Misure tecniche e organizzative (TOM)

1. Ambito di applicazione e struttura

• Società: CreatorFlow Labs S.L., Madrid, Spagna. Siamo un piccolo team che lavora interamente da remoto. Non gestiamo server propri, sale server o una rete aziendale d'ufficio, e nessun dato personale è conservato nei locali aziendali.
• Hosting: L'intero servizio funziona su Amazon Web Services (AWS) nell'Unione europea, regione eu-west-1 (Irlanda). Applicazione, database, cache, archiviazione a oggetti e backup si trovano tutti in questa regione.
• Dati trattati: Nomi utente Instagram e identificativi pubblici del profilo, testo dei commenti e dei messaggi privati che attivano le automazioni o che ne derivano, indirizzi email raccolti tramite le automazioni, eventi di clic sui link e dati dell'account e di fatturazione dei clienti. Non è previsto il trattamento di categorie particolari di dati personali ai sensi dell'art. 9 del GDPR.
• Responsabilità condivisa: La sicurezza fisica e ambientale dei data center è fornita da AWS. Tutto ciò che va dal sistema operativo in su è gestito da CreatorFlow. Ogni sezione che segue indica a quale delle due parti spetta ciascun controllo.

2. Controllo degli accessi fisici (Zutrittskontrolle)

• Locali aziendali: Non applicabile. Nei locali di CreatorFlow non si trovano server, apparati di rete o supporti di memorizzazione che contengono dati personali. Per questo non si applicano a noi le sale server chiudibili a chiave, gli armadi per server, la gestione delle chiavi, i registri dei visitatori, i sistemi di allarme e le regole per il personale delle pulizie o della manutenzione.
• Data center (AWS): Misura ereditata da AWS. I data center di AWS adottano sicurezza perimetrale, controllo degli accessi tramite badge e sistemi biometrici, accompagnamento dei visitatori, videosorveglianza e registrazione degli accessi. Questi controlli sono sottoposti ad audit secondo ISO 27001 e SOC 2. I report sono disponibili per i clienti su richiesta, tramite noi o direttamente su AWS Artifact.
• Alimentazione di emergenza e protezione antincendio: Misura ereditata da AWS. I data center dispongono di linee di alimentazione ridondanti, gruppi di continuità e generatori, oltre a sistemi automatici di rilevamento e spegnimento degli incendi. Queste misure rientrano negli stessi report di audit.

3. Controllo degli accessi ai sistemi (Zugangskontrolle)

• Autenticazione dei clienti: I clienti accedono con indirizzo email e password oppure tramite l'accesso con Google. Il modulo di registrazione richiede password di almeno 8 caratteri. Al momento questo minimo è imposto solo nel browser, non lato server. Le password sono conservate come hash con salt, mai in chiaro. Il passaggio a un algoritmo moderno di hashing delle password (bcrypt o argon2) è registrato tra i punti aperti. I nuovi account vengono creati dopo un controllo reCAPTCHA. Al momento non viene imposta la conferma dell'indirizzo email prima del primo utilizzo.
• Sessioni: Le sessioni sono conservate lato server e identificate da un cookie firmato con flag HttpOnly, valido solo per il nostro dominio, che scade dopo 7 giorni. Il flag Secure non è ancora impostato su questo cookie. La sua aggiunta fa parte della nostra roadmap di sicurezza. La modifica della password chiude la sessione corrente e revoca i token «ricordami», ma al momento non chiude le altre sessioni attive su altri dispositivi. Se è un amministratore a modificare l'indirizzo email dell'account, tutte le sessioni di quell'utente vengono invalidate.
• Blocco dell'account: Il blocco automatico dell'account dopo ripetuti tentativi di accesso non riusciti non è ancora attivo. Ulteriori protezioni contro gli abusi in fase di accesso fanno parte della nostra roadmap di sicurezza. I link per reimpostare la password vengono inviati solo all'indirizzo email registrato per l'account.
• Accesso a Instagram: Non chiediamo né conserviamo mai le password di Instagram. Gli account Instagram vengono collegati tramite il flusso OAuth 2.0 ufficiale di Meta. I token di accesso ottenuti vengono cifrati a livello applicativo (AES-256) prima di essere conservati.
• Accesso del personale e accesso all'infrastruttura: L'accesso alla console AWS, ai server e alle funzioni amministrative è limitato al personale designato nominativamente, con credenziali individuali. L'accesso ai server avviene tramite SSH con chiavi individuali. All'interno dell'applicazione, le funzioni amministrative sono riservate a un unico account amministratore inserito in un elenco di account autorizzati e sono soggette a limiti di frequenza.

