Sicurezza e conformità

Come la piattaforma è realmente costruita e gestita: dove risiedono i vostri dati, chi può accedervi e che cosa abbiamo e non abbiamo predisposto. Dove manca una garanzia, questa pagina lo dice.

AES-256A riposoTLS 1.3In transito99.9%+Obiettivo uptime

Ultimo aggiornamento: 1° settembre 2026

Infrastruttura e hosting

Residenza dati europea

La banca dati, l'archiviazione dei file e le copie di sicurezza sono ospitate nell'Unione europea, presso fornitori di infrastruttura in possesso delle certificazioni ISO 27001 e SOC 2 Type II. Sono le loro certificazioni, non le nostre. Alcuni servizi specializzati che utilizziamo — pagamenti, recapito e-mail, monitoraggio degli errori, mappe — sono stabiliti negli Stati Uniti e vi ricevono dati nell'ambito della loro funzione; ciascuno di essi, e la relativa base del trasferimento, è indicato nella nostra informativa sulla privacy e nel contratto di responsabile del trattamento.

Architettura ad alta disponibilità

Il nostro fornitore di banca dati mantiene copie di sicurezza cifrate secondo un ciclo continuo, dalle quali il servizio può essere ripristinato dopo un guasto. Per essere precisi sui limiti: siamo su un piano privo di ripristino a un istante specifico, quindi il ripristino avviene a un punto di backup e non a un momento arbitrario, e non gestiamo alcun failover automatico multizona. Pubblichiamo obiettivi di disponibilità per piano nella nostra dichiarazione sui livelli di servizio; sono obiettivi a cui tendiamo, non una garanzia misurata.

Distribuzione dei contenuti

Gli asset statici e i profili pubblici delle scuole sono serviti tramite una rete edge globale per tempi di caricamento rapidi in tutto il mondo, mentre tutto il trattamento e l'archiviazione dei dati dinamici rimane all'interno dei confini dell'infrastruttura europea.

Crittografia

Dati in transito

Tutti i dati trasmessi tra il tuo browser e i nostri server sono crittografati usando TLS 1.3 con suite di cifratura moderne. Imponiamo HTTPS su tutti gli endpoint e implementiamo HTTP Strict Transport Security (HSTS) con una durata minima di 1 anno.

Dati a riposo

Tutti i dati conservati nella nostra banca dati Postgres gestita sono cifrati a riposo con AES-256, forniti dai nostri fornitori di infrastruttura (Supabase su AWS). Le istantanee di backup sono cifrate con lo stesso schema. La gestione delle chiavi è svolta da tali fornitori a livello di piattaforma; non deteniamo né ruotiamo noi stessi le chiavi.

Gestione dei dati sensibili

Le credenziali di autenticazione sono hashate usando bcrypt con fattori di costo appropriati. Le chiavi API sono hashate con SHA-256 prima dell'archiviazione — non possiamo recuperare il testo in chiaro, solo verificarlo all'uso. I secret di firma webhook e i refresh token OAuth sono archiviati nel nostro database Postgres gestito, crittografati a riposo dai nostri provider di infrastruttura. I dati delle carte di pagamento non sono mai archiviati sui nostri server — sono gestiti interamente da Stripe (certificato PCI DSS Livello 1).

Controlli di accesso

Controllo degli accessi basato sui ruoli (RBAC)

All'interno di una scuola l'accesso segue il ruolo assegnato a ciascun membro. Sono in uso tre ruoli: Proprietario, detenuto da una sola persona per scuola e trasferito anziché concesso; Amministratore, cogestore a pieno titolo che può fare tutto tranne cambiare chi altri è amministratore o trasferire la proprietà; ed Editore, per i contenuti e il lavoro quotidiano. I permessi sono applicati due volte — nelle azioni server e di nuovo nella banca dati — perché un'azione server è un endpoint pubblico e nascondere un pulsante non impedisce nulla.

Row Level Security (RLS)

La banca dati implementa la sicurezza a livello di riga di PostgreSQL, così ogni query è filtrata nella banca dati anziché dal codice applicativo. Una scuola raggiunge soltanto le proprie richieste, prenotazioni, statistiche e impostazioni — e tale isolamento regge anche se il codice applicativo è difettoso, che è precisamente il motivo per cui è realizzato lì e non nello strato delle query.

Sicurezza dell'autenticazione

Supportiamo l'autenticazione email/password con politiche di password obbligatorie, autenticazione magic link per accesso senza password e flussi di invito al team con verifica basata su token sicuri. Tutte le sessioni utilizzano token JWT a breve durata con refresh automatico.

Audit e monitoraggio

Registrazione delle attività

Le operazioni significative della piattaforma sono scritte in un giornale di controllo: eventi di autenticazione, operazioni amministrative, accessi dell'assistenza alla dashboard di una scuola e modifiche degli account. Il giornale non è scrivibile né leggibile da alcun account utente — una regola della banca dati blocca ogni accesso al di fuori del ruolo di servizio — e le voci non sono eliminate: la registrazione permane anziché scadere secondo un calendario.

