Trust Center
Tutto ciò che possiamo dirti su come è protetta la piattaforma, su dove si trovano i tuoi dati e sulle certificazioni che abbiamo, comprese quelle che non abbiamo.
Framework a cui ci allineiamo o che stiamo perseguendo: lo stato attuale delle certificazioni è indicato più sotto.
Residenza dei dati e privacy
Conservati in Canada, su server che gestiamo noi.Archiviazione principale dei dati
Canada 🇨🇦
I dati dell'account, i risultati delle scansioni e i log sono conservati a Toronto, in Canada, su server di nostra proprietà che gestiamo noi. I backup notturni cifrati vengono copiati anche su Cloudflare R2, che non ha una posizione fissa; la chiave è soltanto in nostro possesso. Ogni sub-responsabile elencato più sotto riceve solo ciò che serve al suo servizio.
Cifratura a riposo
AES-256-GCM
I segreti e le credenziali memorizzate sono cifrati con AES-256-GCM. La chiave di cifratura è separata da quella che firma i token, risiede solo nell'ambiente del server e non viene mai scritta nel database, nei backup o nel repository.
Cifratura in transito
TLS 1.3
Tutto il traffico web e API usa TLS 1.3 con perfect forward secrecy. Le suite di cifratura sono limitate alle configurazioni più robuste disponibili.
Nessuna cattura del traffico
Mai
Non catturiamo né conserviamo mai il traffico di rete. Ciò che una scansione stampa, cioè l'output dello strumento e i risultati che ne vengono estratti, viene conservato perché tu possa leggerlo e creare report, e viene eliminato dopo 90 giorni.
Che cosa conserviamo
Principi del trattamento dei dati
Cifratura in transito e a riposo
TLS 1.3 con perfect forward secrecy su ogni connessione. I segreti e le credenziali memorizzate sono cifrati con AES-256-GCM, con una chiave tenuta separata da quella che firma i token.
Esecuzione isolata
Le scansioni vengono eseguite lato server in un container dedicato, un processo per ogni lavoro. Il comando viene suddiviso in token prima che vi vengano inseriti i tuoi valori, quindi non interviene alcuna shell, e ogni query è limitata alla tua organizzazione.
Controlli allineati a SOC 2
Infrastruttura progettata secondo i Trust Services Criteria di SOC 2 (sicurezza, disponibilità, riservatezza, privacy). L'audit di Tipo II non è stato completato: la tabella dei framework più sotto indica esattamente a che punto è ciascuno.
Log di audit in sola aggiunta
Le azioni privilegiate vengono scritte in un log di audit in sola aggiunta, limitato alla tua organizzazione e consultabile dalla dashboard. I log sono conservati per un anno.
MFA, SSO e ruoli
Autenticazione a più fattori tramite TOTP con codici di backup monouso. Single sign-on SAML 2.0, OIDC e LDAP / Active Directory nel piano Enterprise. Il controllo degli accessi basato sui ruoli è applicato sul server, non nell'interfaccia.
Strumenti mantenuti da noi
Le immagini degli scanner e i loro template di vulnerabilità vengono ricostruiti e ridistribuiti da noi. Non aggiorni mai uno scanner e non devi mai applicare patch a una macchina Kali.
Minimizzazione dei dati
Conserviamo i metadati e i risultati delle scansioni, non il traffico grezzo. La conservazione è configurabile e puoi esportare o eliminare i tuoi dati in qualsiasi momento. Articolo 5, paragrafo 1, lettera c) del GDPR.
Monitoraggio della piattaforma
Limiti di frequenza con fasce di costo su ogni endpoint, rilevamento statistico delle anomalie nell'attività degli account e watchdog che riavviano un servizio in errore senza attendere l'intervento di una persona.
security.txt (RFC 9116)
Il nostro file di contatto per la sicurezza, pienamente conforme a IETF RFC 9116. Viene rilevato automaticamente dai motori di ricerca e dai ricercatori di sicurezza.
