R

Trasparenza su dove girano i suoi dati

Sicurezza e hosting

Ospitato in Europa (Hetzner, Germania) — conforme GDPR, nessun dato lascia l'UE. Questa pagina spiega in dettaglio dove girano i suoi dati, perché la residenza europea soddisfa il GDPR e il decreto NIS (DLgs 138/2024) per le entità italiane, e quali controlli tecnici sono in vigore.

Onestà prima di tutto. Reglyze NON è ospitata in Italia. La nostra infrastruttura di produzione gira su server fisici di Hetzner Online GmbH nel data center di Falkenstein (Germania). Preferiamo dirlo qui, per primo, piuttosto che promettere un hosting esclusivamente nazionale e poi non mantenerlo silenziosamente — qualunque revisore può verificare l'IP pubblico di api.reglyze.com via WHOIS in 30 secondi.

Dove sono i suoi dati

Server applicativi

Hetzner Online GmbH — data center di Falkenstein (Sassonia, Germania). Server fisico dedicato, IP pubblico 95.216.191.129 (verificabile via WHOIS).

Database PostgreSQL

Co-localizzato sullo stesso server di produzione (Germania). Cifratura a riposo a livello di file system. Isolamento dei tenant tramite Row-Level Security.

File caricati (policy, evidenze)

Object storage MinIO sullo stesso server (Germania). URL pre-firmati di 5 minuti per il download — nessun accesso pubblico.

Backup

Snapshot giornaliero compresso + cifrato. Retention di 7 giorni in locale (Hetzner Germania) + mirroring su Google Drive in data center europei (Google Cloud UE).

Chi pubblica Reglyze

Reglyze è un editore italiano? No — e lo diciamo apertamente. Reglyze è pubblicata e gestita da Reglyze SAS, una società di diritto francese. Non rivendichiamo una sede o un'editoria italiana che non possiamo provare: la stessa trasparenza che applichiamo all'hosting (Germania, non Italia) la applichiamo all'entità che gestisce il servizio. Ai fini della conformità questo non cambia nulla — Reglyze agisce come responsabile/sub-responsabile del trattamento sotto un Data Processing Agreement (art. 28 GDPR), mentre il dovere di cybersicurezza NIS 2 resta sempre in capo all'operatore italiano.

Perché la Germania è conforme al GDPR per l'Italia

Sia l'Italia che la Germania sono Stati membri dell'Unione Europea, quindi applicano lo stesso Regolamento (UE) 2016/679 (GDPR). Ai fini del trasferimento di dati fra i due Paesi, il GDPR tratta questi flussi come interni al mercato unico — non esistono "trasferimenti internazionali" (artt. 44-49) e non servono clausole contrattuali tipo (SCC).

  • Autorità sotto l'EDPB. Il Garante per la protezione dei dati personali (Italia) e il BfDI / le autorità dei Länder (Germania) partecipano all'European Data Protection Board e applicano la stessa giurisprudenza.
  • Stessa protezione in caso di incidente. Una violazione di dati personali si notifica al Garante (autorità di controllo dell'entità cliente) — non alle autorità tedesche — poiché il titolare del trattamento resta in Italia.
  • Nessuna esposizione al CLOUD Act. Hetzner è una società tedesca indipendente, senza capitale o controllate negli Stati Uniti. Non è soggetta al US CLOUD Act né alla FISA Section 702 — rischi che persistono anche quando gli hyperscaler nordamericani aprono regioni in Italia.
  • Energia 100% rinnovabile. I data center Hetzner di Falkenstein operano con elettricità certificata rinnovabile — rilevante per le entità pubbliche italiane con criteri di appalto ESG (Criteri Ambientali Minimi, art. 57 del Codice dei contratti pubblici, DLgs 36/2023).

Dipendenze fuori dall'UE e come sono trattate

Per piena onestà: ci sono tre servizi esterni nello stack Reglyze che non si trovano nell'UE. Ecco come sono trattati.

Anthropic (modello di IA Claude)

La funzionalità di generazione delle policy e delle risposte ai questionari invoca il modello Claude tramite l'API Anthropic (Stati Uniti). Prima di ogni chiamata il testo passa per un redattore PII che sostituisce email, numeri di telefono, partita IVA, IBAN e altri identificatori con placeholder. Anthropic non viene addestrata sui dati di input (clausola contrattuale). Questa dipendenza può essere disattivata per organizzazione (kill-switchREGLYZE_LLM_REMEDIATION) per i clienti con requisiti giuridici più stringenti.

Stripe (pagamenti)

Solo i dati strettamente necessari al trattamento dei pagamenti (nome, email di fatturazione, ultime quattro cifre della carta). Stripe Ireland Limited (Dublino, Irlanda) è il responsabile del trattamento; Stripe Inc. (USA) è sub-responsabile sotto Standard Contractual Clauses e impegni contrattuali espliciti. Nessun dato di conformità NIS 2 attraversa Stripe.

