Riservatezza

Chi lo manda avanti

Castarot è mandato avanti da una persona sola, a titolo privato. Dietro non c’è nessuna società. Per qualsiasi cosa scritta qui — compresa la richiesta di cancellare o esportare i tuoi dati — scrivi a [email protected].

Cosa viene tenuto

La domanda che scrivi. Le carte uscite e in che verso. La lettura scritta per te. Ogni domanda successiva e la risposta. Se hai lasciato un’eco, quello che hai annotato dopo come accaduto davvero, e la risposta del lettore. Il lettore e la stesa che hai scelto, e la lingua della pagina.

Se entri, qualche cosa in più: il tuo indirizzo e-mail, il momento in cui è stato confermato, la lingua in cui hai fatto l’accesso, una forma rimescolata della tua password da cui non si può risalire all’originale (non la password in sé — vedi sotto) e, solo se ne scegli una, quale carta hai preso come tuo segno. Niente nome, niente profilo.

La domanda e l’esito sono la parte delicata: testo libero sulla tua situazione, dove magari hai scritto qualcosa che non vorresti restasse. Per questo il comando di cancellazione li toglie sul momento, e per questo, nelle letture senza account, sono la prima cosa che viene svuotata alla scadenza del periodo di conservazione.

Entrare lascia una traccia propria, breve e tenuta separata dalle letture. Un codice monouso mandato per e-mail resta solo come impronta e viene buttato una settimana dopo la scadenza. Il messaggio che lo portava tiene il testo una settimana, poi quel testo viene svuotato e la riga sparisce dopo novanta giorni. Il conteggio dei tentativi di accesso, password sbagliate comprese, viene conservato per trenta giorni, così nessuno può martellare la porta, e un tentativo respinto viene annotato, con l’indirizzo da cui arrivava, per novanta giorni. Niente di tutto questo serve ad altro.

C’è un’altra cosa che viene contata, e non parla di te. Quando scegli una musica di sottofondo, il sito aggiunge 1 a un totale per quel brano, quel giorno e quella lingua di pagina. È un numero, non una registrazione: niente lo lega a te, al tuo cookie o a una lettura, quindi lì dentro non c’è nulla da consultare né nulla da cancellare. La tua scelta resta solo nel tuo browser.

Pagare aggiunge due cose e niente di più. Una è il registro della sabbia: quanta ne è arrivata o ne è stata spesa, quando, e a quale lettura è andata. L’altra è un solo numero di riferimento che Lemon Squeezy ti dà come cliente, perché un acquisto successivo o una disdetta vengano ricondotti alla stessa persona. La carta non ne fa parte, e nemmeno l’indirizzo di fatturazione: né l’una né l’altro arrivano mai su questo sito.

Cosa non viene tenuto

Non la tua password così come l’hai digitata. Quello che si conserva è un hash con sale (PBKDF2-SHA256, 600.000 iterazioni): permette di stabilire se una password è giusta, ma non si può riportare alla password di partenza, quindi nemmeno questo sito può leggere la tua. Niente nome, niente profilo, niente foto. Niente dati della carta né indirizzo di fatturazione: la carta la gestisce Lemon Squeezy sulle sue pagine e qui non arriva mai. Nessuna statistica di terzi: questo sito non carica nemmeno uno script altrui, quindi niente Google Analytics, niente Clarity, nessun pixel pubblicitario.

Il tuo indirizzo IP non viene scritto nel database per nulla di ciò che peschi o scrivi. L’unica eccezione è il meccanismo di accesso, descritto sopra: i tentativi vengono contati per indirizzo così che non si possa martellare la porta, e un tentativo respinto viene annotato con l’indirizzo da cui arrivava. Entrambi si ripuliscono da soli nei tempi indicati. A parte questo, un indirizzo compare per poco nel registro del server come su qualsiasi server web, e viene usato nel momento della richiesta per verificare col DNS inverso se un visitatore che si dichiara crawler di ricerca lo è davvero. Della registrazione del crawler restano solo user agent, percorso e lingua — non l’indirizzo.

Chi sei qui

Senza account, questo browser è la tua identità. Alla prima pescata il sito mette un id casuale in un cookie chiamato cst_a. Non contiene nulla su di te: esiste solo perché un lettore riconosca che due letture vengono dalla stessa persona. Il cookie è http-only, passa solo su https, non è condiviso con altri siti e dura un anno.

È un’arma a doppio taglio, ed è bene saperlo prima di farci affidamento: su un altro browser, su un altro dispositivo, o dopo aver cancellato i cookie, qui sei un’altra persona. Le letture di prima non spariscono, ma niente può più collegarti a esse — il che vuol dire anche che da lì non si possono cancellare.

L’account è la via d’uscita. Se accedi, è invece l’indirizzo a fare da identità: le letture fatte su quel browser passano all’account la prima volta che accedi da lì, e ciò che vi viene estratto in seguito senza accesso passa all’account la volta successiva in cui si accede con lo stesso account, mai a un account diverso. Da lì in poi la stessa cronologia ti segue su ogni dispositivo da cui accedi, e quando esci quel browser mostra solo ciò che vi è stato estratto senza account. La sessione risiede in un secondo cookie, cst_session, che è firmato anziché memorizzato, e dura trenta giorni.

Chi altro ci mette mano

La lettura la scrive un grande modello linguistico gestito da DeepSeek. Per produrla, la tua domanda, le carte e le istruzioni del lettore vanno all’API di DeepSeek. Se preferisci che una certa domanda non la veda mai un terzo, non scriverla: pesca senza domanda; una lettura aperta funziona.

