Genio · documento per l'azienda che usa l'app

Sicurezza e privacy

Come Genio protegge l'accesso, chi può vedere cosa, dove stanno i dati, cosa riceve l'intelligenza artificiale e come si applica il GDPR. Ogni punto descrive una protezione presente nel codice dell'app e verificata.

1. In breve

• Si entra con l'account aziendale Microsoft (lo stesso di Windows, Outlook e Teams), con la verifica in due passaggi obbligatoria.
• Ognuno vede solo i dati dei propri negozi e del proprio ruolo: il controllo lo fa il server a ogni richiesta, non la schermata.
• I dati restano nell'Unione europea e nel database sono cifrati.
• Lume e Nova (l'intelligenza artificiale) ricevono solo numeri e categorie: mai nomi, telefoni, codici fiscali o contratti dei clienti. Non leggono il database e non possono fare azioni.
• L'installazione è attivata con un product key: funziona su una sola installazione alla volta e una copia del database non può essere usata altrove.
• Ogni dato ha un tempo di conservazione, scaduto il quale viene cancellato da solo.
• Ogni accesso e ogni attività sui dati personali restano in un registro che vede solo l'amministratore, e una sorveglianza degli accessi avvisa quando qualcuno prova a forzare l'ingresso.

2. L'accesso

• Account Microsoft aziendale (Microsoft Entra ID). Genio accetta solo gli account dell'organizzazione indicata (ID directory), con i domini email dell'azienda se indicati, e solo se la persona è nell'elenco degli utenti autorizzati dall'amministratore. Chi lascia l'azienda e viene disattivato in Microsoft non può più accedere; le sessioni già aperte durano al massimo 12 ore e l'amministratore le può chiudere subito.
• Controlli sul ritorno da Microsoft. Il codice di accesso si scambia direttamente con Microsoft su connessione cifrata. Genio controlla stato e nonce (contro i link contraffatti), organizzazione, destinatario, scadenza del token e dominio email.
• Verifica in due passaggi obbligatoria. Entra solo chi ha confermato l'accesso anche con un secondo fattore: app Microsoft Authenticator, codice SMS o chiamata, Windows Hello o chiave di sicurezza. Genio lo legge nel token di Microsoft e rifiuta gli altri accessi; le sessioni aperte senza il secondo passaggio vengono chiuse su tutte le funzioni.
• Sessioni firmate. Dopo l'accesso il browser riceve una sessione firmata (HMAC SHA-256) che dura al massimo 12 ore. Una sessione modificata o inventata viene rifiutata.
• Chiusura per inattività. Senza tocchi, clic o tasti la sessione si chiude da sola dopo 10 minuti, 20 nelle pagine di compilazione (Preventivi, Fissi, Business). Il controllo lo fa il server: lasciare la pagina aperta non basta a tenerla viva. Nell'ultimo minuto un conto alla rovescia chiede se la persona è ancora lì; allo scadere la pagina viene coperta e serve un nuovo accesso, con Microsoft che chiede di nuovo le credenziali e la verifica in due passaggi. I moduli lasciati a metà restano come bozza cifrata, solo per chi li ha scritti, al massimo 24 ore.
• Cookie protetto. La sessione non è leggibile dagli script della pagina (HttpOnly), viaggia solo su HTTPS e non viene inviata da siti esterni (SameSite).
• Chiusura da remoto. L'amministratore può chiudere le sessioni di una persona o di tutti: dalla richiesta successiva non valgono più, su ogni funzione, comprese la configurazione e le impostazioni di accesso. Anche chi viene tolto dall'elenco utenti o cambia ruolo deve rientrare.
• Tentativi limitati. Dopo 8 tentativi sbagliati dallo stesso indirizzo l'accesso si blocca per 15 minuti, anche se i tentativi arrivano tutti insieme, e ogni tentativo sbagliato viene rallentato. Un accesso riuscito non azzera il conteggio, così conoscere una password non aiuta a indovinarne un'altra.
• Sorveglianza degli accessi. In Utenti e accessi la scheda Sorveglianza mostra con un semaforo lo stato degli accessi, i numeri delle ultime 24 ore, le raffiche di tentativi falliti con l'indirizzo bloccato e gli indirizzi nuovi che sono entrati. Quando una raffica supera la soglia chi gestisce riceve un avviso sul telefono. Guarda solo gli accessi, non i dati dei clienti.
• App per computer. Il codice che riporta l'accesso dal browser all'app vale 2 minuti, una sola volta e solo per l'app che lo ha chiesto.

