Become a partner   | Request Support  | Contact Sales

SLA - Service Level Agreement

 

SLA

What is SLA

SLA is the acronym for Service Level Agreement, a contractual tool with which the service metrics that must be respected by the service provider (Cloud Provider) towards its clients are defined.

Specifically, the SLA relating to the service contract offered by CoreTech refers to:

  • For IaaS services: Data Center and Infrastructure hardware (cluster)
  • For SaaS servicesData Center, Connectivity, Hardware infrastructure (cluster), Application

IaaS

IaaS

SaaS

SaaS


In the diagrams we can distinguish the difference between IaaS and SaaS systems and the differences in responsibility for CoreTech as a cloud provider and for the client.

For IaaS services, CoreTech manages and is responsible for: Network, Storage, Servers and Virtualization. The client is instead responsible for: Operating System and all of the above installed.
For SaaS services, CoreTech manages and is responsible for the entire stack, from the Network to the Application. The client, on the other hand, is responsible for his own data and for the security inherent in the custody of the same and for the authentication parameters for the service.

By its nature, SaaS services having N additional levels compared to IaaS services, are subject to potential greater disruptions due to the components overlying the architecture, such as the operating system and installed applications.
For these reasons, the SLAs of services related to IaaS are generally higher than those related to SaaS services.

Service Levels Example

The following SLAs serve the purpose of giving indications on the levels of service that systems hosted in the CoreTech cloud can have. The servers hosted in the CoreTech cloud have the same network infrastructure, hardware and software as the systems whose service levels are shown on this page.

La gestione, la cura, il monitoraggio e la tempestività nella gestione dei server dei clienti rimane a carico del cliente e non di CoreTech, salvo diversamente concordato attraverso appositi servizi opzionali.

Therefore CoreTech with the publication of the following service levels guarantees that the network infrastructure is able to maintain high levels of SLAs and therefore minimum disruptions, but does not guarantee that the server of each customer can have the same SLAs, as it is only the customer is responsible for managing the servers for problems that go beyond the CoreTech cloud architecture.

Media SLA - Mail Systems (SaaS)

October Las 60 days
99,986% 99,951%

SLA - better and worse than the previous month

Best Worst
99,998% 99,888%

Media SLA - Web server (SaaS)

October Las 60 days
99,975% 99,869%

SLA - better and worse than the previous month

Best Worst
99,993% 99,759%

How monitoring takes place

The monitoring probes are located in another data center on an external network.

The systems indicated in the example are monitored constantly every 60 seconds.
The indicated SLAs are calculated from the average of the SLAs of the individual servers for each system considered.

For the indicated SLAs, the times of unreachability of services due to scheduled activities, such as reboots of operating systems or software updates, were not deducted. The monitoring probes refer to HTTP / HTTPS access and not to the simple PING of the system (which only determines its reachability).

Grafico SLA

Period of Disruption

It means periods of one or more minutes of disruption.
Partial minutes or intermittent outages for a period of less than one minute are not counted as outages.

Suspensions, technical assistance and maintenance as per contract art 16 and art 34 are not considered disservice.
Maintenance is indicated in advance on the page System Status

Percentage of Monthly Uptime

It means the total number of minutes in a month, minus the total number of minutes of outage in a month, divided by the total number of minutes in a month.

Inefficiencies are calculated on a monthly basis.

Example:

  • In a day there are 1440 minutes (60 x 24)
  • In a month of 30 days there are 43200 minutes (1440 x 30)

Calculate UpTime:

  • 5 minute outage
    43200 (minutes available in the month) -5 (out of service) / 43200 = 0.99988 o 99,988%
  • 30 minute outage
    43200 (minutes available in the month) -30 (out of service) / 43200 = 0.99930 or 99,930%
  • 44 minute outage
    43200 (minutes available in the month) -44 (out of service) / 43200 = 0.99898 o 99,898%


Uptime Downtime by month
100% 0m
99.999% 0.4m
99.99% 4m
99.9% 43m
99.8% 1h 26m
99.7% 2h 10m
99.6% 2h 53m
99.5% 3h 36m
99.4% 4h 19m
99.3% 5h 2m
99.2% 5h 46m
99.1% 6h 29m
99.0% 7h 12m

Service Credit (Refund)

In case of disservice beyond the terms of the SLAs guaranteed in one month, the client is entitled to a service credit as the only and exclusive form of reimbursement. The client cannot unilaterally interrupt the payment of the monthly fees applicable to the service which is the subject of a complaint about disservice.

In case of disservice beyond the terms of the SLAs guaranteed in one month, the client is entitled to a service credit as the only and exclusive form of reimbursement.

Refund request procedure

To receive any refund request relating to the unexpected event, the client must notify CoreTech by opening a ticket to Technical Support within 7 days of detecting the event. Simultaneously with the opening of the reports to the support, the client must provide the server log files from which the loss of connectivity to the outside can be verified with the date and time in which such errors occurred, including by way of example the description details of the problem encountered, the number and users affected by the problem (if applicable), the description of the attempts made to resolve the unexpected event when it occurred.

If this information is not provided, the client waives the right to receive a refund credit.
With respect to a complaint related to Cloud services, CoreTech will evaluate all information reasonably in its possession such as logs and logs of its systems, reports of the monitoring systems or other information. At the end of the checks, no later than 20 days, it will determine in good faith whether the client is entitled to a Service Credit.

If the company (end-client) has purchased a service from a partner, the Service Credit will have to receive it directly from the reseller and the reseller will receive the credit directly from CoreTech.

Guaranteed SLAs and Service Credit

IaaS
<99,95% (21m 54s) = 10%
<99,85% (1h 5m 44s) = 20%
<99,00% (7h 18m 17s) = 50%
SaaS
<99,8% (1h 26m) = 10%
<99,5% (3h 36m) = 20%
<99,00% (7h 18m 17s) = 50%

Example:


SLA <99,95%
That is, over 21 minutes of disruption
Refund Credit 10% of the service = 10 Euros

Recognizing 10% of the service value as a refund means recognizing the client a multiple of the value of the downtime of the service itself, for example, 10 Euros correspond to 4329 minutes of service. So a client who has an outage of 23 minutes, i.e. 1 minute longer than the minimum SLA level (99.95%), will receive a credit corresponding to 4329 times the price paid for the service per minute.

Consult the SLAs of your service

1Backup | SLA

Version 3 dated 05/09/2024

Description
Remote cloud backup service
Link
Roles and responsibilities
CoreTech acts as Manager or Sub Responsible for all treatments, while it is the owner of customer contact data only.
With regards to compliance and data security, CoreTech and the customer are both responsible albeit on different fronts.
Link
CoreTech Responsibilities
Daily check of the status of 1Backup servers and storage. Keep systems updated with the most stable and secure software versions released by the manufacturer.
Monitor servers to ensure continuity of service.
Customer Responsibility
Check the outcome of the backups daily. Adequately configure the backup jobs and related retention according to your needs. Carry out a restore test at least monthly/bimonthly.
Impostare delle password di accesso al servizio complesse. Custodire con cura i dati di accesso degli agenti di Backup e limitarne la divulgazione. Custodire con cura la password di cifratura dei dati se diversa da quella usata per l’agente di Backup.
Inform CoreTech promptly of any anomalies that may lead to a data security problem. Intervene promptly in the event of reports from CoreTech on problems relating to the service.
Datacenter
TIER4 - It is the highest level of guarantee that a data center can offer, with 99.9% availability. Identifies a data center that is completely redundant in terms of electrical circuits, cooling and network. This indicator refers to an architecture that allows you to deal with serious technical incidents without ever interrupting server availability.
Link
Geographic location European Union
Etichettatura
Il software non offre livelli standard di classificazione delle informazioni. Il cliente può comunque apporre etichette ed, eventualmente, un livello di classificazione, tramite il nome macchina o creare gruppo idoneo per privacy.
Funzionalità presenti sul Pannello di Controllo
1Backup ha 2 pannelli di controllo utilizzabili. Uno Dedicato e uno su Sygma. Il cliente è autonomo fino alla chiusura del suo account Amministrativo associata all'istanza (account Reseller). La cancellazione dell'agente non comporta disdetta del servizio. Una volta richiesta la Cancellazione dell'agente arriva mail con tracciatura.
Admin Panel L'utente può scegliere gli algoritmi e la lughezza delle chiavi di cifratura del backup. L'utente può scegliere su quali dati eseguire il backup, schedularne la frequenza e destinazione. L'utente è autonomo nell'impostare le proprie politiche di Retention. La password dell'utente Admin e degli agent devono rispettare criteri mimini di sicurezza. Presenta il numero ed esito dei backup, numero ed esito dei restore, modifiche e cancellazione backup set e dati.
SLA
Monthly SLA
99,8% (1h 26m)
Ordinary and extraordinary maintenance activities reported on the site 24 hours in advance are excluded
(except for emergencies related to safety problems that require our immediate intervention)
Penalties
SLA SaaS
<99,8% (1h 26m) = 10%
<99,5% (3h 36) = 20%
<99,00% (7h 18m 17s) = 50%
for more information visit the site https://www.coretech.it/it/service/systemStatus/SLA_servizi.php
Backup
The service is offered with 1 replicated storage (Backup Set)
The Backup Set is replicated on Cloud Storage S3 - located in a Data Center outside Italy in a European Union country.
The user is autonomous in setting his own retention policies and verifying their outcome through monitoring.
Problem Tolerance
Multiple Servers The servers that provide the 1Backup service are different.
These servers are virtual machines residing on Vmware clusters consisting of 3 physical nodes. The customer should take care to allocate the Backup agents on different servers. The Backup Servers benefit from the Stellar infrastructure.
Stellar site
Configuration Storage Raid6 The disk configuration of the backup destination storage is RAID6. The storage on which the data backups reside has dual power supplies and dual network connectivity. The disk controller is double.
Disaster Recovery Backup set to another Datacenter in S3 mode
Support
Support Page - Link
Access to Data
Available and web interface or specific client software.
The customer is the only one who has the passwords to access the archive boxes.
CoreTech cannot access the data as it is encrypted.
Contract Cancellation / Closure
The user is autonomous in the cancellation of their data. If not canceled, CoreTech will cancel them after 30 days from the cancellation of the service.
To request cancellation of the service, you must send via pec coretech@pec.coretech.it within 30 days from the automatic renewal of the service.
Portability
The data can only be exported using Restore by the customer.
Assistance process for the satisfaction of the rights of interested parties
Data Processing Agreement (DPA) - Link page
How personal data breaches are handled
Data Processing Agreement (DPA) - Link page
Raccolta Prove
If the customer needs to collect evidence or request assistance, he can send the request to the email address ufficio@coretech.it, in the event that the assistance requested is not the responsibility of support or for other reasons, he can contact the Privacy contact person at email privacy@coretech.it.
User Manual Link
Support page - Link
Product page - Link
FAQ
Faq - Link
Terms and conditions - Link
Security measures
Pagina Data Processing Agreement (DPA)
Link
User Management Per gli utenti dei clienti, è possibile gestire gli utenti di Sygma.
Personal userids for users Per i clienti, è possibile creare utenti con userid personali.
Livello di dettaglio con cui si possono impostare i diritti di accesso ai sistemi (singola funzionalità, singola transazione, eccetera). Con pannello admin si stabiliscono in autonomia gli utenti che possono accedere, le autorizzazioni e i metodi di autenticazione (inclusa lunghezza e complessità delle password).
Verifica delle autorizzazioni per accedere o visualizzare le elaborazioni. I clienti possono visualizzare gli utenti e le autorizzazioni dai pannelli di controllo dei singoli servizi acquistati (incluso Sygma).
CoreTech può visualizzare gli utenti AdS verificando i singoli sistemi.
Opzione cambia la password al primo utilizzo. Serve quando si inserisce un nuovo utente o quando la password è modificata dagli amministratori di sistema (per esempio se l'utente l'ha dimenticata).
Per gli utenti Sygma: - in caso di creazione dell'utenza, il cambio della password è obbligatorio; per il reset password, l'utente avvia la procedura in autonomia.
Per i servizi, sono assegnate user-id e password di amministrazione ai clienti, che la gestiscono in autonomia.
Changing the password by the user Per i clienti: per il reset password, l'utente avvia la procedura di Sygma in autonomia.
Per gli AdS interni, le password sono gestite tramite Sygma.
Password nascosta nel campo dove inserire la password. Yes
Bloccare l’utenza Possibilità di bloccare l’utenza dopo un certo numero di tentativi errati di inserimento della password (da non applicare a tutti gli amministratori di sistema perché, in caso di attacco, nessuno potrebbe più accedere al sistema).
Su Sygma è abilitato l'invio dell'email ad ogni tentativo sbagliato. Inoltre, dopo un certo numero di tentativi, si avvia una procedura di rallentamento.
Per gli AdS di CoreTech, è usato Sygma. I virtualizzatori bloccano per 5 minuti le utenze dopo 5 tentativi falliti. Però al momento non sono lanciati allarmi.
Modalità di recupero delle password di amministrazione. È possibile contattare l'assistenza di CoreTech.
Possibilità di assegnazione a più utenti dei poteri di amministrazione, anche su singole parti del sistema. Yes
Personalizzazione delle credenziali per gli amministratori di sistema (e userid personali). Yes
Disabling default userids. Yes
Controllo automatico delle caratteristiche delle password in modo che gli utenti non le scelgano banali. Si, Controllo automatico delle caratteristiche delle password in modo che gli utenti non le scelgano banali: complessità (devono essere presenti lettere e numeri; oppure lettere minuscole, lettere maiuscole e numeri e caratteri speciali), lunghezza (minimo 8 caratteri), scadenza (affinché siano cambiate almeno ogni 3 mesi), blocco in caso di inattività dell’utente (dopo non più di 6 mesi), non ripetibilità delle ultime 5 o 10 password.
Controllo automatico delle caratteristiche delle password; p.e. password non nel dizionario Si, Controllo automatico della non banalità delle password; p.e. password non nel dizionario, non una variazione della user-id come Cesare1970, non una variazione del nome dell’applicazione come Oracle70, non una password popolare come 12345678 (queste regole sono considerate alternative e più sicure di quelle relative alla complessità descritta sopra).
Disponibilità di strumenti di MFA. Available at the administrator's discretion.
Messaggi di errore di autenticazione che non specificano dettagli (dicono solo, p.e., "credenziali non corrette"). Yes
Configurazione affinché gli utenti siano sconnessi dopo 5 o 10 o più minuti di inattività. Dipende dal sistema.
Configurazione affinché gli utenti non possano connettersi in specifici orari o da alcuni Paesi. No
Modalità di interfacciamento con altri programmi o con l’utente che preveda connessioni cifrate, scambio di certificati digitali, autenticazione reciproca senza utenze di amministrazione o generiche. In alcuni casi, sono usate credenziali di servizio, ma con controllo dell'IP di origine.
Encrypted data storage. Unencrypted data.
Encrypted data transmission All connections are encrypted.
Meccanismi di firma o logging se devono essere garantiti certi livelli di non ripudiabilità delle attività. In alcuni casi, sono usate credenziali di servizio, ma con controllo dell'IP di origine.
Meccanismi Crittografici L'algoritmo usato per crittografare i file è l'AES a 256-bit. Le comunicazioni con il server 1Backup sono su SSL a 128-bit.
Accesso alla chiavi crittografiche limitato ai soli amministratori di sistema o solo a processi interni del software. Internamente, le chiavi private sono usate con i certificati e i certificati sono modificabili solo dagli AdS. I clienti gestiscono i certificati:
- in autonomia per i servizi che lo prevedono;
- attraverso gli AdS di CoreTech per altri servizi (p.e. email).
Chiavi crittografiche generate secondo metodi sicuri, partendo da seed generati casualmente. External certificates used.
Disponibilità di log applicativi e log delle attività degli amministratori di sistema. Log applicativi dipendono dall'applicazione.
User logs Vedere sopra.
Meccanismi per garantire la sicurezza dei log. Sicurezza assicurata dall'applicazione.
Meccanismi per stabilire la durata della conservazione dei log. Set 6 months.
Modalità di collegamento del sistema ai sistemi di monitoraggio già in uso. See "Infrastructure".
Clock sincronizzabile con un NTP server. See "Infrastructure".
Definition of acceptable performance See "Infrastructure".
Modularità del sistema, in modo che sue diverse componenti possano essere installate in ambienti diversi. I server sono suddivisi in cluster per ottimizzare le prestazioni. Ciascun servizio, poi, dove opportuno, è suddiviso in ulteriori server, preferibilmente in cluster diversi.
Backup (frequenza, tempi di conservazione, locazione) Vedere sopra.
Verifica e sanamento dei dati in ingresso a livello server, soprattutto quando ricevuti da fonti non sicure come il web (per esempio, se è prevista una data, il sistema verifica che si tratti di una data e non di altri caratteri; se sono previsti input di un certo numero di caratteri, il sistema verifica che la loro lunghezza non sia eccedente). Pacchetto, gestito o tramite la propria interfaccia o tramite interfaccia Sygma (vedere sotto).
Filtri quando si modificano i dati, per esempio con messaggi “sei sicuro di voler modificare” o con richiesta di validazione da altri utenti. A seconda delle criticità dell'operazione, per confermarla sono attivi i seguenti meccanismi:
- modifiche reversibili, che quindi non richiedono conferma;
- richiesta conferma per modifiche non reversibili non impattanti (p.e. cancellazione ticket);
- richiesta conferma email per modifiche non reversibili impattanti (p.e. cancellazione VM);
- richiesta di conferma con ulteriori dati di input, in alternativa al precedente.
Limitazione delle possibilità di ricerca, in modo che un utente non possa visualizzare dati a cui non è autorizzato. N/A
Dati a video e stampati senza informazioni riservate o per le quali l’utente non ha le autorizzazioni ad accedere. N/A
Possibility of anonymization or pseudonymization of data N/A
Tipo di messaggi e di avvisi lanciati dal sistema che forniscano sufficienti informazioni al personale autorizzato, ma non forniscano informazioni a malintenzionati (per esempio, fornendo troppi dettagli sul tipo di errore quando si inseriscono credenziali sbagliate). Sì. Esempio: messaggi di errori e di conferma per password errate e per cambio password.
Sistemi di cancellazione automatica dei dati, o di avviso, quando hanno superato il tempo di conservazione previsto (retention time). Responsible for customers
Data deletion methods I backup sono cifrati.
Garanzia della gestione delle vulnerabilità riscontrate e del patching (il produttore deve garantire un servizio di avviso e di invio delle correzioni). I servizi erogati sono in cloud e pertanto CoreTech aggiorna i pacchetti a seconda delle specifiche del fornitore.

