Sicurezza & Responsible Disclosure

MedTransfer gestisce dati sanitari per conto di strutture sanitarie private. La sicurezza non è un modulo, è una condizione di esistenza. Questa pagina descrive come segnalare una vulnerabilità, la nostra politica di risposta e il perimetro autorizzato per i test.

Segnalare una vulnerabilità

Email dedicata (canale preferito): [email protected] — chiave PGP disponibile su richiesta.
File security.txt (RFC 9116) con contatti canonici.
Se sei già collaboratore della repo, puoi anche aprire un GitHub Security Advisory privato (richiede accesso, altrimenti usa l'email).

Politica di risposta (SLA)

Triage entro 4h lavorative per segnalazioni inviate lun-ven 09-18 Europe/Rome; entro 24h altrimenti.
Root-cause analysis entro 48h lavorative dal triage.
Avviso alla struttura cliente coinvolta entro 24 ore dalla scoperta di una violazione dei suoi dati, come previsto dal DPA Art. 28, perché possa notificare il Garante entro le 72 ore dell'Art. 33 GDPR.
Post-mortem anonimizzato condiviso con i clienti coinvolti entro 7 giorni dall'incident, nei casi di impatto diffuso.

Safe Harbor

Se segnali in buona fede una vulnerabilità rispettando questa politica (niente data exfiltration oltre il minimo necessario a dimostrare il problema, nessuna alterazione di dati, nessun impatto su altri utenti, nessun social engineering verso il nostro team), non procederemo contro di te né civilmente né penalmente e non chiederemo la rimozione di comunicazioni pubbliche dopo la coordinated disclosure.

Perimetro autorizzato

In perimetro:

medtransfer.it e sottodomini
App mobili di MedTransfer
API REST pubblica /api/public/*

Fuori perimetro:

Sistemi di clienti (cliniche, pazienti) ospitati da terzi
Dati reali di pazienti — se li ottieni come side-effect, cancella e segnala senza leggerli
Sistemi dei fornitori (Supabase, Google Cloud, Vercel, Cloudflare, Resend, Twilio, Stripe, Meta, OpenAI, ElevenLabs)

Posture tecnica (in sintesi)