Sicurezza e fiducia

1. Riepilogo di una pagina

Nose for Horse (di seguito “Nose”) è un prodotto in fase iniziale. Oggi non disponiamo della certificazione SOC 2 o ISO 27001 e non abbiamo ancora commissionato un test di penetrazione esterno. Questa pagina descrive cosa conserviamo, dove viene eseguito e le classi di controllo che lo proteggono, così che un maneggio attento alla sicurezza possa decidere con cognizione di causa.

• Chi siamo. Nose è un software per la gestione di una scuola di equitazione: programmazione delle lezioni, monitoraggio delle presenze e delle modalità di pagamento dei cavalieri, gestione di pacchetti lezioni e buoni regalo, calcolo dei guadagni degli istruttori e possibilità, per i clienti di un maneggio, di vedere le proprie prenotazioni. È gestito da DF Daniel Fojcik, una ditta individuale polacca (NIP 6472592229 / REGON 387798601, Marklowice), che opera con il nome commerciale Nose for Horse.
• I nostri due ruoli. Siamo il titolare del trattamento per i nostri dati di account, analisi e sicurezza e un responsabile del trattamento che agisce in base alle istruzioni di ciascun maneggio per i dati del cavaliere/cliente immessi dal maneggio. Il rapporto in qualità di responsabile del trattamento è regolato dal nostro Accordo sul trattamento dei dati (DPA). Vedi la sezione “Inquadramento della conformità” di seguito.
• Cosa conserviamo. E-mail dell'account e nome/telefono del profilo opzionale; indirizzi email di invito; i registri operativi che un maneggio inserisce sui propri cavalieri (nomi, contatti, partecipazione alle lezioni, pacchetti lezioni/buoni regalo, etichette per il tracciamento dei pagamenti, note di testo libero); PIN del calendario e token di invito archiviati solo come hash unidirezionali. Non conserviamo dati bancari o di carte di pagamento e nemmeno dati sanitari. Inventario completo nella sezione "Dati in nostro possesso" di seguito.
• Cosa lo protegge. Crittografia in transito e a riposo; isolamento dei tenant applicato nel database stesso; convalida della sessione lato server; riautenticazione rafforzata (step-up) per azioni distruttive e amministrative; una rigorosa Content Security Policy; rate limiting e protezione dai bot; e un registro di controllo di sola aggiunta. Vedi "Misure tecniche" di seguito.
• Dove viene eseguito. Su più di una regione di dati, e aggiungiamo regioni man mano che cresciamo. I dati dei clienti dei maneggi nella regione USA sono archiviati negli Stati Uniti. Il Servizio è gestito, amministrato e supportato dall'interno dell'Unione europea. I maneggi nella nostra regione UE sono serviti dal SEE. Alcuni servizi sono condivisi da entrambe le regioni e sono eseguiti nel SEE — e-mail transazionali, monitoraggio degli errori, analisi del prodotto — e alcuni componenti sono eseguiti a livello globale. Le regioni e i meccanismi di trasferimento dei singoli fornitori si trovano nella pagina Sub-responsabili del trattamento.
• Ciò che non abbiamo ancora. Nessun SOC 2, ISO 27001 o test di penetrazione esterno. Se oggi il tuo processo di approvvigionamento richiede uno di questi, non siamo ancora la soluzione giusta.
• Come contattarci in merito alla sicurezza. Invia un'e-mail a support@nose.horse con `Security` nella riga dell'oggetto. Vedi “Risposta all'incidente (notifica di violazione entro 72 ore)” e “Divulgazione responsabile” di seguito.

2. Dati in nostro possesso

Raccogliamo il minimo necessario per eseguire il Servizio. Le categorie seguenti sono i dati personali che toccano Nose.

Dove una riga indica la regione del tuo maneggio, si tratta della regione UE o della regione USA — stabilita al momento della creazione del maneggio e descritta in "Infrastruttura: chi gestisce cosa e dove" di seguito.

