Conformità e sicurezza
Come Blu Pantheon supporta gli obblighi normativi del cliente — GDPR, audit, residenza dei dati, fatturazione elettronica e accessibilità.
Questa sezione descrive come la piattaforma Blu Pantheon supporta gli obblighi di conformità del cliente: quali garanzie tecniche offre la piattaforma, quali configurazioni sono a carico del cliente e dove trovare le evidenze richieste in sede di audit.
Nota
Il contenuto di questa sezione ha finalità documentali e tecniche: descrive le funzionalità della piattaforma a supporto della conformità e non costituisce consulenza legale. Nel rapporto con Blu Pantheon il Cliente resta Titolare del trattamento e mantiene la responsabilità delle valutazioni di liceità, delle informative e delle scelte di configurazione. Per valutazioni normative rivolgiti al tuo DPO o al tuo consulente legale.
Il modello di responsabilità condivisa
La sicurezza di un servizio SaaS è il risultato di due contributi distinti. La tabella seguente chiarisce chi fa che cosa: è il punto di partenza per compilare questionari di vendor assessment e per definire le procedure interne.
| Ambito | Responsabilità di Blu Pantheon | Responsabilità del Cliente |
|---|---|---|
| Infrastruttura | Data center Azure West Europe, rete, hardening dei nodi, patching del runtime, disponibilità, backup e disaster recovery | Nessuna: la piattaforma è interamente gestita |
| Applicazione | Sviluppo sicuro, gestione delle vulnerabilità, cifratura, isolamento fra tenant, rilascio degli aggiornamenti | Aggiornare le integrazioni quando viene annunciata una modifica incompatibile |
| Dati | Cifratura a riposo e in transito, integrità dei backup, cancellazione a fine contratto | Scelta dei dati caricati, liceità del trattamento, informative, tempi di conservazione desiderati |
| Accessi | Autenticazione, MFA, motore RBAC, registrazione degli accessi, rotazione delle chiavi di firma | Assegnazione dei ruoli, revoca degli utenti cessati, protezione delle credenziali e delle chiavi API |
| Configurazione | Impostazioni predefinite prudenti, validazione degli input, limiti di frequenza | Domini autorizzati del widget, endpoint dei webhook, prompt di sistema, retention, consensi |
| Contenuti | Conservazione e disponibilità dei contenuti caricati | Verifica dei contenuti della knowledge base, esattezza, assenza di dati non necessari |
In pratica
Blu Pantheon protegge la piattaforma. Il Cliente decide che cosa ci mette dentro e chi può accedervi. La maggior parte degli incidenti di conformità nasce da configurazioni del cliente (ruoli troppo ampi, dati eccedenti nella knowledge base), non dalla piattaforma.
Le pagine di questa sezione
GDPR
Ruoli, basi giuridiche, categorie di dati, DPA, sub-responsabili e notifica delle violazioni.
Diritti dell'interessato
Come evadere richieste di accesso, rettifica, cancellazione, portabilità e opposizione.
Residenza dei dati
Dove risiedono i dati, sub-responsabili, retention e isolamento multi-tenant.
Audit log
Che cosa viene registrato, immutabilità, conservazione ed esportazione per le ispezioni.
Sicurezza
Cifratura, gestione dei segreti, rotazione delle chiavi, continuità operativa e incident response.
Fatturazione elettronica
Dati SDI, Codice Destinatario, PEC, split payment per la PA e conservazione a norma.
Accessibilità
WCAG 2.1 AA, EN 301 549, linee guida AgID e dichiarazione di accessibilità.
Posture di conformità e framework di riferimento
| Framework / normativa | Stato | Note |
|---|---|---|
| Regolamento (UE) 2016/679 (GDPR) | Applicato | Blu Pantheon opera come Responsabile del trattamento; DPA disponibile |
| D.Lgs. 196/2003 e s.m.i. (Codice Privacy) | Applicato | Adempimenti nazionali, comunicazioni al Garante a carico del Titolare |
| ISO/IEC 27001 | Controlli allineati | I data center Azure sono certificati; il programma di certificazione della piattaforma è in corso |
| ISO/IEC 27017 / 27018 | Ereditato dall'infrastruttura | Controlli cloud e protezione dei dati personali in cloud |
| EN 301 549 / WCAG 2.1 AA | Conformità dichiarata parziale | Dettagli in Accessibilità |
| AgID — Linee guida design servizi digitali | Supportato | Rilevante per clienti della Pubblica Amministrazione |
| eIDAS / Fatturazione elettronica SDI | Supportato | Vedi Fatturazione elettronica |
| NIS2 (Direttiva UE 2022/2555) | In valutazione | Misure tecniche già allineate ai requisiti minimi |
Documentazione per gli uffici acquisti
Per gare, procedure MEPA e vendor assessment puoi richiedere il pacchetto documentale (DPA firmato, elenco sub-responsabili, SLA, dichiarazione di accessibilità, schede tecniche di sicurezza) scrivendo a support@blupantheon.com con oggetto “Pacchetto conformità”. Vedi anche Documenti legali.
Evidenze disponibili in autonomia
Molte evidenze richieste in sede di verifica sono estraibili direttamente dalla Console, senza aprire una richiesta al supporto.
| Evidenza richiesta | Dove ottenerla |
|---|---|
| Elenco degli utenti attivi e dei relativi ruoli | Amministrazione › Utenti |
| Tracciamento degli accessi e delle modifiche | Audit log |
| Configurazione della conservazione dei dati | Residenza dei dati |
| Elenco delle integrazioni attive e degli endpoint | Integrazioni |
| Chiavi API attive, ultimo utilizzo e ambito | Amministrazione › Autenticazione |
| Storico delle fatture e dati fiscali | Fatturazione elettronica |
Come procedere
Definisci i ruoli e le responsabilità
Identifica internamente il Titolare, l'eventuale DPO e i referenti tecnici. Verifica che il DPA sia stato sottoscritto: senza DPA il trattamento tramite la piattaforma non è regolare.
Configura la piattaforma secondo il principio di minimizzazione
Assegna i permessi con il criterio del minimo privilegio, definisci i tempi di conservazione e attiva i consensi nel widget se raccogli dati personali dagli utenti finali.
Documenta e verifica periodicamente
Inserisci il trattamento nel tuo registro, pianifica una revisione semestrale dei ruoli e conserva le esportazioni dell'audit log richieste dalle tue procedure interne.