Sicurezza e i tuoi file

Non vendiamo i tuoi dati personali, non mostriamo pubblicità mirata e non usiamo cookie pubblicitari né cookie di tracciamento di terze parti. La Content Security Policy del sito consente alle nostre pagine di connettersi solo al nostro dominio (connect-src 'self').

Non ti serve un account per usare gli strumenti. Le nostre statistiche sono nostre: non memorizziamo mai il tuo indirizzo IP in chiaro, ma lo trasformiamo in un token hash usando un segreto che cambia ogni giorno. I log degli strumenti non contengono mai i nomi né il contenuto dei tuoi file, ma solo lo strumento, dove è stato eseguito, se ha funzionato, quanto tempo ha richiesto e una fascia di dimensione approssimativa.

Il file viene letto ed elaborato dentro il tuo browser e scarichi il risultato dal browser stesso. Il file non viene inviato a nessun server. Vale per la maggior parte degli strumenti PDF e immagini, come unire, dividere, ruotare, firmare il proprio file e comprimere immagini.

Alcuni strumenti richiedono software che non funziona bene in un browser, come le conversioni Office e l'OCR. In questo caso il file viene inviato tramite una connessione crittografata al nostro servizio di conversione, che lo elabora e lo cancella non appena il risultato ti è stato inviato.

Riassumi PDF, Traduci PDF e Chiedi al PDF estraggono il testo dal file e inviano quel testo, non il file, ad Anthropic tramite una connessione crittografata. I dettagli sono nella sezione IA. Ti consigliamo di non usare questi strumenti per documenti molto sensibili.

Quando chiedi ad altre persone di firmare un documento, lo conserviamo finché tutti non hanno firmato: il documento, i nomi e gli indirizzi email dei firmatari e un registro di controllo di ogni passaggio. Questa funzione è riservata a chi ha un account. Per quanto tempo lo conserviamo è indicato in Conservazione ed eliminazione.

Non esiste un «certificato GDPR» ufficiale, e non ne rivendichiamo uno. Applichiamo però i suoi principi: raccogliamo meno dati possibile, fissiamo un limite di tempo per tutto ciò che conserviamo e spieghiamo dove viene elaborato ogni file. Tra i tuoi diritti:

• Cancellazione: elimina tu stesso il tuo account dalla pagina «Il mio account».
• Rettifica: modifica nome e lingua nella pagina «Il mio account»; per tutto il resto, scrivici.
• Accesso e portabilità: chiedi una copia dei dati del tuo account a [email protected].

Applichiamo pratiche tratte dalle linee guida OWASP sulla sicurezza delle applicazioni web, tra cui:

• Content Security Policy (CSP): script e connessioni sono limitati al nostro dominio, e il sito non può essere incorporato in altri siti.
• Protezione da SSRF: HTML in PDF e HTML in immagine accettano solo link http e https pubblici, e controlliamo l'indirizzo IP a ogni connessione e a ogni reindirizzamento, così nessuna richiesta può raggiungere la nostra rete interna.
• Rendering isolato: il browser che esegue il rendering delle pagine web non ha accesso diretto a internet; ogni sua richiesta passa per lo stesso controllo, e gli script sono disattivati per impostazione predefinita nei file HTML caricati. Le macro nei file Office non vengono mai eseguite, e ogni conversione gira in un processo separato, con un limite di tempo e un tetto a quanto può scrivere.

In Iraq è in vigore la Legge sulla firma elettronica e le transazioni elettroniche n. 78 del 2012. Le firme in Safha sono firme elettroniche semplici: conserviamo un registro di controllo con l'ora di ogni passaggio e un'impronta SHA-256 del documento originale e di quello finale. Non sono firme certificate da un'autorità di certificazione, e non forniamo consulenza legale sulla loro validità. Se il tuo documento richiede una firma con un valore legale specifico, rivolgiti a un professionista legale.

• ISO/IEC 27001: stiamo costruendo un sistema di gestione della sicurezza delle informazioni conforme a questo standard, in vista di una valutazione indipendente.
• Un penetration test indipendente svolto da una società esterna.
• Autenticazione a due fattori per gli account amministratore.
• Crittografia a riposo per i file delle richieste di firma.

Safha gira su un server noleggiato da Contabo GmbH, il cui intervallo di indirizzi è registrato in Germania secondo il registro RIPE NCC. Ogni servizio gira nel proprio container Docker gestito con Coolify: l'applicazione del sito, il servizio di conversione e un database PostgreSQL.

Il traffico del sito passa attraverso la rete di Cloudflare, il cui servizio include una protezione automatica dagli attacchi distribuiti di negazione del servizio (DDoS). All'interno del server, il database si trova su una rete interna isolata da internet, e il servizio di conversione non accetta connessioni dall'esterno: solo l'applicazione del sito può raggiungerlo, con un token segreto condiviso.

• L'intero sito funziona su HTTPS, e le richieste HTTP vengono reindirizzate a HTTPS.
• Le connessioni supportano TLS 1.3.
• Inviamo un'intestazione HSTS valida per due anni (max-age=63072000; includeSubDomains), così il tuo browser apre il sito solo tramite una connessione crittografata.
• Anche la connessione tra Cloudflare e il nostro server è crittografata, con un certificato TLS valido.

Conserviamo poco sul server: account, flussi di lavoro, CV salvati e statistiche nel database, e i file delle richieste di firma sul disco del server. Le password e i token dei link di firma sono memorizzati solo come hash (bcrypt e SHA-256). Per essere chiari: oggi non crittografiamo a riposo il database né i file delle richieste di firma con una chiave nostra; sono protetti dall'isolamento di rete e dai permessi del server.

Safha ha solo due ruoli: membro e amministratore. Il pannello di amministrazione si apre solo per un account con il ruolo di amministratore, e verifichiamo quel ruolo sul server due volte: all'accesso al pannello, poi in ogni pagina e azione al suo interno. Cambiare il ruolo di un account o sospenderlo chiude subito le sue sessioni.

• Il servizio di conversione gira con un utente non root, su un file system di sola lettura, e scrive solo in una cartella temporanea in memoria.
• Legge i suoi segreti una sola volta all'avvio, poi rinuncia ai privilegi di root; quei segreti non raggiungono mai i processi di conversione.
• La chiave Anthropic si trova solo nel servizio di conversione; non raggiunge mai l'applicazione del sito né il browser.
• La password del database e la chiave di firma delle sessioni sono generate dalla piattaforma di deployment; nessuno le digita a mano.

Oggi non offriamo l'autenticazione a due fattori per gli account amministratore, e non diremo il contrario. Finché non la aggiungeremo, la prima password di amministratore viene generata in modo casuale dalla piattaforma di deployment, e i tentativi di accesso sono limitati come per ogni account.

Le azioni che raggiungono i dispositivi degli utenti, come l'invio di notifiche e la pubblicazione di versioni dell'app, vengono registrate con l'identità dell'amministratore e l'ora.