Questa pagina descrive le misure tecniche e organizzative che applichiamo ai sensi dell'articolo 32 del GDPR e della Legge n. 124/2024. Costituisce un allegato dell'Accordo sul trattamento dei dati.
1. Infrastruttura
- I server e il database si trovano nell'Unione europea, nei Paesi Bassi (DigitalOcean, Amsterdam).
- Il database non è raggiungibile da Internet. Si collega soltanto ai server dell'applicazione.
- Il sistema operativo e i componenti dell'applicazione sono aggiornati regolarmente con le patch di sicurezza.
- Monitoriamo costantemente la disponibilità del servizio e gli errori tecnici.
2. Protezione del traffico
- Tutto il traffico è cifrato con HTTPS (TLS), con HSTS affinché il browser non si connetta mai senza cifratura.
- Cloudflare si trova davanti all'applicazione e la protegge dagli attacchi DDoS, dai bot e dalle richieste pericolose.
- L'accesso all'account prevede un limite al numero di tentativi, per IP e per utente, per bloccare i tentativi di indovinare le password.
3. Accesso e permessi
- Le password sono conservate solo sottoposte a hash con bcrypt. Nessuno, nemmeno il nostro team, può leggerle.
- I token API e le chiavi segrete delle integrazioni sono conservati sottoposti a hash e vengono mostrati una sola volta, al momento della creazione.
- L'amministratore dell'azienda stabilisce i permessi di ciascun utente: quali moduli vede, chi annulla le fatture, chi vede i report.
- Le sessioni sono cifrate e protette dagli attacchi CSRF.
4. Separazione tra aziende
Ogni interrogazione al database è limitata all'azienda, all'unità e al dispositivo fiscale dell'utente che la effettua. Un'azienda non può vedere i dati di un'altra azienda. I contabili e i rivenditori accedono soltanto alle aziende che li hanno invitati o a cui sono stati assegnati, con i permessi che sono stati loro concessi.
5. Protezione dei dati
- Le chiavi dei servizi esterni e le password dei certificati sono conservate cifrate.
- Effettuiamo regolarmente copie di backup del database, conservate nell'UE.
- Non inviamo dati personali nei registri degli errori.
- Potete esportare in qualsiasi momento le vostre fatture, i clienti e i prodotti.
6. Fiscalizzazione
- Ogni fattura viene firmata digitalmente con il certificato della vostra azienda prima di essere inviata all'amministrazione fiscale.
- I messaggi XML che inviamo e le risposte dell'amministrazione fiscale sono conservati in un archivio non modificabile, a fini di audit.
- Quando il sistema dell'amministrazione fiscale non risponde, le fatture vengono salvate e fiscalizzate automaticamente non appena torna disponibile.
7. Registrazione delle operazioni
- Ogni modifica alla configurazione dell'azienda viene registrata: chi l'ha effettuata, quando e che cosa è cambiato.
- Quando il nostro team o un contabile accede al vostro account, l'accesso viene registrato con il suo nome.
- Le chiamate API vengono registrate in base al token e all'applicazione che le effettua.
8. Il nostro team
- Hanno accesso ai sistemi di produzione soltanto le persone che li gestiscono, e solo nella misura necessaria.
- Tutte sono tenute per contratto a mantenere la riservatezza.
- Il team di assistenza accede al vostro account soltanto su vostra richiesta o per risolvere un problema tecnico.
9. Incidenti
Se si verifica una violazione che riguarda i vostri dati, ve ne informiamo senza ritardo e non oltre 48 ore dal momento in cui ne veniamo a conoscenza, con ciò che sappiamo e con le misure che stiamo adottando, affinché possiate informare il Commissario entro il termine di legge.
10. Segnalate un problema di sicurezza
Se trovate una vulnerabilità in Fature.al, scriveteci all'indirizzo [email protected]. Vi preghiamo di non renderla pubblica e di non accedere ai dati di altre aziende finché non l'avremo corretta. Rispondiamo a ogni segnalazione.