Questionario di sicurezza
Il questionario del vostro reparto informatico, già compilato
Le stesse domande arrivano con ogni gara, quindi sono già risposte in anticipo e per iscritto. Dove non c'è una risposta che possiamo sostenere, trovate la domanda e sotto niente: meglio una lacuna di una cifra indifendibile due anni dopo.
Ultima revisione: 30 agosto 2026
Questa pagina è impaginata per la carta: si stampa o si salva in PDF dal browser ed esce senza menù e senza piè di pagina.
01Dove stanno i dati e chi li gestisce
Dove sono ospitati i dati?
Su server propri situati nell'Unione Europea, in un centro dati in Francia gestito da Hostinger International Limited. Le copie di sicurezza rimangono nella stessa giurisdizione.
Ci sono trasferimenti internazionali di dati?
No. Né l'hosting, né le copie, né l'assistenza, né le attività di amministrazione vengono prestate da fuori dello Spazio economico europeo, per cui non servono clausole contrattuali tipo né le altre garanzie del capo V del GDPR.
L'installazione è condivisa? Come si separano i dati di ogni azienda?
È condivisa. Ogni tabella di contenuto porta l'identificativo dell'azienda e l'isolamento è imposto nello strato dati, non nell'interfaccia: una query non può ometterlo. C'è inoltre un test automatico che inserisce un'azienda rivale nella stessa base, con contenuto in ogni tabella, e verifica dalla sessione di un dipendente che non si arrivi a nulla dell'altra. Gira con il resto della batteria, non una volta all'anno.
Si può installare sui nostri server?
Oggi no. Il servizio è erogato dai nostri server nell'Unione Europea.
02Cifratura
Le comunicazioni sono cifrate?
Sì. Il sito e la piattaforma sono serviti in HTTPS, e il cookie di sessione è marcato Secure e HttpOnly: non passa mai da una connessione non cifrata e JavaScript non può leggerlo. Le pagine non caricano nulla da terzi — né caratteri, né icone, né script — quindi aprirne una non provoca una sola richiesta all'esterno. La posta in uscita passa da TLS sulla porta 465 o da STARTTLS sulla 587, a seconda della configurazione della casella.
Che cosa è conservato in modo da non servire a nulla a chi porti via una copia della base dati?
Le password non si conservano: si conserva un derivato ottenuto con scrypt e un sale diverso per ogni utente. Dell'identificativo di sessione esiste solo il suo hash, quindi un dump della tabella non consente di impersonare nessuno. Lo stesso per il token SCIM: si mostra una volta sola alla creazione e nella base resta solo il suo hash. Il segreto client dell'accesso unico deve invece poter essere riletto — viene inviato al fornitore di identità a ogni scambio di codice — e perciò è cifrato con AES-256-GCM, con la chiave derivata tramite HKDF e un'etichetta propria.
Il disco su cui vive la base dati è cifrato?
Quello che è verificato: la base dati non è esposta a internet ed è raggiungibile solo dal server stesso. I file caricati stanno sul disco, in una cartella per azienda, e non sono raggiungibili per indirizzo diretto: ogni scaricamento ricontrolla la sessione e l'appartenenza all'azienda.
Senza risposta scritta
La cifratura del volume è una misura della macchina e non dell'applicazione, quindi qui non viene affermata. Chiedetelo e vi confermiamo per iscritto che cosa è configurato sul server.
03Copie di sicurezza
Si fanno copie di sicurezza e dove si conservano?
Sì. Le condizioni del servizio prevedono copie periodiche all'interno dell'Unione Europea, nella stessa giurisdizione dei dati. Non sostituiscono le esportazioni che l'azienda cliente può fare per conto proprio e non rendono il fornitore depositario dell'unica copia.
Con che frequenza si fanno, quanto si conservano e si è mai provato un ripristino?
Ogni notte, pianificate sul server stesso. Il processo fa due cose: un dump completo della base dati con pg_dump, nel formato proprio di PostgreSQL e compresso, e un tar.gz dei file caricati, dal quale sono escluse le copie derivate delle immagini perché si rigenerano da sole. Si conservano quattordici giorni, ruotano da sole e rimangono nella stessa giurisdizione dei dati.
Senza risposta scritta
La procedura di ripristino e il tempo che richiede si danno per iscritto su richiesta. È la parte che dipende dalla macchina e dal volume di ogni giorno, e qui non si pubblica nessun numero che non si possa sostenere davanti a chi lo verifica.
04Controllo degli accessi, ruoli e sessioni
Che ruoli esistono e cosa può fare ciascuno?
