Informativa sul trattamento dei dati personali e sull’uso dei cookie — DF-Transfer
Ai sensi degli artt. 12, 13 e, ove applicabile, 14 del Regolamento (UE) 2016/679 («GDPR») e del D.Lgs. 196/2003, come modificato. Aggiornamento: 5 novembre 2026.
1. Titolare e ambito dell’informativa
DF-Transfer è un servizio DF-Systems. Questa pagina descrive il trattamento dei dati relativo al trasferimento di file tramite transfer.dfbox.it, alle funzionalità di invio del collegamento e agli accessi amministrativi.
Per l’informativa completa, comprese le informazioni sul titolare del trattamento e i suoi recapiti, consultare il sito www.df-systems.eu. Per le richieste relative alla privacy e all’esercizio dei diritti è possibile scrivere a [email protected], indicando nell’oggetto «Privacy DF-Transfer».
2. Categorie, provenienza e conferimento dei dati
Sono trattati i contenuti caricati, i nomi e le dimensioni dei file, gli identificativi dei file e dei collegamenti, le scadenze, gli indirizzi IP e i dati tecnici delle richieste. Il registro dei caricamenti comprende data e ora, nome, dimensione e identificativo del file, IP ed eventuale identità dell’utente autenticato. Per gli utenti anonimi non è verificata l’identità personale. Nell’invio diretto è trattato l’indirizzo email del destinatario, fornito dal mittente. I dati contenuti nei file provengono da chi li carica e possono riguardare terzi.
I dati tecnicamente necessari al trasferimento e alla sicurezza sono indispensabili per erogare la relativa funzione. L’indirizzo del destinatario è necessario per l’invio diretto; in alternativa è possibile condividere il collegamento. Chi carica dati di terzi deve essere legittimato alla comunicazione e adempiere agli obblighi informativi di propria competenza. Il servizio non costituisce, per il solo fatto di essere disponibile, una soluzione qualificata per dati sanitari, giudiziari o altre categorie soggette a specifiche garanzie.
3. Finalità, basi giuridiche e ruoli
Il trasferimento richiesto dall’utente e le operazioni necessarie alla gestione del relativo rapporto trovano base nell’art. 6, par. 1, lett. b), GDPR, nei limiti in cui l’interessato sia parte del rapporto. La protezione del servizio, la prevenzione degli abusi e la gestione dei registri di sicurezza perseguono il legittimo interesse alla sicurezza e alla tutela dei diritti, ai sensi dell’art. 6, par. 1, lett. f), previa valutazione di necessità, proporzionalità e bilanciamento. Gli adempimenti imposti da una norma applicabile si fondano sull’art. 6, par. 1, lett. c). Queste basi non autorizzano automaticamente ogni contenuto caricato o trattamenti ulteriori.
Per i contenuti caricati nell’ambito di attività professionali, la qualificazione del cliente come titolare e del fornitore come responsabile dipende dal rapporto effettivo e richiede, ove applicabile, un accordo conforme all’art. 28 GDPR, con istruzioni, misure di sicurezza e disciplina dei subresponsabili. L’informativa non sostituisce tale accordo né la valutazione delle basi giuridiche del cliente. L’eventuale trattamento di dati degli artt. 9 e 10 richiede anche le condizioni specifiche previste da tali disposizioni.
4. Disponibilità e conservazione
I nuovi file e collegamenti del servizio gratuito scadono dopo quattro giorni dal caricamento; i trasferimenti creati prima della modifica conservano la scadenza originaria indicata nel collegamento. Alla scadenza il download non è più disponibile. La rimozione dei contenuti scaduti è affidata a procedure periodiche, normalmente entro l’ora successiva; in presenza di contenuti deduplicati associati ad altri trasferimenti validi, la copia condivisa permane fino alla cessazione delle relative esigenze. I metadati del portale scaduti sono sottoposti a pulizia periodica. Le copie già scaricate, le email ricevute e i collegamenti inoltrati restano soggetti alla gestione dei rispettivi destinatari.
