Riservatezza

Chi lo manda avanti

Castarot è mandato avanti da una persona sola, in privato. Dietro non c’è nessuna società. Per qualsiasi cosa scritta qui — compresa la richiesta di cancellare o esportare i tuoi dati — scrivi a [email protected].

Cosa viene tenuto

La domanda che scrivi. Le carte uscite e in che verso. La lettura scritta per quella domanda. Ogni domanda successiva e la risposta. Se hai lasciato un’eco, quello che hai annotato dopo come accaduto davvero, e la risposta della lettrice. La lettrice e la stesa che hai scelto, e la lingua della pagina.

Se entri, una cosa in più: il tuo indirizzo e-mail, il momento in cui è stato confermato, la lingua da cui sei entrato e — solo se ne scegli una — quale carta hai preso come tuo segno. Niente nome, niente profilo, niente password.

La domanda e l’esito sono la parte delicata: testo libero sulla tua situazione, dove magari hai scritto qualcosa che non vorresti restasse. Per questo il comando di cancellazione li toglie sul momento, e per questo, nelle letture senza account, sono la prima cosa che viene svuotata alla scadenza.

Entrare lascia una traccia propria, breve e tenuta separata dalle letture. Il collegamento monouso resta solo come impronta e viene buttato una settimana dopo la scadenza. Il messaggio che lo portava tiene il testo una settimana, poi quel testo viene svuotato e la riga sparisce dopo novanta giorni. I tentativi di accesso vengono contati per trenta giorni, così nessuno può martellare la porta, e un tentativo respinto viene annotato, con l’indirizzo da cui arrivava, per novanta giorni. Niente di tutto questo serve ad altro.

C’è un’altra cosa che viene contata, e non parla di te. Quando scegli una musica di sottofondo, il sito aggiunge 1 a un totale per quel brano, quel giorno e quella lingua di pagina. È un numero, non una registrazione: niente lo lega a te, al tuo cookie o a una lettura, quindi lì dentro non c’è nulla da consultare né nulla da cancellare. La tua scelta resta solo nel tuo browser.

Pagare aggiunge due cose e non di più. Una è il conto della sabbia: quanta ne è arrivata o spesa, quando, e a quale lettura è andata. L’altra è un solo numero di riferimento che Stripe ti dà come cliente, perché un acquisto successivo o una disdetta ricadano sulla stessa persona. La carta non ne fa parte, e nemmeno l’indirizzo di fatturazione: né l’una né l’altro arriva qui.

Cosa non viene tenuto

Niente password. Si entra con un collegamento monouso mandato al tuo indirizzo, quindi non c’è niente da rubare e niente da riusare. Niente nome, niente profilo, niente foto. Niente dati della carta né indirizzo di fatturazione: la carta la gestisce Stripe sulle sue pagine e qui non arriva mai. Nessuna statistica di terzi: questo sito non carica nemmeno uno script altrui, quindi niente Google Analytics, niente Clarity, nessun pixel pubblicitario.

Il tuo indirizzo IP non viene scritto nel database per nulla di ciò che peschi o scrivi. L’unica eccezione è il meccanismo di accesso, descritto sopra: i tentativi vengono contati per indirizzo così che non si possa martellare la porta, e un tentativo respinto viene annotato con l’indirizzo da cui arrivava. Entrambi si ripuliscono da soli nei tempi indicati. A parte questo, un indirizzo compare per poco nel registro del server come su qualsiasi server web, e viene usato nel momento della richiesta per verificare col DNS inverso se un visitatore che si dichiara crawler di ricerca lo è davvero. Della registrazione del crawler restano solo user agent, percorso e lingua — non l’indirizzo.

Chi sei qui

Senza account, questo browser è la tua identità. Alla prima pescata il sito mette un id casuale in un cookie chiamato cst_a. Non contiene nulla su di te: esiste solo perché una lettrice riconosca che due letture vengono dalla stessa persona. Il cookie è http-only, passa solo su https, non è condiviso con altri siti e dura un anno.

La cosa taglia da entrambe le parti, ed è bene saperlo prima di farci affidamento: su un altro browser, su un altro dispositivo, o dopo aver cancellato i cookie, qui sei un’altra persona. Le letture di prima non spariscono, ma niente può più collegarti a esse — il che vuol dire anche che da lì non si possono cancellare.

