SLA is the acronym for Service Level Agreement, a contractual tool with which the service metrics that must be respected by the service provider (Cloud Provider) towards its clients are defined.
Specifically, the SLA relating to the service contract offered by CoreTech refers to:
In the diagrams we can distinguish the difference between IaaS and SaaS systems and the differences in responsibility for CoreTech as a cloud provider and for the client.
For IaaS services, CoreTech manages and is responsible for: Network, Storage, Servers and Virtualization. The client is instead responsible for: Operating System and all of the above installed.
For SaaS services, CoreTech manages and is responsible for the entire stack, from the Network to the Application. The client, on the other hand, is responsible for his own data and for the security inherent in the custody of the same and for the authentication parameters for the service.
By its nature, SaaS services having N additional levels compared to IaaS services, are subject to potential greater disruptions due to the components overlying the architecture, such as the operating system and installed applications.
For these reasons, the SLAs of services related to IaaS are generally higher than those related to SaaS services.
The following SLAs serve the purpose of giving indications on the levels of service that systems hosted in the CoreTech cloud can have. The servers hosted in the CoreTech cloud have the same network infrastructure, hardware and software as the systems whose service levels are shown on this page.
La gestione, la cura, il monitoraggio e la tempestività nella gestione dei server dei clienti rimane a carico del cliente e non di CoreTech, salvo diversamente concordato attraverso appositi servizi opzionali.
Therefore CoreTech with the publication of the following service levels guarantees that the network infrastructure is able to maintain high levels of SLAs and therefore minimum disruptions, but does not guarantee that the server of each customer can have the same SLAs, as it is only the customer is responsible for managing the servers for problems that go beyond the CoreTech cloud architecture.
| October | Las 60 days |
| 99,986% | 99,951% |
| Best | Worst |
| 99,998% | 99,888% |
| October | Las 60 days |
| 99,975% | 99,869% |
| Best | Worst |
| 99,993% | 99,759% |
The monitoring probes are located in another data center on an external network.
The systems indicated in the example are monitored constantly every 60 seconds.
The indicated SLAs are calculated from the average of the SLAs of the individual servers for each system considered.
For the indicated SLAs, the times of unreachability of services due to scheduled activities, such as reboots of operating systems or software updates, were not deducted. The monitoring probes refer to HTTP / HTTPS access and not to the simple PING of the system (which only determines its reachability).
It means periods of one or more minutes of disruption.
Partial minutes or intermittent outages for a period of less than one minute are not counted as outages.
Suspensions, technical assistance and maintenance as per contract art 16 and art 34 are not considered disservice.
Maintenance is indicated in advance on the page System Status
It means the total number of minutes in a month, minus the total number of minutes of outage in a month, divided by the total number of minutes in a month.
Inefficiencies are calculated on a monthly basis.
Example:
Calculate UpTime:
| Uptime | Downtime by month |
| 100% | 0m |
| 99.999% | 0.4m |
| 99.99% | 4m |
| 99.9% | 43m |
| 99.8% | 1h 26m |
| 99.7% | 2h 10m |
| 99.6% | 2h 53m |
| 99.5% | 3h 36m |
| 99.4% | 4h 19m |
| 99.3% | 5h 2m |
| 99.2% | 5h 46m |
| 99.1% | 6h 29m |
| 99.0% | 7h 12m |
In case of disservice beyond the terms of the SLAs guaranteed in one month, the client is entitled to a service credit as the only and exclusive form of reimbursement. The client cannot unilaterally interrupt the payment of the monthly fees applicable to the service which is the subject of a complaint about disservice.
In case of disservice beyond the terms of the SLAs guaranteed in one month, the client is entitled to a service credit as the only and exclusive form of reimbursement.
To receive any refund request relating to the unexpected event, the client must notify CoreTech by opening a ticket to Technical Support within 7 days of detecting the event. Simultaneously with the opening of the reports to the support, the client must provide the server log files from which the loss of connectivity to the outside can be verified with the date and time in which such errors occurred, including by way of example the description details of the problem encountered, the number and users affected by the problem (if applicable), the description of the attempts made to resolve the unexpected event when it occurred.
If this information is not provided, the client waives the right to receive a refund credit.
With respect to a complaint related to Cloud services, CoreTech will evaluate all information reasonably in its possession such as logs and logs of its systems, reports of the monitoring systems or other information. At the end of the checks, no later than 20 days, it will determine in good faith whether the client is entitled to a Service Credit.
If the company (end-client) has purchased a service from a partner, the Service Credit will have to receive it directly from the reseller and the reseller will receive the credit directly from CoreTech.
| IaaS | |
| <99,95% (21m 54s) = 10% | |
| <99,85% (1h 5m 44s) = 20% | |
| <99,00% (7h 18m 17s) = 50% | |
| SaaS | |
| <99,8% (1h 26m) = 10% | |
| <99,5% (3h 36m) = 20% | |
| <99,00% (7h 18m 17s) = 50% | |
Example:
SLA <99,95%
That is, over 21 minutes of disruption
Refund Credit 10% of the service = 10 Euros
Recognizing 10% of the service value as a refund means recognizing the client a multiple of the value of the downtime of the service itself, for example, 10 Euros correspond to 4329 minutes of service. So a client who has an outage of 23 minutes, i.e. 1 minute longer than the minimum SLA level (99.95%), will receive a credit corresponding to 4329 times the price paid for the service per minute.
Version 3 dated 05/09/2024
| Description | |
| Remote cloud backup service
Link |
|
| Roles and responsibilities | |
|
CoreTech acts as Manager or Sub Responsible for all treatments, while it is the owner of customer contact data only.
With regards to compliance and data security, CoreTech and the customer are both responsible albeit on different fronts. Link |
|
| CoreTech Responsibilities | |
|
Daily check of the status of 1Backup servers and storage. Keep systems updated with the most stable and secure software versions released by the manufacturer.
Monitor servers to ensure continuity of service. |
|
| Customer Responsibility | |
|
Check the outcome of the backups daily. Adequately configure the backup jobs and related retention according to your needs. Carry out a restore test at least monthly/bimonthly.
Impostare delle password di accesso al servizio complesse. Custodire con cura i dati di accesso degli agenti di Backup e limitarne la divulgazione. Custodire con cura la password di cifratura dei dati se diversa da quella usata per l’agente di Backup. Inform CoreTech promptly of any anomalies that may lead to a data security problem. Intervene promptly in the event of reports from CoreTech on problems relating to the service. |
|
| Datacenter | |
|
TIER4 - It is the highest level of guarantee that a data centre can offer, with 99.9% availability. Identifies a data centre that is completely redundant in terms of electrical circuits, cooling and network. This indicator refers to an architecture that allows you to deal with serious technical incidents without ever interrupting server availability.
Link |
|
| Geographic location | European Union |
| Etichettatura | |
| Il software non offre livelli standard di classificazione delle informazioni. Il cliente può comunque apporre etichette ed, eventualmente, un livello di classificazione, tramite il nome macchina o creare gruppo idoneo per privacy. | |
| Funzionalità presenti sul Pannello di Controllo | |
| 1Backup ha 2 pannelli di controllo utilizzabili. Uno Dedicato e uno su Sygma. Il cliente è autonomo fino alla chiusura del suo account Amministrativo associata all'istanza (account Reseller). La cancellazione dell'agente non comporta disdetta del servizio. Una volta richiesta la Cancellazione dell'agente arriva mail con tracciatura. | |
| Admin Panel | L'utente può scegliere gli algoritmi e la lughezza delle chiavi di cifratura del backup. L'utente può scegliere su quali dati eseguire il backup, schedularne la frequenza e destinazione. L'utente è autonomo nell'impostare le proprie politiche di Retention. La password dell'utente Admin e degli agent devono rispettare criteri mimini di sicurezza. Presenta il numero ed esito dei backup, numero ed esito dei restore, modifiche e cancellazione backup set e dati. |
| SLA | |
|
Monthly SLA 99,8% (1h 26m) Ordinary and extraordinary maintenance activities reported on the site 24 hours in advance are excluded (except for emergencies related to safety problems that require our immediate intervention) |
|
| Penalties | |
|
SLA SaaS <99,8% (1h 26m) = 10% <99,5% (3h 36) = 20% <99,00% (7h 18m 17s) = 50% for more information visit the site https://www.coretech.it/it/service/systemStatus/SLA_servizi.php |
|
| Backup | |
|
The service is offered with 1 replicated storage (Backup Set) The Backup Set is replicated on Cloud Storage S3 - located in a Data Center outside Italy in a European Union country. The user is autonomous in setting his own retention policies and verifying their outcome through monitoring. |
|
| Problem Tolerance | |
| Multiple Servers |
The servers that provide the 1Backup service are different. These servers are virtual machines residing on Vmware clusters consisting of 3 physical nodes. The customer should take care to allocate the Backup agents on different servers. The Backup Servers benefit from the Stellar infrastructure. Stellar site |
| Configuration Storage Raid6 | The disk configuration of the backup destination storage is RAID6. The storage on which the data backups reside has dual power supplies and dual network connectivity. The disk controller is double. |
| Disaster Recovery | Backup set to another Datacenter in S3 mode |
| Support | |
| Support Page - Link | |
| Access to Data | |
|
Available and web interface or specific client software.
The customer is the only one who has the passwords to access the archive boxes. CoreTech cannot access the data as it is encrypted. |
|
| Contract Cancellation / Closure | |
|
The user is autonomous in the cancellation of their data. If not canceled, CoreTech will cancel them after 30 days from the cancellation of the service. To request cancellation of the service, you must send via pec coretech@pec.coretech.it within 30 days from the automatic renewal of the service. |
|
| Portability | |
| The data can only be exported using Restore by the customer. | |
| Assistance process for the satisfaction of the rights of interested parties | |
| Data Processing Agreement (DPA) - Link page | |
| How personal data breaches are handled | |
| Data Processing Agreement (DPA) - Link page | |
| Raccolta Prove | |
| If the customer needs to collect evidence or request assistance, he can send the request to the email address ufficio@coretech.it, in the event that the assistance requested is not the responsibility of support or for other reasons, he can contact the Privacy contact person at email privacy@coretech.it. | |
| User Manual Link | |
|
Support page - Link
Product page - Link |
|
| FAQ | |
|
Faq - Link
Terms and conditions - Link |
|
| Security measures | |
|
Pagina Data Processing Agreement (DPA) Link |
|
| User Management | Per gli utenti dei clienti, è possibile gestire gli utenti di Sygma. |
| Personal userids for users | Per i clienti, è possibile creare utenti con userid personali. |
| Livello di dettaglio con cui si possono impostare i diritti di accesso ai sistemi (singola funzionalità, singola transazione, eccetera). | Con pannello admin si stabiliscono in autonomia gli utenti che possono accedere, le autorizzazioni e i metodi di autenticazione (inclusa lunghezza e complessità delle password). |
| Verifica delle autorizzazioni per accedere o visualizzare le elaborazioni. |
I clienti possono visualizzare gli utenti e le autorizzazioni dai pannelli di controllo dei singoli servizi acquistati (incluso Sygma). CoreTech può visualizzare gli utenti AdS verificando i singoli sistemi. |
| Opzione cambia la password al primo utilizzo. |
Serve quando si inserisce un nuovo utente o quando la password è modificata dagli amministratori di sistema (per esempio se l'utente l'ha dimenticata). Per gli utenti Sygma: - in caso di creazione dell'utenza, il cambio della password è obbligatorio; per il reset password, l'utente avvia la procedura in autonomia. Per i servizi, sono assegnate user-id e password di amministrazione ai clienti, che la gestiscono in autonomia. |
| Changing the password by the user |
Per i clienti: per il reset password, l'utente avvia la procedura di Sygma in autonomia. Per gli AdS interni, le password sono gestite tramite Sygma. |
| Password nascosta nel campo dove inserire la password. | Yes |
| Bloccare l’utenza |
Possibilità di bloccare l’utenza dopo un certo numero di tentativi errati di inserimento della password (da non applicare a tutti gli amministratori di sistema perché, in caso di attacco, nessuno potrebbe più accedere al sistema). Su Sygma è abilitato l'invio dell'email ad ogni tentativo sbagliato. Inoltre, dopo un certo numero di tentativi, si avvia una procedura di rallentamento. Per gli AdS di CoreTech, è usato Sygma. I virtualizzatori bloccano per 5 minuti le utenze dopo 5 tentativi falliti. Però al momento non sono lanciati allarmi. |
| Modalità di recupero delle password di amministrazione. | È possibile contattare l'assistenza di CoreTech. |
| Possibilità di assegnazione a più utenti dei poteri di amministrazione, anche su singole parti del sistema. | Yes |
| Personalizzazione delle credenziali per gli amministratori di sistema (e userid personali). | Yes |
| Disabling default userids. | Yes |
| Controllo automatico delle caratteristiche delle password in modo che gli utenti non le scelgano banali. | Si, Controllo automatico delle caratteristiche delle password in modo che gli utenti non le scelgano banali: complessità (devono essere presenti lettere e numeri; oppure lettere minuscole, lettere maiuscole e numeri e caratteri speciali), lunghezza (minimo 8 caratteri), scadenza (affinché siano cambiate almeno ogni 3 mesi), blocco in caso di inattività dell’utente (dopo non più di 6 mesi), non ripetibilità delle ultime 5 o 10 password. |
| Controllo automatico delle caratteristiche delle password; p.e. password non nel dizionario | Si, Controllo automatico della non banalità delle password; p.e. password non nel dizionario, non una variazione della user-id come Cesare1970, non una variazione del nome dell’applicazione come Oracle70, non una password popolare come 12345678 (queste regole sono considerate alternative e più sicure di quelle relative alla complessità descritta sopra). |
| Disponibilità di strumenti di MFA. | Available at the administrator's discretion. |
| Messaggi di errore di autenticazione che non specificano dettagli (dicono solo, p.e., "credenziali non corrette"). | Yes |
| Configurazione affinché gli utenti siano sconnessi dopo 5 o 10 o più minuti di inattività. | Dipende dal sistema. |
| Configurazione affinché gli utenti non possano connettersi in specifici orari o da alcuni Paesi. | No |
| Modalità di interfacciamento con altri programmi o con l’utente che preveda connessioni cifrate, scambio di certificati digitali, autenticazione reciproca senza utenze di amministrazione o generiche. | In alcuni casi, sono usate credenziali di servizio, ma con controllo dell'IP di origine. |
| Encrypted data storage. | Unencrypted data. |
| Encrypted data transmission | All connections are encrypted. |
| Meccanismi di firma o logging se devono essere garantiti certi livelli di non ripudiabilità delle attività. | In alcuni casi, sono usate credenziali di servizio, ma con controllo dell'IP di origine. |
| Meccanismi Crittografici | L'algoritmo usato per crittografare i file è l'AES a 256-bit. Le comunicazioni con il server 1Backup sono su SSL a 128-bit. |
| Accesso alla chiavi crittografiche limitato ai soli amministratori di sistema o solo a processi interni del software. |
Internamente, le chiavi private sono usate con i certificati e i certificati sono modificabili solo dagli AdS. I clienti gestiscono i certificati: - in autonomia per i servizi che lo prevedono; - attraverso gli AdS di CoreTech per altri servizi (p.e. email). |
| Chiavi crittografiche generate secondo metodi sicuri, partendo da seed generati casualmente. | External certificates used. |
| Disponibilità di log applicativi e log delle attività degli amministratori di sistema. | Log applicativi dipendono dall'applicazione. |
| User logs | Vedere sopra. |
| Meccanismi per garantire la sicurezza dei log. | Sicurezza assicurata dall'applicazione. |
| Meccanismi per stabilire la durata della conservazione dei log. | Set 6 months. |
| Modalità di collegamento del sistema ai sistemi di monitoraggio già in uso. | See "Infrastructure". |
| Clock sincronizzabile con un NTP server. | See "Infrastructure". |
| Definition of acceptable performance | See "Infrastructure". |
| Modularità del sistema, in modo che sue diverse componenti possano essere installate in ambienti diversi. | I server sono suddivisi in cluster per ottimizzare le prestazioni. Ciascun servizio, poi, dove opportuno, è suddiviso in ulteriori server, preferibilmente in cluster diversi. |
| Backup (frequenza, tempi di conservazione, locazione) | Vedere sopra. |
| Verifica e sanamento dei dati in ingresso a livello server, soprattutto quando ricevuti da fonti non sicure come il web (per esempio, se è prevista una data, il sistema verifica che si tratti di una data e non di altri caratteri; se sono previsti input di un certo numero di caratteri, il sistema verifica che la loro lunghezza non sia eccedente). | Pacchetto, gestito o tramite la propria interfaccia o tramite interfaccia Sygma (vedere sotto). |
| Filtri quando si modificano i dati, per esempio con messaggi “sei sicuro di voler modificare” o con richiesta di validazione da altri utenti. |
A seconda delle criticità dell'operazione, per confermarla sono attivi i seguenti meccanismi: - modifiche reversibili, che quindi non richiedono conferma; - richiesta conferma per modifiche non reversibili non impattanti (p.e. cancellazione ticket); - richiesta conferma email per modifiche non reversibili impattanti (p.e. cancellazione VM); - richiesta di conferma con ulteriori dati di input, in alternativa al precedente. |
| Limitazione delle possibilità di ricerca, in modo che un utente non possa visualizzare dati a cui non è autorizzato. | N/A |
| Dati a video e stampati senza informazioni riservate o per le quali l’utente non ha le autorizzazioni ad accedere. | N/A |
| Possibility of anonymization or pseudonymization of data | N/A |
| Tipo di messaggi e di avvisi lanciati dal sistema che forniscano sufficienti informazioni al personale autorizzato, ma non forniscano informazioni a malintenzionati (per esempio, fornendo troppi dettagli sul tipo di errore quando si inseriscono credenziali sbagliate). | Sì. Esempio: messaggi di errori e di conferma per password errate e per cambio password. |
| Sistemi di cancellazione automatica dei dati, o di avviso, quando hanno superato il tempo di conservazione previsto (retention time). | Responsible for customers |
| Data deletion methods | I backup sono cifrati. |
| Garanzia della gestione delle vulnerabilità riscontrate e del patching (il produttore deve garantire un servizio di avviso e di invio delle correzioni). | I servizi erogati sono in cloud e pertanto CoreTech aggiorna i pacchetti a seconda delle specifiche del fornitore. |
Version 3 dated 05/09/2024
| Description | |
|
Archiving of e-mail in the cloud. The software generates 1: 1 copies of all emails in a central repository and ensures the long-term availability of large amounts of data to assist with regulatory compliance. Product Page |
|
| Roles and responsibilities | |
|
CoreTech acts as Manager or Sub. Responsible for all processing, while it is the owner only for the customer contact details.
