Panoramica sulla Sicurezza

Indice

1. 1. In breve
2. 2. Dove sono conservati i dati
3. 3. Cifratura
4. 4. Separazione dei dati di ciascuna attività
5. 5. Protezione dell'accesso
6. 6. Traccia di audit e rilevamento delle manomissioni
7. 7. Backup e ripristino
8. 8. Pagamenti e denaro
9. 9. Intelligenza artificiale
10. 10. Accesso del nostro team
11. 11. Monitoraggio e risposta agli incidenti
12. 12. Certificazioni
13. 13. Cosa è possibile fare
14. 14. Segnalazione di una vulnerabilità

Versione: 1.2 · Pubblicato il: 16 ottobre 2026 · In vigore: all'accettazione per i nuovi Spazi di Lavoro; per gli Spazi di Lavoro che hanno accettato una Versione precedente, alla data indicata da STAK nel proprio avviso ai sensi della clausola 20 delle Condizioni di Servizio per i Clienti · Testo prevalente: Inglese (clausola 23.9 delle Condizioni di Servizio per i Clienti)

Emesso da: STAK Global, LLC, società a responsabilità limitata costituita nello Stato del Delaware, Stati Uniti d'America (numero di registrazione 10798493), titolare di STAK (ستاك) e dei Servizi. Contatto: [email protected].

La presente Panoramica sulla Sicurezza spiega in linguaggio semplice come proteggiamo i dati della propria attività e ne conserviamo copie, secondo la situazione alla Data di Entrata in Vigore della presente Versione. La aggiorniamo quando tale situazione cambia. Ha carattere esclusivamente informativo. I nostri impegni contrattuali sono contenuti nell'Accordo sul Trattamento dei Dati. Le espressioni definite nelle Condizioni di Servizio per i Clienti STAK hanno lo stesso significato nella presente Panoramica sulla Sicurezza.

1. In breve

• I dati sono cifrati durante la trasmissione e durante la conservazione nei nostri sistemi.
• I dati di ciascuna attività sono tenuti separati da quelli di tutte le altre nel database stesso.
• Effettuiamo Backup continui e conserviamo copie giornaliere e mensili in un altro paese, protette contro la cancellazione anticipata.
• Non conserviamo numeri di carta, e non riceviamo né deteniamo mai il denaro.
• Ogni modifica importante viene registrata in una traccia di audit che nessun Utente può alterare.
• Attualmente non possediamo la certificazione ISO 27001 né un report SOC 2. Lo indicheremo qui quando li otterremo.

2. Dove sono conservati i dati

2.1 I Servizi vengono eseguiti sull'infrastruttura cloud di Amazon Web Services nella regione di Francoforte, nella Repubblica federale di Germania. I Backup vengono copiati in una regione separata di Amazon Web Services nella Repubblica d'Irlanda. Questa separazione consente di conservare una copia dei dati anche in caso di guasto dell'intera regione di hosting principale.

2.2 In futuro potremmo spostare l'hosting in un'altra regione. Ne daremo comunicazione con almeno 30 giorni di anticipo. L'esecuzione temporanea dei Servizi dai Backup nella Repubblica d'Irlanda dopo la perdita della regione di hosting principale non costituisce uno spostamento, e ne daremo comunicazione senza ritardo.

2.3 STAK è fornita da STAK Global, LLC, una società costituita negli Stati Uniti d'America. Anche il nostro fornitore di hosting e alcuni dei nostri fornitori di servizi sono soggetti alla legge degli Stati Uniti. Proteggiamo i dati contro l'accesso illecito da parte di qualsiasi governo come previsto dalla clausola 13 dell'Accordo sul Trattamento dei Dati: divulghiamo i dati soltanto su richiesta vincolante, ne diamo comunicazione salvo che la legge lo vieti, limitiamo la divulgazione al minimo e contestiamo le richieste che riteniamo ragionevolmente illecite. I dati sono cifrati durante la conservazione e durante la trasmissione.

3. Cifratura

3.1 Ogni connessione ai Servizi è cifrata con TLS versione 1.2 o successiva, e l'applicazione verifica l'identità del server del database a ogni connessione.

3.2 I database, i dischi, i file, i Backup e l'archivio dei segreti sono cifrati a riposo con AES-256, mediante chiavi gestite tramite il servizio di gestione delle chiavi di Amazon o dal fornitore di hosting.

3.3 I fascicoli dei dipendenti e le cartelle cliniche sono inoltre cifrati all'interno dell'applicazione con chiavi separate, e le chiavi per la connessione ai Prestatori di Servizi di Pagamento e ad altri fornitori sono conservate in un archivio dei segreti separato, cifrato con una chiave separata.

