Sicurezza e protezione dei dati

Come proteggiamo i dati che ci affidi

Dove stanno i dati, con quale cifratura, che prova resta di ogni firma e chi può vedere cosa. Ogni affermazione di questa pagina corrisponde a un meccanismo che gira in produzione.

9 minuti di lettura

In breve

Sei fatti, verificabili uno per uno nel resto della pagina.

• I dati restano in Europa — Applicazione e database sono ospitati a Francoforte, i documenti firmati sullo storage Cloudflare R2 in giurisdizione UE, le copie di sicurezza su un server in Germania. L’azienda è italiana: Florens Code S.r.l., Padova.
• Cifratura AES-256-GCM sui dati personali — Nome, cognome, telefono, residenza, codice fiscale, email e risposte di anamnesi sono cifrati riga per riga nel database, ognuno con un vettore di inizializzazione diverso. La chiave non sta nel database.
• Ogni firma lascia una prova — Codice OTP di sei cifre sul telefono del paziente, data e ora, indirizzo IP, dispositivo e impronta SHA-256 del PDF firmato. Il codice non viene mai conservato in chiaro: ne resta solo l’impronta.
• Il registro attività è a catena — Ogni voce contiene l’impronta della voce precedente: modificare una riga vecchia spezza la catena e si vede. Un controllo automatico la ricalcola tutta ogni notte alle 02:45 e salva l’esito.
• Copia di sicurezza cifrata ogni notte — Dump completo del database cifrato con AES-256, firmato con HMAC-SHA256, verificato dopo il caricamento e conservato 30 giorni su un server in Germania. I documenti su R2 sono replicati sullo stesso server una volta a settimana.
• Accessi protetti — Verifica in due passaggi con app di autenticazione e dieci codici di riserva monouso, blocco dell’account dopo dieci tentativi falliti, elenco dei dispositivi collegati e revoca di una sessione in qualsiasi momento.

Indice

• 01. Dove stanno i dati
• 02. Come sono protetti
• 03. La prova: firma, impronte e registro
• 04. Chi entra e cosa vede
• 05. Quanto restano e quando spariscono
• 06. Conformità e documenti
• 07. Domande frequenti

01. Dove stanno i dati

Tre cose diverse in tre posti diversi: il database, i documenti firmati, le copie di sicurezza. Un fornitore per ciascuno, tutti con un accordo di trattamento firmato.

Non gestiamo server fisici nostri. Usiamo fornitori specializzati, li dichiariamo tutti con nome, ruolo e paese, e per ognuno pubblichiamo il link al suo accordo sulla protezione dei dati. L’elenco completo e aggiornato è la pagina Sub-responsabili del trattamento: quello che segue è l’estratto che riguarda i dati dei tuoi pazienti.

Dove un fornitore può trattare dati fuori dallo Spazio economico europeo, il trasferimento è coperto dalle garanzie del Capo V del GDPR — decisione di adeguatezza oppure clausole contrattuali standard della Commissione. È scritto nella pagina dei sub-responsabili, fornitore per fornitore.

Le copie di sicurezza

Un processo separato dall’applicazione, che gira su una macchina diversa e con credenziali diverse, esegue ogni notte il ciclo completo.

• 1. Estrazione — Dump completo del database, in formato nativo PostgreSQL.
• 2. Compressione e cifratura — Il dump viene compresso e cifrato con AES-256, con una derivazione della chiave a 600.000 iterazioni. La chiave del backup è diversa da quella dell’applicazione: chi ha una non ha l’altra.
• 3. Firma — Del file cifrato si calcolano un’impronta SHA-256 e una firma HMAC-SHA256, caricate insieme al backup. Servono a dimostrare, al momento del ripristino, che il file è quello e che nessuno lo ha toccato.
• 4. Trasferimento e verifica — Il file parte via SFTP verso un server in Germania. Subito dopo il caricamento la firma viene riscaricata e confrontata: se non corrisponde, il backup è dichiarato fallito.
• 5. Conservazione — Ogni copia resta 30 giorni, poi viene cancellata. Esito positivo e fallimenti arrivano entrambi su un canale di allerta presidiato.

I documenti firmati, che non stanno nel database ma sullo storage a oggetti, vengono replicati una volta a settimana sullo stesso server in Germania.

02. Come sono protetti

Due problemi diversi: i dati fermi nel database e i dati in viaggio fra il telefono del paziente, il tuo browser e il nostro server. Si risolvono con strumenti diversi.

