La sicurezza di DPP Host
Ultimo riesame: 30 settembre 2026
DPP Host è gestito da Qubites ApS, in Danimarca. Questa pagina descrive che cosa facciamo per proteggere i passaporti e i dati dei clienti e a che punto siamo con ciascun controllo della ISO/IEC 27002:2022.
A che punto siamo
DPP Host non è certificato ISO/IEC 27001.
Abbiamo valutato noi stessi i nostri controlli rispetto ai 93 controlli della ISO/IEC 27002:2022 e ne abbiamo riesaminato il risultato il 30 settembre 2026. Nessun auditor lo ha verificato. Di seguito sono elencati tutti i controlli, ciascuno con il proprio stato.
- 28 Attuato È operativo oggi e possiamo dimostrarlo.
- 53 In parte Una parte è operativa. Il resto è definito e ha un responsabile.
- 7 Pianificato Ha un responsabile e un evento che ne avvia l’attuazione. Non è ancora operativo.
- 5 Non applicabile Non si applica a DPP Host. Il motivo è documentato.
Che cosa facciamo
Dove sono i vostri dati
Il database, il sistema di accesso e le funzioni server sono ospitati a Francoforte (UE). I passaporti pubblicati, le immagini e i file dei fornitori sono conservati in Cloudflare R2 sotto la giurisdizione dell’UE. Alcuni dati sono trattati al di fuori dell’UE. Ad esempio, Cloudflare distribuisce le pagine dal data center più vicino al visitatore, Resend conserva per 30 giorni negli Stati Uniti una copia delle email che inviamo e i collegamenti delle app di IA sono memorizzati in Cloudflare Workers KV, che non è limitato all’UE.
Chi può vedere che cosa
Ogni tabella del database ha regole di accesso a livello di riga. I membri di un’organizzazione non possono leggere i dati di un’altra. La chiave pubblica usata dal sito web non può leggere né scrivere alcuna tabella. I dati dei servizi per i proprietari sono tenuti separati dai passaporti e non finiscono mai nelle copie pubbliche.
Nessuna pubblicazione senza una persona
Un assistente IA o un’integrazione possono preparare un passaporto. Una persona della vostra organizzazione lo approva dopo aver effettuato di nuovo l’accesso. Solo una chiave API a cui un amministratore ha concesso il diritto di pubblicazione può pubblicare in autonomia.
Chiavi
Le chiavi API vengono mostrate una sola volta e conservate solo come hash con chiave. Scadono, possono essere rinnovate con un periodo di sovrapposizione e smettono di funzionare quando chi le ha create lascia l’organizzazione.
In transito e a riposo
Tutte le connessioni usano TLS con HSTS. Il sito, la dashboard e le pagine dei passaporti inviano una Content Security Policy. I dati a riposo sono cifrati dai nostri fornitori.
Backup e continuità
I passaporti pubblicati sono serviti da una copia statica che resta online anche quando la dashboard o il database non sono disponibili. Ogni passaporto pubblicato viene copiato ogni notte in un bucket UE separato. Il nostro obiettivo è ripristinare i passaporti pubblicati entro 8 ore, con una perdita di dati di al massimo 24 ore. I passaporti pubblicati restano online per un periodo da 10 a 15 anni dalla pubblicazione, e un piano scritto di cessazione dell’attività stabilisce come restano online se DPP Host cessa l’attività.
Integrità
Ogni versione pubblicata ha un hash del contenuto con una marca temporale indipendente. Chiunque può verificare che non sia stata modificata.
Incidenti
Abbiamo una procedura scritta per gestire gli incidenti e le violazioni dei dati personali. Copre l’obbligo di notifica entro 72 ore previsto dal GDPR e il meccanismo di segnalazione e azione previsto dal regolamento sui servizi digitali.
I 93 controlli
La ISO/IEC 27002:2022 elenca 93 controlli suddivisi in quattro gruppi. Ogni riga riporta il numero del controllo, il suo titolo nella norma e il nostro stato al 30 settembre 2026. Che cosa facciamo per ciascun controllo, e dove, resta un’informazione interna, disponibile previo accordo di riservatezza (NDA).
