Sicurezza e UE

Come proteggiamo i tuoi dati

• I dati sono cifrati durante il trasferimento (HTTPS/TLS), anche tra GoalCube e il database.
• I dati dei clienti sono archiviati nell’UE presso Clever Cloud (PostgreSQL e una copia settimanale cifrata in FS Bucket, Parigi). In produzione il sistema non si avvia senza il database e la chiave di cifratura.
• I dati di ogni azienda si trovano in un’area separata. A ogni modifica, test automatici mostrano che un’azienda non può vedere, modificare o cancellare i dati di un’altra.
• I dati dei clienti vengono cifrati in GoalCube (AES-256-GCM) con una chiave per azienda prima di essere salvati. Le chiavi delle aziende sono a loro volta cifrate con una chiave principale a cui hanno accesso solo i responsabili operativi di GoalCube. In caso di cancellazione viene cancellata anche la chiave.
• Limite al numero di richieste per indirizzo IP su tutte le pagine e un limite più rigido per registrazione, login e inviti. L’indirizzo IP viene usato solo in memoria per al massimo un’ora e non viene salvato.
• GoalCube tiene un log di sicurezza, per esempio di login non riusciti, creazione e cancellazione di account e utenti, visualizzazione di valori reali, grandi esportazioni ed e-mail che non è stato possibile inviare. Contiene solo ora, evento, l’id casuale dell’azienda e codici fissi, numeri o dati tecnici come riferimento di pagamento, numero di fattura o causa – mai nomi, e-mail, indirizzi IP o contenuti. Viene conservato per 12 mesi e poi cancellato per mesi interi (al più tardi dopo 13 mesi). Le copie nei backup (quelli del fornitore di hosting e la copia settimanale di GoalCube) possono restare fino a 30 giorni in più.
• Se si verifica un errore, l’utente vede un codice di errore (per esempio GC-7K3Q9MXA) che può comunicare a GoalCube. Il log degli errori di GoalCube conserva solo ora, codice di errore, tipo di errore, prima parte dell’indirizzo (senza chiavi), stato e id casuale dell’azienda – mai il testo del messaggio di errore, contenuti, nomi, e-mail o indirizzi IP – e viene cancellato dopo 90 giorni. Le copie nei backup (quelli del fornitore di hosting e la copia settimanale di GoalCube) possono restare fino a 30 giorni in più.
• Dal 18 ottobre 2026 il registro di audit contiene solo gli id casuali dell’utente e del dataset, codici fissi, numeri e importi – nessun nome. Le voci precedenti (prima del 18 ott. 2026) possono contenere nomi di utenti (per i pagamenti), dataset, colonne e collegamenti AI, oltre a testi di errore; non vengono modificate (catena di hash) e vengono cancellate con gli altri dati dell’azienda.
• Il cliente può sempre disdire l’accordo o cancellare tutti i dati in GoalCube in autonomia. Dopo la disdetta, tutti i dati vengono cancellati automaticamente dopo 30 giorni e fino ad allora la disdetta può essere revocata. Con «Cancella tutto ora» vengono cancellati subito dati, utenti, registro di audit e chiave di cifratura dell’azienda. Le copie nei backup – quelli del fornitore di hosting e la copia settimanale cifrata di GoalCube presso lo stesso fornitore a Parigi – vengono cancellate alla loro scadenza, al più tardi 30 giorni dopo la cancellazione. GoalCube conferma la cancellazione via e-mail. Fanno eccezione le fatture, le note di credito e la contabilità di GoalCube (nome dell’azienda, indirizzo, partita IVA, importo, riferimento di pagamento, con IVA allo 0 %, data e numero di consultazione VIES, e momento della dichiarazione di acquisto come azienda), che la legge danese sulla contabilità (bogføringsloven) impone di conservare per 5 anni dalla fine dell’esercizio, e un checksum del paese e della partita IVA se l’azienda ha ottenuto il rimborso, così che l’offerta venga usata una sola volta (5 anni).
• Pagamento: il server calcola importo e IVA; SumUp riceve solo un numero cliente casuale, il piano, il periodo, il tipo di IVA e l’importo – mai nome dell’azienda, indirizzo, partita IVA o e-mail. Dopo una disdetta, la carta resta presso SumUp fino alla fine del periodo pagato (così che la disdetta possa essere revocata) e viene cancellata subito se l’azienda cancella tutti i dati. Ogni pagamento riceve una fattura con numerazione progressiva. Le partite IVA di altri paesi UE vengono verificate nel sistema di scambio di informazioni sull’IVA (VIES) della Commissione europea; GoalCube conserva solo il risultato, il momento della verifica e il numero di consultazione.
