In breve

GravesMail è un client di posta con archiviazione locale. La tua posta viene scaricata sul tuo computer e resta lì. Non gestisco server che archiviano, leggono o elaborano la tua posta. Non raccolgo informazioni personali. Non mostro pubblicità. Non vendo dati. Nulla della tua posta esce dal tuo computer; il server di posta serve solo a scaricare e a inviare la tua posta.

Quali dati archivia GravesMail

Tutti i dati sono archiviati in locale nel tuo profilo utente: in %LocalAppData%\GravesMail su Windows, o nella posizione equivalente su macOS, Linux, iOS e Android. Ecco che cosa viene conservato e perché:

Il database cifrato. La tua posta e quasi tutti i dati di supporto si trovano in un unico archivio con cifratura dell’intero database: ogni messaggio, oggetto, mittente e allegato, oltre a contatti, calendario, firme, Regole rapide e regole avanzate, elenchi dei mittenti sicuri e bloccati, reputazione dei mittenti, addestramento del filtro antispam, soglie regolate e impostazioni di sicurezza. In precedenza erano file sciolti accanto al database; sono stati riuniti al suo interno, e questo ne ha rafforzato la protezione. Non hanno lasciato il tuo dispositivo: non è cambiato nulla riguardo a dove si trovano i tuoi dati, ma solo il modo in cui sono archiviati in locale.

File che restano fuori dal database, perché servono prima che lo si possa aprire o perché devono sopravvivere alla sua perdita:

• La chiave del database — custodita nell’archivio sicuro delle chiavi del tuo dispositivo (DPAPI su Windows, Keychain su macOS/iOS, Keystore su Android, l’archivio dei segreti di sistema su Linux). Non può trovarsi dentro il database che sblocca.
• Credenziali degli account salvate — le tue password IMAP/SMTP e i token OAuth2, cifrati con la chiave del tuo dispositivo e tenuti deliberatamente separati dal database della posta.
• bmk.wrap — le copie incapsulate della tua chiave master di backup. Si trova insieme ai backup anziché nel database, proprio perché un backup esiste per sopravvivere alla perdita di quel database.
• Il tuo portachiavi PGP — conservato nel suo formato standard su disco, con il portachiavi privato sotto una propria chiave di incapsulamento.
• backups/ — file di backup cifrati (.gravesmail-backup), AES-256 sotto la chiave master di backup
• Catalogo dei backup — un indice locale di metadati per sfogliare all’istante il contenuto dei backup (non viene mai trasmesso)
• Registro delle eliminazioni — contenuto dei messaggi eliminati, per il recupero (conservazione configurabile: 30–365 giorni)

I file forniti con l’app (il modello antispam di base, le regole YARA di base e la tabella di ricerca geografica) sono risorse del programma, non dati tuoi. Vengono sostituiti a ogni aggiornamento e sono esclusi dai backup.

Nessun dato viene archiviato fuori da questa directory. Nessun dato viene archiviato su server remoti.

Quali dati GravesMail non raccoglie mai

• Indirizzi e-mail — né il tuo né quello di chi ti scrive
• Contenuto delle e-mail — né oggetti, né corpo dei messaggi, né allegati
• Informazioni su mittenti o destinatari
• Password o credenziali
• Elenchi di contatti
• Eventi del calendario
• Indirizzi IP
• Il tuo nome, la tua posizione o qualsiasi informazione identificativa
• Abitudini d’uso — non traccio quanto spesso apri l’app, quali e-mail leggi o come interagisci con i messaggi
• Rapporti sugli arresti anomali o dati diagnostici — nulla viene mai inviato automaticamente
• Dati di installazione o di registrazione — non c’è alcun account da creare

Privacy dei backup

GravesMail crea backup cifrati dell’intero profilo locale:

• I backup pianificati e manuali locali del dispositivo (completi e differenziali) sono cifrati con AES-256 sotto una chiave master di backup che GravesMail genera e gestisce. La chiave non viene mai archiviata in chiaro: ne vengono conservate solo copie incapsulate, sia sotto l’archivio sicuro delle chiavi del tuo dispositivo (così i backup di routine non richiedono password) sia sotto una passphrase di recupero che imposti una sola volta. La passphrase di recupero è obbligatoria, non facoltativa, ed è ciò che consente di ripristinare questi backup su un dispositivo nuovo o sostituito. Io non ricevo mai né la chiave né la passphrase, e non posso recuperare per te né l’una né l’altra.
• Il Backup portatile con password (File → Backup portatile con password…) è sigillato con una password scelta da te, con l’allungamento della chiave PBKDF2-SHA256 a 600.000 iterazioni. Se perdi quella password, il backup non si può aprire: è una scelta di progetto, e vale per chiunque, me compreso.
• I cataloghi dei metadati dei backup sono archiviati in locale e non vengono mai trasmessi. Consentono di sfogliare all’istante il contenuto dei backup senza decifrare l’intero backup.
• Le istantanee pre-operazione vengono create prima delle operazioni distruttive (scansioni delle Regole rapide, eliminazioni in blocco, svuotamento del cestino) come rete di sicurezza.