4. Controllo degli accessi ai dati (Zugriffskontrolle)

• Delimitazione per tenant: Ogni record dei clienti (automazioni, contatti, attività, analisi) è conservato con l'identificativo del Workspace a cui appartiene, e l'applicazione mostra a un utente solo i Workspace di cui è membro. I controlli lato server sull'appartenenza al Workspace sono attivi su una parte delle API e sono in corso di estensione a tutti gli endpoint legati a un Workspace. Finché questo lavoro non sarà completato, non descriviamo la separazione tra tenant come pienamente applicata a livello di API.
• Necessità di conoscere: Solo il personale designato nominativamente che gestisce il servizio può accedere ai dati di produzione, e solo per assistenza, gestione degli incidenti e manutenzione.
• Protezione delle credenziali: I token di accesso di Instagram sono cifrati a riposo ed esclusi dalle letture predefinite del database. Per questo le query e le esportazioni ordinarie non li restituiscono.
• Dati di pagamento: I dati delle carte sono gestiti interamente da Stripe. CreatorFlow non riceve né conserva mai i numeri completi delle carte.

5. Controllo dei trasferimenti (Weitergabekontrolle)

• Crittografia in transito: Le connessioni tra gli utenti e il servizio, e tra il servizio e Meta, Stripe e i nostri fornitori di servizi email e di log, sono cifrate con TLS.
• Sub-responsabili del trattamento: I dati personali sono condivisi solo con i sub-responsabili del trattamento elencati nella Sezione 5 del DPA, sulla base di condizioni sul trattamento dei dati. L'hosting dei dati e la registrazione dei log avvengono nell'Unione europea. I trasferimenti verso sub-responsabili al di fuori dell'UE si basano sulle Clausole contrattuali standard o sul Quadro UE-USA per la privacy dei dati, come previsto dal DPA.
• Esportazioni: I clienti possono esportare i contatti raccolti in un file CSV. Una volta esportati, questi dati sono sotto il controllo e la responsabilità del cliente.
• Supporti rimovibili: Non applicabile. Per i dati personali non si usano supporti di memorizzazione rimovibili (chiavette USB, dischi esterni, nastri di backup), quindi non è necessario un inventario dei supporti di memorizzazione.

6. Registrazione dei log e controllo dell'immissione (Eingabekontrolle)

• Log dell'applicazione: L'applicazione scrive log strutturati per ogni webhook elaborato, ogni esecuzione di un'automazione, ogni invio di messaggio e ogni richiesta API. Ogni voce ha un identificativo di correlazione, così un singolo evento può essere tracciato dall'inizio alla fine.
• Log degli accessi: Il livello HTTP registra una riga di log degli accessi per ogni richiesta.
• Archiviazione centrale e conservazione: Tutti i log vengono inviati a una piattaforma per i log ospitata nell'UE (New Relic, regione dati UE) e conservati per 30 giorni. Gli utenti dell'applicazione non possono modificare i log.
• Registro di audit amministrativo: Le azioni svolte dal personale di CreatorFlow sugli account dei clienti tramite l'interfaccia di amministrazione, comprese le eliminazioni di account e le modifiche dell'email dell'account, vengono scritte in un registro di audit con l'indicazione dell'amministratore che ha agito, di data e ora e dell'esito.
• Accessi non riusciti: Al momento i tentativi di accesso non riusciti dei clienti non vengono scritti in un log di sicurezza dedicato. Questo punto fa parte della nostra roadmap di sicurezza.

