PrivacyPrivacy
What Veil keeps about you, where, for how long, and what you can do about it. A card is public by design and nothing on Veil tracks you. Closing a card destroys its content after 24 hours, apart from the few signed facts the public log keeps so that anyone can check it.
Last changed on 30 October 2026. The terms of use are at veil.rip/terms.
Cosa tiene Veil di te, dove, per quanto tempo e cosa puoi farci. Una scheda è pubblica per scelta, e niente su Veil ti traccia. Chiudere una scheda ne distrugge il contenuto dopo 24 ore, tranne i pochi fatti firmati che il registro pubblico tiene perché chiunque possa controllarlo.
Ultima modifica il 30 ottobre 2026. I termini d’uso sono su veil.rip/terms.
What Veil keeps#
| What | Where | For how long |
|---|
| Your cardThe name you chose, the picture, the alias, the linked accounts, the names and public keys of your devices, the public keys you bring from elsewhere | On the card, for anyone to read, and in Veil’s database | Until the card is closed |
|---|
| The card’s historyEvery version, signed by one of your keys | On the card, for anyone to read | Until the card is closed |
|---|
| One entry in the log per versionA salted commitment, the public keys and their roles, the times, which key signed. Never a name, an account or a picture | The public log and its copies | For ever (see The public log) |
|---|
| A proof under wayThe account you named and a hash of the code. Never the code itself, the platform’s token or your password | Veil’s database | An hour after it expires, if unused. An email code lasts 10 minutes, a DNS record or file check 24 hours |
|---|
| A code to add a browserThe new browser’s public key and the name you gave it | Veil’s database | 10 minutes at most |
|---|
| The server’s re-checks of your proofsFor each linked domain, Fediverse account or GitHub account: whether the proof still holds, when it was last checked and since when it fails. Nothing signed changes | Veil’s database, and the date on the card | Until the link is removed |
|---|
| Email notices, if you turn them onYour choice, the language, when the last notice went, the day’s count, notices waiting to go, and a mark for each one-time reminder already sent | Veil’s database | Until you turn them off or close the card; a waiting notice is deleted once sent, or after a week |
|---|
| Your device’s private keyWith the step your sign-up reached | Your browser only | Until you log out of that browser |
|---|
| Your choicesLanguage, theme, how the fingerprint is shown | Your browser only | Until you clear them |
|---|
| Your network addressTo count requests against the limits | The server’s memory only | An hour at most, never written down |
|---|
| The request logMethod, path with any code or key masked, status, time taken. No address, no search terms | The server’s system journal | As long as the system keeps its journal |
|---|
| Reports and staff notesWho reported, which card, the text and links. Read by the Veil staff only | Veil’s database | A year after the report is closed or the card is gone |
|---|
| A block after a removalA hash of the IDs of the accounts a removed card had | Veil’s database | A year |
|---|
No cookies, no tracking#
The server sets no cookies. There are no analytics, no fonts or scripts from other sites, no pixels. Being “logged in” means your browser holds your card’s key, so the server never knows who is in.
Your browser keeps your key and your own choices (language, theme). Nothing in them reaches the server unless you sign a request.
To learn which ways in work, Veil counts the visits to the sign-up page by one word in its address (landing, lookup, discord or error): a number per word per day. No address, no search and no card goes with it. When you start from a search that found no card, the account you searched for stays in that browser tab and is gone when you close it.
The public log#
Every change to a card is an entry in a public log that independent witnesses sign, so nobody can rewrite a card’s history, Veil included. So that anyone can check who had the right to sign, each entry keeps these in the clear, for ever:
- the card’s public keys, each with its role and when it came and went, and which key signed each version;
- the times of the versions;
- for an organisation, who signs for it, its owners and admins;
- for an action of the Veil staff, the staff member who signed it, with the kind of action. The reason stays private;
- who closed the card: the card itself, an owner of its organisation, or the staff.
