Sicurezza

Sicurezza

La sicurezza dei tuoi dati personali è, per noi di Flo, una priorità assoluta. Comprendiamo che il tuo profilo dell'applicazione può contenere dati personali altamente sensibili. Per questa ragione, ogni giorno facciamo del nostro meglio per perfezionare al massimo le migliori pratiche e i migliori standard del settore.

Conformità legale

Flo si impegna a garantire la sicurezza e la protezione dei dati personali secondo i requisiti del Regolamento Generale sulla Protezione dei Dati dell'UE, del California Consumer Privacy Act ed di altre disposizioni.

Controlli di terze parti

Svolgiamo regolarmente controlli con l'aiuto di agenzie terze ben conosciute, al fine di monitorare e perfezionare i nostri processi e le nostre politiche di sicurezza interna.

Sicurezza fisica ed ambientale

Flo è conforme alle più alte norme del settore per controlli fisici, ambientali e di hosting. I data center di Flo, gestiti da Amazon Web Services, traggono vantaggio da nuovissimi approcci architetturali ed ingegneristici.

Sicurezza del prodotto

Server e connessione di rete

Utilizziamo Amazon Web Services per fornire un host a tutti gli ambienti di produzione. AWS è progettato per aiutarci a creare per la nostra applicazione un'infrastruttura sicura, dalle alte prestazioni, resiliente ed efficiente. I data center di AWS sono sicuri per costruzione ed sono certificati SOC1, SOC2 e SOC3. Tutti i nostri server di produzione sono sistemi immutabili, basati su Docker continuamente sottoposti ad aggiornamenti. Utilizziamo anche servizi AWS come VPC (Virtual Private Cloud), infrastrutture AWS multi-account, EKS (Elastic Kubernetes Service). Per proteggere la comunicazione di rete, usiamo il protocollo HTTPS crittografato mediante TLS (Transport Layer Security).

Criptaggio

Utilizziamo la KMS (Key Management Service) di AWS per creare e gestire codici, nonché per controllare l'uso del criptaggio nell'ambito di una vasta gamma di servizi AWS e della nostra applicazione.

Spazio di archivazione

Flo memorizza in punti di archiviazione diversi tutti i dati come metadati, attività, file originali e dati dei clienti. Tutti i dati sono crittografati con KMS in ogni punto di archiviazione.

I dati sensibili dell'utente finale vengono rimossi dai registri e gli ingegneri informatici di Flo non hanno accesso a tali dati.

Flo memorizza in punti di archiviazione diversi tutti i dati come metadati, attività, file originali e dati dei clienti. Tutti i dati sono crittografati con KMS in ogni punto di archiviazione.

I dati sensibili dell'utente finale vengono rimossi dai registri e gli ingegneri informatici di Flo non hanno accesso a tali dati.

Ambienti isolati

La Rete di produzione è isolata da altri ambienti di staging, sviluppo ed infrastruttura. Ogni ambiente è localizzato nell'account AWS a sé stante in reti VPC distinte.

Dati di pagamento del cliente

Tutti i pagamenti vengono elaborati tramite App Store, Google Play oppure Stripe: questi servizi si assumono la completa responsabilità per la sicurezza delle transazioni. Flo non archivia informazioni di sorta riguardanti le carte di credito.

Sicurezza progettuale

Gli ingegneri informatici di Flo sfruttano le migliori tecniche di sviluppo del prodotto, conformi agli standard del settore: ad esempio, lo sviluppo documentato e i processi di garanzia della qualità. Guidati dai principi cautelativi di riservatezza, integrità e ricettività, progettiamo la nostra applicazione in modo tale da ridurre i rischi di errori che condizionino la comparsa di falle vulnerabili.

Livelli e backup di servizio

L'infrastruttura di Flo utilizza molte tecniche stratificate per tempi di attività sempre più affidabili, inclusi l'uso del ridimensionamento automatico, del bilanciamento di carico, la gestione dei processi ed i deployment a rotazione. Operiamo giornalmente backup integrali automatizzati dei nostri database. Tutti i backup sono crittografati.

Monitoraggio e allerta del sistema

In Flo, l'applicazione di produzione e i componenti infrastrutturali di base sono monitorati 24 ore su 24, per tutti i giorni della settimana e per tutto l'anno, da sistemi di controllo dedicati. I segnali critici di allarme, generati da questi sistemi, sono inviati con modalità su richiesta 24/7/365 ai proprietari del servizio di assistenza e vengono intensificati in modo conforme alla gestione delle operazioni.

Verifica della vulnerabilità (grado di penetrazione)

Flo esegue regolarmente test di vulnerabilità condotti da aziende di punta nel settore della cybersecurity: tali test riguardano la configurazione di rete, l'infrastruttura e gli strati di applicazione. Questo test di vulnerabilità include l'uso di toolkit e scanner di sicurezza delle applicazioni web comunemente noti per identificare le vulnerabilità dell'applicazione prima che esse vengano rilasciate in produzione.

Gestione del traffico

Il pacchetto di sicurezza Cloudflare permette all'applicazione Flo di bloccare automaticamente il traffico pericoloso e di garantire l'affidabilità dell'applicazione. Indipendentemente dal luogo in cui si trovino le nostre utenti, Flo funziona senza problemi sui loro dispositivi grazie al routing intelligente del traffico. In tal maniera, i contenuti dell'app vengono trasferiti all'utente in tempo reale dal server Cloudflare più vicino.

Notifica di risposta agli incidenti e alla violazione dei dati

In conformità alle linee guida e alle normative internazionali, Flo ha fissato un processo che descrive le azioni da intraprendere non appena Flo Health abbia rilevato qualsiasi tipo di evento definibile come "incidente", inclusa una violazione dei dati personali.

La sicurezza come parte della cultura aziendale di Flo

Almeno una volta l'anno, il personale e i collaboratori esterni di Flo Health ricevono una formazione che li renda consapevoli dell'importanza del concetto di sicurezza e sono istruiti a svolgere le proprie funzioni e i propri obblighi professionali, relativi alla sicurezza delle informazioni, in maniera conforme alle politiche, alle procedure e agli accordi correlati. La squadra Flo addetta alla sicurezza dei dati rivede, aggiorna, testa, cura e migliora continuamente i programmi di sicurezza e riservatezza aziendali.