Sicurezza & privacy

1. Principi

• Integrità: Le evidenze sono progettate per rimanere tracciabili e rendere rilevabili modifiche successive (es. tramite hash/riferimenti, a seconda del setup).
• Riservatezza: L’accesso alle aree protette è basato su ruoli e permessi. Gli accessi seguono il principio del “need-to-know”.
• Disponibilità: L’operatività mira a disponibilità stabile, deploy tracciabili e gestione rapida degli incidenti.
• Minimizzazione dati: Trattiamo e conserviamo solo i dati necessari a fornire il servizio. Ambito e dettagli dipendono da funzionalità e uso.

2. Controllo accessi & ruoli (RBAC)

Accesso account e funzioni amministrative tramite autenticazione e gestione sessione. I permessi nelle organizzazioni sono basati su ruoli (RBAC). Azioni sensibili (emissione/modifica/revoca, import massivo, integrazioni) sono verificate lato server e protette da esecuzione non autorizzata.

3. Sicurezza di trasporto & comunicazioni

I dati in transito sono tipicamente protetti via TLS. Per integrazioni (API/webhooks) possono essere usati meccanismi di autenticazione e firma a seconda del setup (chiavi/secret API, firme webhooks). I dettagli possono variare per hosting/setup.

4. Storage dati & documenti (off-chain)

Documenti/allegati (es. PDF) sono tipicamente salvati off-chain e collegati tramite riferimenti. L’accesso è controllato da permessi; le pagine pubbliche di verifica applicano minimizzazione dati mostrando solo il contesto necessario. A seconda del setup, possono essere usati accessi a tempo o recuperi token-based.

5. Logging, audit trail & prevenzione abusi

Possono essere generati log tecnici (es. log server) per analisi errori, stabilità e rilevamento attacchi. Inoltre può essere mantenuto un audit trail di azioni rilevanti (emissione, cambi stato, import massivo, delivery webhooks) per tracciabilità e rilevamento abusi. Per dettagli sui dati personali, consulta la Informativa sulla privacy.

6. Integrità, verifica & riferimenti blockchain

Certifylize può usare meccanismi di integrità come checksum crittografiche (hash), riferimenti e—secondo il caso d’uso—anchoring blockchain. Importante: la verifica è un controllo tecnico di coerenza/integrità e non sostituisce valutazioni legali o regolatorie. Livelli di sicurezza (es. S1–S4) possono offrire caratteristiche diverse in base alla configurazione.

7. Responsabilità (issuer/verifier)

Clienti/emittenti sono responsabili dei contenuti inseriti in prove/certificati e metadati (dati prodotto, documenti, dichiarazioni, validità) e della conformità dei processi quando sono coinvolti dati personali. I verificatori dovrebbero richiedere prove aggiuntive nei casi critici. Certifylize fornisce la piattaforma tecnica, i percorsi di verifica e le interfacce di integrazione.

8. Segnalazione vulnerabilità

Se ritieni di aver trovato un problema di sicurezza, contattaci a support@certifylize.com. Per favore non inviare dati sensibili non cifrati.