Misure tecniche e organizzative di sicurezza — piattaforma MUNUS+
W.F.B. Srl — Via Romolo Gessi 13, 20146 Milano (MI) — P. IVA IT04724770237 Contatto: privacy@wfbservice.it
Questo è l'allegato tecnico richiamato dall'informativa privacy (§ «Come proteggiamo i tuoi dati»). Descrive le misure adottate ai sensi dell'art. 32 GDPR e costituisce, ai sensi degli artt. 5.2 e 24 GDPR, la documentazione con cui il titolare dimostra di aver adottato misure adeguate al rischio. Viene fornito su richiesta a interessati, clienti e autorità, scrivendo a privacy@wfbservice.it. È aggiornato quando le misure cambiano: la data in calce è quella dell'ultima verifica sui sistemi in esercizio.
1. Come è fatto il sistema
MUNUS+ è un'applicazione web e mobile con database PostgreSQL, ospitata su server dedicati di Hetzner Online GmbH (Germania e Finlandia, Unione Europea). Gli ambienti sono due e separati su macchine distinte: produzione (dati reali) e collaudo (dati anonimizzati). I documenti caricati risiedono in un archivio a oggetti privato, nella stessa regione UE.
I dati di ogni azienda utente sono isolati a livello di singola riga del database. L'isolamento non è affidato a un elenco tenuto a mano: è derivato automaticamente dalla struttura dei dati e verificato da un controllo all'avvio, che impedisce l'avvio dell'applicazione se la struttura cambia forma. Un sistema fermo è preferibile a un sistema che serve i dati sbagliati.
2. Accesso e identità
| Misura | Come è attuata |
|---|---|
| Password | requisiti minimi imposti dal sistema (lunghezza ≥ 10, maiuscole, minuscole, cifre, caratteri speciali, nessuna ripetizione consecutiva); conservate solo come impronta crittografica non reversibile (bcrypt) — nemmeno gli amministratori possono leggerle |
| Secondo fattore | obbligatorio per tutto il personale interno (amministratori e operatori): codice temporaneo su app di autenticazione, standard TOTP RFC 6238; disponibile e raccomandato per gli altri utenti, con codici di recupero monouso conservati in forma cifrata |
| Profilazione degli accessi | quattro ruoli distinti, più permessi nominati e perimetro per sito: ogni utente vede soltanto ciò che il suo ruolo e il suo perimetro consentono |
| Difesa dai tentativi di accesso | doppio limite automatico: per provenienza della richiesta e per singolo account (blocco temporaneo dopo pochi tentativi falliti), efficace anche contro tentativi distribuiti su molti indirizzi |
| Revoca | la disattivazione di un account ha effetto immediato: la validità viene ricontrollata a ogni singola richiesta, non solo all'accesso |
| Inviti e recuperi password | collegamenti monouso e a scadenza, invalidati al primo utilizzo con operazione atomica (un collegamento non può essere consumato due volte) |
3. Protezione delle comunicazioni
Tutto il traffico viaggia su connessione cifrata (HTTPS/TLS) con certificati rinnovati automaticamente. Il browser riceve istruzioni di sicurezza che impongono l'uso del canale cifrato (HSTS), limitano le origini dei contenuti eseguibili (Content Security Policy) e impediscono l'inclusione dell'applicazione in pagine di terzi.
Le notifiche push viaggiano con contenuto cifrato secondo lo standard Web Push: il servizio del dispositivo che le consegna non è in grado di leggerle.
4. Tracciabilità
Il sistema tiene un registro delle operazioni che annota chi ha creato o modificato un dato, quando, e — per le operazioni rilevanti — il motivo dichiarato. Le entità di rilievo non vengono mai eliminate fisicamente: sono disattivate e restano ricostruibili. Il registro serve a sicurezza e correttezza dei dati e non è utilizzato per il controllo della prestazione lavorativa.