4. Separazione dei dati di ciascuna attività

4.1 Ogni record dei dati di un'attività nel database riporta l'identificativo dell'Attività a cui appartiene. Il database stesso applica regole di sicurezza a livello di riga che impediscono all'applicazione di leggere o scrivere i record di un'altra Attività. Si tratta di un livello di protezione indipendente, sottostante ai controlli propri dell'applicazione.

4.2 L'account del database utilizzato dall'applicazione non ha l'autorizzazione di aggirare tali regole.

5. Protezione dell'accesso

5.1 È possibile accedere con:

• un codice di verifica inviato tramite WhatsApp a un numero verificato;
• una passkey, mediante riconoscimento del volto o dell'impronta digitale;
• un account Google, Apple o Microsoft.

È possibile usare un'app di autenticazione come secondo passaggio dopo l'accesso. Non utilizziamo password.

5.2 È possibile richiedere l'accesso in due passaggi per ruoli specifici, e i Proprietari e gli Amministratori vengono avvisati quando qualcuno modifica i propri metodi di verifica. Ogni persona viene avvisata quando il proprio Account viene utilizzato da un nuovo dispositivo. Nei Piani che li includono, è inoltre possibile impostare un timeout di inattività della sessione, e i Proprietari vengono avvisati quando qualcuno accede da un nuovo dispositivo.

5.3 Ogni Membro del Personale ha un ruolo e permessi definiti, e il suo accesso può essere limitato a determinate Filiali. Il personale che usa Dispositivi condivisi utilizza un numero di identificazione personale (PIN) di sei cifre, e l'accesso con esso si blocca dopo cinque tentativi errati.

6. Traccia di audit e rilevamento delle manomissioni

6.1 Ogni modifica importante viene registrata in una traccia di audit, con l'indicazione di chi l'ha effettuata, quando, da dove e da quale indirizzo IP. Nessun Utente può alterare o cancellare tale traccia, salvo che l'esecuzione di una richiesta di cancellazione dei dati di un Cliente Finale rimuove l'identità di tale persona dalle relative voci, conservando ciò che è stato fatto, da chi e quando. La traccia viene cancellata insieme ai Dati del Cliente alla cessazione ai sensi delle Condizioni.

6.2 Le registrazioni contabili sono collegate in una catena che rivela qualsiasi modifica successiva, ed è possibile verificarne l'integrità dalla pagina Sicurezza.

7. Backup e ripristino

7.1 Effettuiamo Backup continui dei database, che ne consentono il ripristino a qualsiasi momento degli ultimi 35 giorni. Effettuiamo inoltre:

• Backup giornalieri, conservati per 35 giorni;
• Backup mensili, conservati per 12 mesi;
• un Backup logico del database (un dump del database) ogni notte, conservato per 35 giorni in uno spazio di archiviazione bloccato.

7.2 I Backup giornalieri e mensili vengono copiati in Irlanda. La policy dei vault di backup di Francoforte e dell'Irlanda impedisce a chiunque, compreso il nostro team, di cancellare un Backup prima della fine del periodo di conservazione o di modificare tale periodo. I vault sono inoltre bloccati nella modalità compliance (compliance mode) del fornitore di hosting, concepita in modo che nessuno, compreso chiunque possa assumere il controllo di uno dei nostri account presso il fornitore di hosting, possa cancellare un Backup nei suoi primi 35 giorni.

7.3 Ogni mese verifichiamo il ripristino del database dai Backup. Il nostro obiettivo è perdere non più di 15 minuti di dati in caso di guasto di un database, e non più di 24 ore in caso di perdita dell'intera regione di hosting, in linea con gli obiettivi di ripristino previsti dall'Accordo sul Livello di Servizio.

7.4 Conserviamo i Backup per ripristinare il servizio, non come archivio per l'utente. Si raccomanda pertanto di esportare regolarmente i propri dati dalla pagina Piano e fatturazione o da ciascuna App.

8. Pagamenti e denaro

8.1 I Servizi sono progettati in modo che i numeri di carta non transitino né vengano conservati nei nostri sistemi: il pagamento avviene sulle pagine proprie dei Prestatori di Servizi di Pagamento o sui loro terminali e app certificati per l'accettazione delle carte. Le schermate dei Servizi non contengono alcun campo per i numeri di carta o i relativi codici di sicurezza, ed è possibile richiedere, dalla pagina Sicurezza, che i campi di testo vengano analizzati alla ricerca di numeri di carta inseriti per errore.

