Sicurezza Cloud

Livelli di protezione

Difesa in profondità

Ogni livello dell'architettura implementa controlli di sicurezza specifici, dalla rete fisica fino all'applicazione.

🔒 Crittografia

Dati a riposo: crittografia AES-256 per database, file e backup. Dati in transito: TLS 1.3 per tutte le comunicazioni. Chiavi: gestione separata delle chiavi di crittografia con rotazione automatica.

🛡 Controllo accessi

RBAC: 5 ruoli con permessi granulari. 2FA: autenticazione a due fattori con TOTP. Session management: timeout configurabile, single-session opzionale, revoca remota.

📜 Audit e tracciabilità

Audit trail: ogni azione è registrata con utente, timestamp, IP e dettagli. Log retention: conservazione log per 12 mesi. Report: export audit per verifiche interne e accreditamenti.

☁ Infrastruttura

Data center EU: certificati ISO 27001 e SOC 2. Isolamento: installazioni single-tenant con risorse dedicate. WAF: firewall applicativo e protezione DDoS. Scanning: scansione malware quotidiana.

🔄 Backup e recovery

Backup: cifrati, automatici ogni 24h, retention 30 giorni. DR: piano di disaster recovery con RTO < 4h e RPO < 24h. Geo-ridondanza: backup su data center secondario in UE.

💻 Sviluppo sicuro

SDLC: pratiche di sviluppo sicuro integrate nel ciclo di vita. Dependency management: monitoraggio vulnerabilità dipendenze. Code review: revisione codice per ogni rilascio. Patch management: aggiornamenti di sicurezza prioritari.

Compliance

Conformità normativa

GDPR (UE 2016/679)

Privacy by design e by default
DPA (Data Processing Agreement) disponibile
Supporto per DPIA
Residenza dati UE garantita
Diritti degli interessati gestibili

Dati sanitari

Separazione dati clinici e amministrativi
Accesso basato su ruolo e necessità
Pseudonimizzazione supportata
Consenso informato gestibile nel sistema
Log accessi ai dati sensibili

Certificazioni infrastruttura

Data center ISO 27001
SOC 2 Type II
Uptime garantito 99.9%
Penetration testing periodico
Vulnerability assessment continuo

Certificazioni

Standard di sicurezza verificati

🔒

GDPR

Piena conformità al Regolamento UE 2016/679. Privacy by design integrata.

🛡

ISO 27001

Data center certificati ISO 27001 per la gestione della sicurezza informazioni.

🔐

AES-256

Crittografia di livello militare per tutti i dati a riposo e in transito.

✅

SOC 2

Audit SOC 2 Type II per sicurezza, disponibilità e riservatezza.

Service Level Agreement

SLA dettagliato

Garanzie trasparenti sulla disponibilità e il supporto del servizio.

99.9%

Uptime garantito

Disponibilità del servizio garantita al 99.9%, con monitoraggio 24/7 e notifiche proattive in caso di disservizi.

<4h

RTO

Recovery Time Objective inferiore a 4 ore per il ripristino completo del servizio in caso di incidente grave.

<2h

Tempo risposta supporto

Prima risposta entro 2 ore lavorative per ticket critici. Entro 24 ore per richieste standard.

Domande frequenti sulla sicurezza

I dati sono ospitati esclusivamente in data center situati nell'Unione Europea (Italia e Germania), certificati ISO 27001 e SOC 2. Non trasferiamo mai dati al di fuori dello Spazio Economico Europeo.

Eseguiamo backup automatici cifrati ogni 24 ore con retention di 30 giorni. I backup sono geo-ridondanti su un data center secondario. In caso di perdita dati, il ripristino avviene entro 4 ore (RTO) con una perdita massima di 24 ore di dati (RPO).

Solo gli utenti che tu autorizzi con il sistema RBAC (Role-Based Access Control). Il nostro team tecnico accede ai dati solo in caso di richiesta di supporto esplicita e con logging completo di ogni accesso. I dati clinici sono crittografati e separati dai dati amministrativi.

Sì, Medaid è progettato con privacy by design e by default. Offriamo un DPA (Data Processing Agreement) a tutti i clienti, supportiamo la DPIA, garantiamo la residenza dati in UE e implementiamo tutte le misure tecniche e organizzative richieste dall'art. 32 del GDPR.

Certamente. Medaid supporta l'esportazione completa dei dati in formati standard (CSV, JSON, PDF). Puoi esportare in qualsiasi momento le anagrafiche pazienti, le cartelle cliniche, i documenti e i dati di fatturazione. Questo garantisce il diritto alla portabilità (art. 20 GDPR) e previene il vendor lock-in.

Protezione dati

Cosa succede quando un dato entra nel sistema

Ogni dato segue un percorso protetto dal momento dell'inserimento al suo utilizzo.

Inserimento

Il dato viene trasmesso tramite connessione TLS 1.3 cifrata end-to-end.

Validazione

Input sanitizzato, controllo CSRF, verifica permessi RBAC dell'utente.

Crittografia

Il dato viene cifrato con AES-256 prima della scrittura su database.

Audit

L'operazione viene registrata nell'audit trail con utente, timestamp e IP.

La sicurezza dei dati sanitari è la nostra priorità assoluta