Informativa sulla privacy

Ultimo aggiornamento: 21 ottobre 2026

1. Chi siamo

La Repubblica Mondiale (“Repubblica Mondiale”, “noi”, “ci” o “nostro”) gestisce l’applicazione e il sito web della Repubblica Mondiale all’indirizzo https://www.worldrepublic.org (il “Servizio”). La stessa applicazione è offerta anche con un secondo nome, Raised by Humanity, all’indirizzo https://www.raisedbyhumanity.org. Quel sito esegue lo stesso software, usa gli stessi account e lo stesso database, ed è gestito da noi. In questa informativa “il Servizio” indica entrambi i siti, e questa informativa si applica a entrambi. La Repubblica Mondiale è un’associazione di diritto svizzero (Verein) ai sensi dell’art. 60 e seguenti del Codice civile svizzero, con sede a Zugo, in Svizzera. Ha personalità giuridica ai sensi dell’art. 60 cpv. 1 del Codice civile e non è iscritta nel registro di commercio. Il Servizio è amministrato dall’Ungheria dal nostro consiglio direttivo, quindi ai fini del Regolamento generale sulla protezione dei dati dell’UE (GDPR) la Repubblica Mondiale è stabilita nell’Unione europea, e la nostra autorità di controllo capofila nell’Unione è l’Autorità nazionale ungherese per la protezione dei dati e la libertà d’informazione (NAIH).

Per la maggior parte delle attività di trattamento descritte di seguito siamo il titolare del trattamento. Per la verifica dell’identità siamo il titolare e Amazon Web Services agisce come nostro responsabile del trattamento / fornitore di servizi. Più avanti è indicato un secondo fornitore, Didit, per una procedura di verifica supplementare che al momento non è offerta — vedi la sezione 4.2.

• Contatto per la privacy: privacy@worldrepublic.org
• Contatto nell’Unione europea: Balázs Kónya, membro del consiglio direttivo, 3626 Hangony, Dózsa György út 5., Ungheria (privacy@worldrepublic.org)

2. Ambito di applicazione

Questa informativa si applica a chiunque usi il Servizio, in tutto il mondo. Dove la legge locale ti riconosce diritti ulteriori — tra cui il GDPR dell’UE e del Regno Unito, la legge federale svizzera sulla protezione dei dati riveduta (nLPD), il California Consumer Privacy Act come modificato dal CPRA e le leggi biometriche dei singoli stati degli Stati Uniti (BIPA dell’Illinois, CUBI del Texas, Washington) — quei diritti sono descritti nella sezione 10.

Al momento la Repubblica Mondiale svolge elezioni di prova non vincolanti. Non stiamo ancora iscrivendo membri; la partecipazione è sperimentale.

3. Informazioni che raccogliamo

3.1 Informazioni che fornisci

• Informazioni sull’account: se accedi con Google, riceviamo un token di autenticazione e l’identificativo del tuo account Google. Conserviamo l’identificativo, che è ciò che collega il tuo account al tuo accesso con Google. Non conserviamo il tuo nome Google, la tua email o la tua foto, e non conserviamo il token, che li contiene.
• Credenziali passkey: se usi una passkey (WebAuthn), conserviamo la credenziale a chiave pubblica, un identificativo e i metadati del dispositivo necessari ad autenticarti.
• Informazioni del profilo: un nome utente, che generiamo noi quando il tuo account viene creato e che puoi cambiare in qualsiasi momento nelle impostazioni del tuo account. Il tuo nome utente è pubblicato ovunque compari nel Servizio — vedi la sezione 6 — quindi se lo imposti con il tuo vero nome, è il tuo vero nome a essere pubblicato. Generiamo anche un codice di invito per ogni account; nulla nel Servizio lo usa.
• Contenuti che crei: nomi di partiti politici, descrizioni e link.
• Una segnalazione su un partito: se segnali la voce di un partito nel registro, conserviamo quale partito, quale motivo hai scelto, che cosa hai scritto e l’ora. Per la maggior parte dei motivi ti chiediamo anche il tuo nome e un indirizzo email, perché la legge che ci impone di accettare la tua segnalazione ci impone anche di confermarti che l’abbiamo ricevuta e di dirti che cosa abbiamo deciso — e non abbiamo altro modo per contattarti. Per un motivo non chiediamo né l’uno né l’altro, e non conserviamo né l’uno né l’altro: la segnalazione che il contenuto sia materiale di abuso sessuale su minori. Se hai effettuato l’accesso, registriamo anche da quale account è stata inviata. Questo è l’unico caso in cui deteniamo un indirizzo email che ci hai dato; la sezione 8 dice per quanto tempo e la sezione 10.1 dice per che cosa lo usiamo e per che cosa non lo usiamo.
• Conferma dell’età: il fatto che hai confermato di avere almeno 18 anni, e quando. Lo chiediamo una volta sola, prima della verifica dell’identità. Non ti chiediamo la data di nascita e non ne conserviamo nessuna — solo che la conferma è stata data, l’età rispetto alla quale è stata data e l’ora.
• Esito del controllo del tuo partito: se il controllo automatico descritto nella sezione 5.1 ha elencato il tuo partito per impostazione predefinita oppure lo ha messo da parte come spam, il motivo che ha indicato, quale dei suoi due controlli (o quale persona) ha deciso, quale modello ha deciso nei casi in cui ha deciso un modello, e quando.
• Se il tuo partito dice o no che cosa vuole in materia di IA: se il nome o la descrizione del tuo partito dice che cosa vuole il partito in materia di intelligenza artificiale, secondo la lettura del controllo descritto nella sezione 5.2; la riga che ha fornito, che può citare le tue stesse parole; che cosa ha dato la risposta (il classificatore automatico o una persona); quale modello, nei casi in cui ha risposto un modello; e quando.
• Una decisione di rimuovere il tuo partito dal registro: indipendentemente dal controllo descritto sopra, un partito il cui contenuto riteniamo illecito può essere tolto del tutto dal registro — la sua pagina smette di aprirsi per chiunque, non si può trovare e non può ricevere voti. È una misura diversa e molto più pesante dell’esito del controllo descritto sopra, che incide soltanto sul fatto che un partito sia elencato per impostazione predefinita. Quando lo facciamo, conserviamo la data, la base giuridica su cui ci siamo fondati, la nostra motivazione scritta del perché quella base si applica al tuo partito, se all’origine ci sia stata la segnalazione di qualcuno o un nostro controllo, e un’etichetta per chi ha deciso. Tutto questo ti viene mostrato tranne l’ultimo elemento, nel Servizio, sulla pagina del tuo partito — che continua ad aprirsi per te anche se non si apre per nessun altro. Non indichiamo la persona che ha deciso e non ti diciamo chi ti ha segnalato, se qualcuno l’ha fatto.
• Registrazione del voto: il fatto che hai votato in una determinata elezione di prova, e quando. Non per quale partito hai votato. In questa informativa la tua scheda elettorale è la scelta che esprimi in un’elezione di prova. La tua scheda è riservata: la tua scelta viene sommata al totale del partito e non è conservata insieme al tuo account. A parte la conferma che il tuo dispositivo mostra mentre voti, nessuna schermata del Servizio mostra come hai votato, e non lo pubblichiamo. In alcuni casi, chi ha accesso diretto al nostro database (sezione 11), o a una sua copia, può comunque collegare una scheda alla persona che l’ha espressa. La sezione 5.3 dice quando, e per quanto tempo.
• Dettagli delle transazioni: quando prelevi WDD, l’indirizzo del portafoglio di destinazione, l’importo e la rete selezionata.

3.2 Verifica dell’identità e dati biometrici

Per mantenere corrette le elezioni di prova (una persona verificata, un voto) e per prevenire frodi e account duplicati, verifichiamo che tu sia una persona reale, unica e realmente presente. Vedi la sezione 4 per la spiegazione completa e separata dei dati biometrici — leggila con attenzione.

3.3 Informazioni raccolte automaticamente

• Informazioni sul dispositivo e sui log: tipo di dispositivo e di browser, sistema operativo e dati tecnici simili.
• Indirizzo IP: trattiamo il tuo indirizzo IP per applicare i limiti di frequenza e prevenire gli abusi (conservato per breve tempo nelle nostre registrazioni dei limiti di frequenza). Conserviamo il tuo indirizzo IP e lo user-agent del browser anche come parte di una registrazione del consenso, quando accetti per la prima volta i nostri Termini e prendi atto di questa informativa, oppure quando dai il consenso biometrico, come prova di quell’accettazione o di quel consenso. Il tuo indirizzo IP e lo user-agent del browser compaiono anche nelle registrazioni di sicurezza descritte nella sezione 8: quando il tuo dispositivo avvia il controllo dal vivo in un controllo del volto, e ogni volta che scarichi le immagini dei tuoi controlli del volto.
• Informazioni sull’uso: funzioni usate e azioni compiute all’interno del Servizio.
• Copie dei tuoi dati: quando scarichi il file leggibile da dispositivo automatico descritto nella sezione 10.1, o le immagini dei tuoi controlli del volto, registriamo che è stata fatta una copia, quando, quale delle due era e quali parti dei tuoi dati conteneva (per le immagini, la parte della verifica a cui appartengono). Per le immagini la registrazione avviene quando il download inizia, quindi un download che poi non riesce sul tuo dispositivo compare comunque nell’elenco e conta ai fini del limite. La conserviamo perché ogni dispositivo su cui hai effettuato l’accesso legga lo stesso elenco — è l’unico modo che abbiamo per dirti che qualcuno con la tua sessione ha preso una copia di tutto, dato che non deteniamo nessun indirizzo a cui dirtelo. La lettura della copia sullo schermo non viene registrata; quello che l’elenco coglie è la copia che esce dal dispositivo.

