Sicurezza e protezione dei dati

Crittografia

Tutto il traffico verso i nostri servizi è cifrato in transito con protocolli TLS moderni. I dati ad alta sensibilità (es. codice fiscale, IBAN) sono cifrati a livello applicativo con AES-256-GCM prima di arrivare al database, e ogni accesso ai valori in chiaro è tracciato. La chiave è gestita da Allega, separata dai dati. I file sono cifrati lato server su Amazon S3. Allega non raccoglie password, PIN o credenziali SPID dei clienti.

Isolamento multi-tenant

I dati di ogni studio sono isolati a livello applicativo e di database: nessuno studio può accedere a dati di altri studi. Ogni operazione è verificata server-side rispetto al contesto autenticato dell'utente.

Autenticazione

L'autenticazione degli utenti dello studio è gestita da Clerk, con 2FA (TOTP) attivabile e rendibile obbligatoria dallo studio. Il cliente dello studio accede al portale con un codice di 6 cifre inviato via email o SMS, valido 15 minuti, con limiti ai tentativi.

Pagamenti

I pagamenti degli abbonamenti sono processati da Stripe (PCI-DSS Level 1). Allega non memorizza numeri di carta e non offre campi per raccoglierli dai clienti.

Antivirus

Ogni file caricato dai clienti viene scansionato in modo asincrono. I file rilevati come potenzialmente dannosi vengono messi automaticamente in quarantena e non sono scaricabili.

Audit log

Ogni operazione effettuata da un membro dello studio è tracciata con utente, indirizzo IP, user-agent, timestamp ed entità interessata. Lo studio può consultare i propri log dalla dashboard; la durata di conservazione dipende dal piano ed è indicata nella pagina Prezzi.

Backup e continuità

Il database viene copiato ogni giorno, cifrato, su Amazon S3 in UE e conservato 30 giorni. Obiettivi: perdita massima di 24 ore di dati (RPO), ripristino in 4 ore (RTO). La data dell'ultima prova di ripristino sarà pubblicata qui quando eseguita.

Ubicazione dei dati

Il server dell'applicazione e il database sono in Polonia; i file e i backup su Amazon S3 in Svezia. Alcuni fornitori trattano dati anche negli USA: autenticazione (Clerk), pagamenti (Stripe), email (Resend), SMS (Twilio), modelli AI (OpenRouter), job pianificati (Inngest). Per questi trasferimenti valgono le Clausole Contrattuali Tipo o il Data Privacy Framework, come indicato nel DPA.

Diritti GDPR

Lo studio può esercitare i diritti degli artt. 15-22 GDPR direttamente dall'applicazione (esportazione e cancellazione). Richieste articolate possono essere indirizzate a [email protected].

Gestione incidenti

In caso di violazione di dati personali con rischio per i diritti e le libertà degli interessati, avvisiamo lo studio (titolare del trattamento) entro 24 ore dalla scoperta, come previsto dal DPA, per consentirgli la notifica al Garante entro 72 ore (art. 33 GDPR). La comunicazione include natura dell'evento, categorie di dati e interessati coinvolti, misure adottate.

Segnalazione vulnerabilità

Se trovi una vulnerabilità di sicurezza, ti chiediamo di segnalarla in modo responsabile a [email protected] prima di renderla pubblica. Confermiamo ricezione entro 48 ore lavorative.

Categorie di test esplicitamente non autorizzati senza accordo scritto:

• Test di carico che impattino l'esperienza degli altri utenti.
• Tentativi di phishing o ingegneria sociale verso dipendenti o clienti.
• Accesso a dati di clienti reali. Ricerca su account di test creati ad-hoc dal ricercatore.
• Esecuzione di malware o ransomware.

Fornitori

L'elenco completo e pubblico dei fornitori (sub-responsabili), con servizio, sede e garanzie, è nell'Allegato C del DPA.

Verifiche indipendenti

Allega non ha certificazioni proprie (es. ISO 27001, SOC 2): le certificazioni citate nel DPA sono quelle dei fornitori. Non è ancora stato svolto un penetration test esterno; quando sarà fatto pubblicheremo qui data e società. Su richiesta forniamo un questionario di sicurezza compilato.

Documenti correlati: Informativa Privacy, Data Processing Addendum, Termini di Servizio.

Domande di sicurezza: [email protected]
Domande privacy / GDPR: [email protected]