Prove e trasparenza

A ottobre 2026, due elementi sono accertati da soggetti diversi da noi:

• L'editore. TRASIMENE SAS è iscritta al registro nazionale delle imprese francese con il SIREN 103 240 560: società per azioni semplificata costituita il 30 marzo 2026, con sede al 61 rue de Lyon, 75012 Paris, presieduta da Mohamed Essid. Apple identifica la stessa società con il suo numero DUNS 286714569 nella scheda dell'App Store. Consulta il registro: annuaire-entreprises.data.gouv.fr.
• Le app pubblicate. Ogni versione dell'app viene esaminata da Apple prima della pubblicazione sull'App Store, e da Google prima della pubblicazione su Google Play. L'app Android è uscita il 9 luglio 2026, l'app per iPhone il 4 agosto 2026.

• Scheda App Store
• Scheda Google Play
• Registro nazionale delle imprese francese

Una valutazione indipendente compare in questa pagina solo con il nome dell'ente, la sua data e il suo rapporto completo.

Trasimène funziona senza pulsanti da premere. Il tuo telefono misura le sue impostazioni, la sua rete e, su Android, le sue app; i nostri server confrontano queste misure con regole ed elenchi di minacce aggiornati ogni giorno, poi restituiscono un risultato verde, rosso o grigio, spiegato nella tua lingua. Su Android, l'analisi avviene ogni 30 minuti per impostazione predefinita. Su iPhone, avviene quando iOS lo consente.

A ottobre 2026, l'app esegue fino a 157 controlli su Android e 48 su iPhone. I nostri controlli seguono il framework pubblico MITRE ATT&CK Mobile, che descrive le tecniche di attacco rivolte ai telefoni (attack.mitre.org). Ogni avviso indica cosa è stato rilevato e cosa fare.

Un risultato grigio significa che la misura non è stata possibile: manca un'autorizzazione, la VPN è disattivata, oppure il sistema non lo consente. Un grigio non viene mai presentato come un verde.

Quando una regola sbaglia, la correggiamo sul server. La correzione ha effetto in pochi minuti e il tuo telefono la riceve alla scansione successiva, senza aggiornare l'app.

Le nostre informazioni sulle minacce provengono da fonti pubbliche e riconosciute: URLhaus, ThreatFox, MalwareBazaar e Feodo Tracker (abuse.ch), OpenPhish, Phishing.Database, CERT Polska, Google Safe Browsing, VirusTotal in ultima istanza (che riceve l'impronta di un file o un nome di sito, mai il file), Have I Been Pwned per le fughe di indirizzi, l'elenco delle vulnerabilità sfruttate della CISA e il database NVD. L'elenco completo, per utilizzo, si trova nella pagina Come funziona Trasimène.

File di test riconosciuti

Il settore antivirus utilizza file di test innocui per verificare che una protezione reagisca: il file EICAR, pubblicato dall'omonimo ente europeo, e i file dell'AMTSO, l'associazione dei produttori di sicurezza e dei laboratori di test, tra cui un'app Android di test. Dal 22 ottobre 2026, i nostri server riconoscono le impronte di questi file, in tutte le loro forme pubblicate, e li trattano come qualsiasi minaccia nota. Scarica questi file: eicar.org e amtso.org.

• Trasimène si concentra su ciò che espone davvero un telefono: le sue impostazioni, la sua rete, i suoi link e, su Android, le sue app.
• Quando un'app crea problemi, Trasimène ti dice quale, perché e come disinstallarla. La decisione resta tua.
• La VPN ti segnala i siti pericolosi che contatti, senza interrompere la connessione al posto tuo. La risoluzione dei nomi è affidata a Quad9, un servizio svizzero che da parte sua scarta i domini dannosi che conosce.
• Su iPhone, iOS isola ogni app dalle altre: nessuna app vede l'elenco delle altre, i loro file, i tuoi SMS o le loro notifiche. Trasimène lavora entro questo quadro, con 48 controlli: jailbreak, versione di iOS, profili e gestione remota, rete e Wi-Fi, link dei codici QR, fughe del tuo indirizzo email.

• VPN. Il contenuto del tuo traffico non viene né letto né registrato. I nostri server conservano la cronologia delle tue connessioni alla VPN (server, indirizzo assegnato nel tunnel, orari di connessione e disconnessione), cancellata 72 ore dopo la fine dell'accesso, e il volume di dati scambiato ogni mese, conservato per 13 mesi. Per 48 ore conservano anche i siti dei nostri elenchi di minacce e di pubblicità che hai contattato, con il loro numero, i nomi di siti inesistenti più richiesti e alcuni numeri sulle tue connessioni e sui nomi richiesti (quantità, porte, durata, lunghezza), senza alcun indirizzo né nome di sito.
• Cassaforte. Le tue password, note e file sono crittografati sui nostri server con AES-256-GCM, con una chiave propria del tuo account, custodita in un gestore di segreti ad accesso limitato, in cui ogni lettura di una chiave viene registrata. Questa chiave non deriva dalla tua password: ritrovi la tua cassaforte accedendo da un nuovo telefono, senza frasi di recupero da conservare. I nostri server decrittano il contenuto per mostrartelo nell'app. Capacità: 5 GB, fino a 30 MB per file, 10.000 password e 10.000 note. La chiave e la cassaforte vengono distrutte 30 giorni dopo l'eliminazione del tuo account.
• Risultati dei controlli. Il risultato di ogni controllo (verde, rosso o grigio, con la relativa spiegazione) viene conservato per 30 giorni, per mostrare la cronologia e i rapporti. Il dettaglio di un'anomalia può indicare un sito o un'app; scompare insieme all'anomalia.
• App Android. Per valutare le tue app, i nostri server conservano, per ciascuna, il nome tecnico, l'impronta del file, la firma dello sviluppatore e l'origine, per 30 giorni dopo l'ultima scansione che l'ha rilevata. I file delle app stesse non lasciano mai il tuo telefono.
• Misurazione dell'utilizzo. L'app invia misurazioni dell'utilizzo (schermate aperte, tappe del percorso) a Firebase Analytics e a PostHog, per migliorare il prodotto. Sono attive all'inizio e si disattivano nelle impostazioni dell'app, interruttore «Analisi d'uso». I rapporti sugli errori vanno a Sentry e a Firebase Crashlytics.

