Scheda tecnica e stato delle misure

Ogni riga di dato è legata allo studio proprietario e ogni lettura e scrittura è filtrata su di esso. I colleghi entrano nello spazio dello studio solo tramite un posto attivo, con il ruolo assegnato dal titolare.

Nei dati dello studio sono attive policy scritte dentro il database, forzate anche per il proprietario: se la connessione non dichiara lo studio, il database non restituisce nessuna riga e rifiuta la scrittura (errore 42501). Tabelle protette in produzione: i frammenti AI dei fascicoli, le preferenze dell'account, i fascicoli strategici con i loro file e report, il segreto del secondo fattore e i codici di recupero (sei su sei sorvegliate). L'efficacia dipende dal ruolo di connessione: l'applicazione usa il ruolo applicativo dedicato, privo di BYPASSRLS, verificato in esercizio. Collaudo del 17 settembre 2026, in locale e in produzione, con due studi reali: lo studio B non vede alcuna riga di A; scrittura a nome di un altro studio rifiutata (42501); nessuna riga visibile senza spazio dichiarato; nessun residuo di prova. Verificabile dall'esterno su /api/health (campo «isolamento»).

La piattaforma si connette con un ruolo applicativo privo di permessi di creazione o alterazione: le regole che proteggono i dati (policy di isolamento, indici, vincoli) possono essere cambiate solo dal proprietario del database, mai dall'applicazione. Verificato: il tentativo dell'app di eseguire le proprie migrazioni riceve «permission denied for schema public», ed è il comportamento atteso.

Sei ruoli (titolare, avvocato, praticante, segreteria, collaboratore esterno, sola lettura) con capacità verificate sul server a ogni scrittura. Le pagine nascondono i comandi non consentiti, ma il controllo che conta non sta nell'interfaccia.

Database PostgreSQL gestito in regione europea (Francoforte, eu-central-1) e funzioni applicative nella stessa area (Vercel fra1, Francoforte): il percorso tra applicazione e database resta nell'Unione Europea. Verificato il 17 settembre 2026 sull'intestazione di regione restituita dal servizio pubblico.

Google Gemini: con progetto a fatturazione attiva i contenuti inviati non sono usati per migliorare i modelli (documentazione ufficiale Google «Data logging and sharing», aggiornata al 4 settembre 2026); i termini Google impongono i servizi a pagamento per le applicazioni usate nell'Unione Europea. Per il fornitore del servizio AI (analisi assistita) i termini non risultano pubblicati in forma leggibile, quindi la verifica è richiesta formalmente al fornitore e non è ancora acquisita. Groq (trascrizione): governo dei dati tramite accordo sul trattamento, richiesta in corso. Nessuna delle tre viene dichiarata «attiva» finché la verifica non è acquisita.

Documenti e atti generati sono conservati nel database applicativo (fino a 10 MB per file), non su disco temporaneo: la copia di riferimento sopravvive ai riavvii dell'infrastruttura.

Un file leggibile con fascicoli, verbali, documenti e testo indicizzato, scadenze, registro delle attività, fascicoli strategici, modelli, contatti, agenda, dati dello studio, analisi e portale assistiti; i file originali si scaricano a blocchi. Non contiene chiavi né password.

Richiesta dal titolare con conferma scritta: nessun abbonamento in corso, pulizia delle tabelle di servizio, eliminazione per cascata di fascicoli, documenti e file compresi. Non esiste un «annulla».

Password conservate come scrypt con sale casuale per utente e confronto a tempo costante. Il token di sessione è casuale ed è conservato solo in forma di hash SHA-256, in cookie httpOnly, Secure e con scadenza automatica.

Secondo fattore basato su codici temporanei TOTP (RFC 6238) generati da un'app di autenticazione gratuita (Google Authenticator, Microsoft Authenticator, Authy, 1Password): nessun SMS e nessun servizio esterno, quindi nessun costo per accesso e nessuna dipendenza da un operatore telefonico. Ogni persona lo attiva dalla propria area (I tuoi dati) e resta personale anche quando occupa un posto in uno studio condiviso. Codici validi 30 secondi con tolleranza di orologio, confronto a tempo costante, riuso del codice impedito, sfida di accesso di 5 minuti con 5 tentativi, otto codici di recupero monouso conservati solo come impronta scrypt. Attivo e utilizzabile in esercizio. È facoltativo: chi non lo attiva accede con la sola password, e lo studio può richiederne l'attivazione a titolo organizzativo. Collaudo del 17 settembre 2026: 16/16 sui valori ufficiali della raccomandazione e 14/14 sul flusso reale (password, sfida, codice errato, codice giusto, codice di recupero consumato).

