• ISO/IEC 27001 — Oncode S.r.l., fornitore di sviluppo e infrastruttura di Duckday, è certificata per il proprio ISMS.
• ISO 9001 — gestione della qualità.
• GDPR — piena conformità, controlli ISO 27701 applicati.
• NIS2 ready — valutazione rispetto al D.Lgs. 138/2024.
• SOC 2 Type I/II — in roadmap (target 2027).

Duckday è ospitato su AWS eu-south-1 (Milano, Italia). Tutti i dati dei clienti restano in UE. I replica set MongoDB girano nella stessa region UE con failover automatico.

• In transito: TLS 1.3 con cipher suite forti, HSTS, cookie sicuri.
• A riposo: AES-256 a livello storage (S3, MongoDB, EBS).
• Segreti: gestiti tramite HashiCorp Vault con rotazione e audit logging.

• Password policy robusta e protezione anti-brute-force.
• MFA disponibile per gli amministratori.
• RBAC con permessi granulari.
• JWT a breve durata con rotazione del refresh token.
• SSO/SAML e provisioning SCIM in roadmap.

Tutte le operazioni di scrittura e quelle rilevanti per la sicurezza sono registrate in un audit log immutabile con stati before/after, autore, timestamp e contesto della richiesta. La telemetria operativa (metriche, log, trace, profili) è raccolta via OpenTelemetry su uno stack Grafana self-hosted (Loki, Tempo, Pyroscope).

Snapshot giornalieri criptati conservati in un account AWS separato, retention 30 giorni. Obiettivi: RPO 24 ore, RTO 4 ore. Sono condotte verifiche periodiche di restore.

• Code review obbligatoria su ogni modifica.
• SAST/DAST integrate nella CI/CD.
• Scansione delle dipendenze e SBOM.
• Formazione di security per il team di engineering.
• Threat modelling per le feature rilevanti.

Scansione continua delle dipendenze e delle container image. Un penetration test annuale di terza parte copre web app, API e infrastruttura. Le findings critiche sono risolte secondo SLA documentati (Critical: 7gg; High: 30gg; Medium: 90gg).

Seguiamo un playbook di incident response con turni on-call, classificazione di severity, canali di comunicazione interna e post-mortem. In caso di violazione di dati personali, i clienti sono notificati entro 24 ore come previsto dal DPA.

Per segnalazioni di sicurezza scrivere a [email protected]. Confermiamo la ricezione entro 2 giorni lavorativi. Non è attivo un programma di bug bounty pubblico al momento; è benvenuta la responsible disclosure.

• Security Policy (ISO-style)
• Data Processing Agreement
• Sub-responsabili
• Security Whitepaper (PDF — su richiesta)
• Sintesi pen test (PDF — sotto NDA)