3.0 SRL, proprietaria della piattaforma Synqo One, adotta un approccio proattivo alla sicurezza. Questo documento descrive le misure tecniche e organizzative implementate per proteggere la piattaforma, i dati degli utenti e le infrastrutture di elaborazione.
HTTPS e TLS
Tutte le comunicazioni tra browser e server sono crittografate tramite TLS 1.2 o superiore. Il protocollo HTTP non è accettato — ogni richiesta viene reindirizzata automaticamente su HTTPS.
Crittografia password
Le password degli utenti non sono mai conservate in chiaro. Vengono cifrate con algoritmi di hashing robusti (bcrypt) con salt individuale per ogni account.
Verifica in due passaggi
Ogni utente può attivare la verifica in due passaggi (TOTP, compatibile con le comuni app di autenticazione) dalle proprie impostazioni: da quel momento, oltre alla password, l'accesso richiede un codice temporaneo generato sul telefono. All'attivazione vengono forniti codici di recupero monouso, da conservare per il caso in cui si perda il dispositivo. La verifica non è imposta: resta una scelta di ciascun utente.
Backup crittografati
Il database viene salvato ogni notte. Le copie restano sul server per 7 giorni e, in copia cifrata, su un archivio fuori dal server per 30 giorni. La chiave per decifrarle non è conservata sul server. Il ripristino viene provato periodicamente a partire da una copia reale.
Dischi cifrati
Tutti i dati del servizio (database, file, certificati e log) stanno su un disco cifrato con AES a 256 bit. La chiave che lo apre è custodita su un secondo server separato, raggiungibile solo dal server di produzione: un disco copiato o sottratto non è leggibile.
Dati degli acquirenti
Synqo One non salva nome, indirizzo, email o telefono di chi compra sui tuoi canali. Quando devi spedire, i dati di spedizione vengono chiesti al canale sul momento, mostrati solo agli amministratori del tuo account con la verifica in due passaggi attiva, e non conservati — né nel database, né nei backup, né nei log. Ogni apertura viene registrata, ed è previsto un numero massimo di aperture al giorno.
Firewall e isolamento
Il server di produzione è protetto da firewall a livello di rete. Solo le porte necessarie (443, 80) sono esposte pubblicamente. Il database non è accessibile dall'esterno, e l'accesso amministrativo ai server non è raggiungibile da internet.
Sessioni sicure
L'accesso avviene con un token firmato che scade automaticamente dopo 8 ore, trascorse le quali bisogna autenticarsi di nuovo. Il token viaggia solo su HTTPS, in un'intestazione della richiesta e non in un cookie: la piattaforma non usa cookie di sessione. È conservato nella memoria di sessione del browser, quindi viene cancellato alla chiusura della scheda e al logout.
Protezione API
Le API interne sono protette da autenticazione obbligatoria. Le credenziali marketplace degli utenti (es. Temu API Key) sono conservate in forma cifrata nel database.
In caso di violazione dei dati o incidente di sicurezza, seguiamo il seguente processo:
Se ritieni di aver individuato una vulnerabilità di sicurezza nella piattaforma Synqo One gestita da 3.0 SRL, ti chiediamo di segnalarla in modo responsabile (responsible disclosure) prima di renderla pubblica:
Questa informativa viene aggiornata periodicamente per riflettere l'evoluzione delle misure di sicurezza adottate. La data di "ultimo aggiornamento" in cima indica la versione più recente. Per modifiche sostanziali, gli utenti saranno notificati via email.
