Questa pagina dice dove sta ogni pezzo dei tuoi dati. I file non si muovono: le cartelle che indichi a Quven le legge il server sulla macchina che gestisci tu, e finisce lì. Che cosa viaggia, allora? Il tuo account, cioè chi sei, quali server hai collegato e quelle poche cose che sarebbe una tortura perdere se domani reinstallassi tutto. Tutto il resto è un interruttore che hai acceso tu, e ogni sezione qui sotto dice che cosa manda davvero.
La libreria resta dov’è, il profilo ti segue
Il server legge le cartelle che hai scelto e le serve ai client che hai autorizzato. Non fa altro con quei file, e il cloud Quven non diventa lo storage della tua libreria.
E per i media il discorso finisce qui. Il resto che conserviamo è più piccolo e molto meno interessante: un accesso, l’elenco dei server collegati e lo stato di ciascuna persona, quello che fa sembrare tua una libreria: watchlist, voti, recensioni, il minuto esatto in cui ti sei fermato al terzo episodio. Reinstalli il server su hardware nuovo, accedi, e ritrovi tutto al suo posto. È l’unico motivo per cui qualcosa di tutto ciò sta da qualche parte che non sia il tuo disco.
Che cosa può dire un evento di analytics
Le analytics di prodotto restano spente finché non le concedi tu, e il consenso vive sul tuo Quven Account: nel portale, alla voce Privacy e condivisione dati, sulla scheda intitolata Aiuta a migliorare Quven. Il server legge quel consenso dall’account a cui è collegato, quindi un solo interruttore copre tutti i server e tutti i client che possiedi. Revocarlo non si limita a fermare l’evento successivo: la coda degli eventi ancora in attesa di partire viene svuotata sul momento, e scollegare un server dall’account produce lo stesso effetto.
Che cosa può contenere un evento, una volta che hai detto di sì? Meno di quanto immagina quasi chiunque, perché la forma viene controllata prima ancora che l’evento entri in coda. Il nome deve essere uno di quelli a catalogo, scan.completed o playback.started o un altro della trentina in elenco, e ogni campo deve comparire fra quelli ammessi per quel singolo evento. Una misura deve essere un numero non negativo. Un’etichetta deve essere una parola presa da un vocabolario chiuso: hevc o av1 per un codec, uhd o fhd per una risoluzione, 1gb_10gb per la dimensione di un file, relay o lan per la strada che il client ha preso per arrivare al server. Un valore fuori dal vocabolario fa cadere l’intero evento.
In quella struttura non c’è posto per il titolo di un film. Il testo libero non è una delle forme ammesse per un’etichetta, quindi non ci sarebbe nemmeno dove infilarlo per sbaglio, e il validatore scarta comunque qualunque valore somigli a un percorso Windows o Unix, a un indirizzo email, a un token bearer o a un JWT. Le etichette si fermano a 64 caratteri e nessun evento può portarne più di 24. Di una scansione arriviamo a sapere che è finita, quanto è durata e quanti file ha visto per ciascuna risoluzione. Come si chiamavano quei file resta a casa tua.
Riconoscere un titolo significa parlare con l’esterno
Per capire che cos’è un file, il server interroga i cataloghi che hai configurato, con quello che riesce a leggere dal nome.
Il matching AI gestito è un interruttore a sé e arriva spento. Se lo accendi, quando un match ordinario torna ambiguo il server manda il titolo e l’anno estratti dal nome, la durata misurata sul file, il nome del file e le righe candidate che il catalogo ha già restituito. La cartella che contiene il file resta indietro: il codice prende il nome del file e butta via il percorso prima ancora di comporre il prompt. La riga di quota che conta il tuo consumo mensile tiene un identificativo di richiesta, uno stato e un’impronta, così nessuno qui può poi risalire a quale film hai riconosciuto. Se invece configuri una tua chiave provider, il server parla con quel provider direttamente, alle condizioni di chi lo fornisce e senza passare da noi.
Accendere un provider significa accettare anche le sue condizioni sulla privacy oltre alle nostre, il che è un ottimo motivo per leggerle prima.
I sottotitoli si dividono in una metà locale e una che viaggia
Ricavare i sottotitoli dall’audio succede sul tuo hardware. Il server estrae con FFmpeg esattamente la traccia audio che hai scelto, la porta a 16 kHz mono, la passa a una build locale di whisper.cpp e scrive il risultato accanto al tuo file. L’audio non lascia la macchina, e nemmeno la trascrizione che ne esce. La guida su come generare sottotitoli in locale racconta i modelli e quanto chiedono al processore.
