Privacy · Cookie · Pubblicità · Aggiornata il 23 ottobre 2026

Cosa raccoglie questo sito

In breve: quasi nulla, e puoi verificarlo da solo.

1. Chi gestisce questo sito

SaveSaveSaveSave (savesavesavesave.xyz) è gestito da Stefan Tsezarov, in Bulgaria, come progetto indipendente. Decide cosa tratta questo sito e perché, ed è il titolare di tale trattamento ai sensi del Regolamento generale sulla protezione dei dati dell’UE (GDPR). Contatto per qualsiasi aspetto di questa informativa: savesavesavesave@tuta.io.

2. Analizzare un messaggio o un prompt

Quando incolli del testo nello scanner dei messaggi, l’analisi avviene interamente in JavaScript dentro il tuo browser. Il testo non viene caricato, registrato, conservato né mostrato a nessuno. Quando chiudi la scheda, sparisce.

Puoi verificare tu stesso questa parte. Apri gli strumenti per sviluppatori del browser, passa alla scheda Rete, incolla un messaggio e avvia l’analisi. Il tuo testo non è in nessuna richiesta. L’unica richiesta che vedrai è il conteggio dell’analisi verso il nostro Worker (sezione 5), che non viene proprio inviata se il tuo browser usa Global Privacy Control. È la verifica di una visita, non una prova per ogni visita possibile.

Nessuno script di terzi viene eseguito sulla pagina dello scanner. La pagina che contiene il tuo messaggio e il suo risultato non carica pubblicità, strumenti di consenso né script di analisi. La sua Content-Security-Policy consente script solo da questo sito e lascia che la pagina si colleghi solo ai servizi per indirizzi e pacchetti della sezione 4 e al nostro Worker; è il browser a imporlo. Altrimenti il codice di altri siti potrebbe leggere ciò che c’è sulla pagina; tenerlo fuori da questa pagina è la protezione, non una promessa su cosa farebbe quel codice. Le estensioni del browser con permesso di accedere a questo sito possono leggere le informazioni inserite qui.

Scova la trappola. Nelle pagine delle sfide, la risposta che scegli resta nella pagina finché è aperta. Non viene inviata, non viene scritta nella memoria del browser e non è inclusa in un link o una scheda condivisi; ricaricando si ricomincia. Le singole pagine delle sfide non caricano pubblicità, analisi né script di terzi. L’elenco delle sfide su /spot-the-trap mostra pubblicità Google nelle colonne laterali sugli schermi larghi (sezione 7); non contiene sfide né risposte. Come ogni pagina, sono distribuite da Cloudflare, che riceve le normali informazioni della richiesta, come il tuo indirizzo IP.

2a. Il controllo spyware

Nella pagina del controllo spyware, ciò che controlli resta nel tuo browser: un messaggio incollato e una raccolta Android che selezioni vengono letti e confrontati solo in quella scheda. Non vengono caricati, non vengono conservati nel browser e non vengono inviati a noi o a nessun altro. Un risultato viene scaricato solo quando premi «Salva questo risultato». La pagina non ha analisi, pubblicità né contatore delle analisi.

Quando premi «Carica le liste», il browser scarica da questo sito le liste di indicatori pubblicate. Quella richiesta arriva a Cloudflare, il nostro fornitore di hosting, con i metadati di connessione di qualsiasi richiesta di pagina (indirizzo IP, user-agent del browser, ora e file delle liste richiesti), ed è trattata come qualsiasi altra richiesta (sezione 8). Non contiene nulla di ciò che controlli. Nessun altro sito viene contattato, e nessun indirizzo che corrisponde a una lista viene mai aperto.

Cloudflare aggiunge inoltre alle sue risposte un’istruzione standard «Network Error Logging». Se una connessione a questo sito fallisce, il tuo browser può segnalare l’errore (l’indirizzo tentato, l’errore, i tempi e il tuo indirizzo IP) a Cloudflare su a.nel.cloudflare.com. Le richieste riuscite non vengono segnalate. Fa parte dell’hosting, non del controllo spyware, e non contiene mai ciò che controlli.

3. Analizzare un indirizzo crypto o un token

Questa parte usa la rete, perché i dati di sicurezza si trovano altrove. Quando controlli un indirizzo, l’indirizzo stesso e l’identificativo della chain vengono inviati a un fornitore terzo di dati di sicurezza e, per i controlli sulle sanzioni, a un nodo blockchain pubblico tramite il nostro proxy.

Ciò che viene inviato è l’indirizzo e la chain. Non viene inviato il messaggio da cui proviene l’indirizzo, nessun altro testo della pagina, né nulla che ti identifichi oltre alle normali informazioni di qualsiasi richiesta web (il tuo indirizzo IP e lo user-agent del browser, che riceve ogni sito che visiti).

