Come garantiamo il segreto del voto

Quando confermi il voto il sistema scrive due cose diverse, in due tabelle diverse, che non hanno nessun campo in comune.

Registro degli elettori

Nome e cognome
Email (cifrata)
Data dell'invito
"Ha votato": solo il giorno

Non contiene: le tue scelte

≠

Urna

Chiave casuale della scheda
Le scelte
Il giorno
Impronta della ricevuta

Non contiene: nome, email, ora, nessun riferimento all'elettore

Firma cieca: il collegamento è impossibile, non solo "non salvato"

Il tuo browser crea un gettone casuale e lo "maschera" con un numero che conosce solo lui.
Prima richiesta, col tuo link personale: il server controlla che tu abbia diritto di voto, segna "ha votato" e firma il gettone mascherato senza poterlo vedere.
Il browser toglie la maschera: ora ha un gettone firmato che il server non ha mai visto in chiaro.
Seconda richiesta, qualche secondo dopo e senza nessun dato che ti identifichi: il browser deposita la scheda con il gettone firmato. Il server accetta la scheda perché la firma è valida, ma non può sapere di chi è.
Ogni gettone vale una sola scheda. Il codice che maschera il gettone gira nel tuo browser ed è pubblico (js/AN05_blind.js): chiunque abbia competenze tecniche può controllarlo.

Cosa non salviamo

l'ora esatta del voto, né sul tuo nome né sulla scheda: con l'ora si potrebbero mettere in fila i voti;
un numero progressivo della scheda: la chiave è casuale, quindi l'ordine nell'urna non dice chi ha votato prima;
il codice ricevuta: nell'urna c'è solo la sua impronta, un calcolo a senso unico; il codice lo conosci solo tu;
le tue scelte nell'email di conferma.

Cosa puoi verificare da solo

Subito dopo il voto vedi le due righe appena salvate, rilette dal database: sul tuo nome non ci sono scelte, nella scheda non c'è il nome.
Con il codice ricevuta controlli, nella pagina dei risultati, che la tua scheda sia nell'urna e sia stata contata.
A votazione chiusa l'urna è pubblica (senza nomi): puoi ricontare tutte le schede con un clic e confrontarle con i risultati.
Il sistema confronta i totali con le schede e con una copia cifrata dei contatori e segnala qualsiasi differenza.

Limiti, detti chiaramente

Con la firma cieca il collegamento è impossibile anche per chi gestisce il server, perché il server non vede mai il gettone col tuo nome. Restano due tracce indirette, ridotte ma non azzerate: l'indirizzo internet da cui arrivano le richieste (non lo salviamo nelle tabelle, ma i registri tecnici del fornitore di hosting lo conservano) e la vicinanza nel tempo fra le due richieste, attenuata dall'attesa casuale prima del deposito.

Nelle votazioni senza firma cieca la separazione fra nome e scelte vale per i dati salvati: nessuno, nemmeno l'organizzatore, può ricostruirla dopo. Chi gestisce tecnicamente il server, osservando il sistema in tempo reale proprio mentre voti, avrebbe in teoria più possibilità.

Per lo stesso motivo l'urna non viene pubblicata se le schede sono meno di 5: con pochissimi votanti le combinazioni di scelte potrebbero far capire chi ha votato cosa.

Provalo tu

Vota in una votazione di prova in meno di 30 secondi, senza account, oppure controlla una ricevuta.

