Come si muovono i dati

Il motore di analisi è scritto in Rust e compilato in WebAssembly. Quando apre la pagina di analisi, il browser scarica il modulo dal nostro server esattamente come scarica le immagini e gli script della pagina. Da lì in poi lavora soltanto il suo dispositivo:

• lei sceglie un file XLSX, e a leggerlo è il browser;
• la lettura del foglio, tutti i calcoli, la matrice delle classi e le raccomandazioni vengono eseguiti sul suo dispositivo;
• il rapporto viene costruito nello stesso posto, e l'esportazione in XLSX la compone il browser.

Il file non viene caricato sul server: né per intero, né a pezzi, né in una forma intermedia. Decine di migliaia di righe richiedono circa tre secondi, e non c'è dove calcolarle se non sulla sua macchina — lo si vede dal fatto che la velocità dipende dal suo hardware e non dal nostro carico.

Come verificarlo senza crederci sulla parola. Apra gli strumenti per sviluppatori del browser, la scheda «Rete», ed esegua un'analisi. Tra la scelta del file e la comparsa del rapporto non ci sarà una sola richiesta che invii dati: né al nostro dominio né a un altro. La verifica richiede un minuto e non serve l'accesso al nostro codice.

L'elenco è esaustivo. L'applicazione ha esattamente tre gruppi di indirizzi che accettano qualcosa dal browser, e non ce ne sono altri.

Account e accesso. Registrazione, accesso e uscita, rinnovo della sessione, recupero e cambio della password, nuovo invio dell'e-mail di conferma, accesso tramite Google. Vengono trasmessi: il suo indirizzo e-mail, la password (sul server resta solo il suo hash), il nome utente e la lingua dell'interfaccia.

Acquisto dell'accesso. Avvio dell'acquisto, ritorno dalla pagina di pagamento, disdetta dell'abbonamento, richiesta di rimborso, cronologia degli acquisti ed emissione della fattura o della nota di credito. Vengono trasmessi gli identificativi della sessione di pagamento, dell'abbonamento e della tariffa. I dati della carta non passano affatto per i nostri server: il pagamento avviene sulla pagina del fornitore di pagamenti, verso cui il browser si sposta per intero.

Un messaggio dal modulo di contatto. Solo se lo utilizza: nome, indirizzo e-mail, oggetto, testo del messaggio, lingua dell'interfaccia e pagina di invio.

Oltre a questo, il server web tiene un normale registro tecnico: indirizzo IP, indirizzo richiesto, ora e identificativo del browser. È grazie a esso che ci accorgiamo di un guasto o di un attacco, e ce l'ha qualunque sito.

Un indirizzo che accetti il file o i risultati dell'analisi non esiste. È un'affermazione verificabile e non una politica: nel codice non c'è alcun gestore di richieste del genere, quindi non esiste nemmeno un'impostazione che possa attivarlo.

• il file stesso e qualunque sua parte;
• le righe del foglio, i nomi e il contenuto delle colonne;
• i risultati dell'analisi: classi, coefficienti, totali, la matrice;
• le raccomandazioni costruite sui suoi dati;
• il rapporto che lei esporta.

Ne discende ciò per cui con ogni probabilità sta leggendo questa pagina: non sappiamo che cosa ha analizzato e non sappiamo nemmeno se abbia avviato un'analisi. Non abbiamo la metrica «quante volte è stato eseguito il calcolo»: non è raccoglibile senza inviarci i dati, e noi non li riceviamo. Per la stessa ragione le nostre regole di rimborso non dipendono dal fatto che lei abbia usato il servizio: non abbiamo modo di verificarlo.

Il rovescio della stessa proprietà, ed è bene saperlo: non potremo ripristinare la sua analisi. La scheda chiusa se la porta via, perché una copia non esisteva da nessuna parte se non nel suo browser.

• cb_access_token — il token che apre al motore la modalità completa. Conservato nella memoria locale, vale al massimo due ore e mai oltre il periodo pagato.
• cb_cms_jwt — il cookie con la sua sessione sul sito. Contrassegnato come httpOnly, quindi illeggibile dagli script della pagina, e vive fino a sette giorni.
• La registrazione della sua risposta al banner dei cookie, compresa la risposta «no».
• Il file stesso — solo nella memoria della pagina, finché è aperta. Non viene scritto né nella memoria locale, né nel database del browser, né nei file temporanei dell'applicazione, e sparisce insieme alla scheda.

Tutto quanto elencato è visibile negli strumenti per sviluppatori del browser e lei può cancellarlo in qualsiasi momento. L'elenco completo con i tempi di conservazione è nella Informativa sui cookie.

I nostri responsabili del trattamento e a che cosa serve ciascuno:

• il fornitore di hosting — sulla sua infrastruttura funzionano il sito e il database con gli account e gli acquisti;
• il fornitore di pagamenti (Stripe) — pagamenti, abbonamenti, rimborsi, fatture; il pagamento avviene sulle sue pagine;
• il relay di posta — conferme dell'indirizzo, link per cambiare la password, notifiche di acquisto e risposte alle richieste;
• Google — l'accesso tramite Google, se lo utilizza, e le statistiche delle visite.