8.2 Il denaro viene regolato direttamente dal Prestatore di Servizi di Pagamento sul conto bancario dell'utente. Non lo riceviamo né lo deteniamo mai.

8.3 La modifica del conto bancario registrato in STAK per ricevere i regolamenti richiede una fase aggiuntiva di verifica e ha effetto solo dopo 48 ore. I Proprietari vengono avvisati immediatamente, in modo da poterla annullare.

9. Intelligenza artificiale

9.1 I dati vengono inviati al fornitore di IA solo quando un Utente richiede una Funzionalità di IA, carica un documento perché una di esse lo legga, come una ricevuta, oppure quando un'automazione configurata da un Utente esegue una fase di IA, e vengono inviati soltanto i dati necessari per tale richiesta o fase.

9.2 I dati non sono utilizzati per addestrare modelli di intelligenza artificiale. Le Funzionalità di IA modificano un record soltanto dopo l'espressa conferma dell'utente, o nell'ambito di un'automazione che un Utente autorizzato ha configurato e attivato.

10. Accesso del nostro team

L'accesso all'Ambiente di Produzione è riservato a un numero limitato di persone del personale nominativamente designate e richiede l'autenticazione a più fattori, e l'inizio di ogni sessione di accesso viene registrato. L'accesso amministrativo ai server avviene soltanto tramite il servizio di gestione dei sistemi di Amazon, senza accesso diretto ai server.

Consultiamo i dati soltanto nei casi seguenti:

• per fornire l'assistenza richiesta;
• per gestire, mantenere e ripristinare i Servizi;
• per indagare su un Incidente di Sicurezza o su una presunta violazione della Politica di Uso Accettabile;
• quando la legge lo richiede.

11. Monitoraggio e risposta agli incidenti

11.1 Monitoriamo automaticamente l'infrastruttura cloud ventiquattro ore su ventiquattro, con avvisi immediati al nostro team. Ogni azione amministrativa sull'infrastruttura cloud viene registrata, e le minacce e i permessi eccessivi sono rilevati automaticamente.

11.2 Se una Violazione dei Dati Personali interessa i suoi dati, ne diamo comunicazione senza indebito ritardo: entro 24 ore da quando ne veniamo a conoscenza, ove possibile, e in ogni caso entro 48 ore. Indichiamo cosa è accaduto e cosa abbiamo fatto al riguardo.

12. Certificazioni

Attualmente non possediamo la certificazione ISO 27001 né un report SOC 2. Non possediamo nemmeno la certificazione PCI DSS, perché i Servizi sono progettati in modo che i dati delle carte non transitino nei nostri sistemi: essi sono elaborati sulle pagine proprie dei Prestatori di Servizi di Pagamento o sui loro terminali e app certificati. I Prestatori di Servizi di Pagamento che si collegano ai Servizi possiedono le proprie certificazioni. Elencheremo qui qualsiasi certificazione che otterremo in futuro.

Se si accettano pagamenti con carta tramite le proprie pagine STAK, l'acquirente viene indirizzato alla pagina del proprio Prestatore di Servizi di Pagamento, oppure si utilizzano i suoi terminali e app certificati, in modo che le pagine STAK non raccolgano mai dati delle carte. Verificare con il proprio Prestatore di Servizi di Pagamento i propri obblighi PCI DSS; un'attività che utilizza un simile reindirizzamento completa di solito il questionario di autovalutazione più breve (SAQ A). STAK non dichiara di essere certificata PCI DSS.

13. Cosa è possibile fare

• Attivare l'accesso in due passaggi per i Proprietari e gli Amministratori.
• Concedere a ciascun Membro del Personale solo i permessi necessari al suo lavoro e rimuovere immediatamente l'accesso a chi se ne va.
• Esportare regolarmente i propri dati, almeno una volta al mese.
• Mantenere collegati i Dispositivi del punto vendita finché le vendite registrate offline non hanno terminato la sincronizzazione, prima di cancellare o disconnettersi da qualsiasi Dispositivo.
• Mantenere aggiornati i sistemi e i browser dei propri dispositivi.
• Segnalarci immediatamente qualsiasi attività sospetta.

14. Segnalazione di una vulnerabilità

Se si scopre una vulnerabilità di sicurezza, scrivere a [email protected]. Gestiamo le segnalazioni in modo riservato. Autorizziamo i test di sicurezza in buona fede entro i limiti di cui alla clausola 10 della Politica di Uso Accettabile, e non presentiamo denuncia né pretesa nei confronti di chi rimane entro tali limiti e ci segnala la vulnerabilità senza ritardo.