, che li tratta secondo il contratto e l'informativa del tuo account presso di lui (ad esempio per quanto tempo li conserva e se li usa per migliorare i propri modelli: alcuni servizi, soprattutto gratuiti, lo fanno). Noi non riceviamo né il testo, né la risposta, né la tua chiave. Il costo delle richieste è a carico del tuo account.
• Trasferimento fuori dall'UE. Anthropic, Google e OpenAI hanno sede negli Stati Uniti e possono trattare i dati negli USA o in altri paesi fuori dallo Spazio economico europeo, con le garanzie indicate nelle loro condizioni (es. EU-US Data Privacy Framework o clausole contrattuali tipo). Per un servizio «OpenAI-compatibile» la destinazione è l'indirizzo che inserisci tu: verificane le condizioni.
• Tua scelta, revocabile. L'invio avviene solo su tua richiesta e dopo la tua conferma; puoi revocarla in ogni momento in Impostazioni («Revoca il consenso all'invio» o «Rimuovi chiave») oppure con «Cancella dati». Il parere AI non viene salvato e non cambia il verdetto di Eye; può sbagliare.
• Condizioni dei servizi: Anthropic https://www.anthropic.com/legal/privacy · Google https://ai.google.dev/gemini-api/terms · OpenAI https://openai.com/policies/privacy-policy.

9. Donazioni volontarie

Eye è completamente gratuita e open source: non ci sono acquisti, abbonamenti né funzioni a pagamento, e l'app non contiene sistemi di pagamento. Sul sito web (non nell'app) puoi, se vuoi, fare una donazione volontaria tramite la piattaforma esterna Ko-fi. Le donazioni non sbloccano nulla. Pagamenti, ricevute e dati personali sono gestiti dalla piattaforma scelta, titolare autonomo del trattamento secondo la propria informativa (Ko-fi: https://more.ko-fi.com/privacy). Noi non vediamo né conserviamo i tuoi dati di pagamento; possiamo ricevere dalla piattaforma i dati minimi della donazione (ad esempio nome e importo) per ringraziarti. Il sito non usa cookie né strumenti di analisi.

10. Con chi condividiamo i dati

Non riceviamo alcun contenuto dall'app. Il fornitore di hosting dei file pubblici (§7, responsabile del trattamento) e le piattaforme di donazione (§9, titolari autonomi) trattano i dati tecnici indicati; i registri dei domini e l'IANA (§7 bis) ricevono il nome del dominio e l'indirizzo IP quando il controllo dell'età è attivo; i servizi di accorciamento dei link (§7 ter) ricevono il link accorciato e l'indirizzo IP quando il messaggio controllato ne contiene. Se condividi un verdetto, una scheda o un report, segnali un verdetto sbagliato o chiedi un parere AI, lo fai tu verso l'app o il servizio che scegli, e quel trattamento segue le regole di quell'app o servizio. I link ai canali ufficiali (Polizia Postale, CERT-AgID) si aprono nel tuo browser solo dopo una tua conferma.

11. «Il verdetto è sbagliato?» e segnalazione del parere AI

Con «Il verdetto è sbagliato?» → «Invia segnalazione», Eye prepara un'email indirizzata a noi con il testo completo del messaggio controllato, l'esito, i motivi, i domini trovati, la versione dell'app e delle regole. L'email si apre nella tua app di posta: la vedi e puoi modificarla prima di inviarla (ti consigliamo di togliere nomi, numeri, indirizzi e codici), e parte solo se la invii tu. Eye non invia nulla in automatico. Se la invii a noi a [email protected], lo trattiamo per migliorare il rilevamento (base: tuo consenso, art. 6.1.a, revocabile) e lo conserviamo per 12 mesi, poi lo cancelliamo o anonimizziamo.

12. I tuoi diritti

Puoi chiedere accesso, rettifica, cancellazione, limitazione, opposizione (in particolare al trattamento basato sul legittimo interesse, §7) e portabilità (artt. 15-22 GDPR) e revocare il consenso in ogni momento, scrivendo a [email protected]. Rispondiamo entro un mese. Puoi proporre reclamo al Garante per la protezione dei dati personali (www.garanteprivacy.it). Poiché i dati restano sul tuo dispositivo, li gestisci direttamente: Impostazioni › «Cancella cronologia ora», «Cancella dati», «Salva la cronologia», interruttore «Protezione automatica», «Rimuovi chiave», segnalibro delle analisi salvate, oppure disinstallazione. Noi non possiamo identificarti dall'indirizzo IP dei log di hosting. Per i dati inviati a un servizio AI rivolgiti a quel servizio; per le donazioni, alla piattaforma usata.

13. Minori

L'app è pensata per adulti e non è rivolta ai minori.

14. Sicurezza

Regole e catalogo campagne firmati digitalmente e verificati sul telefono prima dell'uso, scaricati solo in HTTPS. I link dei QR e delle notifiche non vengono mai aperti automaticamente. Testo completo e verdetto di cronologia e analisi salvate cifrati con chiave del Keystore di Android; dati locali esclusi da backup cloud e trasferimento tra dispositivi. Gli avvisi della Protezione automatica non mostrano il testo del messaggio. Chiave API cifrata con il Keystore e mai scritta nei log. Invio AI solo su HTTPS, senza seguire reindirizzamenti.

15. Limiti del servizio e marchi

Eye non garantisce di riconoscere ogni truffa e può sbagliare: il verdetto è un aiuto e non sostituisce il tuo giudizio né il parere di banca, enti o forze dell'ordine. «Nessun segnale» non significa «sicuro», e l'assenza di un avviso della Protezione automatica non significa che un messaggio sia sicuro. Anche il parere AI può sbagliare e non è una garanzia. Marchi e nomi citati (es. Poste, INPS, Agenzia delle Entrate, SPID, WhatsApp, Telegram, Signal, Gmail, Outlook, Messenger, Samsung, Google, Gemini, Anthropic, OpenAI, Netlify) appartengono ai rispettivi titolari, sono usati solo a scopo descrittivo e non indicano alcun legame con Eye.

16. Modifiche

Pubblicheremo qui ogni modifica e ti avviseremo in app se rilevante.