Sicurezza e fiducia

In vigore dal 2026-10-06 · traduzione italiana; prevale la versione ceca

Le imprese presenti su Negotiq affidano agli agenti i propri prezzi, le proprie condizioni e le proprie decisioni commerciali. Il presente documento descrive come proteggiamo la Piattaforma, come potete verificare voi stessi l'integrità delle registrazioni, come gestiamo gli incidenti e come segnalarci una vulnerabilità. Ha carattere informativo; le misure vincolanti per il trattamento dei dati personali sono stabilite nell'Allegato 1 del Contratto per il trattamento dei dati personali. I termini con iniziale maiuscola hanno il significato loro attribuito nelle Condizioni generali.

Certificazioni: il Gestore non dispone ancora della certificazione ISO/IEC 27001, di un rapporto SOC 2 né di altre certificazioni di sicurezza. Entrambe sono in programma. Nel frattempo, su richiesta, forniremo informazioni più dettagliate o compileremo un ragionevole questionario di sicurezza.

1. Che cosa la Piattaforma non fa

• Non detiene denaro. Il Gestore non riceve, non detiene né trasferisce fondi delle parti degli Accordi e non presta servizi di pagamento; i pagamenti avvengono direttamente dal conto dell'Acquirente al conto del Fornitore. La Piattaforma si limita a visualizzare le istruzioni di pagamento e a tenere registrazioni (articolo 7 delle Condizioni generali).
• Non addestra modelli sui vostri dati. Non utilizziamo i Contenuti degli Utenti per addestrare modelli di intelligenza artificiale; in base al contratto, non li utilizza a tal fine neppure il fornitore del modello generativo.
• Non lascia negoziare l'IA generativa. Gli Agenti sono regole deterministiche; il modello generativo si limita a convertire listini non strutturati e il risultato è sempre controllato da una persona (Politica sull'uso dell'intelligenza artificiale).
• Non vi traccia. Né l'app né le pagine legali caricano codici analitici, pubblicitari o di tracciamento, né caratteri o script di terzi. La lingua della pagina è scelta in base alle impostazioni del vostro browser, senza interrogare altri servizi.
• Non vende dati. Non vendiamo dati personali né dati commerciali; i confronti di mercato sono pubblicati solo in forma anonimizzata e aggregata, sulla base di accordi di almeno due Fornitori diversi.

2. Accesso e account

• Tutte le comunicazioni con la Piattaforma avvengono in forma cifrata tramite HTTPS (TLS).
• Le password sono conservate solo come hash Argon2id. I codici di recupero, le sessioni di accesso e le chiavi API sono conservati solo come hash crittografico; una chiave API viene visualizzata soltanto al momento della creazione.
• Il cookie di sessione è HttpOnly, Secure e SameSite=Lax; per le richieste che modificano i dati controlliamo l'intestazione Origin (protezione contro CSRF).
• Dopo 5 tentativi di accesso non riusciti l'account viene bloccato per 15 minuti; la modifica della password disconnette tutti i dispositivi. L'API è soggetta a limiti al numero di richieste.
• Chi può fare che cosa è determinato dai ruoli assegnati dall'Amministratore dell'Organizzazione (ad es. il diritto di approvare le Offerte). L'Amministratore dell'Organizzazione crea, denomina e revoca le chiavi API e vede le registrazioni di audit della propria Organizzazione.

3. Separazione dei clienti

Ogni accesso ai dati è limitato all'Organizzazione dell'Utente connesso o della chiave API; la Piattaforma respinge qualsiasi richiesta di dati di un'altra Organizzazione. Test automatici verificano tale separazione a ogni modifica. I dati dimostrativi (demo) sono separati dai dati delle imprese reali. Prima della conclusione di un Accordo la controparte non vede né l'identità né i limiti dell'altra parte.

