Sicurezza in Ojava
Come proteggiamo i suoi dati — e cosa non raccogliamo affatto.
Nessun contenuto di file o e-mail raccolto
Ojava raccoglie solo metadati: eventi di accesso, modifiche alle regole della casella di posta, autorizzazioni OAuth, sfide MFA, azioni di amministrazione. Non scarichiamo né conserviamo mai il corpo delle e-mail, gli allegati, i file OneDrive o i file Drive. Ciò che non serve per rilevare attacchi, non lo chiediamo.
Isolamento dei tenant
Ogni interrogazione al database è limitata all'organizzazione richiedente a livello applicativo; l'accesso fra tenant è impossibile per costruzione. Monitoriamo ogni richiesta autenticata e tracciamo le azioni privilegiate — consulti il registro di audit nel suo cruscotto.
Crittografia in transito e a riposo
Tutto il traffico è in TLS 1.3 (nessun downgrade). Database, object storage e backup sono crittografati a riposo con AES-256. I token OAuth sono inoltre crittografati a livello applicativo con Fernet, in modo da restare illeggibili anche con accesso al database.
Localizzazione dei dati nell'UE
La produzione gira su Hetzner Francoforte (Germania) — interamente all'interno dell'UE. I backup restano nell'UE. I sub-fornitori sono documentati nel DPA e rivisti ogni anno. Una localizzazione esclusivamente svizzera è sulla nostra roadmap per i clienti Enterprise.
Conformità GDPR e nDSG svizzero
Trattiamo i dati personali come responsabile del trattamento per conto della sua organizzazione. Un accordo sul trattamento dei dati (DPA) è disponibile su richiesta e fa parte di ogni contratto a pagamento. Supportiamo le richieste di accesso, esportazione e cancellazione tramite il suo account o via e-mail a privacy@ojava.ch.
Divulgazione responsabile
Ha individuato un problema di sicurezza? Scriva a security@ojava.ch con i dettagli tecnici. Confermiamo la ricezione entro 48 ore e coordineremo una correzione.
Roadmap SOC 2
Stiamo lavorando verso SOC 2 Type II per il secondo anno di attività. Nel frattempo i nostri controlli interni seguono il catalogo di controllo SOC 2 e comunichiamo ai clienti le modifiche sostanziali (sub-fornitori, DPA, cronologia degli incidenti).