Sicurezza delle informazioni

Nella progettazione, nello sviluppo e nell’esercizio dei nostri prodotti e servizi non ci basiamo sul presupposto che «superare un determinato posto di controllo significhi essere sicuri». Anziché fidarci di un perimetro (VPN, reti di enti pubblici, piattaforme raccomandate e simili), costruiamo i controlli secondo la minimizzazione dei dati, il minimo privilegio, la verifica continua e una progettazione che presuppone la violazione (l’approccio Zero Trust).

La gestione della sicurezza delle informazioni si basa sulla valutazione del rischio e sulla progettazione e gestione di controlli allineati al quadro ISO/IEC 27001 (ISMS). Stiamo preparando la certificazione secondo tale norma; una volta ottenuta, indicheremo su questa pagina l’ambito di certificazione e la data di scadenza.

Svolgiamo in modo continuativo i processi seguenti.

Non ammettiamo la sostituzione mediante autorità, del tipo «è sicuro perché è raccomandato» o «è sicuro perché è solo nazionale». Il nostro criterio è che la sicurezza sia spiegabile attraverso i processi e i controlli sopra indicati.

• Valutazione del rischio basata su asset, minacce e vulnerabilità, con registrazione del rischio residuo
• Selezione e attuazione di controlli tecnici e organizzativi in base al rischio
• Valutazione e rivalutazione dell’infrastruttura cloud (come Google Cloud) e dei fornitori e sub-responsabili
• Indagine, notifica e prevenzione della recidiva in caso di incidente (inclusi i confini di responsabilità)
• Riesame dell’efficacia dei controlli

Nel SaaS che offriamo (ad esempio Imaju) adottiamo, per quanto possibile, progettazioni che non raccolgono informazioni personali o dati aziendali e non li conservano a lungo termine. Alcuni prodotti si limitano ai metadati necessari a registrare recapito e connessione e non conservano né inoltrano il corpo dei contenuti degli utenti finali (vedere termini e policy di ciascun prodotto).

Le informazioni raccolte su questo sito istituzionale e tramite il nostro canale di contatto sono trattate conformemente all’Informativa sulla privacy. Il trattamento dei dati di ciascun prodotto è regolato dai documenti di quel prodotto.

Operiamo su piattaforme cloud dotate di certificazioni e audit di terzi riconosciuti a livello internazionale, sovrapponendo controlli a livello applicativo quali autenticazione, autorizzazione, cifratura, log e limitazione della frequenza. All’esito della valutazione del rischio, non adottiamo una dipendenza tecnica da una piattaforma nazionale a uso esclusivamente amministrativo nell’ambito del nostro ISMS.

Per guasti, funzionamento degradato ed eventi di sicurezza distinguiamo il rilevamento dalla conferma ed effettuiamo comunicazioni e registrazioni nella misura necessaria. Quando un prodotto dispone di una propria policy di monitoraggio e notifica, prevalgono i documenti di quel prodotto.

I confini di responsabilità, le registrazioni e la notifica al cliente in caso di incidente sono gestiti conformemente ai documenti di riferimento. Il solo fatto di «aver superato un posto di controllo» non è considerato adempimento della responsabilità di rendiconto.

Per i collegamenti ai documenti legali e di prodotto correlati, vedere di seguito.

• Informativa sulla privacy
• Imaju Terms / Imaju Privacy / Imaju Commerce Disclosure
• Imaju Security / Incident

La presente politica può essere rivista se necessario. Il contenuto rivisto ha effetto dalla pubblicazione sul Sito.

Ultimo aggiornamento: 6 settembre 2026