With regards to compliance and data security, both CoreTech and the customer are both responsible albeit on different fronts. Link |
|
| CoreTech Responsibilities |
Daily check of the status of Mail Archive servers and storage.
Keep systems updated with the most stable and secure software versions released by the manufacturer. Monitor servers to ensure continuity of service. Daily backup control to ensure data integrity. |
| Customer Responsibility |
Controllare l'esito dell'archiviazione in base alle esigenze o tempistiche impostate. Configurare adeguatamente i job di archiviazione. Effettuare una prova di restore almeno con frequenza mensile/bimestrale.
Set complex service access passwords. Carefully guard the access data to the archive boxes and limit their disclosure. Inform CoreTech promptly in case of anomalies that could lead to a data security problem. Intervene promptly in the event of reports from CoreTech on problems relating to the service. |
| Datacenter | |
| TIER4 - It is the highest level of guarantee that a data center can offer, with 99.9% availability. Identifies a data center that is completely redundant in terms of electrical circuits, cooling and network. This indicator refers to an architecture that allows you to deal with serious technical incidents without ever interrupting server availability.
Link | |
| Geographic location | European Union |
| Etichettatura | |
|
È possibile etichettare i dati trattati su Mail Archive quando si crea archiviazione della casella di posta e si imposta un nome profico per quell'archivio. nominadolo come più utile. |
|
| Funzionalità presenti sul Pannello di Controllo: | |
|
Interfaccia da Sygma o Client Admin sul server o pc stesso. Pieno controllo tramite la dashboard del App. Visualizzazione completa su Sygma. Customer portal permette di far visualizzare al cliente. Autonomia fino alla chiusura del suo account Master o istanza associata al partner. Dove è necessaria richiesta di disdetta servizio. Cancellazione del profilo di archiviazione - arriva mail di richiesta cancellazione a Commerciale che procede manualmente. |
|
| Admin Panel |
- Con pannello admin si stabiliscono in autonomia gli utenti che possono accedere ai profili di archiviazione, le autorizzazioni e i metodi di autenticazione (già presente lunghezza e complessità delle password). - a Password dell'utente Admin e gli agent devono rispettare criteri mimini di sicurezza |
| SLA | |
|
Monthly SaaS 99,8% (1h 26m) Ordinary and extraordinary maintenance activities reported on the site 24 hours in advance are excluded. (except for emergencies related to safety problems that require our immediate intervention) |
|
| Penalties | |
|
SLA SaaS <99,8% (1h 26m) = 10% <99,5% (3h 36) = 20% <99,00% (7h 18m 17s) = 50% for more information visit the site https://www.coretech.it/it/service/systemStatus/SLA_servizi.php |
|
| Backup | |
|
The Mailarchive service includes the Backup service replicated on Cloud Storage S3. Backup is done using the 1Backup service |
|
| Data Backup | Daily - 60 day retention - 1Backup encryption. |
| VM backup of the server | Daily night - 3 day retention. |
| Restore | By request to customer support who will restore what is requested. |
| Geographical replication | The Backup is replicated on Cloud Storage S3 - located in a DataCenter outside Italy in a country of the European Union. |
| Problem Tolerance | |
| Multiple Servers | The servers that provide the Mailarchive storage service are different and multiple. These servers are virtual machines residing on Vmware clusters consisting of 3 physical nodes. The customer should take care to allocate mail storage domains on different storage servers. MailArchive Servers benefit from the Stellar infrastructure. Stellar site |
| Disaster Recovery | Replicated data and backup set on another Datacenter. |
| Configuration Storage Raid6 | The disk configuration of the backup destination storage is in RAID6. The storage on which the data backups reside has double power supply and double network connectivity and the disk controller is double. |
| Support | |
| Support Page - Link | |
| Access to Data | |
| Available and web interface or specific client software. The customer is the only one who has the passwords to access the archive boxes. CoreTech cannot access the data as it is encrypted | |
| Contract Cancellation / Closure | |
| The data is deleted after 30 days from the termination of the service. | |
| Portability | |
| Independently by exporting the mail pst file. | |
| Assistance process for the satisfaction of the rights of interested parties | |
| Link | |
| How personal data breaches are handled | |
| Link | |
| Assistance process for the satisfaction of the rights of interested parties | |
| Link | |
| Raccolta Prove | |
| If the customer needs to collect evidence or request assistance, he can send the request to the email address ufficio@coretech.it, in the event that the assistance requested is not the responsibility of support or for other reasons, he can contact the Privacy contact person at email privacy@coretech.it. | |
| User Manual Link | |
|
Cloud Email Archiving - Link
KB User Access - Link |
|
| FAQ | |
| Faq - Link | |
| Security measures | |
| Data Processing Agreement (DPA) - Link page | |
| User Management | Per gli utenti dei clienti, è possibile gestire gli utenti di Sygma. |
| Personal userids for users | Per i clienti, è possibile creare utenti con userid personali. |
| Livello di dettaglio con cui si possono impostare i diritti di accesso ai sistemi (singola funzionalità, singola transazione, eccetera). |
I clienti possono visualizzare gli utenti e le autorizzazioni dai pannelli di controllo dei singoli servizi acquistati (incluso Sygma).
CoreTech può visualizzare gli utenti AdS verificando i singoli sistemi. |
| Opzione "cambia la password al primo utilizzo" quando si inserisce un nuovo utente o quando la password è modificata dagli amministratori di sistema (per esempio se l'utente l'ha dimenticata). |
For Sygma users,
- in caso di creazione dell'utenza, il cambio della password è obbligatorio; - per il reset password, l'utente avvia la procedura in autonomia. Per i servizi, sono assegnate user-id e password di amministrazione ai clienti, che la gestiscono in autonomia. |
| Changing the password by the user |
Per i clienti: per il reset password, l'utente avvia la procedura di Sygma in autonomia. Per gli AdS interni, le password sono gestite tramite Sygma. |
| Password nascosta nel campo dove inserire la password. | Yes. |
| Possibilità di bloccare l’utenza dopo un certo numero di tentativi errati di inserimento della password (da non applicare a tutti gli amministratori di sistema perché, in caso di attacco, nessuno potrebbe più accedere al sistema). |
Su Sygma è abilitato l'invio dell'email ad ogni tentativo sbagliato. Inoltre, dopo un certo numero di tentativi, si avvia una procedura di rallentamento. Per gli AdS di CoreTech, è usato Sygma. I virtualizzatori bloccano per 5 minuti le utenze dopo 5 tentativi falliti. Però al momento non sono lanciati allarmi. |
| Modalità di recupero delle password di amministrazione. | È possibile contattare l'assistenza di CoreTech. |
| Possibilità di assegnazione a più utenti dei poteri di amministrazione, anche su singole parti del sistema | Yes. |
| Personalizzazione delle credenziali per gli amministratori di sistema (e userid personali) | Yes. |
| Disabling default userids | From Sygma |
| Controllo automatico delle caratteristiche delle password in modo che gli utenti non le scelgano banali: complessità (devono essere presenti lettere e numeri; oppure lettere minuscole, lettere maiuscole e numeri e caratteri speciali), lunghezza (minimo 8 caratteri), scadenza (affinché siano cambiate almeno ogni 3 mesi), blocco in caso di inattività dell’utente (dopo non più di 6 mesi), non ripetibilità delle ultime 5 o 10 password. | Sygma |
| Controllo automatico della non banalità delle password; p.e. password non nel dizionario, non una variazione della user-id come Cesare1970, non una variazione del nome dell’applicazione come Oracle70, non una password popolare come 12345678 (queste regole sono considerate alternative e più sicure di quelle relative alla complessità descritta sopra). | Sygma |
| Disponibilità di strumenti di MFA | Per gli AdS interni: Sì per Sygma. |
| Messaggi di errore di autenticazione che non specificano dettagli (dicono solo, p.e., "credenziali non corrette") | Yes |
| Configurazione affinché gli utenti siano sconnessi dopo 5 o 10 o più minuti di inattività. | Dipende dal sistema. |
| Configurazione affinché gli utenti non possano connettersi in specifici orari o da alcuni Paesi. | NO. |
| Modalità di interfacciamento con altri programmi o con l’utente che preveda connessioni cifrate, scambio di certificati digitali, autenticazione reciproca senza utenze di amministrazione o generiche. | In alcuni casi, sono usate credenziali di servizio, ma con controllo dell'IP di origine. |
| Encrypted data storage. | Unencrypted data. |
| Encrypted data transmission | All connections are encrypted. |
| Meccanismi di firma o logging se devono essere garantiti certi livelli di non ripudiabilità delle attività. | N/A |
| Meccanismi Crittografici | L'archivio è sempre cifrato con algoritmi stabiliti dal produttore del software Mailstore. Le comunicazioni sono su HTTPS con certificato valido. |
| Accesso alla chiavi crittografiche limitato ai soli amministratori di sistema o solo a processi interni del software. |
Internamente, le chiavi private sono usate con i certificati e i certificati sono modificabili solo dagli AdS. I clienti gestiscono i certificati: - in autonomia per i servizi che lo prevedono; - attraverso gli AdS di CoreTech per altri servizi (p.e. email). |
| Chiavi crittografiche generate secondo metodi sicuri, partendo da seed generati casualmente. | External certificates used. |
| Disponibilità di log applicativi e log delle attività degli amministratori di sistema. | Log applicativi dipendono dall'applicazione. |
| User logs | Vedere sopra. |
| Meccanismi per garantire la sicurezza dei log. | Sicurezza assicurata dall'applicazione. |
| Meccanismi per stabilire la durata della conservazione dei log. | Set 6 months. |
| Modalità di collegamento del sistema ai sistemi di monitoraggio già in uso. | See "Infrastructure". |
| Clock sincronizzabile con un NTP server. | See "Infrastructure". |
| Definizione di “prestazioni accettabili” | See "Infrastructure". |
| Modularità del sistema, in modo che sue diverse componenti possano essere installate in ambienti diversi. | I server sono suddivisi in cluster per ottimizzare le prestazioni. Ciascun servizio, poi, dove opportuno, è suddiviso in ulteriori server, preferibilmente in cluster diversi. |
| Backup (frequenza, tempi di conservazione, locazione) | Vedere sopra. |
| Verifica e sanamento (dall’inglese sanitization) dei dati in ingresso a livello server, soprattutto quando ricevuti da fonti non sicure come il web (per esempio, se è prevista una data, il sistema verifica che si tratti di una data e non di altri caratteri; se sono previsti input di un certo numero di caratteri, il sistema verifica che la loro lunghezza non sia eccedente). | Pacchetto, gestito o tramite la propria interfaccia o tramite interfaccia Sygma (vedere sotto). |
| Filtri quando si modificano i dati, per esempio con messaggi “sei sicuro di voler modificare” o con richiesta di validazione da altri utenti. |
A seconda delle criticità dell'operazione, per confermarla sono attivi i seguenti meccanismi: - modifiche reversibili, che quindi non richiedono conferma; - richiesta conferma per modifiche non reversibili non impattanti (p.e. cancellazione ticket); - richiesta conferma email per modifiche non reversibili impattanti (p.e. cancellazione VM); - richiesta di conferma con ulteriori dati di input, in alternativa al precedente. |
| Limitazione delle possibilità di ricerca, in modo che un utente non possa visualizzare dati a cui non è autorizzato. | N/A. Sono sempre e comunque attivi permessi differenziati su Sygma e sul sito CoreTech. |
| Dati a video e stampati senza informazioni riservate o per le quali l’utente non ha le autorizzazioni ad accedere. | N/A. Tutti i report sono controllati. Report interni con accesso a seconda delle mansioni di ciascuno. Report in particolare per i commerciali, con dati per reparto o per persona. Sono però impostati centralmente. |
| Possibility of anonymization or pseudonymization of data | Report with minimized data. |
| Tipo di messaggi e di avvisi lanciati dal sistema che forniscano sufficienti informazioni al personale autorizzato, ma non forniscano informazioni a malintenzionati (per esempio, fornendo troppi dettagli sul tipo di errore quando si inseriscono credenziali sbagliate). | Sì. Esempio: messaggi di errori e di conferma per password errate e per cambio password. |
| Sistemi di cancellazione automatica dei dati, o di avviso, quando hanno superato il tempo di conservazione previsto (retention time). | Dipende dalla configurazione stabilita dal cliente. |
| Data deletion methods | Il cliente non può cancellare le proprie email per le caratteristiche del servizi; a conclusione del servizio, è cancellata la singola istanza (senza cifratura; il file è comunque compresso e decuplicato). |
| Garanzia della gestione delle vulnerabilità riscontrate e del patching (il produttore deve garantire un servizio di avviso e di invio delle correzioni). | I servizi erogati sono in cloud e pertanto CoreTech aggiorna i pacchetti a seconda delle specifiche del fornitore. |
Version 3 dated 05/09/2024
| Description | |
|
Scalable Web Hosting Product Page |
|
| Roles and responsibilities | |
|
CoreTech acts as Manager or Sub Responsible for all treatments, while it is the owner of customer contact data only.
With regards to data compliance and security, both CoreTech and the customer are both responsible, albeit on different fronts. Link |
|
| Responsabilità CoreTech |
CoreTech acts as Manager or Sub Responsible for all treatments, while it is the owner of customer contact data only.
|
| CoreTech Responsibilities |
- Daily backup check. Backup retention is 35 days (5 weeks).
- Keep Web Hosting servers updated with the most stable and secure software versions released by the manufacturer. - Daily check regarding the update status of the integrated antivirus. - Tenere sotto monitoraggio il server web al fine di garantire la continuità di servizio. - Check the presence of any security-related anomalies that are highlighted through the system logs or alerts. - Inform the manufacturer of the software relating to the web servers if you become aware of flaws relating to the security of the system. - Disattivazione del servizio se a seguito di segnalazione da parte di altri service provider, il sito si sta comportando in modo anomalo (spam, phishing, contenuti inerenti al terrorismo, frode, sito hackerato). |
| Customer Responsibility |
- Set passwords for access to the Plesk management panel, the FTP site or the website management system (for example WordPress admin access) with a difficulty level compliant with the defined policies and password change according to the reference standards (e.g. ISO 27002 ).
