Centro Fiducia e Sicurezza
Trasparenza, sicurezza e conformita sono al centro della nostra piattaforma. Questa pagina fornisce una panoramica delle misure adottate per proteggere i tuoi dati.
Sicurezza dell'Infrastruttura
| Crittografia in transito | TLS 1.3 tramite Cloudflare (certificati gestiti, HSTS abilitato) |
| Crittografia a riposo | AES-256-GCM per token OAuth e dati sensibili nel database |
| Hosting | Server dedicato in Europa (Italia). Nessun hosting cloud condiviso. |
| Protezione DDoS | Cloudflare Enterprise-grade DDoS mitigation |
| Firewall applicativo | Cloudflare WAF con regole personalizzate |
| Rate limiting | Protezione brute-force su login (10/min), upload (30/min), export (60/min) |
Protezione dei Dati
| Isolamento dati | Multi-tenant con isolamento a livello di riga — ogni utente accede solo ai propri dati |
| Autenticazione | JWT con cookie HttpOnly + Secure + SameSite, scadenza sessione configurabile |
| Gestione password | bcrypt con salt randomico, cambio password obbligatorio al primo accesso |
| Audit logging | Tutte le azioni utente registrate con IP, timestamp e dettagli. Conservazione: 730 giorni. |
| Backup | Backup giornalieri automatici del database con retention di 30 giorni |
| Errori sanitizzati | Nessun dettaglio tecnico o stack trace esposto agli utenti |
Sicurezza AI
| Anonimizzazione PII | Tutti i dati personali (IBAN, CF, P.IVA, email, telefono, SSN, NI, carte di credito) vengono rimossi PRIMA dell'invio all'AI |
| Conservazione AI | OpenAI non usa i dati inviati tramite API per l'addestramento. Li conserva fino a 30 giorni per il controllo degli abusi, poi li cancella: la Zero Data Retention e' stata richiesta al fornitore e non e' ancora attiva |
| Trasparenza | L'utente visualizza sempre quale metodo e' stato usato (AI vs regex vs XML) nei risultati |
| Supervisione umana | I risultati AI sono indicativi e richiedono verifica professionale prima dell'uso |
| Alternativa non-AI | Le fatture XML vengono elaborate al 100% senza AI (parsing deterministico) |
Header di Sicurezza
Ogni risposta HTTP include i seguenti header di sicurezza:
| Header | Valore |
|---|---|
| Content-Security-Policy | Limita le origini di script, stili, immagini e font |
| Strict-Transport-Security | max-age=31536000; includeSubDomains (HSTS) |
| X-Frame-Options | DENY — impedisce embedding in iframe |
| X-Content-Type-Options | nosniff — impedisce MIME-type sniffing |
| Referrer-Policy | strict-origin-when-cross-origin |
| Permissions-Policy | Disabilita camera e geolocalizzazione. Microfono abilitato solo per il dominio stesso (self), utilizzato esclusivamente nella funzione Quick Capture (Anteprima Founding Partner) previa autorizzazione del browser e attivazione esplicita dell'utente. |
Conformita e Documenti Legali
Tutti i documenti legali e di conformita sono disponibili pubblicamente:
Segnalazione Vulnerabilita
Se scopri una vulnerabilita di sicurezza nella nostra piattaforma, ti incoraggiamo a segnalarla responsabilmente:
- Email: security@tds-automation.com
- Tempo di risposta: Entro 48 ore lavorative
- Crittografia: Utilizza PGP per comunicazioni sensibili (chiave pubblica disponibile su richiesta)
Ti chiediamo di:
- Non divulgare pubblicamente la vulnerabilita prima della risoluzione
- Non accedere a dati di altri utenti durante i test
- Fornire dettagli sufficienti per riprodurre il problema
Ultimo aggiornamento: 2 marzo 2026