Monitoraggio in tempo reale

La nostra infrastruttura è monitorata continuamente per prestazioni, disponibilità e anomalie di sicurezza. Gli avvisi automatici attivano il nostro processo di risposta agli incidenti per qualsiasi irregolarità rilevata, inclusi modelli di accesso insoliti o potenziali minacce alla sicurezza.

Quadro giuridico

Legge federale svizzera sulla protezione dei dati (LPD)

Swiss Private Schools è costruita per conformarsi alla legge federale riveduta sulla protezione dei dati (nLPD), in vigore dal 1° settembre 2023. Applichiamo la protezione dei dati fin dalla progettazione e la minimizzazione, cifriamo i dati personali in transito e a riposo e limitiamo l'accesso allo stretto necessario. Non abbiamo svolto una valutazione d'impatto formale sulla protezione dei dati; se ne occorra una per il trattamento di dati di minori e sulla salute è una questione attualmente affidata a un legale esterno.

Regolamento generale sulla protezione dei dati (GDPR) dell'UE

Allineiamo il trattamento dei dati personali dei residenti UE al GDPR. Ciò include il rispetto dei diritti degli interessati (accesso, rettifica, cancellazione e portabilità), il mantenimento di una base giuridica per il trattamento e l'applicazione della protezione dei dati by design e by default.

Ciò che non possediamo

Non possediamo ISO 27001, SOC 2 né certificazioni equivalenti in proprio, non commissioniamo test di penetrazione esterni secondo un calendario e non svolgiamo alcuna revisione periodica formale dei nostri sub-responsabili. I nostri fornitori di infrastruttura possiedono tali certificazioni; noi no, e preferiamo che lo sappiate anziché dedurre il contrario dalle certificazioni citate sopra. La nostra garanzia poggia sulle misure architetturali descritte in questa pagina, su test automatizzati eseguiti prima di ogni rilascio e sul monitoraggio continuo degli errori. Se i vostri acquisti richiedono un responsabile certificato, ditecelo prima di abbonarvi.

Risposta agli incidenti

Processo di risposta

La piattaforma è monitorata di continuo e gli avvisi ci raggiungono automaticamente. Siamo una struttura piccola, quindi non promettiamo un tempo di rilevamento o di contenimento: ciò a cui ci impegniamo è che un incidente che tocca il servizio o i dati diventi la priorità della giornata, prima di qualsiasi lavoro sulle funzionalità, e che abbiate nostre notizie mentre ci stiamo lavorando anziché dopo.

Impegno di notifica

In caso di violazione dei dati che interessi la tua istituzione, ti notificheremo entro 72 ore dalla conferma, in conformità con i requisiti della LPD e del GDPR. Le notifiche includono la natura e la portata della violazione, le azioni intraprese e le raccomandazioni per i tuoi obblighi di notifica.

Miglioramento continuo

Ogni incidente di sicurezza è riesaminato successivamente, e quanto appreso rientra nei controlli, nel modello di minaccia e nel monitoraggio. Attualmente non pubblichiamo un rapporto di trasparenza periodico; se siete coinvolti in un incidente lo saprete direttamente, e ogni scuola può chiederci che cosa sia accaduto in un dato periodo.

Divulgazione responsabile

Ricerca sulla sicurezza

Accogliamo la ricerca responsabile sulla sicurezza. Se scopri una potenziale vulnerabilità, segnalala a security@swissprivate-schools.ch. Ci impegniamo a confermare la ricezione dei rapporti entro 24 ore e a fornire una valutazione iniziale entro 5 giorni lavorativi.

Porto sicuro

Non intraprenderemo azioni legali contro i ricercatori di sicurezza che agiscono in buona fede, seguono pratiche di divulgazione responsabile e ci danno un tempo ragionevole per affrontare le vulnerabilità segnalate prima della divulgazione pubblica.

Hosting nell'UE, governance svizzera

Swiss Private Schools è impegnata nei più alti standard di sicurezza dei dati e privacy. Tutti i dati personali sono elaborati all'interno dell'infrastruttura europea con residenza dati nell'UE (Francoforte), protetti dalle leggi svizzere e UE sulla protezione dei dati.

Le nostre pratiche di sicurezza sono regolarmente riviste e aggiornate per affrontare le minacce in evoluzione e i requisiti normativi. Per richieste sulla sicurezza, contatta il nostro team all'indirizzo security@swissprivate-schools.ch.

Sicurezza e conformità

Come la piattaforma è realmente costruita e gestita: dove risiedono i vostri dati, chi può accedervi e che cosa abbiamo e non abbiamo predisposto. Dove manca una garanzia, questa pagina lo dice.