- Carefully guard your Plesk, FTP and website access data and limit their disclosure. - Intervene promptly in the event of reports from CoreTech on problems relating to the security of its website. - Proceed to periodically update the elements relating to the security of your website (for example updating the WordPress version). - Make a personal backup of your website at least once a month. - Periodically check the integrated data restore functionality of your website. - Check weekly for any anomalies relating to the use of your website resources. - Informare tempistivamente CoreTech in caso di anomalie che possano determinare un problema di sicurezza dei dati. |
| Datacenter | |
|
TIER4 - It is the highest level of guarantee that a data centre can offer, with 99.9% availability. Identifies a data centre that is completely redundant in terms of electrical circuits, cooling and network. This indicator refers to an architecture that allows you to deal with serious technical incidents without ever interrupting server availability. catacenter |
|
| Geographic location | European Union |
| Etichettatura | |
|
Non sono previste funzionalità di etichettatura. È possibile nominare le cartelle nel modo ritenuto più utile. |
|
| Funzionalità presenti sul Pannello di Controllo: | |
|
- Interface from Plesk. - Reseller vede solo i suoi siti e utenti. - Autonomia fino alla chiusura del suo account Reseller. - Where necessary, request for cancellation of service. |
|
| Admin Panel |
- Abilitato in HTTPS. - Permette di impostatare i criteri di lunghezza e complessità delle password per chiunque accede al servizio. |
| SLA | |
|
Monthly SaaS 99,8% (1h 26m) Ordinary and extraordinary maintenance activities reported on the site 24 hours in advance are excluded. (except for emergencies related to safety problems that require our immediate intervention) |
|
| Penalties | |
|
SLA SaaS <99,8% (1h 26m) = 10% <99,5% (3h 36) = 20% <99,00% (7h 18m 17s) = 50% |
|
| Backup | |
|
The RocketWeb service includes Backup with replication on Cloud Storage S3 The Backup is done through Plesk and subsequently through the 1Backup service |
|
| Data Backup | Daily - 35 day retention - 1Backup encryption. |
| VM backup of the server | Daily night - 5 day retention. |
| Restore | By request to customer support who will restore what is requested. |
| Geographical replication | The Backup is replicated on Cloud Storage S3 (in the EU).) |
| Problem Tolerance | |
| Multiple Servers |
The servers that provide the service are different and multiple These servers are virtual machines residing on Vmware clusters consisting of 3 physical nodes The Services benefit from the Stellar infrastructure Stellar site |
| Configuration Storage Raid6 |
The disk configuration of the backup destination storage is in RAID6 The storage on which the data backups reside has dual power supplies, dual network connectivity and dual disk controllers |
| Disaster Recovery | Replicated data and backup sets on another Data Center. |
| Support | |
| Support Page - Link | |
| Access to Data | |
|
The customer has access data to the Plesk management panel and the site's FTP access data. In the case of Wordpress, the customer is the only one with access data to the administrative backend. Upon customer request, CoreTech can access the data contained in the site from the management panel or directly from the file system. |
|
| Contract Cancellation / Closure | |
| The data is deleted after 30 days from the cancellation of the service | |
| Portability | |
| It is possible via FTP access to extract all data including databases. | |
| Processo di assistenza per il soddisfacimento dei diritti degli interessati | |
| Data Processing Agreement (DPA) - Link page | |
| How personal data breaches are handled | |
| Data Processing Agreement (DPA) - Link page | |
| Raccolta Prove | |
|
If the customer needs to collect evidence or request assistance, he can send the request to the email address
supporto@coretech.it in case the requested assistance is not within the competence of the support or for other reasons he can contact the Privacy contact at email privacy@coretech.it |
|
| User Manual Link | |
| KB RocketWeb - Link | |
| Security measures | |
| Data Processing Agreement (DPA) - Link page | |
| User Management | Per gli utenti dei clienti, è possibile gestire gli utenti di Sygma. |
| Personal userids for users | Per i clienti, è possibile creare utenti con userid personali. |
| Livello di dettaglio con cui si possono impostare i diritti di accesso ai sistemi (singola funzionalità, singola transazione, eccetera). | Il cliente finale può richiedere (a pagamento) la creazione di più utenti FTP che possono accedere ad aree diverse del sito. |
| Verifica delle autorizzazioni per accedere o visualizzare le elaborazioni |
I clienti possono visualizzare gli utenti e le autorizzazioni dai pannelli di controllo dei singoli servizi acquistati (incluso Sygma). CoreTech può visualizzare gli utenti AdS verificando i singoli sistemi. |
| Opzione "cambia la password al primo utilizzo" quando si inserisce un nuovo utente o quando la password è modificata dagli amministratori di sistema (per esempio se l'utente l'ha dimenticata). |
For Sygma users, - in caso di creazione dell'utenza, il cambio della password è obbligatorio; - per il reset password, l'utente avvia la procedura in autonomia. Per i servizi, sono assegnate user-id e password di amministrazione ai clienti, che la gestiscono in autonomia. |
| Changing the password by the user |
Per i clienti: per il reset password, l'utente avvia la procedura di Sygma in autonomia. Per gli AdS interni, le password sono gestite tramite Sygma. |
| Password nascosta nel campo dove inserire la password | Yes. |
| Possibilità di bloccare l’utenza dopo un certo numero di tentativi errati di inserimento della password (da non applicare a tutti gli amministratori di sistema perché, in caso di attacco, nessuno potrebbe più accedere al sistema). |
Su Sygma è abilitato l'invio dell'email ad ogni tentativo sbagliato. Inoltre, dopo un certo numero di tentativi, si avvia una procedura di rallentamento. Per gli AdS di CoreTech, è usato Sygma. I virtualizzatori bloccano per 5 minuti le utenze dopo 5 tentativi falliti. Però al momento non sono lanciati allarmi. |
| Modalità di recupero delle password di amministrazione. | &EGrave; possibile contattare l'assistenza di CoreTech. |
| Possibilità di assegnazione a più utenti dei poteri di amministrazione, anche su singole parti del sistema. | Yes. |
| Personalizzazione delle credenziali per gli amministratori di sistema (e userid personali) | Yes. |
| Disabling default userids | From Sygma |
| Controllo automatico delle caratteristiche delle password in modo che gli utenti non le scelgano banali: complessità (devono essere presenti lettere e numeri; oppure lettere minuscole, lettere maiuscole e numeri e caratteri speciali), lunghezza (minimo 8 caratteri), scadenza (affinché siano cambiate almeno ogni 3 mesi), blocco in caso di inattività dell’utente (dopo non più di 6 mesi), non ripetibilità delle ultime 5 o 10 password. | From Sygma |
| Controllo automatico della non banalità delle password; p.e. password non nel dizionario, non una variazione della user-id come Cesare1970, non una variazione del nome dell’applicazione come Oracle70, non una password popolare come 12345678 (queste regole sono considerate alternative e più sicure di quelle relative alla complessità descritta sopra). | Sygma |
| Disponibilità di strumenti di MFA. | Per gli AdS interni: Sì per Sygma. |
| Messaggi di errore di autenticazione che non specificano dettagli (dicono solo, p.e., "credenziali non corrette"). | Yes. |
| Configurazione affinché gli utenti siano sconnessi dopo 5 o 10 o più minuti di inattività. | Dipende dal sistema. |
| Configurazione affinché gli utenti non possano connettersi in specifici orari o da alcuni Paesi. | NO. |
| Modalità di interfacciamento con altri programmi o con l’utente che preveda connessioni cifrate, scambio di certificati digitali, autenticazione reciproca senza utenze di amministrazione o generiche. | In alcuni casi, sono usate credenziali di servizio, ma con controllo dell'IP di origine. |
| Encrypted data storage. | Unencrypted data. |
| Encrypted data transmission | Tutte le connessioni sono cifrate. Certificati con Certum. |
| Meccanismi di firma o logging se devono essere garantiti certi livelli di non ripudiabilità delle attività. | N/A |
| Meccanismi Crittografici | I clienti possono abilitare l'https con propri certificati digitali. Coretech offre il servizio con Letsencrypt o con CA scelte dal cliente. Il server non è cifrato. |
| Accesso alla chiavi crittografiche limitato ai soli amministratori di sistema o solo a processi interni del software. |
Internamente, le chiavi private sono usate con i certificati e i certificati sono modificabili solo dagli AdS. I clienti gestiscono i certificati: - in autonomia per i servizi che lo prevedono; - attraverso gli AdS di CoreTech per altri servizi (p.e. email). |
| Chiavi crittografiche generate secondo metodi sicuri, partendo da seed generati casualmente. | External certificates used. |
| Disponibilità di log applicativi e log delle attività degli amministratori di sistema. | Log applicativi dipendono dall'applicazione. |
| User logs | Vedere sopra. |
| Meccanismi per garantire la sicurezza dei log. | Sicurezza assicurata dall'applicazione. |
| Meccanismi per stabilire la durata della conservazione dei log. | Set 6 months. |
| Modalità di collegamento del sistema ai sistemi di monitoraggio già in uso. | See "Infrastructure". |
| Clock sincronizzabile con un NTP server. | See "Infrastructure". |
| Definizione di “prestazioni accettabili” | See "Infrastructure". |
| Modularità del sistema, in modo che sue diverse componenti possano essere installate in ambienti diversi. | Dipende dal sistema. |
| Configurazione affinché gli utenti siano sconnessi dopo 5 o 10 o più minuti di inattività. |
I server sono suddivisi in cluster per ottimizzare le prestazioni. Ciascun servizio, poi, dove opportuno, è suddiviso in ulteriori server, preferibilmente in cluster diversi. Per Rocketweb, l'utilizzo di tecniche di distribuzione non è significativo perché è offerto a chi ha necessità limitate (per cose più complesse, si acquistano server IaaS per poi installare quanto necessario). |
| Backup (frequenza, tempi di conservazione, locazione) | Vedere sopra. |
| Verifica e sanamento (dall’inglese sanitization) dei dati in ingresso a livello server, soprattutto quando ricevuti da fonti non sicure come il web (per esempio, se è prevista una data, il sistema verifica che si tratti di una data e non di altri caratteri; se sono previsti input di un certo numero di caratteri, il sistema verifica che la loro lunghezza non sia eccedente). |
Pacchetto, gestito o tramite la propria interfaccia o tramite interfaccia Sygma (vedere sotto). Attivo: WAF di Plesk. |
| Filtri quando si modificano i dati, per esempio con messaggi “sei sicuro di voler modificare” o con richiesta di validazione da altri utenti. |
A seconda delle criticità dell'operazione, per confermarla sono attivi i seguenti meccanismi: - modifiche reversibili, che quindi non richiedono conferma; - richiesta conferma per modifiche non reversibili non impattanti (p.e. cancellazione ticket); - richiesta conferma email per modifiche non reversibili impattanti (p.e. cancellazione VM); - richiesta di conferma con ulteriori dati di input, in alternativa al precedente. |
| Limitazione delle possibilità di ricerca, in modo che un utente non possa visualizzare dati a cui non è autorizzato. | N/A |
| Dati a video e stampati senza informazioni riservate o per le quali l’utente non ha le autorizzazioni ad accedere. | N/A |
| Possibility of anonymization or pseudonymization of data | N/A |
| Tipo di messaggi e di avvisi lanciati dal sistema che forniscano sufficienti informazioni al personale autorizzato, ma non forniscano informazioni a malintenzionati (per esempio, fornendo troppi dettagli sul tipo di errore quando si inseriscono credenziali sbagliate). | Si. Esempio: messaggi di errori e di conferma per password errate e per cambio password. |
| Sistemi di cancellazione automatica dei dati, o di avviso, quando hanno superato il tempo di conservazione previsto (retention time). | N/A |
| Data deletion methods | A conclusione del servizio, è cancellata la singola istanza (senza cifratura). |
| Garanzia della gestione delle vulnerabilità riscontrate e del patching (il produttore deve garantire un servizio di avviso e di invio delle correzioni). | I servizi erogati sono in cloud e pertanto CoreTech aggiorna i pacchetti a seconda delle specifiche del fornitore. |
Version 3 dated 05/09/2024
| Description | |
|
E-mail service on a shared server Product Page |
|
| Roles and responsibilities | |
|
CoreTech acts as Administrator or Sub Responsible for all treatments, while it is the owner of client contact data only
With regards to data compliance and security, both CoreTech and the customer are both responsible, albeit on different fronts. Link |
|
| CoreTech Responsibilities |
-Daily backup check. Backup retention is 60 days.
-Daily check regarding the update status of the integrated antivirus. -Daily check regarding the presence of servers in the public Black Lists. -Keep email systems updated with the most stable and secure software versions released by the manufacturer. -Keep the mail server monitored in order to guarantee service continuity. -Check the presence of any security-related anomalies that are highlighted through the system logs or alerts. -Notify the customer if, by reading the mailserver logs, situations are highlighted that could endanger the email accounts and the data contained therein. -Inform the mailserver software manufacturer if you become aware of system security flaws. -Immediate password change, if the account has been hacked and is sending spam, delete all emails in the queue relating to the specific account (whether valid or spam). -Avviso al cliente per opportune verifiche e cambio password. - Upon customer request, availability to export mail archives on magnetic media or in exchange areas (activities to be quantified economically). |
| Customer Responsibility |
-Set passwords to access the mail service with a level of difficulty compliant with the defined policies and change password according to the reference standards (e.g. ISO 27002).
-Carefully guard mailbox access data and limit their disclosure. -Inform your users about the proper use of email in relation to security and the dangers of phishing and viruses. - Intervene promptly in the event of reports from CoreTech on problems relating to the mailbox. -Periodically make a backup of your mail archive on your own storage systems to have a copy of the archive in case you want to change supplier. -Avoid using mailboxes to make SPAM or send mass emails not authorized by recipients. -Promptly inform CoreTech in case of anomalies that could lead to a data security problem. -Evaluate the frequency or event for changing passwords in your company procedures. |
| Datacenter | |
| TIER4 - This is the highest level of assurance a datacenter can offer, with 99.9% availability. Identify a catacenter completely redundant in terms of electrical, cooling and network circuits. This indicator refers to an architecture that allows you to cope with serious technical incidents without ever interrupting the availability of servers. | |
| Geographic location | European Union |
| Etichettatura | |
| Kerio |
Kerio: Sulla Webmail è possibile utilizzare il contrassegno come etichettatura.
SmarterMail: È possibile utilizzare software di posta elettronica più consoni al proprio utilizzo |
| Funzionalità presenti sul Pannello di Controllo: | |
|
Interfaccia da Sygma, Kerio ha il suo Pannello Controllo di Gestione e Uguale SmarterMail.
Controllo tramite la dashboard di Sygma, per quanto non previsto gestione autonoma tramite pannelli controllo del prodotto. Autonomia fino alla chiusura del suo account Master, arriva mail di richiesta conferma (soggetto comunque alla disdetta servizio per non continuare a pagare). Cancellazione arriva mail con tracciatura con richiesta conferma. |
|
| Admin Panel |
Vedi sopra.
La password sono già impostate con requisiti di complessità delle password per tutti gli utenti e utilizzatori dei servizi . |
| SLA | |
|
Monthly SaaS 99,8% (1h 26m) Ordinary and extraordinary maintenance activities reported on the site 24 hours in advance are excluded. (except for emergencies related to safety problems that require our immediate intervention) |
|
| Penalties | |
|
SLA SaaS <99,8% (1h 26m) = 10% <99,5% (3h 36) = 20% <99,00% (7h 18m 17s) = 50% |
|
| Backup | |
|
the e-mail service includes the backup service replicated on Cloud Storage S3 Backup is done using the 1Backup service |
|
| Data Backup | Daily - 60 day retention - 1Backup encryption |
| VM backup of the server | Daily night - 5 day retention |
| Restore | By request to customer support who will restore what is requested |
| Geographical replication | The Backup is replicated on Cloud Storage S3 - The replica is located in a second Data Center located within the European Union (not in Italy) |
| Problem Tolerance | |
| Multiple Servers |
The servers that provide the service are different and multiple These servers are virtual machines residing on Vmware clusters consisting of 3 physical nodes Sygma Servers benefit from the Stellar infrastructure Stellar site |
| Configuration Storage Raid6 |
The disk configuration of the backup destination storage is in RAID6 The storage on which the data backups reside has dual power supplies, dual network connectivity and dual disk controllers |
| Disaster Recovery |
Replicated data and backup sets on another Data Center. |
| Support | |
| Support Page - Link | |
| Access to Data | |
|
The customer in possession of the access data to the service can access the data only via webmail or mail client The customer is the only one who has the passwords to access the mailboxes CoreTech, upon customer request, can access data via file system |
|
| Contract Closure/Data Cancellation | |
| The data is deleted after 30 days from the cancellation of the service | |
| Portability | |
| Autonomous export to PST of all mail, with any mail client o At the customer's request, willingness to export mail archives on magnetic supports or in interchange areas (activity to be quantified economically) | |
| Processo di assistenza per il soddisfacimento dei diritti degli interessati | |
| Data Processing Agreement (DPA) - Link page | |
| How personal data breaches are handled | |
| Data Processing Agreement (DPA) - Link page | |
| Raccolta Prove | |
|
If the customer needs to collect evidence or request assistance, he can send the request to the email address
supporto@coretech.it
in case the requested assistance is not within the competence of the support or for other reasons he can contact the Privacy contact at email privacy@coretech.it |
|
| User Manual Link | |
|
KB Kerio Connect Cloud Link
KB RocketMail Link |
|
| Security measures | |
| Data Processing Agreement (DPA) - Link page | |
| User Management | Per gli utenti dei clienti, è possibile gestire gli utenti di Sygma. |
| Personal userids for users | Per i clienti, è possibile creare utenti con userid personali. |
| Livello di dettaglio con cui si possono impostare i diritti di accesso ai sistemi (singola funzionalità, singola transazione, eccetera) | Interfaccia da Sygma. Kerio e SmarterMail hanno il loro pannello di controllo. |
| Verifica delle autorizzazioni per accedere o visualizzare le elaborazioni. |
I clienti possono visualizzare gli utenti e le autorizzazioni dai pannelli di controllo dei singoli servizi acquistati (incluso Sygma).
