sicurezza

scritto da claude, un modello di intelligenza artificiale: non è un avvocato e questo non è un parere legale. il testo non vale finché un professionista non l'ha rivisto (vedi le note per il legale).

questa pagina dice dove stanno i dati di tuttotorna, come sono protetti, chi li può vedere e cosa succede se qualcosa va storto.

---

a che punto siamo

oggi tuttotorna gira in demo, con dati di fantasia. le misure di questa pagina sono quelle con cui tuttotorna parte al primo rilascio con dati veri. nessun dato vero di un'azienda entra finché tutte non sono in funzione e provate, e lo studio non ha ricevuto da noi l'elenco delle prove. quando una misura arriva dopo, lo scriviamo accanto.

quattro regole, prima di tutto

• ogni studio è un mondo chiuso: database, file e chiave suoi.
• thesmall non legge i contenuti degli studi. vede metadati e numeri aggregati.
• i file servono il tempo del lavoro, poi si cancellano.
• vera, l'assistente di tuttotorna, propone; una persona conferma. i conti li fa l'aritmetica.

---

dove stanno i dati

l'elenco completo, con le garanzie, è nella pagina dei sub-responsabili. il sito e la vetrina stanno su netlify e usano solo dati di fantasia; i moduli del sito raccolgono solo i contatti di chi ci scrive.

come sono protetti

cifratura

• tutto viaggia cifrato (tls 1.2 o 1.3).
• il database di ogni studio è cifrato con la chiave di quello studio. i file sono cifrati uno per uno, e ogni file è legato al suo studio e al suo cliente: spostato altrove, non si apre.
• ogni studio ha una chiave sua, protetta a sua volta da una chiave dedicata in un servizio di gestione delle chiavi a milano, che non la lascia uscire e registra ogni uso. per il disastro c'è una chiave di ripristino, fuori linea, divisa in tre parti custodite da persone diverse: ne servono due.

separazione tra gli studi

• un database per studio. un errore nel codice non può mostrare a uno studio i dati di un altro, perché quei dati non sono nel suo database.
• una prova automatica con due studi verifica ogni funzione e ogni ruolo. se fallisce, non si rilascia.

accesso

• niente password da rubare. chi lavora nello studio entra con un codice via email più un'app di autenticazione: il secondo fattore è obbligatorio per tutti. le passkey arrivano dopo. i clienti degli studi entrano con un codice via email e possono aggiungere un secondo fattore.
• le sessioni scadono da sole (per lo studio, 30 minuti senza attività e 10 ore in tutto).
• esportazioni, download, cancellazioni e inviti chiedono di confermare chi siete.
• ogni azione resta in un registro che non si può modificare senza che si veda. il titolare lo legge e lo esporta.

file caricati

• tuttotorna controlla il tipo vero di ogni file, non il nome; rifiuta eseguibili, macro e contenuti attivi; tratta con cautela zip, pdf e fogli di calcolo.
• i file si leggono in un processo separato, senza accesso alla rete, con limiti di tempo. nessun file resta in chiaro sul disco.
• antivirus sui caricamenti: entro 90 giorni dal primo studio con dati veri.

intelligenza artificiale

• al modello arriva solo ciò che serve alla domanda. iban, codici fiscali, partite iva, carte, email e telefoni sono nascosti; il nome del cliente diventa «il cliente».
• il modello gira in irlanda, su amazon bedrock, solo in modalità senza conservazione, imposta da una regola dell'account. se la regola non risulta attiva, l'intelligenza artificiale si spegne da sola e tuttotorna spiega con le regole.
• ogni risposta si controlla prima di mostrarla: se contiene un numero che non era nei dati, si scarta.
• ogni testo dell'ai ha un'etichetta, anche leggibile da un computer.
• lo studio può spegnere l'intelligenza artificiale per un singolo cliente.
• i dati degli studi non addestrano nessun modello.

voce

• la voce dell'app trascrive e parla sul nostro server in italia, senza fornitori esterni. l'audio non viene registrato. prima del microfono dice che è una voce artificiale.

server e codice

• dall'esterno si raggiunge solo l'app, in https. l'amministrazione del server non è esposta e richiede una chiave hardware.
• si installa solo il programma costruito dal nostro sistema di integrazione. aggiornamenti di sicurezza ogni giorno.
• le dipendenze del codice sono bloccate e controllate ogni settimana; una versione nuova aspetta 7 giorni prima di entrare.
• chi scrive il codice, persone o strumenti di intelligenza artificiale, lavora solo con dati di fantasia e non ha accesso alla produzione.

chi può vedere i dati

thesmall entra nei contenuti di uno studio solo in due modi, sempre in sola lettura:

• assistenza: la apre il titolare dello studio, sceglie quali clienti e per quanto tempo (al massimo 8 ore), la chiude quando vuole;
• emergenza: solo per un incidente di sicurezza, un guasto grave o un obbligo di legge. dura al massimo 2 ore, richiede un motivo scritto, e tutti i titolari dello studio ricevono subito una mail. alla chiusura ricevono cosa è stato guardato. il titolare può chiudere ogni accesso di thesmall con un tocco.

thesmall non vi chiederà mai per telefono o per messaggio di aprire un'assistenza, né un codice.

una cosa da dire con onestà. chi amministra un server ha, per come funzionano i computer, la possibilità tecnica di leggere la memoria dei programmi mentre girano. per questo si entra sul server solo per manutenzione o incidenti, con chiave hardware, e ogni comando resta registrato in modo non modificabile per 13 mesi.

copie e ripristino

• tre copie oltre all'originale, in due paesi, presso tre soggetti diversi. una non si può cancellare per 30 giorni, nemmeno da noi. un'altra il server non la può raggiungere.
• ogni settimana una macchina usa e getta prova a ripartire dalle copie; ogni mese si ricostruisce tutto da zero. se la prova non riesce, lo sappiamo entro un'ora.
• il nostro impegno con gli studi: in caso di disastro, al massimo un'ora di lavoro persa e tuttotorna di nuovo in piedi entro 24 ore.
• i file del lavoro non sono nelle copie, per scelta: è il modo per mantenere la cancellazione a 48 ore. in caso di disastro, i fascicoli in corso si ricaricano dagli originali.

quanto restano i dati

• i file del fascicolo e della consegna: 48 ore dopo la consegna, poi si cancellano.
• i risultati completi: 24 mesi, poi resta una sintesi. lo studio può scegliere.
• quando uno studio lascia tuttotorna: 30 giorni per scaricare tutto, poi la cancellazione. 7 giorni dopo la chiave dello studio è distrutta e ogni copia rimasta diventa illeggibile, anche per noi. entro 100 giorni dalla fine non resta nessuna copia. lo studio riceve un'attestazione.
• tuttotorna non è un archivio a norma: gli originali e le scritture si conservano fuori.

se qualcosa va storto

• una sorveglianza automatica controlla ogni ora separazione tra studi, certificati, chiavi, copie e segnali di accesso anomali, anche da fuori.
• se un incidente può riguardare i dati di uno studio, lo avvisiamo entro 24 ore: cosa è successo, cosa sappiamo, cosa non sappiamo ancora, cosa stiamo facendo. le 72 ore dello studio per la notifica al garante partono dal nostro avviso: per questo avvisiamo presto, anche con informazioni incomplete.
• le procedure per il disastro sono scritte e provate a tavolino ogni anno.

segnalare una vulnerabilità

se pensate di aver trovato un problema di sicurezza in tuttotorna, scriveteci a sicurezza@tuttotorna.com. leggiamo ogni segnalazione e rispondiamo entro 3 giorni lavorativi.

cosa ci aiuta: cosa avete trovato, dove, come riprodurlo, cosa potrebbe succedere.

vi chiediamo di:

• non accedere ai dati di altri, non modificarli e non conservarli: fermatevi alla prova che il problema esiste;
• non rallentare o fermare il servizio, e non usare l'inganno con persone dello studio o di thesmall;
• darci il tempo di correggere prima di parlarne in pubblico (di solito 90 giorni).

chi segnala in buona fede e rispetta queste regole non avrà da noi azioni legali né denunce per quella segnalazione. non abbiamo un programma di ricompense, ma ringraziamo in questa pagina chi lo desidera.

il file /.well-known/security.txt (rfc 9116), nel sito e nell'app dal primo rilascio:

Contact: mailto:sicurezza@tuttotorna.com
Expires: 2027-11-01T00:00:00.000Z
Preferred-Languages: it, en
Canonical: https://tuttotorna.com/.well-known/security.txt
Policy: https://tuttotorna.com/sicurezza/#segnalazioni

certificazioni

tuttotorna non ha, oggi, una certificazione propria. abbiamo scelto fornitori certificati per ciò che fanno per noi:

prima del primo studio con dati veri, il codice di tuttotorna viene rivisto da una persona indipendente; poi ogni anno. entro 90 giorni dal primo studio, un test di intrusione esterno. gli studi ricevono una sintesi degli esiti.

i documenti

• condizioni di servizio per gli studi
• accordo sul trattamento dei dati (dpa) e misure di sicurezza
• sub-responsabili
• informativa privacy e cookie
• tuttotorna e l'ai act

---

ultimo aggiornamento: [da completare: data di pubblicazione].