Sicurezza e controlli

Tutte le comunicazioni avvengono su TLS. I dati a riposo sono cifrati dai fornitori di infrastruttura (Convex, Vercel).

Dettagli sulle chiavi e sulla gestione della cifratura a riposo: i dati a riposo sono cifrati con algoritmi standard di settore (AES-256) dai fornitori di infrastruttura e le chiavi sono gestite da questi ultimi; OneSpec non ha accesso alle chiavi e non ne conserva copia.

Accesso basato su ruoli (titolare, amministratore, membro) con verifica lato server su ogni operazione. Ogni record sensibile è associato all'organizzazione e le query sono isolate per organizzazione.

Un unico super-amministratore di piattaforma è definito tramite lista di indirizzi email in variabile d'ambiente.

Gestione delle sessioni con possibilità di revoca dei singoli dispositivi e disconnessione da tutti i dispositivi.

Le chiavi e i segreti sono gestiti tramite variabili d'ambiente della piattaforma di deployment e non sono presenti nel codice, nei log o nelle risposte di errore.

L'applicazione applica HSTS, X-Content-Type-Options, Referrer-Policy, Permissions-Policy e una Content-Security-Policy che vieta l'incorporamento dell'area riservata. Il widget usa una CSP dedicata con elenco dei domini autorizzati per organizzazione.

Limiti applicati a: accesso, invio di preventivi dal widget (per IP e per configuratore), esportazioni dati. Verifica anti-bot Cloudflare Turnstile sugli invii del widget.

Le azioni amministrative e le operazioni sensibili (pubblicazione cataloghi, cambi di stato, esportazioni, richieste di cancellazione) sono registrate con attore, oggetto e momento.

I backup e il ripristino sono gestiti dal fornitore del database. Politica di backup, obiettivi RPO/RTO e test di ripristino periodici: il fornitore esegue backup dell'infrastruttura e OneSpec può esportare i dati; non sono al momento garantiti obiettivi contrattuali di RPO/RTO, che vengono verificati periodicamente e comunicati su richiesta.

Scansione delle dipendenze e dei segreti, aggiornamenti e revisione di sicurezza prima dei rilasci.

Runbook di risposta agli incidenti e tempi di notifica: in caso di violazione di dati personali OneSpec avvia la procedura interna di contenimento e analisi e ne dà comunicazione al Cliente senza ingiustificato ritardo e comunque entro 72 ore dalla scoperta, affinché possa adempiere agli obblighi dell'art. 33 GDPR.

Per segnalazioni di sicurezza: hello@onespec.eu.

Per questioni contrattuali, contestazioni o comunicazioni legali relative al presente documento: office@core829.net.

Per richieste commerciali: sales@core829.net. Per assistenza sul servizio e richieste di piani Enterprise personalizzati: hello@onespec.eu.