A riposo: cosa è cifrato e cosa no

La cifratura è applicativa: i valori entrano nel database già cifrati, con AES-256-GCM. La modalità GCM è autenticata — oltre a rendere il dato illeggibile produce un sigillo che al momento della lettura rivela se il contenuto è stato manomesso. Ogni valore ha un vettore di inizializzazione casuale diverso, quindi due pazienti con lo stesso cognome non hanno lo stesso cifrato.

Sono cifrati:

• Nome, cognome e numero di telefono del paziente, e le note che ci scrivi sopra
• Luogo e data di nascita, residenza, codice fiscale, documento estero ed email raccolti nel consenso
• I dati del minore e quelli del secondo genitore, nella doppia firma
• Le risposte dell’anamnesi e dei questionari personalizzati
• Motivo, patologia e note delle visite
• I dati di fatturazione del professionista
• Il segreto della verifica in due passaggi e i codici di backup

La chiave sta in una variabile d’ambiente del servizio applicativo: non è nel database e non è nel codice. Senza chiave il backend non parte nemmeno — all’avvio verifica di averla e, se manca, il processo termina invece di girare in chiaro.

Cercare senza decifrare

Per ritrovare un paziente dal numero di telefono senza decifrare mezzo archivio, accanto al dato cifrato salviamo un’impronta SHA-256 del valore normalizzato. L’impronta serve solo come chiave di ricerca e non è reversibile.

Va detto fino in fondo: un’impronta di questo tipo non è un secondo lucchetto. Un numero di telefono o un codice fiscale hanno poche combinazioni possibili, e chi avesse in mano il database potrebbe provarle tutte. Il dato che protegge davvero è quello cifrato; l’impronta è un indice, e la trattiamo come tale.

In transito

• HTTPS ovunque, con HSTS a un anno esteso ai sottodomini e incluso nella lista di precarico dei browser: il browser non prova nemmeno a usare HTTP su consensosicuro.it
• Content Security Policy che vieta di includere le nostre pagine in un iframe di terzi e blocca i plugin: elimina gli attacchi di clickjacking
• Referrer-Policy ristretta, così l’indirizzo completo di una pagina non finisce nei log di un sito esterno
• CORS con elenco esplicito delle origini ammesse in produzione: una richiesta da un dominio non previsto viene rifiutata
• Cookie di sessione contrassegnati httpOnly e Secure: non sono leggibili dal JavaScript della pagina e viaggiano solo su connessione cifrata
• Difesa CSRF: ogni richiesta che modifica dati deve portare un’intestazione che un form ostile su un altro sito non può aggiungere

03. La prova: firma, impronte e registro

Il punto di questa piattaforma non è far firmare. È poter dimostrare, anni dopo e davanti a chi contesta, chi ha firmato che cosa e quando.

Che firma è, esattamente

La firma raccolta da ConsensoSicuro è una firma elettronica semplice ai sensi dell’art. 3 §10 del Regolamento eIDAS (UE 910/2014), rinforzata da tre garanzie tecniche: la verifica del firmatario con codice OTP sul suo telefono, i metadati dell’operazione registrati al momento della firma e l’impronta crittografica del documento, concatenata in un registro non modificabile.

L’art. 20 del Codice dell’Amministrazione Digitale (D.Lgs. 82/2005) prevede che una firma elettronica semplice sia liberamente valutabile dal giudice in base alle caratteristiche di sicurezza, integrità e immodificabilità: è l’insieme OTP più metadati più catena di impronte a rinforzarne la valenza probatoria. L’art. 1, comma 4 della L. 219/2017 chiede che il consenso sia documentato in forma scritta e non impone la firma elettronica avanzata o qualificata.

Il codice OTP

• Sei cifre, generate da un generatore crittografico, non da un contatore prevedibile
• Arriva su WhatsApp o via SMS sul numero che il paziente ha lasciato allo studio, non su un indirizzo che sceglie lui al momento della firma
• Vale 15 minuti, poi scade
• Dopo 10 codici sbagliati sullo stesso consenso il codice viene invalidato e ne va richiesto uno nuovo
• Al massimo 6 invii di codice per consenso, contatore che non si azzera
• Il codice non viene mai salvato in chiaro: nel database resta solo la sua impronta SHA-256

Di quel passaggio resta un’evidenza leggibile e riportabile in un documento: «codice OTP via WhatsApp al numero +39 ******* 4590, inviato il …, verificato il … (ora italiana)». Il numero compare mascherato, con prefisso e ultime quattro cifre.