MailArchive | SLA

Version 3 dated 05/09/2024

Description
Archiving of e-mail in the cloud. The software generates 1: 1 copies of all emails in a central repository and ensures the long-term availability of large amounts of data to assist with regulatory compliance.
Product Page
Roles and responsibilities
CoreTech acts as Manager or Sub. Responsible for all processing, while it is the owner only for the customer contact details.
With regards to compliance and data security, both CoreTech and the customer are both responsible albeit on different fronts.
Link
CoreTech Responsibilities Daily check of the status of Mail Archive servers and storage.
Keep systems updated with the most stable and secure software versions released by the manufacturer. Monitor servers to ensure continuity of service.
Daily backup control to ensure data integrity.
Customer Responsibility Controllare l'esito dell'archiviazione in base alle esigenze o tempistiche impostate. Configurare adeguatamente i job di archiviazione. Effettuare una prova di restore almeno con frequenza mensile/bimestrale.
Set complex service access passwords. Carefully guard the access data to the archive boxes and limit their disclosure.
Inform CoreTech promptly in case of anomalies that could lead to a data security problem. Intervene promptly in the event of reports from CoreTech on problems relating to the service.
Datacenter
TIER4 - It is the highest level of guarantee that a data center can offer, with 99.9% availability. Identifies a data center that is completely redundant in terms of electrical circuits, cooling and network. This indicator refers to an architecture that allows you to deal with serious technical incidents without ever interrupting server availability.
Link
Geographic location European Union
Etichettatura
È possibile etichettare i dati trattati su Mail Archive quando si crea archiviazione della casella di posta e si imposta un nome profico per quell'archivio. nominadolo come più utile.
Funzionalità presenti sul Pannello di Controllo:
Interfaccia da Sygma o Client Admin sul server o pc stesso. Pieno controllo tramite la dashboard del App. Visualizzazione completa su Sygma. Customer portal permette di far visualizzare al cliente. Autonomia fino alla chiusura del suo account Master o istanza associata al partner. Dove è necessaria richiesta di disdetta servizio. Cancellazione del profilo di archiviazione - arriva mail di richiesta cancellazione a Commerciale che procede manualmente.
Admin Panel - Con pannello admin si stabiliscono in autonomia gli utenti che possono accedere ai profili di archiviazione, le autorizzazioni e i metodi di autenticazione (già presente lunghezza e complessità delle password).
- a Password dell'utente Admin e gli agent devono rispettare criteri mimini di sicurezza
SLA
Monthly SaaS
99,8% (1h 26m)
Ordinary and extraordinary maintenance activities reported on the site 24 hours in advance are excluded. (except for emergencies related to safety problems that require our immediate intervention)
Penalties
SLA SaaS
<99,8% (1h 26m) = 10%
<99,5% (3h 36) = 20%
<99,00% (7h 18m 17s) = 50%
for more information visit the site https://www.coretech.it/it/service/systemStatus/SLA_servizi.php
Backup
The Mailarchive service includes the Backup service replicated on Cloud Storage S3.
Backup is done using the 1Backup service
Data Backup Daily - 60 day retention - 1Backup encryption.
VM backup of the server Daily night - 3 day retention.
Restore By request to customer support who will restore what is requested.
Geographical replication The Backup is replicated on Cloud Storage S3 - located in a DataCenter outside Italy in a country of the European Union.
Problem Tolerance
Multiple Servers The servers that provide the Mailarchive storage service are different and multiple. These servers are virtual machines residing on Vmware clusters consisting of 3 physical nodes. The customer should take care to allocate mail storage domains on different storage servers.
MailArchive Servers benefit from the Stellar infrastructure.
Stellar site
Disaster Recovery Replicated data and backup set on another Datacenter.
Configuration Storage Raid6 The disk configuration of the backup destination storage is in RAID6. The storage on which the data backups reside has double power supply and double network connectivity and the disk controller is double.
Support
Support Page - Link
Access to Data
Available and web interface or specific client software. The customer is the only one who has the passwords to access the archive boxes. CoreTech cannot access the data as it is encrypted
Contract Cancellation / Closure
The data is deleted after 30 days from the termination of the service.
Portability
Independently by exporting the mail pst file.
Assistance process for the satisfaction of the rights of interested parties
Link
How personal data breaches are handled
Link
Assistance process for the satisfaction of the rights of interested parties
Link
Raccolta Prove
If the customer needs to collect evidence or request assistance, he can send the request to the email address ufficio@coretech.it, in the event that the assistance requested is not the responsibility of support or for other reasons, he can contact the Privacy contact person at email privacy@coretech.it.
User Manual Link
Cloud Email Archiving - Link
KB User Access - Link
FAQ
Faq - Link
Security measures
Data Processing Agreement (DPA) - Link page
User Management Per gli utenti dei clienti, è possibile gestire gli utenti di Sygma.
Personal userids for users Per i clienti, è possibile creare utenti con userid personali.
Livello di dettaglio con cui si possono impostare i diritti di accesso ai sistemi (singola funzionalità, singola transazione, eccetera). I clienti possono visualizzare gli utenti e le autorizzazioni dai pannelli di controllo dei singoli servizi acquistati (incluso Sygma).
CoreTech può visualizzare gli utenti AdS verificando i singoli sistemi.
Opzione "cambia la password al primo utilizzo" quando si inserisce un nuovo utente o quando la password è modificata dagli amministratori di sistema (per esempio se l'utente l'ha dimenticata). For Sygma users,
- in caso di creazione dell'utenza, il cambio della password è obbligatorio;
- per il reset password, l'utente avvia la procedura in autonomia.
Per i servizi, sono assegnate user-id e password di amministrazione ai clienti, che la gestiscono in autonomia.
Changing the password by the user Per i clienti: per il reset password, l'utente avvia la procedura di Sygma in autonomia.
Per gli AdS interni, le password sono gestite tramite Sygma.
Password nascosta nel campo dove inserire la password. Yes.
Possibilità di bloccare l’utenza dopo un certo numero di tentativi errati di inserimento della password (da non applicare a tutti gli amministratori di sistema perché, in caso di attacco, nessuno potrebbe più accedere al sistema). Su Sygma è abilitato l'invio dell'email ad ogni tentativo sbagliato. Inoltre, dopo un certo numero di tentativi, si avvia una procedura di rallentamento.
Per gli AdS di CoreTech, è usato Sygma. I virtualizzatori bloccano per 5 minuti le utenze dopo 5 tentativi falliti. Però al momento non sono lanciati allarmi.
Modalità di recupero delle password di amministrazione. È possibile contattare l'assistenza di CoreTech.
Possibilità di assegnazione a più utenti dei poteri di amministrazione, anche su singole parti del sistema Yes.
Personalizzazione delle credenziali per gli amministratori di sistema (e userid personali) Yes.
Disabling default userids From Sygma
Controllo automatico delle caratteristiche delle password in modo che gli utenti non le scelgano banali: complessità (devono essere presenti lettere e numeri; oppure lettere minuscole, lettere maiuscole e numeri e caratteri speciali), lunghezza (minimo 8 caratteri), scadenza (affinché siano cambiate almeno ogni 3 mesi), blocco in caso di inattività dell’utente (dopo non più di 6 mesi), non ripetibilità delle ultime 5 o 10 password. Sygma
Controllo automatico della non banalità delle password; p.e. password non nel dizionario, non una variazione della user-id come Cesare1970, non una variazione del nome dell’applicazione come Oracle70, non una password popolare come 12345678 (queste regole sono considerate alternative e più sicure di quelle relative alla complessità descritta sopra). Sygma
Disponibilità di strumenti di MFA Per gli AdS interni: Sì per Sygma.
Messaggi di errore di autenticazione che non specificano dettagli (dicono solo, p.e., "credenziali non corrette") Yes
Configurazione affinché gli utenti siano sconnessi dopo 5 o 10 o più minuti di inattività. Dipende dal sistema.
Configurazione affinché gli utenti non possano connettersi in specifici orari o da alcuni Paesi. NO.
Modalità di interfacciamento con altri programmi o con l’utente che preveda connessioni cifrate, scambio di certificati digitali, autenticazione reciproca senza utenze di amministrazione o generiche. In alcuni casi, sono usate credenziali di servizio, ma con controllo dell'IP di origine.
Encrypted data storage. Unencrypted data.
Encrypted data transmission All connections are encrypted.
Meccanismi di firma o logging se devono essere garantiti certi livelli di non ripudiabilità delle attività. N/A
Meccanismi Crittografici L'archivio è sempre cifrato con algoritmi stabiliti dal produttore del software Mailstore. Le comunicazioni sono su HTTPS con certificato valido.
Accesso alla chiavi crittografiche limitato ai soli amministratori di sistema o solo a processi interni del software. Internamente, le chiavi private sono usate con i certificati e i certificati sono modificabili solo dagli AdS. I clienti gestiscono i certificati:
- in autonomia per i servizi che lo prevedono;
- attraverso gli AdS di CoreTech per altri servizi (p.e. email).
Chiavi crittografiche generate secondo metodi sicuri, partendo da seed generati casualmente. External certificates used.
Disponibilità di log applicativi e log delle attività degli amministratori di sistema. Log applicativi dipendono dall'applicazione.
User logs Vedere sopra.
Meccanismi per garantire la sicurezza dei log. Sicurezza assicurata dall'applicazione.
Meccanismi per stabilire la durata della conservazione dei log. Set 6 months.
Modalità di collegamento del sistema ai sistemi di monitoraggio già in uso. See "Infrastructure".
Clock sincronizzabile con un NTP server. See "Infrastructure".
Definizione di “prestazioni accettabili” See "Infrastructure".
Modularità del sistema, in modo che sue diverse componenti possano essere installate in ambienti diversi. I server sono suddivisi in cluster per ottimizzare le prestazioni. Ciascun servizio, poi, dove opportuno, è suddiviso in ulteriori server, preferibilmente in cluster diversi.
Backup (frequenza, tempi di conservazione, locazione) Vedere sopra.
Verifica e sanamento (dall’inglese sanitization) dei dati in ingresso a livello server, soprattutto quando ricevuti da fonti non sicure come il web (per esempio, se è prevista una data, il sistema verifica che si tratti di una data e non di altri caratteri; se sono previsti input di un certo numero di caratteri, il sistema verifica che la loro lunghezza non sia eccedente). Pacchetto, gestito o tramite la propria interfaccia o tramite interfaccia Sygma (vedere sotto).
Filtri quando si modificano i dati, per esempio con messaggi “sei sicuro di voler modificare” o con richiesta di validazione da altri utenti. A seconda delle criticità dell'operazione, per confermarla sono attivi i seguenti meccanismi:
- modifiche reversibili, che quindi non richiedono conferma;
- richiesta conferma per modifiche non reversibili non impattanti (p.e. cancellazione ticket);
- richiesta conferma email per modifiche non reversibili impattanti (p.e. cancellazione VM);
- richiesta di conferma con ulteriori dati di input, in alternativa al precedente.
Limitazione delle possibilità di ricerca, in modo che un utente non possa visualizzare dati a cui non è autorizzato. N/A. Sono sempre e comunque attivi permessi differenziati su Sygma e sul sito CoreTech.
Dati a video e stampati senza informazioni riservate o per le quali l’utente non ha le autorizzazioni ad accedere. N/A. Tutti i report sono controllati. Report interni con accesso a seconda delle mansioni di ciascuno. Report in particolare per i commerciali, con dati per reparto o per persona. Sono però impostati centralmente.
Possibility of anonymization or pseudonymization of data Report with minimized data.
Tipo di messaggi e di avvisi lanciati dal sistema che forniscano sufficienti informazioni al personale autorizzato, ma non forniscano informazioni a malintenzionati (per esempio, fornendo troppi dettagli sul tipo di errore quando si inseriscono credenziali sbagliate). Sì. Esempio: messaggi di errori e di conferma per password errate e per cambio password.
Sistemi di cancellazione automatica dei dati, o di avviso, quando hanno superato il tempo di conservazione previsto (retention time). Dipende dalla configurazione stabilita dal cliente.
Data deletion methods Il cliente non può cancellare le proprie email per le caratteristiche del servizi; a conclusione del servizio, è cancellata la singola istanza (senza cifratura; il file è comunque compresso e decuplicato).
Garanzia della gestione delle vulnerabilità riscontrate e del patching (il produttore deve garantire un servizio di avviso e di invio delle correzioni). I servizi erogati sono in cloud e pertanto CoreTech aggiorna i pacchetti a seconda delle specifiche del fornitore.