4. Integrità e verificabilità delle registrazioni

• Catena di audit. Registriamo le operazioni rilevanti in una catena alla quale le registrazioni possono soltanto essere aggiunte. Ogni registrazione contiene l'hash della registrazione precedente e un trigger della banca dati impedisce la modifica o la cancellazione delle registrazioni, cosicché qualsiasi manomissione è rilevabile.
• Firme Ed25519. I Mandati, le Conferme, i Record AP2 (IntentMandate, CartMandate, PaymentMandate) e le esportazioni della Catena di audit sono firmati con la chiave della Piattaforma. La chiave pubblica (algoritmo, chiave e relativo identificativo) è disponibile all'indirizzo https://app.negotiq.synqflows.com/api/trust/public-key e in formato JWKS all'indirizzo https://app.negotiq.synqflows.com/.well-known/jwks.json; i Record AP2 recano firme in formato JWS (EdDSA). Le firme dei Mandati, delle Conferme e dei Record AP2 possono essere verificate anche direttamente tramite gli endpoint di verifica dell'API.
• Verifica pubblica. All'indirizzo https://app.negotiq.synqflows.com/api/trust/chain chiunque può verificare se la Catena di audit è integra, incluso l'ultimo hash firmato; https://app.negotiq.synqflows.com/api/trust/status mostra che l'ambiente di produzione non utilizza chiavi di firma o di cifratura di sviluppo.
• Attestazione in custodia. Le registrazioni sono firmate dal Gestore con la propria chiave, non con chiavi detenute dalle parti. La firma prova che la registrazione è stata generata sulla Piattaforma e non è stata modificata dopo la firma; di per sé non prova che una parte l'abbia firmata — il collegamento con la persona che agisce è assicurato dall'accesso, dai ruoli e dalla Catena di audit. In caso di sostituzione della chiave pubblicheremo la nuova chiave con un nuovo identificativo e manterremo disponibili le precedenti chiavi pubbliche per la verifica delle registrazioni meno recenti.
• Webhook. Le notifiche sono firmate con HMAC-SHA256 secondo la specifica Standard Webhooks (intestazioni webhook-id, webhook-timestamp, webhook-signature). Verificate sia la firma sia l'età del messaggio e conservate la chiave segreta al di fuori del codice sorgente.

5. Protezione dei dati

• Cifratura dei dati in transito (TLS) e a riposo presso il fornitore di hosting.
• Le credenziali di accesso ai sistemi collegati (ERP) e le chiavi segrete di firma dei Webhook sono cifrate con l'algoritmo AES-256-GCM. Le credenziali di accesso sono utilizzate soltanto per scaricare il listino su istruzione di un Utente; per il collegamento raccomandiamo di creare un utente dedicato con accesso in sola lettura e con le autorizzazioni minime necessarie.
• Gli allegati sono accettati solo nei formati e nelle dimensioni consentiti, sono messi a disposizione solo delle persone autorizzate e sempre come download, mai visualizzati nel browser.
• I messaggi inviati all'Indirizzo di ricezione sono importati automaticamente solo se provenienti da Mittenti verificati; gli altri attendono conferma nell'app. Mittente, oggetto, ora di ricezione e allegati sono cancellati dopo 90 giorni.
• Gli Agenti non interpretano il contenuto di listini, specifiche, allegati o e-mail come istruzioni (protezione contro l'inserimento di istruzioni, cosiddetta prompt injection).
• Per i potenziali fornitori conserviamo esclusivamente contatti aziendali generici.

6. Esercizio, backup e log

• L'applicazione e la banca dati sono ospitate presso il fornitore di hosting indicato alla sezione 9. Effettuiamo regolarmente il backup della banca dati; i backup sono sovrascritti nel ciclo ordinario entro e non oltre 90 giorni.
• I log operativi (compresi gli indirizzi IP) e le registrazioni relative alla consegna dei Webhook sono conservati al massimo per 90 giorni, le registrazioni della Catena di audit per 10 anni.
• L'accesso all'ambiente di produzione è riservato al personale incaricato del Gestore vincolato alla riservatezza.
• Le dipendenze sono vincolate a versioni esatte. A ogni modifica verifichiamo automaticamente le invarianti di sicurezza: separazione delle Organizzazioni, rispetto dei limiti degli Agenti e riservatezza dei prezzi massimi e dei minimi.