Cosa finisce scritto nel PDF

In coda al documento firmato c’è un blocco di certificazione digitale. Contiene:

• Data e ora della firma, al secondo, in ora italiana
• Nome, cognome e codice fiscale del firmatario
• Professionista o struttura che ha richiesto il consenso, con la partita IVA
• Indirizzo IP e descrizione del dispositivo da cui è stato firmato
• La riga di verifica dell’identità: canale del codice OTP, numero mascherato, ora di invio e ora di verifica
• L’impronta SHA-256 della firma, calcolata dal nostro server

Il registro a catena

Ogni operazione rilevante diventa una voce del Registro attività: consenso inviato, aperto dal paziente, firmato, rifiutato, PDF scaricato, pazienti esportati, fascicolo estratto, paziente cancellato, verifica in due passaggi attivata. Ogni voce porta chi, quando, da quale indirizzo IP e con quale dispositivo.

Le voci sono concatenate. Il contenuto di ogni voce viene combinato con l’impronta della voce precedente, e il risultato produce la nuova impronta SHA-256. Modificare o cancellare una riga vecchia obbliga a ricalcolare tutte quelle che seguono: se non lo si fa, la catena non torna più, e non torna in un punto preciso.

Ogni notte alle 02:45 un controllo automatico ricalcola l’intera catena dall’inizio, salva un punto di controllo con l’esito e il totale dei record, e se qualcosa non torna indica la voce esatta in cui si è rotta e manda un allarme a chi presidia il servizio. Il controllo gira poco prima del backup notturno, così il punto di controllo finisce dentro la copia di sicurezza.

Nel dettaglio di ogni consenso, nella tua dashboard, trovi l’impronta della firma e quella del PDF, copiabili con un click: sono gli stessi valori scritti nel documento. Il fascicolo difensivo li esporta insieme alla cronologia delle voci di registro e a una verifica della catena eseguita sul momento.

04. Chi entra e cosa vede

La via più semplice per arrivare ai dati di un paziente non è forzare la cifratura: è entrare con le credenziali di qualcuno. Qui sotto cosa c’è in mezzo.

Password e tentativi di accesso

• Le password sono conservate come hash bcrypt con costo 12: circa duecento millisecondi per ogni singolo tentativo, il che rende inutile provarne milioni
• Alla registrazione e al cambio password controlliamo che la password non compaia negli archivi pubblici di violazioni note. Il controllo usa la k-anonymity: al servizio esterno arrivano i primi cinque caratteri dell’impronta, mai la password
• Dopo 10 tentativi falliti l’account si blocca per 30 minuti
• Cinque tentativi falliti in cinque minuti dallo stesso indirizzo IP generano un evento di sicurezza critico
• Un accesso riuscito da un paese diverso dall’Italia viene registrato come anomalo e segnalato
• Limiti di frequenza su tutto: 20 tentativi di accesso ogni 15 minuti, 10 registrazioni all’ora, e un tetto generale su tutte le chiamate

Verifica in due passaggi

• Codice TOTP con qualsiasi app di autenticazione, attivabile da Sicurezza nel tuo account
• 10 codici di backup monouso, conservati cifrati e consumati una volta sola
• Possibilità di segnare un dispositivo come fidato per 30 giorni: del token resta solo l’impronta, e vengono conservati soltanto browser, sistema operativo e primi tre ottetti dell’indirizzo IP
• La verifica del codice è limitata a 5 tentativi ogni 15 minuti
• Attivazione e disattivazione finiscono nel registro e generano un’email di avviso

Sessioni e dispositivi

• Ogni sessione dura 24 ore, poi va rifatto l’accesso
• Il token di sessione non viene mai salvato: nel database resta solo la sua impronta SHA-256
• In Sicurezza trovi l’elenco dei dispositivi collegati con browser, sistema operativo, indirizzo IP, città approssimata e ultimo accesso
• Puoi disconnettere un singolo dispositivo o tutti gli altri in un colpo
• Il cambio password disconnette ovunque, automaticamente
• Ogni richiesta rivalida la sessione contro il database: una sessione revocata smette di funzionare, non aspetta la scadenza del token

Cosa sorvegliamo

Controlli automatici girano ogni cinque, quindici e sessanta minuti su segnali diversi: connessioni al database da indirizzi inattesi, picchi sostenuti di righe lette, cali anomali nel numero di documenti archiviati, volumi improvvisi nel registro attività, azioni sensibili — esportazioni, download massivi, cancellazioni — compiute da un indirizzo IP mai visto o in piena notte.