RocketWeb | SLA

Version 3 dated 05/09/2024

Description
Scalable Web Hosting
Product Page
Roles and responsibilities
CoreTech acts as Manager or Sub Responsible for all treatments, while it is the owner of customer contact data only.
With regards to data compliance and security, both CoreTech and the customer are both responsible, albeit on different fronts.
Link
Responsabilità CoreTech CoreTech acts as Manager or Sub Responsible for all treatments, while it is the owner of customer contact data only.
CoreTech Responsibilities - Daily backup check. Backup retention is 35 days (5 weeks).
- Keep Web Hosting servers updated with the most stable and secure software versions released by the manufacturer.
- Daily check regarding the update status of the integrated antivirus.
- Tenere sotto monitoraggio il server web al fine di garantire la continuità di servizio.
- Check the presence of any security-related anomalies that are highlighted through the system logs or alerts.
- Inform the manufacturer of the software relating to the web servers if you become aware of flaws relating to the security of the system.
- Disattivazione del servizio se a seguito di segnalazione da parte di altri service provider, il sito si sta comportando in modo anomalo (spam, phishing, contenuti inerenti al terrorismo, frode, sito hackerato).
Customer Responsibility - Set passwords for access to the Plesk management panel, the FTP site or the website management system (for example WordPress admin access) with a difficulty level compliant with the defined policies and password change according to the reference standards (e.g. ISO 27002 ).
- Carefully guard your Plesk, FTP and website access data and limit their disclosure.
- Intervene promptly in the event of reports from CoreTech on problems relating to the security of its website.
- Proceed to periodically update the elements relating to the security of your website (for example updating the WordPress version).
- Make a personal backup of your website at least once a month.
- Periodically check the integrated data restore functionality of your website.
- Check weekly for any anomalies relating to the use of your website resources.
- Informare tempistivamente CoreTech in caso di anomalie che possano determinare un problema di sicurezza dei dati.
Datacenter
TIER4 - It is the highest level of guarantee that a data center can offer, with 99.9% availability. Identifies a data center that is completely redundant in terms of electrical circuits, cooling and network.
This indicator refers to an architecture that allows you to deal with serious technical incidents without ever interrupting server availability. catacenter
Geographic location European Union
Etichettatura
Non sono previste funzionalità di etichettatura.
È possibile nominare le cartelle nel modo ritenuto più utile.
Funzionalità presenti sul Pannello di Controllo:
- Interface from Plesk.
- Reseller vede solo i suoi siti e utenti.
- Autonomia fino alla chiusura del suo account Reseller.
- Where necessary, request for cancellation of service.
Admin Panel - Abilitato in HTTPS.
- Permette di impostatare i criteri di lunghezza e complessità delle password per chiunque accede al servizio.
SLA
Monthly SaaS
99,8% (1h 26m)
Ordinary and extraordinary maintenance activities reported on the site 24 hours in advance are excluded. (except for emergencies related to safety problems that require our immediate intervention)
Penalties
SLA SaaS
<99,8% (1h 26m) = 10%
<99,5% (3h 36) = 20%
<99,00% (7h 18m 17s) = 50%
Backup
The RocketWeb service includes Backup with replication on Cloud Storage S3
The Backup is done through Plesk and subsequently through the 1Backup service
Data Backup Daily - 35 day retention - 1Backup encryption.
VM backup of the server Daily night - 5 day retention.
Restore By request to customer support who will restore what is requested.
Geographical replication The Backup is replicated on Cloud Storage S3 (in the EU).)
Problem Tolerance
Multiple Servers The servers that provide the service are different and multiple
These servers are virtual machines residing on Vmware clusters consisting of 3 physical nodes
The Services benefit from the Stellar infrastructure
Stellar site
Configuration Storage Raid6 The disk configuration of the backup destination storage is in RAID6
The storage on which the data backups reside has dual power supplies, dual network connectivity and dual disk controllers
Disaster Recovery Replicated data and backup sets on another Data Center.
Support
Support Page - Link
Access to Data
The customer has access data to the Plesk management panel and the site's FTP access data.
In the case of Wordpress, the customer is the only one with access data to the administrative backend.
Upon customer request, CoreTech can access the data contained in the site from the management panel or directly from the file system.
Contract Cancellation / Closure
The data is deleted after 30 days from the cancellation of the service
Portability
It is possible via FTP access to extract all data including databases.
Processo di assistenza per il soddisfacimento dei diritti degli interessati
Data Processing Agreement (DPA) - Link page
How personal data breaches are handled
Data Processing Agreement (DPA) - Link page
Raccolta Prove
If the customer needs to collect evidence or request assistance, he can send the request to the email address
supporto@coretech.it
in case the requested assistance is not within the competence of the support or for other reasons he can contact the Privacy contact at email
privacy@coretech.it
User Manual Link
KB RocketWeb - Link
Security measures
Data Processing Agreement (DPA) - Link page
User Management Per gli utenti dei clienti, è possibile gestire gli utenti di Sygma.
Personal userids for users Per i clienti, è possibile creare utenti con userid personali.
Livello di dettaglio con cui si possono impostare i diritti di accesso ai sistemi (singola funzionalità, singola transazione, eccetera). Il cliente finale può richiedere (a pagamento) la creazione di più utenti FTP che possono accedere ad aree diverse del sito.
Verifica delle autorizzazioni per accedere o visualizzare le elaborazioni I clienti possono visualizzare gli utenti e le autorizzazioni dai pannelli di controllo dei singoli servizi acquistati (incluso Sygma).
CoreTech può visualizzare gli utenti AdS verificando i singoli sistemi.
Opzione "cambia la password al primo utilizzo" quando si inserisce un nuovo utente o quando la password è modificata dagli amministratori di sistema (per esempio se l'utente l'ha dimenticata). For Sygma users,
- in caso di creazione dell'utenza, il cambio della password è obbligatorio;
- per il reset password, l'utente avvia la procedura in autonomia.
Per i servizi, sono assegnate user-id e password di amministrazione ai clienti, che la gestiscono in autonomia.
Changing the password by the user Per i clienti: per il reset password, l'utente avvia la procedura di Sygma in autonomia.
Per gli AdS interni, le password sono gestite tramite Sygma.
Password nascosta nel campo dove inserire la password Yes.
Possibilità di bloccare l’utenza dopo un certo numero di tentativi errati di inserimento della password (da non applicare a tutti gli amministratori di sistema perché, in caso di attacco, nessuno potrebbe più accedere al sistema). Su Sygma è abilitato l'invio dell'email ad ogni tentativo sbagliato.
Inoltre, dopo un certo numero di tentativi, si avvia una procedura di rallentamento.
Per gli AdS di CoreTech, è usato Sygma.
I virtualizzatori bloccano per 5 minuti le utenze dopo 5 tentativi falliti. Però al momento non sono lanciati allarmi.
Modalità di recupero delle password di amministrazione. &EGrave; possibile contattare l'assistenza di CoreTech.
Possibilità di assegnazione a più utenti dei poteri di amministrazione, anche su singole parti del sistema. Yes.
Personalizzazione delle credenziali per gli amministratori di sistema (e userid personali) Yes.
Disabling default userids From Sygma
Controllo automatico delle caratteristiche delle password in modo che gli utenti non le scelgano banali: complessità (devono essere presenti lettere e numeri; oppure lettere minuscole, lettere maiuscole e numeri e caratteri speciali), lunghezza (minimo 8 caratteri), scadenza (affinché siano cambiate almeno ogni 3 mesi), blocco in caso di inattività dell’utente (dopo non più di 6 mesi), non ripetibilità delle ultime 5 o 10 password. From Sygma
Controllo automatico della non banalità delle password; p.e. password non nel dizionario, non una variazione della user-id come Cesare1970, non una variazione del nome dell’applicazione come Oracle70, non una password popolare come 12345678 (queste regole sono considerate alternative e più sicure di quelle relative alla complessità descritta sopra). Sygma
Disponibilità di strumenti di MFA. Per gli AdS interni: Sì per Sygma.
Messaggi di errore di autenticazione che non specificano dettagli (dicono solo, p.e., "credenziali non corrette"). Yes.
Configurazione affinché gli utenti siano sconnessi dopo 5 o 10 o più minuti di inattività. Dipende dal sistema.
Configurazione affinché gli utenti non possano connettersi in specifici orari o da alcuni Paesi. NO.
Modalità di interfacciamento con altri programmi o con l’utente che preveda connessioni cifrate, scambio di certificati digitali, autenticazione reciproca senza utenze di amministrazione o generiche. In alcuni casi, sono usate credenziali di servizio, ma con controllo dell'IP di origine.
Encrypted data storage. Unencrypted data.
Encrypted data transmission Tutte le connessioni sono cifrate. Certificati con Certum.
Meccanismi di firma o logging se devono essere garantiti certi livelli di non ripudiabilità delle attività. N/A
Meccanismi Crittografici I clienti possono abilitare l'https con propri certificati digitali. Coretech offre il servizio con Letsencrypt o con CA scelte dal cliente. Il server non è cifrato.
Accesso alla chiavi crittografiche limitato ai soli amministratori di sistema o solo a processi interni del software. Internamente, le chiavi private sono usate con i certificati e i certificati sono modificabili solo dagli AdS.
I clienti gestiscono i certificati:
- in autonomia per i servizi che lo prevedono;
- attraverso gli AdS di CoreTech per altri servizi (p.e. email).
Chiavi crittografiche generate secondo metodi sicuri, partendo da seed generati casualmente. External certificates used.
Disponibilità di log applicativi e log delle attività degli amministratori di sistema. Log applicativi dipendono dall'applicazione.
User logs Vedere sopra.
Meccanismi per garantire la sicurezza dei log. Sicurezza assicurata dall'applicazione.
Meccanismi per stabilire la durata della conservazione dei log. Set 6 months.
Modalità di collegamento del sistema ai sistemi di monitoraggio già in uso. See "Infrastructure".
Clock sincronizzabile con un NTP server. See "Infrastructure".
Definizione di “prestazioni accettabili” See "Infrastructure".
Modularità del sistema, in modo che sue diverse componenti possano essere installate in ambienti diversi. Dipende dal sistema.
Configurazione affinché gli utenti siano sconnessi dopo 5 o 10 o più minuti di inattività. I server sono suddivisi in cluster per ottimizzare le prestazioni.
Ciascun servizio, poi, dove opportuno, è suddiviso in ulteriori server, preferibilmente in cluster diversi.
Per Rocketweb, l'utilizzo di tecniche di distribuzione non è significativo perché è offerto a chi ha necessità limitate (per cose più complesse, si acquistano server IaaS per poi installare quanto necessario).
Backup (frequenza, tempi di conservazione, locazione) Vedere sopra.
Verifica e sanamento (dall’inglese sanitization) dei dati in ingresso a livello server, soprattutto quando ricevuti da fonti non sicure come il web (per esempio, se è prevista una data, il sistema verifica che si tratti di una data e non di altri caratteri; se sono previsti input di un certo numero di caratteri, il sistema verifica che la loro lunghezza non sia eccedente). Pacchetto, gestito o tramite la propria interfaccia o tramite interfaccia Sygma (vedere sotto).
Attivo: WAF di Plesk.
Filtri quando si modificano i dati, per esempio con messaggi “sei sicuro di voler modificare” o con richiesta di validazione da altri utenti. A seconda delle criticità dell'operazione, per confermarla sono attivi i seguenti meccanismi:
- modifiche reversibili, che quindi non richiedono conferma;
- richiesta conferma per modifiche non reversibili non impattanti (p.e. cancellazione ticket);
- richiesta conferma email per modifiche non reversibili impattanti (p.e. cancellazione VM);
- richiesta di conferma con ulteriori dati di input, in alternativa al precedente.
Limitazione delle possibilità di ricerca, in modo che un utente non possa visualizzare dati a cui non è autorizzato. N/A
Dati a video e stampati senza informazioni riservate o per le quali l’utente non ha le autorizzazioni ad accedere. N/A
Possibility of anonymization or pseudonymization of data N/A
Tipo di messaggi e di avvisi lanciati dal sistema che forniscano sufficienti informazioni al personale autorizzato, ma non forniscano informazioni a malintenzionati (per esempio, fornendo troppi dettagli sul tipo di errore quando si inseriscono credenziali sbagliate). Si. Esempio: messaggi di errori e di conferma per password errate e per cambio password.
Sistemi di cancellazione automatica dei dati, o di avviso, quando hanno superato il tempo di conservazione previsto (retention time). N/A
Data deletion methods A conclusione del servizio, è cancellata la singola istanza (senza cifratura).
Garanzia della gestione delle vulnerabilità riscontrate e del patching (il produttore deve garantire un servizio di avviso e di invio delle correzioni). I servizi erogati sono in cloud e pertanto CoreTech aggiorna i pacchetti a seconda delle specifiche del fornitore.