La traduzione è la metà che viaggia, e viaggia solo quando qualcuno la chiede. La richiesta porta con sé il testo dei sottotitoli, la lingua di partenza e quella di arrivo, più un po’ di contesto pubblico che tiene ferma la resa quando il titolo è riconosciuto: nome, anno, generi e la sinossi che un catalogo pubblica già a tutti. Il server firma la chiamata con la propria identità di pairing, quindi quale profilo abbia premuto il pulsante non parte insieme al resto. La traduzione torna indietro e viene scritta come asset di sottotitolo sul tuo disco. La copia che teniamo perché un ritentativo non ti costi l’intero lavoro viene ripulita dopo sette giorni, e una seconda cache, con chiave costruita su un digest SHA-256 del testo di partenza insieme alla lingua di arrivo, al formato e al modello, permette a un sottotitolo diffuso di saltare del tutto il provider: quella non ha alcun account attaccato e sparisce dopo novanta giorni. La guida sulla traduzione AI dei sottotitoli entra nel merito della funzione.
Diagnostica: ripulita prima, e sempre rifiutabile
I report di crash e di riproduzione vengono ripuliti sulla tua macchina prima che qualsiasi cosa parta. I percorsi assoluti diventano hash, un’email o un token vengono oscurati, il nome di una libreria o di una persona viene sostituito da un segnaposto. Il filtro attraversa l’evento per intero, quindi breadcrumb, tag e dati di richiesta allegati passano dallo stesso confine, e i nomi sotto cui i report vengono archiviati arrivano da un catalogo fisso di operazioni: è il motivo per cui un titolo non può diventarne uno per sbaglio. L’app ti mostra che cosa copre tutto questo prima di chiedertelo. Puoi dire di no, e se lo fai le stesse informazioni continuano a finire nei log locali, che è da dove le legge il pannello Avvisi ed errori recenti.
Le analytics sono una domanda separata con una risposta separata: pubblicare una build capace di raccogliere non è mai stata la stessa cosa del tuo consenso a farlo. Se non l’hai dato, non parte niente.
Il relay è l’unico punto in cui i tuoi byte toccano il nostro hardware
Il relay gestito è l’unico posto in cui qualcosa di tuo attraversa hardware che gestiamo noi. Termina la cifratura, quindi mentre inoltra il tuo flusso può vederlo; non ne tiene traccia e non ne fa nient’altro, e l’unica cosa che viene contata è quanti byte sono passati nel tuo periodo di fatturazione. Se quel confine non ti va proprio giù, raggiungere il tuo server per conto tuo con un port forward, un reverse proxy o una VPN ci taglia fuori dal percorso.
Leggi la policy completa. Questa guida spiega l’architettura in termini pratici; la Privacy Policy resta il testo autoritativo su finalità, provider, conservazione e diritti.
Domande frequenti
Qualcuno dei miei media finisce caricato da qualche parte?
No. Il server trasmette ai client che hai autorizzato e nessuna copia della tua libreria va altrove. Il relay è l’unica eccezione, nel senso che i byte lo attraversano mentre guardi da fuori casa, e anche in quel caso vengono inoltrati e dimenticati, non conservati.
Posso usare Quven con tutte le funzioni opzionali spente?
Sì, e parecchie persone lo fanno. Scansione, riconoscimento sui cataloghi che configuri, riproduzione, transcodifica e sottotitoli ricavati dal tuo audio funzionano senza un solo consenso opzionale. Quello a cui rinunci è il relay gestito, l’aiuto dell’AI gestita sui titoli che nessuno riesce a riconoscere e la traduzione cloud.
Se spengo le analytics su un dispositivo, sono spente ovunque?
Sì. Il consenso sta sul Quven Account e viene letto da lì, quindi un server o un client che lo trova revocato smette di raccogliere e butta via quello che aveva in coda. Non esiste una copia locale che possa restare in disaccordo con l’account senza dirlo.
Chi può leggere un sottotitolo che mando a tradurre?
Il nostro servizio cloud lo passa al provider del modello linguistico e ti riporta indietro la risposta. I provider sono sotto contratti pensati per tenere il testo inviato fuori dal loro addestramento, la copia legata all’account qui viene ripulita dopo una settimana, e la cache condivisa dietro di essa ha per chiave un hash a cui non è attaccato alcun account.
Che fine fa tutto questo se cancello l’account?
Cancellare da Elimina account nel portale rimuove i dati personali legati all’account e l’avatar che hai caricato, tranne ciò che la legge ci obbliga a conservare ancora per un po’. Sopravvivono i numeri aggregati che non sono più riconducibili a te, perché dentro non è rimasto niente da ricondurre. I tuoi file e il tuo server non li tocca nulla di tutto ciò: non sono mai stati nostri da cancellare.