01 Certificazioni e allineamenti
Quattro certificazioni ISO attive verificate da ente terzo, oltre all'allineamento operativo ai principali quadri regolatori europei.
Information Security Management
Sistema di gestione della sicurezza delle informazioni. Audit annuale, sorveglianza ogni 12 mesi.
Quality Management
Sistema di gestione qualità. Riferimento per processi operativi e governance.
Environmental Management
Sistema di gestione ambientale. Misurazione e riduzione dell'impatto ambientale dei servizi.
Occupational Health & Safety
Sistema di gestione salute e sicurezza sul lavoro. Tutela del personale operativo.
Allineamenti regolatori
Postura allineata ai requisiti per soggetti essenziali e importanti. Supporto al processo di notifica al CSIRT 24/72h.
Operativi sui requisiti del Digital Operational Resilience Act per il settore finanziario europeo.
Pieno allineamento. DPA strutturato (Art. 28) per ogni cliente. DPIA su richiesta.
Allineati alle linee guida ACN su minimum baseline per sicurezza informatica e perimetro PSNC.
02 Data residency
Tutti i dati operativi (telemetria SOC, log clienti, dati di contatto) sono conservati in data center situati nell'Unione Europea, principalmente in Italia e in altri paesi membri UE. Nessun dato critico viene replicato fuori dall'UE. Il personale che accede ai dati è interamente italiano e opera dalla sede di Milano.
Eccezioni controllate: caricamento di font web (no PII) e — solo con consenso esplicito dell'utente — pixel di analytics e marketing. Eventuali trasferimenti extra-UE avvengono esclusivamente sotto Clausole Contrattuali Standard (SCC 2021/914) e, dove applicabile, EU-US Data Privacy Framework.
Vendor specifici sotto NDA. L'elenco puntuale dei provider infrastrutturali, delle region utilizzate e dei DPA è disponibile nella sub-processor list di seguito e — in versione firmata — su richiesta a info@fortgale.com.
03 Sub-processor list
Lista dei responsabili esterni del trattamento (Art. 28 GDPR) impiegati per l'erogazione dei servizi. Aggiornata al 5 maggio 2026. Notifichiamo i clienti con DPA attivo almeno 30 giorni prima di qualsiasi modifica sostanziale.
| Provider | Finalità | Region | Contratto |
|---|---|---|---|
| Microsoft Ireland Operations Ltd | Email, Teams, SharePoint, Bookings | EU (Ireland · NL) | Microsoft DPA · Online Services Terms |
| Provider IaaS · UE (sotto NDA) | Hosting siti web, ambienti di staging e produzione | EU | DPA + SCC 2021/914 |
| Google Ireland Limited | Google Fonts (CDN tipografica) | EU + US | Google DPA + SCC + EU-US DPF |
| LinkedIn Ireland Unlimited | Insight Tag (solo con consenso) | EU + US | LinkedIn DPA + SCC |
| Plausible Insights OÜ | Analytics privacy-first (no PII) | EU | Plausible DPA EU-only |
04 SLA pubblici
I valori indicati sono obiettivi di servizio validi sui contratti retainer attivi e misurati sugli ultimi 12 mesi. Gli SLA contrattuali specifici per ogni cliente sono definiti nel relativo Service Agreement.
05 Security posture
Misure tecniche e organizzative adottate per tutelare riservatezza, integrità, disponibilità e resilienza dei sistemi (Art. 32 GDPR · controlli Annex A ISO 27001).
Cifratura
TLS 1.3 in transito · AES-256 a riposo · gestione chiavi su HSM Microsoft.
Accesso
Zero Trust · multi-factor authentication · just-in-time access · break-glass tracciato.
Monitoring
Log centralizzati · 24/7 SOC monitoring · retention 12+ mesi.
Backup
Backup ridondati · DR test periodico.
Vulnerability mgmt
Scan continuo · pentest annuale · patching SLA differenziati (P1 < 48h).
Personale
NDA permanente · formazione cyber semestrale.
06 Responsible disclosure
Se hai trovato una vulnerabilità sui nostri sistemi (sito web, infrastruttura, prodotto), ti chiediamo di seguirci la procedura di coordinated disclosure.
Contattaci subito
Email a info@fortgale.com con descrizione, PoC tecnica e tuoi recapiti. Cifratura PGP disponibile a richiesta.
Ti rispondiamo entro 48 ore
Conferma ricezione, classifica iniziale, ETA per fix. Triagiamo ogni segnalazione, anche se non rientra nel nostro perimetro.
Disclosure coordinata
Concordiamo finestra di disclosure (tipicamente 90 giorni dopo il fix). Ti riconosciamo pubblicamente nell'hall of thanks se desideri.
Cosa non fare: tentativi di accesso non autorizzato a dati di terzi, DDoS, social engineering del personale, distruzione di dati. Operiamo in safe harbor con ricercatori che agiscono in buona fede.
07 Documenti scaricabili
Documentazione disponibile pubblicamente o su richiesta (alcune previa firma di NDA).
08 Contatti security
Per domande tecniche di sicurezza, vendor onboarding, due diligence:
Responsible disclosure, vendor security questionnaire, SOC2/CAIQ.
