Newsgroup: it.comp.lang.visual-basic
Titolo: [OT?] Dubbio LEGALE su sistema di protezione software

Posto lo stesso messaggio che ho lasciato su altri forum e NG:
Ciao!
Vi dico subito che questo messaggio è lungo. Se siete esperti (o ne avete
già avuto a che fare nel passato) di leggi legate al software ed in
particolare al trasferimento di dati da un programma ad un server on-line,
continuate a leggere (PLEASE, altrimenti vi conviene lasciare stare.
Ho un problemino. Io programmo per la ditta che mi ha assunto "piccoli"
gestionali in VB. Ogni gestionale ha il suo sistema di registrazione
effettuato tramite chiave che viene fornita da noi quando si installa il
programma.
Purtroppo uno in particolare si prevede (spera  ) abbia ampia diffusione, e
chi lo distribuisce (ci affidiamo a varie ditte di webmaster) potrebbe farci
lo "sgarbo" di fare due installazioni da due clienti differenti facendole
passare per una formattazione di un solo cliente (infatti, se si formatta la
macchina, reinstalla il prodotto, ... la chiave deve essere reintrodotta).
Ne conviene quindi che c'è il serio (e sicuro) rischio di perdere almeno la
metà dei soldi.
Abbiamo quindi pensato (dopo ore di emicranie) di legare il sistema di
chiavi al web. Cioè. In un database situato in un nostro spazio web
memorizziamo UNICAMENTE due liste di chiavi. La lista delle chiavi valide e
la lista delle chiavi "scadute" o più semplicemente detta non più valide.
Quando il programma si avvia (ha molto a che fare con internet, quindi i
costi di una connessione "superflua" sarebbero MOLTO contenuti) alla prima
connessione con la rete richiama una pagina ASP passandogli UNICAMENTE la
chiave con cui è stato attivato. Se la chiave è tra quelle della lista nera
(quelle non più valide) ci verrà inviata una e-mail contenente la chiave
incriminata (questo lo fa la pagina ASP) tanto per sapere come comportarci
(naturalmente il programma continua a girare normalmente).
Converrete quindi che in rete non circoleranno mai dati personali, ma solo
la chiave di attivazione (se uno ruba il database delle chiavi non se ne fa
nulla visto che le chiavi stesse sono univoche per ogni cliente). Vi dico
anche che nel contratto stesso di vendita e fin che si usa il programma è
specificato a chiari termini che la chiave (e NON i dati personali) verranno
controllati ad ogni connessione.
Vi faccio un esempio (che magari capite meglio)
Noi rilasciamo il programma PIPPO al rivenditore A
Il rivenditore A vende il programma al cliente C1
Il rivenditore A ci chiama per avere la chiave necessaria all'attivazione di
PIPPO sulla macchina del cliente C1
Noi gli forniamo la chiave K1 che viene inserita nella lista delle chiavi
valide
C1 usa il programma senza intoppi
Il rivenditore A si fa furbo...
Il rivenditore A va dal cliente C2 e gli installa PIPPO
Il rivenditore A ci chiama dicendoci che il cliente C1 ha
formattato/reinstallato e che quindi ha bisogno di una nuova chiave
Noi gli forniamo la chiave K2 e spostiamo la K1 nella lista nera.
C2 comincia ad usare il programma normalmente
C1 usa il programma ma alla primo trasferimento dati che fa partire con il
programma ci viene mandata una mail dicendo solamente che la K1 è stata
usata, quando non aveva ragione alcuna di essere usata.
Noi leggiamo la mail. Vediamo (database ad uso interno che comunque viene
tenuto per ovvie ragioni) che la chiave K1 era stata fornita al rivenditore
A. Come mai questa chiave continua ad essere usata?
Fine della pappardella.
Quello che urge saperè: ma è legale (preparando un contratto ad hoc)
trasferire UNICAMENTE LA CHIAVE DI ATTIVAZIONE vi internet? Non si viola
alcuna legge sulla privacy, in fin dei conti perchè:
1) la chiave viene inclusa nella fattura e quindi noi possiamo conservarcela
in un database
2) la chiave non fa capire ASSOLUTAMENTE chi sia il proprietario (ne nessun
dato privato come il codice fiscale o la partita IVA).
3) Se qualcuno "intercetta" il passaggio della chiave tra il programma ed il
database on-line non se ne fa nulla (vedi punto 2).
4) Se qualcuno ruba il database on line non se ne fa nulla (vedi punto 2).
E' legale questo sistema (in fin dei conti lo fa anche microsoft - almeno
trasferisce un po' di dati on line per i live-update automatici)????????????
Rispondetemi per pietà!!!
Thanks!
--
Sebastiano Pallaro
--
Sito personale : 
http://sebamix.supereva.it
Sito Comune del NG it.comp.lang.visual-basic : 
http://www.it-lang-vb.net
Per scrivermi : togliete ".ot" dall'indirizzo di posta elettronica
--