Tutti i file di backup restano sul tuo computer, a meno che non li copi tu altrove. Un Backup portatile con password contiene l’intero profilo, comprese le password degli account salvate e le chiavi che sbloccano la tua posta, protetto soltanto dalla password che hai scelto: conserva quindi il file in un posto sicuro.

Privacy delle Regole rapide

I dati delle Regole rapide sono archiviati nel tuo database locale cifrato. I messaggi che le tue regole mettono da parte nella Trappola spam, i relativi elenchi delle corrispondenze e le definizioni stesse delle regole non lasciano mai il tuo computer. Quando elimini una regola o svuoti ciò che ha catturato, i dati vengono rimossi definitivamente dal database locale.

Come sono archiviate le tue credenziali

GravesMail mantiene cifrati a riposo, su ogni dispositivo, tutta la tua posta e tutti i tuoi dati personali. La chiave di cifratura è custodita nell’archivio sicuro delle chiavi del tuo dispositivo (DPAPI su Windows, Keychain su macOS e iOS, Keystore su Android e l’archivio dei segreti di sistema su Linux), quindi i dati sono leggibili solo sul tuo dispositivo. Se salvi le credenziali e-mail, vengono cifrate allo stesso modo e possono essere decifrate solo sullo stesso computer, dallo stesso utente che le ha salvate.

GravesMail non trasmette mai le tue credenziali ad alcun server diverso dal server di posta del tuo provider e-mail, e lo fa al solo scopo di eseguire l’accesso.

Per gli account Microsoft/Outlook che usano l’autenticazione OAuth2, GravesMail usa il flusso standard di Microsoft Identity Platform. I token di autenticazione sono archiviati in locale con la stessa cifratura. GravesMail non ha accesso alla password del tuo account Microsoft.

La geolocalizzazione è locale

GravesMail ricerca l’origine geografica della posta in arrivo come uno dei suoi segnali di spam. La ricerca avviene interamente sul tuo dispositivo, su una tabella che associa i paesi agli intervalli di indirizzi IP, incorporata nell’app. Non ci sono query DNS, chiamate ad API esterne né servizi di ricerca di terze parti. I metadati dei tuoi messaggi non vengono mai inviati da nessuna parte per essere geolocalizzati.

Dati di geolocalizzazione IP di DB-IP (db-ip.com), con licenza CC BY 4.0.

Blocco delle immagini esterne e protezione dai pixel di tracciamento

Le immagini esterne sono bloccate per impostazione predefinita, per impedire ai mittenti di conoscere il tuo indirizzo IP, il fatto che hai aperto la loro e-mail, quando e da quale dispositivo.

I pixel di tracciamento (immagini invisibili 1×1 usate unicamente per tracciare le conferme di lettura) vengono rilevati e rimossi separatamente. Sono controlli indipendenti: puoi caricare le immagini senza caricare i tracker.

Cifratura end-to-end (OpenPGP)

GravesMail supporta OpenPGP standard per la posta cifrata end-to-end e firmata. Tutto avviene sul tuo dispositivo: le chiavi vengono generate in locale, la tua chiave segreta non lascia mai il tuo computer, e cifratura e decifratura sono eseguite dall’app. Non c’è deposito delle chiavi presso terzi (key escrow), non c’è caricamento su keyserver e non c’è alcun mio servizio lungo il percorso: non ho alcuna copia delle tue chiavi e non posso leggere la tua posta cifrata.

Che cosa nasconde PGP: il corpo del messaggio e gli allegati.

Che cosa PGP non nasconde: l'oggetto, i campi A/Da/Cc e quando il messaggio è stato inviato. Questi dati viaggiano in chiaro e restano visibili all’infrastruttura di posta, compreso il tuo provider. È un limite di PGP/MIME in sé, comune a ogni client che lo implementa, Proton compreso: non è qualcosa che GravesMail possa correggere, né qualcosa su cui lascerò intendere il contrario.