3.4 Cookie e archiviazione locale

Usiamo solo cookie e archiviazione locale strettamente necessari e funzionali:

• Autenticazione e sicurezza (cookie di sessione e di collegamento dell’account).
• Preferenze (ad esempio la lingua che hai scelto).
• Stato funzionale (ad esempio il ritorno alla pagina dopo la verifica).
• Una copia della schermata del tuo account, conservata perché il Servizio possa ridisegnarla subito quando torni. Contiene quello che quella schermata mostra: il tuo saldo in WDD, le tue transazioni recenti — compresi l’indirizzo del portafoglio di destinazione e la rete di ogni prelievo che hai fatto — e se il tuo account è verificato o se il tuo controllo del volto dal vivo è stato rifiutato. L’uscita la sostituisce con una copia vuota. Finché non esci resta sul dispositivo, quindi esci se altre persone usano quel dispositivo.

Non usiamo cookie pubblicitari e non eseguiamo alcun SDK pubblicitario o di tracciamento tra siti.

4. Dati biometrici (controllo del volto dal vivo) — leggi con attenzione

Per votare in un’elezione di prova e per registrare un partito devi completare un controllo del volto dal vivo. Questa informativa chiama quel controllo il controllo del volto. Il controllo del volto tratta dati biometrici, che sono dati personali sensibili / appartenenti a categorie particolari. Vogliamo essere del tutto trasparenti al riguardo.

4.1 Che cosa succede

• Il tuo dispositivo acquisisce un breve video del volto dal vivo, che viene elaborato da Amazon Web Services (AWS) Amazon Rekognition Face Liveness per confermare la presenza dal vivo di una persona reale (anti-spoofing).
• AWS conserva un’immagine facciale di riferimento della sessione. AWS conserva quell’immagine sia che il controllo riesca sia che non riesca, quindi anche un controllo non riuscito lascia un’immagine. Puoi far distruggere quell’immagine in qualsiasi momento (sezione 4.4).
• Se il controllo riesce, aggiungiamo un vettore facciale (modello) creato a partire da quell’immagine a una raccolta sicura di AWS Rekognition. Un controllo rifiutato come duplicato non aggiunge alcun vettore alla raccolta.
• Usiamo quella raccolta per eseguire un confronto uno-a-molti con i vettori facciali degli altri utenti, per controllare se lo stesso volto è già verificato su un altro account.

Il rifiuto è automatico. Se il confronto trova una corrispondenza, la verifica di quell’account viene rifiutata in quel momento, dal confronto stesso, e nessuna persona partecipa alla decisione. L’unico elemento valutato è quanto il vettore facciale creato dalla tua scansione somigli a un vettore già presente nella raccolta, misurato rispetto a un’unica soglia di somiglianza fissa; nient’altro che ti riguarda entra nella decisione. Un account rifiutato non può votare nelle elezioni di prova né registrare un partito, e il rifiuto resta valido per quell’account a meno che una persona non lo cambi.

Puoi chiedere che una persona lo riesamini. Scrivi a privacy@worldrepublic.org oppure chiedi nella nostra Community di assistenza, e risponderemo entro un mese. Una persona confronta l’immagine di riferimento del tuo controllo con quella conservata per l’account risultato corrispondente, se entrambe esistono ancora — l’una o l’altra immagine potrebbe già essere stata distrutta ai sensi della sezione 4.5 — e può annullare il rifiuto e verificare il tuo account.

Se le immagini non ci sono più, la questione non finisce lì. Se il volto a cui il tuo controllo corrispondeva è stato nel frattempo distrutto — perché quell’account è stato eliminato oppure perché la persona che c’era dietro ha revocato il proprio consenso — una persona può invece rimuovere il rifiuto, così che tu possa ripetere il controllo. Non è una decisione che verifica il tuo account: il nuovo controllo viene eseguito per intero, con lo stesso confronto, e può rifiutarti di nuovo. Perché entrambe le strade restino possibili, conserviamo la registrazione della corrispondenza insieme al controllo rifiutato: quale account è risultato corrispondente e quanto stretta è stata la corrispondenza (sezione 8).

4.2 Verifica supplementare presso Didit

Questa strada al momento non è offerta e non è possibile avviare alcun controllo. La descriviamo qui perché è progettata.

L’idea è una verifica supplementare presso Didit, un fornitore di verifica dell’identità, per chi viene rifiutato per errore dal controllo del volto — una falsa corrispondenza da duplicato tra persone che si somigliano. Chiederebbe il tuo consenso esplicito e farebbe controllare a Didit un documento e un selfie per nostro conto.

Oggi niente di tutto questo è attivo: il Servizio non ha nessuna schermata che la proponga e la strada che avvierebbe un controllo rifiuta ogni richiesta. Didit non detiene alcun nostro dato di verifica. Se il controllo del volto ti ha rifiutato, la strada a tua disposizione è quella della sezione 4.1: chiedi nella nostra Community di assistenza, e una persona può esaminare entrambe le registrazioni e riaprire la verifica.

Se la verifica supplementare sarà mai offerta, questa sezione indicherà che cosa raccoglie e che cosa riceviamo prima che ciò avvenga.

4.3 Avviso sui fornitori di servizi (AWS e Didit)

La Repubblica Mondiale si avvale di fornitori di servizi per i servizi di verifica dell’identità. Gli identificatori biometrici e le informazioni biometriche (“dati biometrici”), in particolare le scansioni della geometria del tuo volto e le relative immagini facciali e i relativi modelli, possono essere raccolti, conservati e usati da questi fornitori di servizi (AWS; e Didit, se la verifica supplementare della sezione 4.2 sarà mai offerta) per conto della Repubblica Mondiale allo scopo di verificare che tu sia una persona reale, unica e realmente presente e di impedire account duplicati o fraudolenti. La Repubblica Mondiale distrugge i dati biometrici che AWS conserva per suo conto quando la finalità iniziale della raccolta è stata soddisfatta, quando ne chiedi l’eliminazione, o prima se la legge lo impone. Didit non detiene alcun nostro dato biometrico o di identità, perché la verifica supplementare non è offerta. Se dovesse mai essere offerta, le condizioni a cui Didit può detenere e deve eliminare quei dati saranno prima definite e indicate qui. I dati biometrici possono essere trasmessi tra la Repubblica Mondiale e i suoi fornitori di servizi nella misura necessaria a fornire questo servizio.

4.4 Il tuo consenso e la tua scelta

Alla base di questo controllo ci sono due cose, e le indichiamo entrambe.

Il controllo in sé è necessario per il servizio che ci chiedi. Un’elezione di prova in cui una persona verificata ha un voto non può svolgersi se non si dimostra che ogni elettore è iscritto una sola volta, e oggi non abbiamo un modo meno invasivo per dimostrarlo. Poiché il controllo tratta dati biometrici, serve anche una seconda cosa: il tuo consenso esplicito e attivo, che è la condizione su cui ci fondiamo per i dati biometrici stessi. Chiediamo quel consenso all’inizio del controllo del volto e non trattiamo alcun dato biometrico senza di esso.

Che cosa ti costa rifiutare. Oggi il controllo del volto è l’unica strada per votare. Se lo rifiuti, non puoi votare in un’elezione di prova e non puoi registrare un nuovo partito. Non ti costa nient’altro: puoi comunque detenere WDD, prelevare WDD, guidare un partito che hai registrato in precedenza e usare il resto del Servizio. Prima di qualsiasi elezione il cui risultato vincoli qualcuno, offriremo una strada per votare che non passi dal controllo del volto.

Puoi revocare quel consenso in qualsiasi momento e non devi eliminare il tuo account per farlo. Nell’app, apri Account → Verifica → Elimina i miei dati del volto. La revoca ha effetto immediato e distrugge sia le immagini di riferimento sia il modello facciale con cui effettuiamo il confronto. Se vuoi una copia delle immagini, scaricale prima, dalla stessa schermata (sezione 10.1). Il tuo account, il tuo saldo in WDD, l’eventuale partito che guidi e i voti che hai già espresso restano invariati. Non potrai votare di nuovo finché non completi un nuovo controllo del volto, che puoi fare in qualsiasi momento — a meno che il tuo controllo non sia già stato rifiutato come duplicato di un altro account (il rifiuto automatico descritto nella sezione 4.1). La revoca distrugge i dati ma non cambia quella decisione; per contestarla scrivi a privacy@worldrepublic.org.

