Versione del 14 ottobre 2026

Sicurezza e conformità

Questa pagina riassume le nostre misure di sicurezza per gli enti pubblici e le organizzazioni che valutano scopemy.city. Descrive la situazione reale, compreso ciò che resta da fare.

Cosa è in atto

• Sito, banca dati e foto ospitati in Svizzera presso un fornitore di hosting professionale.
• Comunicazioni cifrate in HTTPS, con HSTS.
• Password sottoposte a hash con bcrypt, mai memorizzate in chiaro.
• Query preparate per tutti gli accessi alla banca dati e protezione contro la falsificazione delle richieste su tutti i moduli.
• Firma dei messaggi WhatsApp verificata: un messaggio non firmato viene respinto.
• Accesso all'amministrazione limitato per ruolo e per città.
• Intestazioni di sicurezza (politica dei contenuti, divieto di integrazione in altri siti), file interni inaccessibili dal web.
• Limitazione del numero di tentativi di accesso e di messaggi.

Cosa è in corso

Un audit interno di settembre 2026 ha rilevato punti da correggere prima di qualsiasi messa in servizio per un ente pubblico. Le misure seguenti sono sviluppate e testate, salvo indicazione contraria; saranno in produzione con il prossimo rilascio. Aggiorniamo questa lista a ogni tappa.

• Correzione delle debolezze rilevate dall'audit nella gestione degli account.
• Backup giornaliero cifrato (chiave di decifratura fuori dal server), copia fuori sede e test di ripristino mensile.
• Autenticazione a due fattori obbligatoria per gli account di amministrazione.
• Foto ricodificate alla ricezione, il che ne rimuove i metadati (compresa la posizione), e conservate fuori dalla parte pubblica del sito fino alla pubblicazione.
• Test automatici obbligatori prima di ogni messa in produzione, ambiente di test separato, ritorno rapido alla versione precedente.
• Monitoraggio esterno della disponibilità e raccolta centralizzata degli errori.
• Test di intrusione da parte di un fornitore esterno prima del primo contratto: da commissionare.
• Dati in Svizzera: mappe e geocodifica tramite swisstopo, già sviluppate; invio delle e-mail tramite un fornitore svizzero o europeo: da scegliere.

Dove sono i dati

La banca dati e le foto sono in Svizzera. Le mappe di base e la geocodifica provengono da swisstopo, in Svizzera (in ripiego, la geocodifica usa Nominatim di OpenStreetMap, nel Regno Unito). I messaggi WhatsApp transitano da Meta, anche negli Stati Uniti. Le e-mail passano da un fornitore i cui dati di account si trovano negli Stati Uniti. I canali e-mail e SMS, se attivati, usano i fornitori indicati nella pagina Responsabili del trattamento.

Chi fa cosa

Su un'istanza di un ente pubblico, l'ente è titolare del trattamento e noi siamo il suo responsabile del trattamento. Trattiamo i dati solo secondo le sue istruzioni, e il contratto stabilisce le misure di sicurezza, la notifica degli incidenti, l'audit e la restituzione dei dati.

Documenti disponibili su richiesta

Per la vostra valutazione forniamo:

• il contratto di elaborazione dei dati, con gli allegati sulle misure tecniche e organizzative;
• un modello di valutazione d'impatto precompilato, con un allegato per la vostra legge cantonale;
• il nostro concetto di sicurezza, ispirato alla norma ISO 27001 e allo standard minimo TIC della Confederazione;
• la nostra offerta di supporto: disponibilità, tempi di risposta, backup e reversibilità;
• l'elenco aggiornato dei responsabili del trattamento.

Segnalare una vulnerabilità

Se scoprite una falla, scrivete a contact@scopemy.city senza renderla pubblica. Confermiamo la ricezione, correggiamo e vi teniamo informati.