Säkerhet och rapportering av sårbarheter
Så skyddar CaliMoney ditt konto och så rapporterar du en säkerhetsbrist
Så skyddas din data
- Under överföring: varje anslutning till CaliMoney och till Firebase använder HTTPS (TLS).
- Vid lagring: datan lagras i Google Cloud Firestore inom EU (
europe-west8), krypterad i vila av Google. Med end-to-end-kryptering påslagen krypteras dessutom detaljerna i dina transaktioner på din enhet med en nyckel som bara du har. - Åtkomstkontroll: Firestores säkerhetsregler låter varje konto läsa och skriva bara sina egna dokument. Poster som bara servern får röra (hastighetsbegränsningar, återställningstoken, aviseringsloggar, feedback) kan ingen klient läsa.
- Kontoskydd: valfri tvåfaktorsautentisering (TOTP), hastighetsbegränsningar på känsliga ändpunkter och automatisk låsning efter 15 minuters inaktivitet när kryptering är på. Valfri biometrisk upplåsning håller nyckeln förseglad på enheten under en passkey som kräver ditt ansikte, ditt fingeravtryck eller din PIN.
- AI-funktioner: förfrågningar till AI-leverantörer görs utan datalagring – prompter och svar sparas inte och används inte för träning.
- Uppdateringar: CaliMoney är en webbapp. Säkerhetsrättningar når varje användare nästa gång sidan laddas, utan att något behöver installeras; beroenden granskas automatiskt vid varje ändring.
Rapportera en sårbarhet
Om du tror att du har hittat en säkerhetsbrist, mejla support@calimoney.it med ämnet "Security" och ta med:
- en beskrivning av problemet och dess påverkan,
- stegen för att återskapa det (URL:er, förfrågningar, skärmbilder),
- om du tror att det utnyttjas aktivt.
Vad du kan förvänta dig:
- en bekräftelse inom 5 arbetsdagar;
- uppdateringar medan vi utreder och rättar;
- omnämnande i meddelandet om rättningen om du vill.
Testa bara med ditt eget konto, gå inte in i eller ändra andra användares data, undvik att försämra tjänsten och ge oss rimlig tid att rätta problemet innan du offentliggör det. Vi vidtar inga åtgärder mot forskning i god tro som följer de här reglerna.
Den maskinläsbara kontaktfilen finns publicerad på /.well-known/security.txt.
Om något går fel
Om en personuppgiftsincident sannolikt innebär en risk för dina rättigheter anmäler vi den till den italienska dataskyddsmyndigheten (Garante) inom 72 timmar och informerar berörda användare utan onödigt dröjsmål, som GDPR kräver (artiklarna 33–34).