Un’eccezione, ed è la stessa che la sezione 4.5 descrive per l’eliminazione dell’account: se un’elezione di prova in cui hai votato è ancora in corso quando revochi il consenso, il tuo consenso finisce subito ma i dati biometrici vengono distrutti alla chiusura di quell’elezione — a meno che tu non completi un nuovo controllo del volto prima di allora, nel qual caso vale quel nuovo consenso e non viene distrutto nulla. Come stabilisce la sezione 4.5, la distruzione non attende mai più di quattordici giorni: un’elezione che si chiude più di quattordici giorni dopo la tua revoca non rinvia affatto la distruzione. In alternativa puoi eliminare l’intero account (sezione 9) oppure scriverci per esercitare uno qualsiasi dei diritti indicati nella sezione 10.

4.5 Conservazione e distruzione

Conserviamo i dati biometrici solo per il tempo necessario alla verifica e alla prevenzione dei duplicati. Li distruggiamo quando la finalità è soddisfatta, su tua richiesta di eliminazione, quando il tuo account viene eliminato oppure tre anni dopo la tua ultima interazione con il Servizio — a seconda di quale di questi eventi si verifichi per primo. Una registrazione viene conservata più a lungo: la voce del log di audit di sicurezza che annota le posizioni dei tuoi occhi, del naso e della bocca e l’angolazione della tua testa, descritta nella sezione 1 della nostra Informativa sulla conservazione e distruzione dei dati biometrici. La nostra Informativa sulla conservazione e distruzione dei dati biometrici, redatta per iscritto, espone per intero ciascuno di questi casi, e la sezione 2 di quella informativa elenca che cosa conta come interazione. La distruzione comprende l’eliminazione dell’immagine di riferimento conservata da AWS (Amazon S3) e del vettore facciale (raccolta Rekognition).

Un’eccezione, delimitata e indicata qui perché tu la conosca prima di agire: se elimini il tuo account — o revochi il tuo consenso biometrico ai sensi della sezione 4.4 — mentre un’elezione di prova in cui hai votato è ancora in corso, conserviamo i tuoi dati biometrici fino alla chiusura di quell’elezione e li distruggiamo in quel momento. Se hai revocato il consenso e poi verifichi di nuovo il tuo account prima che l’elezione si chiuda, la distruzione in sospeso viene annullata, perché il nuovo controllo del volto è un nuovo consenso; un’eliminazione non viene mai annullata in questo modo. Un voto espresso non può essere tolto dal totale del partito, quindi resta conteggiato, e il controllo del volto è l’unica cosa che impedisce alla stessa persona di verificare un nuovo account e di votare una seconda volta nella stessa elezione. Il rinvio non supera mai il tempo che resta all’elezione e non supera mai quattordici giorni: un’elezione che si chiude più di quattordici giorni dopo il tuo intervento non rinvia affatto la distruzione. Nient’altro dell’eliminazione viene rinviato.

4.6 Dove vengono trattati i dati biometrici

I tuoi modelli facciali e le tue immagini di riferimento sono trattati e conservati da AWS nell’Unione europea (Irlanda). I metadati di verifica associati (per esempio i punteggi di affidabilità e i riferimenti di archiviazione) sono conservati nel nostro database principale (vedi la sezione 7).

5. Come usiamo le informazioni e le nostre basi giuridiche

5.1 Controllo automatico delle registrazioni dei partiti

Quando registri un partito o lo modifichi, un programma lo controlla prima che venga elencato per impostazione predefinita. Nessuna persona partecipa a quel passaggio.

• Che cosa legge: il nome del partito, la descrizione, il link al sito web e il nome utente del leader — nient’altro che ti riguarda.
• Che cosa decide: se il partito compare negli elenchi predefiniti, nella ricerca e nell’elenco dei partiti dell’elezione, oppure se viene messo da parte come spam. Un partito messo da parte non viene rimosso: resta al suo indirizzo, si può trovare scegliendo di mostrare tutti i partiti e si può votare.
• I motivi: la pubblicità di qualcosa al di fuori del Servizio (compreso spacciarsi per il Servizio o per un partito già affermato), l’offerta di pagamenti individuali in cambio di voti, l’incitamento alla violenza e l’oscenità. Le idee politiche non sono mai un motivo, e il controllo deve citare ciò che segnala.
• Come decide: un modello linguistico di grandi dimensioni, GLM-5.3 Flash di Z.ai, applica quelle regole al testo. Quando quel modello non è disponibile, le stesse regole vengono applicate da GLM-5.3, dello stesso produttore. Entrambi funzionano su Baseten negli Stati Uniti (sezioni 6 e 7), che non conserva nulla di nessuna delle due richieste una volta che ha risposto e non le usa per l’addestramento. Una seconda regola, fissa, confronta il nome del partito con i nomi dei partiti già affermati. L’esito, il suo motivo, quale controllo ha deciso e — nei casi in cui ha deciso un modello — quale dei due modelli vengono conservati insieme al partito (sezione 8).
• Perché può deciderlo un programma: un registro in cui ogni voce è una registrazione autentica di un partito fa parte del servizio per cui registri un partito, ed è questo che permette che tale decisione sia presa da un programma. La registrazione di un partito esprime anche opinioni politiche. La decisione non viene mai presa in base a quelle opinioni — i motivi indicati sopra riguardano ciò che una registrazione fa, non ciò di cui parla, e una registrazione non viene mai segnalata per le tesi che sostiene. Quelle opinioni vengono lette soltanto perché si trovano nel testo sottoposto a controllo, e sei tu a renderle pubbliche registrando il partito per la pubblicazione nel registro pubblico. Non devi registrare un partito per votare, per detenere WDD o per usare qualsiasi altra cosa.
• Le tue possibilità: il leader del partito vede l’esito e il motivo sulla pagina del partito. Dopo ogni modifica, il partito torna in esame. Puoi chiedere che una persona riesamini l’esito tramite la Community di assistenza collegata da quell’avviso, oppure scrivendo a privacy@worldrepublic.org.

5.2 Un partito dice che cosa vuole in materia di IA?

Raised by Humanity è una campagna su come dovrebbe essere governata l’intelligenza artificiale. Per distinguere quali partiti prendono posizione in merito, la stessa richiesta con cui si svolge il controllo descritto nella sezione 5.1 pone anche una seconda domanda, distinta.

• Che cosa chiede: se chi segue il dibattito pubblico sull’IA potrebbe capire, dal nome o dalla descrizione del partito, che cosa vuole il partito in materia di IA — come l’IA dovrebbe essere sviluppata, usata, condivisa, limitata o governata. Qualsiasi posizione conta, a favore o contro, e nessuna conta più di un’altra. Un partito non è tenuto a usare la parola “IA”. Menzionare l’IA, oppure usarla o venderla, non è una posizione.
• Che cosa legge: gli stessi campi della sezione 5.1, nella stessa richiesta — il nome del partito, la descrizione, il link al sito web e il nome utente del leader. Non viene inviato nient’altro, e non viene inviato da nessun’altra parte.
• Che cosa registra: la risposta — il partito dice che cosa vuole in materia di IA, oppure no — con una riga che cita le parole su cui si è basata, il modello che ha risposto e quando. Viene conservata insieme al partito (sezione 8).
• Che cosa cambia: una sola visualizzazione, e solo per un lettore che la richiede. Attivare “Mostra solo i partiti sul governo dell’IA” nell’elenco dei partiti o nell’elenco dei partiti di un’elezione mostra solo i partiti la cui risposta è che dicono che cosa vogliono in materia di IA. Il filtro è disattivato, a meno che il lettore non lo attivi. La risposta non ha alcun ruolo nel controllo descritto nella sezione 5.1. Senza quel filtro la risposta non cambia nulla di ciò che chiunque vede, compresi gli elenchi predefiniti, la ricerca e l’elenco dei partiti di un’elezione, e non incide mai su un voto. Se ciò cambierà, questa sezione lo dirà a partire dal giorno in cui accadrà.
• Come decide: gli stessi modelli della sezione 5.1 — GLM-5.3 Flash di Z.ai, oppure GLM-5.3 quando quel modello non è disponibile — che funzionano su Baseten negli Stati Uniti; Baseten non conserva nulla della richiesta una volta che ha risposto e non la usa per l’addestramento.
• Le tue possibilità: ogni modifica del partito ripropone la domanda, e la sua risposta sostituisce la precedente. La risposta si trova nella copia dei tuoi dati che il Servizio ti fornisce (sezione 10). Puoi chiedere che una persona la riesamini, oppure opporti, scrivendo a privacy@worldrepublic.org. Se la risposta è che il tuo partito non dice che cosa vuole in materia di IA, il riquadro del tuo partito lo segnala finché hai quel filtro attivo.
• Perché può leggere una posizione politica: questo è l’unico punto in cui il Servizio legge le tesi che un partito sostiene, e non soltanto ciò che fa. Legge soltanto le parole che il partito stesso ha pubblicato, su un solo tema, e tratta allo stesso modo ogni posizione su quel tema. Sei tu a rendere pubbliche quelle parole registrando il partito per la pubblicazione nel registro pubblico. Non devi registrare un partito per votare, per detenere WDD o per usare qualsiasi altra cosa.

