Sicurezza e dati

Dove si trovano i suoi dati

• L'app e il suo database girano sulla rete di Cloudflare (Cloudflare Workers e Cloudflare D1). Non abbiamo server nostri da aggiornare o da perdere.
• I pagamenti con carta sono gestiti interamente da Stripe. Non vediamo né conserviamo mai i numeri completi delle carte.
• Non vendiamo dati né mostriamo pubblicità. I fornitori di cui ci avvaliamo sono elencati nella nostra informativa sulla privacy.

Come sono protetti

• Ogni connessione è cifrata con HTTPS e ai browser viene indicato di rifiutare qualsiasi altro tipo di connessione (HSTS).
• Le password non vengono mai conservate. Conserviamo un hash PBKDF2-SHA256 con salt, quindi nemmeno noi possiamo leggerle.
• Le sessioni di accesso usano un cookie sicuro e HTTP-only, che gli script della pagina non possono leggere. Reimpostare la password chiude la sessione su tutti i dispositivi.
• I tentativi di accesso falliti ripetuti vengono rallentati per impedire che le password vengano indovinate.
• Le pagine sono inviate con intestazioni di sicurezza rigorose, tra cui una content security policy e una protezione contro l'inclusione in frame da parte di altri siti.

Chi può vedere i suoi dati

• I dati di ogni organizzazione sono tenuti separati e ogni richiesta viene verificata rispetto all'organizzazione con cui ha effettuato l'accesso. I nostri test automatici verificano che un'organizzazione non possa leggere né eliminare i dati di un'altra.
• All'interno della sua organizzazione, proprietari, amministratori e membri hanno autorizzazioni diverse. Solo proprietari e amministratori possono modificare le impostazioni, invitare persone o gestire la fatturazione.
• Gli inviti e i link per reimpostare la password sono monouso e scadono (dopo 7 giorni e 1 ora).
• I fornitori a cui chiede dati accedono a un unico modulo tramite un link privato. Non vedono mai il suo account.
• Le modifiche importanti, come quelle alla fatturazione e alle impostazioni, sono registrate in un registro di audit.

I suoi dati sono suoi

• Può esportare in qualsiasi momento, finché il suo piano è attivo, ogni riga di attività e di emissione in un foglio di calcolo, con il fattore usato per ciascun valore.
• Se smette di pagare, nulla viene eliminato: scelga di nuovo un piano e ritroverà tutto com'era.
• Un proprietario può eliminare l'organizzazione e tutto il suo contenuto dalle Impostazioni. Viene rimossa immediatamente dal database operativo.

Cookie e statistiche

• Senza chiedere il consenso impostiamo solo i cookie necessari per l'accesso. Google Analytics e Microsoft Clarity vengono caricati solo se Lei acconsente, e può cambiare idea in qualsiasi momento tramite «Impostazioni dei cookie» in fondo a ogni pagina.
• Le visualizzazioni di pagina sono conteggiate da Cloudflare Web Analytics, che non usa cookie.

Cosa non abbiamo ancora

Siamo un servizio giovane, quindi preferiamo dirglielo piuttosto che lasciarglielo scoprire. Non abbiamo ancora l'accesso a due fattori, il single sign-on né una certificazione indipendente come ISO 27001 o Cyber Essentials. L'accesso a due fattori è il prossimo punto della nostra lista. Se il suo ufficio acquisti ha un questionario sulla sicurezza, ce lo invii e risponderemo con onestà.