Sicurezza by design

I tuoi dati sono cifrati in transito e a riposo.

• TLS 1.3 su tutte le connessioni (HTTPS obbligatorio, HSTS attivo)
• AES-256 per i dati a riposo nel database
• Password archiviate con bcrypt + salt (mai in chiaro)
• Token di accesso a rotazione con scadenza breve
• Gestione dei secret tramite vault dedicato (Vercel + Supabase Vault)

Più livelli per confermare che chi accede sia davvero chi dice di essere.

• Autenticazione a 2 fattori (2FA/TOTP) disponibile per tutti i piani
• OAuth 2.0 con Google per un accesso sicuro
• Politiche di password forti: minimo 8 caratteri, validazione in tempo reale
• Rate limiting contro gli attacchi di forza bruta
• Sessioni invalidate automaticamente dopo inattività prolungata

Hosting presso provider con le più alte certificazioni globali.

• Server Vercel (edge) + Supabase (Postgres) in più regioni
• Certificazioni SOC 2 Type II, ISO 27001 e PCI-DSS Level 1
• Backup automatico giornaliero con conservazione di 30 giorni
• Replica multi-regione per alta disponibilità
• Protezione DDoS e WAF (Web Application Firewall) integrati

Principio del privilegio minimo applicato a tutti i livelli.

• Row Level Security (RLS) nel database: ogni attività vede solo i propri dati
• Profili di accesso (admin, collaboratore) con permessi granulari
• Multi-tenant isolato by design — nessuna fuga di dati tra account
• Log di audit per le azioni critiche (login, modifiche finanziarie, ecc.)
• Accesso del team interno limitato e completamente tracciato

Rilevamento in tempo reale e processo chiaro quando succede qualcosa.

• SIEM con avvisi 24/7 per anomalie e tentativi sospetti
• Health check automatici ogni 60 secondi
• SRE reperibile con SLA di risposta entro 15 minuti
• Comunicazione degli incidenti rilevanti entro 72h (in conformità alla LGPD)
• Postmortem pubblici per la massima trasparenza

Allineata alle principali normative applicabili in Brasile.

• LGPD (Legge 13.709/2018) — trattamento dei dati personali
• Marco Civil da Internet (Legge 12.965/2014) — conservazione dei log
• PCI-DSS — transazioni con carta tramite gateway certificati
• Codice di difesa del consumatore — trasparenza contrattuale
• Audit annuali indipendenti da parte di una società specializzata

Piani per mantenere la tua attività operativa anche in scenari estremi.

• Backup giornalieri automatizzati (RPO di 24h, RTO di 4h)
• Piano di disaster recovery (DRP) testato ogni sei mesi
• Failover automatico verso una regione secondaria in caso di guasto
• Cronologia delle versioni dei dati critici (finanze, appuntamenti)
• Esportazione completa dei tuoi dati in qualsiasi momento