Sicurezza e privacy
Dove sono i dati del tuo studio e chi li vede
Le stesse cose scritte nei nostri documenti legali, in parole semplici. Se c'è una differenza, vale il documento legale.
Dove sono i dati
Il server dell'applicazione e il database sono in Polonia. I file e le copie di sicurezza sono su Amazon S3, in Svezia. Alcuni fornitori trattano dati anche negli USA: sono elencati qui sotto.
Chi li vede
I dati di ogni studio sono separati da quelli degli altri studi: nessuno studio può accedere ai dati di un altro. Il cliente dello studio entra nel portale con un codice di 6 cifre, valido 5 minuti, ricevuto per email o SMS. Allega non raccoglie password, PIN o credenziali SPID dei clienti.
Come sono protetti
Tutto il traffico è cifrato. Dati come codice fiscale e IBAN sono cifrati anche nel database, e ogni accesso ai valori in chiaro viene registrato. I file sono cifrati sul server di archiviazione. Chi lavora nello studio può attivare la verifica in due passaggi (2FA), e lo studio può renderla obbligatoria.
Antivirus su ogni file
Ogni file caricato dai clienti viene controllato dall'antivirus. Se risulta pericoloso va in quarantena e non si può scaricare.
Registro attività: 12 mesi
Ogni operazione di chi lavora nello studio viene registrata, con utente, data e ora. Lo studio la consulta dall'applicazione. Il registro è conservato 12 mesi in tutti i piani.
Copie di sicurezza
Il database viene copiato ogni giorno, in forma cifrata, su Amazon S3 in UE, e le copie restano 30 giorni. Obiettivi: perdere al massimo 24 ore di dati e ripartire in 4 ore.
Se c'è una violazione dei dati
Se c'è una violazione di dati personali con rischio per le persone coinvolte, avvisiamo lo studio entro 24 ore dalla scoperta. Lo studio, titolare del trattamento, può così notificarla al Garante entro 72 ore, come prevede l'art. 33 del GDPR. L'avviso spiega cosa è successo, quali dati e persone sono coinvolti e cosa abbiamo fatto.
Intelligenza artificiale: spenta di default AI
La classificazione AI dei documenti è spenta. La attiva o la disattiva solo il titolare dello studio, dalle impostazioni di sicurezza.
- Quando è attiva, al fornitore (OpenRouter, USA, che inoltra ai modelli di terzi) arrivano il nome e il tipo del file, l'elenco delle voci della pratica e, se l'OCR è attivo, il testo estratto dal documento. Quel testo può contenere dati identificativi.
- L'AI suggerisce, decide sempre lo studio.
- Dettagli nell'Informativa privacy.
I fornitori che trattano dati
L'elenco completo, con garanzie, è nell'Allegato C del DPA.
| Fornitore | A cosa serve | Dove |
|---|---|---|
| 3K33 sp. z o.o. | Server virtuale (hosting applicativo, database PostgreSQL, antivirus) | UE — Polonia (Danzica) |
| Amazon Web Services EMEA SARL | Archiviazione file e backup del database (Amazon S3) | UE — Svezia (eu-north-1) |
| Clerk Inc. | Autenticazione degli utenti dello studio, MFA | USA |
| Stripe Payments Europe Ltd. | Pagamenti e fatturazione degli abbonamenti | Irlanda (con trasferimenti a Stripe Inc., USA) |
| Resend Inc. | Invio email transazionali (inviti, solleciti, codici di accesso) | USA |
| Twilio Inc. | Invio SMS (canale di riserva) | USA |
| sms-gate.app | Invio SMS tramite dispositivo Android collegato (canale principale) | Da verificare con il fornitore |
| OpenRouter Inc. | Accesso ai modelli AI (classificazione documenti, opzionale e spenta di default; assistente del supporto) | USA, con inoltro ai fornitori dei modelli (es. Anthropic PBC, USA) |
| Inngest Inc. | Esecuzione di job pianificati (solleciti, scadenze) | USA |
| PostHog Inc. | Statistiche d'uso del sito | UE (eu.posthog.com) |
Cosa non possiamo dire
Allega non ha certificazioni proprie (come ISO 27001 o SOC 2): quelle citate nel DPA sono dei fornitori. Non è ancora stato fatto un penetration test esterno. Su richiesta forniamo un questionario di sicurezza compilato.