Se un indirizzo proviene da un messaggio che hai incollato, viaggia solo l’indirizzo. Il messaggio resta nel tuo browser.

Controllare un pacchetto npm. Quando controlli un pacchetto, il suo nome (e la versione, se la indichi) viene inviato dal tuo browser al registro npm e al contatore dei download di npm (registry.npmjs.org, api.npmjs.org) e a OSV.dev (api.osv.dev), il database aperto delle vulnerabilità di Google. Come ogni richiesta web, contengono il tuo indirizzo IP e lo user-agent del browser. Non viene inviato nient’altro, il codice del pacchetto non viene mai scaricato né eseguito, e niente del controllo arriva a un inserzionista.

4. Terzi che ricevono qualcosa

Chi è responsabile di cosa. Cloudflare (distribuzione del sito, il nostro Worker, Web Analytics) tratta i dati delle richieste di questo sito per conto del gestore, secondo le condizioni sul trattamento dei dati di Cloudflare; le richieste su quei dati vanno rivolte a noi (sezione 9). GoPlus, PublicNode, npm, OSV.dev e Google ricevono una richiesta direttamente dal tuo browser, o dal nostro Worker per i controlli che avvii, e decidono da sé cosa conservare; ciascuno lo fa secondo la propria informativa sulla privacy, che questo sito non controlla.

Trasferimenti fuori dall’UE. Diversi di questi fornitori hanno sede, o trattano dati, fuori dallo Spazio economico europeo, anche negli Stati Uniti. Quando il gestore trasferisce dati a un fornitore che agisce per suo conto, il trasferimento si basa sulle condizioni sul trattamento dei dati di quel fornitore, che includono le clausole contrattuali tipo della Commissione europea, o sul Quadro UE–USA per la protezione dei dati quando il fornitore vi è certificato.

5. Statistiche

Questo sito usa Cloudflare Web Analytics per contare le visualizzazioni su ogni pagina tranne lo scanner. Cloudflare dichiara che non imposta cookie e non ti traccia tra siti diversi. Registra URL della pagina, referrer, paese approssimativo, tipo di browser e di dispositivo e tempi di caricamento.

Non è caricato sulla pagina dello scanner, quindi non è presente dove viene mostrato un messaggio o un risultato.

Conteggio delle analisi. Quando un’analisi termina, la pagina invia una piccola richiesta al nostro Worker Cloudflare indicando il tipo di analisi (indirizzo o messaggio; per gli indirizzi, token o wallet e la chain) e il verdetto ottenuto. Il Worker aggiunge uno a un totale giornaliero. Il totale conservato contiene solo queste parole: mai l’indirizzo o il testo analizzati, e nessun cookie, ID o indirizzo IP. Finché la registrazione del Worker era attiva, la richiesta stessa veniva registrata con il tuo indirizzo IP e altri dettagli. La registrazione ordinaria delle richieste del nostro Worker è stata disattivata il 20 ottobre 2026, trovata riattivata da un deploy successivo e disattivata di nuovo il 23 ottobre 2026. La configurazione di deploy ora la mantiene disattivata, e un test fallisce se viene modificata. I record precedenti al 23 ottobre scadono secondo il periodo di conservazione di Cloudflare. Un browser che invia Global Privacy Control non invia la richiesta di conteggio.

I totali sono pubblici. La home mostra quante analisi sono state eseguite negli ultimi sette giorni, e chiunque può leggere lo stesso riepilogo, diviso per tipo e verdetto, all’indirizzo delle statistiche pubbliche del nostro Worker. Per mostrare quella riga, la home chiede il numero al nostro Worker al caricamento; la richiesta non contiene nulla delle tue analisi. La storia della registrazione e le impostazioni attuali sono descritte nella sezione 8.

Schede di avviso. Dopo un risultato FAIL o CAUTION puoi creare un’immagine «Condividi questo avviso». Viene disegnata nel tuo browser dal risultato già sullo schermo e non viene mai caricata da noi. La scheda di un’analisi di messaggio non contiene il testo del messaggio, solo descrizioni fisse di ciò che è stato trovato. Dove va l’immagine dopo, lo decidi tu.

6. Cookie e memoria del browser

Il codice di questo sito non imposta cookie e non scrive nulla in localStorage, sessionStorage o IndexedDB. Il nostro codice non salva ciò che analizzi nella memoria del browser. L’analisi dei messaggi avviene in locale, e il nostro codice non trasmette né conserva il testo del messaggio. I controlli sugli indirizzi possono comportare una conservazione al di fuori del tuo browser, compresa la cache edge di breve durata e i log delle richieste precedenti al 23 ottobre 2026, descritti nelle sezioni 4 e 8.