CoreTech può visualizzare gli utenti AdS verificando i singoli sistemi. |
| Opzione "cambia la password al primo utilizzo" quando si inserisce un nuovo utente o quando la password è modificata dagli amministratori di sistema (per esempio se l'utente l'ha dimenticata). |
For Sygma users: - in caso di creazione dell'utenza, il cambio della password è obbligatorio; - per il reset password, l'utente avvia la procedura in autonomia. Per i servizi, sono assegnate user-id e password di amministrazione ai clienti, che la gestiscono in autonomia. |
| Changing the password by the user |
Per i clienti: per il reset password, l'utente avvia la procedura di Sygma in autonomia.
Per gli AdS interni, le password sono gestite tramite Sygma. |
| Password nascosta nel campo dove inserire la password | Yes. |
| Possibilità di bloccare l’utenza dopo un certo numero di tentativi errati di inserimento della password (da non applicare a tutti gli amministratori di sistema perché, in caso di attacco, nessuno potrebbe più accedere al sistema) |
Su Sygma è abilitato l'invio dell'email ad ogni tentativo sbagliato.
Inoltre, dopo un certo numero di tentativi, si avvia una procedura di rallentamento. Per gli AdS di CoreTech, è usato Sygma. I virtualizzatori bloccano per 5 minuti le utenze dopo 5 tentativi falliti. Però al momento non sono lanciati allarmi. Per l'email, viene bloccato l'IP di origine dopo 5 tentativi errati di accesso. |
| Modalità di recupero delle password di amministrazione | È possibile contattare l'assistenza di CoreTech. |
| Possibilità di assegnazione a più utenti dei poteri di amministrazione, anche su singole parti del sistema | Yes. |
| Personalizzazione delle credenziali per gli amministratori di sistema (e userid personali) | Yes. |
| Disabling default userids | Custom user-id. |
| Controllo automatico delle caratteristiche delle password in modo che gli utenti non le scelgano banali: complessità (devono essere presenti lettere e numeri; oppure lettere minuscole, lettere maiuscole e numeri e caratteri speciali), lunghezza (minimo 8 caratteri), scadenza (affinché siano cambiate almeno ogni 3 mesi), blocco in caso di inattività dell’utente (dopo non più di 6 mesi), non ripetibilità delle ultime 5 o 10 password. | Sygma. |
| Controllo automatico della non banalità delle password; p.e. password non nel dizionario, non una variazione della user-id come Cesare1970, non una variazione del nome dell’applicazione come Oracle70, non una password popolare come 12345678 (queste regole sono considerate alternative e più sicure di quelle relative alla complessità descritta sopra). | Sygma. |
| Disponibilità di strumenti di MFA. |
Per gli AdS interni: Sì per Sygma;
For the user's mailbox: - per Smartermail, disponibile a discrezione dell'amministratore; - per Kerio, c'è la funzionalità, ma potrà essere messa a disposizione dopo alcune verifiche di accessibilità e usabilità; - per KerioConnect, c'è la funzionalità, ma potrà essere messa a disposizione dopo alcune verifiche di accessibilità e usabilità. |
| Messaggi di errore di autenticazione che non specificano dettagli (dicono solo, p.e., "credenziali non corrette"). | Yes. |
| Configurazione affinché gli utenti siano sconnessi dopo 5 o 10 o più minuti di inattività. | Dipende dal sistema. |
| Configurazione affinché gli utenti non possano connettersi in specifici orari o da alcuni Paesi. | NO. |
| Modalità di interfacciamento con altri programmi o con l’utente che preveda connessioni cifrate, scambio di certificati digitali, autenticazione reciproca senza utenze di amministrazione o generiche. | In alcuni casi, sono usate credenziali di servizio, ma con controllo dell'IP di origine. |
| Encrypted data storage. | Unencrypted data. |
| Encrypted data transmission | Tutte le connessioni sono cifrate. Per l'email, CoreTech mette a disposizione certificati. |
| Meccanismi di firma o logging se devono essere garantiti certi livelli di non ripudiabilità delle attività. |
Non presenti strumenti di firma. Gli utenti possono attivare in autonomia servizi di firma sull'email. |
| Meccanismi Crittografici |
L'email è su TLS da 1 a 1.3. Il server non è cifrato. |
| Accesso alla chiavi crittografiche limitato ai soli amministratori di sistema o solo a processi interni del software. |
Internamente, le chiavi private sono usate con i certificati e i certificati sono modificabili solo dagli AdS. I clienti gestiscono i certificati: - in autonomia per i servizi che lo prevedono; - attraverso gli AdS di CoreTech per altri servizi (p.e. email). |
| Chiavi crittografiche generate secondo metodi sicuri, partendo da seed generati casualmente. | External certificates used. |
| Disponibilità di log applicativi e log delle attività degli amministratori di sistema. | Usato Greylog (agganciato a ElasticSearch) per servizi di email. |
| User logs | Vedere sopra. |
| Meccanismi per garantire la sicurezza dei log. |
Greylog Security.
I dati sono registrati su un db NoSQL. |
| Meccanismi per stabilire la durata della conservazione dei log. | Set 6 months. |
| Modalità di collegamento del sistema ai sistemi di monitoraggio già in uso | See "Infrastructure". |
| Clock sincronizzabile con un NTP server | See "Infrastructure". |
| Definizione di “prestazioni accettabili” |
See "Infrastructure". Per email, gli utenti massimi sono impostati su Crab e lo stesso tiene conto degli utenti attivi. |
| Modularità del sistema, in modo che sue diverse componenti possano essere installate in ambienti diversi. |
I server sono suddivisi in cluster per ottimizzare le prestazioni
Ciascun servizio, poi, dove opportuno, è suddiviso in ulteriori server, preferibilmente in cluster diversi. |
| Backup (frequenza, tempi di conservazione, locazione) | Vedere sopra. |
| Verifica e sanamento (dall’inglese sanitization) dei dati in ingresso a livello server, soprattutto quando ricevuti da fonti non sicure come il web (per esempio, se è prevista una data, il sistema verifica che si tratti di una data e non di altri caratteri; se sono previsti input di un certo numero di caratteri, il sistema verifica che la loro lunghezza non sia eccedente). | Pacchetto, gestito o tramite la propria interfaccia o tramite interfaccia Sygma (vedere sotto). |
| Filtri quando si modificano i dati, per esempio con messaggi “sei sicuro di voler modificare” o con richiesta di validazione da altri utenti. |
A seconda delle criticità dell'operazione, per confermarla sono attivi i seguenti meccanismi:
- modifiche reversibili, che quindi non richiedono conferma; - richiesta conferma per modifiche non reversibili non impattanti (p.e. cancellazione ticket); - richiesta conferma email per modifiche non reversibili impattanti (p.e. cancellazione VM); - richiesta di conferma con ulteriori dati di input, in alternativa al precedente. |
| Limitazione delle possibilità di ricerca, in modo che un utente non possa visualizzare dati a cui non è autorizzato. | No per il tipo di servizio offerto. |
| Dati a video e stampati senza informazioni riservate o per le quali l’utente non ha le autorizzazioni ad accedere. | No per il tipo di servizio offerto. |
| Possibility of anonymization or pseudonymization of data | No per il tipo di servizio offerto. |
| Tipo di messaggi e di avvisi lanciati dal sistema che forniscano sufficienti informazioni al personale autorizzato, ma non forniscano informazioni a malintenzionati (per esempio, fornendo troppi dettagli sul tipo di errore quando si inseriscono credenziali sbagliate). |
Yes.
Esempio: messaggi di errori e di conferma per password errate e per cambio password. |
| Sistemi di cancellazione automatica dei dati, o di avviso, quando hanno superato il tempo di conservazione previsto (retention time). | Paid to the customer. |
| Data deletion methods | A conclusione del servizio, è cancellata la singola istanza (senza cifratura). |
| Garanzia della gestione delle vulnerabilità riscontrate e del patching (il produttore deve garantire un servizio di avviso e di invio delle correzioni). | I servizi erogati sono in cloud e pertanto CoreTech aggiorna i pacchetti a seconda delle specifiche del fornitore. |
Version 3 dated 05/09/2024
| Description | |
|
Cloud Server - virtual machine (VM) in Vmware Cluster environment Product Page Stellar site |
|
| Roles and responsibilities | |
|
CoreTech acts as Administrator or Sub Responsible for all treatments, while it is the owner of client contact data only
With regards to data compliance and security, both CoreTech and the customer are both responsible, albeit on different fronts. As reported below Link |
|
| CoreTech Responsibilities |
-Keep the software infrastructure updated with the most stable and secure software versions released by the manufacturer
- Monitor the infrastructure of virtualization, hypervisor and storage systems in order to guarantee continuity of services -Controllare la presenza di eventuali anomalie relative alla sicurezza che si evidenzino attraverso i log o alert del sistema -Deactivation of the service if, following a report from other service providers, the server is implementing anomalous behavior (spam, phishing, content relating to terrorism, fraud, hacked site) -Inform the customer if problems are found on the server during monitoring or log analysis. |
| Customer Responsibility |
-Impostare delle password di accesso al server e ai software in esso installato con livello di difficoltà conforme alle policy definite e cambio password secondo gli standard di riferimento (es ISO 27002)
-Carefully guard server access data and limit their disclosure - Intervene promptly in the event of reports from CoreTech on problems relating to the security of its server -Correctly configure the backup jobs of your data with the tools made available by CoreTech and ask for support in case of doubts about the configurations -Check the results of data backups daily -Periodically check the correct functioning of the VM backup by consulting the results from the Sygma panel -Periodically organize VM restore tests with CoreTech in order to ensure correct execution of VM backups -Periodically check the event logs and operating system logs on your server in order to prevent any problems -Promptly inform CoreTech in case of anomalies that could cause a security problem d |
| Datacenter | |
| TIER4 - This is the highest level of assurance a datacenter can offer, with 99.9% availability. Identify a catacenter completely redundant in terms of electrical, cooling and network circuits. This indicator refers to an architecture that allows you to cope with serious technical incidents without ever interrupting the availability of servers. | |
| Geographic location | European Union |
| Etichettatura | |
| Customizable instance name + tag | |
| Funzionalità presenti sul Pannello di Controllo | |
|
Sygma interface Controllo tramite la dashboard di Sygma, per quanto non previsto va richiesto autonomo nell'aumento delle risorse necessarie previo acquisto Cancellazione arriva mail con tracciatura con richiesta He confirms |
|
| Admin Panel |
Sygma Complete Server Management (including Audit) La Password sono già impostate con requisiti di complessità delle password per tutti gli utenti e utilizzatori dei servizi |
| SLA | |
|
IaaS Monthly 99,95% (21m 54s) |
|
| Penalties | |
|
SLA IaaS <99,95% (21m 54s) = 10% <99,85% (1h 5m 44s) = 20% <99,00% (7h 18m 17s) = 50% |
|
| Backup | |
| stellar's service includes the Backup service replicated on Cloud Storage S3 | |
| Data Backup |
CoreTech provides the 1Backup tool for VM data backups The complete management of the backup schedules is the responsibility of the customer The customer is responsible for retention of the backup data (retention period) 1 Full VM backup every 30 days (night time). The backup overwrites itself every 30 days |
| VM Backup |
1 Full VM backup every 30 days (night time). The backup overwrites itself every 30 days 1 Full VM backup every 30 days (night time). The backup overwrites itself every 30 days The VM backup is performed on a different storage than the one used for the VM itself The customer must verify the success of the backups and verify the consistency by periodically trying the restore |
| Restore | By request to customer support who will restore the requested VM |
| Geographical replication | The Backup is replicated on Cloud Storage S3 - The replica is located in a second Data Center located within the European Union (not in Italy) - only for Backup performed with 1Backup Service |
| Optional Service - for a fee |
It is possible to request VM backups with retention or frequency other than the one included You can optionally request a disaster recovery in another data center. It is possible to optionally request a Business Continuity project |
| Problem Tolerance | |
| Multiple Servers |
Stellar Cloud Servers are configured on 3-node server cluster on shared storage These servers are virtual machines residing on Vmware clusters consisting of 3 physical nodes These servers are virtual machines residing on Vmware clusters consisting of 3 physical nodes The servers have dual power supplies and dual controllers Hypervisor Vmware environment |
| Configuration Storage Raid6 |
The disk configuration of the backup destination storage is in RAID6 The storage on which the data backups reside has dual power supplies, dual network connectivity and dual disk controllers |
| High Availability Function |
Default function, in the event of a fault on one of the nodes, the cloud server is started on one of the other hypervisors that make up the cluster In this case the VM is restarted. |
| Fault Tolerance function |
Service that can be requested as an option. In the event of a fault in one of the nodes, the cloud server is not restarted, as there is continuous synchronization of the RAM and CPU registers between the hypervisors that make up the cluster |
| Disaster Recovery – Business Continuity | The VM Backup included in the standard service allows for disaster recovery at the same data center. |
| Support | |
| Support Page - Link | |
| Access to Data | |
|
The customer in possession of the access data to the server can access the data contained therein CoreTech does not have direct visibility of the data contained in the server but only of the image file of the VMware virtual machine CoreTech can access the server only at the request of the customer which must take place as per procedure |
|
| Contract Cancellation / Closure | |
| The data (server image files) are deleted 30 days after the service is canceled | |
| Portability | |
| On request export in ova of the VM. 1 time for free, the following times to be paid according to the hourly rate. | |
| Processo di assistenza per il soddisfacimento dei diritti degli interessati | |
| Data Processing Agreement (DPA) - Link page | |
| How personal data breaches are handled | |
| Data Processing Agreement (DPA) - Link page | |
| Raccolta Prove | |
|
If the customer needs to collect evidence or request assistance, he can send the request to the email address supporto@coretech.it in the event that the assistance requested is not within the scope of support or for other reasons, you can contact the Privacy contact person by email privacy@coretech.it |
|
| User Manual Link | |
| KB Stellar Link | |
| FAQ | |
| FAQ Stellar Link | |
| Security measures | |
| Data Processing Agreement (DPA) - Link page | |
| User Management | Per gli utenti dei clienti, è possibile gestire gli utenti di Sygma. |
| Personal userids for users | Per i clienti, è possibile creare utenti con userid personali. |
| Livello di dettaglio con cui si possono impostare i diritti di accesso ai sistemi (singola funzionalità, singola transazione, eccetera). | Paid to the customer. |
| Verifica delle autorizzazioni per accedere o visualizzare le elaborazioni |
I clienti possono visualizzare gli utenti e le autorizzazioni dai pannelli di controllo dei singoli servizi acquistati (incluso Sygma).
CoreTech può visualizzare gli utenti AdS verificando i singoli sistemi. |
| Project-Id-Version: coretech PO-Revision-Date: 2024-11-26 10:25+0100 Last-Translator: Language-Team: Language: en MIME-Version: 1.0 Content-Type: text/plain; charset=UTF-8 Content-Transfer-Encoding: 8bit Plural-Forms: nplurals=2; plural=(n != 1); X-Generator: Poedit 3.4.2 X-Poedit-Basepath: ../../.. X-Source-Language: it X-Poedit-SourceCharset: UTF-8 X-Poedit-KeywordsList: _;_( X-Poedit-SearchPath-0: . X-Poedit-SearchPathExcluded-0: backend X-Poedit-SearchPathExcluded-1: menagement X-Poedit-SearchPathExcluded-2: en X-Poedit-SearchPathExcluded-3: it/service/public/passwordChecker |
For Sygma users - in caso di creazione dell'utenza, il cambio della password è obbligatorio; - per il reset password, l'utente avvia la procedura in autonomia Per i servizi, sono assegnate user-id e password di amministrazione ai clienti, che la gestiscono in autonomia. |
| Modifica della password da parte dell’utente |
Per i clienti: per il reset password, l'utente avvia la procedura di Sygma in autonomia.
