Carta della sicurezza.

01Principi guida

Neolia gestisce un'infrastruttura che tocca elementi sensibili dell'abitazione: chi apre la porta, chi suona al citofono, come viene consumata l'energia. Trattiamo la sicurezza come una caratteristica del prodotto, non come uno strato di conformità aggiunto in seguito. Quattro principi guidano le nostre decisioni:

• Verificato anziché annunciato: ogni misura descritta qui corrisponde a un controllo che possiamo rieseguire sui nostri server e di cui possiamo mostrare il risultato. Non annunciamo dispositivi che non saremmo in grado di dimostrare.
• Superficie minima: da internet non è raggiungibile nulla che non debba esserlo. Banche dati, cache e interfacce di amministrazione rifiutano ogni connessione dall'esterno: in produzione rispondono solo sulla rete privata che collega le nostre tre macchine; in sviluppo e in preproduzione, dove non esiste rete privata, sono chiuse dal firewall di ogni macchina. Il controllo si ripete aprendo una connessione da qualsiasi luogo: viene rifiutata.
• Privilegio minimo, ovunque: persone, servizi e apparecchi dispongono solo di ciò che il loro ruolo impone.
• Hosting controllato: la banca dati è in Svizzera, i server di esercizio sono in Germania, nell'Unione europea, con una copia di backup cifrata della banca dati svizzera. Le due giurisdizioni offrono un livello di protezione riconosciuto equivalente (LPD, RGPD). Preferiamo dirlo per intero: alcuni fornitori hanno sede negli Stati‑Uniti, per l'invio delle e-mail, le notifiche sul Suo telefono, gli incassi e la lettura assistita dei documenti depositati. Sono nominati uno per uno nell'allegato 2 del contratto di trattamento.

Questo documento copre l'infrastruttura di esercizio, le applicazioni mobili e il ciclo di distribuzione. Non sostituisce una verifica di sicurezza da parte di un terzo, che non abbiamo ancora fatto svolgere. A oggi non è stato svolto alcun test di intrusione esterno, alcun audit di certificazione e alcun programma di ricompensa: il primo che faremo svolgere sarà annunciato qui, con la sua data.

02Hosting e localizzazione

La banca dati è ospitata in Svizzera, nella regione di Zurigo. I server di esercizio sono in Germania, nell'Unione europea. Lì viene fatta ogni notte una copia di backup cifrata della banca dati svizzera, conservata 14 giorni. I dati applicativi e l'infrastruttura poggiano quindi su due fornitori distinti, e ogni ambiente dispone delle proprie macchine. Preferiamo dirlo per intero: queste cinque macchine si trovano nello stesso centro di calcolo, a Norimberga. Proteggono dal guasto di una macchina, non dal guasto di un edificio.

Banca dati, autenticazione, documenti depositati e contratti partner firmati

Supabase, regione di Zurigo (Svizzera)

Server di esercizio (produzione, sviluppo e test)

Hetzner Online GmbH, centro di Norimberga, Germania (Unione europea). Vi sono trattati l'instradamento delle chiamate del citofono con la loro voce e immagine (non registrate), gli account telefonici degli appartamenti, l'immagine ripresa dalla pulsantiera, le letture dei contatori e la rete radio dei contatori, i token che permettono di inviare le notifiche ai telefoni, gli account e le foto degli installatori, i registri tecnici e una copia di backup cifrata della banca dati svizzera, fatta ogni notte e conservata 14 giorni

Sito web, moduli e seguito commerciale

Cloudflare (rete di diffusione mondiale, punti di presenza europei). Vi sono conservati il seguito commerciale e gli allegati della messaggistica partner, in un archivio la cui regione non è fissata. I contratti partner firmati sono conservati a Zurigo dal 24 settembre 2026