# CyberSec Pro Security Policy
# RFC 9116 Compliant
Contact: mailto:security@cyber-sec-pro.com
Contact: https://cyber-sec-pro.com/trust-center#responsible-disclosure
Acknowledgments: https://cyber-sec-pro.com/trust-center#acknowledgments
Policy: https://cyber-sec-pro.com/trust-center#responsible-disclosure
Hiring: https://cyber-sec-pro.com/careers
Preferred-Languages: en, tr
Canonical: https://cyber-sec-pro.com/.well-known/security.txt
Expires: 2027-07-31T23:59:59.000Z
Divulgazione responsabile
1Ambito
In ambito:
- cyber-sec-pro.com e i suoi sottodomini
- app.cyber-sec-pro.com — la piattaforma SaaS
- api.cyber-sec-pro.com — l'API REST
Fuori ambito:
- Ingegneria sociale e phishing
- Denial of service (DoS/DDoS)
- Sicurezza fisica
- Servizi di terze parti che non gestiamo noi
2Canale di segnalazione
Segnala le vulnerabilità di sicurezza a: security@cyber-sec-pro.com
Modello di segnalazione:
- Oggetto: [SECURITY] breve descrizione
- Risorsa interessata: URL o endpoint
- Tipo di vulnerabilità: XSS, SQLi, IDOR, …
- Passaggi per riprodurla: 1, 2, 3 …
- Impatto: esposizione di dati, escalation dei privilegi, …
- Punteggio CVSS (facoltativo)
- Proof of concept o screenshot
3Tempi di risposta
- Prima risposta: ≤ 24 hours
- Aggiornamento di stato: ≤ 72 hours
- Correzione o eccezione: ≤ 90 days
4Safe harbor
- Nessuna azione legale per le segnalazioni conformi a questa politica
- L'identità di chi segnala resta riservata
- Inserimento nella Hall of Fame dopo la correzione
- I test senza autorizzazione scritta sono vietati
Framework di conformità
4/10 ConformeObiettivi di risposta agli incidenti
Obiettivi sulla rapidità con cui interveniamo una volta che un incidente viene rilevato o segnalato a security@cyber-sec-pro.com. CyberSec Pro è gestito da una sola persona, quindi il tempo decorre dalle 07:00 alle 23:00 (ora di Toronto), tutti i giorni; per una segnalazione arrivata di notte decorre dalle 07:00. I termini di legge per la notifica di una violazione decorrono 24 ore su 24. Si tratta di obiettivi, non di impegni contrattuali. La procedura segue le fasi di NIST SP 800-61: rilevamento, contenimento, eliminazione, ripristino, revisione.
| Priorità | Risposta | Notifica | Risoluzione |
|---|---|---|---|
| P0 — Critica | ≤ 1 ora | ≤ 4 ore | ≤ 24 ore |
| P1 — Alta | ≤ 4 ore | ≤ 24 ore | ≤ 72 ore |
| P2 — Media | ≤ 24 ore | ≤ 72 ore | ≤ 7 giorni |
| P3 — Bassa | ≤ 3 giorni | ≤ 7 giorni | ≤ 30 giorni |
Sub-responsabili
Terze parti che trattano dati personali per nostro conto (art. 28 GDPR). Ogni DPA fa parte delle condizioni del fornitore stesso, accettate con l'account; non conserviamo copie firmate separatamente. Gmail è l'eccezione: è un account consumer e Google non offre un DPA per questo tipo di account.
| Fornitore | Finalità | Sede | DPA |
|---|---|---|---|
| Stripe, Inc. | Elaborazione dei pagamenti | Stati Uniti (SCC UE + DPF) | ✓ In vigore |
| Cloudflare, Inc. | Protezione DDoS, WAF, CDN, terminazione TLS, statistiche web senza cookie, instradamento della posta in arrivo | Rete globale (SCC UE + DPF) | ✓ In vigore |
| Brevo (Sendinblue SAS) | E-mail transazionali, con tracciamento dei clic sui link | UE (SCC UE) | ✓ In vigore |
| Google (Gmail) | La nostra casella di posta in arrivo: i messaggi inviati ai nostri indirizzi | Stati Uniti (SCC UE + DPF) | Nessuno |
| Cloudflare R2 | Archiviazione esterna dei backup cifrati del database, ciascuno conservato per 30 giorni | Collocazione automatica, nessuna giurisdizione impostata (cifrato; l'unica chiave è in nostro possesso) | ✓ In vigore |
| Google Analytics | Statistiche aggregate sull'uso del sito | Stati Uniti (SCC UE + DPF) | ✓ In vigore |
Ultimo aggiornamento: novembre 2026. Ogni modifica a questo elenco viene pubblicata qui e nell'informativa sulla privacy il giorno in cui entra in vigore. Le più recenti: Brevo ha sostituito Mailjet il 29 settembre 2026, dopo che Mailjet ha chiuso il nostro account. Il 30 ottobre 2026 la riga di Brevo è stata corretta per indicare che Brevo traccia i clic sui link, cosa che faceva fin dall'inizio. Il 4 novembre 2026 Gmail ha smesso di inoltrare la nostra posta in uscita; resta soltanto la nostra casella di posta in arrivo.