I dati del tuo account (indirizzo email, nome, preferenze) restano finché il tuo account esiste. Il dettaglio di ciascun dato, della sua durata di conservazione e della sua base giuridica si trova nell<link>informativa sulla privacy</link>.

I tuoi dati non vengono venduti a nessuno. L'app non mostra alcuna pubblicità e non integra alcuno strumento di Meta, TikTok, Snapchat o LinkedIn. Tutta la sicurezza è gratuita, senza periodo di prova né limiti di durata; solo la VPN è a pagamento: 3,99 €/mese o 39,99 €/anno.

Per far funzionare il servizio, affidiamo dei dati a fornitori, ciascuno per un compito preciso:

• Hosting: Google Cloud, regione europe-west1 (Unione europea), per l'API, il sito, i database e i file della cassaforte; le chiavi della cassaforte si trovano nel gestore di segreti di Google Cloud. I 19 server della VPN sono macchine Google Cloud, una per Paese, installate e gestite da Trasimène.
• Misurazione dell'utilizzo, disattivabile: Firebase Analytics (Google) e PostHog (server nell'Unione europea).
• Rapporti sugli errori: Sentry (server nell'Unione europea per le app e il sito) e Firebase Crashlytics.
• Pagamento: Apple nell'app per iPhone, Google nell'app Android; RevenueCat e Stripe su trasimene.com. Non vediamo né conserviamo alcun dato della carta di pagamento.
• Email: Resend, per i messaggi di conferma, di avviso e di fatturazione, e per la newsletter se ti sei iscritto.
• Monitoraggio delle fughe di dati: Have I Been Pwned riceve ogni indirizzo email che scegli di monitorare e ci dice se compare in una fuga di dati nota; verifica al momento dell'aggiunta, poi ogni 24 ore.
• Reputazione di link e file: Google Safe Browsing e VirusTotal, che ricevono l'indirizzo di un link o l'impronta di un file, mai il file.

Misurazione delle nostre campagne, con il tuo consenso: quando crei un account con il tuo indirizzo email su Android o su trasimene.com, una casella, non selezionata, ti propone di aiutarci a capire quali campagne portano utenti reali. Se accetti, la creazione dell'account e un abbonamento vengono segnalati alle nostre piattaforme pubblicitarie (Meta, TikTok, Snapchat, LinkedIn) con un'impronta del tuo indirizzo email. Meta, TikTok e Snapchat ricevono inoltre, alla registrazione, il tuo indirizzo IP e la descrizione tecnica del tuo browser o del tuo telefono (user-agent). Google Analytics riceve un identificativo dell'account, mai il tuo indirizzo. Senza il tuo consenso, non viene inviato nulla, e nulla parte mai da un iPhone. Puoi revocare il tuo consenso in qualsiasi momento nelle impostazioni del tuo account.

Le nostre dichiarazioni agli store. L'etichetta sulla privacy dell'App Store e la sezione Sicurezza dei dati di Google Play riportano, nel formato imposto da ciascuno store, ciò che l'app raccoglie e condivide. Le redigiamo noi stessi e le rileggiamo a ogni modifica, affinché corrispondano alla nostra informativa sulla privacy e a questa pagina.

Ogni fornitore, i trasferimenti al di fuori dell'Unione europea e i tuoi diritti sono descritti in dettaglio nell<link>informativa sulla privacy</link>.

Hai trovato una vulnerabilità nell'app, nel sito o nell'API? Scrivi a contact@trasimene.com. Il nostro file security.txt, all'indirizzo /.well-known/security.txt, indica questo contatto e rimanda a questa politica.

Confermiamo la ricezione entro 5 giorni lavorativi e ti diamo una prima valutazione entro 15 giorni lavorativi. Correggiamo in via prioritaria le vulnerabilità confermate e ti teniamo informato fino alla pubblicazione della correzione.

Non intraprendiamo alcuna azione legale contro chi agisce in buona fede: chi non legge, non modifica né conserva i dati di altri utenti, chi non perturba il servizio e chi ci lascia il tempo di correggere prima di pubblicare.

Ringraziamenti

Con il suo consenso, ogni persona che ci ha segnalato una vulnerabilità confermata viene citata qui, con la data.

• Come funziona Trasimène
• Sicurezza e crittografia
• Informativa sulla privacy
• Società e stampa
• File security.txt