Lettura assistita, assistente della piattaforma e rilettura delle dettature

Anthropic, Stati Uniti. Un contratto di locazione, una fattura, un estratto conto, la foto di un contatore o un messaggio scambiato nella piattaforma vi viene inviato per essere letto. L'assistente della barra di ricerca vi invia la domanda posta, un riepilogo in cifre del parco dell'amministrazione e i risultati della ricerca. La rilettura di una dettatura vi invia il testo trascritto e l'elenco dei nomi degli immobili, delle vie, delle località e degli artigiani dell'amministrazione, mai la voce. I trasferimenti sono coperti dall'accordo sul trattamento dei dati di Anthropic, parte integrante delle sue condizioni commerciali, e dalle clausole contrattuali tipo adattate al diritto svizzero

Presa di appuntamento online

Cal.com, istanza europea cal.eu, dati conservati nell'Unione europea. L'editore chiude questa istanza il 1^o novembre 2026; la soluzione scelta in seguito sarà indicata qui prima di tale data

Data center

Un certificato su tre è agli atti, e preferiamo dire quale. Quello di Hetzner, l'operatore dei nostri server, è in nostro possesso: ISO/IEC 27001:2022, n^o ZN‑2025‑35, rilasciato da SOCOTEC Certification Deutschland, valido fino al 26 settembre 2028, e le nostre cinque macchine sono collegate da una misura al sito che esso copre, Norimberga. Supabase e Cloudflare dichiarano pubblicamente la stessa certificazione, ma consegnano i loro attestati solo nelle formule per imprese: non li deteniamo quindi, e non li presentiamo come acquisiti. Non è una questione di tempo, è una questione di abbonamento. In ogni caso questa certificazione è quella dell'operatore del centro dati, mai quella di Neolia: Neolia non è certificata secondo alcuno standard

Localizzazione dei dati identificativi

Svizzera per la banca dati; Germania per l'esercizio tecnico e per la copia di backup cifrata della banca dati; Stati Uniti per i fornitori elencati all'allegato 2 del contratto di trattamento, compresi invio delle e-mail, notifiche e analisi assistita dei documenti

A parte il calendario degli appuntamenti mostrato su /demo, nella propria cornice, il sito che sta leggendo non carica alcuna risorsa di terzi: né caratteri, né librerie di animazione, né misurazione del pubblico. Tutto è servito dal dominio della pagina, così il suo indirizzo IP non è comunicato a nessun altro se non all'hoster del sito.

03Cifratura

Non cifriamo il disco dei nostri server di esercizio. La cifratura del disco protegge dal furto di una macchina nel centro dati, non da un accesso ottenuto attraverso la rete; preferiamo scriverlo piuttosto che lasciar credere il contrario.

04Accesso ai server

I controlli qui sotto sono applicati su tutti i nostri server e riverificati automaticamente ogni ora.

• Connessione solo tramite chiave: l'autenticazione con password è disattivata, l'account amministratore del sistema non può connettersi a distanza e le password vuote sono rifiutate.
• Al massimo tre tentativi di autenticazione, poi blocco automatico degli indirizzi che insistono.
• Due firewall indipendenti, uno presso l'host e l'altro su ogni server, chiusi per impostazione predefinita: ogni macchina espone solo ciò che il suo ruolo impone.
• Banche dati, cache e interfacce di amministrazione fuori portata da internet, raggiungibili solo dalla rete privata.
• Revisione delle chiavi autorizzate: ogni chiave presente corrisponde a una persona o a un componente identificato, e la comparsa di una chiave sconosciuta fa scattare un avviso.
• Nessun segreto in un file leggibile da tutti né in una riga di comando, dove sarebbe visibile a qualsiasi utente della macchina.
• Registro di audit tenuto fuori dalla banca dati che lo produce, perché un accesso a questa banca dati non permetta di cancellare la traccia di quanto vi è stato fatto.

Lato Cliente e residente

• Profili distinti secondo il ruolo, ogni account vede solo gli stabili che lo riguardano.
• Le credenziali di chiamata e il gettone di sessione sono conservati nella cassaforte cifrata del telefono ed esclusi dai backup verso il cloud, così che un backup ripristinato su un altro apparecchio non dia accesso al citofono.

