Privacy — estensione Chrome PokéItem

L'estensione non ha un server proprio.

• →Il titolo e il prezzo letti dalla pagina vengono inviati a app.pokeitem.fr per identificare la carta e recuperarne la quotazione.
• →Anche la foto dell'annuncio viene inviata, in un caso preciso e senza che tu faccia clic: quando il testo non basta a identificare la carta. La tabella «La foto dell'annuncio», più sotto, dice esattamente quando, e come disattivarlo.
• →Se hai già effettuato l'accesso a PokéItem in Chrome, i tuoi cookie NextAuth servono a leggere il raccoglitore e la lista dei desideri. Nulla viene conservato presso terzi.
• →La cronologia delle ultime 15 carte resta in chrome.storage, sul tuo profilo Chrome.
• →Anche gli annunci seguiti («Segui questo annuncio») restano in chrome.storage.local, sul tuo profilo Chrome: 50 al massimo, mai inviati da nessuna parte. Il loro prezzo si aggiorna soltanto quando riapri l'annuncio: l'estensione non consulta mai una pagina in background.
• →Nessun dato viene rivenduto. I link eBay usano il programma di affiliazione già attivo nell'app PokéItem.

Annunci segnalati per migliorare le quotazioni

Leboncoin e Vinted non hanno API pubbliche: gli unici annunci francesi osservabili sono quelli che qualcuno sta guardando. Gli annunci che l'estensione quota vengono quindi condivisi per affinare le quotazioni di tutti.

Quando — ogni volta che l'estensione quota un annuncio e la carta è stata identificata senza ambiguità, sia che tu abbia aperto la pagina dell'annuncio, sia che l'estensione abbia semplicemente messo un badge di prezzo su una pagina di risultati. Su una pagina di elenco questo avviene senza alcun clic da parte tua, per ogni annuncio quotato.

Se l'estensione esita fra più carte, ti propone un elenco e non segnala nulla: una carta indovinata inquina una quotazione invece di migliorarla. Nulla viene mai inviato nemmeno per un lotto, un prodotto sigillato, un sito diverso da Vinted / Leboncoin / eBay / Cardmarket, una pagina che l'estensione non è riuscita a leggere, o una pagina di cui non ha potuto dimostrare che riguardasse davvero l'annuncio a schermo. Lo stesso annuncio allo stesso prezzo viene inviato una sola volta per sessione; gli invii sono raggruppati a venti a venti.

Che cosa parte — l'annuncio, nient'altro:

Che cosa NON parte MAI in questa segnalazione:

• →nessun dato del venditore — né il nome, né il profilo, né la valutazione, né il numero di recensioni (l'estensione li legge per avvisarti a schermo; restano in locale);
• →nessuna tua identità — il tuo account serve ad autenticare l'invio verso app.pokeitem.fr e a limitarne la frequenza; l'identificativo del tuo account non viene trasmesso oltre (ma leggi «Che cosa aggiunge il server» qui sotto: il relay allega uno pseudonimo derivato da quell'account);
• →nessuna cronologia di navigazione: né le pagine senza annuncio, né le tue ricerche, né alcun sito fuori da Vinted / Leboncoin / eBay / Cardmarket;
• →né la descrizione, né le foto dell'annuncio, né i messaggi. ⚠️ Questa riga vale solo per questa segnalazione. La foto esce eccome, per un'altra via — quella dello scanner — e la tabella «La foto dell'annuncio», più sotto, dice quale.

Dove va — l'estensione parla soltanto con app.pokeitem.fr. È il server PokéItem a inoltrare l'annuncio al proprio servizio di quotazione (api.tcgapi.io) con la sua chiave: l'estensione non ne possiede alcuna. Gli annunci contribuiti servono unicamente a calcolare le quotazioni; non vengono venduti e non portano la tua identità — portano invece uno pseudonimo stabile, descritto qui sotto.

Che cosa aggiunge il server

Il destinatario finale riceve quindi un campo che l'estensione non invia, e va detto. L'estensione non emette nulla oltre alle tabelle qui sopra, ma da agosto 2026 il server PokéItem allega a ogni annuncio inoltrato uno pseudonimo non reversibile derivato dal tuo account: HMAC-SHA256(segreto del server, identificativo dell'account), troncato a 16 caratteri esadecimali. È calcolato sul server; l'estensione non lo vede mai e non può falsificarlo — il relay sovrascrive qualsiasi valore gli arrivi.

Permette al servizio di quotazione di stabilire che due persone diverse hanno visto lo stesso annuncio: è l'unico modo di distinguere un'osservazione confermata da una isolata, dato che l'intera flotta di estensioni passa da un'unica chiave tecnica. È stabile (lo stesso account produce sempre lo stesso pseudonimo) ma il destinatario non può risalire al tuo account: il segreto che lo calcola non lascia mai il server PokéItem e può essere ruotato. L'identificativo del tuo account, di per sé, continua a non essere mai trasmesso.

A che cosa puoi opporti

A questa segnalazione, a nulla, all'interno dell'estensione. Non c'è impostazione, né casella, né «disattiva il contributo». Gli unici modi per non segnalare nulla sono disinstallare l'estensione, disattivarla in chrome://extensions, oppure non usarla su una pagina di annuncio. Lo diciamo apertamente perché è la verità del programma. (L'invio della foto, invece, può essere disattivato — vedi la sezione successiva.)

La foto dell'annuncio

Lo scanner di PokéItem legge la foto di un annuncio per riconoscere la carta quando il testo non basta. Si attiva anche da solo, e va detto chiaramente: non è soltanto «su richiesta».

Che cosa parte: la sola immagine, ridimensionata, verso https://app.pokeitem.fr/api/scanner/identify — insieme alla tua lingua di quotazione, e nient'altro della pagina: né la descrizione, né il venditore, né il titolo. Una scansione consuma 1 credito del tuo account.

Tre limiti trattengono il ripiego automatico, e sono scritti nel codice: un solo tentativo per annuncio, mai a pannello chiuso, mai su Cardmarket (lì la pagina prodotto nomina la carta, una scansione non aggiungerebbe nulla). Togli la spunta a «Identifica la foto quando il testo non basta» (pannello → Impostazioni, o la pagina delle opzioni) e nessuna foto uscirà più senza che tu la chieda: è l'unico interruttore di questa estensione che ferma davvero un invio.