Ciò che non conserviamo

• Nessun dato di carte di pagamento o bancario. Nose non è mai parte di un pagamento e non gestisce mai i dati della carta. I metodi offline ("contanti", "pacchetto", "buono regalo", "bonifico") sono etichette di tracciamento registrate da un maneggio — non transazioni eseguite da Nose. Per la fatturazione dell'abbonamento del maneggio (Stripe per i maneggi polacchi, Dodo Payments come Merchant of Record per i maneggi non polacchi) e per i pagamenti online dei cavalieri, quando un maneggio li attiva (Stripe, con liquidazione sull'account proprio del maneggio), i dati della carta vengono gestiti interamente sul checkout del fornitore di servizi di pagamento e non ci raggiungono mai — quindi rimaniamo fuori dall'ambito PCI DSS (vedi “Inquadramento della conformità” di seguito).
• Nessun documento d'identità o indirizzo. Non raccogliamo indirizzi di casa, numeri di documenti d'identità o identificatori governativi.
• Nessun dato di categorie speciali (salute). Non intendiamo raccogliere dati ai sensi dell'articolo 9 GDPR e il prodotto non è progettato per memorizzarli. Ai maneggi viene richiesto (nel DPA) di non inserire dati di categorie speciali nei campi di testo libero. Le note su un cavallo riguardano un animale, non una persona, e non rientrano nell'ambito del GDPR.
• Nessun profilo pubblicitario, identificatore di retargeting o tracciamento tra siti. Nessun pixel Meta/LinkedIn/X/TikTok; nessun fingerprinting del browser.
• Nessun dato venduto, affittato o prestato a terzi.
• Nessun addestramento dei modelli AI/ML sui tuoi dati. Non addestriamo, perfezioniamo o valutiamo alcun modello di intelligenza artificiale o di apprendimento automatico sui dati personali estratti da Nose.

3. Infrastruttura: chi gestisce cosa e dove

Nose è ospitato su un'infrastruttura cloud gestita, con un piccolo insieme di provider specializzati ("sub-responsabili del trattamento"), ciascuno dei quali gestisce una fetta ristretta. Nessuno ha accesso end-to-end a tutto. Nose opera in due regioni di dati: una regione UE e una regione USA. I dati dei clienti dei maneggi nella regione USA sono archiviati negli Stati Uniti. Il Servizio è gestito, amministrato e supportato dall'interno dell'Unione europea. I dati operativi di un maneggio si trovano esclusivamente nel database della sua stessa regione — non c'è replica tra le regioni né alcun percorso applicativo che legga dall'una all'altra. Tre servizi sono condivisi da entrambe le regioni e restano nel SEE — e-mail transazionali, monitoraggio degli errori e analisi del prodotto.

L'elenco canonico e sempre aggiornato dei fornitori — con lo scopo, le categorie di dati personali, la regione di trattamento per ciascuna regione di dati e il meccanismo di trasferimento di ciascuno — è la pagina Sub-responsabili del trattamento. L'Informativa sulla privacy e il DPA si collegano alla stessa fonte anziché conservare copie divergenti, e così fa anche questa pagina.

4. Misure tecniche

Queste sono le classi di controllo effettivamente in atto oggi. Questa è anche la sostanza alla base del DPA → "Riservatezza, sicurezza e sub-responsabili del trattamento", che indica qui le nostre misure tecniche e organizzative.

Rete e trasporto

• TLS per tutto il traffico, con preload HSTS.
• Nessun contenuto misto: la Content Security Policy rifiuta le risorse non sicure.

Isolamento e autorizzazione del tenant

• Sicurezza a livello di riga limitata a ciascun maneggio su ogni tabella operativa, applicata nel database stesso: i dati di un maneggio non possono essere letti da un altro anche se il codice dell'applicazione presenta un bug. Questa è la principale difesa tra tenant.
• Controlli di ruolo a livello applicativo come difesa in profondità sopra l'isolamento a livello di database, mai come unica linea.

Autenticazione

• Accesso senza password: link magico via e-mail o accesso opzionale con Google o Apple. Nessuna password viene memorizzata.
• Convalida della sessione lato server su ogni richiesta protetta: il solo cookie di accesso non è mai considerato attendibile.
• Riautenticazione step-up per azioni distruttive e amministrative; in assenza di step-up, o se è scaduto, l'operazione viene rifiutata.

Segreti e gestione delle credenziali

• I PIN del calendario e i token di invito vengono archiviati solo come hash unidirezionali; i token di invito sono monouso e limitati nel tempo e i token grezzi non vengono mai conservati.
• Le credenziali di servizio privilegiate sono riservate al server: non vengono mai inviate al browser; un controllo in fase di build lo garantisce.

Gestione degli input e degli output

• Ogni input del server è convalidato rispetto a uno schema: la convalida lato client viene trattata solo come UX; il server è il confine di fiducia.
• Una rigorosa Content Security Policy e un set rafforzato di intestazioni di sicurezza vengono applicati a ogni risposta.
• Escaping automatico dell'output; in questa fase il contenuto creato dall'utente è testo semplice.

Protezione da abusi e bot

• Rate limiting e protezione dai bot vengono applicati agli endpoint di autenticazione e ad altri endpoint sensibili.