controllati ad ogni connessione.
Tempo fa avevo letto da qualche parte (qualche sito di consulenze legali se non erro) che anche se
non si tratta di dati personali o comunque che possono in qualche modo identificare la persona o
l'azienda che li possiede, qualunque tipo di dati prelevati dal pc dell'utente senza l'esplicito
consenso di quest'ultimo non sono da considerarsi, come dire... "leciti".
Se però nel contratto di licenza, come hai detto, viene specificato che durante le connessioni
verranno verificate le chiavi e solo quelle (insomma, non verranno comunicati altri dati come ad
esempio il nome utente, il nome della macchina, ecc.), se le cose non sono cambiate da quando avevo
letto quelle info, diventa lecito. Infatti nel contratto di un grosso provider (non vorrei
sbagliarmi poiché ne ho sottoscritti più d'uno, ma mi sembra Interfree) si sottoscriveva che, per
fini di marketing e pubblicità, potevano venir monitorati i cookies per vedere quali tipologie di
siti visitavi più spesso e di conseguenza ricevevi delle e-mail pubblicitarie sull'argomento. Una
bella violazione della privacy, se vogliamo, però tu lo sottoscrivevi, quindi evidentemente ti stava
bene... Se riesco a recuperare la fonte te la mando, ma dubito poiché è passato un bel po' di
tempo... (settembre/ottobre scorso)
Ciao,
Moreno
#sirri#@#
morenosoft.com#
(togliete "#" dall'indirizzo)
Moreno Sirri VB Site - 
http://www.msvbsite.net
---------------------------------------------------------------------------
Le risposte alle tue domande le trovi sul Sito Comune di questo NewsGroup:
 
http://www.it-lang-vb.net
---------------------------------------------------------------------------

 tempo... (settembre/ottobre scorso)
moreno, mi sa che la clausola che dici vale +- come quelle ms, che se
win ti uccide -- e tu puoi provarlo -- i trisnonni ms non c'entra.
dubito che in un tribunale italiano valga granche'. (forse gli americani
hanno trisnonni in eccedenza o superdotati). sebamix, io chiederei a un
_buon_ avvocato. io cliente non gradirei neanche un po'. ho capito che
allora posso fare a meno del tuo prog, ma io chiederei. la privacy come
sta venendo fuori ha risvolti assai complessi. tipo: se non avvisi
_prima ed esplicitamente_ il dipendente che oe e ie li puo' usare solo
per lavoro, e lo becchi che visita 
www.sex.org
 e riceve lettere dalle
sue concubine, magari puoi licenziarlo, ma di sicuro perdi la causa per
privacy.
( e dopo aver chiesto comunicherei il succo al ng :)
da quella via torno alla carica con la sezione legale del sito. MARIOH
facciamo un patto:
per ogni faq legale che pubblichi sul s.c. hai diritto a una porre
un'ulteriore domanda gia' strafaqqata o la cui risposta appare sul
monitor anche solo guardando o pensando al tasto f1 (mi sto allenando
per alt.telepatia :)
ciao, a.