Prova a votare Verifica una ricevuta

Finalità	Base giuridica
Creare e gestire l'account, fornire l'area riservata e l'assistenza (segnalazioni)	Esecuzione del contratto (art. 6.1.b)
Svolgere le votazioni per conto dell'organizzatore: inviti, scheda, conteggio, risultati, email con i risultati e verbale di scrutinio in PDF per l'organizzatore, verifica della ricevuta	Contratto con l'organizzatore e sue istruzioni (art. 28); per l'organizzatore la base è quella del proprio rapporto con gli elettori
Mostrare all'organizzatore l'andamento degli inviti (email aperte, link aperti, voto avvenuto)	Legittimo interesse dell'organizzatore a verificare che la convocazione sia arrivata e a sollecitare, con un promemoria email (al massimo uno ogni 12 ore), chi non ha ancora votato (art. 6.1.f)
Gestire i pagamenti e gli adempimenti contabili e fiscali	Contratto e obbligo di legge (art. 6.1.b e 6.1.c)
Rispondere ai messaggi del modulo contatti	Misure precontrattuali / richiesta dell'interessato (art. 6.1.b)
Fornire il servizio Poll e impedire i voti doppi	Esecuzione del servizio richiesto (art. 6.1.b)
Controllare che Poll e Trova la data non siano usati per scopi illeciti, sospendere o cancellare i sondaggi che violano le condizioni d'uso o la legge	Legittimo interesse a impedire usi illeciti del servizio e a tutelare i partecipanti; obbligo di legge quando le autorità lo richiedono (art. 6.1.f e 6.1.c)
Fornire i servizi gratuiti: piano Free, sblocco singolo, verbale PDF, demo, Trova la data, verifica pubblica della ricevuta	Esecuzione del servizio richiesto (art. 6.1.b)
Inviare novità e offerte di METIS Italia via email	Consenso facoltativo, revocabile in ogni momento (art. 6.1.a)
Contare l'uso dei servizi gratuiti (eventi senza dati degli elettori) e prevenirne gli abusi (limiti per indirizzo IP, reCAPTCHA, rifiuto delle email usa e getta)	Legittimo interesse a offrire il servizio gratuito in modo sostenibile e sicuro (art. 6.1.f)
Quadro delle votazioni per i super-amministratori (soli dati di servizio, senza dati di elettori e candidati)	Legittimo interesse a gestire, dimensionare e proteggere il servizio; per i dati delle votazioni nell'ambito delle istruzioni dell'organizzatore come responsabile (art. 6.1.f e art. 28)
Sicurezza: blocco dei tentativi di accesso ripetuti, protezione anti-robot dei moduli (reCAPTCHA), registro degli accessi, backup	Legittimo interesse alla sicurezza del servizio (art. 6.1.f)
Statistiche di visita della pagina di voto dei Poll (Google Analytics)	Consenso, espresso tramite il banner dei cookie (art. 6.1.a)
Difendere i propri diritti in caso di contestazioni	Legittimo interesse (art. 6.1.f)

Dati	Tempo di conservazione
Account dell'organizzatore (dati del profilo)	Finché l'account è attivo. Con "Elimina profilo" e la conferma dal link ricevuto via email vengono cancellati subito, insieme a tutte le votazioni (candidati con le foto, elettori, urna, gettoni della firma cieca) e alle segnalazioni.
Votazioni: candidati, elettori, andamento degli inviti, urna anonima, impronte dei gettoni	Per conto dell'organizzatore, finché lui non elimina la votazione (possibile prima dell'inizio oppure da 7 giorni dopo la chiusura, periodo in cui restano consultabili risultati e ricevute) o il proprio profilo. Consigliamo agli organizzatori di eliminare le votazioni concluse quando non servono più.
Dati di ripresa del voto nel browser dell'elettore (firma cieca)	Fino al deposito della scheda, poi cancellati automaticamente. Se il voto non viene completato restano solo su quel dispositivo e si possono cancellare svuotando i dati del sito nel browser.
Pagamenti delle licenze e degli sblocchi	10 anni, come previsto dalla normativa contabile e fiscale (art. 2220 codice civile), anche dopo la cancellazione dell'account.
Consenso a novità e offerte	Finché non lo revochi o cancelli l'account.
Logo dell'organizzazione ed eventi di utilizzo dei servizi gratuiti	Finché l'account è attivo; cancellati con il profilo (il logo anche quando lo sostituisci o lo rimuovi).
Righe importate in attesa dello sblocco	Al massimo 30 giorni; prima se la votazione viene sbloccata (diventano elettori o candidati) o eliminata.
Demo pubblica (elettori di prova e schede)	Al massimo 24 ore.
Trova la data (sondaggio, nomi, risposte, email di chi lo crea)	Cancellati in automatico 90 giorni dopo l'ultima data proposta; prima se chi lo ha creato lo elimina.
Impronte degli indirizzi IP per i limiti di utilizzo	Fino alla fine della finestra di controllo, al massimo 24 ore.
Segnalazioni al team	Finché l'account è attivo; cancellate con il profilo.
Messaggi del modulo contatti	24 mesi dall'invio.
Sondaggi Poll (contenuti, preferenze, indirizzi IP)	12 mesi dalla scadenza del sondaggio; prima su richiesta di chi lo ha creato.
Registro degli accessi al sito e all'area riservata (IP, browser, pagine)	12 mesi.
Tentativi di accesso errati (impronta dell'email, IP)	Al massimo 24 ore; cancellati subito dopo un accesso riuscito.
Cookie di sessione	Fino alla chiusura del browser; l'accesso all'area riservata scade dopo 30 minuti di inattività.
Cookie tecnico del Poll (per modificare la propria risposta) e cookie delle scelte sul banner	120 giorni il primo; fino a 12 mesi il secondo.
Bozza del verbale d'assemblea e numeri del calcolatore (solo nel browser)	Finché non li cancelli; il PDF del verbale non viene conservato.
Cookie tecnico di Trova la data (per modificare la propria risposta)	120 giorni.
Statistiche Google Analytics (pagina di voto dei Poll)	Secondo le impostazioni del servizio Google, solo con il tuo consenso.
Log tecnici del fornitore di hosting	Secondo i tempi stabiliti da Aruba per la sicurezza del servizio.
Copie di sicurezza (backup) del database	Conservate per un periodo limitato e poi sostituite dalle copie successive: un dato cancellato può restare nei backup fino alla loro sovrascrittura, senza essere usato per altri scopi.

