Sicurezza e backup

1. Protezione degli accessi

• Traffico sempre cifrato in transito (HTTPS/TLS).
• Password conservate solo come hash con algoritmo robusto; nessuna password in chiaro, nemmeno nei log.
• Sessione con cookie firmato, scadenza automatica e rinnovo durante l’uso.
• Protezione contro i tentativi di accesso ripetuti e registro dei tentativi falliti.
• Verifica dell’indirizzo email alla creazione dell’account e link di invito a tempo per i nuovi utenti.

2. Separazione dei dati e permessi

• Ogni azienda lavora su uno spazio dati separato (multi-tenant): tutte le richieste sono filtrate per azienda.
• Ruoli e permessi granulari per modulo (visitare/gestire), con amministratore principale e possibilità di ruoli personalizzati.
• Registro di audit sulle modifiche dei documenti sensibili (componenti, allegati, qualità) con autore e data.

3. Backup

• Backup automatico giornaliero dei dati di ogni azienda, con archivio compresso conservato separatamente dall’applicazione.
• Rotazione e scadenza automatica delle copie non più valide; lo stato di ogni backup (disponibile, scaduto, non riuscito) è visibile nella sezione Sicurezza.
• Avviso automatico agli amministratori in caso di backup non riuscito.
• Puoi richiedere in ogni momento un backup su domanda dalla sezione Sicurezza.

4. Ripristino

Il ripristino riporta i dati dell’azienda alla situazione della copia scelta e sovrascrive i dati correnti: per questo viene eseguito solo su richiesta esplicita di un amministratore, con conferma. Obiettivi di ripristino indicati nella pagina SLA (RPO 24 ore, RTO entro 2 giorni lavorativi).

5. Conservazione e cancellazione

• Dati dell’account e contenuti: per tutta la durata del rapporto e 30 giorni dopo la chiusura.
• Copie di backup: secondo la rotazione impostata, poi cancellate automaticamente.
• Log di sicurezza e audit: fino a 24 mesi.
• Documenti fiscali: 10 anni per obbligo di legge.

6. Infrastruttura e fornitori

L’applicazione gira su infrastruttura cloud gestita nell’Unione Europea con database MongoDB e archiviazione degli allegati nello stesso perimetro. L’elenco dei fornitori che trattano dati per nostro conto è nella pagina DPA.

7. Gestione degli incidenti

• Monitoraggio degli errori applicativi e avvisi interni automatici.
• In caso di violazione di dati personali: comunicazione al cliente entro 48 ore dalla presa di conoscenza (vedi DPA).
• Correzioni di sicurezza rilasciate con priorità, anche fuori dalle finestre di manutenzione programmate.

8. Cosa spetta a te

• Assegnare i permessi minimi necessari e revocare gli utenti che lasciano l’azienda.
• Usare password robuste e non condividere le credenziali tra più persone.
• Conservare comunque copie dei documenti essenziali (disegni, programmi NC) anche fuori dalla piattaforma.
• Segnalarci subito ogni accesso sospetto.