 wrote in message
9kp5uk$5pgvh$1...@ID-51318.news.dfncis.de...
< . . >
| facciamo un patto:
| per ogni faq legale che pubblichi sul s.c. hai diritto a una porre
| un'ulteriore domanda gia' strafaqqata o la cui risposta appare sul
| monitor anche solo guardando o pensando al tasto f1 (mi sto allenando
| per alt.telepatia :)
Fermo un attimo!
Se io mando al s.c. un paio di pdf con tanto di contratti già belli e
pronti, a cosa ho diritto? :)
Bye,
Enrico.

 pronti, a cosa ho diritto? :)
il wm per un giorno e' tutto tuo.
fanne cio' che credi, purche' il giorno dopo sia ancora in grado di
gestire il s.c.
sara' una bella sorpresa al ritorno di assa dalle vacanze :)


aridaje... ::)))) io mica sono un esperto di privacy (la privacy non è nei
programmi universitari... quindi non posso garantire nulla...)
non mi va di dare consigli sbagliati.
cmq facciamo cosi.
la domanda posta da SebaMix mi interessa. faccio un paio di ricerchine e
vedo di dare una risposta decente... ma non assicuro niente. anche perche se
non si è anora verificato un caso simile, e l'autorità garante non si è
ancora pronunciata, qualsiasi soluzione è assolutamente aleatoria.
in linea di massima, però, trattandosi di dati che non consentono
un'immediata identificazione della persona, ed essendo tutto esplicitato nel
contratto, non ci dovrebbe essere niente di illegale.
un consiglio. il fatto che un soggetto prelevi dati via internet, dati di un
altro soggetto, pone un problema per quanto riguarda l'USO che di questi
dati verra fatto.
esplicita nel contratto che la tua azienda si impegna a non usare quei dati
per finalita che esulano dal controllo delle chiavi.
ad es., assicuragli che non farete una statistica di quanti utenti usano il
vs prog per piu di 30 minuti, e a che ora ecc ecc...
ciao e a presto...
MarioH

 macchina, reinstalla il prodotto, ... la chiave deve essere reintrodotta).
ecco, questo va approfondito...
perche quando si formatta la macchina non è possibile riutilizzare la chiave
precedentemente fornita?
è legata al numero seriale dell' hard disk ?
cmq sia, io ho cercato qualcosa in rete, ma casi simili non ne ho trovati.
in ogni caso c'è un problema. se gestisci un database con dati di altre
persone, queste persone lo devono sapere.
ma se è vero che in questo vostro DB non ci sono "dati personali", e se è
veramente impossibile risalire dalla chiave alla persona, allora non stai
gestendo dati personali e non hai obblighi.
quindi la domanda è questa. nel vostro DB oltre alla chiave, valida e/o
scaduta, che cosa c'è? un numero seriale? un nome di un'azienda? un codice
identificativo di un'installazione?
se non c'è niente che possa far risalire all'azienda, allora no problem.
in caso contrario, purtroppo, devi prendere le precauzioni di chi gestisce
un DB di dati personali in formato elettronico (le cd. "misure minime"
previste dal dpr n. 318 del 1999)
il fattore discriminante resta lka presenza o meno di dati personali. mi
sembra di aver capito che
non sia il vostro caso.
ciao
MarioH

 non mi va di dare consigli sbagliati.
saggio. giusto cosi'.
della sezioncina sul s.c. che ci dici ?
non dovrei essere io a proportela, ma se non ti prende troppo tempo...
ovviamente laddove altri avessero (oddio sto cominciando a parlare come
bonolis) altre info e le volessero mandare alla costituenda sez. legale
sarebbero benvenuti (fine periodo ipotetico del 2. tipo :)
grazie, a.

