Root Questa pagina riguarda il check di superficie su questo sito e il ricontatto commerciale che può seguirlo. Non riguarda il resto del sito Root92.
Due punti prima dei dettagli, perché rispondono alle domande che ci fanno più spesso.
- Se fai solo il check e non compili il form, non ti teniamo come contatto: nessuna email, nessun contatto commerciale, e nessuno ti contatterà per questo. Una riga però resta — quale dominio è stato controllato, quando, da che IP e con che browser, e con quale esito — perché uno strumento che raggiunge i siti di altri deve poter dimostrare chi gliel’ha chiesto. È descritta più sotto, in «Il tuo indirizzo IP».
- Quello che analizziamo è la superficie pubblica dell’app che ci hai indicato. Non leggiamo mai il tuo database, e non usiamo mai nessuna chiave che troviamo. Lo scanner è descritto per intero nella pagina «Che cos’è lo scanner».
Chi è il titolare#
Titolare del trattamento: Root92 sh.p.k., NIPT (codice fiscale albanese) M52111038D, Don Bosko, Njesia Administrative Nr.11, Zyre F-101, shkalla F.kati , ambienti 1, Tirane, Albania.
Per qualunque richiesta sui tuoi dati, scrivi a: info@root92.it.
Cosa raccogliamo, esattamente#
Quando chiedi il check di superficie — il form con l’indirizzo della tua app — salviamo una riga con questi campi e nient’altro:
url— l’indirizzo dell’app che ci hai chiesto di controllare.email— l’indirizzo a cui ti rispondiamo. Ci serve per risponderti, quindi senza di essa il form non parte.problem— quale dei cinque codici fissi hai scelto (slow,security,cost_lockin,ownership,other). Salviamo il codice, non l’etichetta tradotta.lang— la lingua in cui era la pagina, così ti rispondiamo in quella.consent, più l’istante in cui la riga nasce e la versione del testo di consenso che hai letto (adessoit-2026-10). È la prova che hai autorizzato l’analisi.detections— l’esito tecnico del check: quali tecnologie sono state rilevate, quali intestazioni di sicurezza c’erano, dimensioni e tempi. Solo un breve riepilogo tecnico. Mai il contenuto delle pagine, mai nessun dato del tuo database.scoree lo stato dell’analisi.
Quando mandi il form, gli stessi dati (l’indirizzo email che hai scritto, l’URL dell’app, il codice del problema e l’esito del check) arrivano per email anche a noi, così possiamo risponderti. Quell’email passa dal nostro fornitore di invio email ed è impostata in modo che la risposta arrivi direttamente al tuo indirizzo.
Se invece usi il modulo «Scrivici», salviamo quello che hai scritto lì e nient’altro: nome e cognome, il telefono (solo se lo lasci), il servizio che ti interessa, il messaggio, il tuo indirizzo email e la lingua della pagina. Questo sito lo tiene fra le richieste di contatto per poterti rispondere, per il tempo descritto in «Per quanto tempo». Nello stesso momento il tuo messaggio arriva per email al nostro team tramite il nostro fornitore di invio email, impostata in modo che la risposta arrivi direttamente al tuo indirizzo, e tu ricevi una breve conferma all’indirizzo che hai lasciato.
La lista è tutta qui, per entrambi i moduli. Non esiste un campo per altro, quindi non c’è altro che si possa raccogliere per sbaglio.
Abbiamo adottato misure tecniche e organizzative adeguate per tenere al sicuro i tuoi dati.
Il tuo indirizzo IP#
L’indirizzo IP ci serve per due cose, e sono distinte.
- Limitare le richieste, così lo strumento non può essere usato per sovraccaricare il sito di qualcun altro. I limiti sono 20 check all’ora per indirizzo IP e 3 all’ora verso lo stesso host di destinazione.
- Un registro dei controlli: ogni check lascia una riga che dice quale dominio è stato controllato, quando, da che IP e con che browser, e con quale esito. È così che distinguiamo un abuso dall’uso normale prima di decidere di bloccare qualcuno, invece di bloccare clienti reali sulla base di semplici ipotesi.
Conserviamo quel registro per 12 mesi — vedi «Per quanto tempo».
Come ogni server web, anche il nostro scrive log tecnici di ogni richiesta, e contengono il tuo indirizzo IP. Si conservano molto meno — vedi «Per quanto tempo».