Il registro riservato dei caricamenti è conservato per sette giorni. Anche i registri tecnici e di sicurezza della VM sono configurati con una conservazione massima ordinaria di sette giorni, salvi i limiti dimensionali e la rotazione. Le impronte dell’IP e dell’indirizzo email usate per limitare gli invii diretti sono conservate per un’ora; si tratta di dati pseudonimizzati, non di dati necessariamente anonimi. I contatori antiabuso dei caricamenti, con impronta dell’IP e volume prenotato, sono conservati per ventiquattro ore. Lo stato e l’autorizzazione all’invio sono collegati al trasferimento e rimossi con la relativa pulizia. I tempi di fornitori esterni, caselle email, backup e snapshot devono essere verificati separatamente e non sono coperti dalla scadenza dei collegamenti.
Restano salvi specifici obblighi legali di conservazione, acquisizione o sequestro disposti dall’autorità competente: le eventuali misure sui dati ancora disponibili sono limitate all’oggetto, alla durata e alle finalità del relativo obbligo. La presente informativa non introduce una conservazione generalizzata ulteriore né garantisce la recuperabilità di dati già cancellati.
5. Invio email, destinatari e servizi esterni
Con «Invia direttamente», il server invia il collegamento dalla casella [email protected] tramite il servizio SMTP Aruba. L’email e il collegamento sono comunicati al fornitore di posta e al destinatario; l’indirizzo non è registrato in chiaro nel database del portale per la funzione di limitazione degli invii. La consegna può comportare conservazione e ulteriori trattamenti nei sistemi di posta. Con «Utilizza il mio client email» l’invio è gestito dal programma e dai fornitori scelti dall’utente.
L’accesso pubblico utilizza Cloudflare e un proxy verso l’applicazione. Tali componenti possono trattare indirizzi IP, richieste, dati di connessione e, secondo la configurazione TLS, i dati del traffico applicativo. Non è pertanto dichiarata una cifratura end-to-end. Possono accedere ai dati il personale autorizzato e i fornitori incaricati secondo i rispettivi ruoli; le autorità possono riceverli nei casi previsti dalla legge. I contenuti non sono pubblicati in un elenco pubblico, ma sono accessibili a chi possiede un collegamento valido.
I loghi degli sponsor sono ospitati localmente. I collegamenti sponsorizzati aprono siti esterni soggetti alle rispettive informative. Il pulsante «Acquista PRO» conduce a Stripe, che tratta i dati secondo le proprie condizioni e informative; il modulo gratuito non raccoglie i dati della carta. Gli accordi con i responsabili, gli eventuali subresponsabili e le localizzazioni devono essere documentati dal titolare.
6. Trasferimenti internazionali
L’impiego di fornitori internazionali non consente di presumere che ogni trattamento avvenga nello Spazio economico europeo. Prima di indicare Paesi e garanzie come accertati devono essere verificate le condizioni effettive dei fornitori. Ove sussistano trasferimenti verso Paesi terzi, si applicano gli artt. 44–49 GDPR: decisione di adeguatezza applicabile oppure garanzie appropriate, quali clausole contrattuali standard, con le valutazioni e le misure supplementari necessarie. Il titolare deve rendere disponibili informazioni sulle garanzie e sulle modalità per ottenerne copia.
7. Cookie e strumenti del browser
Il portale non integra strumenti pubblicitari o analytics di terze parti nel codice applicativo esaminato. Il cookie session_token, di prima parte, serve all’autenticazione e alla gestione degli accessi riservati; è protetto con HttpOnly, SameSite=Lax e attributo Secure sul percorso HTTPS. La durata ordinaria prevista dal componente di autenticazione è di trenta giorni, con possibile rinnovo o invalidazione anticipata: non è un cookie limitato necessariamente alla chiusura del browser. Il trasferimento gratuito non richiede questo cookie.
Cloudflare può impiegare cookie tecnici di sicurezza in base alle funzioni abilitate, fra cui __cf_bm per la gestione dei bot, normalmente trenta minuti, e cf_clearance per la verifica dei controlli di sicurezza, con durata dipendente dalla configurazione. Presenza, dominio e durata effettivi devono essere riscontrati sul percorso pubblico: non tutti questi cookie sono necessariamente installati. Il browser può inoltre trasmettere segnalazioni tecniche di rete quando abilitate dall’infrastruttura.