• Una volta alla settimana GoalCube fa una copia aggiuntiva di tutti i dati, cifrata come nel database. Si trova presso lo stesso fornitore di hosting a Parigi, ma fuori dal database. Si conservano le quattro copie più recenti (al massimo 28 giorni) e il ripristino di ogni copia viene provato automaticamente.
• Tutte le pagine hanno regole di sicurezza (tra cui CSP), così il browser esegue solo gli script di GoalCube – tranne il campo carta di SumUp nella pagina di pagamento – e le pagine non possono essere visualizzate all’interno di siti altrui.
• I servizi AI si collegano tramite login su GoalCube (OAuth 2.1 con PKCE) – nell’indirizzo non compare alcuna chiave. L’utente dà il consenso con la propria passkey, vede dove viene inviata la risposta e può sempre vedere e interrompere i collegamenti. GoalCube salva solo i checksum delle chiavi; un collegamento scade al più tardi dopo 180 giorni e si interrompe subito quando l’utente viene rimosso o l’accordo viene disdetto.
• I servizi AI che il cliente collega ricevono pseudonimi al posto dei valori nelle colonne che il cliente protegge e al posto delle parole segrete del cliente. Nel testo libero GoalCube individua anche nomi, e-mail, codici identificativi, numeri di telefono e di conto e indirizzi in base a elenchi e schemi e li sostituisce con pseudonimi. In via eccezionale un dato può sfuggire, per esempio un nome che non è negli elenchi, o un indirizzo o un numero scritto in modo insolito. Il cliente può vedere cosa vede l’AI prima di salvare il dataset.
• I file caricati non vengono salvati; solo il testo estratto che il cliente ha scelto di salvare come dataset.
• Decisioni, conferme e modifiche vengono registrate in un registro di audit con checksum (catena di hash) e marche temporali indipendenti. Ogni azienda ha la propria catena e ogni giorno un’impronta complessiva di tutte le catene riceve una marca temporale indipendente.
• Le parole segrete non vengono mai salvate nel registro di audit.
• Le pagine non caricano file da terzi (ad esempio font di Google). L’unica eccezione è la pagina di pagamento, dove il campo carta arriva direttamente da SumUp, così i dati della carta non arrivano mai a GoalCube. Il sistema non imposta cookie di tracciamento.
• Le e-mail inviate a contact@goalcube.eu vengono lette e gestite nella casella presso Simply finché l’agente e-mail di GoalCube è spento. Quando l’agente e-mail è attivo, le e-mail a cui deve rispondere una persona vengono lette e gestite in GoalCube, e il dipendente riceve nella propria casella solo un avviso senza contenuto.
• Le chiavi di accesso non vengono scritte nel log del server.
• Solo i dipendenti di GoalCube che ne hanno bisogno accedono a sistemi e dati, e sono tenuti alla riservatezza.

Dove si trovano i dati

Tutti i dati dei clienti si trovano presso Clever Cloud SAS, Regione di Parigi (zona Clever Cloud «par»), Francia. Tutti i sub-responsabili sono elencati nell’accordo sul trattamento dei dati.

I nostri impegni

• Comunicazione di una violazione dei dati personali entro 48 ore dalla scoperta.
• Preavviso di 14 giorni prima di ricorrere a un nuovo sub-responsabile.
• Potete sempre cancellare voi stessi tutti i dati, subito. Dopo la risoluzione del contratto, tutto viene cancellato entro 30 giorni.
• Le copie di backup vengono cancellate entro 30 giorni dalla cancellazione.

Stato dei controlli

La ISO/IEC 27001:2022 prevede 93 controlli. I numeri provengono direttamente dal nostro sistema di gestione per la sicurezza delle informazioni (SGSI) e si aggiornano automaticamente.

Segnala una vulnerabilità

Se hai trovato una falla di sicurezza, scrivi a contact@goalcube.eu con «sicurezza» nell’oggetto. Una persona legge tutte le segnalazioni sulla sicurezza. security.txt

Test indipendente

È previsto un test di sicurezza indipendente (penetration test) una volta all’anno.