Names, device names, linked accounts, pictures, aliases and reasons never go into the log in the clear. The rest of a version is a salted commitment that only Veil’s database can open.
A public key alone does not say who you are. Still, if you used one to sign public things elsewhere, someone could link those things to the card’s entries in the log. That holds after the card is closed too.
Closing a card#
You close your card from veil.rip/account. For 24 hours you can still cancel. Then Veil destroys the card’s versions, the salts that tie them to the log, the linked accounts, the picture and the public keys from elsewhere. The log’s entries stay, but nobody can tell from them any more what the card showed, Veil included. Removing data this way is called crypto-shredding.
The card’s address then says the card was closed, and the number is never given to anyone else.
Linking an account#
- Discord (and GitHub when it is available): you sign in on the platform, and Veil reads only the account’s ID and name. Veil uses the platform’s token for that one read and revokes it at once. Neither the code nor the token is stored, and your password stays with the platform.
- Email: Veil’s mail server, mail.veil.rip, sends a 6-digit code to the address you give. It sees that address and the message, nothing else. Like every mail server it keeps a delivery log with the sender, the recipient and the time.
- A domain: Veil reads one DNS record or one file on your site, and keeps only whether the proof was there.
- The Fediverse: Veil finds your public profile and looks for the link to your card on it.
A linked account is public on your card from then on, so anyone who knows you by it can find your keys. If a second card asks for an account that is already on yours, the request names the account and both cards in public for 7 days, so you can see it and cancel it.
The Discord app#
The Veil app on Discord answers its own commands and nothing else. It does not read messages by itself and asks for no permissions in servers.
- What it receives: from Discord, only your use of its commands: who asked, the language of their Discord, and the user or the message they chose.
- What it sends: to the directory, the Discord ID or the value you looked up, and for a check the signed message. A verify link keeps the message after its #, so it reaches no server.
- What it keeps: one line per command with its name and how it ended, never who asked or what was looked up. The count that stops one person from using up the app’s requests stays in memory and is forgotten within a minute.
Answers are public in the conversation unless you choose private. A “not found” or an error only ever goes to you.
Your rights#
Publishing a card is your choice and rests on your consent. Closing the card withdraws it. Moderation, reports and the one-year block rest on Veil’s legitimate interest in keeping the directory safe from impersonation and abuse.
- To see and take your data: everything public about your card is at
veil.rip/u/<n>.json, in a form you can take elsewhere.
- To correct it: publish a new version from your card.
- To erase it: close the card, as above. The log keeps only what the section on the log lists.
- To ask: write to Veil for anything else, such as the reports you sent. Reports about you are weighed case by case, because they protect whoever made them.
- To complain: you can go to the data protection authority where you live.
The warrant canary#
Every month an owner of the Veil organisation signs a statement that no authority has asked Veil in secret for anyone’s data. You can check the signature in your browser at veil.rip/canary. If 35 days pass without a new one, the page and the footer of every page say so.