5.3 La tua scheda elettorale

Quando voti, il nostro server riceve insieme chi sei e la tua scelta, perché deve controllare che tu possa votare e poi conteggiare il voto. Conserva le due cose separate, in tre registrazioni salvate insieme: una registrazione del fatto che hai votato in quell’elezione, e quando; una registrazione del tuo consenso al conteggio del tuo voto, che indica l’elezione e il giorno; e un voto in più aggiunto al totale del partito. Nessuna registrazione conserva la tua scelta insieme al tuo account. In alcuni casi la tua scheda può comunque essere collegata a te, e questa sezione dice quando.

• Mentre un’elezione è in corso. Il nostro database contrassegna con un numero di riferimento ogni modifica che salva. Tutte e tre le registrazioni sono salvate nella stessa modifica, quindi portano lo stesso numero. Perciò, mentre un’elezione è in corso, chi ha accesso diretto al nostro database (sezione 11) potrebbe scoprire chi ha espresso la scheda più recente per ciascun partito e, osservando come cambiano i totali, chi ha espresso ciascuna scheda in quel periodo. Con strumenti che leggono direttamente lo spazio di archiviazione del database, potrebbe scoprire anche chi ha espresso altre schede recenti, a partire da versioni precedenti dei totali che il database non ha ancora eliminato. Le nostre elezioni di prova raccolgono schede per tre giorni, e il Servizio non raccoglie mai schede in un’elezione per più di quattordici giorni.
• Dopo la chiusura. Poco dopo la chiusura di un’elezione, di solito entro pochi minuti, riscriviamo i suoi totali in una modifica separata. Da quel momento, nessuna registrazione nel nostro database principale, quello su cui funziona il Servizio, collega una scheda alla persona che l’ha espressa. Versioni precedenti dei totali possono restare nello spazio di archiviazione del database finché non vengono sovrascritte, e quegli stessi strumenti possono ancora leggerle.
• Nella cronologia di ripristino e nei backup del nostro fornitore. Il nostro fornitore di database conserva una cronologia di ripristino del database, che al momento impostiamo a circa sei ore. Quella cronologia può collegare qualsiasi scheda espressa in quel periodo, e può riportare i totali allo stato in cui erano prima che li riscrivessimo, con i collegamenti che contenevano. Il fornitore conserva anche backup propri, che dichiara di conservare per 30 giorni; non abbiamo ancora verificato con il fornitore che cosa coprano quei backup. Quei backup, e qualsiasi copia del nostro database (sezione 11) fatta prima che i totali fossero riscritti, conservano questi collegamenti finché non scadono o non vengono eliminati, e una copia che eliminiamo può restare in quei backup finché non scadono.
• In ciò che pubblichiamo. Pubblichiamo il totale di ogni partito una volta chiusa l’elezione (sezione 6); mentre è in corso, mostriamo soltanto quante schede sono state espresse in tutto. Se in un’elezione tutti votano lo stesso partito, i totali mostrano, a chiunque sappia che hanno votato, come ha votato ciascuno di loro. E quando votano pochissime persone, chi sa come hanno votato le altre può ricavare il resto.

Nessuna parte del Servizio usa nulla di tutto questo per collegare una scheda alla persona che l’ha espressa.

Poiché la tua scelta rivela un’opinione politica, ti chiediamo il tuo consenso esplicito prima di conteggiarla. La schermata in cui esprimi il tuo voto ha una casella non spuntata che chiede quel consenso, in ogni elezione di prova, e la casella deve essere spuntata prima che il voto venga espresso; il nostro server rifiuta una scheda che ne sia priva. Registriamo quel consenso con l’elezione, la versione e la lingua del testo che hai spuntato, e il giorno. Non registriamo con esso alcun indirizzo IP né alcun browser, e registriamo soltanto il giorno, perché viene salvato nello stesso momento della registrazione del fatto che hai votato, e un orario esatto sarebbe una seconda registrazione di quando hai votato. Puoi revocare quel consenso (sezione 10).

6. Come condividiamo le informazioni

Non vendiamo i tuoi dati personali. Questa sezione indica chi riceve informazioni su di te e a che titolo. Una parte è trattata per noi da fornitori di servizi, su nostre istruzioni e per nessuna finalità propria. Una parte arriva a un’azienda che decide autonomamente che cosa farne, e questa sezione indica quei destinatari. Una parte dobbiamo comunicarla per adempiere alla legge e, in caso di fusione, acquisizione o cessione di beni, quello che deteniamo passerebbe all’acquirente, con le garanzie previste dalla legge — a eccezione dei tuoi dati biometrici, che non passano mai per quella strada. E una parte il Servizio la pubblica per altre persone.

Fornitori di servizi che agiscono per noi. Questi fornitori trattano le informazioni su nostre istruzioni e per nessuna finalità propria. Didit è indicato nell’elenco che segue solo per completezza e oggi non tratta nulla per noi:

• Google Workspace — ospita le nostre caselle di posta, tra cui privacy@worldrepublic.org e legal@worldrepublic.org. Tutto ciò che ci scrivi a uno dei due indirizzi, e tutto ciò che invii insieme al messaggio — compreso quello che invii per dimostrare che una richiesta è tua (sezione 10.3) — è trattato da Google in quanto nostro fornitore. Anche gli avvisi operativi descritti più avanti alla voce Amazon Web Services vengono recapitati via email, e uno degli indirizzi a cui arrivano è sul nostro dominio. Quindi anche un avviso che contiene un indirizzo del portafoglio di destinazione è trattato da Google. L’accesso con Google è un rapporto diverso, e questa sezione lo descrive più avanti.
• Amazon Web Services (AWS) — quattro cose. Amazon Rekognition Face Liveness, Amazon S3 (immagini di riferimento) e Amazon Cognito (credenziali temporanee per ospiti), in quanto nostro fornitore di servizi per la verifica biometrica (regione UE). Amazon Simple Notification Service, che trasporta i nostri avvisi operativi. AWS CloudTrail, che tiene il log di audit di sicurezza dei nostri account cloud e il nostro registro degli accessi alle immagini dei controlli del volto (sezione 8). E Amazon Simple Email Service, che trasporta i due messaggi che dobbiamo a chi segnala un partito — che l’abbiamo ricevuta e che cosa abbiamo deciso. Quei messaggi vanno all’indirizzo che quella persona ci ha dato e contengono il nome del partito, la data e un riferimento; non contengono mai il motivo scelto né quello che la persona ha scritto. Un avviso ci segnala che qualcosa richiede attenzione — per esempio un prelievo andato storto, un account che ha raggiunto uno dei limiti che fissiamo sulla frequenza con cui può agire, una registrazione di partito che il controllo automatico non è riuscito a leggere oppure una distruzione di dati biometrici che non si è conclusa. Sono esempi, non l’elenco completo. Un avviso può contenere un indirizzo del portafoglio di destinazione, l’importo e la rete di un prelievo e il riferimento che diamo a quel prelievo nelle nostre registrazioni, l’identificativo interno di un account e l’identificativo di un partito. Se un trasferimento è stato inviato, un avviso può contenere anche l’hash di quella transazione sulla blockchain e il riferimento che il fornitore di pagamento le ha assegnato. Un avviso non contiene mai il nome o la descrizione di un partito, e non contiene mai ciò che il controllo automatico ha detto al riguardo.
• Didit — verifica dell’identità in caso di verifica supplementare. Al momento non è offerta e non detiene alcun nostro dato (sezione 4.2). Vedi la Verification Privacy Notice e gli End User Terms for Identity Verification di Didit.
• Coinbase — esegue i prelievi di WDD sulla blockchain; riceve l’indirizzo di destinazione, l’importo, la rete e il riferimento che diamo a quel prelievo nelle nostre registrazioni, e nient’altro.
• Neon — hosting del database per i dati del Servizio. Il nostro database è ospitato a Singapore, e Neon tratta dati anche negli Stati Uniti (sezione 7).
• Vercel — hosting dell’applicazione e log dell’infrastruttura. La nostra applicazione è ospitata a Singapore, e Vercel tratta dati anche negli Stati Uniti (sezione 7). Il suo AI Gateway trasporta inoltre la richiesta di controllo del partito delle sezioni 5.1 e 5.2 — un’unica richiesta — verso Baseten e verso nessun altro.
• Baseten — esegue i modelli linguistici che controllano le registrazioni dei partiti (sezioni 5.1 e 5.2); riceve il nome, la descrizione e il link del partito e il nome utente del leader, non ne conserva nulla una volta che la richiesta ha ricevuto risposta e non li usa per l’addestramento (Stati Uniti).

Un elenco aggiornato dei sub-responsabili del trattamento è disponibile su richiesta.

Google, quando accedi. L’accesso con Google è uno scambio tra te e Google, e Google decide autonomamente che cosa farne. Qui Google non agisce soltanto su nostre istruzioni, quindi per questo Google non è un nostro fornitore di servizi. Riceviamo un token di autenticazione e un identificativo del tuo account Google, e conserviamo soltanto l’identificativo (sezione 3.1). Che cosa fa Google di un accesso è regolato dall’informativa sulla privacy di Google (policies.google.com/privacy).