3. Chi vede cosa

• Negozi separati. Un negozio, un addetto vendita o uno store manager vede solo i propri negozi, in ogni sezione (fissi, business, preventivi, magazzino, manutenzione, target, turni). Il controllo vale anche se il nome del negozio viene scritto in un altro modo, e anche i codici dealer arrivano solo per i propri negozi.
• Dati di ciascuno. L'addetto vendita vede solo i preventivi fatti da lui; l'agente vede ed esita solo i propri appuntamenti.
• Ruoli in sola visualizzazione. Area Manager, Back office e Business Account consultano ed esportano, ma salvano solo le poche cose previste dal loro lavoro. Il controllo è sul server, prima di ogni salvataggio.
• Funzioni da amministratore. Utenti, negozi, moduli, ruoli, privacy, configurazione ed export completi rispondono solo all'amministratore.
• "Accedi come". L'amministratore può vedere l'app con gli occhi di un ruolo per assistenza, solo in lettura: non può salvare a nome di un altro. Ogni uso finisce nel registro.
• Dati coperti nelle tabelle. Codici fiscali, telefoni ed email compaiono parzialmente coperti negli elenchi; il dato completo si vede solo aprendo la scheda.
• Schede dei clienti. La scheda di un cliente si compone solo dai suoi preventivi (nome, cellulare, servizi attuali e spesa, servizi presi e durata delle rate) e dalle chiamate segnate dal negozio (data, motivo, esito, addetto, nota breve). Di serie la vede solo l'amministratore; agli altri ruoli la apre il super amministratore, e ognuno vede solo i clienti dei preventivi che già vede. Le offerte si propongono solo a chi ha scelto "Offerte e novità" nel link del preventivo: l'addetto non può spuntarlo, e una revoca vale in tutti i negozi. Lume e Nova non ricevono nulla delle schede: in Oggi compaiono solo numeri. Le schede restano 24 mesi e si cancellano con il cliente.
• Sezioni spente. Le sezioni non usate si spengono: le loro funzioni smettono di rispondere, non solo di comparire nel menu.

4. Dove stanno i dati e come sono protetti

• Server nell'Unione europea. L'app gira a Francoforte (Vercel, regione fra1); il database è in una regione dell'Unione europea (Turso). Tutte le connessioni sono cifrate (HTTPS con HSTS).
• Database cifrato. Nomi, codici fiscali, email, indirizzi e ogni altro valore arrivano al database già cifrati con AES-256-GCM, e così anche i nomi delle chiavi. Chi aprisse il database vedrebbe solo testo illeggibile: Genio decifra solo per chi è collegato e ne ha diritto.
• Copie di sicurezza. Ogni notte Genio fa una copia cifrata di database e file, fuori dall'app: se l'app non si apre, i dati si riportano comunque al giorno scelto. Le copie restano 30 giorni e poi si cancellano da sole a rotazione, la più vecchia per prima, come le registrazioni della videosorveglianza.
• Cassaforte delle password. Le password di servizio salvate nella Cassaforte sono cifrate con AES-256-GCM, con una chiave separata da quella delle sessioni; mostrarle richiede il ruolo giusto e resta nel registro.
• Chiavi fuori dal codice. Chiavi e segreti stanno nelle impostazioni protette del server, mai nel codice né nel browser. Il segreto di Microsoft salvato dal pannello è cifrato e non torna mai sullo schermo.
• File caricati. I caricamenti hanno limiti di tipo e dimensione (al massimo 4 MB). Gli export Excel scrivono i valori come testo, senza formule.
• Pagine protette. Ogni pagina ha le intestazioni di sicurezza: Content-Security-Policy (script solo da questo sito), divieto di incorporare l'app in altri siti, HSTS, nosniff, Referrer-Policy; telecamera e posizione spente, microfono solo per questo sito. I testi scritti dalle persone e dall'AI si mostrano senza eseguire codice.
• Link del preventivo per il cliente. Ogni link ha un codice casuale lungo e non indovinabile, una scadenza e un limite di richieste; si può revocare e mostra solo quel preventivo.
• Avvisi in chat. Gli avvisi verso Google Chat, Slack e Teams partono solo verso gli indirizzi di quei servizi.

5. Licenza e product key

• Installazione attivata. Genio è attivato con un product key intestato all'azienda che lo usa, dal 8 novembre 2026. Il codice vale per sempre ma è attivo su una sola installazione alla volta.
• Attivazione firmata. Il servizio di attivazione risponde con un'attivazione firmata digitalmente (Ed25519) e legata al database di questa installazione. Un'attivazione modificata, inventata o presa da un'altra installazione viene rifiutata.
• Copie bloccate. Ogni giorno l'attivazione si rinnova: una copia del database portata su un altro server si ferma da sola, e così l'installazione da cui il product key è stato spostato.
• Solo il necessario. All'attivazione arriva al servizio il product key; poi, una volta all'ora, l'installazione manda solo l'impronta del codice e codici casuali: niente dati dell'azienda, degli utenti o dei clienti, niente indirizzi o domini.
• Sempre in funzione. Se il servizio di attivazione non risponde, Genio continua a funzionare. Cambiare dominio, logo, nomi o account non tocca la licenza; per spostare l'installazione l'amministratore libera il product key da Utenti e accessi, scheda Privacy.

