Sicurezza dei dati

1. Che cos’è questo documento

La descrizione delle misure in vigore oggi. Non è un certificato e non si presenta come tale. Per una risposta firmata a un questionario specifico basta scriverci — lo compiliamo e lo firmiamo. Per un accordo sul trattamento dei dati personali si veda la pagina Contratto sul trattamento dei dati personali.

2. Dove si trovano i dati

Gli account, le organizzazioni, le richieste e i dati delle applicazioni del Cliente sono conservati nell’Unione europea — la regione della piattaforma è Francoforte, in Germania. Fa eccezione l’elaborazione da parte del modello linguistico: il testo inviato all’elaborazione arriva al fornitore del modello e può essere trattato fuori dallo Spazio economico europeo. Un trasferimento del genere si fonda sulle clausole contrattuali tipo della Commissione europea.

3. Trasmissione e conservazione

• Ogni connessione al sito e all’applicazione passa per TLS. Non esiste un canale in chiaro.
• Le password sono conservate solo come impronta irreversibile (scrypt), con un sale distinto per ogni account. Nessuno da noi può leggere una password, nemmeno se la chiede.
• I codici di conferma dell’indirizzo e-mail e di reimpostazione della password sono conservati come impronta SHA-256, non in forma leggibile, e hanno una scadenza.
• I dati delle carte di pagamento non passano dai nostri sistemi. Il pagamento avviene su una pagina di Stripe.
• La banca dati è gestita dal fornitore di infrastruttura, con copie di sicurezza automatiche.

4. Chi ha accesso

L’accesso è separato per ruoli e viene verificato a ogni richiesta, non solo all’ingresso nell’account:

• L’utente vede solo le organizzazioni di cui fa parte, e solo ciò che il suo ruolo consente.
• I dati di ciascun cliente sono isolati logicamente — ogni cliente ha un proprio progetto nella piattaforma.
• L’accesso dell’operatore è separato da quello dell’utente, a un indirizzo distinto che non è pubblicato in nessun punto del sito.
• Ogni azione dell’operatore finisce in un registro: chi, che cosa, quando e su quale record. Il registro non è cancellabile dall’interfaccia.

5. Protezione dei moduli pubblici

I moduli del sito hanno un limite di invii per indirizzo, un campo nascosto contro la compilazione automatica e un controllo sul tempo di compilazione. Gli invii sospetti vengono conservati con un contrassegno invece di essere respinti — una segnalazione sbagliata ma conservata si corregge, un cliente buttato via non torna.

6. Sub-responsabili

Ci avvaliamo di un fornitore di infrastruttura di intelligenza artificiale e di hosting, di fornitori di modelli linguistici (OpenAI, Anthropic, Google), di Stripe per i pagamenti e di un fornitore di servizi e-mail. L’elenco completo e aggiornato, con i nomi, si fornisce su richiesta via e-mail. Quando cambia un sub-responsabile che tratta dati personali, avvisiamo i clienti interessati con almeno 14 giorni di anticipo.

7. In caso di incidente

Avvisiamo i clienti interessati senza ingiustificato ritardo e comunque entro 72 ore dal momento in cui siamo venuti a conoscenza dell’incidente. La comunicazione dice che cosa è successo, quali dati sono coinvolti, quali sono le conseguenze probabili e che cosa stiamo facendo. Una precisazione che altrove non si scrive: per un incidente nei sistemi del fornitore di infrastruttura il nostro termine decorre dal momento in cui ce lo hanno comunicato loro. Non possiamo promettere un termine più breve di quello che abbiamo noi stessi più a monte.

8. Che cosa non abbiamo ancora

Questa sezione sta qui di proposito. A chi compila un questionario le righe qui sotto risparmiano un carteggio, e a noi una dichiarazione inesatta:

• Non abbiamo una certificazione nostra. ISO/IEC 27001 e SOC 2 appartengono al fornitore cloud, non a noi. Non ci presentiamo come certificati.
• Non abbiamo l’autenticazione a due fattori per gli account degli utenti. È in programma; oggi non c’è.
• Non abbiamo un centro di monitoraggio della sicurezza attivo giorno e notte e non offriamo un tempo di risposta contrattuale.
• Non abbiamo il rapporto di un test di penetrazione indipendente.
• Non abbiamo nominato un responsabile della protezione dei dati. Al nostro volume di trattamento la legge non lo richiede; se lo impongono le regole interne del Cliente, va detto prima del contratto.

9. Se il Cliente è un soggetto regolato dalla NIS2

Non siamo un soggetto rientrante nell’ambito della direttiva NIS2 — in Italia il D.lgs. 4 settembre 2024, n. 138, con l’Agenzia per la Cybersicurezza Nazionale (ACN) come autorità nazionale competente e CSIRT Italia come destinatario delle notifiche di incidente — ma possiamo essere il fornitore di chi lo è, e allora l’obbligo di verificarci ricade sul Cliente. Siamo pronti a compilare il questionario, a firmare un accordo sul trattamento dei dati personali e ad assumerci obblighi contrattuali di notifica in caso di incidente. Quello che non possiamo fare è assumerci un obbligo che noi stessi non abbiamo verso il nostro fornitore — lo diciamo subito, non al primo audit. Che cosa si eredita dall’infrastruttura e che cosa resta in capo al Cliente secondo il regolamento sull’intelligenza artificiale è nella pagina Conformità NIS2 e regolamento sull’IA.

10. Come contattarci

Per domande sulla sicurezza, per far compilare un questionario o per segnalare una vulnerabilità si scrive all’indirizzo e-mail ufficiale che sta nella pagina L’azienda. Una segnalazione di vulnerabilità ha la precedenza e non agiamo contro chi la invia in buona fede.