1. Finalità e verifica
LAIO OS usa memoria del browser per autenticazione, sicurezza, preferenze e funzioni richieste dall’utente. Non sono integrati strumenti pubblicitari, di profilazione o di analisi del comportamento: non esistono cookie di marketing né contatori di visite. I servizi esterni di accesso e protezione ricevono comunque dati tecnici, come descritto al punto 5.
L’inventario deriva dal controllo in produzione del 06.10.2026 e dal riesame del codice del 16.10.2026, con aggiornamento del caricamento Google su richiesta e delle app mobili. L’introduzione di analytics, marketing o altri usi facoltativi richiede una nuova valutazione e, quando necessario, una scelta preventiva: la lettura di questa pagina non è un consenso a nuovi trattamenti.
2. Sessione di accesso
Supabase Auth usa cookie con prefisso sb- (suddivisi in più parti quando il contenuto è lungo) per mantenere e rinnovare la sessione. Configurazione verificata il 06.10.2026: il token di accesso dura 1 ora, il rinnovo avviene a rotazione con una finestra di riutilizzo di 10 secondi, e non è impostato né un limite massimo di durata della sessione né una scadenza per inattività. In pratica la sessione resta valida finché viene rinnovata dall’uso e si chiude con il logout, con la revoca dalla pagina Sicurezza o con la cancellazione dei dati del sito.
Sono ammesse sessioni contemporanee su più dispositivi: in Sicurezza trovi le sessioni attive e puoi chiuderle. Su un dispositivo condiviso esegui sempre il logout invece di chiudere soltanto la scheda.
3. Cookie dell’applicazione
laio_os_active_workspace indica il gestionale attivo e laio_os_sa_impersonate segnala la modalità di assistenza del super amministratore: durata impostata di 30 giorni. laio_os_recent_auth attesta una verifica recente dell’identità ed è il presupposto delle operazioni sensibili: dura 10 minuti.
__Host-laio-webview tiene la sessione delle schermate web aperte dentro l’app mobile: è cifrato, leggibile solo dal server, limitato al nostro dominio e vive al massimo 5 minuti, comunque non oltre la scadenza del token di accesso. Il codice monouso che lo genera è conservato solo in forma di impronta, vale 60 secondi ed è eliminato all’uso o alla scadenza.
4. Preferenze e appunti nel browser
La memoria locale conserva le sezioni aperte del menu (laio:sidebar:collapsed-sections), la combinazione di colori scelta (laio-palette) e l’ultima lettura delle notifiche per gestionale (laio:notifications:seen:<gestionale>). Sono preferenze: restano nel browser finché non cancelli i dati del sito e non vengono inviate a terzi.
Gli appunti di righe di preventivi e fatture (laio:appunti-righe) possono contenere descrizioni, note e prezzi: restano nel browser fino alla sostituzione o alla cancellazione dei dati del sito e non sono una copia di sicurezza. La memoria di sessione conserva soltanto la chiusura del promemoria di autenticazione a due fattori (laio_os_2fa_reminder_dismissed), fino alla chiusura della scheda. Su un computer condiviso evita di lasciare appunti riservati e cancella i dati del sito al termine. Il promemoria non impone tecnicamente la 2FA: il cliente è contrattualmente tenuto ad attivarla per tutti gli amministratori prima dell’uso operativo.
5. Servizi esterni nella pagina di accesso
La pagina di accesso carica il componente di sicurezza Cloudflare già all’apertura. Cloudflare Turnstile (challenges.cloudflare.com) verifica che l’accesso non provenga da un bot usando segnali di browser, dispositivo e rete; la verifica è richiesta anche dal fornitore di autenticazione, quindi disattivarla impedisce l’accesso. Nel rilevamento del 06.10.2026 Turnstile non ha scritto cookie sul nostro dominio: può farlo in presenza di una sfida più severa, secondo la configurazione di Cloudflare. Cloudflare opera come responsabile per proteggere il sito e come titolare per migliorare il rilevamento dei bot.
Google Identity Services viene caricato solo dopo il clic su «Attiva accesso Google». Prima della scelta, questa integrazione non invia richieste a Google. Dopo l’attivazione, Google riceve dati tecnici quali indirizzo IP e informazioni del browser e può scrivere g_state, che conserva lo stato dell’accesso. Durata e contenuto dipendono dal servizio Google e dalle impostazioni del browser; non è attestata una durata fissa universale. Puoi eliminare il cookie dalle impostazioni del browser. Se completi l’accesso, LAIO riceve i dati del profilo autorizzati. Informative dei fornitori: https://policies.google.com/privacy e https://www.cloudflare.com/privacypolicy/.
6. App mobile
Le app iOS e Android conservano la sessione nell’archivio protetto del sistema tramite expo-secure-store (Keychain su iOS e memoria cifrata protetta dal sistema su Android), suddividendola in parti quando necessario e rimuovendo i token dei fornitori esterni prima del salvataggio. Nello stesso archivio resta il token push laio.push.token. La registrazione invia il token a Expo e al backend LAIO; Expo inoltra gli avvisi tramite Apple/APNs o Google/FCM. I destinatari, i dati trasmessi e i termini sono descritti nell’Informativa Privacy, punto 4.
In memoria ordinaria dell’app resta soltanto l’ultimo gestionale aperto per ogni utente (laio:last-workspace:<utente>), per riaprire l’app dove l’avevi lasciata. Le schermate web mostrate dentro l’app usano il cookie temporaneo descritto al punto 3. Per rimuovere la sessione esegui il logout e, se necessario, revoca le sessioni dalla pagina Sicurezza. La sola disinstallazione non garantisce la rimozione di ogni elemento dell’archivio protetto e non cancella i documenti salvati sul server.
Le notifiche si abilitano mediante il permesso del sistema operativo e si possono revocare nelle impostazioni del telefono. L’app rimuove la registrazione quando rileva la revoca e al logout completato; senza riapertura o collegamento di rete il server può non rilevare subito la revoca. Puoi nascondere le anteprime sulla schermata bloccata. La fotocamera è usata soltanto su richiesta per acquisire i giustificativi; il rifiuto del permesso non impedisce la compilazione manuale.
7. Come gestire la memoria
Puoi eliminare cookie e dati del sito dalle impostazioni del browser. L’operazione disconnette l’account e può rimuovere preferenze e appunti; non cancella i documenti salvati sul server. Il blocco dei cookie di sessione o della verifica anti-bot impedisce l’accesso.
Puoi accedere con il link inviato alla tua email senza attivare Google. Per interrompere ulteriori caricamenti del componente Google dopo averlo attivato, ricarica la pagina e non attivarlo nuovamente; per eliminare g_state cancella anche i dati del sito. Questa operazione non elimina i dati già ricevuti dal fornitore. Puoi chiedere l’inventario aggiornato o esercitare i diritti scrivendo a support@laio.ch.