Sicurezza e conformità

La piattaforma gira su un'infrastruttura cloud situata nell'UE, con i dati conservati principalmente a Francoforte, in Germania. I database si trovano in reti private, l'accesso avviene con token di breve durata e tutto il traffico esterno è cifrato con TLS 1.2+ e HSTS.

Manteniamo uno storage ridondante con backup automatici ogni sei ore e snapshot giornalieri per il ripristino a un punto nel tempo, conservati per 30 giorni.

• Dati a riposo: AES-256 nel database, password con hash (bcrypt/argon2id) e cifratura a livello di campo per i dati sensibili.
• Dati in transito: TLS 1.2 o superiore con suite di cifratura robuste, preload HSTS e rinnovo automatico dei certificati.
• Chiavi: gestite in un KMS, ruotate ogni trimestre e verificate a ogni accesso.

Applichiamo il principio del privilegio minimo e un controllo degli accessi basato sui ruoli (RBAC), implementato tramite una tabella `user_roles` dedicata e convalidato lato server con la sicurezza a livello di riga. Gli account amministratore richiedono l'autenticazione a due fattori e ogni accesso viene registrato in modo non modificabile.

Al personale che lascia l'azienda gli accessi vengono revocati entro 4 ore. I fornitori terzi accedono ai sistemi solo tramite account dedicati e verificabili.

Tutto il codice viene revisionato prima del rilascio. Eseguiamo analisi automatiche delle dipendenze (SCA), analisi statica (SAST), ricerca di segreti e test dinamici. Nessuna modifica in produzione va online senza una suite di test automatici, una revisione manuale e la possibilità di un rollback immediato.

Adottiamo OWASP Top 10 e OWASP API Security Top 10 come riferimento e affidiamo a terze parti indipendenti test di penetrazione annuali.

Tutte le attività sensibili vengono registrate centralmente per 12 mesi. Le anomalie generano avvisi in tempo reale. Manteniamo un piano documentato di risposta agli incidenti con un RTO di 4 ore e un RPO di 30 minuti per i servizi critici.

Le violazioni dei dati personali vengono notificate all'autorità di controllo entro 72 ore ai sensi dell'articolo 33 GDPR e gli interessati coinvolti vengono informati senza ingiustificato ritardo.

Workers Stay non conserva i dati completi delle carte di pagamento. Tutta la gestione delle carte avviene tramite Stripe, il nostro fornitore certificato PCI DSS. Rientriamo nell'ambito SAQ-A (il livello applicabile più basso) e non trattiamo CHD o SAD in chiaro.

Ci avvaliamo solo di sub-responsabili che rispettano standard di sicurezza equivalenti. L'elenco completo e aggiornato è disponibile nel nostro accordo sul trattamento dei dati (DPA). Le modifiche vengono comunicate ai clienti aziendali con almeno 30 giorni di preavviso.

Invitiamo i ricercatori di sicurezza a segnalare eventuali vulnerabilità a security@workersstay.com. Confermiamo la ricezione entro 48 ore, interveniamo in base alla priorità CVSS e non intraprenderemo azioni legali per segnalazioni effettuate nell'ambito di una ricerca in buona fede.

Ai clienti aziendali la cui collaborazione comporta il trattamento di dati personali (moduli di prenotazione, integrazioni CRM, elenchi di dipendenti alloggiati da noi) offriamo un DPA scritto prima dell'attivazione. Il nostro DPA standard è conforme all'articolo 28 GDPR e include le clausole contrattuali tipo UE (moduli 2 e 3, ove applicabili) per tutti i sub-responsabili situati al di fuori del SEE. Richiedi una copia del DPA in vigore a privacy@workersstay.com.

Ci avvaliamo di un numero limitato di sub-responsabili selezionati con cura. Ciascuno è vincolato da un accordo scritto che impone obblighi equivalenti in materia di protezione dei dati. Elenco attuale:

• Google LLC / Google Ireland Ltd: Google Workspace, Analytics, Ads, Maps (UE e USA, clausole contrattuali tipo).
• Meta Platforms Ireland Ltd: Meta Pixel e CAPI (UE).
• Supabase Inc.: database dell'applicazione e autenticazione (regione UE, Francoforte).
• Stripe Payments Europe Ltd: pagamenti con carta (UE, PCI DSS livello 1).
• Resend, Inc.: email transazionali (regione UE).
• Cloudflare, Inc.: DNS, WAF e distribuzione edge (globale, clausole contrattuali tipo).
• PostHog Inc.: analisi di prodotto (regione UE).

Informiamo per iscritto i clienti aziendali almeno 30 giorni prima di aggiungere o sostituire un sub-responsabile.

In caso di incidente confermato che riguardi dati di un cliente aziendale, lo notifichiamo al cliente interessato senza ingiustificato ritardo e al più tardi entro 48 ore dalla conferma. La notifica indica le categorie di dati coinvolte, le probabili conseguenze e le misure adottate per attenuarle. Parallelamente, le violazioni dei dati personali vengono notificate all'autorità di controllo entro 72 ore ai sensi dell'articolo 33 GDPR.

Tutti i membri del team e i collaboratori esterni sono vincolati da obblighi di riservatezza scritti che restano validi anche dopo la fine del rapporto. Su richiesta sono disponibili NDA reciproci prima delle trattative commerciali.

Ufficio Sicurezza: security@workersstay.com. Protezione dei dati: privacy@workersstay.com. Contatto generale: contact@workersstay.com. Indirizzo postale: Real Estate Ollopa11 Ltd, 128 City Road, London EC1V 2NX, Regno Unito.