Dati a riposo e traccia di audit

• Crittografia a riposo sul database e sull'archiviazione dei file.
• Un registro di controllo di sola aggiunta registra eventi rilevanti per la sicurezza (autenticazione, modifiche di ruolo e appartenenza, eventi finanziari, esportazioni, eliminazioni). È sempre scritto ed è distinto dalla telemetria operativa.
• Monitoraggio degli errori con la pulizia dei dati personali: i dati personali vengono rimossi dalle segnalazioni di errore prima che lascino i nostri sistemi; ciò che rimane è il contesto tecnico più identificatori pseudonimi.

Backup e ripristino

• Backup giornalieri automatizzati del database con una finestra di conservazione a scorrimento. I deployment precedenti vengono conservati in modo che una release difettosa possa essere ripristinata rapidamente.

5. Misure organizzative

• I dati di produzione rimangono sull'infrastruttura gestita. I dump del database di produzione non vengono archiviati sulle macchine locali; lo sviluppo locale utilizza un database separato con dati sintetici.
• Privilegio minimo per gli account di servizio. Le credenziali privilegiate sono limitate al solo utilizzo lato server; l'accesso al database dal browser passa attraverso una chiave limitata, protetta dalla sicurezza a livello di riga.
• Registrazione degli accessi lato provider. Le azioni amministrative sui nostri provider vengono registrate da tali provider e riesaminate.
• Riservatezza. Chiunque abbia accesso alla produzione è tenuto alla riservatezza in merito ai dati personali trattati attraverso il Servizio, come indicato nel DPA.

6. Risposta all'incidente (notifica di violazione entro 72 ore)

Monitoraggio. Gli errori e gli eventi rilevanti per la sicurezza sono monitorati e il registro di controllo di sola aggiunta fornisce una registrazione duratura a scopo di indagine.

Il nostro impegno di notifica delle violazioni. Se si verifica una violazione dei dati personali che potrebbe comportare un rischio per i diritti e le libertà delle persone interessate, ci impegniamo a:

• Informare l'autorità di controllo competente — il presidente di UODO in Polonia — senza indebito ritardo e, ove possibile, entro 72 ore dal venire a conoscenza della violazione (articolo 33 GDPR).
• *Laddove la violazione possa comportare un rischio elevato* per le persone interessate, informarle senza indebito ritardo, descrivendo la natura della violazione, le categorie di dati coinvolti, le probabili conseguenze e le misure adottate (articolo 34 GDPR**).
• Quando agiamo in qualità di responsabile del trattamento per un maneggio, informare tale maneggio (il titolare del trattamento) senza indebito ritardo in modo che possa adempiere ai propri obblighi ai sensi dell'articolo 33/34 nei confronti dei suoi cavalieri.

Ciò rispecchia l'Informativa sulla privacy e il DPA. Indica come attuiamo un obbligo già imposto dal GDPR: non si tratta di una promessa contrattuale aggiuntiva rispetto al GDPR.

Contatto. Non urgente: support@nose.horse. Sicurezza (urgente): invia un'e-mail a support@nose.horse con `Security` nella riga dell'oggetto.

7. Ciò che non abbiamo ancora

Non disponiamo ancora della certificazione SOC 2 o ISO 27001 e non abbiamo ancora commissionato un test di penetrazione esterno. Pubblichiamo una certificazione quando la otteniamo, non prima. Se oggi il processo di approvvigionamento di un potenziale maneggio richiede uno di questi, al momento non siamo la soluzione giusta: lo diremo, anziché far arenare la conversazione.

8. Inquadramento della conformità

GDPR (Regolamento 2016/679). Nose opera sotto un doppio ruolo: titolare del trattamento per i dati di cui determina scopi e mezzi (visitatori del nostro sito di marketing, dati di account/contatto di amministratori e istruttori dei maneggi, identità di accesso di ogni titolare di account qualunque sia il suo ruolo, analisi del prodotto e dati di sicurezza/prevenzione degli abusi) e responsabile del trattamento dei dati operativi del cavaliere/cliente immessi da un maneggio: lì, il maneggio è il titolare del trattamento e Nose tratta secondo le istruzioni documentate del maneggio ai sensi del DPA (articolo 28 GDPR). I sub-responsabili del trattamento operano in base ai contratti previsti dall'articolo 28 (DPA + SCC/DPF, l'addendum del Regno Unito o un meccanismo equivalente laddove un trasferimento attraversa le regioni) — consulta la pagina Sub-responsabili del trattamento.