Email service | Kerio Connect Cloud | Smartermail Cloud | SLA

Version 3 dated 05/09/2024

Description
E-mail service on a shared server
Product Page
Roles and responsibilities
CoreTech acts as Administrator or Sub Responsible for all treatments, while it is the owner of client contact data only
With regards to data compliance and security, both CoreTech and the customer are both responsible, albeit on different fronts.
Link
CoreTech Responsibilities -Daily backup check. Backup retention is 60 days.
-Daily check regarding the update status of the integrated antivirus.
-Daily check regarding the presence of servers in the public Black Lists.
-Keep email systems updated with the most stable and secure software versions released by the manufacturer.
-Keep the mail server monitored in order to guarantee service continuity.
-Check the presence of any security-related anomalies that are highlighted through the system logs or alerts.
-Notify the customer if, by reading the mailserver logs, situations are highlighted that could endanger the email accounts and the data contained therein.
-Inform the mailserver software manufacturer if you become aware of system security flaws.
-Immediate password change, if the account has been hacked and is sending spam, delete all emails in the queue relating to the specific account (whether valid or spam).
-Avviso al cliente per opportune verifiche e cambio password.
- Upon customer request, availability to export mail archives on magnetic media or in exchange areas (activities to be quantified economically).
Customer Responsibility -Set passwords to access the mail service with a level of difficulty compliant with the defined policies and change password according to the reference standards (e.g. ISO 27002).
-Carefully guard mailbox access data and limit their disclosure.
-Inform your users about the proper use of email in relation to security and the dangers of phishing and viruses.
- Intervene promptly in the event of reports from CoreTech on problems relating to the mailbox.
-Periodically make a backup of your mail archive on your own storage systems to have a copy of the archive in case you want to change supplier.
-Avoid using mailboxes to make SPAM or send mass emails not authorized by recipients.
-Promptly inform CoreTech in case of anomalies that could lead to a data security problem.
-Evaluate the frequency or event for changing passwords in your company procedures.
Datacenter
TIER4 - This is the highest level of assurance a datacenter can offer, with 99.9% availability. Identify a catacenter completely redundant in terms of electrical, cooling and network circuits. This indicator refers to an architecture that allows you to cope with serious technical incidents without ever interrupting the availability of servers.
Geographic location European Union
Etichettatura
Kerio Kerio: Sulla Webmail è possibile utilizzare il contrassegno come etichettatura.
SmarterMail: È possibile utilizzare software di posta elettronica più consoni al proprio utilizzo
Funzionalità presenti sul Pannello di Controllo:
Interfaccia da Sygma, Kerio ha il suo Pannello Controllo di Gestione e Uguale SmarterMail.
Controllo tramite la dashboard di Sygma, per quanto non previsto gestione autonoma tramite pannelli controllo del prodotto.
Autonomia fino alla chiusura del suo account Master, arriva mail di richiesta conferma (soggetto comunque alla disdetta servizio per non continuare a pagare).
Cancellazione arriva mail con tracciatura con richiesta conferma.
Admin Panel Vedi sopra.
La password sono già impostate con requisiti di complessità delle password per tutti gli utenti e utilizzatori dei servizi .
SLA
Monthly SaaS
99,8% (1h 26m)
Ordinary and extraordinary maintenance activities reported on the site 24 hours in advance are excluded. (except for emergencies related to safety problems that require our immediate intervention)
Penalties
SLA SaaS
<99,8% (1h 26m) = 10%
<99,5% (3h 36) = 20%
<99,00% (7h 18m 17s) = 50%
Backup
the e-mail service includes the backup service replicated on Cloud Storage S3
Backup is done using the 1Backup service
Data Backup Daily - 60 day retention - 1Backup encryption
VM backup of the server Daily night - 5 day retention
Restore By request to customer support who will restore what is requested
Geographical replication The Backup is replicated on Cloud Storage S3 - The replica is located in a second Data Center located within the European Union (not in Italy)
Problem Tolerance
Multiple Servers The servers that provide the service are different and multiple
These servers are virtual machines residing on Vmware clusters consisting of 3 physical nodes
Sygma Servers benefit from the Stellar infrastructure
Stellar site
Configuration Storage Raid6 The disk configuration of the backup destination storage is in RAID6
The storage on which the data backups reside has dual power supplies, dual network connectivity and dual disk controllers
Disaster Recovery
Replicated data and backup sets on another Data Center.
Support
Support Page - Link
Access to Data
The customer in possession of the access data to the service can access the data only via webmail or mail client
The customer is the only one who has the passwords to access the mailboxes
CoreTech, upon customer request, can access data via file system
Contract Closure/Data Cancellation
The data is deleted after 30 days from the cancellation of the service
Portability
Autonomous export to PST of all mail, with any mail client o At the customer's request, willingness to export mail archives on magnetic supports or in interchange areas (activity to be quantified economically)
Processo di assistenza per il soddisfacimento dei diritti degli interessati
Data Processing Agreement (DPA) - Link page
How personal data breaches are handled
Data Processing Agreement (DPA) - Link page
Raccolta Prove
If the customer needs to collect evidence or request assistance, he can send the request to the email address supporto@coretech.it
in case the requested assistance is not within the competence of the support or for other reasons he can contact the Privacy contact at email privacy@coretech.it
User Manual Link
KB Kerio Connect Cloud Link
KB RocketMail Link
Security measures
Data Processing Agreement (DPA) - Link page
User Management Per gli utenti dei clienti, è possibile gestire gli utenti di Sygma.
Personal userids for users Per i clienti, è possibile creare utenti con userid personali.
Livello di dettaglio con cui si possono impostare i diritti di accesso ai sistemi (singola funzionalità, singola transazione, eccetera) Interfaccia da Sygma. Kerio e SmarterMail hanno il loro pannello di controllo.
Verifica delle autorizzazioni per accedere o visualizzare le elaborazioni. I clienti possono visualizzare gli utenti e le autorizzazioni dai pannelli di controllo dei singoli servizi acquistati (incluso Sygma).
CoreTech può visualizzare gli utenti AdS verificando i singoli sistemi.
Opzione "cambia la password al primo utilizzo" quando si inserisce un nuovo utente o quando la password è modificata dagli amministratori di sistema (per esempio se l'utente l'ha dimenticata). For Sygma users:
- in caso di creazione dell'utenza, il cambio della password è obbligatorio;
- per il reset password, l'utente avvia la procedura in autonomia.
Per i servizi, sono assegnate user-id e password di amministrazione ai clienti, che la gestiscono in autonomia.
Changing the password by the user Per i clienti: per il reset password, l'utente avvia la procedura di Sygma in autonomia.
Per gli AdS interni, le password sono gestite tramite Sygma.
Password nascosta nel campo dove inserire la password Yes.
Possibilità di bloccare l’utenza dopo un certo numero di tentativi errati di inserimento della password (da non applicare a tutti gli amministratori di sistema perché, in caso di attacco, nessuno potrebbe più accedere al sistema) Su Sygma è abilitato l'invio dell'email ad ogni tentativo sbagliato.
Inoltre, dopo un certo numero di tentativi, si avvia una procedura di rallentamento.
Per gli AdS di CoreTech, è usato Sygma.
I virtualizzatori bloccano per 5 minuti le utenze dopo 5 tentativi falliti. Però al momento non sono lanciati allarmi.
Per l'email, viene bloccato l'IP di origine dopo 5 tentativi errati di accesso.
Modalità di recupero delle password di amministrazione È possibile contattare l'assistenza di CoreTech.
Possibilità di assegnazione a più utenti dei poteri di amministrazione, anche su singole parti del sistema Yes.
Personalizzazione delle credenziali per gli amministratori di sistema (e userid personali) Yes.
Disabling default userids Custom user-id.
Controllo automatico delle caratteristiche delle password in modo che gli utenti non le scelgano banali: complessità (devono essere presenti lettere e numeri; oppure lettere minuscole, lettere maiuscole e numeri e caratteri speciali), lunghezza (minimo 8 caratteri), scadenza (affinché siano cambiate almeno ogni 3 mesi), blocco in caso di inattività dell’utente (dopo non più di 6 mesi), non ripetibilità delle ultime 5 o 10 password. Sygma.
Controllo automatico della non banalità delle password; p.e. password non nel dizionario, non una variazione della user-id come Cesare1970, non una variazione del nome dell’applicazione come Oracle70, non una password popolare come 12345678 (queste regole sono considerate alternative e più sicure di quelle relative alla complessità descritta sopra). Sygma.
Disponibilità di strumenti di MFA. Per gli AdS interni: Sì per Sygma;
For the user's mailbox:
- per Smartermail, disponibile a discrezione dell'amministratore;
- per Kerio, c'è la funzionalità, ma potrà essere messa a disposizione dopo alcune verifiche di accessibilità e usabilità;
- per KerioConnect, c'è la funzionalità, ma potrà essere messa a disposizione dopo alcune verifiche di accessibilità e usabilità.
Messaggi di errore di autenticazione che non specificano dettagli (dicono solo, p.e., "credenziali non corrette"). Yes.
Configurazione affinché gli utenti siano sconnessi dopo 5 o 10 o più minuti di inattività. Dipende dal sistema.
Configurazione affinché gli utenti non possano connettersi in specifici orari o da alcuni Paesi. NO.
Modalità di interfacciamento con altri programmi o con l’utente che preveda connessioni cifrate, scambio di certificati digitali, autenticazione reciproca senza utenze di amministrazione o generiche. In alcuni casi, sono usate credenziali di servizio, ma con controllo dell'IP di origine.
Encrypted data storage. Unencrypted data.
Encrypted data transmission Tutte le connessioni sono cifrate. Per l'email, CoreTech mette a disposizione certificati.
Meccanismi di firma o logging se devono essere garantiti certi livelli di non ripudiabilità delle attività. Non presenti strumenti di firma.
Gli utenti possono attivare in autonomia servizi di firma sull'email.
Meccanismi Crittografici L'email è su TLS da 1 a 1.3.
Il server non è cifrato.
Accesso alla chiavi crittografiche limitato ai soli amministratori di sistema o solo a processi interni del software. Internamente, le chiavi private sono usate con i certificati e i certificati sono modificabili solo dagli AdS.
I clienti gestiscono i certificati:
- in autonomia per i servizi che lo prevedono;
- attraverso gli AdS di CoreTech per altri servizi (p.e. email).
Chiavi crittografiche generate secondo metodi sicuri, partendo da seed generati casualmente. External certificates used.
Disponibilità di log applicativi e log delle attività degli amministratori di sistema. Usato Greylog (agganciato a ElasticSearch) per servizi di email.
User logs Vedere sopra.
Meccanismi per garantire la sicurezza dei log. Greylog Security.
I dati sono registrati su un db NoSQL.
Meccanismi per stabilire la durata della conservazione dei log. Set 6 months.
Modalità di collegamento del sistema ai sistemi di monitoraggio già in uso See "Infrastructure".
Clock sincronizzabile con un NTP server See "Infrastructure".
Definizione di “prestazioni accettabili” See "Infrastructure".
Per email, gli utenti massimi sono impostati su Crab e lo stesso tiene conto degli utenti attivi.
Modularità del sistema, in modo che sue diverse componenti possano essere installate in ambienti diversi. I server sono suddivisi in cluster per ottimizzare le prestazioni
Ciascun servizio, poi, dove opportuno, è suddiviso in ulteriori server, preferibilmente in cluster diversi.
Backup (frequenza, tempi di conservazione, locazione) Vedere sopra.
Verifica e sanamento (dall’inglese sanitization) dei dati in ingresso a livello server, soprattutto quando ricevuti da fonti non sicure come il web (per esempio, se è prevista una data, il sistema verifica che si tratti di una data e non di altri caratteri; se sono previsti input di un certo numero di caratteri, il sistema verifica che la loro lunghezza non sia eccedente). Pacchetto, gestito o tramite la propria interfaccia o tramite interfaccia Sygma (vedere sotto).
Filtri quando si modificano i dati, per esempio con messaggi “sei sicuro di voler modificare” o con richiesta di validazione da altri utenti. A seconda delle criticità dell'operazione, per confermarla sono attivi i seguenti meccanismi:
- modifiche reversibili, che quindi non richiedono conferma;
- richiesta conferma per modifiche non reversibili non impattanti (p.e. cancellazione ticket);
- richiesta conferma email per modifiche non reversibili impattanti (p.e. cancellazione VM);
- richiesta di conferma con ulteriori dati di input, in alternativa al precedente.
Limitazione delle possibilità di ricerca, in modo che un utente non possa visualizzare dati a cui non è autorizzato. No per il tipo di servizio offerto.
Dati a video e stampati senza informazioni riservate o per le quali l’utente non ha le autorizzazioni ad accedere. No per il tipo di servizio offerto.
Possibility of anonymization or pseudonymization of data No per il tipo di servizio offerto.
Tipo di messaggi e di avvisi lanciati dal sistema che forniscano sufficienti informazioni al personale autorizzato, ma non forniscano informazioni a malintenzionati (per esempio, fornendo troppi dettagli sul tipo di errore quando si inseriscono credenziali sbagliate). Yes.
Esempio: messaggi di errori e di conferma per password errate e per cambio password.
Sistemi di cancellazione automatica dei dati, o di avviso, quando hanno superato il tempo di conservazione previsto (retention time). Paid to the customer.
Data deletion methods A conclusione del servizio, è cancellata la singola istanza (senza cifratura).
Garanzia della gestione delle vulnerabilità riscontrate e del patching (il produttore deve garantire un servizio di avviso e di invio delle correzioni). I servizi erogati sono in cloud e pertanto CoreTech aggiorna i pacchetti a seconda delle specifiche del fornitore.

Stellar | SLA

Version 3 dated 05/09/2024

Description
Cloud Server - virtual machine (VM) in Vmware Cluster environment
Product Page
Stellar site
Roles and responsibilities
CoreTech acts as Administrator or Sub Responsible for all treatments, while it is the owner of client contact data only
With regards to data compliance and security, both CoreTech and the customer are both responsible, albeit on different fronts. As reported below
Link
CoreTech Responsibilities -Keep the software infrastructure updated with the most stable and secure software versions released by the manufacturer
- Monitor the infrastructure of virtualization, hypervisor and storage systems in order to guarantee continuity of services
-Controllare la presenza di eventuali anomalie relative alla sicurezza che si evidenzino attraverso i log o alert del sistema
-Deactivation of the service if, following a report from other service providers, the server is implementing anomalous behavior (spam, phishing, content relating to terrorism, fraud, hacked site)
-Inform the customer if problems are found on the server during monitoring or log analysis.
Customer Responsibility -Impostare delle password di accesso al server e ai software in esso installato con livello di difficoltà conforme alle policy definite e cambio password secondo gli standard di riferimento (es ISO 27002)
-Carefully guard server access data and limit their disclosure
- Intervene promptly in the event of reports from CoreTech on problems relating to the security of its server
-Correctly configure the backup jobs of your data with the tools made available by CoreTech and ask for support in case of doubts about the configurations
-Check the results of data backups daily
-Periodically check the correct functioning of the VM backup by consulting the results from the Sygma panel
-Periodically organize VM restore tests with CoreTech in order to ensure correct execution of VM backups
-Periodically check the event logs and operating system logs on your server in order to prevent any problems
-Promptly inform CoreTech in case of anomalies that could cause a security problem d
Datacenter
TIER4 - This is the highest level of assurance a datacenter can offer, with 99.9% availability. Identify a catacenter completely redundant in terms of electrical, cooling and network circuits. This indicator refers to an architecture that allows you to cope with serious technical incidents without ever interrupting the availability of servers.
Geographic location European Union
Etichettatura
Customizable instance name + tag
Funzionalità presenti sul Pannello di Controllo
Sygma interface
Controllo tramite la dashboard di Sygma, per quanto non previsto va richiesto
autonomo nell'aumento delle risorse necessarie previo acquisto
Cancellazione arriva mail con tracciatura con richiesta
He confirms
Admin Panel Sygma
Complete Server Management (including Audit)
La Password sono già impostate con requisiti di complessità delle password per tutti gli utenti e utilizzatori dei servizi
SLA
IaaS Monthly
99,95% (21m 54s)
Penalties
SLA IaaS
<99,95% (21m 54s) = 10%
<99,85% (1h 5m 44s) = 20%
<99,00% (7h 18m 17s) = 50%
Backup
stellar's service includes the Backup service replicated on Cloud Storage S3
Data Backup CoreTech provides the 1Backup tool for VM data backups
The complete management of the backup schedules is the responsibility of the customer
The customer is responsible for retention of the backup data (retention period)
1 Full VM backup every 30 days (night time). The backup overwrites itself every 30 days
VM Backup 1 Full VM backup every 30 days (night time). The backup overwrites itself every 30 days
1 Full VM backup every 30 days (night time). The backup overwrites itself every 30 days
The VM backup is performed on a different storage than the one used for the VM itself
The customer must verify the success of the backups and verify the consistency by periodically trying the restore
Restore By request to customer support who will restore the requested VM
Geographical replication The Backup is replicated on Cloud Storage S3 - The replica is located in a second Data Center located within the European Union (not in Italy) - only for Backup performed with 1Backup Service
Optional Service - for a fee It is possible to request VM backups with retention or frequency other than the one included
You can optionally request a disaster recovery in another data center.
It is possible to optionally request a Business Continuity project
Problem Tolerance
Multiple Servers Stellar Cloud Servers are configured on 3-node server cluster on shared storage
These servers are virtual machines residing on Vmware clusters consisting of 3 physical nodes
These servers are virtual machines residing on Vmware clusters consisting of 3 physical nodes
The servers have dual power supplies and dual controllers
Hypervisor Vmware environment
Configuration Storage Raid6 The disk configuration of the backup destination storage is in RAID6
The storage on which the data backups reside has dual power supplies, dual network connectivity and dual disk controllers
High Availability Function Default function, in the event of a fault on one of the nodes, the cloud server is started on one of the other hypervisors that make up the cluster
In this case the VM is restarted.
Fault Tolerance function Service that can be requested as an option.
In the event of a fault in one of the nodes, the cloud server is not restarted, as there is continuous synchronization of the RAM and CPU registers between the hypervisors that make up the cluster
Disaster Recovery – Business Continuity The VM Backup included in the standard service allows for disaster recovery at the same data center.
Support
Support Page - Link
Access to Data
The customer in possession of the access data to the server can access the data contained therein
CoreTech does not have direct visibility of the data contained in the server but only of the image file of the VMware virtual machine
CoreTech can access the server only at the request of the customer which must take place as per procedure
Contract Cancellation / Closure
The data (server image files) are deleted 30 days after the service is canceled
Portability
On request export in ova of the VM. 1 time for free, the following times to be paid according to the hourly rate.
Processo di assistenza per il soddisfacimento dei diritti degli interessati
Data Processing Agreement (DPA) - Link page
How personal data breaches are handled
Data Processing Agreement (DPA) - Link page
Raccolta Prove
If the customer needs to collect evidence or request assistance, he can send the request to the email address
supporto@coretech.it
in the event that the assistance requested is not within the scope of support or for other reasons, you can contact the Privacy contact person by email
privacy@coretech.it
User Manual Link
KB Stellar Link
FAQ
FAQ Stellar Link
Security measures
Data Processing Agreement (DPA) - Link page
User Management Per gli utenti dei clienti, è possibile gestire gli utenti di Sygma.
Personal userids for users Per i clienti, è possibile creare utenti con userid personali.
Livello di dettaglio con cui si possono impostare i diritti di accesso ai sistemi (singola funzionalità, singola transazione, eccetera). Paid to the customer.
Verifica delle autorizzazioni per accedere o visualizzare le elaborazioni I clienti possono visualizzare gli utenti e le autorizzazioni dai pannelli di controllo dei singoli servizi acquistati (incluso Sygma).
CoreTech può visualizzare gli utenti AdS verificando i singoli sistemi.
Project-Id-Version: coretech PO-Revision-Date: 2024-07-09 12:51+0200 Last-Translator: Language-Team: Language: en MIME-Version: 1.0 Content-Type: text/plain; charset=UTF-8 Content-Transfer-Encoding: 8bit Plural-Forms: nplurals=2; plural=(n != 1); X-Generator: Poedit 2.4.3 X-Poedit-Basepath: ../../.. X-Source-Language: it X-Poedit-SourceCharset: UTF-8 X-Poedit-KeywordsList: _;_( X-Poedit-SearchPath-0: . X-Poedit-SearchPathExcluded-0: backend X-Poedit-SearchPathExcluded-1: menagement X-Poedit-SearchPathExcluded-2: en X-Poedit-SearchPathExcluded-3: it/service/public/passwordChecker For Sygma users
- in caso di creazione dell'utenza, il cambio della password è obbligatorio;
- per il reset password, l'utente avvia la procedura in autonomia
Per i servizi, sono assegnate user-id e password di amministrazione ai clienti, che la gestiscono in autonomia.
Modifica della password da parte dell’utente Per i clienti: per il reset password, l'utente avvia la procedura di Sygma in autonomia.
Per gli AdS interni, le password sono gestite tramite Sygma.
Password nascosta nel campo dove inserire la password Yes.
Possibilità di bloccare l’utenza dopo un certo numero di tentativi errati di inserimento della password (da non applicare a tutti gli amministratori di sistema perché, in caso di attacco, nessuno potrebbe più accedere al sistema) Su Sygma è abilitato l'invio dell'email ad ogni tentativo sbagliato.
Inoltre, dopo un certo numero di tentativi, si avvia una procedura di rallentamento
Per gli AdS di CoreTech, è usato Sygma.
I virtualizzatori bloccano per 5 minuti le utenze dopo 5 tentativi falliti. Però al momento non sono lanciati allarmi.
Modalità di recupero delle password di amministrazione Paid to the customer.
Possibilità di assegnazione a più utenti dei poteri di amministrazione, anche su singole parti del sistema Yes.
Personalizzazione delle credenziali per gli amministratori di sistema (e userid personali) Yes.
Disabling default userids Non assegnata. User-id di default assegnata personalizzata.
Controllo automatico delle caratteristiche delle password in modo che gli utenti non le scelgano banali: complessità (devono essere presenti lettere e numeri; oppure lettere minuscole, lettere maiuscole e numeri e caratteri speciali), lunghezza (minimo 8 caratteri), scadenza (affinché siano cambiate almeno ogni 3 mesi), blocco in caso di inattività dell’utente (dopo non più di 6 mesi), non ripetibilità delle ultime 5 o 10 password. Sygma.
Controllo automatico della non banalità delle password; p.e. password non nel dizionario, non una variazione della user-id come Cesare1970, non una variazione del nome dell’applicazione come Oracle70, non una password popolare come 12345678 (queste regole sono considerate alternative e più sicure di quelle relative alla complessità descritta sopra). Sygma.
Disponibilità di strumenti di MFA Per gli AdS interni: Sì per Sygma.
Messaggi di errore di autenticazione che non specificano dettagli (dicono solo, p.e., "credenziali non corrette") Yes.
Configurazione affinché gli utenti siano sconnessi dopo 5 o 10 o più minuti di inattività Dipende dal sistema.
Configurazione affinché gli utenti non possano connettersi in specifici orari o da alcuni Paesi NO.
Modalità di interfacciamento con altri programmi o con l’utente che preveda connessioni cifrate, scambio di certificati digitali, autenticazione reciproca senza utenze di amministrazione o generiche In alcuni casi, sono usate credenziali di servizio, ma con controllo dell'IP di origine.
Encrypted data storage Unencrypted data.
Per i clienti Stellar (IaaS), è ovviamente attivabile la cifratura a livello di S.O.
Encrypted data transmission N/A
Meccanismi di firma o logging se devono essere garantiti certi livelli di non ripudiabilità delle attività. Non presenti strumenti di firma.
Gli utenti possono attivare in autonomia servizi di firma sull'email.
Meccanismi Crittografici La cifratura dei server è in carico al cliente.
Accesso alla chiavi crittografiche limitato ai soli amministratori di sistema o solo a processi interni del software. Internamente, le chiavi private sono usate con i certificati e i certificati sono modificabili solo dagli AdS.
I clienti gestiscono i certificati:
- in autonomia per i servizi che lo prevedono;
- attraverso gli AdS di CoreTech per altri servizi (p.e. email).
Chiavi crittografiche generate secondo metodi sicuri, partendo da seed generati casualmente. External certificates used.
Disponibilità di log applicativi e log delle attività degli amministratori di sistema. N/A
User logs Vedere sopra.
Meccanismi per garantire la sicurezza dei log Greylog Security.
I dati sono registrati su un db NoSQL.
Meccanismi per stabilire la durata della conservazione dei log Paid to the customer.
Modalità di collegamento del sistema ai sistemi di monitoraggio già in uso. See "Infrastructure".
Clock sincronizzabile con un NTP server. See "Infrastructure".
Definizione di “prestazioni accettabili” See "Infrastructure".
Modularità del sistema, in modo che sue diverse componenti possano essere installate in ambienti diversi I server sono suddivisi in cluster per ottimizzare le prestazioni.
Ciascun servizio, poi, dove opportuno, è suddiviso in ulteriori server, preferibilmente in cluster diversi.
Backup (frequenza, tempi di conservazione, locazione) Vedere sopra.
Verifica e sanamento (dall’inglese sanitization) dei dati in ingresso a livello server, soprattutto quando ricevuti da fonti non sicure come il web (per esempio, se è prevista una data, il sistema verifica che si tratti di una data e non di altri caratteri; se sono previsti input di un certo numero di caratteri, il sistema verifica che la loro lunghezza non sia eccedente). Pacchetto, gestito o tramite la propria interfaccia o tramite interfaccia Sygma (vedere sotto).
Filtri quando si modificano i dati, per esempio con messaggi “sei sicuro di voler modificare” o con richiesta di validazione da altri utenti. N/A
Limitazione delle possibilità di ricerca, in modo che un utente non possa visualizzare dati a cui non è autorizzato. N/A.
Dati a video e stampati senza informazioni riservate o per le quali l’utente non ha le autorizzazioni ad accedere. N/A.
Possibility of anonymization or pseudonymization of data N/A.
Tipo di messaggi e di avvisi lanciati dal sistema che forniscano sufficienti informazioni al personale autorizzato, ma non forniscano informazioni a malintenzionati (per esempio, fornendo troppi dettagli sul tipo di errore quando si inseriscono credenziali sbagliate). Yes.
Esempio: messaggi di errori e di conferma per password errate e per cambio password.
Sistemi di cancellazione automatica dei dati, o di avviso, quando hanno superato il tempo di conservazione previsto (retention time). N/A
Data deletion methods Paid to the customer.
Garanzia della gestione delle vulnerabilità riscontrate e del patching (il produttore deve garantire un servizio di avviso e di invio delle correzioni). I servizi erogati sono in cloud e pertanto CoreTech aggiorna i pacchetti a seconda delle specifiche del fornitore.