Accordo sul trattamento dei dati (DPA)
Ogni cliente può avere un accordo sul trattamento dei dati ai sensi dell'articolo 28 del GDPR: chiedilo e te lo inviamo per la firma. I dati personali provenienti dall'UE e dal Regno Unito ci arrivano in Canada in base alle decisioni di adeguatezza che entrambi hanno adottato per il Canada, quindi questo trasferimento non richiede clausole contrattuali tipo. La nostra informativa sulla privacy elenca ogni sub-responsabile, dove si trova e che cosa riceve.
Ambito del DPA
- Finalità e mezzi del trattamento
- Categorie di dati personali e di interessati
- L'elenco dei sub-responsabili e il modo in cui ne vengono approvati di nuovi
- Misure tecniche e organizzative (TOM)
- Notifica delle violazioni, senza ingiustificato ritardo ed entro 72 ore
- Trasferimenti internazionali e la garanzia su cui ciascuno si basa
Valutazione d'impatto sulla protezione dei dati
✓ Approvata, novembre 2026A novembre 2026 abbiamo svolto una valutazione d'impatto sulla protezione dei dati ai sensi dell'articolo 35 del GDPR sull'intero servizio, comprese le scansioni, l'identificazione dei dispositivi e i controlli settimanali della rete. È un'autovalutazione approvata dal nostro fondatore; non è stata esaminata da un responsabile della protezione dei dati (non ne è stato nominato uno, né è richiesto) né da un'autorità di controllo. Nessun rischio residuo è stato valutato come elevato. La rivediamo ogni anno e prima di ogni modifica ai dati personali che trattiamo. I clienti possono richiederne una copia.
Test e audit di sicurezza
Test di sicurezza interni e continui con la nostra stessa piattaforma e con revisione manuale. È previsto un penetration test indipendente di terze parti; una volta completato, i report di sintesi saranno disponibili per i clienti Enterprise previo accordo di riservatezza (NDA).
Nuclei 3.11 + Wapiti 3.2, run against production
Ambito: https://app.cyber-sec-pro.com — template per TLS, header, CORS, configurazioni errate ed esposizioni, più test di XSS, SQLi e open redirect
Risultati: 0 critici, 0 alti, 0 medi, 14 informativi. Wapiti: 0 vulnerabilità.
CyberSec Pro Security Team (internal)
Ambito: Autenticazione, autorizzazione, gestione dei segreti, chiavi API, MFA, SSO e gestione delle sessioni, sull'intero repository
Risultati: Diversi controlli sono risultati non funzionanti in produzione e sono stati ricostruiti; i segreti che proteggevano sono stati ruotati. Ogni correzione è presidiata da un test di regressione.
Hall of Fame della sicurezza
Ringraziamo i ricercatori che segnalano vulnerabilità nel rispetto della nostra politica di divulgazione responsabile.
Segnalando una vulnerabilità potresti essere il primo ricercatore inserito nella nostra Hall of Fame.
Segnala una vulnerabilitàContatto per la sicurezza
Sicurezza: security@cyber-sec-pro.com
Legale/DPA: legal@cyber-sec-pro.com
Privacy: privacy@cyber-sec-pro.com
Ultimo aggiornamento del Trust Center: settembre 2026 · Versione della politica: 2.2.0 · Prossima revisione: marzo 2027