Sei: proprietario, amministrazione, responsabile del personale, responsabile IT, redazione e dipendente. Pubblicare senza passare dall'approvazione possono il proprietario, l'amministrazione e la redazione. Nelle schermate di amministrazione ognuno entra solo nel suo ambito: chi gestisce il personale aggiunge e disattiva persone ma non vede né la fatturazione né il single sign-on, e chi si occupa dell'IT configura SSO, chiavi API e gli schermi di reparto ma non gestisce l'organico. E nessuno può assegnare un ruolo con più permessi del proprio. Le protezioni si verificano sul server dentro ogni azione e non nascondendo il pulsante: un'azione di server risponde anche se il pulsante non è mai stato disegnato.
Come sono protetti gli account dalla forza bruta?
L'account si blocca per quindici minuti dopo otto tentativi falliti, e il messaggio di errore non rivela se quell'indirizzo esiste. Quando non c'è nessun account da controllare, il tempo di calcolo dell'hash viene speso comunque, perché la risposta non tradisca con la sua rapidità che l'indirizzo non è registrato.
Quanto dura una sessione?
Trenta giorni senza uso, in una finestra che scorre a ogni accesso, con un tetto assoluto di centottanta giorni che non scorre: obbliga a identificarsi di nuovo almeno due volte l'anno. Le sessioni scadute si cancellano ogni notte.
Che cosa chiude le sessioni aperte di una persona?
Cambiare la sua password, bloccare l'account dall'amministrazione e darle la cessazione dal sistema del personale via SCIM. In tutti e tre i casi si cancellano tutte le sue sessioni, quindi una scheda rimasta aperta smette di valere all'istante.
C'è la verifica in due passaggi?
Propria, no. Chi entra con l'account della sua azienda tramite accesso unico passa dalle regole di accesso condizionale e dal secondo fattore del proprio fornitore di identità, e qui non digita nessuna password. Per il personale che entra con un codice di invito e un indirizzo personale, questo non si applica.
Si può obbligare tutti a entrare dal fornitore di identità?
C'è un'impostazione che disattiva l'accesso con password per i domini di posta configurati. Non riguarda chi entra con un codice di accesso senza indirizzo aziendale: quegli account non hanno una password da disattivare, e sono metà dell'organico in una fabbrica o in un magazzino.
05Accesso unico e provisioning
Quale accesso unico è supportato?
OpenID Connect, con Microsoft Entra ID, Google Workspace e Okta. Si configura incollando l'indirizzo di scoperta del fornitore, e da lì escono da sole le direzioni di autorizzazione, di scambio e delle chiavi. Dalla nostra parte si verificano la firma del token di identità e che l'emittente sia esattamente quello richiesto.
E SAML 2.0 o LDAP?
No. L'accesso unico passa da OpenID Connect e solo da lì. È una decisione e non una data in sospeso: SAML è XML firmato, verificarne bene la firma richiede la canonicalizzazione XML, ed è da lì che sono usciti quasi tutti gli aggiramenti di autenticazione dell'ultimo decennio. Se il vostro capitolato esige SAML per iscritto, conviene dirlo prima di proseguire.
C'è il provisioning automatico degli utenti?
Sì, SCIM 2.0 su /scim/v2/Users. Si dichiara esattamente ciò che è implementato: filtro per userName ed externalId, paginazione e modifica parziale con PATCH. Non ci sono operazioni in blocco, né ordinamento, né etag, né cambio password via SCIM, e non si dichiarano di proposito: dichiarare più di quello che si fa porta la sincronizzazione a saltare persone credendo di no.
Cosa succede quando il sistema del personale dà la cessazione a qualcuno?
L'account viene disattivato, non può più entrare e le sessioni aperte vengono chiuse. Non viene cancellato: cancellarlo porterebbe via le sue pubblicazioni e i suoi commenti, e una bacheca con i buchi è peggio di una bacheca con il nome di qualcuno che se n'è andato. C'è un'impostazione per anonimizzare invece di disattivare. Anche un DELETE di SCIM disattiva.
Come si autentica il vostro sistema verso il nostro?
Con un token di tipo bearer che l'azienda genera da sé in Amministrazione › Identità aziendale. Si mostra una volta sola e non si può rivedere: nella base resta solo il suo hash. Se si perde, se ne genera un altro e il precedente smette di valere.
06Registro di controllo e attività
C'è un registro di controllo?
Sì. Ogni voce registra l'azienda, chi ha agito, l'azione, l'entità interessata, l'indirizzo IP e la data. Copre inserimenti e cessazioni di persone, cambi di ruolo, inviti creati e revocati, pubblicazioni approvate e respinte, documenti caricati e cancellati, conferme di lettura, cambi di password, la configurazione e l'accensione dell'accesso unico e di SCIM, e l'attivazione e la disattivazione dei moduli.
Quel registro scade?
No. È la differenza rispetto al registro di attività del giorno per giorno, che scade: la traccia di controllo di ciò che è sensibile resta.
Si può consultare ed esportare?
Oggi si consulta su richiesta. Non c'è ancora una schermata che lo mostri né un'esportazione in un file.
Cosa si registra dell'attività di ogni persona, e per quanto tempo?