Dati dei bambini. I maneggi insegnano regolarmente ai bambini, quindi Nose tratta consapevolmente i dati dei minori per conto di un maneggio (ad esempio, un bambino inserito come partecipante alla lezione, spesso da un genitore cliente del maneggio). Il maneggio è responsabile della base giuridica e di qualsiasi consenso o autorità genitoriale richiesti dalla legge ad esso applicabile (articolo 8 GDPR nell'UE e nel Regno Unito; COPPA e legge statale negli Stati Uniti); Nose riduce al minimo ciò che viene conservato su un bambino e non si rivolge ai bambini né fa marketing diretto nei loro confronti. Consulta l'Informativa sulla privacy → “Privacy dei bambini”.

Sono supportati i diritti dell'interessato, incluso l'accesso/portabilità self-service tramite un'esportazione JSON su /account/export e la cancellazione tramite /account/delete (si applicano un periodo di grazia reversibile di 30 giorni e una riautenticazione rafforzata; in caso di cancellazione rimuoviamo gli identificatori diretti anziché eliminarli definitivamente — pseudonimizzazione ai sensi dell'articolo 4, paragrafo 5, GDPR, non anonimizzazione completa ai sensi del considerando 26; consulta la tabella di conservazione nell'Informativa sulla privacy → “Per quanto tempo conserviamo i dati” per il dettaglio a livello di campo). Per i dati del cavaliere, il titolare del trattamento è il maneggio, quindi un cavaliere esercita diritti nei confronti del suo maneggio e Nose lo assiste come responsabile del trattamento; fa eccezione l'identità di accesso del cavaliere, di cui Nose è titolare del trattamento, per cui i relativi diritti si esercitano direttamente nei confronti di Nose.

PCI DSS — non applicabile a Nose. Non gestiamo, archiviamo o trasmettiamo i dati della carta. Per la fatturazione dell'abbonamento del maneggio, il percorso dei dati della carta è interamente a carico del fornitore di servizi di pagamento, sul suo checkout ospitato — Stripe (processore dei pagamenti) per i maneggi polacchi, con Nose come commerciante, e Dodo Payments come Merchant of Record per i maneggi non polacchi. Per i pagamenti online dei cavalieri, quando un maneggio li attiva, i dati di carta, portafoglio o (in Polonia) BLIK vengono trasmessi interamente da Stripe (tramite Stripe Connect) e confluiscono sull'account Stripe proprio del maneggio — il maneggio è il commerciante e Stripe è il processore dei pagamenti conforme allo standard PCI, mentre Nose si limita a trasmettere le istruzioni e non riceve mai i dati della carta. In ogni caso Nose non riceve mai i dati della carta e rimane fuori dall'ambito PCI.

Regolamento UE sull'intelligenza artificiale (AI Act) — non applicabile. Nose è uno strumento operativo per i maneggi; non addestra, sviluppa o distribuisce modelli di intelligenza artificiale e nessun componente utilizza l'apprendimento automatico o l'intelligenza artificiale generativa per trattare i dati personali. Se ciò dovesse cambiare, pubblicheremo una posizione sul regolamento UE sull'intelligenza artificiale e un impegno a "nessun addestramento su dati personali" prima del rilascio della funzionalità.

ePrivacy/cookie. Le analisi facoltative vengono caricate solo previo consenso (negli Stati Uniti: finché non le disattivi); i cookie strettamente necessari sono esenti ai sensi dell'articolo 5, paragrafo 3, della direttiva ePrivacy. Consulta l'Informativa sui cookie.

9. Divulgazione responsabile

Se ritieni di aver trovato una vulnerabilità di sicurezza in Nose:

• Invia un'e-mail a [support@nose.horse](mailto:support@nose.horse) con `Security` nella riga dell'oggetto. (Sono previsti un indirizzo `security@` dedicato e una chiave PGP.)
• Includi dettagli sufficienti per riprodurre il problema.
• Concedici un periodo ragionevole per indagare e porre rimedio prima di qualsiasi divulgazione pubblica.

Cosa puoi aspettarti da noi:

• Un riconoscimento e una valutazione iniziale non appena ragionevolmente possibile; non lasceremo che una segnalazione credibile resti senza risposta.
• Lo stato viene aggiornato a intervalli ragionevoli durante la valutazione o la risoluzione del problema.
• Un riconoscimento (credit) in qualsiasi divulgazione successiva alla correzione, se lo desideri (facoltativo). Non offriamo ricompense in denaro per le segnalazioni.

Ambito e porto sicuro. La ricerca sulla sicurezza in buona fede che segue questa politica, rimane all'interno dei tuoi account, evita di degradare il Servizio per altri e non accede a dati diversi dai tuoi non sarà trattata come una violazione della nostra Politica di utilizzo accettabile o dei Termini di servizio. Non tentare di accedere ai dati di un altro maneggio o di un altro cavaliere e non eseguire test automatizzati di scraping o di negazione del servizio contro il Servizio.

10. Registro delle modifiche