Sicurezza e protezione dei dati

Come proteggiamo i dati del Suo centro

• Cifratura in transito

  Tutto ciò che viaggia tra il Suo browser o l'app e i nostri server è cifrato con TLS (HTTPS). Inoltre inviamo l'intestazione HSTS, che obbliga il browser a usare sempre HTTPS con noi per un anno.

• Cifratura dei dati sensibili

  I dati di categoria particolare delle schede normative sulla salute (come l'origine etnica, l'identità di genere, la disabilità o l'assicuratore sanitario) vengono conservati cifrati. Anche le credenziali dei gateway di pagamento e delle integrazioni di ciascuna sede vengono conservate cifrate, e le chiavi private dei certificati sono protette da una password rafforzata con un segreto del server che non si trova nel database.

• Ogni palestra, isolata dalle altre

  Ogni persona lavora con un profilo legato a un'azienda e a una sede, e i permessi e le interrogazioni sono limitati a quell'ambito. Un centro non vede i dati di un altro e, all'interno di un centro, ogni ruolo vede solo ciò che la propria sede gli consente.

• Backup cifrati e verificati

  Eseguiamo un backup giornaliero dei database. Ogni backup viene cifrato (AES-256) prima di lasciare il server e conservato in uno spazio di archiviazione cifrato; i backup vengono conservati per 15 giorni. Per accertare che funzionino davvero, eseguiamo un test di ripristino che avvia un backup in un ambiente separato e verifica che i dati siano presenti.

• Codici QR di accesso monouso

  Il QR che il socio mostra al tornello viene generato in modo casuale, è monouso e si rinnova non appena apre una porta. Se non viene utilizzato, scade dopo 24 ore e viene sostituito da un altro. Non esiste una chiave fissa che possa essere copiata o inoltrata.

• Registro di audit

  Le azioni rilevanti vengono registrate indicando chi le ha eseguite e da quale canale (pannello, app o assistente), in modo da poter verificare che cosa è successo e quando.

Protezione degli account

• Password

  Le nuove password devono avere almeno 8 caratteri (e al massimo 72). Non vengono mai conservate in chiaro.

• Limite ai tentativi di accesso

  Se qualcuno sbaglia ripetutamente la password, l'accesso viene bloccato per un certo periodo. Il blocco si rimuove da solo e non rende l'account inutilizzabile.

• Verifica in due passaggi (2FA)

  Disponibile con qualsiasi app di codici (Google Authenticator, Authy e simili), con codici di recupero nel caso in cui perda il telefono. È obbligatoria per gli amministratori della piattaforma e per il personale delle sedi che decidono di richiederla; chi la attiva di propria iniziativa non può più saltarla all'accesso. Se contrassegna un dispositivo come attendibile, non Le verrà richiesta di nuovo per 7 giorni.

• Scadenza della sessione

  Le sessioni del pannello scadono dopo 7 giorni ed è necessario accedere di nuovo. È possibile vedere e chiudere le proprie sessioni attive.

Dove risiedono i dati

I server e i database della piattaforma si trovano su Amazon Web Services, in un data center in Spagna (Unione Europea). L'assistente LAIA funziona con modelli di IA eseguiti su server situati nell'Unione Europea. Maggiori dettagli sul trattamento dei dati sono disponibili nell' informativa sulla privacy.

Fornitori che trattano dati (sub-responsabili del trattamento)

Questi sono i fornitori che trattano i dati del Suo centro affinché il servizio funzioni. Utilizzano i dati solo seguendo le nostre istruzioni.

Se il centro attiva integrazioni con altri servizi (bilance a bioimpedenza, software gestionali), i dati vengono condivisi con essi perché il centro lo decide. Quando un fornitore si trova al di fuori dello Spazio economico europeo, il trasferimento si fonda sul Quadro per la protezione dei dati UE-USA o sulle clausole contrattuali tipo della Commissione europea.

Contratto di responsabile del trattamento (DPA)

Se il Suo centro ha bisogno di sottoscrivere con noi un contratto di responsabile del trattamento, Glielo inviamo su richiesta scrivendo a info@fitmewise.com.

Politica di divulgazione delle vulnerabilità

Se ritiene di aver trovato una falla di sicurezza in Fitmewise, vogliamo saperlo. Grazie per avvisarci in modo responsabile.

Come segnalare

Ci scriva a info@fitmewise.com. I recapiti sono disponibili anche in /.well-known/security.txt.

Che cosa includere nella segnalazione

• Che cosa ha trovato e dove (indirizzo web, schermata o endpoint).
• I passaggi per riprodurlo, con una proof of concept se ne dispone.
• Quale impatto ritiene che abbia e quali dati potrebbero essere interessati.
• Il Suo recapito, nel caso in cui ci servano ulteriori informazioni (può scrivere in forma anonima, ma in tal caso non potremo risponderLe).

Che cosa rientra nell'ambito

• fitmewise.com
• la Dashboard (il pannello di gestione del centro)
• l'API di Fitmewise
• le app mobili di Fitmewise e quelle di ciascun centro

Che cosa ne resta escluso

• Attacchi di negazione del servizio (DoS/DDoS) o test di carico.
• Ingegneria sociale contro il personale, i centri o i soci (phishing, telefonate, ecc.).
• Attacchi fisici contro uffici, apparecchiature o strutture.
• Invio di spam o di messaggi di massa tramite i nostri moduli o canali.

Buona fede

Se agisce in buona fede, non accede a più dati di quelli necessari per dimostrare la falla, non li modifica né li distrugge, non pregiudica il servizio e ci concede un termine ragionevole per correggerla prima di renderla pubblica, non intraprenderemo azioni legali nei Suoi confronti per tale ricerca.

Tempi di risposta

Confermiamo la ricezione entro un massimo di 5 giorni lavorativi e La teniamo informato sull'avanzamento della correzione.

Ricompense

Non abbiamo un programma di ricompense economiche (bug bounty): non paghiamo per le segnalazioni, anche se Le siamo molto grati per l'impegno.