Residenza dei dati
Dove risiedono i dati di Blu Pantheon, sub-responsabili, cifratura, isolamento multi-tenant, conservazione ed esportazione a fine contratto.
Nota
Questa pagina descrive l'architettura di trattamento dei dati a supporto della conformità e non costituisce consulenza legale. Il Cliente resta Titolare del trattamento e deve valutare autonomamente l'adeguatezza delle misure rispetto ai propri rischi e obblighi.
Dove risiedono i dati
Tutti i dati di produzione della piattaforma Blu Pantheon sono ospitati su Microsoft Azure, regione West Europe, con data center situati nei Paesi Bassi, all'interno dell'Unione Europea.
| Componente | Regione | Note |
|---|---|---|
| Database applicativo (MySQL) | West Europe | Schema dedicato per ogni tenant |
| Cache e sessioni (Redis) | West Europe | Dati volatili, cifrati in transito |
| Coda dei messaggi | West Europe | Payload cifrati, ritenzione minima |
| Archiviazione documenti e allegati | West Europe | Ridondanza zonale |
| Indici semantici della knowledge base | West Europe | Vettori derivati dai documenti del tenant |
| Segreti e chiavi (Azure Key Vault) | West Europe | Chiavi mai esportate in chiaro |
| Log applicativi e audit | West Europe | Nessuna esportazione fuori regione |
| Backup | West Europe (zona secondaria) | Ridondanza intra-regione |
Nessuna replica fuori dall'Unione Europea
Non esistono repliche di produzione fuori dallo Spazio Economico Europeo. Le attività di supporto sono svolte da personale che accede alla piattaforma tramite postazioni situate nell'UE, con accessi nominativi e tracciati.
Backup e repliche
| Tipo | Frequenza | Conservazione | Ubicazione |
|---|---|---|---|
| Backup completo del database | Giornaliero | 35 giorni | West Europe, zona secondaria |
| Backup incrementale / transaction log | Ogni 15 minuti | 7 giorni | West Europe |
| Snapshot dell'archivio documentale | Giornaliero | 30 giorni | West Europe |
| Copia di lungo periodo (mensile) | Mensile | 12 mesi | West Europe, storage immutabile |
| Replica in lettura del database | Continua | n.a. | West Europe |
I backup sono cifrati con chiavi gestite in Azure Key Vault e sottoposti a test di ripristino trimestrali documentati. Il verbale dell'ultimo test è disponibile su richiesta.
Sub-responsabili
Elenco dei sub-responsabili autorizzati ai sensi dell'art. 28.4 GDPR. Le variazioni sono comunicate con almeno 30 giorni di preavviso ai contatti amministrativi del tenant.
| Fornitore | Servizio erogato | Dati trattati | Regione di trattamento |
|---|---|---|---|
| Microsoft Ireland Operations Ltd. (Azure) | Infrastruttura cloud, database, storage, chiavi | Tutti i dati della piattaforma | Paesi Bassi (West Europe) |
| Microsoft Ireland Operations Ltd. (Azure OpenAI) | Inferenza dei modelli linguistici | Testo dei prompt e delle risposte | Paesi Bassi / Svezia (regioni UE) |
| Meta Platforms Ireland Ltd. | Canale WhatsApp Business, se attivato dal Cliente | Numero di telefono, contenuto dei messaggi | Irlanda, con trasferimenti coperti da SCC |
| Fornitore SMTP del Cliente | Recapito delle email transazionali | Indirizzo email, contenuto del messaggio | Definita dal Cliente |
| Fornitore di firma e conservazione elettronica | Fatturazione SDI e conservazione a norma | Dati di fatturazione | Italia |
| Provider di monitoraggio applicativo | Metriche, tracce ed errori | Log tecnici pseudonimizzati | Unione Europea |
Sub-responsabili opzionali
I sub-responsabili legati a canali facoltativi (WhatsApp, SMTP esterno, telefonia) entrano in gioco solo se attivi l'integrazione corrispondente. Se non la attivi, nessun dato viene trasmesso a quel fornitore. Vedi Integrazioni.
Trasferimenti internazionali
Per i fornitori con casa madre extra-UE, il trasferimento eventuale è disciplinato da:
- Clausole Contrattuali Standard adottate con Decisione di esecuzione (UE) 2021/914, modulo 3 (da Responsabile a Sub-responsabile);
- EU-U.S. Data Privacy Framework, dove il fornitore è certificato;
- Transfer Impact Assessment aggiornato annualmente e disponibile su richiesta;
- misure supplementari: cifratura in transito e a riposo con chiavi gestite nell'UE, minimizzazione dei dati trasmessi, pseudonimizzazione dove tecnicamente possibile, policy di risposta a richieste di autorità estere con notifica al Titolare ove consentito.