Cosa tiene Veil#
| Cosa | Dove | Per quanto |
|---|
| La tua schedaIl nome che hai scelto, l’immagine, l’alias, gli account collegati, i nomi e le chiavi pubbliche dei tuoi dispositivi, le chiavi pubbliche che porti da altri sistemi | Sulla scheda, leggibile da chiunque, e nel database di Veil | Finché la scheda non è chiusa |
|---|
| La storia della schedaOgni versione, firmata da una tua chiave | Sulla scheda, leggibile da chiunque | Finché la scheda non è chiusa |
|---|
| Una voce nel registro per versioneUn impegno salato, le chiavi pubbliche con il loro ruolo, gli orari, quale chiave ha firmato. Mai un nome, un account o un’immagine | Il registro pubblico e le sue copie | Per sempre (vedi Il registro pubblico) |
|---|
| Una prova in corsoL’account che hai indicato e un hash del codice. Mai il codice, il token della piattaforma o la tua password | Il database di Veil | Un’ora dopo la scadenza, se non usata. Un codice email vale 10 minuti, il controllo di un record DNS o di un file 24 ore |
|---|
| Un codice per aggiungere un browserLa chiave pubblica del nuovo browser e il nome che gli hai dato | Il database di Veil | Al più 10 minuti |
|---|
| I ricontrolli del server sulle tue provePer ogni dominio, account del Fediverso o account GitHub collegato: se la prova regge ancora, quando è stata controllata l’ultima volta e da quando non torna. Niente di firmato cambia | Il database di Veil, e la data sulla scheda | Finché il collegamento resta |
|---|
| Gli avvisi via email, se li attiviLa tua scelta, la lingua, quando è partito l’ultimo avviso, il conto del giorno, gli avvisi in attesa e un segno per ogni promemoria già mandato una volta | Il database di Veil | Finché li spegni o chiudi la scheda; un avviso in attesa si cancella appena parte, o dopo una settimana |
|---|
| La chiave privata del tuo dispositivoCon il punto a cui è arrivata la tua iscrizione | Solo il tuo browser | Finché non esci da quel browser |
|---|
| Le tue scelteLingua, tema, come si mostra l’impronta | Solo il tuo browser | Finché non le cancelli |
|---|
| Il tuo indirizzo di retePer contare le richieste nei limiti | Solo la memoria del server | Al più un’ora, mai scritto da nessuna parte |
|---|
| Il registro delle richiesteMetodo, percorso con codici e chiavi nascosti, esito, durata. Nessun indirizzo, nessuna ricerca | Il journal di sistema del server | Quanto il sistema tiene il suo journal |
|---|
| Segnalazioni e note dello staffChi segnala, quale scheda, il testo e i link. Le legge solo lo staff di Veil | Il database di Veil | Un anno dopo la chiusura della segnalazione o della scheda |
|---|
| Un blocco dopo una rimozioneUn hash degli ID degli account che aveva una scheda rimossa | Il database di Veil | Un anno |
|---|
Niente cookie, niente tracciamento#
Il server non imposta cookie. Non ci sono statistiche di visita, font o script di altri siti, pixel. “Aver fatto l’accesso” vuol dire che il tuo browser tiene la chiave della tua scheda, quindi il server non sa mai chi è dentro.
Il tuo browser tiene la tua chiave e le tue scelte (lingua, tema). Niente di tutto questo arriva al server, a meno che tu non firmi una richiesta.
Per capire quali strade funzionano, Veil conta le visite alla pagina d’iscrizione secondo una parola nel suo indirizzo (landing, lookup, discord o error): un numero per parola al giorno, senza indirizzi, ricerche o schede. Se parti da una ricerca che non ha trovato una scheda, l’account che hai cercato resta in quella scheda del browser e se ne va quando la chiudi.
Il registro pubblico#
Ogni modifica a una scheda è una voce di un registro pubblico firmato da testimoni indipendenti, così nessuno può riscrivere la storia di una scheda, nemmeno Veil. Perché chiunque possa controllare chi aveva il diritto di firmare, ogni voce tiene in chiaro, per sempre:
- le chiavi pubbliche della scheda, ognuna con il suo ruolo e quando è entrata e uscita, e quale chiave ha firmato ogni versione;
- gli orari delle versioni;
- per un’organizzazione, chi firma per lei, i suoi proprietari e amministratori;
- per un’azione dello staff di Veil, il membro dello staff che l’ha firmata e il tipo di azione. Il motivo resta privato;
- chi ha chiuso la scheda: la scheda stessa, un proprietario della sua organizzazione o lo staff.
Nomi, nomi dei dispositivi, account collegati, immagini, alias e motivi non entrano mai in chiaro nel registro. Il resto di una versione è un impegno salato che solo il database di Veil sa aprire.
Una chiave pubblica da sola non dice chi sei. Però, se l’hai usata per firmare cose pubbliche altrove, qualcuno potrebbe collegarle alle voci della scheda nel registro, anche dopo che la scheda è chiusa.
