Dati e privacy
- Dati dei clienti ospitati in Germania
- Non vendiamo dati personali
- Analytics caricati solo dopo il consenso ai cookie
- Registro delle scelte di consenso
- Accordo sul trattamento dei dati (DPA) su richiesta
Trust center
Sicurezza e protezione dei dati, in modo trasparente
Stadlio gestisce prenotazioni, pagamenti e dati di luoghi e viaggiatori. Qui trovi, in modo concreto, dove sono i dati, come li proteggiamo e quali fornitori certificati usiamo.
Aggiornato a ottobre 2026
Hosting in Germania
Dati dei clienti su infrastruttura Hetzner, nell’Unione Europea
Cifratura in transito
HTTPS/TLS su sito, API, CMS e pannello di amministrazione
Segreti cifrati AES-256
Token, credenziali e dati sensibili cifrati a riposo
Backup cifrati
Ogni notte, copia esterna, ripristino verificato ogni settimana
Pagamenti PCI DSS
Elaborati da Stripe: nessun dato di carta sui nostri server
GDPR · nLPD
Trattamento dei dati allineato alla normativa europea e svizzera
Come proteggiamo la piattaforma
Otto aree di controllo, descritte per ciò che facciamo davvero.
Infrastruttura
- Server su Hetzner, data center in Germania
- Servizi in container separati, dietro reverse proxy
- Certificati TLS rinnovati automaticamente
- Ambiente di staging separato dalla produzione
- Deploy tracciati da repository con branch dedicati
Accessi e autenticazione
- Password salvate solo come hash bcrypt, mai in chiaro
- Token di accesso a breve scadenza, con rinnovo controllato
- Sessioni amministrative revocabili
- Permessi per ruolo per staff e team dei clienti
- Pannello di amministrazione separato dal CMS dei clienti
Protezione delle API
- Limiti di richieste su login, registrazione, recupero password e codici OTP
- Blocco degli indirizzi IP abusivi
- Intestazioni di sicurezza e policy restrittiva sulle risposte API
- Firma dei webhook Stripe verificata
- Limiti di dimensione sulle richieste e sui caricamenti
Separazione tra clienti
- Ogni cliente opera nel proprio spazio dati (tenant)
- Le richieste autenticate sono vincolate al tenant di appartenenza
- Integrazioni con credenziali distinte per ogni cliente
Cifratura e segreti
- AES-256-GCM per token OAuth e credenziali delle integrazioni
- Dati sensibili dei documenti di guida cifrati nel database
- Chiavi e segreti fuori dal codice sorgente, in un vault sul server
- Backup cifrati con chiave privata custodita fuori dal server
Backup e continuità
- Backup del database ogni notte
- Copia esterna su storage separato, cifrata
- Ripristino di prova automatico ogni settimana
- Allarmi via email e messaggistica se un backup fallisce
Tracciabilità e monitoraggio
- Registro delle azioni amministrative: chi, cosa, quando, da quale IP
- Registro delle modifiche sensibili nel CMS di ogni cliente
- Log degli errori con identificativo di richiesta
- Controlli di stato e allarmi sui servizi
Fornitori con infrastruttura certificata
Ci appoggiamo a fornitori che mantengono certificazioni indipendenti sulla sicurezza.
FornitoreRuoloCertificazioni del fornitore
- HetznerHosting di piattaforma e database (Germania)ISO/IEC 27001
- StripePagamenti e Stripe ConnectPCI DSS Level 1SOC 2
- VercelHosting del sito webSOC 2 Type IIISO/IEC 27001
- CloudflareStorage dei backup cifratiISO/IEC 27001SOC 2 Type II
- BrevoInvio di email transazionaliISO/IEC 27001
Le certificazioni elencate appartengono ai fornitori, non a Stadlio. Per i dettagli sul trattamento dei dati consulta l’informativa privacy.
Segnalare una vulnerabilità
Se pensi di aver trovato un problema di sicurezza, scrivici: lo verifichiamo con priorità e ti rispondiamo. Ti chiediamo di non accedere a dati di altri utenti e di darci il tempo di correggere prima di divulgare.
Gestione degli incidenti
In caso di violazione dei dati personali informiamo i clienti interessati senza ritardo e, ove richiesto dalla normativa, entro 72 ore dal momento in cui ne veniamo a conoscenza.
Hai bisogno di un DPA o di un questionario di sicurezza?
Rispondiamo alle richieste di due diligence di luoghi, enti e gruppi alberghieri.