Politica sulla sicurezza

La presente Politica sulla sicurezza descrive le misure tecniche e organizzative che TechVerdi SA — Av. Charles-Ferdinand Ramuz 60, 1009 Pully, Svizzera — applica per proteggere la piattaforma Kappino, il "Servizio", e i dati che tratta.

Essa supporta i nostri obblighi ai sensi dell'Art. 8 della Legge federale sulla protezione dei dati svizzera (LPD) e dei requisiti di sicurezza dei dati dell'Ordinanza sulla protezione dei dati, che richiedono misure adeguate al rischio per garantire la riservatezza, l'integrità, la disponibilità e la tracciabilità dei dati personali.

La sicurezza è basata sul rischio: applichiamo misure adeguate alla natura, all'ambito e alla sensibilità dei dati e alle minacce a cui siamo esposti, e le rivediamo e miglioriamo nel tempo. Nessun sistema può essere reso perfettamente sicuro, e la presente Politica descrive le nostre misure senza garantire un risultato specifico.

Manteniamo politiche e procedure di sicurezza formali e applicate che disciplinano il controllo degli accessi, la protezione dei dati, l'autenticazione e lo sviluppo sicuro.

Le responsabilità in materia di sicurezza sono definite all'interno dell'organizzazione, e la sicurezza è integrata nel nostro ciclo di sviluppo tramite pratiche di sviluppo sicuro. Conduciamo audit interni periodici di sicurezza per rivedere le configurazioni di sistema, i controlli degli accessi e la conformità ai nostri standard di sicurezza.

Manteniamo inoltre una documentazione separata per i backup, il ripristino di emergenza e la risposta agli incidenti.

3.1 Crittografia in transito

Tutto il traffico tra gli utenti e il Servizio è crittografato tramite HTTPS/TLS. Applichiamo il protocollo HTTP Strict Transport Security (HSTS) per richiedere connessioni sicure, e adottiamo una Content Security Policy (CSP) per ridurre i rischi lato client.

3.2 Crittografia a riposo

Le credenziali e i token sensibili sono crittografati a riposo tramite AES-256-GCM. Il database dell'applicazione risiede su un'infrastruttura ospitata in Svizzera, protetta dai controlli degli accessi e dalle misure di rete descritte nella presente Politica.

Il database in sé non è crittografato a riposo separatamente. Continuiamo a rivedere il nostro approccio alla crittografia a riposo nell'ambito dei nostri continui miglioramenti della sicurezza.

Le password degli utenti sono archiviate esclusivamente come hash con salt tramite bcrypt — mai in testo semplice, e mai recuperabili da parte nostra.

L'autenticazione utilizza sessioni JWT basate su token con gestione delle sessioni. Raccomandiamo a tutti gli utenti di scegliere password forti e uniche e di non riutilizzare le credenziali su più servizi.

L'utente è responsabile di mantenere riservate le proprie credenziali e delle attività dei propri utenti autorizzati, come descritto nei Termini e Condizioni e nella Sezione 14 della presente Politica.

Stato attuale. L'autenticazione a più fattori non è ancora obbligatoria per l'accesso al Servizio. È un miglioramento pianificato nella nostra roadmap di sicurezza.

Fino alla disponibilità dell'MFA, mitighiamo il rischio di accesso agli account tramite l'hashing bcrypt delle password, sessioni basate su token, controllo degli accessi basato sui ruoli, isolamento tra tenant, limitazione della frequenza delle richieste (rate limiting) e registrazione degli eventi di autenticazione.

Nel frattempo, raccomandiamo vivamente agli amministratori degli account di utilizzare password forti e uniche e di limitare il numero di utenti con privilegi elevati. Aggiorneremo la presente Politica quando l'MFA sarà introdotto.

Il controllo degli accessi basato sui ruoli (RBAC) limita ciò che ciascun utente può vedere e fare, secondo il principio della necessità di conoscere e del minimo privilegio.

L'isolamento tra tenant separa logicamente i dati di ciascun Cliente Aziendale all'interno del nostro ambiente multi-tenant, in modo che un cliente non possa accedere ai dati di un altro cliente.

L'accesso ai dati di produzione a livello applicativo è limitato agli amministratori autorizzati e alle chiavi API con ambito limitato, a ciascuno dei quali viene concesso esclusivamente l'accesso necessario per il proprio ruolo.

I diritti di accesso vengono rivisti nell'ambito dei nostri audit interni periodici e revocati quando non più necessari.

Hosting svizzero. Il Servizio opera su un'infrastruttura di server privati virtuali fornita da Infomaniak SA, con server e infrastruttura fisicamente situati in Svizzera.

Protezione della rete. Applichiamo HTTPS/TLS, HSTS, CSP e limitazione della frequenza delle richieste (rate limiting), unitamente a firewall e controlli di rete per proteggere da abusi e accessi non autorizzati.

Separazione degli ambienti. Manteniamo ambienti separati di sviluppo, test, staging e produzione, in modo che le modifiche vengano testate prima di raggiungere i dati di produzione.

Multi-tenancy. La piattaforma è multi-tenant con isolamento basato sul tenant.

