Dichiarazione sulla sicurezza

Sintesi

La presente dichiarazione riassume i nostri controlli di sicurezza. La pagina Sicurezza e affidabilità li illustra in modo più dettagliato e i nostri impegni contrattuali sono contenuti nell’Accordo sul trattamento dei dati. Non pubblichiamo dettagli sui nostri fornitori di infrastruttura o sull’architettura, perché ciò aiuterebbe eventuali aggressori.

Infrastruttura

• Il servizio è erogato da una rete distribuita e cifrata in oltre 125 Paesi, che mantiene le pagine pubbliche vicine ai visitatori e disponibili anche in caso di guasto di una sede.
• Tutto il traffico è cifrato in transito con TLS aggiornato e HTTP Strict Transport Security; i dati sono cifrati a riposo, compresi i backup.
• L’applicazione invia intestazioni di sicurezza rigorose, tra cui una content security policy.

Accesso e isolamento

• L’autenticazione a più fattori con codici generati da un’app di autenticazione è obbligatoria per ogni account di clienti e personale; i codici di recupero monouso sono conservati solo come hash.
• Ogni spazio di lavoro cliente è isolato nell’applicazione e a livello di database, così un cliente non può leggere i dati di un altro.
• Le autorizzazioni del personale si basano sui ruoli e sul privilegio minimo; le azioni sensibili sono registrate in log di audit di sola aggiunta.
• Non chiediamo mai le password degli account pubblicitari. Lavoriamo tramite autorizzazioni utente o partner delle piattaforme, che il cliente controlla e può revocare in qualsiasi momento.

Pagamenti

• I pagamenti con carta sono gestiti dal nostro fornitore di servizi di pagamento, certificato secondo il Payment Card Industry Data Security Standard. Non vediamo né conserviamo mai i numeri delle carte.
• La spesa media è pagata dai clienti direttamente alle piattaforme pubblicitarie con i propri metodi di pagamento.

Incidenti

Disponiamo di una procedura di risposta agli incidenti con escalation definita. Se una violazione dei dati personali riguarda i dati di un cliente, lo informiamo senza ingiustificato ritardo ed entro 48 ore, e ne diamo notifica alle autorità di controllo quando la legge lo richiede.