La nostra Community di assistenza. Le sezioni 4.1 e 5.1 ti indirizzano alla nostra Community di assistenza se vuoi che una persona esamini una decisione automatica. Quella community è un canale pubblico su Telegram. Quello che scrivi in quel canale è letto da Telegram e da tutte le altre persone che ne fanno parte. Non abbiamo il controllo di quel canale. Se preferisci non scrivere in pubblico, scrivi invece a privacy@worldrepublic.org: quella strada arriva alla stessa persona, e la sezione 10.1 la descrive.

Comunicazioni imposte dalla legge e passaggio del Servizio a un’altra organizzazione. Possiamo comunicare informazioni per adempiere alla legge o a richieste valide delle autorità pubbliche. Possiamo comunicare informazioni anche in caso di fusione, acquisizione o cessione di beni (con le garanzie previste dalla legge). I tuoi dati biometrici non fanno mai parte di un simile trasferimento. Non li vendiamo, non li diamo in locazione, non li scambiamo e non ne traiamo profitto in altro modo, e non li trasferiamo a un acquirente insieme al resto di quello che deteniamo. A parte il fornitore che li conserva per noi e su nostre istruzioni (sezione 4.3), comunichiamo i dati biometrici soltanto se vi acconsenti, se una legge lo impone o se un mandato o un ordine giudiziario validi lo obbligano. Una fusione, un’acquisizione e una cessione di beni non rientrano in nessuno di questi casi.

Pubblicato dal Servizio. Una parte di quello che fai viene mostrata ad altre persone. Non si tratta di una condivisione con un fornitore. È una pubblicazione, e non si può annullare chiedendo a un fornitore di smettere:

• Il registro dei partiti. Se registri un partito, il nome del partito, la descrizione, il link, il tuo nome utente e il totale dei WDD assegnati al partito come contributi sono pubblicati nel registro. Il registro è aperto: chiunque può leggerlo senza un account, e i motori di ricerca possono indicizzarlo.
• I prelievi. Un prelievo di WDD è una transazione pubblica sulla blockchain. L’indirizzo di destinazione, l’importo, la rete, l’ora e il riferimento che diamo a quel prelievo nelle nostre registrazioni sono pubblicati sulla blockchain, non da noi, e nessuno può rimuoverli. Scriviamo quel riferimento nella transazione perché si possa dimostrare che un prelievo è stato effettuato una volta e una volta soltanto. Il riferimento non è l’identificativo del tuo account. Ogni prelievo ha il proprio riferimento, e un riferimento appartiene a un solo prelievo. Per controllare che un prelievo sia stato effettuato, chiediamo a un servizio pubblico per la blockchain di cercare la transazione per noi. Quei servizi vedono quello che la blockchain già pubblica — l’indirizzo, l’importo e il riferimento — e nient’altro di quello che deteniamo su di te.
• I risultati delle elezioni. Il totale dei voti di ogni partito è pubblicato una volta chiusa l’elezione. Mentre un’elezione è in corso, non viene mostrato il totale di nessun partito, ma soltanto quante schede sono state espresse in tutto. Pubblichiamo soltanto i totali, mai una singola scheda. Se tutti hanno votato lo stesso partito, i totali possono comunque mostrare come hai votato a qualcuno che sa che hai votato; e, se hanno votato pochissime persone, a qualcuno che sa anche come hanno votato le altre (sezione 5.3). La sezione 5.3 dice quando una scheda può essere collegata a te nel nostro database.

Il tuo nome utente è il nome che compare in tutto questo, e sei tu a sceglierlo (sezione 3.1).

7. Trasferimenti internazionali di dati

La nostra sede è in Svizzera, che beneficia di una decisione di adeguatezza dell’UE, e siamo stabiliti anche nell’Unione europea (sezione 1). I tuoi dati sono trattati in più di un paese:

• I dati biometrici (modelli facciali e immagini di riferimento) sono trattati e conservati da AWS nell’Unione europea (Irlanda).
• Il log di audit di sicurezza dei nostri account cloud e il nostro registro degli accessi alle immagini dei controlli del volto (sezione 8): le voci che ti riguardano sono conservate nell’Unione europea — in Irlanda, dove si svolge il controllo del volto, e in Germania, dove conserviamo le nostre copie.
• I dati dell’account e dell’applicazione sono conservati nel nostro database presso Neon e distribuiti da Vercel. Entrambi si trovano a Singapore, e una parte di questi dati arriva anche negli Stati Uniti: l’accordo sul trattamento dei dati di Vercel dichiara che le sue principali strutture di trattamento sono negli Stati Uniti, e Neon contrattualizza tramite una società madre statunitense le cui condizioni indicano un fornitore statunitense per il monitoraggio dell’infrastruttura. Quello che viaggia per quella strada sono i log delle richieste e dei server — il tuo indirizzo IP, lo user-agent del tuo browser, la pagina che hai richiesto e, in alcune registrazioni di errore, l’identificativo interno di un account.
• Le registrazioni di partito sottoposte a controllo (nome, descrizione, link, nome utente del leader) sono inviate a Baseten negli Stati Uniti per il controllo automatico delle sezioni 5.1 e 5.2 e lì non vengono conservate.
• I dettagli dei prelievi — l’indirizzo di destinazione, l’importo, la rete e il riferimento che diamo a quel prelievo nelle nostre registrazioni — vanno a Coinbase, una società con sede negli Stati Uniti. Non abbiamo accertato in quali paesi Coinbase stessa tratti quei dati.
• Gli avvisi operativi sono trasportati da Amazon Simple Notification Service (sezione 6), e un avviso può contenere un indirizzo del portafoglio di destinazione, l’importo e la rete di un prelievo e il riferimento che diamo a quel prelievo nelle nostre registrazioni, l’identificativo interno di un account e l’identificativo di un partito. Se un trasferimento è stato inviato, un avviso può contenere anche l’hash di quella transazione sulla blockchain e il riferimento che il fornitore di pagamento le ha assegnato. Un avviso non contiene mai il nome o la descrizione di un partito, e non contiene mai ciò che il controllo automatico ha detto al riguardo. Quel servizio funziona nella regione Amazon che abbiamo configurato per esso, e quella regione può trovarsi al di fuori dell’Unione europea. L’avviso viene poi recapitato via email, e uno degli indirizzi a cui arriva è sul nostro dominio, che Google Workspace ospita negli Stati Uniti (sezione 6).
• I messaggi a chi ha segnalato un partito sono trasportati da Amazon Simple Email Service nell’Unione europea (Irlanda) — la stessa regione dei dati biometrici, in base allo stesso accordo.
• I dati di accesso vanno a Google, che li tratta negli Stati Uniti e in altri paesi.
• La verifica supplementare con documento d’identità della sezione 4.2 non invia nulla da nessuna parte, perché non è offerta e non è possibile avviare alcun controllo. La società Didit che contrattualizza con i clienti in Europa è Didit Identity Spain, S.L., e Didit dichiara che i suoi principali sistemi di trattamento si trovano all’interno dello Spazio economico europeo. Quella dichiarazione è di Didit, e non l’abbiamo verificata noi stessi. Prima che la strada sia offerta, confermeremo in questa sezione dove verrebbe trattato un controllo e indicheremo la garanzia che lo copre.
• Quello che scrivi a privacy@worldrepublic.org o a legal@worldrepublic.org è trattato negli Stati Uniti da Google Workspace (sezione 6).

Singapore non è coperta da una decisione di adeguatezza dell’UE o svizzera, e gli Stati Uniti lo sono soltanto per i destinatari certificati nell’ambito del Data Privacy Framework. Non ci basiamo su un’unica garanzia per tutti questi trasferimenti. Preferiamo dirti quale garanzia copre quale destinatario piuttosto che indicare uno strumento che non abbiamo:

• Vercel, e Baseten attraverso il gateway di Vercel: le clausole contrattuali tipo della Commissione europea e l’International Data Transfer Addendum del Regno Unito, entrambi incorporati nell’accordo sul trattamento dei dati di Vercel. Non abbiamo accertato se quell’accordo contenga anche l’integrazione richiesta dal diritto svizzero. Non abbiamo un accordo separato con Baseten.
• Google, per le nostre caselle di posta: le condizioni standard di Google Workspace, che incorporano l’addendum di Google sul trattamento dei dati e le clausole contrattuali tipo.
• Google, per l’accesso: nessuna nostra. Google decide autonomamente come gestisce un accesso, quindi qui non agisce soltanto su nostre istruzioni, e non abbiamo con Google alcun accordo sul trattamento dei dati per l’accesso. Google dichiara di essere certificata nell’ambito del Data Privacy Framework UE–USA. Non abbiamo ottenuto alcuno strumento separato per questo trasferimento.
• AWS: l’accordo AWS sul trattamento dei dati. I tuoi dati biometrici sono conservati nell’Unione europea (Irlanda) e non escono affatto dall’Unione europea. Quando scarichi una copia delle immagini dei tuoi controlli del volto (sezione 10.1), il tuo browser le recupera direttamente da AWS nell’Unione europea (Irlanda), ovunque tu sia: non passano dai nostri server e non conserviamo alcuna copia di ciò che scarichi. Gli avvisi operativi descritti sopra sono trasportati in base allo stesso accordo, nella regione Amazon che abbiamo configurato per quegli avvisi. I messaggi che inviamo a chi ha segnalato un partito sono trasportati in base a quello stesso accordo, nell’Unione europea (Irlanda).
• Neon: le condizioni standard di Neon, che si applicano automaticamente quando usiamo Neon. Le clausole di trasferimento di quel contratto si trovano nelle condizioni della società madre di Neon, e non le abbiamo ancora ottenute.
• Coinbase: le condizioni standard per sviluppatori di Coinbase. Riteniamo che quelle condizioni contengano un’appendice sui trasferimenti, e non lo abbiamo ancora verificato.