Verifica di proprietà#
Se verifichi che un sito è tuo prima di un check approfondito, entrano in gioco alcune cose in più. Nessuna succede se non avvii una verifica.
- Un cookie di sessione,
HttpOnly, valido 24 ore, oppure 24 ore dal momento in cui dimostri la proprietà se arriva dopo. Esiste solo perché tu possa chiudere la pagina e tornare; quando finisce, la proprietà provata non si perde, e nell’area del proprietario la riprendi confermando di nuovo la tua email; è strettamente necessario al servizio che hai chiesto e non serve a tracciarti. - L’hostname che verifichi, il metodo che scegli e l’esito di ogni controllo (per esempio «trovato» o «non ancora trovato»). Non conserviamo mai il token, i codici che mandiamo né i link delle nostre email.
- Prima della prova, l’indirizzo email che inserisci per ricevere un codice a 6 cifre. Il codice vale 10 minuti e una volta sola. Per consegnarlo, indirizzo e codice passano dal nostro fornitore di invio email, che conserva una copia del messaggio nei suoi registri di consegna.
- Se dimostri la proprietà, l’indirizzo email che ci dai dopo, per mandarti un codice monouso e sapere a chi rispondere.
- Il tuo indirizzo IP, per le stesse due ragioni descritte sopra: i limiti di frequenza e il registro dei controlli.
- Se spunti la casella delle source map del check approfondito: per ogni chiave esposta che troviamo, il tipo, il percorso del file, il numero di riga e un frammento accorciato. Entrano nel riepilogo del referto. Mai il tuo codice e mai la chiave intera.
- Se spunti la casella della composizione del codice del check approfondito: i percorsi dei file che risultano non usati o inclusi più volte (senza i nomi utente che possono contenere), i nomi e le versioni di quelle librerie e le loro dimensioni in byte. Entrano nel riepilogo del referto. Mai il tuo codice.
- Se spunti la casella dell’accessibilità sulle pagine rese: i percorsi delle pagine che abbiamo aperto (mai i parametri che seguono il «?») e, per ognuna, solo misure — esiti dei controlli, conteggi e quante richieste ad altri servizi il browser isolato non ha potuto fare. Entrano nel riepilogo del referto. Mai il contenuto delle tue pagine. Il browser parte senza cookie né dati salvati e viene distrutto, con tutto ciò che ha caricato, alla fine del check.
- Se spunti la casella della rete del check approfondito: per le richieste che la tua home page ha fatto mentre girava nel browser isolato, il metodo, l’indirizzo senza i suoi valori (un identificativo nel percorso è sostituito dal suo tipo, per esempio «numero» o «email»), i nomi dei parametri e delle intestazioni, gli host di terzi, quante volte ogni richiesta si è ripetuta e il tipo di dato personale a cui un valore somigliava (per esempio «email»). I valori stessi si leggono solo dentro il browser isolato, per riconoscere quel tipo, e non si conservano mai. Per giudicare la performance della pagina, il browser misura anche quanti byte ha trasferito ogni risposta, il suo tipo di file, il protocollo con cui è arrivata e se era compressa, quando sono comparsi il primo contenuto e l’elemento più grande e quanto si è spostato il layout, e conta nella pagina caricata le immagini impostate per caricarsi dopo, i fogli di stile che trattengono il primo disegno e le regole
@importe dei font: si conservano solo gli esiti sì/no di quindici controlli, mai i numeri. Entrano nel riepilogo del referto. Per ora quei quindici controlli sono spenti, e finché non si accendono non se ne conserva nessun esito. Mai il contenuto delle tue pagine. Il browser parte senza cookie né dati salvati e viene distrutto, con tutto ciò che ha caricato, alla fine del check. - Se spunti la casella delle violazioni del check approfondito: quanti account del tuo dominio compaiono in violazioni note, e in quante violazioni. Mai gli indirizzi e mai i nomi delle violazioni. Se il database delle violazioni chiede prima una prova che il dominio è tuo, conserviamo il valore del record DNS che ci dà, così che tu possa pubblicarlo.
- Se spunti la casella del codice pubblico del check approfondito: per ogni file pubblico che nomina il tuo dominio accanto a una chiave, il repository, il percorso, il link e il tipo di chiave. Mai il codice e mai la chiave.
- Insieme al riepilogo del referto salviamo la versione del testo di consenso che hai accettato e quali caselle hai spuntato, così che ogni referto dica da sé che cosa hai autorizzato.