Per gli strumenti strettamente necessari si applica l’esenzione dal consenso dell’art. 122 del D.Lgs. 196/2003; resta dovuta l’informazione. L’introduzione di tracciamenti non necessari richiede una valutazione specifica e, ove previsto, consenso preventivo, revocabile e documentabile. È possibile gestire o cancellare i cookie tramite il browser; il blocco di quelli necessari può impedire l’accesso riservato o alcune verifiche di sicurezza. Sui siti esterni aperti volontariamente si applicano le rispettive policy.
Il riquadro del collegamento mostra l’IP pubblico e una località stimata. Prima della scelta iniziale non vengono avviati il rilevamento IP nel browser o la localizzazione facoltativa. Con “Nega” rimane soltanto la stima tramite IP; i log tecnici necessari al funzionamento restano attivi. Con “Acconsento” e il successivo permesso del browser viene richiesta una sola posizione del dispositivo per pagina, con accuratezza variabile. Le coordinate sono elaborate sul nostro server tramite l’archivio locale GeoNames per mostrare una località vicina; non indicano necessariamente il comune amministrativo esatto. Sono inoltre registrate, insieme alla precisione dichiarata dal browser, alla scelta e all’IP, negli eventi riservati relativi a trasferimenti e recensioni. La provenienza è indicata come dichiarata dal browser e non costituisce identità o prova certa della posizione fisica. Il rifiuto o la revoca non impediscono i trasferimenti e interrompono nuove acquisizioni della posizione; non cancellano retroattivamente gli eventi già registrati, che scadono entro sette giorni. La preferenza è salvata nel localStorage di questo browser per sei mesi, senza salvare lì le coordinate; può essere cambiata dal comando “Cookie e posizione”. Cancellando i dati del sito o cambiando browser la scelta verrà richiesta nuovamente. I cookie tecnici necessari non sono oggetto di consenso facoltativo. Per rilevare l’IP il browser può interrogare Cloudflare, senza inviare file, email o identificativi di trasferimento; la localizzazione è ricavata sul server dal database DB-IP, distribuito con licenza CC BY 4.0. Le località vicine alle coordinate del dispositivo derivano da GeoNames, archivio cities1000 convertito in un database locale con licenza CC BY 4.0; le coordinate non sono inviate a servizi geografici esterni. I registri riservati possono associare agli eventi di caricamento, creazione del collegamento e richiesta di download gli indirizzi osservati o dichiarati, distinguendone la provenienza, e il browser dichiarato. Un registro riservato correla inoltre le azioni di copia, invio email o richiesta di download ai successivi clic sui collegamenti di recensione Google e Trustpilot. Il clic non dimostra la pubblicazione di una recensione; i collegamenti nelle email possono essere aperti anche da sistemi automatici di verifica. Questi eventi sono conservati per un massimo di sette giorni, entro i limiti di capacità dei registri. La richiesta di download non dimostra che il destinatario abbia completato lo scaricamento; un IP o una località stimata non identificano con certezza una persona.
L’icona meteo mostra una previsione per l’area approssimativa stimata dall’IP. Il server invia a MET Norway solo coordinate arrotondate a circa una decina di chilometri, senza IP del visitatore, email, file o coordinate GPS del dispositivo. I dati sono conservati temporaneamente in cache; non costituiscono una misura locale in tempo reale. Fonte: MET Norway, licenza CC BY 4.0.
L’indirizzo email del mittente è associato ai file e al trasferimento insieme all’indirizzo del destinatario e ai dati tecnici raccolti. Il servizio gratuito applica una quota cumulativa di 10 GB per email mittente e mese solare nel fuso Europe/Rome; i caricamenti sono conteggiati nel mese in cui inizia la relativa sessione. I tentativi non completati non consumano byte definitivi. Per mantenere la quota anche dopo la scadenza dei file viene conservato un contatore mensile associato a un’impronta protetta dell’email, senza l’indirizzo in chiaro nel contatore, per un massimo di circa tre mesi. Gli eventi tecnici riservati e le comunicazioni interne di gestione possono contenere indirizzi email, nomi/estensioni/dimensioni dei file, IP e località disponibili, scadenza e spazio disco residuo. Sono conservati ordinariamente per un massimo di sette giorni, entro i limiti di capacità. Il mittente riceve una conferma quando il server termina la trasmissione di tutti i file del trasferimento; ciò non certifica l’identità della persona, il salvataggio o l’apertura sul suo dispositivo.