Quello che scatta arriva su un canale di allerta presidiato, e le segnalazioni gravi anche via email. Ogni mattina alle 08:00 parte comunque un riepilogo delle ultime ventiquattro ore, così il silenzio non viene scambiato per assenza di problemi.

05. Quanto restano e quando spariscono

Conservare per sempre non è prudenza, è un rischio in più. Queste sono le scadenze che il sistema applica da solo.

Dopo la disdetta ricevi promemoria scaglionati durante i sessanta giorni di grazia e un avviso almeno quindici giorni prima della cancellazione definitiva. In quella finestra puoi esportare tutto — in ZIP, JSON, PDF e XLSX — e l’esportazione è protetta da una doppia verifica con codice, via email e via SMS. Se hai già pagato almeno una volta, l’account non si può eliminare senza aver prima esportato.

Quando esporti i pazienti in Excel devi accettare esplicitamente una dichiarazione di responsabilità, e l’operazione lascia una voce nel registro con chi ha esportato, quando, quante righe, quali colonne e con quali filtri. Da quel momento il file è fuori dalla piattaforma e la sua custodia è tua.

06. Conformità e documenti

Quando usi ConsensoSicuro, il Titolare del trattamento dei dati dei tuoi pazienti sei tu. Noi siamo il Responsabile ai sensi dell’art. 28 del GDPR, e questo comporta obblighi scritti e verificabili.

• Atto di nomina a responsabile del trattamento (DPA) — Il contratto art. 28 GDPR in vigore per ogni abbonato: oggetto, categorie di dati, misure di sicurezza, sub-responsabili, cancellazione a fine rapporto. Revisione 5 — 2026, scaricabile.
• Elenco dei sub-responsabili — Fornitore per fornitore: ruolo, paese del trattamento e link al rispettivo accordo. È l’elenco contrattuale richiamato dall’art. 15.4 del DPA.
• Procedura data breach — Chi fa cosa in caso di violazione, i tempi, il modulo di segnalazione e i recapiti a cui scrivere.
• Informativa privacy per gli abbonati — Come trattiamo i dati tuoi, non quelli dei tuoi pazienti: finalità, basi giuridiche, conservazione, diritti.
• Condizioni generali del servizio — Il contratto di abbonamento, di cui il DPA è parte integrante.

Se succede qualcosa

La notifica al Garante entro 72 ore (art. 33 GDPR) e la comunicazione agli interessati (art. 34) competono a te, che sei il Titolare. Il nostro obbligo, scritto nell’art. 17.3 dell’atto di nomina, è avvisarti entro 12 ore da quando veniamo a conoscenza della violazione.

L’avviso arriva via email e, se ci hai comunicato una PEC, anche via PEC, e contiene almeno: natura della violazione, categoria degli interessati coinvolti, un contatto a cui chiedere altro, quanto tempo è passato fra l’incidente e la sua individuazione, se è risolto o in corso, i tempi di presa in carico e le misure di mitigazione adottate o previste. Restiamo reperibili per tutto il tempo che ti serve a fare la tua notifica.

Se noti un comportamento anomalo o vuoi segnalarci una vulnerabilità, scrivi a [email protected] oppure alla PEC [email protected]. La segnalazione è aperta a chiunque, anche a chi non è cliente.

Se cambiamo un fornitore

L’aggiunta o la sostituzione di un sub-responsabile ti viene comunicata con 30 giorni di preavviso e puoi opporti per giustificato motivo. Solo per ragioni urgenti di sicurezza o di continuità del servizio la sostituzione può essere immediata, e in quel caso te la comunichiamo entro cinque giorni lavorativi.

07. Domande frequenti

Le otto che ci fanno più spesso i responsabili di struttura e i broker assicurativi.

Dove sono fisicamente i dati dei miei pazienti?

Applicazione e database sono a Francoforte, in Germania. I documenti firmati stanno sullo storage a oggetti Cloudflare R2 in giurisdizione UE. Le copie di sicurezza e la replica dei documenti sono su un server Hetzner, sempre in Germania. Alcuni servizi accessori — messaggi WhatsApp, email, autenticazione con Google — possono trattare dati anche negli Stati Uniti con le garanzie previste dal Capo V del GDPR: sono tutti elencati con nome e paese nella pagina dei sub-responsabili.

La firma raccolta dal telefono ha valore legale?