Nessuno di loro riceve il file, le righe o i risultati dell'analisi: questi dati non sono presso di noi e, di conseguenza, nemmeno presso i nostri fornitori.

Sulle statistiche, senza giri di parole

Su tutte le pagine del sito, compresa la pagina di analisi, viene caricato il tag di Google Analytics. Lo diciamo apertamente, perché lo vedrà da sé nel primo minuto di qualunque verifica, e tacere l'evidente svaluterebbe tutto il resto di questa pagina.

Che cosa fa e che cosa non fa:

• conta le visualizzazioni di pagina: quale indirizzo è stato aperto, da dove arriva il visitatore, la lingua e il tipo di dispositivo;
• finché lei non risponde al banner dei cookie, il tag lavora nello stato «negato»: è caricato, ma non invia eventi e non crea cookie propri;
• non riceve il suo file, le righe, i risultati né le raccomandazioni. Nel documento della pagina non sono presenti in una forma leggibile da uno script esterno, e il tag non li legge;
• non viene usato per pubblicità né per profilazione.

Se nella sua organizzazione uno script esterno su una pagina di trattamento dei dati è di per sé inammissibile, ci scriva. È un requisito ragionevole e si risolve configurando l'ambiente, non discutendo che cosa raccolga esattamente il tag.

Che cosa non c'è nelle pagine

• I caratteri tipografici arrivano dal nostro dominio: sono incorporati nella build del sito, e il browser non invia alcuna richiesta a servizi di font esterni.
• Le immagini arrivano dal nostro dominio anche quando la loro origine è il nostro sistema di gestione dei contenuti: il browser non si collega a esso.
• Il motore di analisi viene caricato dal nostro dominio e non chiama nulla per conto proprio.
• Non ci sono reti pubblicitarie, widget di chat di terze parti, contatori dei social network né servizi di registrazione delle sessioni.

I dati della sua analisi. Non ne siamo né titolari né responsabili del trattamento: non li riceviamo. Il trattamento si svolge interamente sulla sua attrezzatura e resta suo; ai sensi del GDPR è la stessa cosa che aprire un file in un foglio di calcolo installato sul suo computer. Un accordo sul trattamento dei dati (DPA) relativo ai dati dell'analisi non c'è dunque con chi né su che cosa stipularlo: nessuna istruzione, nessuna comunicazione, nessun trattamento dalla nostra parte.

L'esperienza dice che questo campo del questionario spesso non può restare vuoto. La formulazione corretta: il fornitore non riceve i dati trattati nello strumento; il trattamento avviene localmente nel browser dell'utente; non sorge alcun rapporto di responsabile del trattamento.

Dati dell'account, acquisti e richieste. Qui siamo titolari del trattamento, con finalità e tempi di conservazione nostri, descritti nell' Informativa sulla privacy. È a questi dati che si riferiscono i diritti di accesso, rettifica, cancellazione e gli altri lì elencati.

Trasferimenti fuori dallo SEE. Possibili presso il fornitore di pagamenti e presso Google, sulla base di clausole contrattuali tipo e, ove applicabile, di una decisione di adeguatezza della Commissione europea. I dati dell'analisi non sono interessati: non attraversano alcun confine, perché non lasciano il suo dispositivo.

Preferiamo dirlo noi, invece di lasciarla cercare.

• Non abbiamo la certificazione ISO/IEC 27001 né un rapporto SOC 2.
• Non abbiamo un rapporto di test di penetrazione indipendente.
• Non abbiamo un servizio di risposta agli incidenti attivo 24 ore su 24 né un processo formale certificato di gestione delle vulnerabilità.
• Non abbiamo nominato un responsabile della protezione dei dati: la scala del trattamento non lo richiede.

Siamo un fornitore piccolo, e l'elenco riflette onestamente le nostre dimensioni. Qui conta altro: una certificazione attesta che un'organizzazione protegge bene i dati che ha ricevuto. I dati della sua analisi non li riceviamo — dalla nostra parte non c'è nulla da proteggere. Il rischio che la certificazione elimina, in questa parte è eliminato diversamente: non con una procedura, ma con l'assenza dei dati.

A tutto ciò che invece riceviamo — account, acquisti, richieste — questo ragionamento non si applica, e lì valgono le misure consuete: connessione cifrata, password conservata come hash, accesso limitato ai server, copie di sicurezza, registri. Li valuti con il metro ordinario, come per qualunque altro fornitore.

La data dell'edizione in vigore è indicata all'inizio della pagina. Ci impegniamo ad aggiornare questo testo con la stessa pubblicazione che modifica qualcosa di quanto descritto: ogni nuova chiamata al server, ogni nuovo script esterno sulla pagina di analisi. Una descrizione superata qui non è un'imprecisione di marketing, ma un'affermazione falsa resa a un revisore.

Se la sua decisione interna richiede documenti per il suo caso specifico — un questionario di sicurezza compilato, una sezione per la valutazione d'impatto (DPIA), un allegato al contratto —, scriva a checkbusiness.pl@gmail.com. Questi documenti li prepariamo su misura.