5 Controlli organizzativi
37 controlli: 14 attuati, 21 attuati in parte, 2 pianificati, 0 non applicabili.
| N. | Controllo | Stato |
|---|---|---|
| 5.1 | Politiche per la sicurezza delle informazioni | In parte |
| 5.2 | Ruoli e responsabilità | Attuato |
| 5.3 | Separazione dei compiti | In parte |
| 5.4 | Responsabilità della direzione | Attuato |
| 5.5 | Contatti con le autorità | In parte |
| 5.6 | Contatti con gruppi specialistici | In parte |
| 5.7 | Informazioni sulle minacce | In parte |
| 5.8 | Sicurezza delle informazioni nella gestione dei progetti | Attuato |
| 5.9 | Inventario delle informazioni e degli altri asset associati | Attuato |
| 5.10 | Utilizzo accettabile delle informazioni e degli altri asset associati | Attuato |
| 5.11 | Restituzione degli asset | Pianificato |
| 5.12 | Classificazione delle informazioni | Attuato |
| 5.13 | Etichettatura delle informazioni | In parte |
| 5.14 | Trasferimento delle informazioni | Attuato |
| 5.15 | Controllo degli accessi | Attuato |
| 5.16 | Gestione delle identità | Attuato |
| 5.17 | Informazioni di autenticazione | In parte |
| 5.18 | Diritti di accesso | In parte |
| 5.19 | Sicurezza delle informazioni nei rapporti con i fornitori | In parte |
| 5.20 | Indirizzare la sicurezza delle informazioni negli accordi con i fornitori | In parte |
| 5.21 | Gestione della sicurezza delle informazioni nella filiera di fornitura dell’ICT | In parte |
| 5.22 | Monitoraggio, riesame e gestione dei cambiamenti dei servizi dei fornitori | In parte |
| 5.23 | Sicurezza delle informazioni per l’utilizzo dei servizi cloud | Attuato |
| 5.24 | Pianificazione e preparazione della gestione degli incidenti | In parte |
| 5.25 | Valutazione e decisione sugli eventi relativi alla sicurezza delle informazioni | Attuato |
| 5.26 | Risposta agli incidenti relativi alla sicurezza delle informazioni | In parte |
| 5.27 | Apprendimento dagli incidenti | Attuato |
| 5.28 | Raccolta di evidenze | In parte |
| 5.29 | Sicurezza delle informazioni durante le interruzioni | In parte |
| 5.30 | Prontezza dell’ICT per la continuità operativa | In parte |
| 5.31 | Requisiti legali, statutari, regolamentari e contrattuali | In parte |
| 5.32 | Diritti di proprietà intellettuale | Attuato |
| 5.33 | Protezione delle registrazioni | In parte |
| 5.34 | Privacy e protezione dei dati personali | In parte |
| 5.35 | Riesame indipendente della sicurezza delle informazioni | Pianificato |
| 5.36 | Conformità a politiche, regole e standard | In parte |
| 5.37 | Procedure operative documentate | Attuato |
6 Controlli relativi alle persone
8 controlli: 0 attuati, 3 attuati in parte, 5 pianificati, 0 non applicabili.
| N. | Controllo | Stato |
|---|---|---|
| 6.1 | Screening | Pianificato |
| 6.2 | Termini e condizioni di impiego | Pianificato |
| 6.3 | Consapevolezza, istruzione e formazione sulla sicurezza delle informazioni | In parte |
| 6.4 | Processo disciplinare | Pianificato |
| 6.5 | Responsabilità dopo la cessazione o la variazione del rapporto di lavoro | Pianificato |
| 6.6 | Accordi di riservatezza o di non divulgazione | Pianificato |
| 6.7 | Lavoro da remoto | In parte |
| 6.8 | Segnalazione degli eventi relativi alla sicurezza delle informazioni | In parte |
7 Controlli fisici
14 controlli: 0 attuati, 10 attuati in parte, 0 pianificati, 4 non applicabili.
| N. | Controllo | Stato |
|---|---|---|
| 7.1 | Perimetri di sicurezza fisica | In parte |
| 7.2 | Accesso fisico | In parte |
| 7.3 | Rendere sicuri uffici, locali e strutture | In parte |
| 7.4 | Monitoraggio della sicurezza fisica | Non applicabile |
| 7.5 | Protezione contro le minacce fisiche e ambientali | In parte |
| 7.6 | Lavoro in aree sicure | Non applicabile |
| 7.7 | Scrivania pulita e schermo pulito | In parte |
| 7.8 | Disposizione e protezione delle apparecchiature | In parte |
| 7.9 | Sicurezza degli asset all’esterno delle sedi | In parte |
| 7.10 | Supporti di memorizzazione | In parte |
| 7.11 | Servizi di supporto | Non applicabile |
| 7.12 | Sicurezza dei cablaggi | Non applicabile |
| 7.13 | Manutenzione delle apparecchiature | In parte |
| 7.14 | Dismissione sicura o riutilizzo delle apparecchiature | In parte |
8 Controlli tecnologici
34 controlli: 14 attuati, 19 attuati in parte, 0 pianificati, 1 non applicabili.
