Sicurezza e segnalazione vulnerabilità
Come CaliMoney protegge il tuo account e come segnalare una vulnerabilità di sicurezza.
Come proteggiamo i tuoi dati
- In transito: ogni connessione a CaliMoney e a Firebase usa HTTPS (TLS).
- A riposo: i dati sono conservati in Google Cloud Firestore nell'UE (
europe-west8), cifrati a riposo da Google. Con la cifratura end-to-end attiva, i dettagli dei tuoi movimenti vengono cifrati anche sul tuo dispositivo con una chiave che possiedi solo tu. - Controllo degli accessi: le regole di sicurezza di Firestore consentono a ogni account di leggere e scrivere solo i propri documenti. I record riservati al server (limiti di richieste, token di recupero, registro delle notifiche, feedback) non sono leggibili da alcun client.
- Protezione dell'account: autenticazione a due fattori (TOTP) opzionale, limiti di richieste sugli endpoint sensibili e blocco automatico dopo 15 minuti di inattività quando la cifratura è attiva. Lo sblocco biometrico opzionale tiene la chiave sigillata sul dispositivo con una passkey che richiede volto, impronta o PIN.
- Funzioni AI: le richieste ai fornitori AI usano la conservazione zero dei dati — prompt e risposte non vengono memorizzati né usati per l'addestramento.
- Aggiornamenti: CaliMoney è una web app. Le correzioni di sicurezza arrivano a tutti al successivo caricamento della pagina, senza installare nulla; le dipendenze vengono verificate automaticamente a ogni modifica.
Segnalare una vulnerabilità
Se ritieni di aver trovato una vulnerabilità di sicurezza, scrivi a support@calimoney.it con oggetto "Sicurezza" indicando:
- una descrizione del problema e del suo impatto,
- i passaggi per riprodurlo (URL, richieste, screenshot),
- se ritieni che sia sfruttato attivamente.
Cosa aspettarti:
- una conferma di ricezione entro 5 giorni lavorativi;
- aggiornamenti durante l'analisi e la correzione;
- un riconoscimento nell'annuncio della correzione, se lo desideri.
Esegui i test solo con il tuo account, non accedere né modificare i dati di altri utenti, evita di degradare il servizio e concedici un tempo ragionevole per correggere il problema prima di renderlo pubblico. Non intraprenderemo azioni contro ricerche svolte in buona fede nel rispetto di queste regole.
Il file di contatto leggibile dalle macchine è pubblicato su /.well-known/security.txt.
Se qualcosa va storto
Se una violazione dei dati personali può comportare un rischio per i tuoi diritti, la notificheremo al Garante per la protezione dei dati personali entro 72 ore e informeremo senza ingiustificato ritardo gli utenti coinvolti, come previsto dal GDPR (articoli 33–34).