Sicurezza e GDPR: cosa fa Pathly dei Suoi dati

Dove si trovano i Suoi dati

• L’applicazione, l’API, le sonde, il database e gli screenshot sono ospitati su Google Cloud, nella regione europe-west1 (Belgio, Unione europea).
• Le sonde partono da un unico punto di misura, eu-west. Oggi non esiste un’altra regione operativa.
• I backup del database restano nella stessa regione.
• Il traffico pubblico passa da Cloudflare (DNS, CDN, firewall). Cloudflare è una società statunitense: il trasferimento si basa sul Data Privacy Framework UE-USA, integrato dalle clausole contrattuali tipo.

Chi tratta i Suoi dati

• Per i dati della Sua organizzazione, Lei è il titolare del trattamento. Elerine, che pubblica Pathly in Spagna, agisce come responsabile del trattamento, secondo le Sue istruzioni.
• Sub-responsabili del trattamento: Google Cloud (Irlanda, regione europe-west1) per l’hosting e la spiegazione degli errori tramite IA, Cloudflare (Stati Uniti) per la rete e il controllo anti-bot dell’accesso, Mollie (Paesi Bassi) per i pagamenti, Brevo (Francia) per le e-mail, Google Workspace (Irlanda) per le caselle e-mail e l’assistenza, Discord (Stati Uniti) per notifiche interne che citano il nome dello spazio di lavoro e il suo piano, Invopop (Spagna) per le fatture, dalla sua attivazione.
• Per un fornitore stabilito fuori dall’Unione europea, il trasferimento è regolato da una decisione di adeguatezza, tra cui il Data Privacy Framework, o dalle clausole contrattuali tipo della Commissione europea.
• Non aggiungiamo un sub-responsabile senza informarLa.

• Accordo sul trattamento dei dati (DPA)
• Informativa sulla privacy

Accordo sul trattamento dei dati (DPA)

• L’accordo sul trattamento dei dati previsto dall’articolo 28 del GDPR è pubblicato online nelle cinque lingue del sito. Integra le condizioni d’uso.
• Se una violazione dei dati personali riguarda la Sua organizzazione, La avvisiamo senza ingiustificato ritardo, e al più tardi 48 ore dopo averla scoperta.
• Un’istruzione, una richiesta ragionevole di audit o una richiesta di cancellazione: privacy@pathlyhq.com.

• Leggi il DPA

Cifratura

• In transito: HTTPS ovunque, con HSTS. Il database non ha un indirizzo pubblico e accetta solo connessioni cifrate.
• A riposo: cifratura predefinita di Google Cloud per il database, l’archiviazione degli screenshot e i segreti.
• In più, nell’applicazione: i segreti dei Suoi controlli e dei Suoi webhook sono cifrati con AES-256-GCM, le password sottoposte a hash con bcrypt, i token di sessione sottoposti a hash.

Screenshot e conservazione

• Gli screenshot e i video degli errori sono archiviati in uno spazio di archiviazione privato. Solo l’API li legge, per i membri del Suo spazio di lavoro. Il link di un avviso via e-mail è firmato e valido 7 giorni.
• Le esecuzioni, i loro screenshot e i loro video sono cancellati da una pulizia quotidiana, una volta trascorsa la conservazione del Suo piano: 7 giorni su Solo, 30 giorni su Freelance, 90 giorni su Pro e Business.
• Per un Flow, consigliamo un account di test piuttosto che un vero account cliente.

Backup

• Il database viene salvato ogni giorno, e ogni backup è conservato 7 giorni.
• Può anche essere ripristinato a un momento preciso degli ultimi 7 giorni.
• Il database di produzione è protetto contro la cancellazione.

Account e accessi

• Autenticazione a due fattori (TOTP) con codici di riserva, disponibile per ogni account.
• Le Sue sessioni aperte si vedono e si chiudono dalla console.
• L’accesso è protetto da un limite di tentativi e da una verifica anti-bot (Cloudflare Turnstile).
• Lato Pathly, la console interna è dietro Cloudflare Access, e ogni accesso di un amministratore allo spazio di lavoro di un cliente viene tracciato.

Intelligenza artificiale

• La spiegazione di un errore tramite IA è facoltativa. Parte solo su Sua richiesta, mai automaticamente.
• Passa da Google Cloud Vertex AI, nella regione europe-west1. La regione di analisi è bloccata sull’Unione europea.
• Vengono inviati solo fatti testuali, con i valori sensibili mascherati. Mai screenshot, video né contenuto di pagina.
• Google si impegna per contratto a non usare questi contenuti per addestrare i suoi modelli.

I Suoi diritti

• Dalla console, un amministratore esporta i dati dello spazio di lavoro in JSON, e ciascuno esporta i propri dati. La cancellazione dell’account o dello spazio di lavoro si fa nello stesso punto.
• Qualsiasi altra richiesta: privacy@pathlyhq.com. Risposta entro un mese.
• Autorità di controllo: l’AEPD (Agencia Española de Protección de Datos), poiché Elerine è stabilita in Spagna.

Prima di ogni messa in produzione

• Ogni modifica passa da una richiesta di merge e da un’integrazione continua: test, ricerca di segreti (gitleaks), analisi statica (Semgrep), audit delle dipendenze, controllo dell’infrastruttura (Trivy).
• Una nuova versione riceve tutto il traffico solo dopo una fase al 10%, sotto la soglia di errori, e uno smoke test verde. Altrimenti, si torna alla versione precedente.

Stato del servizio

• La pagina di stato di Pathly mostra in tempo reale lo stato dell’API, del database e delle sonde.

• Pagina di stato di Pathly

Segnalare una vulnerabilità

• Scriva a security@pathlyhq.com, oppure a privacy@pathlyhq.com come secondo contatto.
• Questi contatti sono pubblicati nel file security.txt del sito (norma RFC 9116).

• security.txt