Cloudflare (mitigazione DDoS + cache)

Cloudflare gestisce un'infrastruttura distribuita a livello globale, ma per il traffico europeo la consegna è servita da PoP nell'UE (Milano, Francoforte, Parigi). Transitano solo metadati di richiesta (IP, user-agent). Il contenuto applicativo è cifrato TLS 1.3 punto-punto fino al server di Falkenstein.

Controlli tecnici in vigore

  • TLS 1.3 in transito. Cifratura punto-punto fra il browser dell'operatore e il server di produzione. SSL Full mode su Cloudflare (nessun fallback HTTP).
  • Cifratura a riposo. Il file system del server di produzione è cifrato; i backup sono compressi e cifrati prima di lasciare il server.
  • Isolamento dei tenant. Ogni entità cliente è un'organizzazione con chiave primaria propria; le query SQL passano per filtri applicativi obbligatori. Test automatizzati di cross-tenant isolation girano in CI prima di ogni deploy.
  • Audit log immutabile. Tutta l'attività rilevante (modifiche di scoping, generazione di documenti, pacchetti ACN preparati) è registrata in una tabella append-only con protezioni a livello di ruolo del database (ADR 0019 dell'architettura Reglyze).
  • Segregazione delle chiavi API. Gli ambienti dev / prod usano chiavi Anthropic distinte, con rotazione documentata in un runbook. L'accesso al server di produzione è via SSH con chiave pubblica dedicata (nessuna autenticazione tramite password).
  • Code review obbligatoria. Tutto il codice che va in produzione passa per una revisione (umana o tramite agente di code-review automatizzato) prima del merge. La pipeline di deploy esegue un backup completo prima di applicare le migrazioni e fa rollback automatico in caso di fallimento dello smoke-test.

Domande frequenti

Dove sono ospitati i miei dati quando uso Reglyze?

Tutti i dati applicativi — database, file caricati, registri di audit, backup — risiedono su server fisici di Hetzner Online GmbH nel data center di Falkenstein (Germania). L'indirizzo IP di produzione è pubblico (95.216.191.129) e verificabile via WHOIS. Nessun dato del cliente lascia lo Spazio Economico Europeo.

Reglyze è un editore italiano?

No. Reglyze è pubblicata e gestita da Reglyze SAS, una società di diritto francese. Siamo un editore europeo, non italiano, e operiamo come responsabile/sub-responsabile del trattamento al servizio dell'entità cliente sotto un Data Processing Agreement (art. 28 GDPR). La conformità NIS 2 resta sempre in capo all'operatore italiano.

Perché Reglyze non è ospitata in Italia?

La scelta di un data center tedesco dipende dalla maturità del mercato europeo dell'infrastruttura e dalla stabilità economica del fornitore (Hetzner è un provider europeo indipendente, senza capitale statunitense e senza esposizione al CLOUD Act). Ai fini del GDPR la residenza in Italia o in Germania è equivalente — entrambi gli Stati membri applicano lo stesso Regolamento (UE) 2016/679.

I miei dati possono essere acceduti dalle autorità statunitensi?

No. Hetzner è una società tedesca senza capitale o giurisdizione negli USA, quindi non è soggetta al US CLOUD Act né alla FISA Section 702. Reglyze non usa servizi gestiti di AWS, Google Cloud o Azure per i dati del cliente. Le uniche dipendenze fuori dall'UE sono Anthropic (con redazione PII prima dell'invio) e Stripe (solo per i pagamenti, sotto SCC).

Reglyze è conforme al decreto NIS (DLgs 138/2024) e al GDPR per le entità italiane?

Sì. Come sub-responsabile del trattamento al servizio dell'entità cliente, Reglyze opera sotto un Data Processing Agreement (DPA) che applica i requisiti dell'art. 28 GDPR. Per il decreto NIS, Reglyze è uno strumento operativo al servizio del dovere di cybersicurezza del soggetto — non si registra né notifica in suo nome e non assume la responsabilità della conformità (principio ADR 0017 §1 dell'architettura Reglyze: l'ultimo clic è sempre dell'operatore).

Posso ricevere il DPA firmato prima di sottoscrivere?

Sì. Il DPA è fornito in IT e EN. Per i clienti dei piani Pro e MSP è firmato via email; le entità pubbliche possono richiedere una versione adattata alla procedura contrattuale pubblica. Contatti [email protected].

Risorse correlate

Inizi senza compromettere la residenza dei suoi dati

Reglyze è pensata per le entità europee. Inizi dalla diagnosi gratuita di 2 minuti — senza carta di credito, senza dati che lasciano l'UE.