API Bancarie e Portfolio Tracker: Perché Collegare il Tuo Broker È Più Rischioso di Quanto Pensi
Punti Chiave
▸I portfolio tracker che usano API bancarie detengono credenziali persistenti (token OAuth o chiavi API) che possono prelevare l'intera tua storia finanziaria in qualsiasi momento.
▸L'accesso in sola lettura significa comunque che l'intera storia delle transazioni — ogni acquisto, vendita, dividendo — è archiviata su un server terzo a tempo indeterminato.
▸Le app gratuite si monetizzano spesso attraverso la condivisione di dati con aggregatori, inserzionisti o società di dati finanziari.
▸La maggior parte degli investitori ha connessioni API dimenticate ancora attive presso il proprio broker — verificale e revocale regolarmente.
▸Un'architettura senza API (solo importazione CSV) è l'unico modo per ottenere privacy by design, non solo privacy by policy.
Ogni settimana, migliaia di investitori collegano i propri conti di intermediazione ad app di portfolio tracking tramite API bancarie o token Open Banking. La promessa è conveniente: le posizioni si sincronizzano automaticamente, non devi mai inserire un'operazione manualmente. Ma dietro quella comodità si celano permessi di accesso ai dati che la maggior parte degli investitori non ha mai letto — e che possono esporre molto più del saldo del portafoglio.
Questa guida spiega esattamente cosa sono le API bancarie, come le usano i portfolio tracker, a quali dati accedono quando colleghi il tuo broker, e perché un approccio senza API è l'unica architettura che garantisce una vera privacy by design.
Cosa Sono le API Bancarie e Come le Usano i Portfolio Tracker?
Un'API (Application Programming Interface) è un canale standardizzato attraverso cui un sistema software richiede dati a un altro. Nel contesto del portfolio tracking, un'API bancaria o di broker consente a un'app esterna — il tracker — di leggere i dati del tuo conto direttamente dai server del broker, senza che tu debba esportare o caricare nulla manualmente.
La maggior parte dei portfolio tracker che offrono connettività con i broker usa uno di tre metodi:
1. Open Banking (PSD2 in Europa): Un framework regolamentare che obbliga banche e broker a esporre API di lettura a terze parti autorizzate. Ti autentichi una volta tramite OAuth e la terza parte riceve un token di accesso a lunga durata che le permette di prelevare i dati del tuo conto a cadenza regolare — di solito ogni 24 ore, a volte più frequentemente.
2. Screen scraping tramite aggregatori: Servizi come Plaid, Salt Edge, Finicity o Yapily fungono da intermediari. Fornisci loro le tue credenziali del broker (o un token OAuth) e loro prelevano i dati per conto tuo, memorizzando quella connessione nella propria infrastruttura. Il portfolio tracker chiama poi l'API dell'aggregatore, non direttamente il tuo broker.
3. Chiavi API dirette: Alcuni broker (Interactive Brokers, Degiro, Alpaca) espongono API per sviluppatori. Un portfolio tracker potrebbe chiederti di generare una chiave API nel tuo conto broker e incollarla nel tracker. Il tracker chiama quindi il tuo broker direttamente usando quella chiave.
In tutti e tre i casi, il risultato è lo stesso: una terza parte detiene una credenziale persistente — un token o una chiave — che può usare per prelevare i tuoi dati finanziari in qualsiasi momento, finché la connessione rimane attiva.
A Quali Dati Può Accedere Davvero un Portfolio Tracker Tramite API?
È qui che la maggior parte degli investitori rimane sorpresa. Si aspettano che il tracker veda solo ciò che mostra — posizioni e saldi. La realtà dipende dall'ambito del token OAuth o della chiave API concessa, e molte app richiedono permessi più ampi dello strettamente necessario.
I campi dati comuni accessibili tramite API broker includono:
— Tutte le posizioni correnti (nome, ISIN, quantità, valore attuale)
— Storico completo delle transazioni (ogni acquisto, vendita, dividendo, commissione dall'apertura del conto)
— Saldi di cassa su tutti i sotto-conti
— Ordini in sospeso
— Dati identificativi personali (nome, indirizzo, data di nascita, codice fiscale in alcuni casi)
— Dettagli del conto bancario collegato (IBAN per i prelievi)
— Documenti KYC in alcune integrazioni
Lo storico delle transazioni è l'elemento più sensibile. Un log completo rivela non solo cosa possiedi oggi, ma ogni decisione finanziaria che hai preso negli anni: quando hai venduto in preda al panico, quando hai comprato a prezzi ribassati, quanto hai investito dopo aver ricevuto stipendio, bonus o eredità. Questi sono dati finanziari comportamentali — molto più preziosi per inserzionisti, data broker e assicuratori rispetto a una semplice istantanea del saldo.
I token di sola lettura sembrano sicuri. Ma "sola lettura" significa sola lettura delle tue posizioni — non significa che l'app non possa archiviare, elaborare, vendere o condividere quei dati a tempo indeterminato.