La pubblicità di Google è un’altra cosa. La pubblicazione degli annunci, e la finestra di consenso che la accompagna, può impostare cookie nel tuo browser. Sono sotto il controllo di Google, non nostro. Niente in questa pagina li legge.

Se sei nell’UE o nel SEE, lo strumento di consenso di Google ti mostrerà un messaggio prima della pubblicità personalizzata e registrerà la tua risposta. Puoi cambiarla in seguito dalla stessa finestra.

Un ad blocker elimina tutto. Non lo rileviamo, non ti chiediamo di disattivarlo e lo scanner funziona allo stesso modo in entrambi i casi.

7. Pubblicità

Alcune pagine delle guide e l’elenco delle sfide di Scova la trappola mostrano pubblicità. Lo scanner mai. Il fornitore è Google AdSense, ID editore ca-pub-7192453271158919, mostrato in due colonne etichettate ai lati degli schermi larghi. Non appare affatto sui telefoni né nelle finestre strette.

La pubblicità è completamente disattivata sullo scanner e sulle pagine dove potrebbe fare danni, e su quelle pagine gli host pubblicitari sono rimossi sia dalla Content-Security-Policy della pagina sia dal suo markup, così nulla può caricarsi nemmeno per errore:

• Le dodici parole, Leggilo da destra, L’istruzione che non hai scritto, Il testo che non vedi e L’indirizzo che non puoi pagare: qualcuno potrebbe leggerle mentre è vittima di una frode, e un link commerciale accanto a quell’avvertimento potrebbe essere scambiato per una nostra raccomandazione.
• Lo scanner stesso: il codice pubblicitario sulla pagina che contiene il tuo messaggio potrebbe leggerlo, quindi lì non c’è affatto. Fino al 20 ottobre 2026 lo scanner mostrava annunci nelle colonne laterali.
• Questa pagina e le Condizioni: un impegno non dovrebbe essere circondato da pubblicità.

Tra il 18 e il 20 settembre 2026 ogni pagina conteneva il codice pubblicitario, comprese quelle quattro. Era un’impostazione predefinita più che una decisione, ed è stata corretta. L’elenco completo delle pagine con pubblicità, e il perché, è in apply-ads.js nel repository pubblico.

Al momento della stesura il sito è ancora in revisione da parte di Google, quindi gli spazi pubblicitari restanti di solito sono vuoti, e uno spazio senza nulla da mostrare ora resta nascosto invece di mostrare un riquadro etichettato vuoto.

Google riceve l’URL della pagina, il tuo indirizzo IP, il tuo user-agent e ciò che gli dicono i suoi cookie, come sulla maggior parte dei siti finanziati dalla pubblicità. Google tratta questi dati secondo le proprie politiche, che questo sito non controlla.

Questi impegni fanno parte di questa informativa:

• Nessun inserzionista può influenzare un verdetto, e nessun pagamento può eliminare o attenuare un segnale di rischio.
• Gli annunci sono etichettati come pubblicità, tenuti fuori dall’area dei risultati e lontani dalle guide che spiegano le truffe.
• I dati delle analisi non vengono mai venduti, condivisi o aggregati per l’uso di qualcun altro.
• Non accetteremo sponsorizzazioni da un progetto che questo scanner potrebbe ragionevolmente dover valutare.

8. Cosa viene conservato, perché e per quanto

Non c’è un sistema di account, nessuna cronologia delle analisi e nessuna mailing list. Cosa viene conservato, e da chi:

• Testo dei messaggi: mai inviato, quindi mai conservato.
• Totali giornalieri delle analisi (sezione 5): solo tipo, chain e verdetto, conservati come totali pubblici.
• Log delle richieste Cloudflare del nostro Worker. La registrazione ordinaria delle richieste del nostro Worker è stata disattivata il 20 ottobre 2026, trovata riattivata da un deploy successivo e disattivata di nuovo il 23 ottobre 2026. La configurazione di deploy ora la mantiene disattivata, e un test fallisce se viene modificata. I record precedenti al 23 ottobre scadono secondo il periodo di conservazione di Cloudflare. Quando era attiva, i record includevano l’URL della richiesta (che può contenere un indirizzo controllato), il tuo indirizzo IP, lo user-agent, la pagina di provenienza, la lingua, le stime di posizione fornite da Cloudflare e i tempi. Le stime di posizione non indicano un accesso al GPS del tuo dispositivo. Anche la registrazione di errori e tracce del Worker è disattivata. Questo riguarda il Worker per il controllo degli indirizzi, non la registrazione separata della distribuzione del sito o dei fornitori a monte.
• Cache edge di Cloudflare: le risposte di GoPlus recuperate dal nostro Worker, indicizzate per indirizzo, fino a 15 minuti.
• I terzi della sezione 4 conservano ciò che ricevono secondo le proprie politiche.