Hardening e aggiornamenti. I sistemi sono configurati in modo sicuro e mantenuti, con la sicurezza rivista durante gli audit interni.

Manteniamo log di controllo (audit log) che tracciano eventi chiave, inclusi autenticazione, operazioni di backup, azioni relative alle chiavi API e attività di sistema selezionate.

Questi log supportano la tracciabilità, ci aiutano a rilevare e indagare attività sospette, e assistono nella risposta agli incidenti. I log sono conservati per il tempo necessario a fini di sicurezza e prevenzione delle frodi e sono protetti da accessi non autorizzati e manomissioni.

Il database della piattaforma viene sottoposto a backup tramite snapshot con cadenza giornaliera, ogni 24 ore. I backup sono integrati dai servizi di backup del nostro fornitore di hosting.

I backup sono conservati secondo un ciclo rotativo fino a 90 giorni e successivamente sovrascritti o eliminati in modo sicuro. Ciò disciplina anche le modalità di rimozione delle copie residue dei dati eliminati, come descritto nell'Informativa sulla Privacy e nel DPA.

Proteggiamo i backup con la stessa cura riservata ai dati di produzione.

Manteniamo un piano di ripristino di emergenza progettato per ripristinare il Servizio e i dati in caso di guasto o incidente significativo.

Il piano è supportato dai nostri backup giornalieri e dai servizi di resilienza e backup del nostro fornitore di hosting svizzero. Copre il ripristino dei dati dai backup e le fasi necessarie per riportare il Servizio in funzione, e viene rivisto e aggiornato con l'evolversi della nostra infrastruttura.

Effettuiamo periodicamente valutazioni delle vulnerabilità e conduciamo penetration test dei componenti critici del sistema prima delle release principali e dopo modifiche significative all'infrastruttura.

Le criticità riscontrate vengono classificate per livello di rischio e risolte in base alla priorità. Le pratiche di sviluppo sicuro e la revisione del codice aiutano a ridurre le vulnerabilità prima del rilascio.

Manteniamo una procedura di risposta agli incidenti per rilevare, rispondere, contenere e mitigare gli incidenti di sicurezza e le violazioni dei dati personali, inclusi flussi di escalation e revisioni post-incidente per apprendere e migliorare.

In caso di violazione dei dati personali suscettibile di comportare un rischio elevato per la personalità o i diritti fondamentali degli interessati, notificheremo l'Incaricato federale della protezione dei dati e della trasparenza (IFPDT) e, laddove richiesto, le persone interessate, senza ingiustificato ritardo e in conformità alla LPD e, ove applicabile, al GDPR.

Laddove agiamo in qualità di responsabile del trattamento per un Cliente Aziendale, notificheremo tale cliente senza ingiustificato ritardo affinché possa adempiere ai propri obblighi, come descritto nel DPA.

Alcune funzionalità si basano su fornitori terzi e sub-responsabili del trattamento, come descritto nell'Informativa sulla Privacy e nel DPA.

In particolare, i documenti inviati allo Scanner OCR / AI vengono elaborati da Google Cloud Vision e OpenAI, il che può comportare un trattamento al di fuori della Svizzera nel rispetto di adeguate garanzie di trasferimento.

Selezioniamo fornitori con pratiche di sicurezza adeguate, imponiamo obblighi di protezione dei dati ai responsabili del trattamento, e trasmettiamo loro i dati tramite connessioni sicure. Non archiviamo direttamente i dati degli utenti presso terze parti, salvo quanto descritto nella nostra documentazione, ad esempio i documenti elaborati temporaneamente per l'OCR.

La sicurezza è una responsabilità condivisa. Noi proteggiamo la piattaforma e l'infrastruttura; l'utente è responsabile della sicurezza nell'ambito del proprio utilizzo del Servizio, incluso:

• proteggere le credenziali dell'account e gestire i propri utenti autorizzati e i relativi livelli di accesso;
• rimuovere tempestivamente l'accesso per gli utenti che non ne hanno più bisogno;
• configurare le funzionalità, inclusi messaggistica, AI e localizzazione, in modo lecito e appropriato; e
• notificarci tempestivamente qualsiasi sospetta compromissione del proprio account.

Se si scopre una vulnerabilità di sicurezza o si sospetta un incidente di sicurezza, si prega di segnalarlo tempestivamente a office@techverdi.ch fornendo dettagli sufficienti a consentirci di indagare.

Chiediamo ai ricercatori di agire in buona fede, di evitare di accedere o alterare dati non propri, e di concederci un'opportunità ragionevole di rispondere prima di qualsiasi divulgazione pubblica.

Possiamo aggiornare la presente Politica sulla sicurezza per riflettere cambiamenti nelle nostre prassi, nella tecnologia o nei requisiti legali. Le modifiche sostanziali verranno notificate e la data di "Ultimo aggiornamento" verrà rivista.

La presente Politica è disciplinata dal diritto svizzero, e i tribunali competenti del Canton Vaud, Svizzera — foro competente: Pully / Losanna — hanno giurisdizione esclusiva, salvo qualsiasi foro competente inderogabile.