 wrote in message
9kpa7s$5pbh1$1...@ID-51318.news.dfncis.de...
|
| il wm per un giorno e' tutto tuo.
| fanne cio' che credi, purche' il giorno dopo sia ancora in grado di
| gestire il s.c.
| sara' una bella sorpresa al ritorno di assa dalle vacanze :)
|
Solo ad una piccola condizione:
che sia mora con capelli lunghi e ricci, misure 90/60/90 e che l'eventuale
fidanzato/marito/compagno (assolutamente non presente all'incontro) non sia
geloso!!!!
Scherzi a parte, se li volete ditemi dove e quando.....
...postare il tutto!!!!
Bye,
Enrico.


beh che ti devo dire... una cosa è quello che si studia all'univ. e
tutt'altra cosa sono le questioni pratiche.
e io sulle questioni pratiche sto a terra... ::))))
poi per sezione cosa intendi? un insieme di articoli da pubblicare ogni
tanto? oppure un posto dove si fanno domande di natura legale e uno
risponde?
tutt'al piu si potrebbe fare che quando qualcuno fa sul NG una domanda
legale, se posso, cerco di rispondere in maniera un po piu articolata, e
magari la risposta si puo mettere sul SC... ma oltre questo non vedo che
cosa si possa fare...
per fare un es. la domanda iniziale del thread è troppo "specialistica", e
difficilmente si sarà verificato un caso simile... quidi non è possibile
dare risposte precise.
in settori delicati come questo l'ideale è rivolgersi a professionisti
specializzati, e neanche ad un avvocato qualsiasi...
infine, quando si tratta di questioni legali, è raro trovare uno che si fida
di una risposta avuta in un news group gratuito, o mi sbaglio? io, per es.,
non mi fiderei... e tu ?? ::)))))
per concludere, io la responsabilita di dare consigli azzardati,
sinceramente, non mi sento di prendermela... magari qualcuno si fida,
commette una leggerezza e ha dei problemi per colpa mia...
in ogni caso , posso promettere di dedicare particolare attenzione alle
domande legali,  che ne dici puo bastare?
ciao
MarioH


che genere di contratti?
ora che ci penso, io ho un paio di formulari da qualche parte.
secondo voi un "contratto informatico" standard puo essere interessante?
beh io stasera lo cerco...
MarioH

 ...postare il tutto!!!!
appena torna assa puoi mandarli al s.c.
grazie, a.
moreno, e' complicato fare una sezione nuova ?

 e io sulle questioni pratiche sto a terra... ::))))
be', sarebbe peggio se fossi completamente per aria :)

obiezioni giustissime. e' un campo minato. no, neanch'io mi fiderei
molto di un parere trovato su un ng. ma neanche di un avvocato in fondo
:)
cmq per 'sezione' pensavo solo a un angolino del s.c. in cui raccogliere
documenti, pagine html, url, ecc. sull'argomento, magari con qualche
dritta. gia' come dici tu, che e' poi piu' o meno come asterix sta
dietro alle faq, non sarebbe poco.
chiaro che dovrebbe essere una cosa orientativa e basta. sara' che mi
sento completamente sguarnito nel settore, mi viene da pensare che possa
interessare anche gli altri. magari si puo' sondare.
grazie, a.


ok... sondiamo... ::)))) (ma non a quest'ora...)
MarioH

domande legali,  che ne dici puo bastare?
Concordo con i tuoi timori: a lavorare in un ambiente simile li avrei anch'io... secondo me, senza
scendere troppo nello specifico (quindi senza creare dei "casi") sarebbe interessante partire con le
domande più gettonate come ad esempio qualcuna sul diritto d'autore, sui bollini siae, sulla
proprietà intellettiva, sui vari tipi di licenze e di contratti, consigli su come commissionare un
software a distanza (esula dal legale, ma ha sempre un aspetto prettamente amministrativo), ecc.
E visto che le leggi in materia cambiano come il vento, lo saprai meglio di me, non è già poca
cosa...
Che ne dici?
Ovviamente potresti farti affiancare da altri, non sei obbligato a fare tutto tu: oppure potresti
citare dei testi o altri siti, insomma, raccogliere sul SC info altrimenti difficili da reperire
(ovviamente con l'approvazione degli autori, altrimenti sai che ridere? Sez. legale che viola i
diritti d'autore, eheheh... :-)))


 diritti d'autore, eheheh... :-)))
:))

 MarioH
CiaoZ
SebaMix


[...]