Perché avviene ciascun trattamento (base giuridica ai sensi dell’articolo 6 del GDPR):

• Distribuire le pagine e proteggere il sito e il Worker (dati di richiesta presso Cloudflare, compreso il tuo indirizzo IP): legittimo interesse, articolo 6, paragrafo 1, lettera f. Un sito web non può essere distribuito né difeso dagli abusi senza di essi.
• Controlli di indirizzi, wallet, token e pacchetti che avvii: legittimo interesse, articolo 6, paragrafo 1, lettera f, per darti il risultato che hai chiesto. Non viene inviato nulla finché non avvii un controllo.
• Conteggio delle analisi e Cloudflare Web Analytics: legittimo interesse, articolo 6, paragrafo 1, lettera f, per sapere in forma aggregata se il sito viene usato. Un browser che invia Global Privacy Control non invia il conteggio.
• Cookie pubblicitari e pubblicità personalizzata sulle pagine delle guide: il tuo consenso, raccolto dallo strumento di consenso di Google dove la legge lo richiede. Puoi revocarlo in qualsiasi momento dalla stessa finestra; la revoca non incide su ciò che è avvenuto prima.
• Le e-mail che ci invii: legittimo interesse a risponderti; per una richiesta sulla protezione dei dati, l’obbligo legale di rispondere, articolo 6, paragrafo 1, lettera c. Le e-mail vengono cancellate 12 mesi dopo la chiusura della pratica, salvo che servano per accertare o difendere un diritto in giudizio.

Nessuna decisione con effetti giuridici o effetti analoghi significativi viene presa su di te con mezzi automatizzati. Un verdetto descrive un indirizzo, un pacchetto o un messaggio, non te.

9. I tuoi diritti

Ai sensi del GDPR hai il diritto di chiedere l’accesso ai tuoi dati personali, la loro rettifica o cancellazione, la limitazione del trattamento e, dove applicabile, una copia portabile. Puoi opporti in qualsiasi momento al trattamento basato sul legittimo interesse (sezione 8) e revocare in qualsiasi momento il consenso quando il trattamento si basa su di esso.

Invia le richieste a savesavesavesave@tuta.io. Riceverai una risposta senza ingiustificato ritardo ed entro un mese; se una richiesta è complessa e richiede più tempo, ti diremo perché entro quel mese. Chiederemo solo le informazioni necessarie a trovare i dati interessati, mai un documento d’identità per impostazione predefinita. Poiché il sito non ha account, potremmo aver bisogno di dettagli come l’indirizzo che hai controllato e l’ora approssimativa per trovare un record. Non includere nella richiesta frasi di recupero, password, chiavi private o codici di autenticazione.

Ciò copre i dati trattati per questo sito da Cloudflare per nostro conto, compresi i vecchi log delle richieste del Worker: gestiamo noi la richiesta e otteniamo l’aiuto di Cloudflare quando serve. I dati che un fornitore della sezione 4 ha ricevuto direttamente e detiene come titolare autonomo sono fuori dalla nostra portata; ti diremo quale fornitore li detiene e come contattarlo.

Hai anche il diritto di presentare reclamo a un’autorità per la protezione dei dati. In Bulgaria è la Commissione per la protezione dei dati personali (cpdp.bg); puoi anche presentare reclamo nel paese dell’UE in cui vivi o lavori (in Italia, il Garante per la protezione dei dati personali).

10. Minori

Questo sito non è rivolto ai minori. I metadati delle richieste e la conservazione descritti sopra possono comunque includere dati personali, quindi l’assenza di un sistema di account non significa che non vengano trattati dati personali.

11. Sicurezza

Il sito è servito solo via HTTPS, con una Content-Security-Policy rigorosa, HTTP Strict Transport Security e l’incorporamento in frame disattivato. Non inserire mai una seed phrase, una chiave privata, una password o un codice di autenticazione in questo sito, né in alcun sistema di IA. Niente di legittimo ne ha mai bisogno, e questo sito non ha alcun campo che li chieda.

12. Modifiche a questa informativa

Le modifiche sostanziali saranno riportate qui con una nuova data in cima. Le modifiche che riguardano ciò che lascia il tuo browser saranno descritte esplicitamente invece di essere nascoste in una formulazione generica.

13. Contatti

Domande, correzioni e richieste sulla privacy: savesavesavesave@tuta.io.

Tutto ciò che non riguarda i tuoi dati (una correzione di fatto, un bug, un suggerimento) è benvenuto anche pubblicamente nel tracker delle issue del progetto. L’indirizzo e-mail qui sopra è il canale che non richiede un account GitHub, ed è quello che funzionerà sempre.

Questa pagina descrive come si comporta il sito. Non è una consulenza legale né un’affermazione di conformità a una legge specifica. Se hai bisogno di questa garanzia per il tuo uso del sito, chiedi un parere per conto tuo.