Quali Sono i Veri Rischi per la Privacy nel Concedere Accesso API a un'App?
I rischi rientrano in quattro categorie distinte, ciascuna con un modello di minaccia diverso:
1. Vendita di dati e condivisione con terze parti
Molte app di portfolio tracking gratuite si monetizzano attraverso i dati. Lo storico delle transazioni, i dati delle posizioni e i pattern comportamentali vengono venduti o condivisi con reti pubblicitarie, aggregatori di dati finanziari o assicuratori. Anche le app con un marketing orientato alla privacy possono condividere dati anonimizzati o pseudonimizzati — che, per i dati finanziari, sono spesso facilmente re-identificabili perché la combinazione di asset, importi e tempistiche è unica per ogni investitore.
2. Esposizione a violazioni al livello dell'aggregatore
Se hai collegato il tuo broker tramite un aggregatore (Plaid, Salt Edge, ecc.), le tue credenziali o il tuo token sono memorizzati nell'infrastruttura di quell'aggregatore. Una violazione dell'aggregatore espone ogni connessione di ogni app che lo utilizza — non solo la tua. Le violazioni degli aggregatori sono avvenute: Plaid ha patteggiato un'azione collettiva da 58 milioni di dollari nel 2022 per archiviazione non autorizzata di credenziali e condivisione dei dati.
3. Persistenza dei token e connessioni dimenticate
I token OAuth concessi alle app di portfolio tracking rimangono generalmente validi fino alla revoca esplicita. Gli investitori che smettono di usare un'app raramente pensano a revocare il token. Questo significa che un'app dismessa — o una acquisita, rinominata o con la policy sulla privacy modificata — potrebbe ancora detenere una credenziale valida per prelevare i tuoi dati mesi o anni dopo che hai smesso di usare il servizio.
4. Espansione dello scope e richieste di ri-autorizzazione
Alcune app chiedono periodicamente agli utenti di ri-autenticarsi o aggiornare i permessi. Un tracker che inizialmente aveva solo accesso in lettura alle posizioni potrebbe in seguito richiedere lo storico delle transazioni, i conti collegati o altri scope più ampi. Ogni aggiornamento viene presentato come un miglioramento della comodità — raramente come un compromesso sulla privacy.
Come Verificare e Revocare le Connessioni API Attive al Tuo Broker?
La maggior parte degli investitori non sa quante connessioni API attive ha. Ecco come fare un audit e ripulire:
Per connessioni PSD2/Open Banking:
— Accedi alle impostazioni del conto del tuo broker o banca
— Cerca "App collegate", "Accesso terze parti", "Permessi Open Banking" o "Accesso API"
— Revoca ogni connessione che non usi attivamente
— Imposta un promemoria nel calendario per verificare le connessioni ogni 6 mesi
Per chiavi API dirette (Interactive Brokers, Degiro, ecc.):
— Accedi alla sezione di gestione API del tuo conto broker
— Elenca tutte le chiavi attive e le loro date di creazione
— Elimina le chiavi per le app che non usi più
— Ruota le chiavi per le app che usi ancora almeno una volta all'anno
Per connessioni tramite aggregatore (Plaid, Salt Edge, ecc.):
— Queste sono più difficili da verificare perché la connessione potrebbe non essere visibile nelle impostazioni del tuo broker
— Controlla le impostazioni sulla privacy di ogni app di portfolio che usi
— Usa il portale dell'aggregatore stesso (es. my.plaid.com) per visualizzare e disconnettere le connessioni memorizzate
— Invia una richiesta di cancellazione dei dati GDPR alle app che non usi più
La scomoda verità: la maggior parte degli investitori ha tra 3 e 8 connessioni terze parti attive ai propri conti finanziari, la maggior parte delle quali ha dimenticato. Un audit completo tipicamente scopre connessioni da app provate anni fa che non sono mai state revocate.
Perché DonkyCapital Non Usa Connessioni API — e Perché È Importante
DonkyCapital è stato progettato fin dal primo giorno senza alcuna connettività API con i broker. Non è una limitazione — è una scelta architettonica deliberata che offre agli utenti una vera privacy by design anziché una privacy by policy.
La differenza è importante. "Privacy by policy" significa che un'azienda promette di non usare impropriamente i tuoi dati — ma per mantenere quella promessa devono prima raccoglierli. "Privacy by design" significa che i dati non raggiungono mai i server dell'azienda, perché l'architettura non lo richiede.