6. Come Genio tratta i dati, dall'accesso alla risposta

1. Chi sei. All'accesso Genio riconosce la persona tramite Microsoft e le assegna ruolo e negozi decisi dall'amministratore.
2. Cosa chiedi. A ogni richiesta il server verifica di nuovo la sessione, il ruolo e i negozi: se la richiesta va oltre, viene rifiutata.
3. Cosa carichi. I file (fissi, business, report, magazzino) vengono letti dal server, controllati e salvati cifrati; restano visibili solo ai negozi a cui appartengono.
4. Cosa vedi. Le schermate mostrano solo i dati del tuo perimetro, con i dati personali coperti negli elenchi.
5. Cosa interpreta l'AI. Per le analisi Genio prepara un riepilogo con soli numeri e categorie, nei limiti dei tuoi negozi; i nomi degli addetti diventano "Addetto A, B…" e tornano veri solo nella risposta mostrata a te.
6. Quanto resta. Scaduto il tempo di conservazione il dato viene cancellato da solo, ogni giorno.

7. Intelligenza artificiale (Lume e Nova)

• Nessun accesso al database. L'AI non ha strumenti, non può fare ricerche nei dati né cambiarli: riceve solo il testo che Genio ha già preparato. Un test automatico impedisce di aggiungerle strumenti senza una decisione esplicita.
• Dati personali oscurati. Telefoni, codici fiscali, partite IVA, email e IBAN vengono tolti prima dell'invio e coperti anche nelle risposte.
• Difesa dalla manipolazione. Le frasi dentro PDF, pagine web o file che provano a dare ordini all'assistente (prompt injection) vengono tolte prima dell'invio, e le istruzioni dell'assistente glielo vietano.
• L'AI consiglia, le persone decidono. Le risposte sono testo: nessuna azione parte da sola, e le risposte non contengono link o immagini che possano portare dati fuori.
• Niente addestramento sui dati. I fornitori si usano con i piani per le aziende, i cui termini escludono l'uso delle richieste per addestrare i modelli: Google (Gemini) con il piano a pagamento, Groq con la conservazione zero dei dati. In ogni caso ricevono solo numeri, non dati che identificano i clienti.
• Registro dell'AI. Ogni risposta lascia una riga nel registro (chi, quando, quale modello, quali difese sono scattate), senza il testo delle domande.

8. GDPR

• Informative. Le informative per clienti e dipendenti sono pubbliche: clienti e dipendenti, con i fornitori che l'app usa davvero.
• Dati minimi. Si raccoglie solo quello che serve al lavoro del negozio.
• Diritti delle persone. L'amministratore cerca, esporta e cancella i dati di un cliente da un'unica schermata (accesso, portabilità, cancellazione).
• Registri. Accessi (riusciti e rifiutati) e attività sui dati personali (export, cancellazioni, "Accedi come", chiusura delle sessioni) restano in registri visibili solo all'amministratore.
• Sicurezza del trattamento (art. 32). Cifratura, controllo degli accessi per ruolo e negozio, sessioni revocabili e registri sono descritti nei punti precedenti.
• Tempi di conservazione (art. 5). Il GDPR non fissa una durata per ogni dato: chiede di conservarlo solo per il tempo necessario allo scopo (art. 5, par. 1, lett. e). I tempi della tabella seguono questo principio e le indicazioni del Garante: i dati usati per contattare i clienti (appuntamenti delle campagne) restano al massimo 12 mesi, meno dei 24 indicati dal Garante per il marketing; il registro degli accessi resta 12 mesi, più dei 6 minimi chiesti per gli amministratori di sistema; i dati di lavoro (fissi, business, preventivi, turni) restano 24 mesi; il registro dei consensi resta 36 mesi, come prova di consensi e revoche; le copie di sicurezza restano 30 giorni. Scaduto il tempo, Genio li cancella da solo ogni giorno.
• Documenti contabili. Ricevute e rimborsi spese restano in Genio 24 mesi; gli originali e il riepilogo di fine mese li conserva l'amministrazione dell'azienda per 10 anni, come chiede il Codice civile (art. 2220).

9. Verifiche

• Test di sicurezza. Il 29 ottobre 2026 Genio è stato sottoposto a un test di sicurezza su una copia con dati di prova: separazione tra negozi e ruoli, accesso e sessioni, verifica in due passaggi, AI, pagine, file e collegamenti. Le protezioni descritte in questa pagina sono quelle verificate.
• Revisione del codice. Il 4 novembre 2026 tutto il codice è stato riletto da cima a fondo, funzione per funzione, controllando accessi, permessi e dati di ogni negozio.
• Attacco simulato. Il 5 novembre 2026 Genio è stato attaccato come farebbe un vero attaccante, su una copia con dati finti, su sette fronti: accesso e verifica in due passaggi, sessioni, permessi per ruolo e negozio, archivio dei file, collegamenti automatici, assistente AI, chiavi e password. Le difese hanno retto su tutti e sette.
• Controllo finale. L'8 novembre 2026, prima della consegna, è stato rifatto un controllo di sicurezza in sola lettura su accesso e sessioni, pagine senza login, permessi per ruolo e negozio, intestazioni di sicurezza, cifratura dei dati e dipendenze: le protezioni descritte in questa pagina sono quelle verificate.
• Test automatici. A ogni modifica girano test automatici su accessi, separazione dei dati, privacy e difese dell'AI; una modifica che li rompe non viene pubblicata.
• Aggiornamenti. Le librerie vengono tenute aggiornate con le correzioni di sicurezza.

Ultimo aggiornamento: 10 novembre 2026.