Sicurezza
Sicurezza by design
Siamo un’azienda giovane e agile. Invece di spendere prima per gli auditor, le nostre risorse vanno direttamente nella sicurezza tecnica. Le nostre misure si orientano a ISO 27001 e al BSI IT-Grundschutz — e le documentiamo qui apertamente perché tu possa verificarle.
Nessun badge di certificazione: un elenco chiaro di ciò che facciamo davvero, da confrontare con i tuoi requisiti. Le stesse misure fanno parte del nostro contratto di trattamento dei dati, dove sono un impegno contrattuale verso di te.
Identità e accesso
- Autenticazione a due fattori (TOTP) con codici di recupero per ogni account
- Accesso con Google o Apple, oppure e-mail + password con hash bcrypt
- Sessioni in cookie HttpOnly, Secure e SameSite; ogni nuovo accesso ti viene segnalato
- Ruoli — owner, admin, editor, viewer — così nessuno ha più diritti del necessario
Privilegio minimo
- Le chiavi API raggiungono solo i workspace scelti, possono scadere, vengono mostrate una sola volta e salvate come hash
- I servizi girano come utenti senza privilegi in container separati; il renderer parla con l’app solo tramite un segreto condiviso
- Il database è raggiunto tramite un ruolo limitato; la row-level security di Postgres blocca le letture tra account anche in caso di bug dell’applicazione
- Ogni azione amministrativa viene scritta nell’audit log
Protezione e isolamento dei dati
- Ospitato nell’UE (Hetzner, Norimberga); DPA con misure tecniche e organizzative incluse
- I segreti memorizzati — chiavi di firma dei webhook, credenziali di registry e backup, segreti 2FA, password dei modelli — sono cifrati con AES-256-GCM
- I documenti sono privati; i download usano link firmati a breve scadenza
- Controlli tu la conservazione e puoi esportare o cancellare tutto; le cancellazioni hanno un periodo di tolleranza
- Documenti e database girano su server Hetzner in Germania; i backup giornalieri del database vanno nell’object storage Hetzner nell’UE, conservati 30 giorni, separati dai dati applicativi
Integrità dei documenti
- Ogni documento firmato elettronicamente viene bloccato contro le modifiche, sigillato con un certificato digitale e riceve un’impronta SHA-256
- I firmatari confermano una dichiarazione di consenso; l’audit trail è concatenato con hash, nulla può essere alterato senza accorgersene
- Chiunque abbia un PDF può verificarlo sulla nostra pagina pubblica di verifica, senza caricarlo Apri la pagina di verifica →
- I webhook sono firmati (HMAC-SHA256) e ritentati automaticamente
Resilienza e protezione dagli abusi
- Limiti di richieste per piano e registrazioni limitate
- Limiti rigidi su dimensione e pagine; il renderer gira isolato con timeout, così un documento difettoso non mette mai fuori uso il servizio
- I recuperi in uscita (immagini nei modelli) sono limitati agli host consentiti: niente SSRF
- Monitoraggio degli errori e backup giornalieri con copie off-site
- Una Content Security Policy rigorosa: niente script inline, niente eval sulle pagine pubbliche, script solo dalla nostra origine e da servizi autorizzati
- Risposta agli incidenti: le segnalazioni vengono valutate entro un giorno lavorativo; i clienti interessati vengono avvisati entro 48 ore da una violazione confermata, come previsto dal nostro DPA
Gli standard a cui ci allineiamo
- Misure di sicurezza orientate a ISO 27001 e BSI IT-Grundschutz, scritte nel nostro contratto di trattamento dei dati come impegno contrattuale
- Crittografia secondo la linea guida tecnica BSI TR-02102: AES-256-GCM, SHA-256, sigilli RSA-3072, TLS 1.2 o più recente
- Stato dell’arte come richiesto dall’art. 32 GDPR
- Firme elettroniche semplici ai sensi di eIDAS: diciamo chiaramente cosa sono e cosa non sono
Cosa non affermiamo
Non siamo ancora certificati ISO 27001 né SOC 2, e non diciamo il contrario. Fino ad allora pubblichiamo qui le nostre misure e aggiorniamo questa pagina ogni volta che cambiano.
Divulgazione responsabile
Hai trovato una vulnerabilità? Scrivici: leggiamo ogni segnalazione e non agiamo legalmente contro la ricerca in buona fede. Il nostro security.txt rimanda allo stesso indirizzo. [email protected]
Servono più dettagli?
Il nostro contratto di trattamento dei dati elenca le misure tecniche e organizzative come impegno contrattuale, e il team di sicurezza risponde direttamente alle domande.