Come funziona DonkyCapital:
— Importi il tuo portafoglio tramite file CSV (la maggior parte dei broker ne esporta uno in pochi secondi) o inserimento manuale
— I dati risiedono nel tuo account su DonkyCapital, ma non ci colleghiamo mai al tuo broker
— Non deteniamo mai chiavi API, token OAuth o credenziali dei tuoi conti di intermediazione
— Non possiamo prelevare nuovi dati dal tuo broker senza la tua azione esplicita
— Una violazione dell'infrastruttura di DonkyCapital non può esporre le tue credenziali del broker, perché non le abbiamo mai
Cosa significa in pratica:
— Il tuo conto broker non è mai esposto a un archivio credenziali di terze parti
— Non c'è un token persistente che sopravvive al tuo utilizzo del servizio
— Se smetti di usare DonkyCapital, non c'è nulla da revocare presso il tuo broker
— Lo storico delle transazioni non transita attraverso una rete di aggregatori
Il compromesso è reale: devi ri-importare manualmente quando effettui nuove operazioni. Per la maggior parte degli investitori a lungo termine che operano raramente, si tratta di un'operazione da 2 minuti ogni poche settimane — un piccolo prezzo per un'architettura fondamentalmente più privata.
Domande Frequenti su API Bancarie e Privacy nei Portfolio Tracker
L'Open Banking è sicuro per il portfolio tracking?
L'Open Banking sotto PSD2 è un framework regolamentato con solidi standard tecnici — il rischio non è nella regolamentazione in sé, ma in ciò che le terze parti autorizzate fanno con i dati una volta ricevuti. Un'app può essere conforme PSD2 e vendere comunque i tuoi dati di transazione agli inserzionisti o archiviare le tue credenziali in modo non sicuro. La conformità normativa descrive la connessione, non la destinazione dei tuoi dati.
Qual è la differenza tra accesso API in sola lettura e accesso completo?
L'accesso in sola lettura consente all'app di prelevare i dati del tuo conto (posizioni, transazioni, saldi) ma non può effettuare ordini o spostare denaro. L'accesso completo può includere permessi di trading e prelievo. Per i portfolio tracker la sola lettura è la norma — ma significa comunque che l'intera tua storia finanziaria viene prelevata e archiviata su un server terzo, a tempo indeterminato, fino alla revoca dell'accesso.
Un'app di portfolio può vendere i miei dati finanziari?
Sì, a meno che non sia esplicitamente vietato dalla loro privacy policy e dai termini di servizio. Molte app gratuite si monetizzano attraverso la condivisione di dati anonimizzati o aggregati con società di dati finanziari, assicuratori o reti pubblicitarie. Anche i dati aggregati derivati dalle tue transazioni possono essere usati per costruire profili che influenzano il credit scoring, i premi assicurativi o la pubblicità mirata. Leggi sempre la sezione sulla condivisione dei dati della privacy policy prima di collegare il tuo broker.
Cosa succede ai miei dati se un'app di portfolio chiude o viene acquisita?
Quando un'azienda viene acquisita, i suoi asset di dati — inclusi i dati finanziari degli utenti — vengono tipicamente trasferiti all'acquirente. Se l'app chiude, i dati vengono di solito eliminati secondo la privacy policy, ma l'applicazione dipende dall'azienda che rispetta gli impegni. I token OAuth attivi rimangono validi presso il tuo broker fino alla revoca manuale — la chiusura dell'app non revoca automaticamente la connessione.
Come faccio a sapere se un portfolio tracker usa i miei dati per la pubblicità?
Leggi le sezioni "Condivisione dei dati", "Terze parti" e "Come usiamo i tuoi dati" della privacy policy — non il riassunto di marketing. Cerca termini come "partner", "inserzionisti", "fornitori di analisi" o "aziende affiliate". Se l'app è gratuita, chiediti come guadagna: la risposta è spesso nei tuoi dati.
L'importazione CSV è davvero più privata della connessione API?
Sì. Un'importazione CSV significa che invii un'istantanea dei tuoi dati in un momento specifico — il tracker non detiene credenziali permanenti al tuo broker. Se smetti di usare il servizio, non c'è nulla da revocare e nessuna connessione attiva al tuo conto. Il tracker non può prelevare dati aggiornati senza la tua azione esplicita. Questa differenza architettonica è il fondamento della privacy by design.
Cos'è il diritto GDPR alla cancellazione e si applica alle app di portfolio?
Ai sensi dell'Articolo 17 del GDPR, i residenti UE hanno il diritto di richiedere la cancellazione dei propri dati personali da qualsiasi azienda che li elabora, con alcune eccezioni legali. Questo si applica alle app di portfolio tracking che operano o si rivolgono all'UE. Una richiesta di cancellazione valida dovrebbe comportare la cancellazione dei tuoi dati finanziari e la revoca di eventuali credenziali memorizzate. L'azienda deve rispondere entro 30 giorni.
Monitora il Tuo Portafoglio Senza Collegare il Tuo Broker
DonkyCapital offre analisi di portafoglio di livello professionale tramite importazione CSV — nessuna chiave API, nessun token OAuth, nessuna credenziale del tuo broker sui nostri server. I tuoi dati rimangono tuoi.