Sygma | SLA

Version 3 dated 05/09/2024

Description
Sygma, Platform Defined IT Work. The Sygma Panel is an exclusive customer management system which, in addition to integrating a customizable database with all the information required for optimal management of your customers' IT infrastructure, also has integration systems with Mail, Firewall, VoIP, Remote Backup and Email Archiving. With Sygma it is possible to manage the Cloud in all its areas and, at the same time, organize work processes. Thanks to the integration of the Cloud, with Sygma you can manage from a single platform Server, Backup, Email, Email Archiving, SMTP Account, Storage and various other services. The Sygma Connect remote control system is included in the Pro and Unlimited versions.
Product Page
Roles and responsibilities
CoreTech acts as Manager or Sub Responsible for all treatments, while it is the owner of customer contact data only.
With regards to data compliance and security, both CoreTech and the customer are both responsible, albeit on different fronts.
Link
CoreTech Responsibilities -Keep systems updated with the most stable and secure software versions released by the manufacturer.
- Monitor servers and data synchronization processes to ensure continuity of service.
-Daily backup checking to ensure data integrity.
-Additional Backup (on another data center).
Customer Responsibility -Export data (tickets, activities etc.) to have a backup copy.
-Export data at least monthly/bimonthly.
-Set complex service access passwords.
-Carefully guard your access data to Sygma and all the services included and limit their disclosure. With particular attention to the password encryption used to store credentials in Sygma.
-Promptly inform CoreTech in case of anomalies that could lead to a data security problem.
- Intervene promptly in the event of reports from CoreTech on problems relating to the services
Datacenter
TIER4 - This is the highest level of assurance a datacenter can offer, with 99.9% availability. Identify a catacenter completely redundant in terms of electrical, cooling and network circuits. This indicator refers to an architecture that allows you to cope with serious technical incidents without ever interrupting the availability of servers.
Geographic location European Union
Etichettatura
tramite Tag e priorità , disponibile un filtro per Tag
Funzionalità presenti sul Pannello di Controllo
-Web interface and Mobile App.
-App Mobile permette di visualizzare i ticket, activity, backup e server.
-Interfaccia Web è possibile Gestione completa di Sygma.
-Accesso Rivenditore fa visualizzare tutti servizi acquistati con indicazione (personalizzata) del cliente finale.
-Customer portal permette al cliente finale di visualizzare i propri servizi che il rivenditore ha condiviso.
-Rivenditore può cancellare, disabilitare servizi e account dei propri clienti, utilizzando le proprie regole di cancellazione.
-Cliente finale ha le autorizzazioni relative ai servizi, impostate dal proprio Rivenditore
-Rivenditore Autonomia fino alla chiusura del suo account Master, dove invece è necessaria richiesta di disdetta servizio.
Etichettatura
Customer Responsibility -Tramite interfaccia Sygma l'utente Admin può creare utenti che hanno accesso ad alcuni servizi dedicati, o su Sygma o su le singole console dei servizi.
-Utente admin stabilisce in autonomia le autorizzazioni e i metodi di autenticazione (già presente lunghezza e complessità delle password).
-Tutte le Password Utenti devono rispettare criteri mimini di sicurezza
-Opzione utilizzo OTP
SLA
IaaS Monthly
99,95% (21m 54s)
Penalties
SLA SaaS
<99,8% (1h 26m) = 10%
<99,5% (3h 36) = 20%
<99,00% (7h 18m 17s) = 50%
Backup
The Sygma service includes Backup with replication on Cloud Storage S3
The Backup is done through Plesk and subsequently through the 1Backup service
Data Backup Front-end server data is replicated between web server nodes. The databases are replicated in a master/slave configuration.
Retention 60 days
With further copy on another Storage in another Datacenter located in the Netherlands
VM backup of the server Database Server Backup every 3 hours - Front End Server backup daily nightly.
Other servers that make up the infrastructure have different backup and retention schedules.
Restore restoration available on request at dev@coretech.it - ​​hourly cost
Geographical replication The Backup is replicated on Cloud Storage S3 - The replica is located in a second Data Center located within the European Union (not in Italy)
Problem Tolerance
Multiple Servers The Sygma Infrastructure consists of a large number of servers. These servers are virtual machines residing on multiple Vmware clusters with 3 physical nodes.
It is recommended that the customer allocate mail storage domains on different storage servers
Sygma Servers benefit from the Stellar infrastructure.
The infrastructure can have balancing elements at other data centers or at other cloud providers.
Stellar site
Configuration Storage Raid6 The disk configuration of the backup destination storage is in RAID6
The storage on which the data backups reside has dual power supplies, dual network connectivity and dual disk controllers
Disaster Recovery Replicated data and backup sets on another Data Center.
Support
Support Page - Link
Access to Data
The client is in possession of the access data to the Sygma management platform.
The client must provide for the 2-factor authentication that the platform makes available.
CoreTech can access some data contained in the system databases.
CoreTech cannot access encrypted information contained in the database such as passwords.
Contract Cancellation / Closure
The data is deleted after 60 days from the termination of the service.
Portability
Excel export for ticket and activity list or you can request specific development at an hourly rate
Data Processing Agreement (DPA) - Link page
How personal data breaches are handled
Data Processing Agreement (DPA) - Link page
Raccolta Prove
If the customer needs to collect evidence or request assistance, he can send the request to the email address
supporto@coretech.it
in case the requested assistance is not within the competence of the support or for other reasons he can contact the Privacy contact at email
privacy@coretech.it
User Manual Link
Sygma Site Link
KB Sygma Link
Forum Sygma Link
Security measures
Data Processing Agreement (DPA) - Link page
User Management Per gli utenti dei clienti, è possibile gestire gli utenti di Sygma.
Personal userids for users Per i clienti, è possibile creare utenti con userid personali.
Livello di dettaglio con cui si possono impostare i diritti di accesso ai sistemi (singola funzionalità, singola transazione, eccetera). Ogni utente ha accesso a singole funzionalità e ai dati del singolo cliente.
Verifica delle autorizzazioni per accedere o visualizzare le elaborazioni. I clienti possono visualizzare gli utenti e le autorizzazioni dai pannelli di controllo dei singoli servizi acquistati (incluso Sygma).
CoreTech può visualizzare gli utenti AdS verificando i singoli sistemi.
Opzione "cambia la password al primo utilizzo" quando si inserisce un nuovo utente o quando la password è modificata dagli amministratori di sistema (per esempio se l'utente l'ha dimenticata). For Sygma users
- in caso di creazione dell'utenza, il cambio della password è obbligatorio;
- per il reset password, l'utente avvia la procedura in autonomia.
Per i servizi, sono assegnate user-id e password di amministrazione ai clienti, che la gestiscono in autonomia.
Changing the password by the user Per i clienti: per il reset password, l'utente avvia la procedura di Sygma in autonomia.
Per gli AdS interni, le password sono gestite tramite Sygma.
Password nascosta nel campo dove inserire la password. Yes.
Possibilità di bloccare l’utenza dopo un certo numero di tentativi errati di inserimento della password (da non applicare a tutti gli amministratori di sistema perché, in caso di attacco, nessuno potrebbe più accedere al sistema). Su Sygma è abilitato l'invio dell'email ad ogni tentativo sbagliato.
Inoltre, dopo un certo numero di tentativi, si avvia una procedura di rallentamento.
Per gli AdS di CoreTech, è usato Sygma.
I virtualizzatori bloccano per 5 minuti le utenze dopo 5 tentativi falliti. Però al momento non sono lanciati allarmi.
Modalità di recupero delle password di amministrazione. &EGrave; possibile contattare l'assistenza di CoreTech.
Possibilità di assegnazione a più utenti dei poteri di amministrazione, anche su singole parti del sistema. Yes.
Personalizzazione delle credenziali per gli amministratori di sistema (e userid personali) Yes.
Disabling default userids User-id scelta dall'utente.
Controllo automatico delle caratteristiche delle password in modo che gli utenti non le scelgano banali: complessità (devono essere presenti lettere e numeri; oppure lettere minuscole, lettere maiuscole e numeri e caratteri speciali), lunghezza (minimo 8 caratteri), scadenza (affinché siano cambiate almeno ogni 3 mesi), blocco in caso di inattività dell’utente (dopo non più di 6 mesi), non ripetibilità delle ultime 5 o 10 password. Sygma.
Controllo automatico della non banalità delle password; p.e. password non nel dizionario, non una variazione della user-id come Cesare1970, non una variazione del nome dell’applicazione come Oracle70, non una password popolare come 12345678 (queste regole sono considerate alternative e più sicure di quelle relative alla complessità descritta sopra). Sygma.
Disponibilità di strumenti di MFA Per gli AdS interni: Sì per Sygma.
Messaggi di errore di autenticazione che non specificano dettagli (dicono solo, p.e., "credenziali non corrette") Yes.
Configurazione affinché gli utenti siano sconnessi dopo 5 o 10 o più minuti di inattività. Dipende dal sistema.
Configurazione affinché gli utenti non possano connettersi in specifici orari o da alcuni Paesi. NO.
Modalità di interfacciamento con altri programmi o con l’utente che preveda connessioni cifrate, scambio di certificati digitali, autenticazione reciproca senza utenze di amministrazione o generiche. In alcuni casi, sono usate credenziali di servizio, ma con controllo dell'IP di origine.
Encrypted data storage Unencrypted data.
Encrypted data transmission Tutte le connessioni sono cifrate. Certificati con Certum.
Meccanismi di firma o logging se devono essere garantiti certi livelli di non ripudiabilità delle attività. N/A
Accesso alla chiavi crittografiche limitato ai soli amministratori di sistema o solo a processi interni del software. Internamente, le chiavi private sono usate con i certificati e i certificati sono modificabili solo dagli AdS
I clienti gestiscono i certificati:
- in autonomia per i servizi che lo prevedono;
- attraverso gli AdS di CoreTech per altri servizi (p.e. email).
Chiavi crittografiche generate secondo metodi sicuri, partendo da seed generati casualmente External certificates used
Disponibilità di log applicativi e log delle attività degli amministratori di sistema Log applicativi dipendono dall'applicazione.
User logs Vedere sopra
Meccanismi per garantire la sicurezza dei log Sicurezza assicurata dall'applicazione.
Meccanismi per stabilire la durata della conservazione dei log Set 6 months.
Modalità di collegamento del sistema ai sistemi di monitoraggio già in uso See "Infrastructure".
Clock sincronizzabile con un NTP server See "Infrastructure".
Definizione di “prestazioni accettabili” See "Infrastructure".
Modularità del sistema, in modo che sue diverse componenti possano essere installate in ambienti diversi I server sono suddivisi in cluster per ottimizzare le prestazioni.
Ciascun servizio, poi, dove opportuno, è suddiviso in ulteriori server, preferibilmente in cluster diversi.
Modular services are:
-RocketBox con server web, db e storage dati;
-Sygma con server web e storage.
Backup (frequenza, tempi di conservazione, locazione) Vedere sopra.
Verifica e sanamento (dall’inglese sanitization) dei dati in ingresso a livello server, soprattutto quando ricevuti da fonti non sicure come il web (per esempio, se è prevista una data, il sistema verifica che si tratti di una data e non di altri caratteri; se sono previsti input di un certo numero di caratteri, il sistema verifica che la loro lunghezza non sia eccedente). Developed in-house:
-input tutti validati, anche oggetto di check list di sviluppo;
-WAF interno per Sygma (sulle chiamate pubbliche, mentre con maggiore prudenza per le attività degli utenti autenticati).
Filtri quando si modificano i dati, per esempio con messaggi “sei sicuro di voler modificare” o con richiesta di validazione da altri utenti. A seconda delle criticità dell'operazione, per confermarla sono attivi i seguenti meccanismi:
-modifiche reversibili, che quindi non richiedono conferma;
-richiesta conferma per modifiche non reversibili non impattanti (p.e. cancellazione ticket);
-richiesta conferma email per modifiche non reversibili impattanti (p.e. cancellazione VM);
-richiesta di conferma con ulteriori dati di input, in alternativa al precedente.
Limitazione delle possibilità di ricerca, in modo che un utente non possa visualizzare dati a cui non è autorizzato. N/A.
Sono sempre e comunque attivi permessi differenziati su Sygma e sul sito CoreTech.
Dati a video e stampati senza informazioni riservate o per le quali l’utente non ha le autorizzazioni ad accedere. N/A.
Tutti i report sono controllati. Report interni con accesso a seconda delle mansioni di ciascuno.
Report in particolare per i commerciali, con dati per reparto o per persona. Sono però impostati centralmente.
Possibility of anonymization or pseudonymization of data Report with minimized data.
Tipo di messaggi e di avvisi lanciati dal sistema che forniscano sufficienti informazioni al personale autorizzato, ma non forniscano informazioni a malintenzionati (per esempio, fornendo troppi dettagli sul tipo di errore quando si inseriscono credenziali sbagliate). Yes.
Esempio: messaggi di errori e di conferma per password errate e per cambio password.
Sistemi di cancellazione automatica dei dati, o di avviso, quando hanno superato il tempo di conservazione previsto (retention time). Unici dati, relativi ai servizi, riguardano persone giuridiche e pertanto si mantengono.
Gli utenti interni vanno cancellati dopo 10 anni.
Operazione manuale e prevista per Sygma.
Data deletion methods I dati sono cancellati senza cifratura.
Garanzia della gestione delle vulnerabilità riscontrate e del patching (il produttore deve garantire un servizio di avviso e di invio delle correzioni). I servizi erogati sono in cloud e pertanto CoreTech aggiorna i pacchetti a seconda delle specifiche del fornitore.