Il fornitore è una sola persona fisica: nessun dipendente, nessun collaboratore, nessun altro accesso ai sistemi. Il limite è però organizzativo, non imposto dal software, e va detto chiaramente: la console di amministrazione permette di aprire i fascicoli di tutti gli studi, compresi clienti e documenti degli assistiti altrui. Dal 25 settembre 2026 ogni apertura lascia una riga nel registro (azione, fascicolo e studio proprietario, mai il contenuto letto) e lo stesso vale per la consultazione dell'elenco dei fascicoli; le altre funzioni di amministrazione (anagrafiche, abbonamenti, posti) hanno annotazioni proprie e non aprono i fascicoli. L'elenco delle persone autorizzate e l'impegno di riservatezza sono nell'Allegato D dell'accordo sul trattamento. Finché l'accesso ai contenuti resta tecnicamente possibile, la misura è dichiarata parziale e non attiva.

Le chiavi dei fornitori (trascrizione e analisi) sono cifrate AES-256-GCM con chiave in variabile d'ambiente e non compaiono mai nel codice, nei log o nelle risposte dell'assistente.

Accesso solo in HTTPS, cookie di sessione con flag Secure, chiamate ai fornitori su TLS. L'applicazione non prevede canali in chiaro.

Dichiarata e garantita dal fornitore del database (Supabase, che per contratto risponde del servizio): «All customer data is encrypted at rest with AES-256 and in transit via TLS». L'accordo sul trattamento è disponibile presso il fornitore. Non è una misura che gestiamo direttamente: la dichiariamo con l'attribuzione, non come nostra.

I servizi su cui girano i dati sono certificati, e le certificazioni si possono esibire: Supabase (database) è «ISO 27001 certified» e «SOC 2 Type 2 compliant»; Vercel (applicazione) dichiara ISO 27001, SOC 2, PCI DSS, HIPAA, GDPR e DPF, con penetration test annuali e programma di segnalazione vulnerabilità; il livello sottostante (AWS) è certificato ISO 27001; per i pagamenti il fornitore incaricato (Paddle, Merchant of Record) è certificato PCI DSS livello 1 e i dati della carta non passano dai nostri server. I certificati dei fornitori sono disponibili dai loro pannelli di conformità (per Supabase: piani Team o Enterprise).

Non posseduta: la certificazione dell'infrastruttura dei fornitori NON è la certificazione della piattaforma. Il perimetro di un ISO 27001 copre il sistema di gestione di chi lo ottiene (data center, processi, personale), non l'applicazione costruita sopra: autenticazione, gestione degli accessi, ciclo di vita del codice, risposta agli incidenti, prove di ripristino, valutazione dei fornitori. Per questo la mettiamo in fondo all'elenco delle cose da fare, dopo le quattro che la sostengono.

Le azioni rilevanti restano registrate con l'azione, l'oggetto, la persona e il momento. Da questa versione il registro include anche le esportazioni dell'archivio e le richieste di cancellazione.

Il database gestito fornisce copie di sicurezza automatiche, ma una prova di ripristino completa non è mai stata eseguita e documentata. Finché non c'è, nessuno può dire quanto si perde davvero: è in programma.

I fornitori trattano dati su istruzione dello studio e sono elencati in questa pagina. Gli accordi sul trattamento con ciascun fornitore vanno riletti e allegati in fase di firma: non dichiariamo valutazioni che non abbiamo ancora fatto.

Hosting e database possono essere collocati in Unione Europea; i fornitori dei motori di intelligenza artificiale sono extra-UE. Il trasferimento è dichiarato e la scelta si fa insieme allo studio, non a sua insaputa.

Non posseduta e non dichiarata. Un percorso serio costa da sei a dodici mesi e alcune decine di migliaia di euro: prima vengono le misure di questa tabella.

Mai eseguito. È il primo documento che un cliente regolamentato chiede dopo l'elenco dei fornitori.

La piattaforma contiene i codici (6.076 articoli in quattro testi). Non contiene giurisprudenza: se serve, non è una funzione che possiamo fingere di avere.