Il canale ufficiale della Polizia di Stato

Il canale, per esteso

La Polizia di Stato prevede un Web Service ufficiale perché i gestionali possano trasmettere le schedine. AlloggiatiVeloci usa quello, e basta:

Nessuna automazione che si finge te, nessuno script che apre il sito e clicca al posto tuo. Il canale che usiamo è quello che la Polizia stessa ha costruito per questo scopo.

Le credenziali sono cifrate

• Nel database sono protette con cifratura AES.
• La chiave di cifratura non sta nel database e non finisce nei backup.
• Chi ottenesse una copia del database si troverebbe in mano valori illeggibili.
• I collaboratori che inviti su una struttura lavorano su prenotazioni e ospiti, ma le credenziali dei portali non le vedono e non possono usarle.

Il tuo account ha la verifica in due passaggi

• Puoi attivare la verifica in due passaggi (2FA) dalle impostazioni del tuo account: oltre alla password, un codice a 6 cifre generato dalla tua app di autenticazione (Google Authenticator, Microsoft Authenticator e simili, standard TOTP).
• Se qualcuno scopre la tua password, senza il tuo telefono non entra.
• All'attivazione ricevi i codici di recupero monouso: se perdi il telefono, rientri con quelli.

La foto del documento sparisce

• Serve solo a leggere i dati con l'intelligenza artificiale.
• Subito dopo, il file viene cancellato.
• Restano solo i dati testuali che la legge richiede: nome, cognome, date, tipo e numero del documento.
• Immagini di carte d'identità e passaporti non ne conserviamo: non servono, e sarebbero un rischio in più per entrambi.

I backup

• Sono cifrati, con cifratura asimmetrica: il server ha solo la chiave pubblica, quella che serve a cifrare.
• La chiave privata non sta sul server. Anche prendendo il controllo della macchina, i backup restano illeggibili.
• Copia off-site giornaliera, anch'essa cifrata.
• Il ripristino è collaudato, non solo previsto sulla carta.

I dati stanno nell'Unione europea

• Il database sta su un server nell'Unione europea, amministrato direttamente da me.
• I fornitori terzi coinvolti, come il servizio di AI che legge i documenti, sono nominati responsabili del trattamento ai sensi dell'art. 28 GDPR e, dove serve, con le Clausole Contrattuali Standard. Elenco completo, con sedi e finalità, nella privacy policy.

Su cosa stiamo lavorando

Il servizio migliora di continuo. I prossimi passi già in cantiere:

• Registro degli accessi consultabile, per vedere chi ha fatto cosa e quando.

Nel frattempo, il consiglio che vale sempre: usa una password lunga e unica, diversa da quella dei portali pubblici.

Puoi verificare tutto da solo

• Il canale ufficiale e la WSKEY sono documentati sul portale alloggiatiweb.poliziadistato.it della Polizia di Stato: la chiave la generi dalla tua area riservata.
• La revoca funziona: revoca la WSKEY dal portale e gli invii si fermano. Il controllo è tuo, sempre.
• Gli impegni formali sono nella privacy policy e nei termini: titolare, fornitori, sedi, tempi di conservazione, diritti.
• Chi lo fa ha nome, cognome e profilo pubblico verificabile: Chi siamo.

Hai trovato un problema di sicurezza?

Scrivimi a [email protected]: rispondo io, di persona. Se hai individuato una vulnerabilità reale, ti chiedo il tempo di correggerla prima di renderla pubblica. La sistemo il prima possibile, e se vuoi ti ringrazio pubblicamente.

Ultimo aggiornamento: settembre 2026. Per gli aspetti formali fanno fede la privacy policy e i termini di servizio.