Per gli AdS interni, le password sono gestite tramite Sygma. |
| Password nascosta nel campo dove inserire la password | Yes. |
| Possibilità di bloccare l’utenza dopo un certo numero di tentativi errati di inserimento della password (da non applicare a tutti gli amministratori di sistema perché, in caso di attacco, nessuno potrebbe più accedere al sistema) |
Su Sygma è abilitato l'invio dell'email ad ogni tentativo sbagliato. Inoltre, dopo un certo numero di tentativi, si avvia una procedura di rallentamento Per gli AdS di CoreTech, è usato Sygma. I virtualizzatori bloccano per 5 minuti le utenze dopo 5 tentativi falliti. Però al momento non sono lanciati allarmi. |
| Modalità di recupero delle password di amministrazione | Paid to the customer. |
| Possibilità di assegnazione a più utenti dei poteri di amministrazione, anche su singole parti del sistema | Yes. |
| Personalizzazione delle credenziali per gli amministratori di sistema (e userid personali) | Yes. |
| Disabling default userids | Non assegnata. User-id di default assegnata personalizzata. |
| Controllo automatico delle caratteristiche delle password in modo che gli utenti non le scelgano banali: complessità (devono essere presenti lettere e numeri; oppure lettere minuscole, lettere maiuscole e numeri e caratteri speciali), lunghezza (minimo 8 caratteri), scadenza (affinché siano cambiate almeno ogni 3 mesi), blocco in caso di inattività dell’utente (dopo non più di 6 mesi), non ripetibilità delle ultime 5 o 10 password. | Sygma. |
| Controllo automatico della non banalità delle password; p.e. password non nel dizionario, non una variazione della user-id come Cesare1970, non una variazione del nome dell’applicazione come Oracle70, non una password popolare come 12345678 (queste regole sono considerate alternative e più sicure di quelle relative alla complessità descritta sopra). | Sygma. |
| Disponibilità di strumenti di MFA | Per gli AdS interni: Sì per Sygma. |
| Messaggi di errore di autenticazione che non specificano dettagli (dicono solo, p.e., "credenziali non corrette") | Yes. |
| Configurazione affinché gli utenti siano sconnessi dopo 5 o 10 o più minuti di inattività | Dipende dal sistema. |
| Configurazione affinché gli utenti non possano connettersi in specifici orari o da alcuni Paesi | NO. |
| Modalità di interfacciamento con altri programmi o con l’utente che preveda connessioni cifrate, scambio di certificati digitali, autenticazione reciproca senza utenze di amministrazione o generiche | In alcuni casi, sono usate credenziali di servizio, ma con controllo dell'IP di origine. |
| Encrypted data storage |
Unencrypted data.
Per i clienti Stellar (IaaS), è ovviamente attivabile la cifratura a livello di S.O. |
| Encrypted data transmission | N/A |
| Meccanismi di firma o logging se devono essere garantiti certi livelli di non ripudiabilità delle attività. |
Non presenti strumenti di firma.
Gli utenti possono attivare in autonomia servizi di firma sull'email. |
| Meccanismi Crittografici | La cifratura dei server è in carico al cliente. |
| Accesso alla chiavi crittografiche limitato ai soli amministratori di sistema o solo a processi interni del software. |
Internamente, le chiavi private sono usate con i certificati e i certificati sono modificabili solo dagli AdS.
I clienti gestiscono i certificati: - in autonomia per i servizi che lo prevedono; - attraverso gli AdS di CoreTech per altri servizi (p.e. email). |
| Chiavi crittografiche generate secondo metodi sicuri, partendo da seed generati casualmente. | External certificates used. |
| Disponibilità di log applicativi e log delle attività degli amministratori di sistema. | N/A |
| User logs | Vedere sopra. |
| Meccanismi per garantire la sicurezza dei log |
Greylog Security.
I dati sono registrati su un db NoSQL. |
| Meccanismi per stabilire la durata della conservazione dei log | Paid to the customer. |
| Modalità di collegamento del sistema ai sistemi di monitoraggio già in uso. | See "Infrastructure". |
| Clock sincronizzabile con un NTP server. | See "Infrastructure". |
| Definizione di “prestazioni accettabili” | See "Infrastructure". |
| Modularità del sistema, in modo che sue diverse componenti possano essere installate in ambienti diversi |
I server sono suddivisi in cluster per ottimizzare le prestazioni.
Ciascun servizio, poi, dove opportuno, è suddiviso in ulteriori server, preferibilmente in cluster diversi. |
| Backup (frequenza, tempi di conservazione, locazione) | Vedere sopra. |
| Verifica e sanamento (dall’inglese sanitization) dei dati in ingresso a livello server, soprattutto quando ricevuti da fonti non sicure come il web (per esempio, se è prevista una data, il sistema verifica che si tratti di una data e non di altri caratteri; se sono previsti input di un certo numero di caratteri, il sistema verifica che la loro lunghezza non sia eccedente). | Pacchetto, gestito o tramite la propria interfaccia o tramite interfaccia Sygma (vedere sotto). |
| Filtri quando si modificano i dati, per esempio con messaggi “sei sicuro di voler modificare” o con richiesta di validazione da altri utenti. | N/A |
| Limitazione delle possibilità di ricerca, in modo che un utente non possa visualizzare dati a cui non è autorizzato. | N/A. |
| Dati a video e stampati senza informazioni riservate o per le quali l’utente non ha le autorizzazioni ad accedere. | N/A. |
| Possibility of anonymization or pseudonymization of data | N/A. |
| Tipo di messaggi e di avvisi lanciati dal sistema che forniscano sufficienti informazioni al personale autorizzato, ma non forniscano informazioni a malintenzionati (per esempio, fornendo troppi dettagli sul tipo di errore quando si inseriscono credenziali sbagliate). |
Yes.
Esempio: messaggi di errori e di conferma per password errate e per cambio password. |
| Sistemi di cancellazione automatica dei dati, o di avviso, quando hanno superato il tempo di conservazione previsto (retention time). | N/A |
| Data deletion methods | Paid to the customer. |
| Garanzia della gestione delle vulnerabilità riscontrate e del patching (il produttore deve garantire un servizio di avviso e di invio delle correzioni). | I servizi erogati sono in cloud e pertanto CoreTech aggiorna i pacchetti a seconda delle specifiche del fornitore. |
Version 3 dated 05/09/2024
| Description | |
|
Sygma, Platform Defined IT Work. The Sygma Panel is an exclusive customer management system which, in addition to integrating a customizable database with all the information required for optimal management of your customers' IT infrastructure, also has integration systems with Mail, Firewall, VoIP, Remote Backup and Email Archiving. With Sygma it is possible to manage the Cloud in all its areas and, at the same time, organize work processes. Thanks to the integration of the Cloud, with Sygma you can manage from a single platform Server, Backup, Email, Email Archiving, SMTP Account, Storage and various other services. The Sygma Connect remote control system is included in the Pro and Unlimited versions. Product Page |
|
| Roles and responsibilities | |
|
CoreTech acts as Manager or Sub Responsible for all treatments, while it is the owner of customer contact data only.
With regards to data compliance and security, both CoreTech and the customer are both responsible, albeit on different fronts. Link |
|
| CoreTech Responsibilities |
-Keep systems updated with the most stable and secure software versions released by the manufacturer.
- Monitor servers and data synchronization processes to ensure continuity of service. -Daily backup checking to ensure data integrity. -Additional Backup (on another data center). |
| Customer Responsibility |
-Export data (tickets, activities etc.) to have a backup copy.
-Export data at least monthly/bimonthly. -Set complex service access passwords. -Carefully guard your access data to Sygma and all the services included and limit their disclosure. With particular attention to the password encryption used to store credentials in Sygma. -Promptly inform CoreTech in case of anomalies that could lead to a data security problem. - Intervene promptly in the event of reports from CoreTech on problems relating to the services |
| Datacenter | |
| TIER4 - This is the highest level of assurance a datacenter can offer, with 99.9% availability. Identify a catacenter completely redundant in terms of electrical, cooling and network circuits. This indicator refers to an architecture that allows you to cope with serious technical incidents without ever interrupting the availability of servers. | |
| Geographic location | European Union |
| Etichettatura | |
| tramite Tag e priorità , disponibile un filtro per Tag | |
| Funzionalità presenti sul Pannello di Controllo | |
|
-Web interface and Mobile App.
-App Mobile permette di visualizzare i ticket, activity, backup e server. -Interfaccia Web è possibile Gestione completa di Sygma. -Accesso Rivenditore fa visualizzare tutti servizi acquistati con indicazione (personalizzata) del cliente finale. -Customer portal permette al cliente finale di visualizzare i propri servizi che il rivenditore ha condiviso. -Rivenditore può cancellare, disabilitare servizi e account dei propri clienti, utilizzando le proprie regole di cancellazione. -Cliente finale ha le autorizzazioni relative ai servizi, impostate dal proprio Rivenditore -Rivenditore Autonomia fino alla chiusura del suo account Master, dove invece è necessaria richiesta di disdetta servizio. |
|
| Etichettatura | |
| Customer Responsibility |
-Tramite interfaccia Sygma l'utente Admin può creare utenti che hanno accesso ad alcuni servizi dedicati, o su Sygma o su le singole console dei servizi.
-Utente admin stabilisce in autonomia le autorizzazioni e i metodi di autenticazione (già presente lunghezza e complessità delle password). -Tutte le Password Utenti devono rispettare criteri mimini di sicurezza -Opzione utilizzo OTP |
| SLA | |
|
IaaS Monthly 99,95% (21m 54s) |
|
| Penalties | |
|
SLA SaaS <99,8% (1h 26m) = 10% <99,5% (3h 36) = 20% <99,00% (7h 18m 17s) = 50% |
|
| Backup | |
|
The Sygma service includes Backup with replication on Cloud Storage S3 The Backup is done through Plesk and subsequently through the 1Backup service |
|
| Data Backup |
Front-end server data is replicated between web server nodes. The databases are replicated in a master/slave configuration. Retention 60 days With further copy on another Storage in another Datacenter located in the Netherlands |
| VM backup of the server |
Database Server Backup every 3 hours - Front End Server backup daily nightly. Other servers that make up the infrastructure have different backup and retention schedules. |
| Restore | restoration available on request at dev@coretech.it - hourly cost |
| Geographical replication | The Backup is replicated on Cloud Storage S3 - The replica is located in a second Data Center located within the European Union (not in Italy) |
| Problem Tolerance | |
| Multiple Servers |
The Sygma Infrastructure consists of a large number of servers. These servers are virtual machines residing on multiple Vmware clusters with 3 physical nodes. It is recommended that the customer allocate mail storage domains on different storage servers Sygma Servers benefit from the Stellar infrastructure. The infrastructure can have balancing elements at other data centers or at other cloud providers. Stellar site |
| Configuration Storage Raid6 |
The disk configuration of the backup destination storage is in RAID6 The storage on which the data backups reside has dual power supplies, dual network connectivity and dual disk controllers |
| Disaster Recovery |
Replicated data and backup sets on another Data Center. |
| Support | |
| Support Page - Link | |
| Access to Data | |
|
The client is in possession of the access data to the Sygma management platform. The client must provide for the 2-factor authentication that the platform makes available. CoreTech can access some data contained in the system databases. CoreTech cannot access encrypted information contained in the database such as passwords. |
|
| Contract Cancellation / Closure | |
| The data is deleted after 60 days from the termination of the service. | |
| Portability | |
| Excel export for ticket and activity list or you can request specific development at an hourly rate | |
| Data Processing Agreement (DPA) - Link page | |
| How personal data breaches are handled | |
| Data Processing Agreement (DPA) - Link page | |
| Raccolta Prove | |
|
If the customer needs to collect evidence or request assistance, he can send the request to the email address
supporto@coretech.it in case the requested assistance is not within the competence of the support or for other reasons he can contact the Privacy contact at email privacy@coretech.it |
|
| User Manual Link | |
|
Sygma Site Link
KB Sygma Link Forum Sygma Link |
|
| Security measures | |
| Data Processing Agreement (DPA) - Link page | |
| User Management | Per gli utenti dei clienti, è possibile gestire gli utenti di Sygma. |
| Userid personali per gli utenti | Per i clienti, è possibile creare utenti con userid personali. |
| Livello di dettaglio con cui si possono impostare i diritti di accesso ai sistemi (singola funzionalità, singola transazione, eccetera). | Ogni utente ha accesso a singole funzionalità e ai dati del singolo cliente. |
| Verifica delle autorizzazioni per accedere o visualizzare le elaborazioni. |
I clienti possono visualizzare gli utenti e le autorizzazioni dai pannelli di controllo dei singoli servizi acquistati (incluso Sygma).
CoreTech può visualizzare gli utenti AdS verificando i singoli sistemi. |
| Opzione "cambia la password al primo utilizzo" quando si inserisce un nuovo utente o quando la password è modificata dagli amministratori di sistema (per esempio se l'utente l'ha dimenticata). |
For Sygma users
- in caso di creazione dell'utenza, il cambio della password è obbligatorio; - per il reset password, l'utente avvia la procedura in autonomia. Per i servizi, sono assegnate user-id e password di amministrazione ai clienti, che la gestiscono in autonomia. |
| Changing the password by the user |
Per i clienti: per il reset password, l'utente avvia la procedura di Sygma in autonomia.
Per gli AdS interni, le password sono gestite tramite Sygma. |
| Password nascosta nel campo dove inserire la password. | Yes. |
| Possibilità di bloccare l’utenza dopo un certo numero di tentativi errati di inserimento della password (da non applicare a tutti gli amministratori di sistema perché, in caso di attacco, nessuno potrebbe più accedere al sistema). |
Su Sygma è abilitato l'invio dell'email ad ogni tentativo sbagliato.
Inoltre, dopo un certo numero di tentativi, si avvia una procedura di rallentamento. Per gli AdS di CoreTech, è usato Sygma. I virtualizzatori bloccano per 5 minuti le utenze dopo 5 tentativi falliti. Però al momento non sono lanciati allarmi. |
| Modalità di recupero delle password di amministrazione. | &EGrave; possibile contattare l'assistenza di CoreTech. |
| Possibilità di assegnazione a più utenti dei poteri di amministrazione, anche su singole parti del sistema. | Yes. |
| Personalizzazione delle credenziali per gli amministratori di sistema (e userid personali) | Yes. |
| Disabling default userids | User-id scelta dall'utente. |
| Controllo automatico delle caratteristiche delle password in modo che gli utenti non le scelgano banali: complessità (devono essere presenti lettere e numeri; oppure lettere minuscole, lettere maiuscole e numeri e caratteri speciali), lunghezza (minimo 8 caratteri), scadenza (affinché siano cambiate almeno ogni 3 mesi), blocco in caso di inattività dell’utente (dopo non più di 6 mesi), non ripetibilità delle ultime 5 o 10 password. | Sygma. |
| Controllo automatico della non banalità delle password; p.e. password non nel dizionario, non una variazione della user-id come Cesare1970, non una variazione del nome dell’applicazione come Oracle70, non una password popolare come 12345678 (queste regole sono considerate alternative e più sicure di quelle relative alla complessità descritta sopra). | Sygma. |
| Disponibilità di strumenti di MFA | Per gli AdS interni: Sì per Sygma. |
| Messaggi di errore di autenticazione che non specificano dettagli (dicono solo, p.e., "credenziali non corrette") | Yes. |
| Configurazione affinché gli utenti siano sconnessi dopo 5 o 10 o più minuti di inattività. | Dipende dal sistema. |
| Configurazione affinché gli utenti non possano connettersi in specifici orari o da alcuni Paesi. | NO. |
| Modalità di interfacciamento con altri programmi o con l’utente che preveda connessioni cifrate, scambio di certificati digitali, autenticazione reciproca senza utenze di amministrazione o generiche. | In alcuni casi, sono usate credenziali di servizio, ma con controllo dell'IP di origine. |
| Encrypted data storage | Unencrypted data. |
| Encrypted data transmission | Tutte le connessioni sono cifrate. Certificati con Certum. |
| Meccanismi di firma o logging se devono essere garantiti certi livelli di non ripudiabilità delle attività. | N/A |
| Accesso alla chiavi crittografiche limitato ai soli amministratori di sistema o solo a processi interni del software. |
Internamente, le chiavi private sono usate con i certificati e i certificati sono modificabili solo dagli AdS
I clienti gestiscono i certificati: - in autonomia per i servizi che lo prevedono; - attraverso gli AdS di CoreTech per altri servizi (p.e. email). |
| Chiavi crittografiche generate secondo metodi sicuri, partendo da seed generati casualmente | External certificates used |
| Disponibilità di log applicativi e log delle attività degli amministratori di sistema | Log applicativi dipendono dall'applicazione. |
| User logs | Vedere sopra |
| Meccanismi per garantire la sicurezza dei log | Sicurezza assicurata dall'applicazione. |
| Meccanismi per stabilire la durata della conservazione dei log | Set 6 months. |
| Modalità di collegamento del sistema ai sistemi di monitoraggio già in uso | See "Infrastructure". |
| Clock sincronizzabile con un NTP server | See "Infrastructure". |
| Definizione di “prestazioni accettabili” | See "Infrastructure". |
| Modularità del sistema, in modo che sue diverse componenti possano essere installate in ambienti diversi |
I server sono suddivisi in cluster per ottimizzare le prestazioni.