5. Continuità e copie di sicurezza
| Misura | Frequenza / termine |
|---|---|
| Copia del database | quotidiana, con verifica automatica di completezza (una copia troncata non viene accettata) |
| Copia dei documenti | quotidiana, con conservazione temporanea dei file rimossi per consentirne il recupero |
| Copia esterna (fornitore e paese diversi) | quotidiana, cifrata prima dell'invio con AES-256: il fornitore che la custodisce non può leggerne il contenuto |
| Rotazione | le copie scadono automaticamente; la cancellazione di un dato si propaga con la rotazione naturale |
| Prova di ripristino | il ripristino è stato eseguito davvero e confrontato con l'originale, non solo pianificato |
6. Sorveglianza
- Controllo di salute giornaliero su entrambi gli ambienti: spazio disco, stato dei servizi, scadenza dei certificati, età dell'ultima copia di sicurezza, esito delle automazioni.
- Controllo automatico ogni 10 minuti: se un servizio risulta fermo viene riavviato una sola volta e viene inviata una segnalazione.
- Sorveglianza esterna indipendente, fuori dalla nostra infrastruttura, che verifica la raggiungibilità dei siti e avvisa se non rispondono.
- Sentinelle sulle copie di sicurezza: se un backup non viene eseguito, il silenzio stesso fa scattare l'avviso. Uno strumento che tace non sta dicendo che va tutto bene.
7. Sicurezza dei server
Accesso amministrativo esclusivamente con chiave crittografica (autenticazione con password disabilitata), accesso diretto dell'utente di sistema privilegiato disabilitato, chiavi custodite in un gestore di segreti e mai come file in chiaro. Doppio firewall (di rete, esterno alla macchina, e di sistema) con sole tre porte pubbliche. Protezione automatica dai tentativi ripetuti di accesso remoto (fail2ban), attiva e verificata su entrambi gli ambienti. Aggiornamenti di sicurezza del sistema operativo applicati periodicamente.
8. Fornitori
I fornitori che trattano dati per conto del titolare sono vincolati da contratti conformi all'art. 28 GDPR e trattano tutti i dati nell'Unione Europea: Hetzner Online GmbH (Germania), Backblaze Inc. (Paesi Bassi, con dati cifrati prima dell'invio), Brevo/Sendinblue SAS (Francia). Nessun dato è ceduto per marketing, profilazione o addestramento di sistemi di intelligenza artificiale.
9. Misure organizzative
Accesso ai dati limitato al personale autorizzato e per le sole finalità del ruolo; ambiente di collaudo alimentato esclusivamente con dati anonimizzati (nomi sostituiti, recapiti resi non recapitabili); documenti legali versionati, con registrazione di chi ha preso visione di quale testo e quando; separazione delle credenziali fra ambienti, così che le utenze di collaudo non possano in alcun caso raggiungere i dati reali.
10. Limiti dichiarati, e cosa succede in caso di violazione
Nessun sistema informatico può essere considerato sicuro al 100%. La normativa non impone un risultato assoluto: impone misure adeguate al rischio e la capacità di dimostrarle — ed è la ragione per cui questo documento esiste.
Le misure sono soggette a revisione periodica. È programmata, prima dell'apertura del portale a utenti esterni, una verifica di sicurezza applicativa strutturata (test di intrusione) sui soli ambienti di collaudo.
In caso di violazione dei dati personali il titolare:
1. contiene l'incidente e ne ricostruisce la portata con il registro delle operazioni e i registri dei sistemi; 2. notifica al Garante per la protezione dei dati personali entro 72 ore dal momento in cui ne viene a conoscenza, quando la violazione presenta un rischio per i diritti degli interessati (art. 33 GDPR); 3. comunica senza ritardo agli interessati l'accaduto, quando la violazione comporta un rischio elevato per i loro diritti e libertà (art. 34 GDPR), indicando natura della violazione, dati coinvolti, conseguenze probabili e misure adottate; 4. documenta ogni violazione — comprese quelle non notificabili — nel proprio registro degli incidenti.
Documento aggiornato al 30 agosto 2026. Le misure descritte sono state verificate sui sistemi in esercizio alla data indicata.