Sicurezza e privacy
Dove sono i dati del tuo studio e chi li vede.
Le stesse cose scritte nei nostri documenti legali, in parole semplici. Se c’è una differenza, vale il documento legale. Ogni riga rimanda alla sezione del documento che la prova.
Voce per voce, dove è scritto
| Voce | Cosa significa | Dove è scritto |
|---|---|---|
| Dove sono i dati | Il server e il database sono in Polonia. I file e le copie di sicurezza sono su Amazon S3, in Svezia. Alcuni fornitori trattano dati anche negli Stati Uniti: li trovi nella pagina Fornitori. Cosa vuol dire per te: i file dei tuoi clienti restano in Europa. | Dove è scritto: |
| Chi li vede | I dati di ogni studio sono separati da quelli degli altri studi. Il tuo cliente entra nel portale con un codice di 6 cifre, valido 15 minuti, ricevuto per email o SMS. Allega non raccoglie password, PIN o credenziali SPID dei clienti. | Dove è scritto: |
| Come sono protetti | Tutto il traffico è cifrato. Codice fiscale e IBAN sono cifrati anche nel database, e ogni lettura in chiaro viene registrata. I file sono cifrati sul server di archiviazione. Ogni file caricato passa dall’antivirus e si scarica solo dopo il controllo. Chi lavora nello studio può attivare la verifica in due passaggi (2FA), e lo studio può renderla obbligatoria. Cosa vuol dire per te: chi intercetta la connessione o ruba un disco non riesce a leggere i dati. | Dove è scritto: |
| Registro attività | Ogni operazione di chi lavora nello studio è registrata, con utente, data e ora. Lo consulti dall’app. Resta 12 mesi; nel piano Enterprise non ha limite. Cosa vuol dire per te: sai sempre chi ha aperto, cambiato o mandato una pratica. | Dove è scritto: |
| Copie di sicurezza | Il database viene copiato ogni giorno, in forma cifrata, su Amazon S3 in Svezia. Le copie restano 30 giorni. Gli obiettivi: perdere al massimo 24 ore di dati e ripartire in 4 ore. La data della prima prova di ripristino la scriviamo qui quando è fatta. Cosa vuol dire per te: se il server si rompe, l’obiettivo è perdere al massimo il lavoro di un giorno. | Dove è scritto: |
| Se c’è una violazione dei dati | Se una violazione mette a rischio le persone coinvolte, avvisiamo lo studio entro 24 ore dalla scoperta. Lo studio, titolare del trattamento, può così notificarla al Garante entro 72 ore (art. 33 GDPR). L’avviso dice cosa è successo, quali dati sono coinvolti e cosa abbiamo fatto. | Dove è scritto: |
| Intelligenza artificiale Facoltativa | La lettura automatica dei documenti è spenta. La attiva o la disattiva solo il titolare dello studio, dalle impostazioni di sicurezza. Quando è attiva, al fornitore arrivano nome e tipo del file e l’elenco delle voci della pratica. Se la lettura del testo (OCR) è attiva, arriva anche il testo estratto: può contenere dati identificativi. L’Assistente, la chat di aiuto nell’app, manda al fornitore quello che scrivi. Le richieste al supporto le legge una persona. Il fornitore è OpenRouter, negli Stati Uniti: inoltra ai modelli di terzi. L’AI suggerisce, decide sempre lo studio. Cosa vuol dire per te: non scrivere all’Assistente i dati dei tuoi clienti. | Dove è scritto: |
| Fornitori | 10 fornitori trattano dati per conto di Allega. Per ognuno trovi lo scopo e il paese. | Dove è scritto: |
| Quanto teniamo i file | Quanto si tengono i dati, come si cancellano e come li esporti a fine rapporto: tutto in una pagina. | Dove è scritto: |
| Conservazione a norma | Allega non è un servizio di conservazione digitale a norma. Per fatture elettroniche e libri contabili serve un conservatore accreditato. Dalle pratiche puoi esportare i documenti in un file ZIP. | Dove è scritto: |
Leggi l’Informativa privacy, il DPA, le misure di sicurezza e i Termini di servizio. Lo stato dei servizi è in tempo reale nella pagina Stato del servizio.
Dove sono i dati
Server e database in Polonia, file e copie di sicurezza in Svezia. Alcuni fornitori trattano dati anche negli USA, tutti elencati.
Se c’è una violazione dei dati
Se una violazione mette a rischio le persone coinvolte, avvisiamo lo studio entro 24 ore dalla scoperta. Lo studio, titolare del trattamento, può così notificarla al Garante entro 72 ore (art. 33 GDPR).
Intelligenza artificiale Facoltativa
La lettura automatica dei documenti è spenta. La attiva o la disattiva solo il titolare dello studio, dalle impostazioni di sicurezza. L’AI suggerisce, decide sempre lo studio.
Se la accendi, al fornitore arrivano:
- nome e tipo del file;
- l’elenco delle voci della pratica;
- se la lettura del testo (OCR) è attiva, il testo estratto: può contenere dati identificativi.
Il fornitore è OpenRouter, negli Stati Uniti: inoltra ai modelli di terzi.
L’Assistente, la chat di aiuto nell’app
Quello che scrivi parte verso OpenRouter, negli Stati Uniti, che lo passa ai modelli di terzi. Con il messaggio partono gli ultimi 12 della chat, il piano, il mestiere dello studio e il tuo ruolo.
Non scriverci i dati dei tuoi clienti. Se non vuoi usarlo, premi «Parla con una persona» oppure scrivi a [email protected].
Le richieste al supporto
Le legge una persona del team, che ti risponde: oggi non passano dall’AI. L’Informativa privacy prevede anche un assistente AI sulle richieste, ma è spento.
15 minuti
vale il codice di 6 cifre che il cliente riceve per email o SMS
24 ore
per avvisarti se c’è una violazione dei dati
30 giorni
restano le copie cifrate del database12 mesi
resta il registro attività; nel piano Enterprise non ha limite
Persone d’esempio
Cosa non possiamo dire
Allega non ha certificazioni proprie, come ISO 27001 o SOC 2: quelle citate nel DPA sono dei fornitori. Su richiesta forniamo un questionario di sicurezza compilato.