Solo se l'azienda attiva il modulo Accessi e attività. In quel caso si conservano i dispositivi da cui entra ogni persona e la sezione visitata — /comunita, non /comunita/stabilimento-getafe — e mai il contenuto di ciò che si legge o si scrive. Si cancella da sé dopo novanta giorni. Ogni persona vede i propri dispositivi nel proprio profilo, non solo chi amministra: un controllo che l'organico non può guardare è sorveglianza, uno che può guardare è sicurezza.
07Sub-responsabili e cosa esce verso l'esterno
Chi sono i sub-responsabili?
Hostinger International Limited, in qualità di fornitore dell'infrastruttura in cui si trovano i server: agisce come responsabile del trattamento, ha sottoscritto il relativo contratto e non accede ai contenuti. E i consulenti esterni di contabilità, fiscalità e assistenza legale, limitati ai dati di fatturazione e vincolati al segreto professionale. Qualsiasi cambiamento viene comunicato con anticipo sufficiente perché l'azienda cliente possa opporsi.
Quali terzi ricevono dati per il solo fatto di usare lo strumento?
Nessuna analisi di traffico, nessuna pubblicità, nessuna gestione di campagne e nessun componente di social network. I caratteri e le altre risorse sono serviti dal nostro server. Verso l'esterno escono due cose e solo due: la posta, attraverso il server di invio configurato; e le notifiche del browser, se vengono attivate, che passano dal servizio di push del browser di ogni persona firmate con chiavi VAPID secondo l'RFC 8292.
Si addestra qualche modello di intelligenza artificiale con i nostri contenuti?
No. Né con le pubblicazioni, né con i commenti, né con le risposte dei sondaggi, né con i documenti. Lo strumento non ha funzioni di intelligenza artificiale, quindi non ha nemmeno da dove mandare i vostri contenuti da nessuna parte.
08Conservazione, cancellazione e uscita
Per quanto tempo si conservano i dati?
Finché il contratto è in vigore. Dentro a questo ci sono termini che si applicano da soli ogni notte: l'attività si cancella dopo novanta giorni; le notifiche lette, dopo novanta; quelle non lette, dopo centottanta; i messaggi del modulo di contatto, dopo un anno; e le sessioni e gli inviti scaduti, appena scadono. I registri del server si conservano novanta giorni.
Cosa succede alla fine del contratto?
L'azienda dispone di trenta giorni di calendario di accesso per esportare le proprie informazioni. Trascorso quel termine, i dati e i file vengono soppressi in modo definitivo entro un massimo di trenta giorni aggiuntivi, copie di sicurezza incluse, con la sola eccezione di quanto debba essere conservato per obbligo di legge, che si limita ai dati di fatturazione.
Come si tirano fuori le informazioni?
I documenti e i file si scaricano dallo strumento stesso. Un dump completo di pubblicazioni, persone e risposte si chiede e si consegna. Oggi non c'è un pulsante per esportare tutto: è nel piano di lavoro, senza data impegnata.
09Protezione dei dati e incidenti
Chi è titolare e chi responsabile del trattamento?
L'azienda cliente è titolare del trattamento dei dati del proprio organico; noi siamo responsabili del trattamento. Il contratto è pubblicato dentro l'informativa sulla privacy, con gli obblighi dell'articolo 28 del GDPR uno per uno.
C'è un responsabile della protezione dei dati?
Non è stato designato, perché non ricorre nessuno dei tre casi dell'articolo 37 del GDPR: né autorità pubblica, né monitoraggio sistematico su larga scala, né categorie particolari di dati su larga scala.
Possiamo sottoporvi a verifica?
Sì. Fra gli obblighi assunti come responsabili del trattamento c'è mettere a disposizione del titolare le informazioni necessarie per dimostrare la conformità e consentire verifiche, comprese le ispezioni, con un preavviso ragionevole.
Chi viene avvisato in caso di violazione dei dati?
L'azienda cliente, che è titolare del trattamento, senza ingiustificato ritardo e con le informazioni che le servono per adempiere ai propri obblighi di notifica verso l'autorità di controllo e, quando ricorra, verso le persone interessate. È un obbligo scritto nel contratto.
Senza risposta scritta
Il termine concreto in ore dalla rilevazione non è impegnato per iscritto. Se il vostro capitolato esige un numero, si concorda nel contratto prima della firma e non si dà qui per scontato.
Garantite una percentuale di disponibilità?
No. Le condizioni dicono che il servizio è erogato con ragionevole diligenza e che si cerca la disponibilità continuativa, ma non si impegna una cifra garantita, perché non si misura e non si compensa. Se il vostro capitolato esige un accordo sul livello di servizio con penali, oggi non lo rispettiamo.
Manca qualche domanda del vostro capitolato?
Mandatecela e vi rispondiamo per iscritto. Quelle che si ripetono finiscono in questa pagina, che serve a questo.
info@blastack.com