Conformità e standard
La situazione attuale. Nulla viene descritto come certificato finché non esiste un certificato — le matrici di readiness sono condivise su richiesta.
- GDPR art. 28Disponibile
Template di DPA v1.0 con Allegati A–C, in inglese e italiano.
- Residenza dei dati nell'UEAttivo
Hosting nel SEE. Trasferimenti con SCC Modulo 2.
- ISO 27001:2022In preparazione
Matrice di readiness mantenuta; roadmap di certificazione agli atti.
- SOC 2 Type IIPianificato
Valutazione Type I pianificata; nessun incarico ancora conferito.
- ISO 42001:2023Readiness
38 controlli dell'Allegato A e 7 clausole mappati.
- Divulgazione delle vulnerabilitàPubblicata
security.txt RFC 9116, con impegno di riscontro entro 24 ore.
Documenti e policy
I documenti pubblici si aprono direttamente. Tutto il resto è rilasciato su richiesta, con NDA quando contiene dettagli di audit.
- Template di accordo sul trattamento dei dati (EN / IT)GDPR art. 28, v1.0 — Allegato A ambito, Allegato B misure, Allegato C sub-responsabiliSu richiestaRichiedi
- Informativa sulla privacyVersionata, con storico delle accettazioniPubblicoApri
- Termini di servizioComprensivi delle clausole ex art. 1341 per i clienti italianiPubblicoApri
- Informativa sui cookieVersionata; ogni cookie e tecnologia analoga che usiamo, la sua funzione, per quanto tempo resta e come cambiare la tua sceltaPubblicoApri
- security.txt (RFC 9116)Contatto per la divulgazione delle vulnerabilità, leggibile da macchinaPubblicoApri
- Matrice di readiness ISO 4200138 controlli dell'Allegato A e 7 clausole del corpo principale, controllo per controlloCon NDARichiedi
Controlli di sicurezza
Le misure tecniche e organizzative dell'Allegato B del DPA, raggruppate come le chiede un questionario di sicurezza. Ognuna corrisponde a un controllo reale nella piattaforma.
Sicurezza dei dati
- Cifratura dei dati a riposoAES-256 (infrastruttura Hetzner) + Fernet per campo per i segreti sensibili (core/encryption.py)
- Cifratura in transitoTLS 1.2+ su tutti gli endpoint; idoneo al pre-load HSTS
- Backuppg_dump giornaliero + conservazione sull'host per un massimo di 30 giorni + gli ultimi 7 snapshot pre-deploy
Controllo degli accessi
- AutenticazioneHashing delle password PBKDF2/Argon2 + MFA TOTP (django_otp) + SSO SAML (Enterprise)
- AutorizzazioneIsolamento dei tenant a livello di riga tramite TenantAwareManager (1.318 righe di test dedicati all'isolamento)
- Registro di auditAuditLog in sola aggiunta con immutabilità a livello di database (conservazione minima di 10 anni per le righe che rientrano nell'AI Act)
Sicurezza applicativa
- Scansioni di sicurezza automaticheLe scansioni di container e dipendenze girano a ogni esecuzione della pipeline; una scansione dinamica gira ogni settimana
- Scansione dei segretiOgni commit viene controllato alla ricerca di credenziali prima di poter essere accettato (gate pre-commit detect-secrets)
- Gestione delle dipendenzeAggiornamenti automatici delle dipendenze su un lockfile fissato e riproducibile
Gestione operativa
- Risposta agli incidentiRunbook documentato (docs/deploy-recovery.md) + impegno di notifica delle violazioni entro 72 ore nel DPA §6.6
- Governance dei sub-responsabiliPreavviso di 30 giorni prima di ogni modifica dei sub-responsabili, con diritto di opposizione documentato (DPA §6.3)
- HostingSolo data center nell'UE, in Germania e Finlandia
Sub-responsabili del trattamento
Preavviso di 30 giorni prima di qualsiasi modifica, impegnato in DPA §6.3. I tenant possono opporsi entro il periodo di preavviso; opposizioni non risolte determinano la cessazione del trattamento interessato.
| Sub-responsabile | Finalità | Ubicazione | Meccanismo di trasferimento |
|---|---|---|---|
| Hetzner Online GmbH | Hosting primario (UE) | Helsinki, Finlandia — Hetzner Online GmbH (Germania) | Nativo GDPR (intra-SEE) |
| Anthropic, PBC | Fornitore LLM (piano con chiave propria) | Stati Uniti | Clausole contrattuali tipo (SCC), Modulo 2 |
| OpenAI, OpCo, LLC | Fornitore LLM (piano con chiave propria) | Stati Uniti | Clausole contrattuali tipo (SCC), Modulo 2 |
| Brevo SAS | E-mail transazionali | Francia | Nativo GDPR (intra-SEE) |
| Functional Software, Inc. (Sentry) | Tracciamento degli errori | Stati Uniti | Clausole contrattuali tipo (SCC), Modulo 2 |
Divulgazione delle vulnerabilità
Seguiamo RFC 9116. Il contatto machine-readable e i metadati di crittografia sono pubblicati su /.well-known/security.txt. Divulgazione coordinata: segnala a ip@landingred.com; confermiamo entro 24 ore.
/.well-known/security.txtContatti
Per domande di procurement, DPA o richieste in materia di sicurezza: privacy@landingred.com. Per la segnalazione di vulnerabilità, vedere la sezione dedicata sotto e il nostro endpoint RFC 9116 /.well-known/security.txt.
Scrivici