Sygma Connect | SLA

Version 3 dated 05/09/2024

Description
Remote Control Software
Product Page
Management platform
Roles and responsibilities
CoreTech acts as Administrator or Sub Responsible for all treatments, while it is the owner of client contact data only
With regards to data compliance and security, both CoreTech and the customer are both responsible, albeit on different fronts. As reported below
Link
CoreTech Responsibilities Project-Id-Version: coretech PO-Revision-Date: 2024-07-09 12:51+0200 Last-Translator: Language-Team: Language: en MIME-Version: 1.0 Content-Type: text/plain; charset=UTF-8 Content-Transfer-Encoding: 8bit Plural-Forms: nplurals=2; plural=(n != 1); X-Generator: Poedit 2.4.3 X-Poedit-Basepath: ../../.. X-Source-Language: it X-Poedit-SourceCharset: UTF-8 X-Poedit-KeywordsList: _;_( X-Poedit-SearchPath-0: . X-Poedit-SearchPathExcluded-0: backend X-Poedit-SearchPathExcluded-1: menagement X-Poedit-SearchPathExcluded-2: en X-Poedit-SearchPathExcluded-3: it/service/public/passwordChecker
Customer Responsibility Project-Id-Version: coretech PO-Revision-Date: 2024-07-09 12:51+0200 Last-Translator: Language-Team: Language: en MIME-Version: 1.0 Content-Type: text/plain; charset=UTF-8 Content-Transfer-Encoding: 8bit Plural-Forms: nplurals=2; plural=(n != 1); X-Generator: Poedit 2.4.3 X-Poedit-Basepath: ../../.. X-Source-Language: it X-Poedit-SourceCharset: UTF-8 X-Poedit-KeywordsList: _;_( X-Poedit-SearchPath-0: . X-Poedit-SearchPathExcluded-0: backend X-Poedit-SearchPathExcluded-1: menagement X-Poedit-SearchPathExcluded-2: en X-Poedit-SearchPathExcluded-3: it/service/public/passwordChecker
Datacenter
TIER4 - This is the highest level of assurance a datacenter can offer, with 99.9% availability. Identify a catacenter completely redundant in terms of electrical, cooling and network circuits. This indicator refers to an architecture that allows you to cope with serious technical incidents without ever interrupting the availability of servers.
Geographic location Mainly in Italy, then Germany and Great Britain
Etichettatura
Il software non offre livelli standard di classificazione delle informazioni. Il cliente può comunque apporre etichette ed, eventualmente, un livello di classificazione, tramite il nome macchina o creare gruppo idoneo per privacy
Funzionalità presenti sul Pannello di Controllo
-Interfaccia da Sygma o Client Admin sul server o pc stesso.
-Pieno controllo tramite l'App sul proprio client Visualizzazione completa su Sygma (elenco, impostazioni, stato e registrazioni sessioni se impostato su registrazioni)
-Autonomia fino alla chiusura del suo account Master o istanza associata al partner. Dove è necessaria richiesta di disdetta servizio. (vedere Sygma)
Admin Panel see Sygma
SLA
IaaS Monthly
99,95% (21m 54s)
Penalties
SLA IaaS
<99,95% (21m 54s) = 10%
<99,85% (1h 5m 44s) = 20%
<99,00% (7h 18m 17s) = 50%
Backup
All user and Peer data are saved in Sygma, therefore no Backup is necessary as it is already provided for the Sygma service on which it relies.
Backup
All user and Peer data are saved in Sygma, therefore no Backup is necessary as it is already provided for the Sygma service on which it relies.
Problem Tolerance
Multiple Servers The Sygma Connect service consists of an infrastructure consisting of a large number of servers located on different Datacenters (for example Aruba, Azure, Stellar)
The service is based on Docker
Configuration Storage Raid6 N/A
Disaster Recovery N/A
Support
Support Page - Link
Access to Data
The customer in possession of the access data to the server can access the data contained therein
CoreTech does not have direct visibility of the data contained and cannot remotely access the machines unless it is expressly requested and authorized by the customer (via id and secondary password)
Cancellation/Closing of Contract
The data is deleted after 60 days from the termination of the service.
Portability
Since Sygma it is possible to export session list with necessary details and logs
Since sygma also has an address book with a list of devices available for remote connection.
Assistance process for the satisfaction of the rights of interested parties
Data Processing Agreement (DPA) - Link page
How personal data breaches are handled
Data Processing Agreement (DPA) - Link page
Raccolta Prove
If the customer needs to collect evidence or request assistance, he can send the request to the email address
supporto@coretech.it
in the event that the assistance requested is not within the scope of support or for other reasons, you can contact the Privacy contact person
privacy@coretech.it
User Manual Link
KB Sygma Connect Link
Forum Sygma Connect Link
Security measures
Data Processing Agreement (DPA) - Link page
ˆ Livello di dettaglio con cui si possono impostare i diritti di accesso ai sistemi (singola funzionalità, singola transazione, eccetera). Not applicable.
Verifica delle autorizzazioni per accedere o visualizzare le elaborazioni. I clienti possono visualizzare gli utenti e le autorizzazioni dai pannelli di controllo dei singoli servizi acquistati (incluso Sygma).
CoreTech può visualizzare gli utenti AdS verificando i singoli sistemi.
Opzione "cambia la password al primo utilizzo" quando si inserisce un nuovo utente o quando la password è modificata dagli amministratori di sistema (per esempio se l'utente l'ha dimenticata). For Sygma users
- in caso di creazione dell'utenza, il cambio della password è obbligatorio;
- per il reset password, l'utente avvia la procedura in autonomia.
Per i servizi, sono assegnate user-id e password di amministrazione ai clienti, che la gestiscono in autonomia.
Modifica della password da parte dell’utente Per i clienti: per il reset password, l'utente avvia la procedura di Sygma in autonomia.
Per gli AdS interni, le password sono gestite tramite Sygma.
Password nascosta nel campo dove inserire la password. Yes.
Possibilità di bloccare l’utenza dopo un certo numero di tentativi errati di inserimento della password (da non applicare a tutti gli amministratori di sistema perché, in caso di attacco, nessuno potrebbe più accedere al sistema). Su Sygma è abilitato l'invio dell'email ad ogni tentativo sbagliato.
Inoltre, dopo un certo numero di tentativi, si avvia una procedura di rallentamento.
Per gli AdS di CoreTech, è usato Sygma.
I virtualizzatori bloccano per 5 minuti le utenze dopo 5 tentativi falliti. Però al momento non sono lanciati allarmi.
Modalità di recupero delle password di amministrazione. È possibile contattare l'assistenza di CoreTech.
Possibilità di assegnazione a più utenti dei poteri di amministrazione, anche su singole parti del sistema. Yes.
Personalizzazione delle credenziali per gli amministratori di sistema (e userid personali) Yes.
Disabling default userids Not assigned
Controllo automatico delle caratteristiche delle password in modo che gli utenti non le scelgano banali: complessità (devono essere presenti lettere e numeri; oppure lettere minuscole, lettere maiuscole e numeri e caratteri speciali), lunghezza (minimo 8 caratteri), scadenza (affinché siano cambiate almeno ogni 3 mesi), blocco in caso di inattività dell’utente (dopo non più di 6 mesi), non ripetibilità delle ultime 5 o 10 password. Sygma.
Controllo automatico della non banalità delle password; p.e. password non nel dizionario, non una variazione della user-id come Cesare1970, non una variazione del nome dell’applicazione come Oracle70, non una password popolare come 12345678 (queste regole sono considerate alternative e più sicure di quelle relative alla complessità descritta sopra). Sygma.
Disponibilità di strumenti di MFA Per gli AdS interni: Sì per Sygma.
Messaggi di errore di autenticazione che non specificano dettagli (dicono solo, p.e., "credenziali non corrette"). Yes.
Configurazione affinché gli utenti siano sconnessi dopo 5 o 10 o più minuti di inattività. Dipende dal sistema.
Configurazione affinché gli utenti non possano connettersi in specifici orari o da alcuni Paesi. NO.
Modalità di interfacciamento con altri programmi o con l’utente che preveda connessioni cifrate, scambio di certificati digitali, autenticazione reciproca senza utenze di amministrazione o generiche. In alcuni casi, sono usate credenziali di servizio, ma con controllo dell'IP di origine.
Encrypted data storage. Unencrypted data.
Encrypted data transmission Tutte le connessioni sono cifrate. Certificati con Certum.
Meccanismi di firma o logging se devono essere garantiti certi livelli di non ripudiabilità delle attività. N/A
Meccanismi Crittografici Le comunicazioni sono su https con TLS da 1 a 1.3.
Il server non è cifrato.
Accesso alla chiavi crittografiche limitato ai soli amministratori di sistema o solo a processi interni del software. Internamente, le chiavi private sono usate con i certificati e i certificati sono modificabili solo dagli AdS.
I clienti gestiscono i certificati:
-in autonomia per i servizi che lo prevedono;
-attraverso gli AdS di CoreTech per altri servizi (p.e. email).
Chiavi crittografiche generate secondo metodi sicuri, partendo da seed generati casualmente. External certificates used..
Disponibilità di log applicativi e log delle attività degli amministratori di sistema. Log applicativi dipendono dall'applicazione.
User logs Vedere sopra.
Meccanismi per garantire la sicurezza dei log. Sicurezza assicurata dall'applicazione.
Meccanismi per stabilire la durata della conservazione dei log. Set 6 months.
Modalità di collegamento del sistema ai sistemi di monitoraggio già in uso. See "Infrastructure".
Clock sincronizzabile con un NTP server. See "Infrastructure".
Definizione di “prestazioni accettabili” See "Infrastructure".
Modularità del sistema, in modo che sue diverse componenti possano essere installate in ambienti diversi. I server sono suddivisi in cluster per ottimizzare le prestazioni.
Ciascun servizio, poi, dove opportuno, è suddiviso in ulteriori server, preferibilmente in cluster diversi.
Backup (frequenza, tempi di conservazione, locazione) Vedere sopra.
Verifica e sanamento (dall’inglese sanitization) dei dati in ingresso a livello server, soprattutto quando ricevuti da fonti non sicure come il web (per esempio, se è prevista una data, il sistema verifica che si tratti di una data e non di altri caratteri; se sono previsti input di un certo numero di caratteri, il sistema verifica che la loro lunghezza non sia eccedente). N/A
Filtri quando si modificano i dati, per esempio con messaggi “sei sicuro di voler modificare” o con richiesta di validazione da altri utenti. N/A
Limitazione delle possibilità di ricerca, in modo che un utente non possa visualizzare dati a cui non è autorizzato. N/A
Dati a video e stampati senza informazioni riservate o per le quali l’utente non ha le autorizzazioni ad accedere. N/A
Possibility of anonymization or pseudonymization of data N/A
Tipo di messaggi e di avvisi lanciati dal sistema che forniscano sufficienti informazioni al personale autorizzato, ma non forniscano informazioni a malintenzionati (per esempio, fornendo troppi dettagli sul tipo di errore quando si inseriscono credenziali sbagliate). Yes.
Esempio: messaggi di errori e di conferma per password errate e per cambio password.
Sistemi di cancellazione automatica dei dati, o di avviso, quando hanno superato il tempo di conservazione previsto (retention time). N/A
Data deletion methods N/A
Garanzia della gestione delle vulnerabilità riscontrate e del patching (il produttore deve garantire un servizio di avviso e di invio delle correzioni). I servizi erogati sono in cloud e pertanto CoreTech aggiorna i pacchetti a seconda delle specifiche del fornitore.