PGP protegge la posta in transito: dall’intercettazione e dal tuo provider di posta. Non è uno strumento anti-forense. Una volta decifrato, un messaggio viene memorizzato nel database locale cifrato di GravesMail, così puoi cercarlo e leggerlo non in linea; ciò significa che su disco è protetto dalla cifratura del tuo dispositivo e non da PGP.

Se perdi la chiave segreta, la posta cifrata per quella chiave è irrecuperabile per sempre. Io non posso recuperarla per te: non esiste alcuna copia in deposito, ed è la stessa scelta di progetto per cui nemmeno qualcun altro può leggere la tua posta.

E-mail protetta da password

Quando invii un messaggio con Proteggi con password (nessuna chiave necessaria), il corpo del messaggio e tutti gli allegati vengono cifrati sul tuo dispositivo in uno ZIP AES-256 standard prima che il messaggio parta. La sigillatura avviene in locale: per eseguirla nulla viene caricato presso di me né presso alcun servizio, e non c’è alcun server lungo il percorso.

La password è soltanto tua. GravesMail te la mostra una sola volta, non la invia mai per e-mail, non la archivia mai e non la trasmette mai. Io non ne ho alcuna copia e non ho alcun modo di aprire ciò che hai inviato. La comunichi al destinatario attraverso un altro canale: per telefono, con un SMS o in una chat cifrata.

La protezione è la password e nient’altro. Non c’è scadenza e non c’è revoca a distanza, perché entrambe richiederebbero un server che deliberatamente non gestisco. Come per qualsiasi e-mail, l’oggetto del messaggio, i campi A/Da e il momento dell’invio viaggiano comunque in chiaro.

Un ulteriore limite, detto chiaramente perché è giusto che tu lo senta da me anziché scoprirlo da solo: il formato ZIP cifra il contenuto dei file, non la struttura dell’archivio. Chi intercetta il messaggio può comunque vedere quanti file ci sono e, approssimativamente, le loro dimensioni e le loro date, ma non i nomi, che sono sostituiti da segnaposto neutri, né il contenuto. Se già questi metadati rivelerebbero a qualcuno qualcosa che devi mantenere riservato, questa funzione non è lo strumento giusto per quel messaggio.

Cinque build per cinque piattaforme

• Windows — la build del Microsoft Store è firmata da Microsoft
• Linux — in arrivo
• macOS — in arrivo
• iOS — in arrivo
• Android — in arrivo

Tutte e cinque le piattaforme hanno caratteristiche di privacy identiche. Nessuna piattaforma invia dati allo sviluppatore né si comporta diversamente per quanto riguarda la privacy. Una sola capacità differisce davvero da una piattaforma all’altra, ed è un limite di rilevamento, non di privacy: il Livello di protezione AV di sistema usa l’antivirus installato su Windows e non è disponibile su macOS, Linux o dispositivi mobili, dove segnala «non disponibile» invece di lasciar intendere una scansione che non ha mai eseguito.

Servizi di terze parti

GravesMail si connette soltanto al tuo provider e-mail (tramite connessioni cifrate TLS/SSL) e, per gli account Microsoft, a Microsoft Identity Platform per l’autenticazione OAuth2. GravesMail non usa reti pubblicitarie, servizi di analisi statistica, servizi di segnalazione degli arresti anomali né piattaforme di tracciamento.

Acquisti

Gli acquisti di GravesMail tramite il Microsoft Store sono elaborati da Microsoft. GravesWare, LLC non riceve né archivia i dati delle carte di pagamento.

Aperto all’ispezione

Il database, i file di backup e il registro delle eliminazioni sono tutti normali file locali sotto il tuo controllo: sul tuo disco, nel tuo profilo utente, dove puoi vederli, copiarli o eliminarli. Nulla è nascosto in un servizio che non puoi ispezionare, e nulla comunica con l’esterno a tua insaputa.

Privacy dei minori

GravesMail non raccoglie consapevolmente alcuna informazione da nessuno, compresi i minori di 13 anni. Poiché GravesMail, per impostazione predefinita, non raccoglie informazioni personali, non presenta rischi specifici per la privacy dei minori.

Modifiche a questa informativa

Se questa informativa sulla privacy viene aggiornata, le modifiche saranno pubblicate su questa pagina con una nuova data di «Ultimo aggiornamento». Poiché GravesMail non raccoglie indirizzi e-mail né informazioni di contatto, non posso avvisarti direttamente delle modifiche. Ti invito a controllare periodicamente questa pagina.

Contatti

Riepilogo