Finalità	Base giuridica
Creare e gestire l'account, fornire l'area riservata e l'assistenza (segnalazioni)	Esecuzione del contratto (art. 6.1.b)
Svolgere le votazioni per conto dell'organizzatore: inviti, scheda, conteggio, risultati, email con i risultati e verbale di scrutinio in PDF per l'organizzatore, verifica della ricevuta	Contratto con l'organizzatore e sue istruzioni (art. 28); per l'organizzatore la base è quella del proprio rapporto con gli elettori
Mostrare all'organizzatore l'andamento degli inviti (email aperte, link aperti, voto avvenuto)	Legittimo interesse dell'organizzatore a verificare che la convocazione sia arrivata e a sollecitare, con un promemoria email (al massimo uno ogni 12 ore), chi non ha ancora votato (art. 6.1.f)
Gestire i pagamenti e gli adempimenti contabili e fiscali	Contratto e obbligo di legge (art. 6.1.b e 6.1.c)
Rispondere ai messaggi del modulo contatti	Misure precontrattuali / richiesta dell'interessato (art. 6.1.b)
Fornire il servizio Poll e impedire i voti doppi	Esecuzione del servizio richiesto (art. 6.1.b)
Controllare che Poll e Trova la data non siano usati per scopi illeciti, sospendere o cancellare i sondaggi che violano le condizioni d'uso o la legge	Legittimo interesse a impedire usi illeciti del servizio e a tutelare i partecipanti; obbligo di legge quando le autorità lo richiedono (art. 6.1.f e 6.1.c)
Fornire i servizi gratuiti: piano Free, sblocco singolo, verbale PDF, demo, Trova la data, verifica pubblica della ricevuta	Esecuzione del servizio richiesto (art. 6.1.b)
Inviare novità e offerte di METIS Italia via email	Consenso facoltativo, revocabile in ogni momento (art. 6.1.a)
Contare l'uso dei servizi gratuiti (eventi senza dati degli elettori) e prevenirne gli abusi (limiti per indirizzo IP, reCAPTCHA, rifiuto delle email usa e getta)	Legittimo interesse a offrire il servizio gratuito in modo sostenibile e sicuro (art. 6.1.f)
Quadro delle votazioni per i super-amministratori (soli dati di servizio, senza dati di elettori e candidati)	Legittimo interesse a gestire, dimensionare e proteggere il servizio; per i dati delle votazioni nell'ambito delle istruzioni dell'organizzatore come responsabile (art. 6.1.f e art. 28)
Sicurezza: blocco dei tentativi di accesso ripetuti, protezione anti-robot dei moduli (reCAPTCHA), registro degli accessi, backup	Legittimo interesse alla sicurezza del servizio (art. 6.1.f)
Statistiche di visita della pagina di voto dei Poll (Google Analytics)	Consenso, espresso tramite il banner dei cookie (art. 6.1.a)
Difendere i propri diritti in caso di contestazioni	Legittimo interesse (art. 6.1.f)