7. Controllo della separazione (Trennungskontrolle)

• Separazione dei clienti: I dati dei clienti sono separati in modo logico nel livello dei dati, tramite l'identificativo del Workspace (multi-tenancy). Tramite l'applicazione, i clienti non possono vedere i dati che appartengono ad altri Workspace.
• Separazione funzionale: I dati dell'account e di autenticazione sono conservati in un database separato da quello dei dati dell'applicazione (automazioni, contatti, analisi).
• Ambienti: I test automatici vengono eseguiti su un database isolato in memoria e non toccano mai i dati di produzione. Lo sviluppo quotidiano usa database locali. Il personale designato nominativamente interroga anche direttamente i dati di produzione per assistenza, debugging e indagini sugli incidenti. Esiste un solo ambiente di produzione e non c'è un ambiente di staging separato. Prima del rilascio le modifiche vengono verificate in locale e con la suite di test automatici, e possono essere annullate tornando alla versione precedente.
• Separazione fisica: Non applicabile oltre il confine dell'account AWS. Tutti i carichi di lavoro vengono eseguiti in un account AWS dedicato, di proprietà di CreatorFlow.

8. Disponibilità e resilienza (Verfügbarkeitskontrolle)

• Infrastruttura: Il servizio funziona in una sola regione AWS (eu-west-1), all'interno di un gruppo di Auto Scaling che sostituisce in automatico un host di calcolo guasto. I dati si trovano su volumi di archiviazione persistenti, che non vanno persi quando l'host viene sostituito.
• Snapshot: Gli snapshot dei volumi vengono creati prima delle modifiche all'infrastruttura e conservati nella stessa regione AWS. Gli snapshot che possono contenere dati personali vengono cancellati a rotazione.
• Resilienza dei webhook: Dopo un'interruzione temporanea, Meta invia di nuovo i webhook di Instagram per un certo periodo, e Stripe ritenta l'invio dei webhook di fatturazione per diversi giorni. Per questo le brevi interruzioni non causano la perdita di eventi.
• Monitoraggio: Lo stato dell'applicazione, il volume di richieste elaborate e i tassi di errore sono monitorati tramite la nostra piattaforma per i log. I rilasci vengono osservati e confrontati con i valori di riferimento misurati prima del rilascio.
• Limiti: Non c'è un failover su più regioni e non ci impegniamo formalmente su alcun obiettivo di tempo di ripristino o di punto di ripristino. Il servizio non è pensato per casi d'uso che richiedono una disponibilità continua garantita.
• Resilienza dei data center: Misura ereditata da AWS (alimentazione, raffreddamento e rete ridondanti, sistemi di spegnimento degli incendi), si veda la Sezione 2.

9. Gestione delle patch e delle modifiche

• Processo di modifica: Le modifiche non banali partono da una specifica scritta e da un piano di implementazione. Il codice è coperto da una suite di test automatici eseguita su database di test isolati, e ogni versione viene compilata e sottoposta al controllo dei tipi prima del rilascio.
• Rilasci: L'applicazione viene rilasciata come immagini container con numero di versione. Per annullare un rilascio si può distribuire di nuovo un'immagine precedente. Le funzionalità a rischio più elevato vengono rilasciate tramite feature flag, che si possono disattivare senza una nuova distribuzione e attivare prima per una parte dei Workspace.
• Verifica: Le metriche principali vengono rilevate prima di un rilascio e confrontate dopo, per individuare presto eventuali regressioni.
• Dipendenze e sistema operativo: Le dipendenze di terze parti e le immagini base dei container vengono aggiornate con il normale processo di rilascio, e il sistema operativo dell'host viene rinnovato quando l'host di calcolo viene sostituito. Non c'è una cadenza fissa a calendario per le patch. Gli aggiornamenti rilevanti per la sicurezza ricevono priorità in base alla gravità.
• Registro di sicurezza: Le criticità emerse dagli audit di sicurezza che svolgiamo noi stessi vengono annotate in un registro interno con un punteggio di gravità e risolte in ordine di rischio.