Cioè, in rete circoleranno solo dati non personali. E' impossibile che uno
leggendo la chiave 1234ABCD4321 riesca a capire che appartiene alla ditta
pinco pallino.
La chiave è ottenuta da una serie di dati personali, ma viene utilizzato un
metodo di crittazione irreversibile. E' impossibile decrittare la chiave
(bè... con un paio di cry - si chiamano così - a qualche miliardo di MHz
forse in un paio di ore... Non ci riusciamo nemmeno noi che conosciamo il
procedimento di crittazione... ::))
Comunque cercherò ancora e se non trovo nulla, penso che il mio capo sarà
costretto a chiedere una consulenza... :(
CIaoZ
SebaMix

 ( e dopo aver chiesto comunicherei il succo al ng :)
Ma alla fin fine noi quando veniamo a sapere che un cliente usa una chiave
non valida, mica lo licenziamo ( :::::)))))))) ) o gli impediamo di usare il
programma... semplicemente contattiamo il rivenditore furbetto e ci facciamo
dare i soldi che ci spettano... Poi questo sistema (mi sono dimenticato di
dirlo) potrebbe essere usato per l'implementazione di una registrazione
on-line, veloce e diretta come quelle nuove nuoven della M$...
CIaoZ
SebaMix


e allora vai tranquillo e non ti preoccupare... che poi magari le arance in
galera te le vengo a portare io... ::))))
a parte gli scherzi, non ci dovrebbero essere problemi.
ricorda però di specificare nel contratto l'uso che farai dei dati raccolta
via web (e metti per esplicito che non li cederai a terzi, non ne farai
statistiche, ecc. ecc.)
MarioH

 MarioH
Ok.
Thanks VERY VERY VERY much!!!!!!
CiaoZ
SebaMix
- Che di leggi ne capisce 0 [ZERO]

 win ti uccide -- e tu puoi provarlo -- i trisnonni ms non c'entra.
Oddio... In realta' in quel caso non e' una clausola di esclusione della
responsabilita', si tratta di autorizzare la raccolta ed il trattamento di
tuoi dati personali, cosa esplicitamente prevista dalla legge sulla privacy,
a quanto ricordo...
Per quanto riguarda il problema principale, penso che mettere nel contratto
la clausola che spiega la situazione (da firmarsi separatamente: credo sia
clausola vessatoria in tutti i casi, dato che stai rinunciando ad un tuo
diritto) e quindi all'avvio della verifica avvisare il cliente che essa sta
avvenendo (con la possibilita' di annullarla, ma in quel caso non usa il
programma) sia sufficiente.
Se un programma mi dice: "per proseguire e' necessario verificare la chiave
di attivazione", o non lo uso (ma se lo ho pagato non ho motivo di non
accettare la verifica) o altrimenti accetto la verifica e vado avanti.
Mi raccomando di spiegare bene alla finestra di dialogo che lungo la rete
viaggera' solo la chiave di attivazione e che non verranno raccolte
statistiche d'uso ma solo la verifica che non ci siano stati "errori"
nell'assegnazione della chiave.
Un consiglio di usability, invece: dare al cliente la possibilita' di far
sparire questa finestra di dialogo per tutto il resto della vita del
programma (riattivandola cmq dalle opzioni se gli gira) con una checkbox NON
selezionata per default nella finestra stessa.
Ciaotutti,
*

