Sicurezza
Testo provvisorio, in attesa di verifica legale. Non è la versione definitiva.
Traduzione della versione francese, che sola fa fede.
I vostri dati e quelli dei vostri clienti ci sono affidati. Questa pagina descrive ciò che facciamo per proteggerli. Parla solo di misure già in atto.
Hosting in Francia
I nostri servizi sono ospitati da Scaleway, in Francia. Le e-mail che vi inviamo partono tramite Scaleway, in Francia. Anche i backup sono conservati in Francia.
I vostri dati restano vostri
Ogni account cliente è isolato dagli altri, su due livelli:
- nel codice dell'applicazione, che legge solo i dati dell'account in uso;
- nel database stesso, che rifiuta qualsiasi lettura o scrittura al di fuori dell'account in uso.
Se un errore si insinuasse nel codice, il risultato sarebbe una pagina vuota, non una fuga di dati. Test automatici verificano questo isolamento a ogni modifica del codice, comprese le elaborazioni in background.
Il nostro team non dispone di alcuno strumento per entrare nel vostro account. Se avete bisogno di aiuto, ci mostrate il vostro schermo.
Accesso e account
- Autenticazione a due fattori per tutti gli account, qualunque sia l'abbonamento: app di autenticazione, passkey e codici di recupero.
- Autenticazione a due fattori obbligatoria a scelta: un account può esigerla da tutti i suoi membri.
- Conferma per le azioni sensibili: cambiare un ruolo, esportare dati, modificare l'accesso aziendale o la fatturazione richiede una verifica recente del secondo fattore. La sola password non basta.
- Accesso con Google o Microsoft, senza collegamento automatico a un account esistente sulla sola base dell'indirizzo e-mail.
- Accesso aziendale (SSO) in SAML o OpenID Connect, dopo la verifica del vostro dominio.
- Team interno: l'autenticazione a due fattori è obbligatoria per accedere ai nostri strumenti di amministrazione.
Permessi e chiavi API
- Ogni azione è autorizzata o rifiutata dal server, in base al ruolo della persona.
- Una chiave API viene mostrata una sola volta. Ne conserviamo solo un'impronta. I suoi permessi non superano mai quelli della persona che l'ha creata, e potete revocarla in qualsiasi momento.
Cifratura
- Tutte le connessioni passano in HTTPS.
- Le credenziali dei vostri strumenti collegati (i vostri CRM, ad esempio) sono cifrate nel nostro database.
- I backup sono cifrati prima di lasciare il server.
Registro di audit
Le azioni importanti sono registrate in un registro di audit: chi, cosa, quando, da quale indirizzo. Questo registro non può essere modificato. È conservato tre anni. Potete consultarlo dal vostro account.
I vostri dati, dall'inizio alla fine
- Esportazione completa dei vostri dati in qualsiasi momento, protetta dall'autenticazione a due fattori.
- Cancellazione dei vostri contatti e delle loro risposte 30 giorni dopo la disdetta, dopo avervi lasciato il tempo di esportarli. I nostri backup cifrati si cancellano da soli nei 30 giorni successivi, cioè circa 60 giorni in totale.
Intelligenza artificiale
Alcune analisi utilizzano un'IA: Claude (Anthropic), trattata nell'Unione europea. Prima di qualsiasi invio, rimuoviamo indirizzi e-mail, numeri di telefono, link, coordinate bancarie e nomi noti. Potete disattivare l'IA per il vostro account.
Integrazioni
- I webhook che vi inviamo sono firmati: potete verificare che provengano davvero da noi.
- Il widget integrato nella vostra applicazione verifica l'identità dei vostri utenti tramite una firma calcolata sul vostro server. Non installa alcun cookie.
Errori e monitoraggio
I report degli errori tecnici non contengono né il contenuto delle richieste, né le variabili del programma, né l'identità degli utenti.
Sviluppo
Ogni modifica del codice supera controlli automatici prima di essere rilasciata: test, verifica dell'isolamento tra account, verifica delle licenze.
Segnalare una vulnerabilità
Pensate di aver trovato una falla? Grazie di segnalarcela a security@scaliamo.com. La nostra politica di divulgazione delle vulnerabilità spiega come fare e che cosa ci impegniamo a fare in cambio.