L’account è la via d’uscita. Entra e l’identità diventa l’indirizzo: le letture già fatte su quel browser traslocano una volta sola, e da lì in poi la stessa storia ti segue su ogni dispositivo da cui entri. La sessione sta in un secondo cookie, cst_session, che è firmato e non conservato, e dura trenta giorni.

Chi altro ci mette mano

La lettura la scrive un grande modello linguistico di DeepSeek. Per produrla, la tua domanda, le carte e le istruzioni della lettrice vanno all’API di DeepSeek. Se preferisci che una certa domanda non la veda mai un terzo, non scriverla: pesca senza domanda; una lettura aperta funziona.

Il database è Neon, ospitato su AWS a Singapore. Il sito gira su un server ConoHa in Giappone, dietro Cloudflare, che vede passare le richieste. La posta di accesso esce da Amazon SES a Tokyo, che vede l’indirizzo a cui consegna. Se compri sabbia, Stripe incassa il pagamento e vede la tua carta e i dati di fatturazione. La lista è tutta qui.

Quanto resta

Con un account, quello che hai scritto resta finché non lo togli tu. Niente scade per un timer, perché hai un modo per riprenderlo: il comando di cancellazione qui sotto e un indirizzo a cui scrivere.

Senza account è il contrario, e di proposito: dopo 180 giorni la domanda, la lettura, le domande successive e l’esito vengono svuotati. Chi non ha un account non può tornare più tardi a ritirarli, così il sito lo fa al posto suo. La riga resta — quali carte sono uscite e quando è ciò che permette a una lettrice di dire «questa ti torna per la terza volta», e quella parte non è privata allo stesso modo.

Non è una frase scritta per sembrare responsabili. Gira con un timer sul server, e a ogni passaggio viene stampato quanti record sono ancora oltre la scadenza. All’ultimo passaggio quel numero era zero.

Cancellare

Se sei entrato, il comando è in fondo alla tua pagina. Toglie l’account, tutto ciò che è stato scritto sotto di esso, l’indirizzo stesso e le annotazioni che il meccanismo di accesso aveva tenuto. Prima ti mostra quante cose sono, chiede una volta, poi cancella — subito, non in coda.

Senza account, lo stesso tipo di comando sta nella pagina Info e toglie tutto ciò che è conservato per questo browser: ogni lettura, ogni domanda successiva, ogni eco. L’id nel cookie viene lasciato andare nello stesso momento, così la lettura successiva riparte da zero.

Nessuno dei due si annulla. Se preferisci prima una copia, o se hai perso il browser che teneva l’id, scrivi a [email protected].

Cancellare l’account sistema anche il denaro. L’abbonamento viene disdetto perché non venga più addebitato nulla, e quello annuale viene rimborsato per i mesi interi che non ti erano ancora stati consegnati. Se qualcosa di tutto ciò non riesce, la cancellazione si ferma e ti viene detto perché: meglio esistere ancora qui che essere cancellati mentre un addebito continua a girare. Una cosa resta: la traccia di quanto è stato pagato rimane da Stripe, perché la legge impone di tenere i conti. È una ricevuta; delle tue domande e delle tue letture non contiene nulla.

I tuoi diritti

Se sei nel SEE o nel Regno Unito, il GDPR ti dà il diritto di vedere cosa è conservato, correggerlo, farlo cancellare, limitarne o opporti all’uso e portarne una copia altrove. In California la CCPA ti dà diritti equivalenti, e questo sito non vende né condivide informazioni personali nel senso di quella legge. La base giuridica per conservare una lettura è l’interesse legittimo a che il sito funzioni come dice di funzionare — una lettrice che ricorda; per l’account è l’accordo che concludi entrando. Tutto questo si esercita con il comando di cancellazione o scrivendo a [email protected]. Non costa nulla, e per chiedere non serve un account. Puoi anche rivolgerti all’autorità per la protezione dei dati del tuo paese.

Età

Questo sito non è per chi ha meno di 13 anni, né al di sotto dell’età minima più alta se il tuo paese ne fissa una. Sotto i 18, usalo con il permesso di un genitore o di chi ne fa le veci. Se qualcosa qui è stato scritto da un bambino, dimmelo e lo tolgo.

Modifiche

Questa pagina cambia quando cambia il sistema, non il contrario. La data in alto dice quando è stata vera l’ultima volta. Se cambia qualcosa di sostanziale — un nuovo responsabile, una conservazione più corta o più lunga, una cosa in più che viene tenuta — la data si sposta e la sezione dice cosa è cambiato. Domande: [email protected].