Se una decisione di adeguatezza copre un trasferimento — l’Unione europea e la Svizzera si riconoscono a vicenda — ci basiamo su quella decisione, e non serve nessun altro strumento.

Altre due cose che è meglio tu sappia piuttosto che debba presumere. Non abbiamo svolto una valutazione d’impatto sui trasferimenti per nessuno dei trasferimenti indicati sopra. Non ci basiamo su misure supplementari oltre alle misure di sicurezza della sezione 11. Stiamo lavorando per mettere in atto gli strumenti mancanti, e aggiorneremo questa sezione man mano che ciascuno sarà in essere.

Puoi chiederci una copia delle garanzie indicate sopra. Scrivi a privacy@worldrepublic.org (sezione 10.1).

8. Conservazione dei dati

9. Eliminazione dell’account

Puoi eliminare il tuo account nel Servizio. L’eliminazione distrugge i dati biometrici che AWS detiene per nostro conto e rimuove le registrazioni della tua verifica. Distrugge le tue credenziali di accesso — il collegamento al tuo account Google e qualsiasi passkey — così che non sia più possibile accedere a quell’account. Se accedi di nuovo in seguito, ottieni un account nuovo e vuoto. Sostituisce il tuo nome utente con uno generato casualmente e rimuove l’indirizzo IP e i dettagli del dispositivo conservati insieme alle registrazioni dei tuoi consensi. All’interno del nostro database, queste modifiche vengono apportate al nostro database principale, quello su cui funziona il Servizio. Il nostro fornitore di database conserva una cronologia di ripristino del database, che al momento impostiamo a circa sei ore, e backup propri, che dichiara di conservare per 30 giorni; non abbiamo ancora verificato con il fornitore che cosa coprano quei backup. Ciò che eliminiamo resta in quella cronologia e in quei backup finché non scadono. Facciamo una copia del nostro database solo per provare una modifica al Servizio o per il ripristino dopo un guasto, e la eliminiamo quando quel lavoro termina. Una copia fatta prima che eliminassi il tuo account conserva ciò che conteneva finché non viene eliminata, e dopo può restare nei backup del fornitore finché questi non scadono. Lo stesso vale per ogni registrazione che, secondo la sezione 8, eliminiamo dal nostro database.

Eliminare l’account comporta anche la perdita del saldo in WDD e l’annullamento delle ricompense in corso — le ricompense che ti venivano ancora erogate. Questa è una clausola dei Termini di utilizzo più che una questione di privacy, ed è la sezione 8.5 dei Termini di utilizzo a stabilirla. Se vuoi conservare il tuo saldo, prelevalo prima di eliminare l’account. Non devi eliminare il tuo account per far distruggere i tuoi dati biometrici: la sezione 4.4 descrive quella strada separata, e usarla lascia intatto il tuo saldo in WDD.

L’eliminazione non rimuove tutto, e preferiamo dire che cosa resta piuttosto che definirlo anonimo. Il tuo account ha un identificativo interno che non eliminiamo, e quasi tutte queste registrazioni restano collegate a quell’identificativo:

• Il fatto che hai votato in ogni elezione di prova, e quando — non per quale partito hai votato, un dato che non è conservato insieme al tuo account. La sezione 5.3 indica quando una scheda può ancora essere collegata alla persona che l’ha espressa. La registrazione del fatto che hai votato è conservata perché l’affluenza di ogni elezione resti veritiera.
• Il tuo storico dei WDD — ogni ricompensa che ti è stata assegnata, conservata come la ricompensa in corso che l’ha versata sul tuo saldo, ogni variazione di quella ricompensa in corso e ogni prelievo che hai effettuato: l’indirizzo del portafoglio di destinazione, l’importo e la rete e, nei casi in cui non è stato possibile inviare un prelievo, la registrazione di quel tentativo. Il tuo saldo viene azzerato e le tue ricompense in corso vengono rimosse, ma la registrazione di ciò che è stato assegnato e di ciò che è stato pagato resta. È il nostro storico dei WDD che abbiamo assegnato e dei WDD che abbiamo pagato (sezione 8).
• Il codice di invito generato per il tuo account, che nulla nel Servizio usa (sezione 3.1).
• La prova di ogni consenso che hai dato e di ogni consenso che hai revocato — quale documento, quale versione, quando, la lingua e la schermata su cui è stata mostrata la dichiarazione e, per il consenso al conteggio di un voto, quale elezione (sezione 8).
• Il fatto che hai confermato di avere almeno 18 anni, e quando — conservato come prova che lo abbiamo chiesto e che hai risposto (sezione 3.1). Non deteniamo nessuna data di nascita, quindi non c’è nessuna data di nascita da rimuovere.
• Un partito che hai registrato, che resta nel registro. Il nome utente generato casualmente sostituisce, come nome del leader di quel partito, il nome utente che avevi scelto.
• Gli avvisi operativi su qualcosa che è andato storto, e le loro copie nelle caselle di posta che li ricevono — un avviso può contenere un indirizzo del portafoglio di destinazione, l’importo e la rete di un prelievo e il riferimento che diamo a quel prelievo nelle nostre registrazioni, l’identificativo interno di un account e l’identificativo di un partito. Se un trasferimento è stato inviato, un avviso può contenere anche l’hash di quella transazione sulla blockchain e il riferimento che il fornitore di pagamento le ha assegnato. Un avviso non contiene mai il nome o la descrizione di un partito, e non contiene mai ciò che il controllo automatico ha detto al riguardo. Un avviso è un messaggio su un singolo evento più che una registrazione conservata sotto il tuo account, quindi contiene quelli tra questi identificativi che quell’evento aveva. L’eliminazione del tuo account non li elimina (sezione 8).
• I log dei server e degli errori, che i nostri fornitori di hosting e di database conservano per un periodo che non controlliamo. Una riga di log può contenere l’identificativo interno del tuo account, l’indirizzo da cui è arrivata una richiesta e la pagina richiesta. L’eliminazione del tuo account non elimina questi log (sezione 8).
• Il log di audit di sicurezza dei nostri account cloud e il nostro registro degli accessi alle immagini dei controlli del volto (sezione 8, che indica per quanto tempo è conservato ciascuno). Le loro voci possono contenere l’identificativo interno del tuo account o indicare una delle tue sessioni di controllo del volto. Le voci relative ai tuoi controlli del volto possono contenere anche un identificativo che AWS ha assegnato al tuo browser. Le voci relative ai tuoi controlli dal vivo e ai download che fai tu stesso delle immagini dei tuoi controlli del volto contengono anche l’indirizzo IP e lo user-agent del browser, e la voce relativa all’aggiunta del tuo volto alla raccolta annota dove si trovano i tuoi occhi, il naso e la bocca nell’immagine di riferimento e l’angolazione della tua testa, mai l’immagine né il modello. La distruzione dei tuoi dati del volto avviata dall’eliminazione aggiunge voci proprie, e l’eliminazione del tuo account non elimina nessuna di queste voci.
• Le date sull’account stesso — quando l’account è stato creato, quando è cambiato l’ultima volta e quando è stato eliminato.

Quelle registrazioni sono pseudonimizzate, non anonime, e vale la pena dire la differenza. Nessuna di esse contiene il tuo indirizzo email. Nessuna contiene il tuo nome o il nome utente che avevi scelto. Quasi tutte queste registrazioni restano collegate allo stesso identificativo interno, quindi si possono ancora leggere come le registrazioni di un solo account. Alcuni tipi di registrazione fanno eccezione, e ciascuno è indicato sopra: un avviso operativo è un messaggio su un singolo evento più che una registrazione conservata sotto un account, e una riga di log di un server o di un errore, o una voce del log di audit di sicurezza o del nostro registro degli accessi alle immagini dei controlli del volto, contiene l’identificativo interno solo in alcuni casi. Un indirizzo del portafoglio di destinazione è più di un identificativo pseudonimo: è un identificativo permanente su una blockchain pubblica, e chiunque conosca già un tuo indirizzo può vedere i pagamenti fatti a quell’indirizzo. Definire anonime queste registrazioni non sarebbe vero, quindi non le definiamo così.