7. Incidenti e notifica delle violazioni

1. Valutiamo ogni incidente di sicurezza, ne conteniamo l'impatto, ne eliminiamo la causa e lo documentiamo.
2. Informiamo i clienti interessati dall'incidente senza ingiustificato ritardo. Notifichiamo al Titolare una violazione dei dati personali che trattiamo in qualità di responsabile del trattamento entro e non oltre 48 ore dal momento in cui ne siamo venuti a conoscenza (articolo 5 del Contratto per il trattamento dei dati personali).
3. Qualora siamo titolari del trattamento, notifichiamo una violazione dei dati personali all'Ufficio ceco per la protezione dei dati personali entro 72 ore dal momento in cui ne siamo venuti a conoscenza, a meno che sia improbabile che la violazione presenti un rischio per i diritti e le libertà delle persone fisiche (articolo 33 del RGPD); in caso di rischio elevato informiamo senza ingiustificato ritardo anche le persone interessate (articolo 34 del RGPD).
4. Dopo la chiusura di un incidente forniamo su richiesta ai clienti interessati una sintesi delle cause e delle misure adottate.

8. Segnalazione di vulnerabilità

Vi preghiamo di segnalare le vulnerabilità all'indirizzo inquiry@negotiq.synqflows.com. I contatti e le regole sono disponibili anche nel file leggibile da macchina https://app.negotiq.synqflows.com/.well-known/security.txt.

• Indicate la descrizione della vulnerabilità, l'indirizzo o l'interfaccia interessati, i passaggi per riprodurla e il possibile impatto; si accettano comunicazioni in ceco o in inglese.
• Confermeremo la ricezione della segnalazione senza ingiustificato ritardo, vi terremo informati sugli sviluppi e, dopo la correzione, con il vostro consenso, vi ringrazieremo pubblicamente. Non corrispondiamo ricompense in denaro (bug bounty).
• Regole: effettuate test solo sui vostri account e sui vostri dati; accedete ai dati di altre persone solo nella misura necessaria a dimostrare la vulnerabilità, non modificate né cancellate nulla e non conservate i dati ottenuti; non effettuate attacchi alla disponibilità (DoS), ingegneria sociale, phishing né attacchi fisici; non inviate messaggi massivi agli Indirizzi di ricezione; non divulgate la vulnerabilità finché non l'avremo corretta o finché non saranno trascorsi 90 giorni dalla segnalazione, salvo diverso accordo.
• Porto sicuro (safe harbour): consideriamo autorizzata la ricerca svolta in buona fede e nel rispetto delle presenti regole e prestiamo il nostro consenso all'accesso in tale ambito. Non intraprenderemo azioni legali nei vostri confronti né presenteremo denuncia penale e, qualora tali azioni fossero avviate da un terzo, confermeremo che avete agito nel rispetto delle presenti regole. Non possiamo prestare il consenso per conto di terzi (ad es. il fornitore di hosting o i Servizi di terzi).

9. Ubicazione dei dati e sub-responsabili

L'elenco vincolante e le regole per le modifiche (comunicazione con almeno 14 giorni di preavviso e diritto di opposizione) sono contenuti nel Contratto per il trattamento dei dati personali (articolo 4). I sistemi scelti dall'Organizzazione (ERP, feed di prodotto, endpoint dei Webhook, agenti di terzi) non sono nostri responsabili del trattamento; trasmettiamo loro i dati su sua istruzione.

10. Continuità operativa

Ci adoperiamo per garantire la disponibilità continua, ma in assenza di un accordo sul livello di servizio (SLA) concluso per iscritto non garantiamo alcun livello di disponibilità né alcun tempo di ripristino. Effettuiamo regolarmente il backup della banca dati e, ove possibile, comunichiamo in anticipo la manutenzione programmata. Potete esportare in qualsiasi momento e gratuitamente i dati della vostra Organizzazione (JSON), nonché scaricare le Conferme e i Record AP2 e verificarli con la chiave pubblica anche senza accesso alla Piattaforma.

11. Contatti

• Sicurezza e vulnerabilità: inquiry@negotiq.synqflows.com
• Protezione dei dati personali: inquiry@negotiq.synqflows.com
• Altre richieste e punto di contatto ai sensi del DSA: inquiry@negotiq.synqflows.com