È una firma elettronica semplice ai sensi del Regolamento eIDAS, rinforzata dalla verifica OTP sul numero personale del paziente, dai metadati dell’operazione e dall’impronta SHA-256 del documento in un registro concatenato. L’art. 20 del Codice dell’Amministrazione Digitale prevede che una firma così sia liberamente valutabile dal giudice in base a sicurezza, integrità e immodificabilità, e la L. 219/2017 chiede la forma scritta documentata senza imporre la firma avanzata o qualificata. Non è invece una firma qualificata, e per gli atti che la richiedono non è sufficiente.

Posso dimostrare che un consenso non è stato modificato dopo la firma?

Sì. Al momento della firma il server calcola l’impronta SHA-256 del PDF generato e la conserva. Ricalcolando l’impronta sul file che hai in mano e confrontandola con quella registrata si vede se il documento è ancora quello: basta un byte diverso e l’impronta cambia. In più ogni operazione sul consenso è una voce del registro a catena, e la catena viene verificata ogni notte.

Cosa succede se qualcuno riesce a leggere il database?

I dati identificativi dei pazienti — nome, cognome, telefono, residenza, codice fiscale, email — e le risposte di anamnesi sono cifrati con AES-256-GCM, e la chiave non sta nel database: chi leggesse le tabelle troverebbe testo illeggibile. Restano leggibili gli indici di ricerca, che sono impronte non reversibili ma calcolate su valori prevedibili, e alcuni dati non personali di servizio. Un accesso del genere resta comunque una violazione dei dati, e fa scattare l’avviso entro dodici ore previsto dall’atto di nomina.

Chi, dentro ConsensoSicuro, può vedere i dati dei miei pazienti?

Il personale tecnico autorizzato può accedere ai sistemi per manutenzione e assistenza, e gli accessi amministrativi lasciano traccia nel registro attività. I dati personali dei pazienti sono comunque cifrati nel database, quindi non sono leggibili sfogliando le tabelle. Nell’atto di nomina ci impegniamo a vincolare alla riservatezza chi è autorizzato al trattamento e a formarlo su questi obblighi: è l’art. 14.3.

Avete le copie di sicurezza, e le provate?

Le copie ci sono: ogni notte un dump completo del database, cifrato con AES-256, firmato con HMAC-SHA256 e verificato subito dopo il caricamento confrontando la firma riscaricata. Restano trenta giorni su un server in Germania, e i documenti sono replicati settimanalmente sullo stesso server. Non abbiamo invece una procedura automatica di prova di ripristino: la verifica riguarda l’integrità del file, non l’esito di un restore completo. Lo diciamo perché è esattamente il tipo di domanda che va fatta a chiunque dica «facciamo i backup».

Cosa succede ai dati se disdico l’abbonamento?

Hai sessanta giorni di grazia, con promemoria scaglionati e un avviso almeno quindici giorni prima della fine. In quella finestra puoi esportare tutto in ZIP, JSON, PDF e XLSX, con una doppia verifica via email e SMS a proteggere il download. Passati i sessanta giorni i dati dei pazienti vengono cancellati automaticamente, in applicazione del principio di limitazione della conservazione. Restano i tuoi dati anagrafici, le fatture e il registro attività, conservati dieci anni per obbligo civilistico e fiscale.

Come vi segnalo un problema di sicurezza?

Scrivi a [email protected] e, se vuoi che resti traccia certa, anche alla PEC [email protected]. È il canale indicato nell’allegato A dell’atto di nomina ed è aperto a chiunque rilevi un incidente sulla piattaforma, cliente o no. Se la segnalazione riguarda una violazione di dati che ti riguarda come Titolare, la procedura completa è sulla pagina data breach.

Vuoi verificarlo di persona

Sette giorni di prova, senza carta di credito. Invia un consenso a te stesso, firmalo dal telefono, apri il PDF e guarda il blocco di certificazione in fondo. È il modo più rapido per capire che prova ti resta in mano.

Prova gratis per 7 giorni

Parla con noi prima di decidere

Per una valutazione di conformità, una DPIA o le domande del tuo DPO: [email protected].

Approfondisci

Il quadro normativo: L. 219/2017, GDPR, CAD e giurisprudenza

Come funziona il flusso del consenso, passo per passo

Cliniche e poliambulatori: ruoli, sedi e visibilità dei dati

Domande da parte di un DPO, di un legale o di un broker: scrivici

Questa è una pagina informativa, non un capitolato tecnico né una consulenza legale. I testi che fanno fede nel rapporto contrattuale sono l’atto di nomina a responsabile del trattamento, l’elenco dei sub-responsabili e le condizioni generali del servizio, linkati qui sopra.