Puoi salvare una copia dei tuoi dati prima di eliminare l’account, ed è meglio farlo prima (sezione 10.1). Una volta eliminato l’account quella strada non c’è più: la copia viene creata per un account a cui si è effettuato l’accesso, e a un account eliminato non si può accedere. In seguito non avremmo nemmeno modo di accertare che una richiesta su un account eliminato provenga dalla persona a cui quell’account apparteneva (sezione 10.3). La copia nell’app non contiene le immagini dei tuoi controlli del volto; sono un download separato, in Account → Verifica, e come la copia non possono essere scaricate una volta eliminato l’account.

I voti che hai espresso restano conteggiati. La tua scelta fa parte del totale del partito e non è conservata insieme al tuo account, quindi non c’è nulla di essa che possiamo rimuovere separatamente. L’eliminazione del tuo account registra come revocato, in quel giorno, il tuo consenso al loro conteggio. Se un’elezione di prova in cui hai votato è ancora in corso quando elimini l’account, i tuoi dati biometrici vengono distrutti alla chiusura di quell’elezione anziché subito (vedi la sezione 4.5).

10. I tuoi diritti

A seconda di dove vivi, puoi avere i diritti indicati di seguito. Esercitarli di norma non ti costa nulla (sezione 10.5), e non riceverai un trattamento diverso per averli esercitati.

• UE/SEE e Regno Unito (GDPR / UK GDPR): accesso, rettifica, cancellazione, limitazione, portabilità, opposizione e revoca del consenso. Se una decisione che ti riguarda è stata presa unicamente con mezzi automatizzati e produce effetti significativi nei tuoi confronti — il rifiuto descritto nella sezione 4.1 e la decisione sull’inserimento negli elenchi della sezione 5.1 — hai anche il diritto di ottenere l’intervento umano da parte nostra, di esprimere la tua opinione e di contestare la decisione; scrivi a privacy@worldrepublic.org. Prendiamo entrambe queste decisioni con mezzi automatizzati perché ciascuna di esse è necessaria per il servizio che ci hai chiesto. Per il rifiuto, quel servizio è un’elezione di prova in cui una persona verificata ha un voto. Per la decisione sull’inserimento negli elenchi, quel servizio è un registro in cui ogni voce è una registrazione autentica di un partito. Il rifiuto decide su dati appartenenti a categorie particolari — i tuoi dati biometrici — e la condizione su cui ci fondiamo per questo è il consenso esplicito che dai al controllo del volto (sezione 4.4). La decisione sull’inserimento negli elenchi non viene mai presa in base alle opinioni politiche espresse da una registrazione; quelle opinioni vengono lette soltanto in quanto parte del testo sottoposto a controllo, e sei tu a renderle pubbliche registrando il partito per la pubblicazione (sezione 5.1). La risposta della sezione 5.2 è diversa sotto entrambi gli aspetti: legge effettivamente la posizione che un partito pubblica sull’IA, e non cambia nulla sul modo in cui viene mostrato il tuo partito, a meno che un lettore non chieda di vedere solo i partiti che dicono che cosa vogliono in materia di IA (sezione 5.2). Puoi chiedere che una persona la riesamini, e puoi opporti, perché in questo caso ci fondiamo sul nostro legittimo interesse (sezione 10.6). Puoi presentare un reclamo alla tua autorità di controllo locale; ai fini del GDPR dell’UE la nostra autorità di controllo capofila è la NAIH ungherese (sezione 14).
• Svizzera (nLPD): accesso, rettifica, cancellazione, portabilità dei dati (art. 28 nLPD), opposizione e diritto di presentare un reclamo all’Incaricato federale della protezione dei dati e della trasparenza (IFPDT). Per il rifiuto automatico descritto nella sezione 4.1 puoi anche esprimere la tua posizione e chiedere che la decisione sia riesaminata da una persona.
• Brasile (LGPD): la conferma che trattiamo i tuoi dati, l’accesso, la correzione, l’anonimizzazione o la cancellazione, la portabilità, le informazioni su con chi abbiamo condiviso i tuoi dati e la revoca del consenso.
• California (CCPA/CPRA): sapere, cancellare, correggere, opporti alla vendita/condivisione (non vendiamo né condividiamo) e limitare l’uso delle informazioni personali sensibili (che comprendono i dati biometrici).
• Leggi biometriche (BIPA dell’Illinois, CUBI del Texas, Washington): otteniamo il tuo consenso prima di raccogliere dati biometrici, non li vendiamo, non li diamo in locazione, non li scambiamo e non ne traiamo profitto in altro modo, e seguiamo un programma scritto di conservazione e distruzione. Non fanno mai parte di una fusione, di un’acquisizione o di una cessione di beni (sezione 6).

Puoi revocare in qualsiasi momento il tuo consenso al conteggio della tua scheda (sezione 5.3): nell’app, apri Account → Verifica → Revoca il mio consenso al trattamento del voto. La revoca copre ogni elezione in cui hai votato, e registriamo il giorno in cui revochi il consenso (sezione 8). La revoca non pregiudica la liceità del conteggio dei tuoi voti effettuato prima della revoca. Un voto già conteggiato resta nel totale del partito: la tua scelta fa parte di quel totale e non è conservata insieme al tuo account, quindi non c’è nulla di essa che possiamo rimuovere separatamente (sezione 9). La revoca non accorcia i periodi indicati nella sezione 5.3 durante i quali una scheda può ancora essere collegata a te. Al tuo prossimo voto, il consenso ti viene chiesto di nuovo.

10.1 Come esercitarli

Ci sono due strade. La prima risponde all’accesso e alla portabilità sul momento, senza chiedere nulla a nessuno.

• Nell’app. Apri le impostazioni del tuo account; alla voce Account c’è una riga chiamata I tuoi dati. Crea una copia di tutto quello che deteniamo su di te e che possiamo raggiungere dal tuo account — una pagina che puoi leggere e un file leggibile da dispositivo automatico che puoi consegnare a un altro servizio. Viene creata nel momento in cui la chiedi, per l’account che la chiede, e non è conservata da nessuna parte: non ne teniamo alcuna copia e non esiste nessun link che si possa inviare a qualcun altro. Questa è la nostra risposta all’accesso e alla portabilità, e non devi chiedercela. Questa copia non contiene le immagini che i tuoi controlli del volto hanno lasciato presso di noi: restano fuori da un file pensato per essere consegnato ad altri. Scaricale invece da Account → Verifica, dove arrivano in un file a sé — tutte le immagini conservate sotto i tuoi controlli del volto, e mai una conservata sotto quelli di qualcun altro. L’eliminazione del tuo account si trova sulla stessa schermata.
• Per iscritto. Tutto il resto — rettifica, limitazione, opposizione, una domanda sui dati detenuti dai nostri fornitori (sezioni 4.3 e 6) o un reclamo su una decisione — va a privacy@worldrepublic.org.

L’accesso non ci lascia nessun tuo indirizzo email (sezione 3.1), quindi di norma possiamo rispondere solo a un indirizzo da cui ci scrivi. C’è un’eccezione, ed è circoscritta. Se segnali un partito, conserviamo l’indirizzo che hai indicato nella segnalazione, e lo usiamo per quella segnalazione e per nient’altro: per confermarti che l’abbiamo ricevuta e per dirti che cosa abbiamo deciso. Non lo usiamo per rispondere a un’altra domanda, per informarti di una modifica a questa informativa o per inviarti qualcosa che non hai chiesto. Fa parte anche della registrazione della decisione, ed è per questo che la sezione 8 lo conserva invece di eliminarlo una volta inviati entrambi i messaggi.

10.2 Quanto tempo impieghiamo

Balázs Kónya, membro del consiglio direttivo, è responsabile di rispondere alle richieste inviate a privacy@worldrepublic.org, entro i termini indicati di seguito. Non promettiamo un termine interno più breve di quello che la legge richiede: un obiettivo che nessuno rispetta è peggio del termine di legge rispettato, e i termini indicati di seguito sono quelli a cui lavoriamo.

Il termine decorre dal giorno in cui la tua richiesta ci arriva — non dal giorno in cui finiamo di identificarti e non dal giorno in cui troviamo quello che hai chiesto. Ai sensi del GDPR e dell’UK GDPR rispondiamo senza ingiustificato ritardo e comunque entro un mese dal ricevimento. Se una richiesta è complessa, o se ne hai presentate più di una, possiamo impiegare fino ad altri due mesi; te lo diremo entro il primo mese, insieme al motivo.

Se la legge del luogo in cui vivi stabilisce qualcosa di diverso, è quello che facciamo:

• Regno Unito. Se abbiamo ragionevolmente bisogno di altre informazioni per identificarti o per trovare quello che hai chiesto, il termine si sospende dal giorno in cui le chiediamo al giorno in cui rispondi. Le chiediamo solo se davvero non possiamo procedere senza.
• Brasile. Confermiamo se trattiamo i tuoi dati e ti diamo accesso a essi in forma semplificata immediatamente e in forma completa entro 15 giorni dalla tua richiesta.
• Svizzera. Di norma rispondiamo entro 30 giorni. La risposta contiene quanto l’art. 25 cpv. 2 nLPD impone che contenga, compresi i destinatari o le categorie di destinatari a cui vanno i tuoi dati e, se vanno all’estero, in quale paese e le garanzie su cui ci fondiamo — le sezioni 6 e 7 indicano entrambe le cose in anticipo.
• California. Confermiamo il ricevimento entro 10 giorni lavorativi e rispondiamo entro 45 giorni, che possiamo prorogare una volta di altri 45 giorni se ti diciamo il motivo.