8. Misure di sicurezza e limiti
Il servizio applica HTTPS, cifratura autenticata AES-GCM dei contenuti sul server, autenticazione degli accessi riservati, controlli sulle richieste, limiti di risorse e isolamento dei componenti. Le chiavi sono gestite dall’infrastruttura: la compromissione del server o degli accessi privilegiati può compromettere anche i contenuti. Il possesso del collegamento consente il download fino alla scadenza; l’utente deve custodirlo e condividerlo soltanto con destinatari autorizzati. Il flusso di caricamento integra controlli antimalware automatizzati per i file e le condizioni tecniche supportati; un rilevamento positivo impedisce la pubblicazione del relativo file. Tali controlli non equivalgono a un esame giuridico del contenuto e non garantiscono che ogni file sia analizzabile, innocuo o lecito. La cifratura è applicata dall’infrastruttura, che gestisce le chiavi, e non costituisce cifratura end-to-end né prova di inaccessibilità assoluta per il gestore. Non viene effettuata una verifica umana sistematica e preventiva della liceità di ciascun contenuto. Le misure devono essere mantenute e riesaminate ai sensi degli artt. 25 e 32 GDPR; non escludono ogni rischio.
9. Diritti e reclami
Alle condizioni previste dal GDPR l’interessato può esercitare accesso, rettifica, cancellazione, limitazione, portabilità e opposizione, nei limiti degli artt. 15–22. L’opposizione riguarda, in particolare, i trattamenti fondati sul legittimo interesse; l’eventuale consenso può essere revocato senza pregiudicare la liceità dei trattamenti precedenti. Non risultano, nell’applicazione esaminata, decisioni basate unicamente su trattamenti automatizzati che producano gli effetti dell’art. 22; i controlli tecnici antiabuso non costituiscono automaticamente una decisione di tale natura.
La richiesta deve essere inviata a [email protected], indicando nell’oggetto «Privacy DF-Transfer», oppure tramite i recapiti riportati nell’informativa completa sul sito www.df-systems.eu, fornendo elementi sufficienti a identificare il trattamento e verificare l’identità senza raccogliere dati eccedenti. Il riscontro è fornito di regola entro un mese; l’eventuale proroga, fino a ulteriori due mesi nei casi consentiti, è comunicata entro il primo mese con motivazione. È possibile proporre reclamo al Garante per la protezione dei dati personali o ad altra autorità competente e adire l’autorità giudiziaria. Nei rapporti in cui il gestore opera come responsabile, coopera con il titolare competente per la richiesta.
10. Servizio PRO e obblighi organizzativi
Gli account PRO, gli abbonamenti e i dati contrattuali o fiscali richiedono una disciplina specifica per finalità, basi giuridiche e tempi di conservazione; la scadenza di quattro giorni del servizio gratuito non si estende automaticamente a tali rapporti. Prima dell’attivazione devono essere definiti condizioni del servizio, informativa applicabile, gestione delle richieste e, quando necessario, accordo ex art. 28. L’inserimento di clausole nell’informativa non sostituisce gli adempimenti effettivi: registro dei trattamenti ove dovuto, autorizzazioni, accordi con fornitori, gestione delle violazioni ai sensi degli artt. 33–34 e valutazione d’impatto ove richiesta dall’art. 35.
11. Uso lecito del servizio e contenuti vietati
È vietato utilizzare DF-Transfer per caricare, conservare, trasmettere o rendere disponibili file potenzialmente dannosi, malware, ransomware, codice malevolo o contenuti idonei a compromettere sistemi, reti, dati o diritti di terzi. È altresì vietato qualsiasi impiego per attività illecite o per contenuti la cui detenzione, riproduzione, diffusione o comunicazione sia vietata dalla legge, inclusi materiali lesivi dei diritti d’autore o di altri diritti di proprietà intellettuale in assenza di un valido titolo, autorizzazione o eccezione prevista dall’ordinamento.
L’utente deve accertare, prima del caricamento e della condivisione, la liceità dei contenuti e la disponibilità dei diritti, delle autorizzazioni e delle basi giuridiche necessari, anche con riferimento ai dati personali di terzi. La disponibilità del servizio, l’eventuale esito dei controlli tecnici e la cifratura dei file non costituiscono approvazione, certificazione di liceità o autorizzazione alla diffusione. Restano ferme le responsabilità dell’utente per le condotte e i contenuti a lui imputabili.