Ciascun servizio, poi, dove opportuno, è suddiviso in ulteriori server, preferibilmente in cluster diversi. Modular services are: -RocketBox con server web, db e storage dati; -Sygma con server web e storage. |
| Backup (frequenza, tempi di conservazione, locazione) | Vedere sopra. |
| Verifica e sanamento (dall’inglese sanitization) dei dati in ingresso a livello server, soprattutto quando ricevuti da fonti non sicure come il web (per esempio, se è prevista una data, il sistema verifica che si tratti di una data e non di altri caratteri; se sono previsti input di un certo numero di caratteri, il sistema verifica che la loro lunghezza non sia eccedente). |
Developed in-house:
-input tutti validati, anche oggetto di check list di sviluppo; -WAF interno per Sygma (sulle chiamate pubbliche, mentre con maggiore prudenza per le attività degli utenti autenticati). |
| Filtri quando si modificano i dati, per esempio con messaggi “sei sicuro di voler modificare” o con richiesta di validazione da altri utenti. |
A seconda delle criticità dell'operazione, per confermarla sono attivi i seguenti meccanismi:
-modifiche reversibili, che quindi non richiedono conferma; -richiesta conferma per modifiche non reversibili non impattanti (p.e. cancellazione ticket); -richiesta conferma email per modifiche non reversibili impattanti (p.e. cancellazione VM); -richiesta di conferma con ulteriori dati di input, in alternativa al precedente. |
| Limitazione delle possibilità di ricerca, in modo che un utente non possa visualizzare dati a cui non è autorizzato. |
N/A.
Sono sempre e comunque attivi permessi differenziati su Sygma e sul sito CoreTech. |
| Dati a video e stampati senza informazioni riservate o per le quali l’utente non ha le autorizzazioni ad accedere. |
N/A.
Tutti i report sono controllati. Report interni con accesso a seconda delle mansioni di ciascuno. Report in particolare per i commerciali, con dati per reparto o per persona. Sono però impostati centralmente. |
| Possibility of anonymization or pseudonymization of data | Report with minimized data. |
| Tipo di messaggi e di avvisi lanciati dal sistema che forniscano sufficienti informazioni al personale autorizzato, ma non forniscano informazioni a malintenzionati (per esempio, fornendo troppi dettagli sul tipo di errore quando si inseriscono credenziali sbagliate). |
Yes.
Esempio: messaggi di errori e di conferma per password errate e per cambio password. |
| Sistemi di cancellazione automatica dei dati, o di avviso, quando hanno superato il tempo di conservazione previsto (retention time). |
Unici dati, relativi ai servizi, riguardano persone giuridiche e pertanto si mantengono.
Gli utenti interni vanno cancellati dopo 10 anni. Operazione manuale e prevista per Sygma. |
| Data deletion methods | I dati sono cancellati senza cifratura. |
| Garanzia della gestione delle vulnerabilità riscontrate e del patching (il produttore deve garantire un servizio di avviso e di invio delle correzioni). | I servizi erogati sono in cloud e pertanto CoreTech aggiorna i pacchetti a seconda delle specifiche del fornitore. |
Version 3 dated 05/09/2024
| Description | |
| Remote Control Software Product Page |
|
| Management platform | |
| Roles and responsibilities | |
|
CoreTech acts as Administrator or Sub Responsible for all treatments, while it is the owner of client contact data only
With regards to data compliance and security, both CoreTech and the customer are both responsible, albeit on different fronts. As reported below Link |
|
| CoreTech Responsibilities | Project-Id-Version: coretech PO-Revision-Date: 2024-11-26 10:25+0100 Last-Translator: Language-Team: Language: en MIME-Version: 1.0 Content-Type: text/plain; charset=UTF-8 Content-Transfer-Encoding: 8bit Plural-Forms: nplurals=2; plural=(n != 1); X-Generator: Poedit 3.4.2 X-Poedit-Basepath: ../../.. X-Source-Language: it X-Poedit-SourceCharset: UTF-8 X-Poedit-KeywordsList: _;_( X-Poedit-SearchPath-0: . X-Poedit-SearchPathExcluded-0: backend X-Poedit-SearchPathExcluded-1: menagement X-Poedit-SearchPathExcluded-2: en X-Poedit-SearchPathExcluded-3: it/service/public/passwordChecker |
| Customer Responsibility | Project-Id-Version: coretech PO-Revision-Date: 2024-11-26 10:25+0100 Last-Translator: Language-Team: Language: en MIME-Version: 1.0 Content-Type: text/plain; charset=UTF-8 Content-Transfer-Encoding: 8bit Plural-Forms: nplurals=2; plural=(n != 1); X-Generator: Poedit 3.4.2 X-Poedit-Basepath: ../../.. X-Source-Language: it X-Poedit-SourceCharset: UTF-8 X-Poedit-KeywordsList: _;_( X-Poedit-SearchPath-0: . X-Poedit-SearchPathExcluded-0: backend X-Poedit-SearchPathExcluded-1: menagement X-Poedit-SearchPathExcluded-2: en X-Poedit-SearchPathExcluded-3: it/service/public/passwordChecker |
| Datacenter | |
| TIER4 - This is the highest level of assurance a datacenter can offer, with 99.9% availability. Identify a catacenter completely redundant in terms of electrical, cooling and network circuits. This indicator refers to an architecture that allows you to cope with serious technical incidents without ever interrupting the availability of servers. | |
| Geographic location | Mainly in Italy, then Germany and Great Britain |
| Etichettatura | |
| Il software non offre livelli standard di classificazione delle informazioni. Il cliente può comunque apporre etichette ed, eventualmente, un livello di classificazione, tramite il nome macchina o creare gruppo idoneo per privacy | |
| Funzionalità presenti sul Pannello di Controllo | |
|
-Interfaccia da Sygma o Client Admin sul server o pc stesso. -Pieno controllo tramite l'App sul proprio client Visualizzazione completa su Sygma (elenco, impostazioni, stato e registrazioni sessioni se impostato su registrazioni) -Autonomia fino alla chiusura del suo account Master o istanza associata al partner. Dove è necessaria richiesta di disdetta servizio. (vedere Sygma) |
|
| Admin Panel | see Sygma |
| SLA | |
|
IaaS Monthly 99,95% (21m 54s) |
|
| Penalties | |
|
SLA IaaS <99,95% (21m 54s) = 10% <99,85% (1h 5m 44s) = 20% <99,00% (7h 18m 17s) = 50% |
|
| Backup | |
|
All user and Peer data are saved in Sygma, therefore no Backup is necessary as it is already provided for the Sygma service on which it relies. |
|
| Backup | |
|
All user and Peer data are saved in Sygma, therefore no Backup is necessary as it is already provided for the Sygma service on which it relies. |
|
| Problem Tolerance | |
| Multiple Servers |
The Sygma Connect service consists of an infrastructure consisting of a large number of servers located on different Datacenters (for example Aruba, Azure, Stellar) The service is based on Docker |
| Configuration Storage Raid6 | N/A |
| Disaster Recovery | N/A |
| Support | |
| Support Page - Link | |
| Access to Data | |
|
The customer in possession of the access data to the server can access the data contained therein CoreTech does not have direct visibility of the data contained and cannot remotely access the machines unless it is expressly requested and authorized by the customer (via id and secondary password) |
|
| Cancellation/Closing of Contract | |
| The data is deleted after 60 days from the termination of the service. | |
| Portability | |
|
Since Sygma it is possible to export session list with necessary details and logs Since sygma also has an address book with a list of devices available for remote connection. |
|
| Assistance process for the satisfaction of the rights of interested parties | |
| Data Processing Agreement (DPA) - Link page | |
| How personal data breaches are handled | |
| Data Processing Agreement (DPA) - Link page | |
| Raccolta Prove | |
|
If the customer needs to collect evidence or request assistance, he can send the request to the email address supporto@coretech.it in the event that the assistance requested is not within the scope of support or for other reasons, you can contact the Privacy contact person privacy@coretech.it |
|
| User Manual Link | |
|
KB Sygma Connect Link
Forum Sygma Connect Link |
|
| Security measures | |
| Data Processing Agreement (DPA) - Link page | |
| Livello di dettaglio con cui si possono impostare i diritti di accesso ai sistemi (singola funzionalità, singola transazione, eccetera). | Not applicable. |
| Verifica delle autorizzazioni per accedere o visualizzare le elaborazioni. |
I clienti possono visualizzare gli utenti e le autorizzazioni dai pannelli di controllo dei singoli servizi acquistati (incluso Sygma). CoreTech può visualizzare gli utenti AdS verificando i singoli sistemi. |
| Opzione "cambia la password al primo utilizzo" quando si inserisce un nuovo utente o quando la password è modificata dagli amministratori di sistema (per esempio se l'utente l'ha dimenticata). |
For Sygma users - in caso di creazione dell'utenza, il cambio della password è obbligatorio; - per il reset password, l'utente avvia la procedura in autonomia. Per i servizi, sono assegnate user-id e password di amministrazione ai clienti, che la gestiscono in autonomia. |
| Modifica della password da parte dell’utente |
Per i clienti: per il reset password, l'utente avvia la procedura di Sygma in autonomia. Per gli AdS interni, le password sono gestite tramite Sygma. |
| Password nascosta nel campo dove inserire la password. | Yes. |
| Possibilità di bloccare l’utenza dopo un certo numero di tentativi errati di inserimento della password (da non applicare a tutti gli amministratori di sistema perché, in caso di attacco, nessuno potrebbe più accedere al sistema). |
Su Sygma è abilitato l'invio dell'email ad ogni tentativo sbagliato. Inoltre, dopo un certo numero di tentativi, si avvia una procedura di rallentamento. Per gli AdS di CoreTech, è usato Sygma. I virtualizzatori bloccano per 5 minuti le utenze dopo 5 tentativi falliti. Però al momento non sono lanciati allarmi. |
| Modalità di recupero delle password di amministrazione. | È possibile contattare l'assistenza di CoreTech. |
| Possibilità di assegnazione a più utenti dei poteri di amministrazione, anche su singole parti del sistema. | Yes. |
| Personalizzazione delle credenziali per gli amministratori di sistema (e userid personali) | Yes. |
| Disabling default userids | Not assigned |
| Controllo automatico delle caratteristiche delle password in modo che gli utenti non le scelgano banali: complessità (devono essere presenti lettere e numeri; oppure lettere minuscole, lettere maiuscole e numeri e caratteri speciali), lunghezza (minimo 8 caratteri), scadenza (affinché siano cambiate almeno ogni 3 mesi), blocco in caso di inattività dell’utente (dopo non più di 6 mesi), non ripetibilità delle ultime 5 o 10 password. | Sygma. |
| Controllo automatico della non banalità delle password; p.e. password non nel dizionario, non una variazione della user-id come Cesare1970, non una variazione del nome dell’applicazione come Oracle70, non una password popolare come 12345678 (queste regole sono considerate alternative e più sicure di quelle relative alla complessità descritta sopra). | Sygma. |
| Disponibilità di strumenti di MFA | Per gli AdS interni: Sì per Sygma. |
| Messaggi di errore di autenticazione che non specificano dettagli (dicono solo, p.e., "credenziali non corrette"). | Yes. |
| Configurazione affinché gli utenti siano sconnessi dopo 5 o 10 o più minuti di inattività. | Dipende dal sistema. |
| Configurazione affinché gli utenti non possano connettersi in specifici orari o da alcuni Paesi. | NO. |
| Modalità di interfacciamento con altri programmi o con l’utente che preveda connessioni cifrate, scambio di certificati digitali, autenticazione reciproca senza utenze di amministrazione o generiche. | In alcuni casi, sono usate credenziali di servizio, ma con controllo dell'IP di origine. |
| Encrypted data storage. | Unencrypted data. |
| Encrypted data transmission | Tutte le connessioni sono cifrate. Certificati con Certum. |
| Meccanismi di firma o logging se devono essere garantiti certi livelli di non ripudiabilità delle attività. | N/A |
| Meccanismi Crittografici |
Le comunicazioni sono su https con TLS da 1 a 1.3. Il server non è cifrato. |
| Accesso alla chiavi crittografiche limitato ai soli amministratori di sistema o solo a processi interni del software. |
Internamente, le chiavi private sono usate con i certificati e i certificati sono modificabili solo dagli AdS. I clienti gestiscono i certificati: -in autonomia per i servizi che lo prevedono; -attraverso gli AdS di CoreTech per altri servizi (p.e. email). |
| Chiavi crittografiche generate secondo metodi sicuri, partendo da seed generati casualmente. | External certificates used.. |
| Disponibilità di log applicativi e log delle attività degli amministratori di sistema. | Log applicativi dipendono dall'applicazione. |
| User logs | Vedere sopra. |
| Meccanismi per garantire la sicurezza dei log. | Sicurezza assicurata dall'applicazione. |
| Meccanismi per stabilire la durata della conservazione dei log. | Set 6 months. |
| Modalità di collegamento del sistema ai sistemi di monitoraggio già in uso. | See "Infrastructure". |
| Clock sincronizzabile con un NTP server. | See "Infrastructure". |
| Definizione di “prestazioni accettabili” | See "Infrastructure". |
| Modularità del sistema, in modo che sue diverse componenti possano essere installate in ambienti diversi. |
I server sono suddivisi in cluster per ottimizzare le prestazioni. Ciascun servizio, poi, dove opportuno, è suddiviso in ulteriori server, preferibilmente in cluster diversi. |
| Backup (frequenza, tempi di conservazione, locazione) | Vedere sopra. |
| Verifica e sanamento (dall’inglese sanitization) dei dati in ingresso a livello server, soprattutto quando ricevuti da fonti non sicure come il web (per esempio, se è prevista una data, il sistema verifica che si tratti di una data e non di altri caratteri; se sono previsti input di un certo numero di caratteri, il sistema verifica che la loro lunghezza non sia eccedente). | N/A |
| Filtri quando si modificano i dati, per esempio con messaggi “sei sicuro di voler modificare” o con richiesta di validazione da altri utenti. | N/A |
| Limitazione delle possibilità di ricerca, in modo che un utente non possa visualizzare dati a cui non è autorizzato. | N/A |
| Dati a video e stampati senza informazioni riservate o per le quali l’utente non ha le autorizzazioni ad accedere. | N/A |
| Possibility of anonymization or pseudonymization of data | N/A |
| Tipo di messaggi e di avvisi lanciati dal sistema che forniscano sufficienti informazioni al personale autorizzato, ma non forniscano informazioni a malintenzionati (per esempio, fornendo troppi dettagli sul tipo di errore quando si inseriscono credenziali sbagliate). |
Yes. Esempio: messaggi di errori e di conferma per password errate e per cambio password. |
| Sistemi di cancellazione automatica dei dati, o di avviso, quando hanno superato il tempo di conservazione previsto (retention time). | N/A |
| Data deletion methods | N/A |
| Garanzia della gestione delle vulnerabilità riscontrate e del patching (il produttore deve garantire un servizio di avviso e di invio delle correzioni). | I servizi erogati sono in cloud e pertanto CoreTech aggiorna i pacchetti a seconda delle specifiche del fornitore. |
Version 3 dated 05/09/2024
| Description | |
| Mail Marketing RocketNews, Newsletter Sending System. RocketNews is an alternative to MailChimp and MailUp designed to satisfy all those companies that have the same communication needs as large companies but have a limited number of recipients. With RocketNews, companies can send their newsletters independently. Product Page |
|
| Management platform | |
| Roles and responsibilities | |
|
CoreTech acts as Administrator or Sub Responsible for all treatments, while it is the owner of client contact data only
With regards to data compliance and security, both CoreTech and the customer are both responsible, albeit on different fronts. As reported below Link |
|
| CoreTech Responsibilities |
-Daily backup check. Backup retention is 35 days (5 weeks). -Keep RocketNewslettr servers updated with the most stable and secure software versions released by the manufacturer. -Keep the web server monitored in order to guarantee continuity of service. |
| Customer Responsibility |
-Set passwords to access the RocketNewsletter panel. -Carefully guard your access data to the RocketNewsletter service and limit its disclosure. - Intervene promptly in the event of reports from CoreTech on problems relating to the security of its website. -Promptly inform CoreTech in case of anomalies that could lead to a data security problem. |
| Datacenter | |
| TIER4 - This is the highest level of assurance a datacenter can offer, with 99.9% availability. Identify a catacenter completely redundant in terms of electrical, cooling and network circuits. This indicator refers to an architecture that allows you to cope with serious technical incidents without ever interrupting the availability of servers. | |
| Geographic location | European Union |
| Etichettatura | |
| nominare liste newsletter e modelli in modo da determinare la tipologia di dati se più sensibili di altri. | |
| Funzionalità presenti sul Pannello di Controllo | |
|
Interfaccia Web RocketNewsletter richiesta dell'aumento delle risorse necessarie. Cancellazione previa richiesta e CoreTech invia mail conferma avvenuta cancellazione |
|
| Admin Panel | L'utente è unico. |
| SLA | |
|
Monthly SaaS 99,8% (1h 26m) Ordinary and extraordinary maintenance activities reported on the site 4 hours in advance are excluded |
|
| Penalties | |
|
SLA SaaS <99,8% (1h 26m) = 10% <99,5% (3h 36) = 20% <99,00% (7h 18m 17s) = 50% |
|
| Backup | |
|
RocketNews is a service based on Rocketweb and therefore the Backup features correspond to Rocketweb SLA RocketWeb
|
|
| Problem Tolerance | |
| Multiple Servers |
RocketNews is a service based on Rocketweb and therefore the Tolerance characteristics correspond to Rocketweb. - Servers are virtual machines resident on Vmware clusters made up of 3 physical nodes. - RocketNewsletter Servers use the Stellar infrastructure. - The disk configuration of the backup destination storage is in RAID6. High Availability function: the storage on which the data backups reside has double power supply and double network connectivity. La controller dei dischi è unica. Funzione Fault Tollerance: Opzionale (dati replicati e backup set su altro Datacenter) |
| Configuration Storage Raid6 |
The disk configuration of the backup destination storage is in RAID6 the storage on which the data backups reside has double power supply and double network connectivity, the disk controller is double |
| Disaster Recovery |
VM Backup included in the standard service allows disaster recovery in the same data center. it is possible to optionally request disaster recovery in another data center. Rocket Newsletter: the user is unique. |
| Support | |
| Support Page - Link | |
| Access to Data | |
|
The customer has the access data and can independently insert, delete, view, modify, download and upload images, email contacts, text and templates created (or create templates) on the platform Always independently, the customer can extrapolate all the reports relating to the mailings made with all the details associated with them When the user cancels from the service, the data is anonymized |
|
| Contract Cancellation / Closure | |
| The data is deleted after 30 days from the cancellation of the service | |
| Portability | |
|
The customer has the access data and can independently insert, delete, view, modify, download and upload images, email contacts, text and templates created (or create templates) on the platform Sempre in autonomia il cliente può estrapolasi tutti i report inerenti agli invii fatti con tutti i dettagli ad esse associati |
|
| Processo di assistenza per il soddisfacimento dei diritti degli interessati | |
| Data Processing Agreement (DPA) - Link page | |
| How personal data breaches are handled | |
| Data Processing Agreement (DPA) - Link page | |
| Raccolta Prove | |
|
If the customer needs to collect evidence or request assistance, he can send the request to the email address supporto@coretech.it in case the requested assistance is not within the competence of the support or for other reasons he can contact the Privacy contact at email privacy@coretech.it |
|
| User Manual Link | |
| KB RocketNews Link | |
| Security measures | |
| Data Processing Agreement (DPA) - Link page | |
| User Management | Per gli utenti dei clienti, è possibile gestire gli utenti di Sygma. |
| Personal userids for users | Per i clienti, è possibile creare utenti con userid personali. |
| Livello di dettaglio con cui si possono impostare i diritti di accesso ai sistemi (singola funzionalità, singola transazione, eccetera). | Rocket Newsletter: the user is unique. |
| Verifica delle autorizzazioni per accedere o visualizzare le elaborazioni. |
I clienti possono visualizzare gli utenti e le autorizzazioni dai pannelli di controllo dei singoli servizi acquistati (incluso Sygma).