I dettagli della verifica — la prova dell’autorizzazione (hostname, metodo, orari, indirizzo email, versioni dei testi di consenso), il riepilogo del referto e il registro dei controlli — si conservano come descritto in «Per quanto tempo». Se hai verificato dall’area del proprietario, la proprietà resta valida 90 giorni dalla prima prova riuscita, anche se chiudi la pagina o il browser; se hai verificato solo dalla pagina di verifica, finita la sua sessione non c’è modo di tornarci, quindi vale 24 ore dalla prova. Dopo, la verifica smette di autorizzare qualsiasi cosa e viene eliminata in automatico, con la sua prova, il riepilogo del referto e il registro dei controlli. Il nostro pannello interno li legge da qui e non ne tiene copia: per un referto via email annota solo se è partito, senza il tuo indirizzo né il referto.
Referto per email#
Quando il check approfondito è stato fatto, puoi chiederci di mandarti quel referto per email. Non parte niente se non premi il pulsante.
- Va solo a un indirizzo confermato: quello dell’account con cui hai fatto l’accesso, se hai verificato accedendo con il tuo account del motore di ricerca e quel fornitore lo dà per verificato; oppure, se hai verificato con DNS, file o meta tag dall’area del proprietario, l’indirizzo che lì hai confermato con un codice a 6 cifre — lo stesso con cui hai avviato la verifica; un altro indirizzo, anche confermato, viene rifiutato. Non puoi scrivere un indirizzo non confermato, e non lo mandiamo altrove. Se hai verificato dalla pagina di verifica senza passare dall’area del proprietario, non c’è un indirizzo confermato, quindi questa opzione non c’è.
- Con DNS, file o meta tag l’indirizzo si conserva solo se chiedi il referto: in quel momento si aggiunge alla verifica, e resta con la prova dell’autorizzazione come descritto in «Per quanto tempo», così che il referto vada solo all’indirizzo che hai confermato.
- Subito prima dell’invio ricontrolliamo la prova di proprietà. Se non c’è più, non parte niente. Puoi richiedere il referto fino a 3 volte in un’ora. Se il nostro fornitore di invio lo rifiuta, non è partito niente e puoi riprovare.
- L’email è la copia del referto d’audit che vedi in pagina: le stesse sezioni, le stesse rilevazioni e i dettagli dei controlli approfonditi che hai autorizzato, più i punteggi e i passi per correggere ogni rilevazione. Le rilevazioni che la pagina mostra solo come numero restano un numero anche nell’email, e gli eventuali segreti restano oscurati. Parte dalla nostra casella (vedi «Chi altro li vede»).
Registriamo che l’hai chiesto, quando, e l’esito della consegna, insieme al resto della verifica, come descritto in «Per quanto tempo».
Check ripetuto#
Dopo il check approfondito puoi chiederci di ripeterlo sullo stesso sito a intervalli regolari e di scriverti solo se il risultato cambia. Non si ripete niente se non premi il pulsante, e un programma copre un solo sito.
- Serve l’indirizzo email che hai confermato con il codice a 6 cifre nell’area del proprietario, per quel sito. Lo usiamo solo per dirti che il risultato è cambiato; il messaggio non contiene rilevazioni, solo il nome del sito, un link all’area del proprietario e un link per fermare gli avvisi.
- Ogni check ripetuto è lo stesso check approfondito, con gli stessi limiti per sito, e solo finché la prova di proprietà vale. Se la prova non c’è più, il programma si ferma.
- Puoi fermarlo in qualunque momento con un pulsante nell’area del proprietario, o dal link in ogni avviso, da qualunque dispositivo. Fermarlo cancella l’indirizzo. In ogni caso il programma si ferma quando la verifica scade, 90 giorni dopo la prima prova, e da lì l’indirizzo viene tolto.
- L’avviso lo consegna il nostro fornitore di invio email, che conserva una copia del messaggio nei suoi registri di consegna.
Perché possiamo farlo#
Qui ci sono trattamenti distinti, ognuno con la sua base giuridica. Restano separati di proposito.
- Eseguire l’analisi dell’app: il tuo consenso come proprietario, o come persona autorizzata a farla analizzare. È la spunta, ed è la ragione per cui registriamo quale versione di quel testo hai letto.
- Ogni parte del check approfondito che ha una sua casella (ricostruire le source map, analizzare la composizione del codice, cercare nelle violazioni note, cercare nel codice pubblico, leggere la velocità reale, leggere la registrazione del dominio, cercare le vulnerabilità note, analizzare la connessione sicura): il tuo consenso, dato con quella casella. Senza, quella parte non parte e al servizio che usa non arriva niente.
