Norme sulla privacy
Ultimo aggiornamento: 14 novembre 2026 · Sito: https://levelzero.duckdns.org
Level Zero è uno strumento privato e autogestito per analizzare canali YouTube e organizzare contenuti. Non è un servizio pubblico: possono usarlo solo le persone a cui il gestore ha creato un accesso. Questa pagina descrive i dati che il programma tratta realmente e come li usa. Il "gestore" è la persona che ospita ed amministra questo sito sul proprio server.
1. Chi è il responsabile dei dati
Il gestore del sito. Per qualsiasi richiesta sui tuoi dati (informazioni, correzione, cancellazione) scrivi a il gestore del sito (la persona che ti ha dato l'accesso).
2. Quali dati tratta Level Zero
| Dati | Quali sono | Perché |
|---|
| Account di accesso al sito | Nome utente; password solo come hash (scrypt), mai in chiaro; sessioni di accesso (identificativo conservato solo come hash, scadenza, data dell'ultimo uso, nome del browser/dispositivo troncato a 200 caratteri); data dell'ultimo accesso. | Permettere l'accesso solo alle persone autorizzate. |
| Dati pubblici di YouTube | Informazioni pubbliche di canali e video, anche di altri canali seguiti per confronto: titoli, date, durata, miniature (indirizzo), visualizzazioni, mi piace, commenti, iscritti pubblici. Lo storico parte dal momento in cui il canale viene aggiunto. | Confronti, classifiche, tendenze. |
| Dati dei propri canali (da Google) | Per i canali che l'utente collega: statistiche di YouTube Analytics (visualizzazioni, tempo di visualizzazione, iscritti guadagnati/persi, sorgenti di traffico, mi piace, commenti, impressioni e CTR delle miniature quando disponibili) e, se il canale è monetizzato e l'utente lo consente, i dati sui guadagni. | Mostrare le statistiche e produrre report all'utente stesso. |
| Dati inseriti dagli utenti | Programmazione dei video, tipologie, task, report e confronti salvati, impostazioni, eventuali file CSV importati da YouTube Studio. | Funzioni di organizzazione e report. |
| Credenziali tecniche | Token OAuth di Google; Client ID e Client secret del progetto Google Cloud; chiave API YouTube e chiave Anthropic (facoltative). | Leggere i dati dai servizi, solo quando l'utente li ha configurati. |
Level Zero non raccoglie dati di navigazione per statistiche o pubblicità, non usa strumenti di tracciamento di terzi e non carica script esterni. L'unico cookie è quello tecnico di sessione (lz_session), necessario per restare collegati: HttpOnly, SameSite, Secure su HTTPS, valido 90 giorni dall'ultimo utilizzo.
3. Dati Google e YouTube: cosa chiediamo e come li usiamo
Quando l'utente collega un proprio canale, Google mostra una schermata di consenso e Level Zero richiede solo letture:
youtube.readonly — vedere il canale e i video (elenco, titoli, statistiche);yt-analytics.readonly — leggere le statistiche di YouTube Analytics del canale;yt-analytics-monetary.readonly — leggere i dati sui guadagni stimati, se disponibili.
Level Zero non può pubblicare, modificare o eliminare nulla sul canale, né gestire commenti o contenuti. I dati ottenuti da Google sono usati esclusivamente per mostrare statistiche, confronti, classifiche e report agli utenti autorizzati di questo sito, ossia per la funzione per cui l'utente ha dato il consenso.
L'uso e il trasferimento a qualsiasi altra app delle informazioni ricevute dalle API di Google rispetterà la Google API Services User Data Policy, inclusi i requisiti di Limited Use.
In particolare, i dati ottenuti dalle API di Google:
- non vengono venduti né ceduti a terzi, né usati per pubblicità o profilazione;
- non vengono usati per addestrare modelli di intelligenza artificiale generalizzati;
- non vengono trasferiti a terzi, salvo quanto descritto nella sezione 5 (analisi con intelligenza artificiale, solo se attivata dall'utente);
- sono visibili solo agli utenti a cui il gestore ha dato accesso al sito: chi ha un accesso vede tutti i dati presenti, compresi quelli dei canali collegati da altri utenti.
Level Zero usa i servizi API di YouTube: usandolo si accettano anche i Termini di servizio di YouTube. Le norme di Google sono qui: policies.google.com/privacy.
4. Come sono conservati i token e le chiavi
- Dove: tutti i dati sono in un database SQLite sul server del gestore (nessun servizio cloud di terzi per i dati). Il database non è cifrato nel suo insieme: la protezione è l'accesso al server e al sito.