CoreTech può visualizzare gli utenti AdS verificando i singoli sistemi. |
| Opzione "cambia la password al primo utilizzo" quando si inserisce un nuovo utente o quando la password è modificata dagli amministratori di sistema (per esempio se l'utente l'ha dimenticata). |
For Sygma users
- in caso di creazione dell'utenza, il cambio della password è obbligatorio; - per il reset password, l'utente avvia la procedura in autonomia. Per i servizi, sono assegnate user-id e password di amministrazione ai clienti, che la gestiscono in autonomia. |
| Modifica della password da parte dell’utente |
Per i clienti: per il reset password, l'utente avvia la procedura di Sygma in autonomia. Per gli AdS interni, le password sono gestite tramite Sygma. |
| Password nascosta nel campo dove inserire la password. | Yes. |
| Possibilità di bloccare l’utenza dopo un certo numero di tentativi errati di inserimento della password (da non applicare a tutti gli amministratori di sistema perché, in caso di attacco, nessuno potrebbe più accedere al sistema). |
Su Sygma è abilitato l'invio dell'email ad ogni tentativo sbagliato.
Inoltre, dopo un certo numero di tentativi, si avvia una procedura di rallentamento. Per gli AdS di CoreTech, è usato Sygma. I virtualizzatori bloccano per 5 minuti le utenze dopo 5 tentativi falliti. Però al momento non sono lanciati allarmi. |
| Modalità di recupero delle password di amministrazione. | È possibile contattare l'assistenza di CoreTech. |
| Possibilità di assegnazione a più utenti dei poteri di amministrazione, anche su singole parti del sistema. | Yes. |
| Personalizzazione delle credenziali per gli amministratori di sistema (e userid personali) | Yes. |
| Disabling default userids | La user-id assegnata è personalizzata. |
| Controllo automatico delle caratteristiche delle password in modo che gli utenti non le scelgano banali: complessità (devono essere presenti lettere e numeri; oppure lettere minuscole, lettere maiuscole e numeri e caratteri speciali), lunghezza (minimo 8 caratteri), scadenza (affinché siano cambiate almeno ogni 3 mesi), blocco in caso di inattività dell’utente (dopo non più di 6 mesi), non ripetibilità delle ultime 5 o 10 password. | Sygma. |
| Controllo automatico della non banalità delle password; p.e. password non nel dizionario, non una variazione della user-id come Cesare1970, non una variazione del nome dell’applicazione come Oracle70, non una password popolare come 12345678 (queste regole sono considerate alternative e più sicure di quelle relative alla complessità descritta sopra). | Sygma. |
| Disponibilità di strumenti di MFA. | Per gli AdS interni: Sì per Sygma. |
| Messaggi di errore di autenticazione che non specificano dettagli (dicono solo, p.e., "credenziali non corrette"). | Yes. |
| Configurazione affinché gli utenti siano sconnessi dopo 5 o 10 o più minuti di inattività. | Dipende dal sistema. |
| Configurazione affinché gli utenti non possano connettersi in specifici orari o da alcuni Paesi. | NO. |
| Modalità di interfacciamento con altri programmi o con l’utente che preveda connessioni cifrate, scambio di certificati digitali, autenticazione reciproca senza utenze di amministrazione o generiche. | In alcuni casi, sono usate credenziali di servizio, ma con controllo dell'IP di origine. |
| Encrypted data storage. | Unencrypted data. |
| Encrypted data transmission | For email, CoreTech provides certificates. |
| Meccanismi di firma o logging se devono essere garantiti certi livelli di non ripudiabilità delle attività. | N/A |
| Meccanismi Crittografici | Le comunicazioni sono su https con TLS da 1 a 1.3. Il server non è cifrato. |
| Accesso alla chiavi crittografiche limitato ai soli amministratori di sistema o solo a processi interni del software. |
Internamente, le chiavi private sono usate con i certificati e i certificati sono modificabili solo dagli AdS.
I clienti gestiscono i certificati: -in autonomia per i servizi che lo prevedono; -attraverso gli AdS di CoreTech per altri servizi (p.e. email). |
| Chiavi crittografiche generate secondo metodi sicuri, partendo da seed generati casualmente. | External certificates used. |
| Disponibilità di log applicativi e log delle attività degli amministratori di sistema. | Log applicativi dipendono dall'applicazione. |
| User logs | Vedere sopra. |
| Meccanismi per garantire la sicurezza dei log. | Sicurezza assicurata dall'applicazione. |
| Meccanismi per stabilire la durata della conservazione dei log. | Set 6 months. |
| Modalità di collegamento del sistema ai sistemi di monitoraggio già in uso. | See "Infrastructure". |
| Clock sincronizzabile con un NTP server. | See "Infrastructure". |
| Definizione di “prestazioni accettabili” | See "Infrastructure". |
| Modularità del sistema, in modo che sue diverse componenti possano essere installate in ambienti diversi. |
I server sono suddivisi in cluster per ottimizzare le prestazioni.
Ciascun servizio, poi, dove opportuno, è suddiviso in ulteriori server, preferibilmente in cluster diversi. |
| Backup (frequenza, tempi di conservazione, locazione) | Vedere sopra. |
| Verifica e sanamento (dall’inglese sanitization) dei dati in ingresso a livello server, soprattutto quando ricevuti da fonti non sicure come il web (per esempio, se è prevista una data, il sistema verifica che si tratti di una data e non di altri caratteri; se sono previsti input di un certo numero di caratteri, il sistema verifica che la loro lunghezza non sia eccedente). |
Developed in-house:
-input tutti validati (Rocket Newsletter è stato anche oggetto di VA), anche oggetto di check list di sviluppo -WAF di Plesk attivo per RocketWeb (e quindi Rocket Newsletter). |
| Filtri quando si modificano i dati, per esempio con messaggi “sei sicuro di voler modificare” o con richiesta di validazione da altri utenti. |
A seconda delle criticità dell'operazione, per confermarla sono attivi i seguenti meccanismi:
-modifiche reversibili, che quindi non richiedono conferma; -richiesta conferma per modifiche non reversibili non impattanti (p.e. cancellazione ticket); -richiesta conferma email per modifiche non reversibili impattanti (p.e. cancellazione VM); -richiesta di conferma con ulteriori dati di input, in alternativa al precedente. |
| Limitazione delle possibilità di ricerca, in modo che un utente non possa visualizzare dati a cui non è autorizzato. | N/A |
| Dati a video e stampati senza informazioni riservate o per le quali l’utente non ha le autorizzazioni ad accedere. | N/A |
| Possibility of anonymization or pseudonymization of data | N/A |
| Tipo di messaggi e di avvisi lanciati dal sistema che forniscano sufficienti informazioni al personale autorizzato, ma non forniscano informazioni a malintenzionati (per esempio, fornendo troppi dettagli sul tipo di errore quando si inseriscono credenziali sbagliate). |
Yes.
Esempio: messaggi di errori e di conferma per password errate e per cambio password. |
| Sistemi di cancellazione automatica dei dati, o di avviso, quando hanno superato il tempo di conservazione previsto (retention time). | N/A |
| Data deletion methods | Responsible for the user. |
| Garanzia della gestione delle vulnerabilità riscontrate e del patching (il produttore deve garantire un servizio di avviso e di invio delle correzioni). | I servizi erogati sono in cloud e pertanto CoreTech aggiorna i pacchetti a seconda delle specifiche del fornitore. |
Version 2 dated 05/09/2024
| Description | |
| File sharing service Product Page |
|
| Management platform | |
| Roles and responsibilities | |
|
CoreTech acts as Administrator or Sub Responsible for all treatments, while it is the owner of client contact data only
With regards to data compliance and security, both CoreTech and the customer are both responsible, albeit on different fronts. As reported below Link |
|
| CoreTech Responsibilities |
-Daily backup check. Backup retention is 35 days (5 weeks).
-Keep Rocketbox servers updated with the most stable and secure software versions released by the manufacturer. -Keep the web server monitored in order to guarantee continuity of service. |
| Customer Responsibility |
-Set passwords to access the RocketBox panel.
-Carefully guard your access data to the RocketBox service and limit its disclosure. - Intervene promptly in the event of reports from CoreTech on problems relating to the security of its website. Periodically check the integrated Restore data functionality of your website. -CoreTech in case of anomalies that could lead to a data security problem. |
| Datacenter | |
| TIER4 - This is the highest level of assurance a datacenter can offer, with 99.9% availability. Identify a catacenter completely redundant in terms of electrical, cooling and network circuits. This indicator refers to an architecture that allows you to cope with serious technical incidents without ever interrupting the availability of servers. | |
| Geographic location | European Union |
| Etichettatura | |
| nominare i file come più opporturno | |
| Funzionalità presenti sul Pannello di Controllo | |
| Pannello Rocketbox. Controllo tramite la dashboard di Sygma, che permette di aumentare le risorse previo acquisto. | |
| Admin Panel |
-L'admin può creare gli utenti che possono accedere; gli utenti con cui si condivide possono agire secondo i criteri di condivisione impostati per ogni cartella.
-Le password sono impostate con requisiti di complessità delle password per tutti gli utenti e utilizzatori dei servizi. |
| SLA | |
|
Monthly SaaS 99,8% (1h 26m) Ordinary and extraordinary maintenance activities reported on the site 4 hours in advance are excluded |
|
| Penalties | |
|
SLA SaaS <99,8% (1h 26m) = 10% <99,5% (3h 36) = 20% <99,00% (7h 18m 17s) = 50% |
|
| Backup | |
|
The Rocketbox service includes the Backup service replicated on Cloud Storage S3 Backup is done using the 1Backup service SLA RocketBox
|
|
| Data Backup |
daily - 40 day retention - 1Backup encryption |
| VM backup of the server |
ogni 15 giorni - retention 2 backup dopo si sovrascrive |
| Restore |
By request to customer support who will restore what is requested |
| Replica Geografica') ?> |
Il backup viene replicato su Cloud Storage S3 - situato in un DataCenter fuori dall'italia in un paese dell'Unione Europea |
| Problem Tolerance | |
| Multiple Servers |
The servers that provide the Rocketbox storage service are different and multiple These servers are virtual machines residing on Vmware clusters consisting of 3 physical nodes The Services benefit from the Stellar infrastructure Stellar site |
| Configuration Storage Raid6 |
The disk configuration of the backup destination storage is in RAID6 The storage on which the data backups reside has dual power supplies and dual network connectivity Il controller dei dischi è doppia |
| Disaster Recovery | Replicated data and backup set on another Datacenter. |
| Support | |
| Support Page - Link | |
| Access to Data | |
|
The customer in possession of the access data can access the data only via web interface or synchronous client or WEBDAV protocol Sono disponibili sistemi per recuperare o modificare il conto password tramite interfaccia web |
|
| Contract Cancellation / Closure | |
| The data is deleted after 30 days from the cancellation of the service | |
| Portability | |
| Download complete with the Rocketbox client by yourself. | |
| Processo di assistenza per il soddisfacimento dei diritti degli interessati | |
| Data Processing Agreement (DPA) - Link page | |
| How personal data breaches are handled | |
| Data Processing Agreement (DPA) - Link page | |
| Raccolta Prove | |
|
If the customer needs to collect evidence or request assistance, he can send the request to the email address
supporto@coretech.it in case the requested assistance is not within the competence of the support or for other reasons he can contact the Privacy contact at email privacy@coretech.it |
|
| User Manual Link | |
| KB RocketBox Link | |
| Security measures | |
| Data Processing Agreement (DPA) - Link page | |
| User Management | Per gli utenti dei clienti, è possibile gestire gli utenti di Sygma. |
| Personal userids for users | Per i clienti, è possibile creare utenti con userid personali. |
| Livello di dettaglio con cui si possono impostare i diritti di accesso ai sistemi (singola funzionalità, singola transazione, eccetera). | Con pannello admin si stabiliscono in autonomia gli utenti che possono accedere, le autorizzazioni e i metodi di autenticazione (inclusa lunghezza e complessità delle password). |
| Verifica delle autorizzazioni per accedere o visualizzare le elaborazioni |
I clienti possono visualizzare gli utenti e le autorizzazioni dai pannelli di controllo dei singoli servizi acquistati (incluso Sygma)
CoreTech può visualizzare gli utenti AdS verificando i singoli sistemi. |
| Opzione "cambia la password al primo utilizzo" quando si inserisce un nuovo utente o quando la password è modificata dagli amministratori di sistema (per esempio se l'utente l'ha dimenticata). |
For Sygma users -in caso di creazione dell'utenza, il cambio della password è obbligatorio; -per il reset password, l'utente avvia la procedura in autonomia. Per i servizi, sono assegnate user-id e password di amministrazione ai clienti, che la gestiscono in autonomia. |
| Modifica della password da parte dell’utente |
Per i clienti: per il reset password, l'utente avvia la procedura di Sygma in autonomia.