 L'hai detto tu che e' un cane da neve :)
ora, prendi un biglietto per l'alaska, te lo giri ben bene a piedi come
paperone il klondyke, poi passi al labrador, poi torni e mi dici quanti
pinguini (clima e/o palmipedi) hai trovato. e' un cane da neve / acqua
fredda / merluzzi, non da pinguini ! (*)
il vet dice che gli animali nelle case climatizzate stanno _tutti_
peggio di quelli in case non climatizzate. forse non ha considerato che
magari quelli non climatizzati non glieli portano perche' sono stecchiti
di caldo insieme ai loro umani.
tornando o.t. :) , vedo che la discussione si amplia. evidentemente una
sezioncina leguminosa sul s.c. ci sta benone :)
ciao, ª  <----- potevi anche apprezzare l'esponente. la chiocciola ormai
e' inflazionata...
(*) posso proporlo a bill come logo. java xp. sai le royalties. e i
nuovi processi con la sun.

posso provare a proporre una soluzione "alternativa" ?
allora se ho capito bene, voi avete previsto un sistema (quasi) triangolare
dove il cliente compra il prodotto, il rivenditore chiede a voi la chiave  e
la passa al cliente. Il problema sta nel fatto che il rivenditore potrebbe
approfittarsi e richiedere una chiave dicendo che è x uno che ha formattato
mentre invece è x un nuovo cliente.
Ora, a parte che no nè chiaro (volutamente, credo...) come possiate voi
fornire direttamente una chiave (direttamente, intendo senza prima avere dei
dati precisi sul PC del cliente) ma che alla prox installazione non funziona
più, dicevo a parte questo che sono problemi vostri ;-) se fosse il cliente
stesso a richiedervi la chiave non sarebbe più sicuro ?
Mi spiego:
Voi rilasciate il programma PIPPO al rivenditore A
 Il rivenditore A vende il programma al cliente C1
IL cliente C1 vi contatta per avere la chiave
Voi gli fornite la chiave K1
 C1 usa il programma senza intoppi
Se adesso ci fosse un altro PIPPO in giro sarebbe sempre il cliente a
dovervi contattare per cui sapreste certamente dove sono i programmi in
circolazione.
Inoltre, anche se non è molto chiaro mi sembra di aver capito che la chiave
sia legata alla particolare installazione del S.O. o qlc del genere, beh...
se lo fosse ok, altrimenti sarebbe utile farlo così, diciamo: all'avvio del
programma (non registrato) compare un codice - generato da codice in
funzione di quei parametri che usate per rendere univoca la chiave... - che
il cliente deve trasmettervi. Dopo voi inviate al cliente la chiave
(costruita in base al codice pervenuto) e il gioco è fatto! Non possono
esserci due programmi con la stessa chiave poichè il codice di attivazione
cambia da macchina a macchina, inoltre dovendo il cliente "farsi
riconoscere" per avere la chiave diverrebbe *molto* + difficile riuscire a
"fregarvi".
Per quanto riguarda la questione legale, io non sono assolutamente
competente, però credo che in questo caso è il cliente stesso che "si
presenta" chiedendo la chaive e non voi che "sottraete" informazioni.
Insomma, meglio lasciar fuori dal giro i rivenditori...
se ho detto qlc c....a, ditelo pure!!!!
ciao!
Marco Trapanese



Uhm uhm... Ma sei sicuro che sia ASCII 7 bit standard? :PP
Ciaotutti,
*


Piangi a qualche miliardi di MHz?
Secondo me e' piu' facile piangendo in aramaico...
Se usate un algoritmo che si perde i dati per strada (one-way hashing) non
c'e' verso di tornare indietro.
Cmq si chiamano Cray :P
Ciaotutti,
*

 *
CiaoZ
SebaMix

 Marco Trapanese
CiaoZ
SebaMix

 vengono a sapere che siamo pure noi webmaster).
uhm... e se allora il codice che il cliente avrebbe dovuto (nella mia idea)
inviare direttamente a voi, lo inviasse al rivenditore il quale lo girerebbe
a voi ? cosě - con un passaggio in piů, certo - si dovrebbe salvare capra e
cavoli....
ciao!
Marco Trapanese