RocketNews | SLA

Version 3 dated 05/09/2024

Description
Mail Marketing RocketNews, Newsletter Sending System. RocketNews is an alternative to MailChimp and MailUp designed to satisfy all those companies that have the same communication needs as large companies but have a limited number of recipients. With RocketNews, companies can send their newsletters independently.
Product Page
Management platform
Roles and responsibilities
CoreTech acts as Administrator or Sub Responsible for all treatments, while it is the owner of client contact data only
With regards to data compliance and security, both CoreTech and the customer are both responsible, albeit on different fronts. As reported below
Link
CoreTech Responsibilities -Daily backup check. Backup retention is 35 days (5 weeks).
-Keep RocketNewslettr servers updated with the most stable and secure software versions released by the manufacturer.
-Keep the web server monitored in order to guarantee continuity of service.
Customer Responsibility -Set passwords to access the RocketNewsletter panel.
-Carefully guard your access data to the RocketNewsletter service and limit its disclosure.
- Intervene promptly in the event of reports from CoreTech on problems relating to the security of its website.
-Promptly inform CoreTech in case of anomalies that could lead to a data security problem.
Datacenter
TIER4 - This is the highest level of assurance a datacenter can offer, with 99.9% availability. Identify a catacenter completely redundant in terms of electrical, cooling and network circuits. This indicator refers to an architecture that allows you to cope with serious technical incidents without ever interrupting the availability of servers.
Geographic location European Union
Etichettatura
nominare liste newsletter e modelli in modo da determinare la tipologia di dati se più sensibili di altri.
Funzionalità presenti sul Pannello di Controllo
Interfaccia Web RocketNewsletter richiesta dell'aumento delle risorse necessarie.
Cancellazione previa richiesta e CoreTech invia mail conferma avvenuta cancellazione
Admin Panel L'utente è unico.
SLA
Monthly SaaS
99,8% (1h 26m)
Ordinary and extraordinary maintenance activities reported on the site 4 hours in advance are excluded
Penalties
SLA SaaS
<99,8% (1h 26m) = 10%
<99,5% (3h 36) = 20%
<99,00% (7h 18m 17s) = 50%
Backup
RocketNews is a service based on Rocketweb and therefore the Backup features correspond to Rocketweb
SLA RocketWeb
Problem Tolerance
Multiple Servers RocketNews is a service based on Rocketweb and therefore the Tolerance characteristics correspond to Rocketweb.
- Servers are virtual machines resident on Vmware clusters made up of 3 physical nodes.
- RocketNewsletter Servers use the Stellar infrastructure.
- The disk configuration of the backup destination storage is in RAID6. High Availability function: the storage on which the data backups reside has double power supply and double network connectivity.
La controller dei dischi è unica. Funzione Fault Tollerance: Opzionale (dati replicati e backup set su altro Datacenter)
Configuration Storage Raid6 The disk configuration of the backup destination storage is in RAID6
the storage on which the data backups reside has double power supply and double network connectivity, the disk controller is double
Disaster Recovery VM Backup included in the standard service allows disaster recovery in the same data center.
it is possible to optionally request disaster recovery in another data center.
Rocket Newsletter: the user is unique.
Support
Support Page - Link
Access to Data
The customer has the access data and can independently insert, delete, view, modify, download and upload images, email contacts, text and templates created (or create templates) on the platform
Always independently, the customer can extrapolate all the reports relating to the mailings made with all the details associated with them
When the user cancels from the service, the data is anonymized
Contract Cancellation / Closure
The data is deleted after 30 days from the cancellation of the service
Portability
The customer has the access data and can independently insert, delete, view, modify, download and upload images, email contacts, text and templates created (or create templates) on the platform
Sempre in autonomia il cliente può estrapolasi tutti i report inerenti agli invii fatti con tutti i dettagli ad esse associati
Processo di assistenza per il soddisfacimento dei diritti degli interessati
Data Processing Agreement (DPA) - Link page
How personal data breaches are handled
Data Processing Agreement (DPA) - Link page
Raccolta Prove
If the customer needs to collect evidence or request assistance, he can send the request to the email address

supporto@coretech.it
in case the requested assistance is not within the competence of the support or for other reasons he can contact the Privacy contact at email
privacy@coretech.it
User Manual Link
KB RocketNews Link
Security measures
Data Processing Agreement (DPA) - Link page
User Management Per gli utenti dei clienti, è possibile gestire gli utenti di Sygma.
Personal userids for users Per i clienti, è possibile creare utenti con userid personali.
Livello di dettaglio con cui si possono impostare i diritti di accesso ai sistemi (singola funzionalità, singola transazione, eccetera). Rocket Newsletter: the user is unique.
Verifica delle autorizzazioni per accedere o visualizzare le elaborazioni. I clienti possono visualizzare gli utenti e le autorizzazioni dai pannelli di controllo dei singoli servizi acquistati (incluso Sygma).
CoreTech può visualizzare gli utenti AdS verificando i singoli sistemi.
Opzione "cambia la password al primo utilizzo" quando si inserisce un nuovo utente o quando la password è modificata dagli amministratori di sistema (per esempio se l'utente l'ha dimenticata). For Sygma users
- in caso di creazione dell'utenza, il cambio della password è obbligatorio;
- per il reset password, l'utente avvia la procedura in autonomia.
Per i servizi, sono assegnate user-id e password di amministrazione ai clienti, che la gestiscono in autonomia.
Modifica della password da parte dell’utente Per i clienti: per il reset password, l'utente avvia la procedura di Sygma in autonomia.
Per gli AdS interni, le password sono gestite tramite Sygma.
Password nascosta nel campo dove inserire la password. Yes.
Possibilità di bloccare l’utenza dopo un certo numero di tentativi errati di inserimento della password (da non applicare a tutti gli amministratori di sistema perché, in caso di attacco, nessuno potrebbe più accedere al sistema). Su Sygma è abilitato l'invio dell'email ad ogni tentativo sbagliato.
Inoltre, dopo un certo numero di tentativi, si avvia una procedura di rallentamento.
Per gli AdS di CoreTech, è usato Sygma.
I virtualizzatori bloccano per 5 minuti le utenze dopo 5 tentativi falliti. Però al momento non sono lanciati allarmi.
Modalità di recupero delle password di amministrazione. È possibile contattare l'assistenza di CoreTech.
Possibilità di assegnazione a più utenti dei poteri di amministrazione, anche su singole parti del sistema. Yes.
Personalizzazione delle credenziali per gli amministratori di sistema (e userid personali) Yes.
Disabling default userids La user-id assegnata è personalizzata.
Controllo automatico delle caratteristiche delle password in modo che gli utenti non le scelgano banali: complessità (devono essere presenti lettere e numeri; oppure lettere minuscole, lettere maiuscole e numeri e caratteri speciali), lunghezza (minimo 8 caratteri), scadenza (affinché siano cambiate almeno ogni 3 mesi), blocco in caso di inattività dell’utente (dopo non più di 6 mesi), non ripetibilità delle ultime 5 o 10 password. Sygma.
Controllo automatico della non banalità delle password; p.e. password non nel dizionario, non una variazione della user-id come Cesare1970, non una variazione del nome dell’applicazione come Oracle70, non una password popolare come 12345678 (queste regole sono considerate alternative e più sicure di quelle relative alla complessità descritta sopra). Sygma.
Disponibilità di strumenti di MFA. Per gli AdS interni: Sì per Sygma.
Messaggi di errore di autenticazione che non specificano dettagli (dicono solo, p.e., "credenziali non corrette"). Yes.
Configurazione affinché gli utenti siano sconnessi dopo 5 o 10 o più minuti di inattività. Dipende dal sistema.
Configurazione affinché gli utenti non possano connettersi in specifici orari o da alcuni Paesi. NO.
Modalità di interfacciamento con altri programmi o con l’utente che preveda connessioni cifrate, scambio di certificati digitali, autenticazione reciproca senza utenze di amministrazione o generiche. In alcuni casi, sono usate credenziali di servizio, ma con controllo dell'IP di origine.
Encrypted data storage. Unencrypted data.
Encrypted data transmission For email, CoreTech provides certificates.
Meccanismi di firma o logging se devono essere garantiti certi livelli di non ripudiabilità delle attività. N/A
Meccanismi Crittografici Le comunicazioni sono su https con TLS da 1 a 1.3. Il server non è cifrato.
Accesso alla chiavi crittografiche limitato ai soli amministratori di sistema o solo a processi interni del software. Internamente, le chiavi private sono usate con i certificati e i certificati sono modificabili solo dagli AdS.
I clienti gestiscono i certificati:
-in autonomia per i servizi che lo prevedono;
-attraverso gli AdS di CoreTech per altri servizi (p.e. email).
Chiavi crittografiche generate secondo metodi sicuri, partendo da seed generati casualmente. External certificates used.
Disponibilità di log applicativi e log delle attività degli amministratori di sistema. Log applicativi dipendono dall'applicazione.
User logs Vedere sopra.
Meccanismi per garantire la sicurezza dei log. Sicurezza assicurata dall'applicazione.
Meccanismi per stabilire la durata della conservazione dei log. Set 6 months.
Modalità di collegamento del sistema ai sistemi di monitoraggio già in uso. See "Infrastructure".
Clock sincronizzabile con un NTP server. See "Infrastructure".
Definizione di “prestazioni accettabili” See "Infrastructure".
Modularità del sistema, in modo che sue diverse componenti possano essere installate in ambienti diversi. I server sono suddivisi in cluster per ottimizzare le prestazioni.
Ciascun servizio, poi, dove opportuno, è suddiviso in ulteriori server, preferibilmente in cluster diversi.
Backup (frequenza, tempi di conservazione, locazione) Vedere sopra.
Verifica e sanamento (dall’inglese sanitization) dei dati in ingresso a livello server, soprattutto quando ricevuti da fonti non sicure come il web (per esempio, se è prevista una data, il sistema verifica che si tratti di una data e non di altri caratteri; se sono previsti input di un certo numero di caratteri, il sistema verifica che la loro lunghezza non sia eccedente). Developed in-house:
-input tutti validati (Rocket Newsletter è stato anche oggetto di VA), anche oggetto di check list di sviluppo
-WAF di Plesk attivo per RocketWeb (e quindi Rocket Newsletter).
Filtri quando si modificano i dati, per esempio con messaggi “sei sicuro di voler modificare” o con richiesta di validazione da altri utenti. A seconda delle criticità dell'operazione, per confermarla sono attivi i seguenti meccanismi:
-modifiche reversibili, che quindi non richiedono conferma;
-richiesta conferma per modifiche non reversibili non impattanti (p.e. cancellazione ticket);
-richiesta conferma email per modifiche non reversibili impattanti (p.e. cancellazione VM);
-richiesta di conferma con ulteriori dati di input, in alternativa al precedente.
Limitazione delle possibilità di ricerca, in modo che un utente non possa visualizzare dati a cui non è autorizzato. N/A
Dati a video e stampati senza informazioni riservate o per le quali l’utente non ha le autorizzazioni ad accedere. N/A
Possibility of anonymization or pseudonymization of data N/A
Tipo di messaggi e di avvisi lanciati dal sistema che forniscano sufficienti informazioni al personale autorizzato, ma non forniscano informazioni a malintenzionati (per esempio, fornendo troppi dettagli sul tipo di errore quando si inseriscono credenziali sbagliate). Yes.
Esempio: messaggi di errori e di conferma per password errate e per cambio password.
Sistemi di cancellazione automatica dei dati, o di avviso, quando hanno superato il tempo di conservazione previsto (retention time). N/A
Data deletion methods Responsible for the user.
Garanzia della gestione delle vulnerabilità riscontrate e del patching (il produttore deve garantire un servizio di avviso e di invio delle correzioni). I servizi erogati sono in cloud e pertanto CoreTech aggiorna i pacchetti a seconda delle specifiche del fornitore.

RocketBox | SLA

Version 2 dated 05/09/2024

Description
File sharing service
Product Page
Management platform
Roles and responsibilities
CoreTech acts as Administrator or Sub Responsible for all treatments, while it is the owner of client contact data only
With regards to data compliance and security, both CoreTech and the customer are both responsible, albeit on different fronts. As reported below
Link
CoreTech Responsibilities -Daily backup check. Backup retention is 35 days (5 weeks).
-Keep Rocketbox servers updated with the most stable and secure software versions released by the manufacturer.
-Keep the web server monitored in order to guarantee continuity of service.
Customer Responsibility -Set passwords to access the RocketBox panel.
-Carefully guard your access data to the RocketBox service and limit its disclosure.
- Intervene promptly in the event of reports from CoreTech on problems relating to the security of its website.
Periodically check the integrated Restore data functionality of your website.
-CoreTech in case of anomalies that could lead to a data security problem.
Datacenter
TIER4 - This is the highest level of assurance a datacenter can offer, with 99.9% availability. Identify a catacenter completely redundant in terms of electrical, cooling and network circuits. This indicator refers to an architecture that allows you to cope with serious technical incidents without ever interrupting the availability of servers.
Geographic location European Union
Etichettatura
nominare i file come più opporturno
Funzionalità presenti sul Pannello di Controllo
Pannello Rocketbox. Controllo tramite la dashboard di Sygma, che permette di aumentare le risorse previo acquisto.
Admin Panel -L'admin può creare gli utenti che possono accedere; gli utenti con cui si condivide possono agire secondo i criteri di condivisione impostati per ogni cartella.
-Le password sono impostate con requisiti di complessità delle password per tutti gli utenti e utilizzatori dei servizi.
SLA
Monthly SaaS
99,8% (1h 26m)
Ordinary and extraordinary maintenance activities reported on the site 4 hours in advance are excluded
Penalties
SLA SaaS
<99,8% (1h 26m) = 10%
<99,5% (3h 36) = 20%
<99,00% (7h 18m 17s) = 50%
Backup
The Rocketbox service includes the Backup service replicated on Cloud Storage S3
Backup is done using the 1Backup service
SLA RocketBox
Data Backup daily - 40 day retention - 1Backup encryption
VM backup of the server ogni 15 giorni - retention 2 backup dopo si sovrascrive
Restore By request to customer support who will restore what is requested
Replica Geografica') ?> Il backup viene replicato su Cloud Storage S3 - situato in un DataCenter fuori dall'italia in un paese dell'Unione Europea
Problem Tolerance
Multiple Servers The servers that provide the Rocketbox storage service are different and multiple
These servers are virtual machines residing on Vmware clusters consisting of 3 physical nodes
The Services benefit from the Stellar infrastructure
Stellar site
Configuration Storage Raid6 The disk configuration of the backup destination storage is in RAID6
The storage on which the data backups reside has dual power supplies and dual network connectivity
Il controller dei dischi è doppia
Disaster Recovery Replicated data and backup set on another Datacenter.
Support
Support Page - Link
Access to Data
The customer in possession of the access data can access the data only via web interface or synchronous client or WEBDAV protocol
Sono disponibili sistemi per recuperare o modificare il conto password tramite interfaccia web
Contract Cancellation / Closure
The data is deleted after 30 days from the cancellation of the service
Portability
Download complete with the Rocketbox client by yourself.
Processo di assistenza per il soddisfacimento dei diritti degli interessati
Data Processing Agreement (DPA) - Link page
How personal data breaches are handled
Data Processing Agreement (DPA) - Link page
Raccolta Prove
If the customer needs to collect evidence or request assistance, he can send the request to the email address
supporto@coretech.it
in case the requested assistance is not within the competence of the support or for other reasons he can contact the Privacy contact at email
privacy@coretech.it
User Manual Link
KB RocketBox Link
Security measures
Data Processing Agreement (DPA) - Link page
User Management Per gli utenti dei clienti, è possibile gestire gli utenti di Sygma.
Personal userids for users Per i clienti, è possibile creare utenti con userid personali.
ˆ Livello di dettaglio con cui si possono impostare i diritti di accesso ai sistemi (singola funzionalità, singola transazione, eccetera). Con pannello admin si stabiliscono in autonomia gli utenti che possono accedere, le autorizzazioni e i metodi di autenticazione (inclusa lunghezza e complessità delle password).
ˆ Verifica delle autorizzazioni per accedere o visualizzare le elaborazioni I clienti possono visualizzare gli utenti e le autorizzazioni dai pannelli di controllo dei singoli servizi acquistati (incluso Sygma)
CoreTech può visualizzare gli utenti AdS verificando i singoli sistemi.
Opzione "cambia la password al primo utilizzo" quando si inserisce un nuovo utente o quando la password è modificata dagli amministratori di sistema (per esempio se l'utente l'ha dimenticata). For Sygma users
-in caso di creazione dell'utenza, il cambio della password è obbligatorio;
-per il reset password, l'utente avvia la procedura in autonomia.
Per i servizi, sono assegnate user-id e password di amministrazione ai clienti, che la gestiscono in autonomia.
Modifica della password da parte dell’utente Per i clienti: per il reset password, l'utente avvia la procedura di Sygma in autonomia.
Per gli AdS interni, le password sono gestite tramite Sygma.
Password nascosta nel campo dove inserire la password Yes.
Possibilità di bloccare l’utenza dopo un certo numero di tentativi errati di inserimento della password (da non applicare a tutti gli amministratori di sistema perché, in caso di attacco, nessuno potrebbe più accedere al sistema). Su Sygma è abilitato l'invio dell'email ad ogni tentativo sbagliato.
Inoltre, dopo un certo numero di tentativi, si avvia una procedura di rallentamento.
Per gli AdS di CoreTech, è usato Sygma.
I virtualizzatori bloccano per 5 minuti le utenze dopo 5 tentativi falliti. Però al momento non sono lanciati allarmi.
Modalità di recupero delle password di amministrazione. È possibile contattare l'assistenza di CoreTech.
Possibilità di assegnazione a più utenti dei poteri di amministrazione, anche su singole parti del sistema. Yes.
Personalizzazione delle credenziali per gli amministratori di sistema (e userid personali) Yes.
Disabling default userids Yes.
Controllo automatico delle caratteristiche delle password in modo che gli utenti non le scelgano banali: complessità (devono essere presenti lettere e numeri; oppure lettere minuscole, lettere maiuscole e numeri e caratteri speciali), lunghezza (minimo 8 caratteri), scadenza (affinché siano cambiate almeno ogni 3 mesi), blocco in caso di inattività dell’utente (dopo non più di 6 mesi), non ripetibilità delle ultime 5 o 10 password. Sygma.
Controllo automatico della non banalità delle password; p.e. password non nel dizionario, non una variazione della user-id come Cesare1970, non una variazione del nome dell’applicazione come Oracle70, non una password popolare come 12345678 (queste regole sono considerate alternative e più sicure di quelle relative alla complessità descritta sopra). Sygma.
Disponibilità di strumenti di MFA. Per gli AdS interni: Sì per Sygma.
Messaggi di errore di autenticazione che non specificano dettagli (dicono solo, p.e., "credenziali non corrette"). Yes.
Configurazione affinché gli utenti siano sconnessi dopo 5 o 10 o più minuti di inattività. Dipende dal sistema.
Configurazione affinché gli utenti non possano connettersi in specifici orari o da alcuni Paesi. NO.
Modalità di interfacciamento con altri programmi o con l’utente che preveda connessioni cifrate, scambio di certificati digitali, autenticazione reciproca senza utenze di amministrazione o generiche. In alcuni casi, sono usate credenziali di servizio, ma con controllo dell'IP di origine.
Encrypted data storage Unencrypted data.
Encrypted data transmission Tutte le connessioni sono cifrate. Certificati con Certum.
Meccanismi di firma o logging se devono essere garantiti certi livelli di non ripudiabilità delle attività. Non presenti strumenti di firma.
Meccanismi Crittografici Le comunicazioni sono su https con TLS da 1 a 1.3.
Il server non è cifrato. I clienti possono cifrare autonomamente i propri dati.
Accesso alla chiavi crittografiche limitato ai soli amministratori di sistema o solo a processi interni del software. Internamente, le chiavi private sono usate con i certificati e i certificati sono modificabili solo dagli AdS.
I clienti gestiscono i certificati:
-in autonomia per i servizi che lo prevedono;
-attraverso gli AdS di CoreTech per altri servizi (p.e. email).
Chiavi crittografiche generate secondo metodi sicuri, partendo da seed generati casualmente. External certificates used.
Disponibilità di log applicativi e log delle attività degli amministratori di sistema. Log applicativi dipendono dall'applicazione.
User logs Vedere sopra.
Meccanismi per garantire la sicurezza dei log. Sicurezza assicurata dall'applicazione.
Meccanismi per stabilire la durata della conservazione dei log Set 6 months.
Modalità di collegamento del sistema ai sistemi di monitoraggio già in uso. See "Infrastructure".
Clock sincronizzabile con un NTP server. See "Infrastructure".
Definizione di “prestazioni accettabili” See "Infrastructure".
Modularità del sistema, in modo che sue diverse componenti possano essere installate in ambienti diversi. I server sono suddivisi in cluster per ottimizzare le prestazioni.
Ciascun servizio, poi, dove opportuno, è suddiviso in ulteriori server, preferibilmente in cluster diversi.
Modular services are:
-RocketBox con server web, db e storage dati;
-Sygma con server web e storage.
Backup (frequenza, tempi di conservazione, locazione) Vedere sopra.
Verifica e sanamento (dall’inglese sanitization) dei dati in ingresso a livello server, soprattutto quando ricevuti da fonti non sicure come il web (per esempio, se è prevista una data, il sistema verifica che si tratti di una data e non di altri caratteri; se sono previsti input di un certo numero di caratteri, il sistema verifica che la loro lunghezza non sia eccedente). Pacchetto, gestito o tramite la propria interfaccia o tramite interfaccia Sygma (vedere sotto).
Filtri quando si modificano i dati, per esempio con messaggi “sei sicuro di voler modificare” o con richiesta di validazione da altri utenti. A seconda delle criticità dell'operazione, per confermarla sono attivi i seguenti meccanismi:
-modifiche reversibili, che quindi non richiedono conferma;
-richiesta conferma per modifiche non reversibili non impattanti (p.e. cancellazione ticket);
-richiesta conferma email per modifiche non reversibili impattanti (p.e. cancellazione VM);
-richiesta di conferma con ulteriori dati di input, in alternativa al precedente.
Dati a video e stampati senza informazioni riservate o per le quali l’utente non ha le autorizzazioni ad accedere. No for the type of service.
Possibility of anonymization or pseudonymization of data No for the type of service.
Tipo di messaggi e di avvisi lanciati dal sistema che forniscano sufficienti informazioni al personale autorizzato, ma non forniscano informazioni a malintenzionati (per esempio, fornendo troppi dettagli sul tipo di errore quando si inseriscono credenziali sbagliate). Yes.
Esempio: messaggi di errori e di conferma per password errate e per cambio password.
Sistemi di cancellazione automatica dei dati, o di avviso, quando hanno superato il tempo di conservazione previsto (retention time). No for the type of service.
Data deletion methods A conclusione del servizio, è cancellata la singola istanza (senza cifratura).
Garanzia della gestione delle vulnerabilità riscontrate e del patching (il produttore deve garantire un servizio di avviso e di invio delle correzioni). I servizi erogati sono in cloud e pertanto CoreTech aggiorna i pacchetti a seconda delle specifiche del fornitore.