05Sorveglianza e reazione automatica

I nostri server sono sorvegliati in continuo da quattro cicli indipendenti, che riparano da soli ciò che sanno riparare e avvisano per il resto.

Due garanzie limitano queste riparazioni automatiche. Sono limitate a tre tentativi per problema e per giorno, dopodiché la macchina viene congelata e parte un avviso verso un essere umano, con promemoria quotidiano finché il problema dura. E tutto ciò che tocca l'accesso remoto, la riattivazione di una connessione con password o la comparsa di una nuova porta pubblica, non viene mai corretto automaticamente ma segnalato: una correzione mal riuscita sull'accesso remoto trasformerebbe la riparazione in un guasto.

06Sviluppo e distribuzione

• Infrastruttura descritta in codice e versionata: firewall, configurazione dei server e distribuzioni sono file riletti e storicizzati, non gesti manuali.
• Distribuzione verificata delle configurazioni sensibili: controllo di validità prima dell'applicazione, salvataggio dello stato precedente, test di funzionamento dopo il riavvio e ritorno automatico allo stato precedente se il test fallisce.
• Messa in servizio per tappe: una modifica passa dall'ambiente di test prima della produzione, e la produzione rifiuta una messa in servizio che non ha già funzionato in test.
• Nessun dato di produzione copiato su una postazione di lavoro e nessun segreto nel deposito del codice.

07Backup e aggiornamenti

• Backup quotidiani della banca dati e dei server di esercizio, con rotazione, cifrati prima di lasciare la macchina che li produce. Non esiste alcuna replica tra due regioni della Svizzera, e non pubblichiamo alcun obiettivo di ripristino né di perdita massima di dati espressi in cifre finché un'esercitazione di ripristino non li ha verificati.
• Correttivi di sicurezza applicati automaticamente su tutti i server.
• Riavvii controllati: dopo un aggiornamento che lo richiede, i server si riavviano uno alla volta, mai insieme, e l'operazione è rinviata finché è in corso una chiamata del citofono.

08Gestione degli incidenti

Trattiamo un incidente sempre nello stesso ordine: rilevare, contenere, correggere, ripristinare, capire. Ogni incidente dà luogo a un'analisi scritta e a una sintesi comunicata alle persone toccate quando l'impatto supera un caso isolato.

Notifica

• Clienti (amministrazioni): notifica non appena l'incidente è confermato, per e-mail all'account tecnico.
• Persone interessate: se la violazione presenta un rischio elevato, notifica individuale con raccomandazioni pratiche.
• IFPDT / autorità: notifica nei termini dell'art. 24 nLPD e dell'art. 33 RGPD.

09Divulgazione responsabile

Se avete individuato una vulnerabilità nei nostri servizi, vi ringraziamo di segnalarcela in modo coordinato.

Regole del gioco

• Account di test: su richiesta a contact@neolia.ch apriamo uno spazio di test nel nostro ambiente di preproduzione, staging.manager.neolia.ch. Comprende un'amministrazione fittizia, due account (una direzione e un collaboratore limitato a uno stabile) e due stabili fittizi, senza alcun dato di clienti. Gli account si chiudono da soli dopo 30 giorni. Lavorate con questi account invece che in produzione.
• Sulla stessa richiesta apriamo anche, nell'ambiente di preproduzione, un'impresa di installazione fittizia su Neolia Pro e due alloggi fittizi le cui credenziali aprono il portale web degli abitanti. Questi account si chiudono da soli dopo 30 giorni.
• Nessun attacco su dati reali: non utilizzi alcun account di un residente, di un'amministrazione immobiliare o di un elettricista che non sia il suo, e si fermi non appena la vulnerabilità è dimostrata.
• Nessun DoS, nessuna ingegneria sociale verso i nostri collaboratori o partner.
• Nessuna divulgazione pubblica prima della correzione o prima di 90 giorni, salvo esposizione attiva.