Chiudere una scheda#
Chiudi la tua scheda da veil.rip/account. Per 24 ore puoi ancora annullare. Poi Veil distrugge le versioni della scheda, i sali che le legano al registro, gli account collegati, l’immagine e le chiavi pubbliche di altri sistemi. Le voci del registro restano, ma da quel momento nessuno, nemmeno Veil, può capire da loro cosa mostrava la scheda. Questo modo di cancellare si chiama crypto-shredding.
L’indirizzo della scheda dice poi che è stata chiusa, e il numero non passa mai a nessun altro.
Collegare un account#
- Discord (e GitHub quando ci sarà): accedi sulla piattaforma, e Veil legge solo l’ID e il nome dell’account. Usa il token della piattaforma per quella sola lettura e lo revoca subito. Né il codice né il token vengono salvati, e la tua password resta alla piattaforma.
- Email: il server di posta di Veil, mail.veil.rip, manda un codice di 6 cifre all’indirizzo che indichi. Vede l’indirizzo e il messaggio, nient’altro. Come ogni server di posta tiene un registro delle consegne con mittente, destinatario e ora.
- Un dominio: Veil legge un record DNS o un file sul tuo sito, e tiene solo l’esito.
- Il Fediverso: Veil trova il tuo profilo pubblico e ci cerca il link alla tua scheda.
Da quel momento l’account collegato è pubblico sulla tua scheda, così chi ti conosce per quell’account trova le tue chiavi. Se un’altra scheda chiede un account che è già sulla tua, la richiesta nomina in pubblico l’account e le due schede per 7 giorni, così la vedi e la puoi annullare.
L’app Discord#
L’app Veil su Discord risponde ai suoi comandi e a nient’altro. Non legge messaggi di sua iniziativa e non chiede permessi nei server.
- Cosa riceve: da Discord, solo l’uso dei suoi comandi: chi ha chiesto, la lingua del suo Discord, l’utente o il messaggio scelto.
- Cosa manda: alla rubrica, l’ID Discord o il valore cercato e, per un controllo, il messaggio firmato. Un link di verifica tiene il messaggio dopo il #, quindi non arriva a nessun server.
- Cosa tiene: una riga per comando con il nome e com’è finito, mai chi ha chiesto o cosa è stato cercato. Il conteggio che impedisce a una persona di consumare le richieste dell’app sta in memoria e si dimentica entro un minuto.
Le risposte sono pubbliche nella conversazione, a meno che tu non scelga privato. Un “non trovato” o un errore arrivano sempre solo a te.
I tuoi diritti#
Pubblicare una scheda è una tua scelta e si basa sul tuo consenso. Chiudere la scheda lo ritira. Moderazione, segnalazioni e blocco di un anno si basano sull’interesse legittimo di Veil a proteggere la rubrica da furti d’identità e abusi.
- Vedere e portare via i tuoi dati: tutto ciò che è pubblico della tua scheda è su
veil.rip/u/<n>.json, in una forma che puoi portare altrove.
- Correggerli: pubblica una nuova versione dalla tua scheda.
- Cancellarli: chiudi la scheda, come sopra. Il registro tiene solo quello che dice la sezione sul registro.
- Chiedere: scrivi a Veil per tutto il resto, per esempio le segnalazioni che hai mandato. Quelle su di te si valutano caso per caso, perché proteggono chi le ha fatte.
- Reclamare: puoi rivolgerti all’autorità per la protezione dei dati del paese in cui vivi.
Il warrant canary#
Ogni mese un proprietario dell’organizzazione Veil firma una dichiarazione: nessuna autorità ha chiesto in segreto a Veil i dati di qualcuno. Controlli la firma nel tuo browser su veil.rip/canary. Se passano 35 giorni senza una nuova, la pagina e il piede di ogni pagina lo dicono.