Sigillo | SLA

Version 2 dated 05/09/2024

Description
Sigillo is the advanced electronic signature that allows you to sign contracts with a simple and fast workflow. The process of sending the contracts is carried out entirely via web browser, both for those who send the contract and for those who receive it.
Roles and responsibilities
&nbps;
CoreTech Responsibilities Mantenere la piattaforma.
Customer Responsibility Usare diligentemente la piattaforma.
Datacenter
TIER4 - This is the highest level of assurance a datacenter can offer, with 99.9% availability. Identify a catacenter completely redundant in terms of electrical, cooling and network circuits. This indicator refers to an architecture that allows you to cope with serious technical incidents without ever interrupting the availability of servers.
Geographic location European Union
Etichettatura
N/A
Funzionalità presenti sul Pannello di Controllo:
Admin Panel N/A
SLA
Monthly SaaS
99,8% (1h 26m)
Ordinary and extraordinary maintenance activities reported on the site 24 hours in advance are excluded. (except for emergencies related to safety problems that require our immediate intervention)
Penalties
SLA SaaS
<99,8% (1h 26m) = 10%
<99,5% (3h 36) = 20%
<99,00% (7h 18m 17s) = 50%
Backup
Sigillo is a service based on Rocketweb and therefore the Backup features correspond to Rocketweb.
Problem Tolerance
Sigillo is a service based on Rocketweb and therefore the characteristics of Tolerance correspond to Rocketweb.
Support
Standard
Access to Data
The user in possession of the access data to the platform has been authorized and has access to all the data contained in the documents and the tracking of signature data.
CoreTech has no direct visibility of the data contained and cannot remotely access the machines unless it is expressly requested and authorized by the client.
Contract Cancellation / Closure
The data is deleted after 60 days from the termination of the service.
Portability
N/A
Processo di assistenza per il soddisfacimento dei diritti degli interessati
Data Processing Agreement (DPA) - Link page
How personal data breaches are handled
Data Processing Agreement (DPA) - Link page
Raccolta Prove
If the customer needs to collect evidence or request assistance, he can send the request to the email address

supporto@coretech.it
in case the requested assistance is not within the competence of the support or for other reasons he can contact the Privacy contact at email
privacy@coretech.it
User Manual Link
KB Sigillo Link
Security measures
Data Processing Agreement (DPA) - Link page
User Management Per gli utenti dei clienti, è possibile gestire gli utenti di Sygma.
Personal userids for users Per i clienti, è possibile creare utenti con userid personali.
Livello di dettaglio con cui si possono impostare i diritti di accesso ai sistemi (singola funzionalità, singola transazione, eccetera). Access guaranteed for every user.
Verifica delle autorizzazioni per accedere o visualizzare le elaborazioni. I clienti possono visualizzare gli utenti e le autorizzazioni dai pannelli di controllo dei singoli servizi acquistati (incluso Sygma).
CoreTech può visualizzare gli utenti AdS verificando i singoli sistemi.
Opzione "cambia la password al primo utilizzo" quando si inserisce un nuovo utente o quando la password è modificata dagli amministratori di sistema (per esempio se l'utente l'ha dimenticata). For Sygma users
- in caso di creazione dell'utenza, il cambio della password è obbligatorio;
- per il reset password, l'utente avvia la procedura in autonomia.
Per i servizi, sono assegnate user-id e password di amministrazione ai clienti, che la gestiscono in autonomia.
Modifica della password da parte dell’utente Per i clienti: per il reset password, l'utente avvia la procedura di Sygma in autonomia.
Per gli AdS interni, le password sono gestite tramite Sygma.
Password nascosta nel campo dove inserire la password. Yes.
Possibilità di bloccare l’utenza dopo un certo numero di tentativi errati di inserimento della password (da non applicare a tutti gli amministratori di sistema perché, in caso di attacco, nessuno potrebbe più accedere al sistema). Su Sygma è abilitato l'invio dell'email ad ogni tentativo sbagliato.
Inoltre, dopo un certo numero di tentativi, si avvia una procedura di rallentamento.
Per gli AdS di CoreTech, è usato Sygma.
I virtualizzatori bloccano per 5 minuti le utenze dopo 5 tentativi falliti. Però al momento non sono lanciati allarmi.
Modalità di recupero delle password di amministrazione. È possibile contattare l'assistenza di CoreTech.
Possibilità di assegnazione a più utenti dei poteri di amministrazione, anche su singole parti del sistema. Yes.
Personalizzazione delle credenziali per gli amministratori di sistema (e userid personali) Yes.
Disabling default userids Not applicable
Controllo automatico delle caratteristiche delle password in modo che gli utenti non le scelgano banali: complessità (devono essere presenti lettere e numeri; oppure lettere minuscole, lettere maiuscole e numeri e caratteri speciali), lunghezza (minimo 8 caratteri), scadenza (affinché siano cambiate almeno ogni 3 mesi), blocco in caso di inattività dell’utente (dopo non più di 6 mesi), non ripetibilità delle ultime 5 o 10 password. Sygma.
Controllo automatico della non banalità delle password; p.e. password non nel dizionario, non una variazione della user-id come Cesare1970, non una variazione del nome dell’applicazione come Oracle70, non una password popolare come 12345678 (queste regole sono considerate alternative e più sicure di quelle relative alla complessità descritta sopra). Sygma.
Disponibilità di strumenti di MFA. Per gli AdS interni: Sì per Sygma.
Messaggi di errore di autenticazione che non specificano dettagli (dicono solo, p.e., "credenziali non corrette"). Yes.
Configurazione affinché gli utenti siano sconnessi dopo 5 o 10 o più minuti di inattività. Dipende dal sistema.
Configurazione affinché gli utenti non possano connettersi in specifici orari o da alcuni Paesi. NO.
Modalità di interfacciamento con altri programmi o con l’utente che preveda connessioni cifrate, scambio di certificati digitali, autenticazione reciproca senza utenze di amministrazione o generiche. In alcuni casi, sono usate credenziali di servizio, ma con controllo dell'IP di origine.
Encrypted data storage. Unencrypted data.
Encrypted data transmission Tutte le connessioni sono cifrate. Certificati con Certum.
Meccanismi di firma o logging se devono essere garantiti certi livelli di non ripudiabilità delle attività. Prodotto stesso di firma.
Meccanismi Crittografici Le comunicazioni sono su https con TLS da 1 a 1.3. Il server non è cifrato. I clienti possono cifrare autonomamente i propri dati.
Accesso alla chiavi crittografiche limitato ai soli amministratori di sistema o solo a processi interni del software. Internamente, le chiavi private sono usate con i certificati e i certificati sono modificabili solo dagli AdS.
I clienti gestiscono i certificati:
-in autonomia per i servizi che lo prevedono;
-attraverso gli AdS di CoreTech per altri servizi (p.e. email).
Chiavi crittografiche generate secondo metodi sicuri, partendo da seed generati casualmente. External certificates used.
Disponibilità di log applicativi e log delle attività degli amministratori di sistema. Log applicativi dipendono dall'applicazione.
User logs Vedere sopra.
Meccanismi per garantire la sicurezza dei log. Sicurezza assicurata dall'applicazione.
Meccanismi per stabilire la durata della conservazione dei log. Set 6 months.
Modalità di collegamento del sistema ai sistemi di monitoraggio già in uso. See "Infrastructure".
Clock sincronizzabile con un NTP server. See "Infrastructure".
Definizione di “prestazioni accettabili” See "Infrastructure".
Modularità del sistema, in modo che sue diverse componenti possano essere installate in ambienti diversi. I server sono suddivisi in cluster per ottimizzare le prestazioni.
Ciascun servizio, poi, dove opportuno, è suddiviso in ulteriori server, preferibilmente in cluster diversi.
Backup (frequenza, tempi di conservazione, locazione) Vedere sopra.
Verifica e sanamento (dall’inglese sanitization) dei dati in ingresso a livello server, soprattutto quando ricevuti da fonti non sicure come il web (per esempio, se è prevista una data, il sistema verifica che si tratti di una data e non di altri caratteri; se sono previsti input di un certo numero di caratteri, il sistema verifica che la loro lunghezza non sia eccedente). Developed in-house:
-input tutti validati (Rocket Newsletter è stato anche oggetto di VA), anche oggetto di check list di sviluppo
-WAF di Plesk attivo per RocketWeb (e quindi Rocket Newsletter).
Filtri quando si modificano i dati, per esempio con messaggi “sei sicuro di voler modificare” o con richiesta di validazione da altri utenti. A seconda delle criticità dell'operazione, per confermarla sono attivi i seguenti meccanismi:
-modifiche reversibili, che quindi non richiedono conferma;
-richiesta conferma per modifiche non reversibili non impattanti (p.e. cancellazione ticket);
-richiesta conferma email per modifiche non reversibili impattanti (p.e. cancellazione VM);
-richiesta di conferma con ulteriori dati di input, in alternativa al precedente.
Limitazione delle possibilità di ricerca, in modo che un utente non possa visualizzare dati a cui non è autorizzato. No for the type of service.
Dati a video e stampati senza informazioni riservate o per le quali l’utente non ha le autorizzazioni ad accedere. No for the type of service.
Possibility of anonymization or pseudonymization of data No for the type of service.
Tipo di messaggi e di avvisi lanciati dal sistema che forniscano sufficienti informazioni al personale autorizzato, ma non forniscano informazioni a malintenzionati (per esempio, fornendo troppi dettagli sul tipo di errore quando si inseriscono credenziali sbagliate). Yes.
Esempio: messaggi di errori e di conferma per password errate e per cambio password.
Sistemi di cancellazione automatica dei dati, o di avviso, quando hanno superato il tempo di conservazione previsto (retention time). Le informazioni sono dell'utente che quindi decide autonomamente se cancellarle.
Data deletion methods A conclusione del servizio, è cancellata la singola istanza (senza cifratura).
Garanzia della gestione delle vulnerabilità riscontrate e del patching (il produttore deve garantire un servizio di avviso e di invio delle correzioni). I servizi erogati sono in cloud e pertanto CoreTech aggiorna i pacchetti a seconda delle specifiche del fornitore.

DOCUMENT

Document information

Document title: SLA_services
Document version: V. 2
Date of last adjustment: 04/11/2021

Certifications CoreTech

Certification
ISO 9001:2015

Management and quality
 

Certification
ISO/IEC 27001:2017

Management of data and security information

Compliance
ISO/IEC 27017:2015

Security management
for Cloud Providers

Compliance
ISO/IEC 27018:2019

Management of personal data
in Cloud

Compliance
ISO/IEC 27701:2019

Information management
on Privacy

Code of Conduct
CISPE

Data protection