Le obiezioni reali, risposte dritte

Solo fratelli e sorelle ammessi al grado a cui il documento è destinato. Le tavole si cifrano end-to-end nel browser, prima di partire: al server arriva testo cifrato e la chiave per aprirlo non gli appartiene. Non li leggiamo noi, non li legge chi amministra la piattaforma: non è una promessa, è come è costruito. Vedi la pagina Sicurezza.

Al primo accesso ogni membro imposta un codice di recupero: se lo conservi, con quello reimposti la password e riottieni le tue chiavi. La parte onesta: se hai perso anche il codice di recupero, le tue chiavi personali non sono ripristinabili: nessuno, nemmeno noi, può decifrare al posto tuo. Puoi essere reinserito dalla segreteria con una chiave nuova e la loggia ti consegna di nuovo la sua chiave, così torni a leggere l’archivio secondo il tuo grado; ma ciò che avevi cifrato solo per te resta illeggibile. È il rovescio inevitabile di una cifratura vera.

La loggia viene sospesa, non cancellata. L’accesso dei membri si blocca con una pagina di cortesia, ma i dati e le chiavi restano intatti: la riattivazione è completa e senza perdite, ripensarci non costa nulla. Non facciamo mai cancellazioni silenziose: la distruzione definitiva avviene solo se la chiedete voi, esplicitamente.

Niente di automatico. Non c’è una carta da addebitare né una conversione silenziosa: alla fine dei novanta giorni si decide insieme, con calma. I contenuti restano cifrati e leggibili solo alla loggia; se si sceglie di non proseguire, si esporta tutto e si chiede l’eliminazione definitiva.

No. La prova di novanta giorni si attiva senza carta di credito e senza coordinate di pagamento: non c’è nulla che possa scattare da solo.

Con una fattura annuale unica intestata all’associazione, pagabile con bonifico: un canone per loggia, comunicato al mese e fatturato una volta l’anno, a fasce secondo il numero di membri. Nessun addebito ricorrente, nessun costo a utente. Le cifre complete sono nella pagina Prezzi.

Non nel corso dell’anno: il canone è per loggia, mai per persona. La fascia si verifica al rinnovo, parlandone insieme: nessun conteggio invasivo, nessun ricalcolo a sorpresa perché qualcuno è entrato o uscito.

Sì, in ogni momento: l’export dell’archivio è incluso nel canone e ciascun membro riapre il proprio perimetro con la propria password, senza bisogno di noi. Se la loggia decide di lasciare il servizio, resta una finestra di sola lettura per completare l’esportazione; poi i dati vengono eliminati definitivamente, con la distruzione delle chiavi. La porta d’uscita è descritta nella pagina Sicurezza.

L’infrastruttura è ospitata presso un fornitore cloud, su server nell’Unione Europea; i backup cifrati sono tenuti in una regione separata. Il perimetro esatto (fornitore, regione, retention) è indicato nelle note legali e nel contratto di servizio.

Anche di fronte a una richiesta legittima, possiamo consegnare solo ciò che effettivamente deteniamo: testo cifrato e alcuni metadati (che una loggia esiste, i conteggi, il ritmo delle tornate). Le chiavi non le abbiamo (vivono sui dispositivi di chi appartiene alla loggia), quindi il contenuto in chiaro non è nella nostra disponibilità e non possiamo produrlo. Le tornate online non lasciano un dopo da consegnare, perché non vengono registrate; e mentre sono in corso, con la riservatezza alta il loro flusso è cifrato end-to-end, così al server arrivano solo buste opache che non può aprire. Cosa comportano i metadati che restano visibili lo spieghiamo, senza sconti, nella pagina Sicurezza.

No. Quote, movimenti di cassa e beneficenza sono cifrati nel browser di chi li registra, come le tavole: al server arrivano scatole chiuse. Saldi e rendiconto si calcolano sui dispositivi dei designati della loggia; noi vediamo soltanto che una tesoreria è in uso e il ritmo delle registrazioni, mai importi, causali o nomi. E ogni membro vede il proprio stato quote, non quello degli altri.

Sì. Oltre che in presenza, una tornata può svolgersi in videoconferenza, in una sala virtuale che riprende la scena del Tempio. Si programma dal calendario come una normale tornata, spuntando tornata online, e la sala apre poco prima dell’orario. L’ingresso è presidiato, mai automatico: un Copritore digitale accoglie alla porta e ammette o respinge uno per uno, perché la tegolatura resta un atto umano, in tempo reale. I membri entrano dal portale con un tocco, gli ospiti con un link e un codice d’invito. In sala trovate video e audio dal vivo, i presenti disposti per colonne e grado attorno all’Oriente, il governo della parola, la votazione palese e il maglio. Nessuna tornata viene registrata. E non c’è alcun servizio video di terze parti: l’infrastruttura che smista i collegamenti è nostra, sugli stessi server nell’Unione Europea del resto del servizio. Cosa vede il nostro server mentre la seduta è in corso lo diciamo qui sotto, senza sconti.

Qui il confine è ora lo stesso del resto dell’archivio, ed è appropriato dirlo con chiarezza. Le tavole, i verbali e la tesoreria sono cifrati end-to-end, e con la riservatezza alta lo è ora anche il flusso audio e video di una tornata online: parte cifrato dai dispositivi dei presenti, e il nostro server, quello che smista i collegamenti, ne veicola solo buste opache che non può aprire. La chiave della riunione nasce e resta sui vostri browser, e non registriamo nulla. Restano invece visibili i metadati della seduta: chi è collegato in quel momento, con identità temporanee e senza il nome reale, gli orari e chi sta parlando. Il server non sa quali tenute sono online, perché il fatto che un evento abbia una sala, e le coordinate della sala, vivono nel dato cifrato dell’evento; e i nomi reali non viaggiano all’ingresso, è il Copritore ad assegnarli alla porta. Un’avvertenza onesta: la cifratura dal vivo richiede un browser recente, e su un browser troppo datato quel partecipante ripiega in chiaro, con la sala che lo dichiara a tutti. Il confine per intero è sulla pagina Sicurezza.

Sì, con una disciplina precisa. Le candidature (segnalazione, tegolatura, colloqui, ballottaggio) vivono in un’area riservata al solo consiglio designato dalla loggia, e sono cifrate come tutto il resto: noi vediamo che esistono delle pratiche e a che punto sono, mai chi riguardano. Il fascicolo contiene solo i campi essenziali; gli esiti sfavorevoli e i ritiri si cancellano dopo un termine dichiarato, senza liste permanenti. E quando un bussante viene ammesso, il fascicolo si cancella comunque: la sua storia in loggia comincia da capo, pulita.

No: la alimenta. È il registro interno della loggia, senza valenza fiscale certificata. Il rendiconto d’esercizio si esporta dal browser del tesoriere e diventa la base per il bilancio dell’associazione, che resta un adempimento a parte.

No, e non ce n’è, in nessun punto. Non usiamo modelli di intelligenza artificiale né per il prodotto né sui vostri dati: del resto sarebbe impossibile, dato che il server vede solo testo cifrato. Gli strumenti sono ordinari e prevedibili.

Un progetto indipendente e di piccola scala, gestito da chi ne tiene l’infrastruttura; i dati del titolare del servizio sono riportati nelle note legali. Ma il punto dell’architettura è proprio questo: la vostra riservatezza non dipende dal fidarvi di noi come persone: dipende dal fatto che non deteniamo le chiavi. Non serve conoscerci per verificarlo.