Sicurezza e misure di protezione

Governance e organizzazione (A.5)

• Ruoli e responsabilità definiti: amministratore, moderatore, partner, utente. Ogni ruolo ha permessi minimi necessari.
• Registro dei trattamenti e valutazione d'impatto mantenuti e riesaminati almeno annualmente.
• Fornitori selezionati con accordi di trattamento dei dati e verifica delle sedi di conservazione.

Controllo degli accessi (A.5.15 - A.8.5)

• Autenticazione tramite provider gestito, con possibilità di accesso con Google.
• Autorizzazioni verificate lato server a ogni richiesta: il ruolo non è mai deciso dal browser.
• Regole di sicurezza a livello di database (row level security) su tutte le tabelle applicative, così ogni utente vede solo i propri dati.
• Le funzioni privilegiate sono isolate in uno schema privato e non sono richiamabili dalle applicazioni client.
• Accessi alle sezioni amministrative registrati in un log di audit consultabile solo dagli amministratori.

Crittografia e protezione dei dati (A.8.24)

• Traffico cifrato con HTTPS/TLS su tutte le pagine e le chiamate al backend.
• Dati cifrati a riposo presso il fornitore del database gestito.
• Chiavi e segreti conservati in un archivio dedicato, mai nel codice sorgente né nel bundle inviato al browser.
• I dati completi delle carte di pagamento non transitano né sono conservati sui nostri sistemi: sono gestiti dal fornitore dei pagamenti.
• Le immagini caricate dai partner risiedono in archivi privati accessibili solo tramite collegamenti temporanei.

Sviluppo sicuro e qualità (A.8.25 - A.8.29)

• Validazione degli input sia nel browser sia sul server con schemi tipizzati.
• Webhook dei pagamenti verificati tramite firma prima di qualunque scrittura.
• Test automatici sulle logiche critiche (prezzi, mobilità) eseguiti a ogni modifica.
• Controllo statico dei tipi e scansione periodica delle dipendenze e delle regole di sicurezza del database.

Registrazione, monitoraggio e continuità (A.8.15 - A.8.13)

• Log applicativi e log dei pagamenti con esito, tipologia evento e riferimenti minimi necessari: nessun dato di pagamento completo, nessuna credenziale.
• Log della sincronizzazione del calendario con evidenza di errori e righe problematiche.
• Backup gestiti dal fornitore del database con possibilità di ripristino a un punto nel tempo.
• Conservazione dei log tecnici limitata a 12 mesi.

Gestione degli incidenti (A.5.24 - A.6.8)

• Segnalazione delle anomalie all'indirizzo di contatto istituzionale, con presa in carico e classificazione della gravità.
• In caso di violazione dei dati personali: registrazione nel registro delle violazioni, notifica al Garante entro 72 ore quando ricorrono i presupposti e comunicazione agli interessati in caso di rischio elevato.
• Analisi delle cause e azioni correttive documentate dopo ogni incidente.

L'installazione dell'app è stata bloccata?

Su alcuni telefoni Android (in particolare Samsung) può comparire l'avviso di Google Play Protect «App non sicura bloccata», con il messaggio che l'app è stata sviluppata per una versione precedente di Android. L'avviso riguarda il collegamento che il telefono crea quando aggiungi il sito alla schermata Home, non il sito stesso: Latinaeventi.it viaggia su connessione cifrata, non richiede notifiche, fotocamera o rubrica e non installa alcun programma sul dispositivo.

Per risolvere in un minuto:

• Tocca Ok per chiudere l'avviso e rimuovi dalla schermata Home l'icona di Latinaeventi già presente.
• Dal Play Store aggiorna Google Chrome e i Servizi Google Play.
• Riapri latinaeventi.it in Chrome e scegli di nuovo «Installa app» o «Aggiungi alla schermata Home»: il collegamento viene ricreato aggiornato.
• In alternativa continua a usare il sito direttamente dal browser: funziona esattamente allo stesso modo, senza installare nulla.

Se l'avviso si ripresenta anche dopo la reinstallazione scrivici a info@latinaeventi.it indicando modello del telefono e versione di Android: stiamo valutando la pubblicazione dell'app anche sul Play Store, che elimina l'avviso alla radice.

Segnalare una vulnerabilità

Se individui un problema di sicurezza scrivi a info@latinaeventi.it indicando i passaggi per riprodurlo. Ti chiediamo di non divulgare pubblicamente il problema prima che sia risolto e di non accedere a dati di altri utenti. Rispondiamo in genere entro 5 giorni lavorativi.

Per i dettagli sul trattamento dei dati consulta l'informativa privacy.