Per gli AdS interni, le password sono gestite tramite Sygma. |
| Password nascosta nel campo dove inserire la password | Yes. |
| Possibilità di bloccare l’utenza dopo un certo numero di tentativi errati di inserimento della password (da non applicare a tutti gli amministratori di sistema perché, in caso di attacco, nessuno potrebbe più accedere al sistema). |
Su Sygma è abilitato l'invio dell'email ad ogni tentativo sbagliato. Inoltre, dopo un certo numero di tentativi, si avvia una procedura di rallentamento. Per gli AdS di CoreTech, è usato Sygma. I virtualizzatori bloccano per 5 minuti le utenze dopo 5 tentativi falliti. Però al momento non sono lanciati allarmi. |
| Modalità di recupero delle password di amministrazione. | È possibile contattare l'assistenza di CoreTech. |
| Possibilità di assegnazione a più utenti dei poteri di amministrazione, anche su singole parti del sistema. | Yes. |
| Personalizzazione delle credenziali per gli amministratori di sistema (e userid personali) | Yes. |
| Disabling default userids | Yes. |
| Controllo automatico delle caratteristiche delle password in modo che gli utenti non le scelgano banali: complessità (devono essere presenti lettere e numeri; oppure lettere minuscole, lettere maiuscole e numeri e caratteri speciali), lunghezza (minimo 8 caratteri), scadenza (affinché siano cambiate almeno ogni 3 mesi), blocco in caso di inattività dell’utente (dopo non più di 6 mesi), non ripetibilità delle ultime 5 o 10 password. | Sygma. |
| Controllo automatico della non banalità delle password; p.e. password non nel dizionario, non una variazione della user-id come Cesare1970, non una variazione del nome dell’applicazione come Oracle70, non una password popolare come 12345678 (queste regole sono considerate alternative e più sicure di quelle relative alla complessità descritta sopra). | Sygma. |
| Disponibilità di strumenti di MFA. | Per gli AdS interni: Sì per Sygma. |
| Messaggi di errore di autenticazione che non specificano dettagli (dicono solo, p.e., "credenziali non corrette"). | Yes. |
| Configurazione affinché gli utenti siano sconnessi dopo 5 o 10 o più minuti di inattività. | Dipende dal sistema. |
| Configurazione affinché gli utenti non possano connettersi in specifici orari o da alcuni Paesi. | NO. |
| Modalità di interfacciamento con altri programmi o con l’utente che preveda connessioni cifrate, scambio di certificati digitali, autenticazione reciproca senza utenze di amministrazione o generiche. | In alcuni casi, sono usate credenziali di servizio, ma con controllo dell'IP di origine. |
| Encrypted data storage | Unencrypted data. |
| Encrypted data transmission | Tutte le connessioni sono cifrate. Certificati con Certum. |
| Meccanismi di firma o logging se devono essere garantiti certi livelli di non ripudiabilità delle attività. | Non presenti strumenti di firma. |
| Meccanismi Crittografici |
Le comunicazioni sono su https con TLS da 1 a 1.3.
Il server non è cifrato. I clienti possono cifrare autonomamente i propri dati. |
| Accesso alla chiavi crittografiche limitato ai soli amministratori di sistema o solo a processi interni del software. |
Internamente, le chiavi private sono usate con i certificati e i certificati sono modificabili solo dagli AdS.
I clienti gestiscono i certificati: -in autonomia per i servizi che lo prevedono; -attraverso gli AdS di CoreTech per altri servizi (p.e. email). |
| Chiavi crittografiche generate secondo metodi sicuri, partendo da seed generati casualmente. | External certificates used. |
| Disponibilità di log applicativi e log delle attività degli amministratori di sistema. | Log applicativi dipendono dall'applicazione. |
| User logs | Vedere sopra. |
| Meccanismi per garantire la sicurezza dei log. | Sicurezza assicurata dall'applicazione. |
| Meccanismi per stabilire la durata della conservazione dei log | Set 6 months. |
| Modalità di collegamento del sistema ai sistemi di monitoraggio già in uso. | See "Infrastructure". |
| Clock sincronizzabile con un NTP server. | See "Infrastructure". |
| Definizione di “prestazioni accettabili” | See "Infrastructure". |
| Modularità del sistema, in modo che sue diverse componenti possano essere installate in ambienti diversi. |
I server sono suddivisi in cluster per ottimizzare le prestazioni.
Ciascun servizio, poi, dove opportuno, è suddiviso in ulteriori server, preferibilmente in cluster diversi. Modular services are: -RocketBox con server web, db e storage dati; -Sygma con server web e storage. |
| Backup (frequenza, tempi di conservazione, locazione) | Vedere sopra. |
| Verifica e sanamento (dall’inglese sanitization) dei dati in ingresso a livello server, soprattutto quando ricevuti da fonti non sicure come il web (per esempio, se è prevista una data, il sistema verifica che si tratti di una data e non di altri caratteri; se sono previsti input di un certo numero di caratteri, il sistema verifica che la loro lunghezza non sia eccedente). | Pacchetto, gestito o tramite la propria interfaccia o tramite interfaccia Sygma (vedere sotto). |
| Filtri quando si modificano i dati, per esempio con messaggi “sei sicuro di voler modificare” o con richiesta di validazione da altri utenti. |
A seconda delle criticità dell'operazione, per confermarla sono attivi i seguenti meccanismi: -modifiche reversibili, che quindi non richiedono conferma; -richiesta conferma per modifiche non reversibili non impattanti (p.e. cancellazione ticket); -richiesta conferma email per modifiche non reversibili impattanti (p.e. cancellazione VM); -richiesta di conferma con ulteriori dati di input, in alternativa al precedente. |
| Dati a video e stampati senza informazioni riservate o per le quali l’utente non ha le autorizzazioni ad accedere. | No for the type of service. |
| Possibility of anonymization or pseudonymization of data | No for the type of service. |
| Tipo di messaggi e di avvisi lanciati dal sistema che forniscano sufficienti informazioni al personale autorizzato, ma non forniscano informazioni a malintenzionati (per esempio, fornendo troppi dettagli sul tipo di errore quando si inseriscono credenziali sbagliate). |
Yes.
Esempio: messaggi di errori e di conferma per password errate e per cambio password. |
| Sistemi di cancellazione automatica dei dati, o di avviso, quando hanno superato il tempo di conservazione previsto (retention time). | No for the type of service. |
| Data deletion methods | A conclusione del servizio, è cancellata la singola istanza (senza cifratura). |
| Garanzia della gestione delle vulnerabilità riscontrate e del patching (il produttore deve garantire un servizio di avviso e di invio delle correzioni). | I servizi erogati sono in cloud e pertanto CoreTech aggiorna i pacchetti a seconda delle specifiche del fornitore. |
Version 2 dated 05/09/2024
| Description | |
| Sigillo is the advanced electronic signature that allows you to sign contracts with a simple and fast workflow. The process of sending the contracts is carried out entirely via web browser, both for those who send the contract and for those who receive it. | |
| Roles and responsibilities | |
| &nbps; | |
| CoreTech Responsibilities | Mantenere la piattaforma. |
| Customer Responsibility | Usare diligentemente la piattaforma. |
| Datacenter | |
| TIER4 - This is the highest level of assurance a datacenter can offer, with 99.9% availability. Identify a catacenter completely redundant in terms of electrical, cooling and network circuits. This indicator refers to an architecture that allows you to cope with serious technical incidents without ever interrupting the availability of servers. | |
| Geographic location | European Union |
| Etichettatura | |
| N/A | |
| Funzionalità presenti sul Pannello di Controllo: | |
| Admin Panel | N/A |
| SLA | |
|
Monthly SaaS 99,8% (1h 26m) Ordinary and extraordinary maintenance activities reported on the site 24 hours in advance are excluded. (except for emergencies related to safety problems that require our immediate intervention) |
|
| Penalties | |
|
SLA SaaS <99,8% (1h 26m) = 10% <99,5% (3h 36) = 20% <99,00% (7h 18m 17s) = 50% |
|
| Backup | |
| Sigillo is a service based on Rocketweb and therefore the Backup features correspond to Rocketweb. | |
| Problem Tolerance | |
| Sigillo is a service based on Rocketweb and therefore the characteristics of Tolerance correspond to Rocketweb. | |
| Support | |
| Standard | |
| Access to Data | |
|
The user in possession of the access data to the platform has been authorized and has access to all the data contained in the documents and the tracking of signature data. CoreTech has no direct visibility of the data contained and cannot remotely access the machines unless it is expressly requested and authorized by the client. |
|
| Contract Cancellation / Closure | |
| The data is deleted after 60 days from the termination of the service. | |
| Portability | |
| N/A | |
| Processo di assistenza per il soddisfacimento dei diritti degli interessati | |
| Data Processing Agreement (DPA) - Link page | |
| How personal data breaches are handled | |
| Data Processing Agreement (DPA) - Link page | |
| Raccolta Prove | |
|
If the customer needs to collect evidence or request assistance, he can send the request to the email address supporto@coretech.it in case the requested assistance is not within the competence of the support or for other reasons he can contact the Privacy contact at email privacy@coretech.it |
|
| User Manual Link | |
| KB Sigillo Link | |
| Security measures | |
| Data Processing Agreement (DPA) - Link page | |
| User Management | Per gli utenti dei clienti, è possibile gestire gli utenti di Sygma. |
| Personal userids for users | Per i clienti, è possibile creare utenti con userid personali. |
| Livello di dettaglio con cui si possono impostare i diritti di accesso ai sistemi (singola funzionalità, singola transazione, eccetera). | Access guaranteed for every user. |
| Verifica delle autorizzazioni per accedere o visualizzare le elaborazioni. |
I clienti possono visualizzare gli utenti e le autorizzazioni dai pannelli di controllo dei singoli servizi acquistati (incluso Sygma).
CoreTech può visualizzare gli utenti AdS verificando i singoli sistemi. |
| Opzione "cambia la password al primo utilizzo" quando si inserisce un nuovo utente o quando la password è modificata dagli amministratori di sistema (per esempio se l'utente l'ha dimenticata). |
For Sygma users
- in caso di creazione dell'utenza, il cambio della password è obbligatorio; - per il reset password, l'utente avvia la procedura in autonomia. Per i servizi, sono assegnate user-id e password di amministrazione ai clienti, che la gestiscono in autonomia. |
| Modifica della password da parte dell’utente |
Per i clienti: per il reset password, l'utente avvia la procedura di Sygma in autonomia. Per gli AdS interni, le password sono gestite tramite Sygma. |
| Password nascosta nel campo dove inserire la password. | Yes. |
| Possibilità di bloccare l’utenza dopo un certo numero di tentativi errati di inserimento della password (da non applicare a tutti gli amministratori di sistema perché, in caso di attacco, nessuno potrebbe più accedere al sistema). |
Su Sygma è abilitato l'invio dell'email ad ogni tentativo sbagliato.
Inoltre, dopo un certo numero di tentativi, si avvia una procedura di rallentamento. Per gli AdS di CoreTech, è usato Sygma. I virtualizzatori bloccano per 5 minuti le utenze dopo 5 tentativi falliti. Però al momento non sono lanciati allarmi. |
| Modalità di recupero delle password di amministrazione. | È possibile contattare l'assistenza di CoreTech. |
| Possibilità di assegnazione a più utenti dei poteri di amministrazione, anche su singole parti del sistema. | Yes. |
| Personalizzazione delle credenziali per gli amministratori di sistema (e userid personali) | Yes. |
| Disabling default userids | Not applicable |
| Controllo automatico delle caratteristiche delle password in modo che gli utenti non le scelgano banali: complessità (devono essere presenti lettere e numeri; oppure lettere minuscole, lettere maiuscole e numeri e caratteri speciali), lunghezza (minimo 8 caratteri), scadenza (affinché siano cambiate almeno ogni 3 mesi), blocco in caso di inattività dell’utente (dopo non più di 6 mesi), non ripetibilità delle ultime 5 o 10 password. | Sygma. |
| Controllo automatico della non banalità delle password; p.e. password non nel dizionario, non una variazione della user-id come Cesare1970, non una variazione del nome dell’applicazione come Oracle70, non una password popolare come 12345678 (queste regole sono considerate alternative e più sicure di quelle relative alla complessità descritta sopra). | Sygma. |
| Disponibilità di strumenti di MFA. | Per gli AdS interni: Sì per Sygma. |
| Messaggi di errore di autenticazione che non specificano dettagli (dicono solo, p.e., "credenziali non corrette"). | Yes. |
| Configurazione affinché gli utenti siano sconnessi dopo 5 o 10 o più minuti di inattività. | Dipende dal sistema. |
| Configurazione affinché gli utenti non possano connettersi in specifici orari o da alcuni Paesi. | NO. |
| Modalità di interfacciamento con altri programmi o con l’utente che preveda connessioni cifrate, scambio di certificati digitali, autenticazione reciproca senza utenze di amministrazione o generiche. | In alcuni casi, sono usate credenziali di servizio, ma con controllo dell'IP di origine. |
| Encrypted data storage. | Unencrypted data. |
| Encrypted data transmission | Tutte le connessioni sono cifrate. Certificati con Certum. |
| Meccanismi di firma o logging se devono essere garantiti certi livelli di non ripudiabilità delle attività. | Prodotto stesso di firma. |
| Meccanismi Crittografici | Le comunicazioni sono su https con TLS da 1 a 1.3. Il server non è cifrato. I clienti possono cifrare autonomamente i propri dati. |
| Accesso alla chiavi crittografiche limitato ai soli amministratori di sistema o solo a processi interni del software. |
Internamente, le chiavi private sono usate con i certificati e i certificati sono modificabili solo dagli AdS.
I clienti gestiscono i certificati: -in autonomia per i servizi che lo prevedono; -attraverso gli AdS di CoreTech per altri servizi (p.e. email). |
| Chiavi crittografiche generate secondo metodi sicuri, partendo da seed generati casualmente. | External certificates used. |
| Disponibilità di log applicativi e log delle attività degli amministratori di sistema. | Log applicativi dipendono dall'applicazione. |
| User logs | Vedere sopra. |
| Meccanismi per garantire la sicurezza dei log. | Sicurezza assicurata dall'applicazione. |
| Meccanismi per stabilire la durata della conservazione dei log. | Set 6 months. |
| Modalità di collegamento del sistema ai sistemi di monitoraggio già in uso. | See "Infrastructure". |
| Clock sincronizzabile con un NTP server. | See "Infrastructure". |
| Definizione di “prestazioni accettabili” | See "Infrastructure". |
| Modularità del sistema, in modo che sue diverse componenti possano essere installate in ambienti diversi. |
I server sono suddivisi in cluster per ottimizzare le prestazioni.
Ciascun servizio, poi, dove opportuno, è suddiviso in ulteriori server, preferibilmente in cluster diversi. |
| Backup (frequenza, tempi di conservazione, locazione) | Vedere sopra. |
| Verifica e sanamento (dall’inglese sanitization) dei dati in ingresso a livello server, soprattutto quando ricevuti da fonti non sicure come il web (per esempio, se è prevista una data, il sistema verifica che si tratti di una data e non di altri caratteri; se sono previsti input di un certo numero di caratteri, il sistema verifica che la loro lunghezza non sia eccedente). |
Developed in-house:
-input tutti validati (Rocket Newsletter è stato anche oggetto di VA), anche oggetto di check list di sviluppo -WAF di Plesk attivo per RocketWeb (e quindi Rocket Newsletter). |
| Filtri quando si modificano i dati, per esempio con messaggi “sei sicuro di voler modificare” o con richiesta di validazione da altri utenti. |
A seconda delle criticità dell'operazione, per confermarla sono attivi i seguenti meccanismi:
-modifiche reversibili, che quindi non richiedono conferma; -richiesta conferma per modifiche non reversibili non impattanti (p.e. cancellazione ticket); -richiesta conferma email per modifiche non reversibili impattanti (p.e. cancellazione VM); -richiesta di conferma con ulteriori dati di input, in alternativa al precedente. |
| Limitazione delle possibilità di ricerca, in modo che un utente non possa visualizzare dati a cui non è autorizzato. | No for the type of service. |
| Dati a video e stampati senza informazioni riservate o per le quali l’utente non ha le autorizzazioni ad accedere. | No for the type of service. |
| Possibility of anonymization or pseudonymization of data | No for the type of service. |
| Tipo di messaggi e di avvisi lanciati dal sistema che forniscano sufficienti informazioni al personale autorizzato, ma non forniscano informazioni a malintenzionati (per esempio, fornendo troppi dettagli sul tipo di errore quando si inseriscono credenziali sbagliate). |
Yes.
Esempio: messaggi di errori e di conferma per password errate e per cambio password. |
| Sistemi di cancellazione automatica dei dati, o di avviso, quando hanno superato il tempo di conservazione previsto (retention time). | Le informazioni sono dell'utente che quindi decide autonomamente se cancellarle. |
| Data deletion methods | A conclusione del servizio, è cancellata la singola istanza (senza cifratura). |
| Garanzia della gestione delle vulnerabilità riscontrate e del patching (il produttore deve garantire un servizio di avviso e di invio delle correzioni). | I servizi erogati sono in cloud e pertanto CoreTech aggiorna i pacchetti a seconda delle specifiche del fornitore. |
| Document title: | SLA_services |
|---|---|
| Document version: | V. 2 |
| Date of last adjustment: | 04/11/2021 |
Management and quality
Management of data and security information
Security management
for Cloud Providers
Management of personal data
in Cloud
Information management
on Privacy
Data protection
