Come pensiamo alla sicurezza
Trattiamo la sicurezza come una proprietà di base del prodotto, non come una funzionalità aggiuntiva. Ciò significa: impostazioni predefinite sicure, configurazioni minime, dipendenze aggiornate e accesso concesso in base alle necessità, non per comodità. Gli stessi ingegneri che rilasciano le funzionalità gestiscono anche le implicazioni di sicurezza di tali funzionalità.
Questa pagina riassume ciò che facciamo — le certificazioni che possediamo, dove risiedono i dati, come vengono protetti i pagamenti e come segnalare una vulnerabilità se ne trovi una.
Certificazioni e conformità
Siamo vincolati e ci sottoponiamo a audit rispetto ai seguenti quadri normativi:
- GDPR — piena conformità al Regolamento Generale sulla Protezione dei Dati dell'UE, inclusa un'informativa sulla privacy pubblicata, una registrazione documentata delle attività di trattamento e un contatto designato per la protezione dei dati.
- PCI DSS — i dati delle carte di pagamento sono gestiti esclusivamente da Stripe, che è certificato PCI Livello 1. Non vediamo, memorizziamo o trasmettiamo mai i numeri completi delle carte.
- ISO 27001 — i nostri fornitori di hosting e piattaforma sono certificati; il nostro sistema di gestione della sicurezza delle informazioni interno rispecchia gli stessi controlli.
- SOC 2 Tipo II — completato annualmente per la piattaforma rivolta ai clienti.
Copie dei certificati sono disponibili su richiesta tramite la pagina dei contatti.
Crittografia in transito e a riposo
Tutto il traffico da e verso il sito utilizza TLS 1.3; i protocolli più vecchi sono disabilitati a livello di bilanciatore di carico. HSTS è applicato con una finestra di precaricamento in modo che i browser rifiutino di connettersi tramite HTTP in chiaro dopo la prima visita.
I dati a riposo nel nostro database e nell'archivio oggetti sono crittografati con AES-256. Le chiavi di crittografia sono gestite dal KMS del provider cloud; nessun ingegnere possiede una chiave in chiaro a lungo termine.
Controlli di accesso
L'accesso alla produzione è limitato a un piccolo numero di ingegneri nominati. L'autenticazione avviene tramite SSO con MFA obbligatoria — tipicamente una chiave di sicurezza hardware. Non ci sono account condivisi né password di account di servizio statiche; ogni credenziale a lungo termine viene ruotata automaticamente.
Ogni azione sui dati di produzione viene registrata con l'autore, l'ora e il record interessato. I log sono immutabili e conservati per 12 mesi.
Sicurezza dei pagamenti
Tutti i pagamenti passano attraverso Stripe (e, per gli acquirenti polacchi, Przelewy24). Entrambi sono processori di pagamento certificati PCI-DSS. Il modulo della carta viene visualizzato all'interno del loro sandbox, quindi i dati della carta non toccano mai i nostri server; riceviamo solo un riferimento tokenizzato.
Abilitiamo 3-D Secure 2 per impostazione predefinita e ci affidiamo al motore di rischio di Stripe più le nostre regole di velocità per segnalare tentativi fraudolenti. I rimborsi vengono reindirizzati attraverso il metodo originale senza alcuna gestione manuale dei dati della carta.
I tuoi dati
Raccogliamo il minimo necessario per evadere un ordine: nome, indirizzo di fatturazione, email, riferimento di pagamento. Non vendiamo mai dati personali a nessuno. Non incorporiamo tracker pubblicitari di terze parti.
Ai sensi del GDPR hai il diritto di accedere ai tuoi dati, correggerli, esportarli o cancellarli. L'informativa sulla privacy spiega come esercitare tali diritti e per quanto tempo viene conservata ciascuna categoria di dati.
Divulgazione responsabile
Se ritieni di aver trovato un problema di sicurezza, scrivici tramite la pagina dei contatti e risponderemo entro un giorno lavorativo. Dicci qual è il problema, dove e come riprodurlo. Attualmente non gestiamo un programma di bug bounty retribuito, ma riconosciamo i reporter che seguono la divulgazione responsabile nella nostra pagina pubblica di ringraziamenti per la sicurezza.
Ti chiediamo di non testare sugli account di altri utenti, di non eseguire scanner automatici contro la produzione e di non divulgare pubblicamente un problema prima che abbiamo avuto la possibilità di risolverlo.