10.3 Come sappiamo che sei tu

Non deteniamo nessun tuo documento d’identità e nessun indirizzo, quindi la scala indicata di seguito è quello che abbiamo. La percorriamo dall’alto e ci fermiamo al primo gradino che ti identifica.

1. Il tuo account con l’accesso effettuato. La copia nell’app e il download delle immagini dei tuoi controlli del volto vengono creati per l’account che li chiede, nel momento in cui li chiede. Nulla ti identifica meglio, ed è per questo che è la prima strada della sezione 10.1 e non una comodità.
2. Una passkey registrata su quell’account. Se non riesci a raggiungere l’app, possiamo chiederti di completare un accesso con passkey usando una credenziale che l’account già possiede.
3. L’account Google collegato. Se hai effettuato l’accesso con Google, possiamo chiederti di dimostrare che controlli quell’account accedendo con esso.
4. Altre informazioni. Se nessuna di queste strade è possibile, possiamo chiederti le ulteriori informazioni di cui abbiamo ragionevolmente bisogno per accertare che la richiesta sia tua, e nient’altro.
5. Un rifiuto scritto. Se comunque non riusciamo ad accertarlo, te lo diremo per iscritto, entro il termine della sezione 10.2, con le nostre motivazioni e con la strada per il reclamo indicata nella sezione 10.4. Preferiamo rifiutare una richiesta che non riusciamo ad attribuire piuttosto che rispondere alla persona sbagliata.

Non accetteremo mai un indirizzo del portafoglio come prova della tua identità. I prelievi avvengono su blockchain pubbliche, quindi un indirizzo che hai usato è qualcosa che chiunque legga la blockchain può indicare; conoscerlo non dimostra nulla, e firmare un messaggio da quell’indirizzo dimostrerebbe il controllo di una chiave, non di questo account.

Non ti chiederemo nemmeno un documento d’identità per rispondere a una richiesta. Non deteniamo nessun documento d’identità con cui confrontarlo, quindi non ci direbbe nulla e ti costerebbe più di quanto la richiesta valga.

10.4 Se rifiutiamo

Se non diamo seguito alla tua richiesta ti diremo perché, entro il termine della sezione 10.2, e ti diremo che cosa fare dopo. Puoi presentare un reclamo all’autorità per la protezione dei dati del luogo in cui vivi — ai fini dell’UE la NAIH ungherese, in Svizzera l’IFPDT, nel Regno Unito l’ICO (sezione 14) — e puoi rivolgerti a un tribunale. Nessuna delle due cose dipende dal nostro consenso.

Nel Regno Unito hai anche il diritto di presentare un reclamo direttamente a noi. Confermeremo la ricezione di un reclamo entro 30 giorni e ti comunicheremo l’esito senza ingiustificato ritardo. Presentare un reclamo a noi non è una condizione per presentarlo all’ICO.

10.5 Quanto costa

Nulla. Se una richiesta è manifestamente infondata o eccessiva — in particolare se ripete una richiesta a cui abbiamo già risposto — la legge ci consente di chiedere un contributo spese ragionevole o di rifiutare, e se mai facessimo l’una o l’altra cosa diremmo quale e perché. Preferiamo rifiutare una richiesta motivandola piuttosto che mettere un prezzo su tutte le altre.

Il file leggibile da dispositivo automatico e il download delle immagini dei tuoi controlli del volto condividono un piccolo limite al numero di copie che possono essere fatte in un qualsiasi arco di 24 ore. Non è un costo e non riguarda la capacità: serve a impedire che qualcuno che si impossessi della tua sessione possa portare via in silenzio tutti i tuoi dati, una volta dopo l’altra. Non ti impedisce mai di leggere la copia sullo schermo, e non ti impedisce mai di scriverci.

10.6 Due diritti che gestiamo a mano

L’accesso, la portabilità e la cancellazione sono nell’app e non richiedono alcuna richiesta. La limitazione e l’opposizione no. Non abbiamo nessun interruttore che sospenda il trattamento di una parte dei tuoi dati lasciando funzionare il resto, quindi una richiesta di limitazione o di opposizione la eseguiamo noi, a mano, caso per caso, entro i termini della sezione 10.2. Scrivici, dicci che cosa vuoi far cessare e che cosa c’è nella tua situazione che lo rende rilevante, e la valuteremo e ti diremo che cosa abbiamo fatto. Preferiamo dirti che è un procedimento manuale piuttosto che lasciartelo dedurre dal tempo che ci vuole.

11. Sicurezza

Usiamo il TLS per i dati in transito e un’archiviazione con controllo degli accessi. L’accesso diretto al nostro database è limitato alle persone che autorizziamo a gestire il Servizio, ai nostri fornitori di database e di hosting e al software che usiamo per gestire il Servizio. Facciamo una copia del nostro database solo per provare una modifica al Servizio o per il ripristino dopo un guasto, e la eliminiamo quando quel lavoro termina. Una copia contiene gli stessi dati, e la sezione 9 indica per quanto tempo conserva ciò che eliminiamo. Nessun sistema è perfettamente sicuro, ma lavoriamo per proteggere i tuoi dati.

12. Minori

Il Servizio è per adulti di almeno 18 anni. Prima di verificare la tua identità ti chiediamo di confermare che hai almeno 18 anni, e non verifichiamo chi non lo conferma. Registriamo soltanto che la conferma è stata data e quando; non ti chiediamo la data di nascita.

Non raccogliamo consapevolmente dati da persone di età inferiore a 18 anni. Se veniamo a sapere che deteniamo dati su una persona di età inferiore a 18 anni, chiudiamo il suo account e distruggiamo i suoi dati biometrici come stabilisce la sezione 2 della nostra Informativa sulla conservazione e distruzione dei dati biometrici. Se pensi che una persona di età inferiore a 18 anni abbia un account, scrivi a privacy@worldrepublic.org.

13. Modifiche

Possiamo aggiornare questa informativa. Quando lo facciamo, pubblichiamo il nuovo testo su questa pagina e aggiorniamo la data di “Ultimo aggiornamento” qui sopra. Una modifica a questa informativa ha effetto nel momento in cui la pubblichiamo. Questa informativa descrive quello che facciamo davvero con i tuoi dati, quindi deve diventare vera nello stesso momento in cui diventa vero ciò che descrive; rinviare una modifica di un mese significherebbe soltanto che questa informativa è stata sbagliata per un mese. Non è lo stesso per i Termini di utilizzo. I Termini di utilizzo sono l’accordo tra te e noi, e la sezione 14 dei Termini di utilizzo ti dà 30 giorni prima che una modifica sostanziale a quell’accordo si applichi a te.

Una modifica è più lenta di proposito. Se mai allungassimo il periodo per cui conserviamo i dati biometrici, il periodo più lungo non si applica ai dati che già deteniamo finché la modifica non è stata pubblicata per 30 giorni. La sezione 6 dell’Informativa sulla conservazione e distruzione dei dati biometrici lo stabilisce, e vale per il periodo indicato nella sezione 4.5 e nella tabella di conservazione della sezione 8.

Non possiamo inviarti un avviso quando questa informativa cambia. L’accesso non ci lascia nessun indirizzo email, nessun numero di telefono e nessun indirizzo postale, perché deliberatamente non ne conserviamo (sezione 3.1), e il Servizio non contiene nessun banner o messaggio che possa avvisarti. Se hai segnalato un partito deteniamo l’indirizzo che hai indicato nella segnalazione — e non lo useremo per questo, né per nient’altro che non sia quella segnalazione (sezione 10.1). È una conseguenza del fatto che conserviamo così poco: a parte un indirizzo indicato in una segnalazione, non deteniamo alcun tuo recapito. La sezione 10.1 dice la stessa cosa per tutto il resto — possiamo rispondere solo a un indirizzo da cui ci scrivi. Quindi questa pagina è l’avviso: il testo attuale è sempre qui, e la data qui sopra è la data in cui abbiamo modificato questa informativa l’ultima volta.

Questa informativa è redatta in inglese e la pubblichiamo in altre lingue. La versione che si applica a te è quella nella lingua in cui il Servizio te l’ha mostrata. Dove quella versione e il testo inglese divergono, si applica il significato più favorevole a te.

14. Contatti

• Privacy: privacy@worldrepublic.org
• Contatto nell’Unione europea: Balázs Kónya, membro del consiglio direttivo, 3626 Hangony, Dózsa György út 5., Ungheria (privacy@worldrepublic.org)
• Autorità di controllo capofila nell’UE: Autorità nazionale ungherese per la protezione dei dati e la libertà d’informazione (NAIH), Budapest — naih.hu
• Autorità di controllo svizzera: Incaricato federale della protezione dei dati e della trasparenza (IFPDT), Berna
• Autorità di controllo del Regno Unito: Information Commissioner’s Office (ICO), Wilmslow — ico.org.uk