- Token di aggiornamento Google (refresh token), Client secret e chiave Anthropic: cifrati con AES-256-GCM prima di essere salvati. La chiave di cifratura è in un file sul server leggibile solo dal programma (permessi 600) e non è nel database.
- Token di accesso Google (access token): è temporaneo (dura circa un'ora) e viene tenuto nel database senza cifratura insieme alla sua scadenza.
- Chiave API YouTube (facoltativa, per leggere i canali pubblici): salvata nel database senza cifratura.
- Password del sito: mai salvate; solo hash scrypt con sale. Gli identificativi di sessione sono salvati solo come hash.
- Password Google: Level Zero non la vede e non la salva: l'accesso avviene sulla pagina di Google.
5. Con chi vengono condivisi i dati
- Google / YouTube: il server li contatta per leggere i dati richiesti (API YouTube Data e YouTube Analytics) e per rinnovare i token.
- Anthropic (solo se l'utente lo attiva): nei report si può richiedere un commento con intelligenza artificiale. In quel caso il server invia all'API di Anthropic, con la chiave inserita dall'utente, i dati sintetici del confronto scelto (titoli e statistiche dei video selezionati, fino a circa 60.000 caratteri) e salva la risposta nel report. Senza chiave o senza richiesta esplicita non viene inviato nulla.
- Miniature dei video: sono caricate direttamente dal browser dell'utente dai server di YouTube/Google; quei server ricevono quindi la richiesta dell'immagine.
- Certificato HTTPS: il certificato è ottenuto automaticamente da un'autorità pubblica (Let's Encrypt) tramite Caddy; riceve soltanto il nome del dominio del sito.
- Nessun altro: nessuna pubblicità, nessuna vendita, nessun analytics di terzi.
6. Per quanto tempo vengono conservati
- Statistiche, storico, report, programmazione e task restano finché non vengono eliminati dall'utente o dal gestore. Lo storico dei canali serve a costruire le crescite nel tempo.
- Le sessioni di accesso scadono dopo 90 giorni senza utilizzo e vengono eliminate alla scadenza o al logout; cambiare password o togliere un utente le termina subito.
- Il server fa una copia di sicurezza giornaliera (database e chiave di cifratura) nella propria cartella dei backup e conserva le ultime 14. I dati eliminati possono quindi restare nelle copie fino a 14 giorni.
7. Revocare l'accesso a Google e cancellare i dati
- Revocare l'accesso: in qualsiasi momento da myaccount.google.com/permissions, scegliendo Level Zero e "Rimuovi accesso". Da quel momento i token salvati smettono di funzionare.
- Eliminare i dati di un canale: dentro Level Zero, nella sezione Canali, è possibile rimuovere un canale scegliendo di eliminare anche i suoi dati (video, storico, statistiche).
- Cancellare tutto ciò che ti riguarda (account del sito, collegamento Google con i token, dati dei canali, report): scrivi a il gestore del sito (la persona che ti ha dato l'accesso). Il gestore elimina l'accesso e i dati richiesti; le copie di sicurezza si rinnovano entro 14 giorni, come indicato sopra.
Se sei nell'Unione Europea hai inoltre i diritti previsti dal GDPR (accesso, rettifica, cancellazione, limitazione, portabilità, opposizione): puoi esercitarli con la stessa richiesta, e hai diritto di proporre reclamo all'autorità di controllo (in Italia il Garante per la protezione dei dati personali).
8. Misure di sicurezza realmente attive
- Connessione solo HTTPS; senza accesso nessuna pagina né dato è visibile (tranne questa pagina e la presentazione).
- Password con hash scrypt; blocco temporaneo dopo ripetuti tentativi di accesso errati; cookie di sessione protetto (HttpOnly, SameSite, Secure).
- Protezioni contro richieste false tra siti (CSRF) e intestazioni di sicurezza (Content-Security-Policy, nessun inserimento in frame di altri siti).
- Il programma gira con un utente di sistema senza privilegi e con accesso in scrittura alla sola cartella dei dati; la gestione degli utenti è possibile solo da terminale sul server, non da internet.
Nessun sistema è sicuro al 100%: la sicurezza dipende anche dal server del gestore e dalle password scelte.
9. Modifiche a queste norme
Se il comportamento del programma cambia (per esempio nuovi dati o nuovi servizi), questa pagina viene aggiornata e cambia la data in alto.
10. Contatti
il gestore del sito (la persona che ti ha dato l'accesso)
← Torna alla presentazione