Cifratura
| Stato del dato | Meccanismo | Gestione delle chiavi |
|---|---|---|
| A riposo | AES-256-GCM per i campi sensibili applicativi; Transparent Data Encryption a livello di storage | Chiavi in Azure Key Vault, rotazione annuale |
| In transito (esterno) | TLS 1.2+ con cifrari a perfect forward secrecy, HSTS attivo | Certificati gestiti e rinnovati automaticamente |
| In transito (interno) | TLS fra i servizi della piattaforma | Certificati interni a rotazione |
| Backup | Cifratura lato server con chiave dedicata | Chiave distinta da quella di produzione |
| Segreti applicativi | Custoditi in Azure Key Vault, mai in file di configurazione | Accesso via identità gestita, senza credenziali statiche |
Cosa significa in un questionario di vendor assessment
Alla domanda “Are data encrypted at rest and in transit?” la risposta è sì: AES-256-GCM a riposo, TLS 1.2 o superiore in transito, chiavi custodite in un key vault gestito nella stessa regione UE.
Isolamento multi-tenant
Blu Pantheon adotta un modello a schema di database separato per ogni tenant.
bp_platform schema condiviso: utenti, tenant, appartenenze, audit
bp_t_9f2c41a schema dedicato al tenant ACME S.r.l.
bp_t_1b77e30 schema dedicato a un altro tenantGaranzie derivanti dal modello:
- nessuna tabella condivisa contiene i contenuti applicativi di più tenant;
- ogni query applicativa è vincolata al contesto del tenant, ricavato dai claim firmati del token
di sessione (
tid,tslug) e validato a ogni richiesta; - una configurazione errata di un tenant non può esporre i dati di un altro;
- il ripristino da backup può essere eseguito per singolo tenant, senza toccare gli altri;
- la cancellazione a fine contratto elimina l'intero schema, non singole righe sparse.
Isolamento logico, non fisico
L'isolamento è logico a livello di schema, non fisico a livello di server dedicato. Se il tuo profilo di rischio richiede infrastruttura dedicata (single-tenant), è disponibile come opzione contrattuale: contatta support@blupantheon.com.
Conservazione e cancellazione
Tempi di conservazione predefiniti. I valori contrassegnati come configurabili si modificano da:
| Tipo di dato | Predefinito | Configurabile | Minimo | Massimo |
|---|---|---|---|---|
| Sessioni conversazionali e messaggi | 24 mesi | Sì | 30 giorni | 60 mesi |
| Trascrizioni vocali | 6 mesi | Sì | 7 giorni | 24 mesi |
| Allegati caricati dagli utenti | 12 mesi | Sì | 30 giorni | 36 mesi |
| Contatti e anagrafiche | Fino a cancellazione | Sì (inattività) | 12 mesi | Illimitato |
| Prenotazioni | 24 mesi dopo l'erogazione | Sì | 6 mesi | 120 mesi |
| Audit log | 12 mesi | Sì | 12 mesi | 36 mesi |
| Log tecnici e tracce | 90 giorni | No | — | — |
| Log di consegna dei webhook | 30 giorni | Sì | 7 giorni | 90 giorni |
| Documenti della knowledge base | Fino a cancellazione manuale | No | — | — |
| Backup | 35 giorni (più copie mensili 12 mesi) | No | — | — |
| Fatture e dati contabili | 10 anni | No | — | — |
La riduzione della retention è irreversibile
Abbassare un valore di conservazione avvia la cancellazione dei dati che eccedono il nuovo limite entro 24 ore. I dati eliminati non sono recuperabili se non tramite ripristino completo da backup, che comporta la perdita delle modifiche successive. Valuta con attenzione e informa i responsabili funzionali prima di procedere.
Ciclo di cancellazione
Cancellazione logica
Il record viene marcato come eliminato e diventa immediatamente inaccessibile da interfaccia, API e ricerca.
Rimozione dagli indici
Gli indici semantici e di ricerca sono aggiornati entro 24 ore.
Cancellazione fisica
Il record viene rimosso definitivamente dal database entro 7 giorni.
Rotazione dei backup
Le copie residue nei backup vengono sovrascritte entro 35 giorni per i backup giornalieri ed entro 12 mesi per le copie mensili di lungo periodo.
Esportazione dei dati a fine contratto
Prima di iniziare
- Ruolo Amministratore tenant con permesso identity:tenant:export
- Richiesta inoltrata prima della data di cessazione del servizio
- Destinatario del pacchetto identificato e canale di consegna concordato
Avvia l'esportazione completa
Seleziona gli ambiti da includere (conversazioni, contatti, prenotazioni, knowledge base, configurazioni, audit log) e conferma.
Attendi la preparazione del pacchetto
Per tenant di grandi dimensioni la preparazione può richiedere alcune ore. Ricevi una email quando il pacchetto è pronto.
Scarica entro 14 giorni
Il collegamento è firmato e scade dopo 14 giorni. Il pacchetto è un archivio ZIP contenente file JSON e CSV più gli allegati originali.
Conferma la ricezione
Alla conferma parte il periodo di grazia: i dati restano disponibili per 30 giorni dalla cessazione, poi lo schema del tenant viene eliminato in modo irreversibile.
/console/v1/tenant/exportsBearer JWTAvvia l'esportazione completa del tenant. Restituisce un identificativo di lavorazione.
/console/v1/tenant/exports/{exportId}Bearer JWTVerifica lo stato della lavorazione e ottiene il collegamento firmato al pacchetto.
Attestazione di cancellazione
Al termine del periodo di grazia viene emessa un'attestazione di avvenuta cancellazione con data, ambiti eliminati e identificativo dell'operazione. È il documento da conservare come evidenza della chiusura del trattamento.