Sicurezza e fiducia

In breve

• Database, file e funzioni server si trovano in data center a Parigi, nell’Unione europea.
• Ogni azienda è separata da tutte le altre all’interno del database stesso.
• Secondo fattore tramite passkey, app di autenticazione, Threema o codice via e-mail.
• Il contratto per il trattamento dei dati si conclude online.
• Gli amministratori esportano da sé, in qualsiasi momento, tutti i dati della propria azienda.

Attestazioni e normative

Lo stato di ogni normativa e ciò che vale già oggi.

• GDPR

  Si applica

  Si applica direttamente, non esiste un certificato. Il contratto per il trattamento dei dati si conclude online, con checksum e prova dell’accettazione. L’allegato 2 descrive le misure tecniche e organizzative, l’allegato 3 i sub-responsabili. Segnaliamo le violazioni dei dati possibilmente entro 24 ore.

• Data Act UE (cambio di fornitore)

  Si applica

  Si applica dal 12 settembre 2025. Gli amministratori scaricano da sé tutti i dati della propria azienda, in formati aperti con descrizione. Vedi «Cambio di fornitore ed esportazione dei dati».

• ISO/IEC 27001

  Non certificato

  vivotempo non è certificato. Allineiamo misure e documentazione all’allegato A della norma. I data center dei nostri fornitori sono certificati, tra l’altro, secondo ISO/IEC 27001.

• Accessibilità (EN 301 549, WCAG 2.2)

  Parzialmente soddisfatto

  Parzialmente conforme al livello AA, accertato con un’autovalutazione con test automatici e verifiche manuali.

  Leggi la dichiarazione di accessibilità

• BSI C5

  Non verificato

  Nessuna attestazione. In Germania l’articolo 393 del libro V del codice sociale può richiedere a cliniche e studi medici un’attestazione C5 o una prova equivalente quando i dati sanitari sono trattati nel cloud. Parlatene con noi prima dell’uso.

• SOC 2

  Non verificato

  Nessun rapporto. SOC 2 non prevede livelli di conformità: o esiste il rapporto di un revisore, o no. Per questo non affermiamo nulla.

Luogo dei dati e fornitori

vivotempo funziona nella regione di Parigi, in Francia. Questi sub-responsabili lavorano per noi come concordato nell’allegato 3 del contratto per il trattamento dei dati:

• Vercel Inc.

  Hosting dell’applicazione e delle funzioni server, distribuzione del sito

  Regione di Parigi, Francia; sede negli Stati Uniti

  Pagina sicurezza del fornitore

• Supabase Inc.

  Database, accesso e archiviazione dei file

  Data center di Parigi, Francia; sede negli Stati Uniti

  Pagina sicurezza del fornitore

• Scaleway SAS

  Invio di e-mail

  Parigi, Francia

  Pagina sicurezza del fornitore

• Threema GmbH

  Codici di accesso tramite Threema, solo se si sceglie questo metodo

  Svizzera

  Pagina sicurezza del fornitore

Vercel e Supabase hanno sede negli Stati Uniti. Un accesso da lì è tutelato dal Data Privacy Framework UE-USA e dalle clausole contrattuali tipo della Commissione europea.

Le e-mail passano inoltre per un servizio di inoltro gestito dalla stessa Bergx2 GmbH.

Leggi il contratto per il trattamento dei dati con tutti gli allegati

Come proteggiamo i dati

• Aziende separate nel database

  Ogni tabella ha regole di accesso a livello di riga (Row Level Security). Una nuova tabella senza tali regole fa fallire un test automatico prima della pubblicazione.

• Un secondo fattore che conta davvero

  Chi ha configurato un secondo fattore non vede e non modifica nulla senza una sessione confermata. Lo verifica il database stesso a ogni accesso, non solo l’interfaccia. Dopo cinque tentativi falliti l’accesso viene bloccato.

• Ruoli

  Dipendente, responsabile di team, HR e amministratore con diritti graduati. I dati sanitari come i certificati di malattia sono visibili solo ai ruoli autorizzati.

• Registro

  Le modifiche a dati dei dipendenti, richieste, registrazioni orarie e impostazioni sono registrate con orario e persona che agisce. Le correzioni alle registrazioni orarie restano tracciabili. Le voci più vecchie di 24 mesi vengono archiviate, non cancellate.

• Crittografia

  Tutte le connessioni passano per TLS e HSTS vincola i browser a usarlo in modo permanente. Database e archivio file sono cifrati a riposo, le password sono conservate solo come hash.

• Modifiche verificate

  Ogni modifica al database è un file numerato e versionato. Prima di ogni pubblicazione test automatici verificano le regole di accesso, l’applicazione e l’interfaccia.

• Terminali

  I terminali di timbratura accedono con una propria chiave di dispositivo. Se la rete cade, conservano le timbrature e le inviano in seguito.

Cosa non facciamo

• Non vendiamo dati e non ne trasmettiamo per scopi pubblicitari.
• Non addestriamo modelli di IA con i vostri dati.
• Sito e app non caricano servizi pubblicitari o di analisi di terzi.
• Non riconosciamo emozioni e non classifichiamo le persone in base a caratteristiche. Il riconoscimento facciale al terminale è un metodo di accesso a scelta e serve solo a riconoscere chi timbra.

Cambio di fornitore ed esportazione dei dati

I vostri dati sono vostri. Nelle impostazioni gli amministratori scaricano tutti i dati della propria azienda come file ZIP, in qualsiasi momento e senza costi aggiuntivi. Contiene:

• per ogni tabella un file CSV e un file JSON con nomi di colonna fissi
• una descrizione dei campi (JSON Schema) e istruzioni per l’importazione
• i file caricati, ad esempio i certificati

Non sono inclusi credenziali e segreti come hash delle password, PIN, chiavi dei dispositivi, chiavi API e caratteristiche del volto. Non servono in nessun altro sistema e, se trasmessi, potrebbero solo nuocere.

Segnalare una vulnerabilità

Avete trovato una falla di sicurezza? Scrivete a info@bergx2.de con oggetto «Sicurezza».

Confermiamo la ricezione entro tre giorni lavorativi e rispondiamo con una valutazione entro dieci giorni lavorativi.

Chi ci segnala una vulnerabilità in buona fede, senza sfruttarla né pubblicarla prima che abbiamo potuto correggerla, non ha nulla da temere da noi.

Le stesse informazioni in forma leggibile da macchina secondo la RFC 9116: security.txt

Documenti su richiesta

Su richiesta motivata i clienti ricevono:

• i dettagli delle misure tecniche e organizzative (secondo l’articolo 9 del contratto per il trattamento dei dati)
• una descrizione del formato di esportazione
• risposte ai questionari di sicurezza

Al modulo di contatto