In presenza dei presupposti di legge, di provvedimenti vincolanti o di elementi concretamente rilevanti ai fini della sicurezza e del rispetto delle condizioni applicabili, DF-Systems si riserva di limitare o sospendere l’accesso, impedire la pubblicazione o disabilitare i collegamenti interessati, nel rispetto delle garanzie e degli obblighi applicabili. Le segnalazioni possono essere inviate a [email protected], indicando il collegamento interessato e gli elementi utili alla valutazione.
12. Richieste delle autorità e comunicazione dei dati
DF-Systems coopera con l’autorità giudiziaria, la polizia giudiziaria e le altre autorità competenti nei casi e secondo le modalità previsti dalla normativa applicabile. A fronte di ordini o richieste legalmente vincolanti, verificati quanto a provenienza, competenza, fondamento giuridico e ambito, la società adempie agli obblighi di conservazione, acquisizione o comunicazione limitatamente ai dati pertinenti, necessari e ancora nella propria disponibilità. Tali obblighi possono riguardare indagini e accertamenti su presunte violazioni: non presuppongono necessariamente una sentenza definitiva o una violazione già accertata.
La comunicazione può comprendere, nei limiti del provvedimento e delle norme applicabili, i file e gli oggetti presenti negli archivi, anche nel formato cifrato in cui sono conservati, nonché metadati, identificativi di file e trasferimenti, date e orari, informazioni sugli accessi e sulle operazioni, registri tecnici e amministrativi, indirizzi IP e ulteriori elementi disponibili utili all’accertamento. La cifratura non esonera dagli obblighi di cooperazione e non comporta una promessa di indisponibilità del contenuto per il gestore o per le autorità; la forma della consegna dipende dal titolo giuridico e dalle effettive possibilità tecniche.
Possono essere comprese anche la località approssimativa ricavata dall’IP e, esclusivamente se previamente acquisiti sulla base del consenso dell’utente e del permesso del browser, i dati di posizione del dispositivo con la relativa accuratezza e provenienza dichiarata. La comunicazione obbligatoria di dati già lecitamente raccolti trova fondamento nell’obbligo legale applicabile e non richiede un nuovo consenso; non autorizza a ricostruire dati inesistenti né ad attivare la localizzazione facoltativa precedentemente negata. Un IP o una posizione dichiarata non costituiscono, da soli, prova certa dell’identità o della presenza fisica di una persona. L’utente viene informato ove dovuto e consentito dalla legge, fatti salvi gli obblighi di riservatezza e gli eventuali limiti previsti per le indagini.
13. Responsabilità e limiti delle clausole di manleva
L’utente risponde, nei limiti previsti dall’ordinamento, dell’uso illecito del servizio e delle conseguenze dei contenuti e delle condotte a lui imputabili. Ove validamente previsto e accettato nelle condizioni contrattuali applicabili, l’obbligo di manleva e di tenere indenne DF-Systems riguarda le pretese fondate di terzi, i danni e le spese giustificate derivanti da tali condotte, nei limiti consentiti dalla legge. La presente informativa non sostituisce la valida pattuizione delle condizioni contrattuali né introduce automaticamente obblighi di manleva a carico dell’interessato.
Non è prevista alcuna esenzione generale di DF-Systems da responsabilità per il trattamento dei dati personali, la custodia dei registri o la gestione degli archivi. Restano fermi gli obblighi inderogabili del gestore e le responsabilità per fatti propri, dolo o colpa grave, nonché le tutele previste dalla normativa sulla protezione dei dati e dei consumatori, ove applicabili. La collaborazione con le autorità, quando effettuata nei limiti di legge, non trasferisce alla società la responsabilità per i contenuti illeciti imputabili all’utente, né consente di derogare ai doveri che la legge pone a carico della società stessa.
Riferimenti: Regolamento (UE) 2016/679; D.Lgs. 196/2003 e successive modifiche; Linee guida cookie del Garante, 10 giugno 2021; informazioni sui cookie Cloudflare; Regolamento (UE) 2022/2065, in particolare artt. 8–10, ove applicabili; art. 1229 del Codice civile per i limiti alle clausole di esonero da responsabilità.