- Ricontattarti dopo, per l’audit completo: legittimo interesse alla comunicazione fra imprese, con la tua stessa richiesta del referto come contesto.
- Tenere il registro dei controlli descritto sopra: legittimo interesse alla sicurezza del servizio. Uno strumento che raggiunge i siti di altri deve poter dimostrare chi gliel’ha chiesto, e accorgersi quando viene usato male.
- Contare le visite con lo strumento di statistica: il tuo consenso, dato nel banner dei cookie (articolo 6, paragrafo 1, lettera a, del GDPR), che puoi ritirare in qualsiasi momento da «Impostazioni cookie», con la stessa facilità con cui l’hai dato (articolo 7, paragrafo 3, del GDPR).
Per quanto tempo#
Per il check di superficie e il modulo «Scrivici» — i dati di contatto con cui ti rispondiamo, il tuo messaggio e l’esito del controllo: 24 mesi da quando li hai inviati. Poi il nostro giro orario li cancella automaticamente.
Per il registro dei controlli, con il tuo indirizzo IP e il browser: 12 mesi dal controllo. Poi il nostro giro orario lo cancella automaticamente.
Per i log tecnici del server — il tuo indirizzo IP, l’orario, la pagina richiesta e il browser: al massimo 14 giorni, poi si cancellano automaticamente. Li usiamo solo per tenere il servizio funzionante e sicuro, mai per profilarti.
Non teniamo copie di backup del database. Quando cancelliamo i tuoi dati, da noi non ne resta nessuna copia più vecchia; le ultime tracce nei log tecnici spariscono entro 14 giorni.
Puoi chiederci di cancellare tutto questo prima (vedi «Cancellazione e opposizione ai contatti»).
Per la verifica di proprietà — la prova dell’autorizzazione, l’indirizzo email collegato, il riepilogo del referto e il registro dei controlli: 90 giorni dalla prima prova riuscita. Poi la verifica scade e il nostro giro orario la elimina in automatico. Una verifica fatta solo dalla pagina di verifica, senza l’area del proprietario, vale 24 ore dalla prova, perché dopo nessuno può tornarci. Una verifica mai provata si elimina quando finisce la sua sessione di 24 ore.
Il nostro pannello interno non tiene copia di questi dati: li legge da qui finché ci sono. Scrive soltanto le nostre note di lavoro sulla tua richiesta — lo stato, un nome che scriviamo noi, se hai chiesto di non essere contattato, se ti è partita un’email, mai il tuo indirizzo.
Abbiamo adottato misure tecniche e organizzative adeguate per tenere al sicuro i tuoi dati per tutto il tempo in cui li conserviamo.
Chi altro li vede#
Non vendiamo i tuoi dati a nessuno. Gli unici altri soggetti che li trattano sono i servizi qui sotto, ognuno con lo scopo per cui lo usiamo, e solo per far funzionare il servizio per conto nostro. Prima di aggiungere un servizio, o di usarne uno per uno scopo nuovo, lo nominiamo qui.
Il nostro fornitore di hosting, che fa girare il server e il database di questo sito, in Germania, dentro l’Unione europea. I log tecnici del server restano nello stesso posto. Ospita anche il nostro strumento di statistica, su un server nell’Unione europea.
Un fornitore di invio email, che consegna i messaggi spediti da questo sito (la notifica del form a noi, il codice di verifica, il modulo di contatto, l’avviso del check ripetuto). Conserva una copia di ogni messaggio nei suoi registri di consegna per 30 giorni.
Il nostro fornitore di posta, con cui ti rispondiamo e ti mandiamo il referto quando lo chiedi.
Solo se dimostri che un sito è tuo accedendo con il tuo account del motore di ricerca: quel fornitore, per l’accesso e per il suo strumento per i proprietari dei siti. Ci dice l’indirizzo email del tuo account e, in sola lettura, l’elenco dei siti che gestisci in quello strumento, così possiamo controllare che il sito sia fra questi. Se non c’è, o il tuo accesso non è quello di un proprietario, teniamo quell’indirizzo e ciò che abbiamo trovato per 60 minuti, solo per mostrarti l’esito, e li togliamo entro l’ora successiva. Puoi togliere quell’accesso quando vuoi con il pulsante per scollegarlo, o dal tuo account presso quel fornitore.