Dati	Tempo di conservazione
Account dell'organizzatore (dati del profilo)	Finché l'account è attivo. Con "Elimina profilo" e la conferma dal link ricevuto via email vengono cancellati subito, insieme a tutte le votazioni (candidati con le foto, elettori, urna, gettoni della firma cieca) e alle segnalazioni.
Votazioni: candidati, elettori, andamento degli inviti, urna anonima, impronte dei gettoni	Per conto dell'organizzatore, finché lui non elimina la votazione (possibile prima dell'inizio oppure da 7 giorni dopo la chiusura, periodo in cui restano consultabili risultati e ricevute) o il proprio profilo. Consigliamo agli organizzatori di eliminare le votazioni concluse quando non servono più.
Dati di ripresa del voto nel browser dell'elettore (firma cieca)	Fino al deposito della scheda, poi cancellati automaticamente. Se il voto non viene completato restano solo su quel dispositivo e si possono cancellare svuotando i dati del sito nel browser.
Pagamenti delle licenze e degli sblocchi	10 anni, come previsto dalla normativa contabile e fiscale (art. 2220 codice civile), anche dopo la cancellazione dell'account.
Consenso a novità e offerte	Finché non lo revochi o cancelli l'account.
Logo dell'organizzazione ed eventi di utilizzo dei servizi gratuiti	Finché l'account è attivo; cancellati con il profilo (il logo anche quando lo sostituisci o lo rimuovi).
Righe importate in attesa dello sblocco	Al massimo 30 giorni; prima se la votazione viene sbloccata (diventano elettori o candidati) o eliminata.
Demo pubblica (elettori di prova e schede)	Al massimo 24 ore.
Trova la data (sondaggio, nomi, risposte, email di chi lo crea)	Cancellati in automatico 90 giorni dopo l'ultima data proposta; prima se chi lo ha creato lo elimina.
Impronte degli indirizzi IP per i limiti di utilizzo	Fino alla fine della finestra di controllo, al massimo 24 ore.
Segnalazioni al team	Finché l'account è attivo; cancellate con il profilo.
Messaggi del modulo contatti	24 mesi dall'invio.
Sondaggi Poll (contenuti, preferenze, indirizzi IP)	12 mesi dalla scadenza del sondaggio; prima su richiesta di chi lo ha creato.
Registro degli accessi al sito e all'area riservata (IP, browser, pagine)	12 mesi.
Tentativi di accesso errati (impronta dell'email, IP)	Al massimo 24 ore; cancellati subito dopo un accesso riuscito.
Cookie di sessione	Fino alla chiusura del browser; l'accesso all'area riservata scade dopo 30 minuti di inattività.
Cookie tecnico del Poll (per modificare la propria risposta) e cookie delle scelte sul banner	120 giorni il primo; fino a 12 mesi il secondo.
Bozza del verbale d'assemblea e numeri del calcolatore (solo nel browser)	Finché non li cancelli; il PDF del verbale non viene conservato.
Cookie tecnico di Trova la data (per modificare la propria risposta)	120 giorni.
Statistiche Google Analytics (pagina di voto dei Poll)	Secondo le impostazioni del servizio Google, solo con il tuo consenso.
Log tecnici del fornitore di hosting	Secondo i tempi stabiliti da Aruba per la sicurezza del servizio.
Copie di sicurezza (backup) del database	Conservate per un periodo limitato e poi sostituite dalle copie successive: un dato cancellato può restare nei backup fino alla loro sovrascrittura, senza essere usato per altri scopi.