10. Gestione degli incidenti e delle violazioni dei dati

• Contatto: I problemi di sicurezza possono essere segnalati a security@creatorflow.so. Confermiamo la ricezione delle segnalazioni e le esaminiamo. Non gestiamo un programma di bug bounty a pagamento.
• Gestione: Gli incidenti vengono analizzati tramite i log centrali, poi contenuti, documentati con una cronologia e la causa principale, e infine risolti. Le lezioni apprese confluiscono nel registro di sicurezza.
• Notifica al cliente: Se una violazione dei dati personali riguarda i dati di un cliente, la notifichiamo a quel cliente senza ingiustificato ritardo dopo esserne venuti a conoscenza, con le informazioni descritte nella Sezione 8 del DPA, così che il cliente possa adempiere ai propri obblighi ai sensi degli artt. 33 e 34 del GDPR.

11. Misure organizzative

• Riservatezza: Il personale con accesso ai dati personali è vincolato da obblighi di riservatezza contrattuali o di legge.
• Ciclo di vita degli accessi: L'accesso all'infrastruttura e alle funzioni amministrative viene concesso su base individuale e revocato quando una persona lascia l'azienda o cambia ruolo.
• Dispositivi e lavoro da remoto: Il team lavora da remoto. Ai dati di produzione si accede solo con credenziali individuali, tramite connessioni cifrate (TLS, SSH), e per prassi questi dati non vengono conservati sui dispositivi locali. Non esiste una rete aziendale d'ufficio, quindi non si usa una VPN. Ogni connessione amministrativa è autenticata e cifrata singolarmente.
• Scrivania pulita e documenti cartacei: Non applicabile nel senso classico. I dati personali trattati tramite il servizio esistono solo in forma elettronica all'interno di AWS, e non si conservano documenti cartacei con dati dei clienti.
• Terze parti e manutenzione: Nessun addetto esterno alla manutenzione, alle pulizie o all'assistenza ha accesso ai sistemi di produzione. Non si ricorre alla manutenzione da remoto da parte di terzi. L'infrastruttura è gestita solo dal personale di CreatorFlow.
• Protezione degli endpoint sui server: I carichi di lavoro di produzione vengono eseguiti come container Linux con utenti non root, su un host che espone pubblicamente solo HTTPS. Le postazioni di lavoro dei dipendenti non fanno parte della rete di produzione.

12. Cancellazione e conservazione

• Eliminazione dell'account: Su richiesta, un account viene eliminato insieme a tutti i suoi Workspace, automazioni, contatti, registrazioni delle attività, stati delle automazioni in attesa e collegamenti a Instagram. Viene rimosso anche il contatto corrispondente per le email di marketing. Ogni eliminazione viene annotata in un registro di audit.
• Eliminazione dei contatti: Il cliente può eliminare i singoli contatti (indirizzi email raccolti), anche per dare seguito alle richieste di cancellazione degli interessati.
• Scadenza automatica: I record temporanei usati mentre un'automazione attende un'azione dell'utente (ad esempio una risposta con l'email o un follow) non sono più utilizzabili entro un periodo da 24 a 48 ore, a seconda del tipo di automazione, e vengono cancellati fisicamente dal database entro 48 ore.
• Log: I log dell'applicazione e i log degli accessi vengono conservati per 30 giorni.
• Snapshot: Si veda la Sezione 8. Gli snapshot vengono ripristinati solo per recuperare il servizio dopo un guasto del sistema. I dati personali cancellati prima di un ripristino di questo tipo andrebbero cancellati di nuovo dopo il ripristino. Non esiste una riconciliazione automatica per questo, quindi su richiesta ripetiamo le cancellazioni manualmente.

13. Revisione di queste misure