Il database è Neon, ospitato su AWS a Singapore. Il sito gira su un server ConoHa in Giappone, dietro Cloudflare, che vede passare le richieste. Le email di accesso, e ogni lettura che scegli di inviarti per email, partono da Amazon SES a Tokyo, che vede l’indirizzo a cui le consegna e, nel caso di una lettura, il suo contenuto. Una copia di quel messaggio viene conservata per sette giorni, così da poter ripetere un invio non riuscito; poi il testo viene cancellato e resta solo l’indicazione che è stato inviato. Condividere una lettura non salva nulla di nuovo: è il link stesso a indicare di quale lettura si tratta, quando smette di funzionare (30 giorni dopo) e se la tua domanda viene mostrata. Se invii una lettura all’indirizzo di qualcun altro, quell’indirizzo viene conservato insieme al messaggio per gli stessi sette giorni e poi sostituito da un’impronta non reversibile, che permette al sito soltanto di contare e bloccare gli invii ripetuti; se quella persona chiede di non ricevere più nulla, viene conservata solo quell’impronta. Se compri sabbia, il venditore è Lemon Squeezy (Sold through Link, LLC, in precedenza Lemon Squeezy LLC, negli Stati Uniti): incassa il pagamento, vede la tua carta e i dati di fatturazione e li tratta secondo la propria informativa sulla privacy. La lista è tutta qui.

Per quanto tempo resta

Con un account, quello che hai scritto resta finché non lo togli tu. Niente scade a tempo, perché hai un modo per riprenderlo: il comando di cancellazione qui sotto e un indirizzo a cui scrivere.

Senza account è il contrario, e di proposito: dopo 180 giorni la domanda, la lettura, le domande successive e l’esito vengono svuotati. Chi non ha un account non può tornare più tardi a toglierli, così il sito lo fa al posto suo. La riga in sé resta — quali carte sono uscite e quando è ciò che permette a un lettore di dire «questa ti torna per la terza volta», e quella parte non è privata allo stesso modo.

Non è una frase scritta per sembrare responsabili. È un processo programmato sul server, e a ogni esecuzione viene stampato il numero di record ancora oltre la scadenza. All’ultima esecuzione quel numero era zero.

Cancellare

Se hai effettuato l’accesso, il comando è in fondo alla tua pagina. Elimina l’account, tutto ciò che vi è stato scritto, l’indirizzo stesso e i record che il sistema di accesso aveva conservato. Prima ti mostra quanti elementi ci sono, manda un codice al tuo indirizzo per verificare che la richiesta sia davvero tua e, una volta che lo inserisci, cancella — subito, non in coda.

Senza account, lo stesso tipo di comando sta nella pagina Info e toglie tutto ciò che è conservato per questo browser: ogni lettura, ogni domanda successiva, ogni eco. L’id nel cookie viene scartato nello stesso momento, così la lettura successiva riparte da zero.

Nessuna delle due cancellazioni si può annullare. Se preferisci avere prima una copia, o se hai perso il browser che conteneva l’id, scrivi a [email protected].

Cancellare l’account sistema anche la parte economica. L’abbonamento viene disdetto perché non venga più addebitato nulla, e un piano annuale viene rimborsato per i mesi interi che non avevi ancora ricevuto. Se qualcosa di tutto ciò non si può completare, la cancellazione si ferma e ti viene detto perché: meglio esistere ancora qui che essere cancellati mentre un addebito resta attivo. Una cosa resta: la traccia di quanto è stato pagato rimane presso Lemon Squeezy, perché la legge impone di tenere la contabilità. È una ricevuta; delle tue domande e delle tue letture non contiene nulla.

I tuoi diritti

Se sei nel SEE o nel Regno Unito, il GDPR ti dà il diritto di vedere cosa è conservato, correggerlo, farlo cancellare, limitarne l’uso o opporti a esso e portarne una copia altrove. Se sei in California, la CCPA ti dà diritti analoghi, e questo sito non vende né condivide informazioni personali nel senso inteso da quella legge. La base giuridica per conservare una lettura è l’interesse legittimo a che il sito funzioni come dice di funzionare — un lettore che ricorda; per l’account è l’accordo che concludi effettuando l’accesso. Tutti questi diritti si possono esercitare con il comando di cancellazione o scrivendo a [email protected]. Non costa nulla, e per chiedere non serve un account. Puoi anche presentare reclamo all’autorità per la protezione dei dati del tuo paese.

Età

Questo sito non è per chi ha meno di 13 anni, o meno dell’età minima più alta prevista dove vivi, se il tuo paese ne fissa una. Sotto i 18, usalo con il permesso di un genitore o di chi ne fa le veci. Se qualcosa qui è stato scritto da un bambino, dimmelo e lo tolgo.

Modifiche

Questa pagina cambia quando cambia il sistema, non il contrario. La data in alto dice quando è stata vera l’ultima volta. Se cambia qualcosa di sostanziale — un nuovo responsabile del trattamento, una conservazione più breve o più lunga, qualcosa di nuovo che viene tenuto — la data viene aggiornata e la sezione dice cosa è cambiato. Domande: [email protected].

Evoluzione del dorso delle carte

Se scegli di far crescere un set di dorsi, il tuo account memorizza il set scelto, il tipo e la data (ora del Giappone) di ogni attività premiata, i relativi punti crescita, gli aspetti sbloccati e l’aspetto equipaggiato. In questa registrazione non viene copiato alcun testo di domande o risposte. La cancellazione della cronologia delle letture non rimuove questi progressi né i tuoi sblocchi; l’eliminazione dell’account li rimuove. La sabbia spesa per un aspetto viene annotata nel registro della sabbia.