Sicurezza

Crittografia in transito

Tutto il traffico tra sito web, pannello e backend cloud è crittografato via HTTPS/TLS. Dati come informazioni account, modelli di tour e statistiche non vengono mai inviati in chiaro sulla rete.

DURANTE un tour, il sistema è offline per progettazione. Il telefono della guida funge da server sulla rete WiFi locale; i partecipanti scansionano un codice QR e si collegano sulla rete locale utilizzando http/ws. Quel traffico rimane sulla rete locale e non va su Internet. L'audio e le interazioni dei partecipanti rimangono sulla rete locale su cui il tour viene eseguito, quindi i dati del tour vengono mantenuti sui tuoi dispositivi e all'interno della rete locale per impostazione predefinita. L'unica eccezione è la traduzione in tempo reale, che la guida attiva esplicitamente: mentre è attiva la voce della guida viene trasmessa al nostro backend e a Google Gemini per la traduzione in tempo reale.

Autenticazione

Le sessioni del pannello sono gestite con un token di accesso a breve durata e un token di rinnovo a lunga durata. Il token di accesso è conservato in memoria; la sessione viene mantenuta tramite rinnovo silenzioso.

Sui conti è disponibile la verifica facoltativa in due passaggi (2FA / TOTP). Una volta attivata, oltre alla password si accede con un codice monouso dall'app di autenticazione.

Controllo degli accessi e autorizzazioni basate sui ruoli

I conti aziendali (organizzazione) utilizzano l'autorizzazione basata sui ruoli. I ruoli owner, manager e member hanno autorizzazioni diverse; un utente accede solo ai dati e alle operazioni consentite dal proprio ruolo.

Gli inviti, le modifiche di ruolo e la gestione dei membri sono effettuati da ruoli autorizzati. In tal modo, i dati dell'azienda e le statistiche rimangono accessibili solo alle persone autorizzate.

Minimizzazione dei dati e nessun tracciamento di terze parti

Raccogliamo solo i dati necessari per fornire il servizio. Evitiamo di richiedere dati superflui e limitiamo i dati raccolti a scopi specifici.

Il sito non esegue alcun tracker di terze parti né strumento di analitica. Il tuo browser conserva un token di autenticazione strettamente necessario e la tua scelta sul consenso ai cookie (localStorage: dw_refresh, dw_consent); e, se arrivi tramite un link di campagna o di referral, un'attribuzione delle campagne di prima parte (dw_attr_first, dw_attr_last) usata per misurare quale campagna ha portato a una registrazione. Non utilizziamo pixel pubblicitari di terze parti, fingerprinting né tracker cross-site.

I controlli sul tuo conto

Puoi cambiare la tua password in qualsiasi momento dal pannello.

Puoi chiudere tutte le sessioni attive con un'unica operazione disconnettendoti da tutti i dispositivi; utile se hai perso il dispositivo o in caso di situazione sospetta.

Puoi eliminare il tuo account dal pannello. Puoi inoltre richiedere l'esportazione di una copia dei tuoi dati.

Segnalazione di vulnerabilità

Se rilevi una vulnerabilità o una situazione sospetta, segnalaci i dettagli all'indirizzo [email protected]. Valuteremo la tua segnalazione e ti risponderemo in tempi ragionevoli.

Ci aspettiamo che i ricercatori di buona fede collaborino con noi secondo il principio della divulgazione responsabile (responsible disclosure): contattaci prima di pubblicare la scoperta e concedici un tempo ragionevole per la correzione.

Certificazioni e dettagli

Questa pagina descrive esclusivamente le misure attualmente implementate; non rivendichiamo alcuna certificazione che non possediamo. Le certificazioni di sicurezza ufficiali e un documento di sicurezza dettagliato (whitepaper) possono essere condivisi su richiesta e sono in fase di sviluppo.

Per valutazione aziendale, approvvigionamento o processi di conformità, puoi contattarci all'indirizzo [email protected].