Solo se spunti la casella delle violazioni del check approfondito: un database pubblico di violazioni di dati note, per sapere se account email del tuo dominio vi compaiono. Gli mandiamo il nome del tuo dominio e nient’altro. Risponde con gli indirizzi coinvolti: li contiamo e conserviamo solo due numeri, mai gli indirizzi e mai i nomi delle violazioni.
Solo se spunti la casella del codice pubblico del check approfondito: una piattaforma pubblica di codice, per sapere se il tuo dominio compare accanto a chiavi segrete in codice pubblico. Le mandiamo il nome del tuo dominio come termine di ricerca (su un sottodominio di un builder, l’indirizzo completo del sito) e nient’altro. Di ogni file trovato conserviamo il repository, il percorso, il link e il tipo di chiave, mai il codice e mai la chiave.
Solo se spunti la casella della velocità reale del check approfondito: un insieme pubblico di misure di velocità di visitatori reali, pubblicato da un produttore di browser, per sapere quanto è veloce il tuo sito per gli utenti reali. Gli mandiamo l’indirizzo del tuo sito e nient’altro. Risponde con dati aggregati e anonimi degli ultimi 28 giorni: conserviamo cinque misure di velocità e il loro giudizio, mai dati su un singolo visitatore.
Solo se spunti la casella della registrazione del dominio del check approfondito: l’elenco pubblico delle registrazioni dei domini, per sapere quando scade il tuo dominio e come è protetto. Prima scarichiamo la lista pubblica di quale registro gestisce ogni estensione, e quella richiesta non dice niente di te; poi chiediamo al registro dell’estensione del tuo dominio. Gli mandiamo il nome del tuo dominio e nient’altro, e mai per un sito su un sottodominio di un builder. Della risposta conserviamo il nome del registrar, le date di creazione e scadenza, lo stato del dominio e se DNSSEC è attivo, mai i dati del titolare.
Solo se spunti la casella delle vulnerabilità note del check approfondito: un database aperto delle segnalazioni di sicurezza sulle librerie software. Per ogni libreria che riconosciamo sul tuo sito gli mandiamo nome e versione esatta e nient’altro: né l’indirizzo del sito né il tuo dominio. Di ogni segnalazione conserviamo l’identificativo, la gravità, il titolo breve e le versioni che la correggono.
Solo se spunti la casella della connessione sicura del check approfondito, e solo se il server è tuo e non di una piattaforma condivisa: la lista pubblica dei siti che i browser aprono solo in HTTPS, per sapere se il tuo sito è fra questi. Le mandiamo il nome host del tuo sito e nient’altro. Conserviamo solo la risposta (in lista, in attesa o no) e, se è in lista, quale voce lo copre.
Il database delle violazioni, la piattaforma di codice, i dati di velocità reale, il database delle segnalazioni di sicurezza e la lista HTTPS hanno sede fuori dall’Unione europea, e può averla anche il registro dell’estensione del tuo dominio. Ognuno riceve solo ciò che dice la sua voce qui sopra, e solo per un check approfondito in cui hai spuntato la sua casella.
I tuoi diritti#
Puoi chiederci una copia di quello che abbiamo su di te, chiederci di correggerlo, o chiederci di cancellarlo. Puoi anche opporti al ricontatto commerciale.
Puoi anche chiederci di limitare l’uso dei tuoi dati mentre una richiesta viene verificata, e di ricevere i dati che ci hai dato in un formato comune e leggibile da una macchina. Dove ci basiamo sul tuo consenso, puoi revocarlo in qualsiasi momento; la revoca non tocca ciò che abbiamo fatto prima.
Se ritieni che trattiamo i tuoi dati in modo illecito, hai il diritto di proporre reclamo a un’autorità di controllo per la protezione dei dati, in particolare nel Paese dell’UE in cui vivi, lavori o in cui è avvenuta la violazione.
Tutte queste richieste vanno inviate a un unico indirizzo: info@root92.it. Rispondiamo entro un mese, come impone il GDPR.
Cancellazione e opposizione ai contatti#
Per far cancellare i tuoi dati, scrivi a info@root92.it e cancelleremo ciò che abbiamo su di te. Per non essere più ricontattato, scrivi allo stesso indirizzo. Gestiamo queste richieste a mano: un pulsante per farlo in autonomia sarebbe più comodo, e finché non c’è, l’email è la strada da usare.