Non viene inviato nulla, e si può verificare

Non viene inviato nulla

Il documento viene letto dal suo browser, nella scheda aperta. La rilevazione, la revisione, la ricostruzione del file e il suo controllo avvengono lì. Non esiste un server di elaborazione: non c'è nessun luogo dove inviare il documento.

Le sole richieste della pagina sono letture di questo sito: le pagine, il codice, i caratteri standard del formato PDF e, se Lei lo chiede, il modello dei nomi, una volta, verificato tramite la sua impronta e poi conservato sulla sua postazione. Nessun account, nessun cookie, nessuna misurazione del pubblico. La sola richiesta che non sia una lettura è il contatore, descritto più sotto. Il server non tiene registri di accesso.

Un'architettura piuttosto che una promessa

Un servizio online può promettere di cancellare il suo documento; Lei non ha alcun modo di constatarlo. Un'architettura, invece, si constata.

Verificarlo da sé

1. Stacchi la rete

   Carichi la pagina, poi disattivi il Wi-Fi o scolleghi il cavo. Carichi un documento, decida, produca il file: tutto arriva in fondo.

2. Guardi la scheda Rete

   Apra gli strumenti per sviluppatori (F12), scheda «Rete», prima di caricare il documento. Durante il lavoro non si aggiunge nessuna riga; al salvataggio del file, una sola, /compte, il contatore descritto qui sotto. Lo strumento mostra anche il proprio elenco, sotto la revisione; ma una pagina potrebbe mentire su sé stessa, la scheda del browser no.

3. Legga la politica di sicurezza

   Ogni pagina porta una politica di sicurezza dei contenuti che il browser fa rispettare. La riga che conta: connect-src 'self'. Vieta qualsiasi connessione verso un altro sito, anche se il codice della pagina la chiedesse.

La sola cosa che parte: un contatore

Quando Lei salva un file oscurato, o quando un documento è stato verificato, il suo browser invia a questo sito una richiesta, e una sola: POST /compte?f=caviardage&p=12. Dice se si tratta di un oscuramento o di una verifica, e quante pagine aveva il documento. Nient'altro: non una parola del documento, non un valore oscurato, non un nome di file, non un identificativo.

Il server scrive una sola riga: la data, il tipo, il numero di pagine. Né indirizzo IP, né browser, né pagina di provenienza: due documenti della stessa persona sono indistinguibili da due documenti di sconosciuti. Il totale è pubblicato così com'è nella pagina iniziale.

Un browser che chiede di non essere tracciato (Do Not Track, Global Privacy Control) non invia nulla. Offline, non parte nulla, e nulla viene conservato per dopo. La versione self-hosting è costruita senza contatore. In ogni caso, lo strumento funziona allo stesso modo.

Diciamolo senza giri di parole: registriamo il numero di documenti oscurati e verificati, e il loro numero di pagine. Niente in queste righe dice chi li ha elaborati, né da dove, né che cosa contenevano.

Che cosa cambia per il GDPR

Non riceviamo alcun documento, quindi non trattiamo nessuno dei dati che contiene. In concreto, per un'organizzazione:

• Nessun trasferimento di dati verso terzi: il documento non lascia la postazione della persona che oscura. La questione del trasferimento fuori dall'Unione europea non si pone, perché non c'è trasferimento.
• Nessun responsabile del trattamento da designare per il contenuto dei documenti, quindi nessun contratto di nomina da firmare per l'oscuramento in sé.
• Nessuna durata di conservazione da fissare né cancellazione da chiedere: non esiste una copia altrove. Il documento aperto scompare quando Lei chiude la scheda.
• Nessun fornitore di intelligenza artificiale vede passare i suoi documenti: il modello dei nomi è pubblicato con licenza libera (MIT), fissato a una versione, verificato e servito da questo sito, poi gira sulla sua postazione.
• Nessun cookie, nessun tracciatore, nessun terzo: nessun banner di consenso, perché non c'è nulla a cui acconsentire. La sola misurazione del sito è il contatore descritto più sopra.
• Il sito è ospitato in Francia, da OVH, e serve solo file. Per non dipendere da nessuno, la versione self-hosting gira sulla sua rete interna.

Che cosa resta a suo carico

Klarmask non decide al posto suo che cosa va oscurato, e non garantisce che un documento oscurato non permetta più di riconoscere qualcuno: è la sua rilettura a farlo. Se pseudonimizza per poter reidentificare in seguito, la corrispondenza tra etichette e persone resta l'informazione aggiuntiva ai sensi del GDPR: la tenga a parte. Le condizioni d'uso lo ricordano.

Che cosa viene conservato sulla sua postazione

Il modello dei nomi e il suo motore, se li scarica, sono conservati nello spazio privato che il browser riserva a questo sito, dopo la verifica della loro impronta. È ciò che evita di scaricarli di nuovo. Lo strumento permette di eliminarli con un pulsante.

Il suo documento, invece, non viene conservato da nessuna parte: è letto in memoria, nella scheda, e scompare quando Lei la chiude. Il file prodotto viene salvato dal suo browser, dove decide Lei.

Ciò che è oscurato non esiste più nel file

Il file prodotto è un documento nuovo. Il documento originale non viene mai modificato e poi salvato di nuovo: è così che documenti oscurati sono stati resi di nuovo leggibili, tramite la versione precedente rimasta nel file.

Anche un documento Word prodotto è un pacchetto nuovo, scritto a partire dalle sole parti che lo strumento comprende: revisioni accettate, commenti, proprietà, grafici e oggetti incorporati rimossi, metadati delle immagini cancellati.

Il modello dei nomi

I nomi sono proposti da un modello di riconoscimento di entità, CamemBERT-NER (licenza MIT), addestrato sul francese. Si scarica solo se Lei lo chiede, da questo sito e non da terzi, una volta: ogni file è verificato tramite la sua impronta SHA-256 prima di essere conservato in uno spazio che il browser riserva a questo sito, sulla sua postazione. Legge solo il testo della pagina aperta, nella scheda.

La libreria che lo fa girare non ha il permesso di accedere alla rete: la sua funzione di download è sostituita da una funzione che rifiuta, e legge solo i file già verificati. Le impronte pubblicate qui sono quelle che lo strumento verifica.

Modello : Xenova/camembert-ner, revisione 8e1988247e87.

Il controllo in uscita

Prima di proporle il file, lo strumento lo rilegge per vie indipendenti da quella che lo ha scritto: il testo, con un secondo lettore PDF; gli oggetti del file, percorsi uno a uno, ogni flusso decompresso. Ogni elemento oscurato vi viene cercato in tutte le sue forme (spazi, accenti, maiuscole). La struttura viene verificata: nessuna annotazione, nessun modulo, nessun segnalibro, nessun allegato, nessun metadato, e una sola versione.

Se ritrova qualsiasi cosa, il file non viene proposto, e lo schermo dice che cosa è stato ritrovato e dove.