| N. | Controllo | Stato |
|---|---|---|
| 8.1 | Dispositivi terminali degli utenti | In parte |
| 8.2 | Diritti di accesso privilegiato | In parte |
| 8.3 | Limitazione dell’accesso alle informazioni | Attuato |
| 8.4 | Accesso al codice sorgente | In parte |
| 8.5 | Autenticazione sicura | In parte |
| 8.6 | Gestione della capacità | In parte |
| 8.7 | Protezione contro il malware | In parte |
| 8.8 | Gestione delle vulnerabilità tecniche | In parte |
| 8.9 | Gestione della configurazione | Attuato |
| 8.10 | Cancellazione delle informazioni | In parte |
| 8.11 | Mascheramento dei dati | Attuato |
| 8.12 | Prevenzione della fuga di dati | In parte |
| 8.13 | Backup delle informazioni | In parte |
| 8.14 | Ridondanza delle strutture per l’elaborazione delle informazioni | In parte |
| 8.15 | Raccolta dei log | In parte |
| 8.16 | Attività di monitoraggio | In parte |
| 8.17 | Sincronizzazione degli orologi | Attuato |
| 8.18 | Uso di programmi di utilità privilegiati | In parte |
| 8.19 | Installazione di software sui sistemi in esercizio | Attuato |
| 8.20 | Sicurezza delle reti | In parte |
| 8.21 | Sicurezza dei servizi di rete | In parte |
| 8.22 | Segregazione delle reti | Attuato |
| 8.23 | Filtraggio web | Non applicabile |
| 8.24 | Uso della crittografia | In parte |
| 8.25 | Ciclo di vita dello sviluppo sicuro | Attuato |
| 8.26 | Requisiti di sicurezza delle applicazioni | Attuato |
| 8.27 | Principi di architettura e di ingegnerizzazione sicura dei sistemi | Attuato |
| 8.28 | Codifica sicura | Attuato |
| 8.29 | Test di sicurezza nello sviluppo e nell’accettazione | Attuato |
| 8.30 | Sviluppo affidato all’esterno | In parte |
| 8.31 | Separazione degli ambienti di sviluppo, test e produzione | In parte |
| 8.32 | Gestione dei cambiamenti | Attuato |
| 8.33 | Informazioni di test | Attuato |
| 8.34 | Protezione dei sistemi informativi durante i test di audit | Attuato |
Fornitori
DPP Host si basa su questi fornitori. Le certificazioni sono quelle che ciascun fornitore dichiara nella propria pagina sulla sicurezza, controllate il 30 settembre 2026 e ricontrollate una volta all’anno. Riguardano il fornitore, non DPP Host: il nostro stato è indicato sopra.
| Fornitore | Che cosa fa per DPP Host | Certificazioni dichiarate dal fornitore |
|---|---|---|
| Cloudflare | Rete edge, Workers, archiviazione R2, DNS, instradamento delle email | ISO/IEC 27001, 27701 e 27018; SOC 2 Type II; PCI DSS |
| Supabase | Database, sistema di accesso e funzioni server a Francoforte | ISO/IEC 27001; SOC 2 Type 2; HIPAA |
| GitHub | Codice sorgente e CI | ISO/IEC 27001; SOC 1 e SOC 2 Type 2 |
| Resend | Invio delle email | SOC 2 Type II |
| Scaleway | Copie fuori sede: predisposte, per ora disattivate | ISO/IEC 27001; HDS |
Documenti e certificazione
La Dichiarazione di applicabilità completa e le nostre politiche sono disponibili su richiesta, previo accordo di riservatezza (NDA): hello@dpphost.eu.
Certificazione: quando lo richiederanno un cliente o le norme UE per i prestatori di servizi di passaporto digitale del prodotto.
Segnalazioni di sicurezza: hello@dpphost.eu. Privacy: privacy@dpphost.eu. Non pubblichiamo alcuna garanzia di uptime.
Stati aggiornati al riesame del 30 settembre 2026. Questa pagina cambia quando cambia la Dichiarazione di applicabilità.