Viaondo custodisce ciò che le agenzie di viaggi gli affidano: i nomi dei loro clienti, biglietti, voucher e copie dei passaporti. Questa pagina spiega in modo semplice come sono protetti questi dati, compreso ciò che non abbiamo ancora. Gli aspetti legali sono nell’informativa sulla privacy, nell’accordo sul trattamento dei dati e nell’elenco dei sub-responsabili.
Dove si trovano i dati
- Database e file nell’Unione Europea. Viaggi, viaggiatori, documenti e impostazioni sono archiviati presso Cloudflare sotto giurisdizione UE (il database D1 e l’archiviazione dei file R2). L’applicazione gira sulla rete di Cloudflare, nella località più vicina a ciascun utente.
- I file sono privati. Il browser non comunica mai direttamente con l’archiviazione dei file. Ogni file passa da Viaondo, che verifica chi lo chiede prima di consegnarlo.
- Backup, anch’essi nell’UE. Il database può essere ripristinato a qualsiasi minuto degli ultimi 30 giorni, ogni settimana viene conservata un’esportazione completa per 84 giorni e il ripristino viene provato ogni mese; i file vengono copiati ogni notte in un bucket separato che conserva ogni copia per almeno 30 giorni e non ne consente la sovrascrittura.
Un’agenzia non vede mai i dati di un’altra
- Ogni richiesta ai dati di un’agenzia verifica che la persona che ha effettuato l’accesso sia membro di quell’agenzia. Per chiunque altro, l’agenzia non esiste: riceve «non trovato», mai «accesso negato».
- Ogni query al database è limitata all’agenzia e costruita con parametri vincolati, mai a partire da testo digitato da qualcuno.
- Titolari e membri hanno diritti diversi: solo il titolare modifica le impostazioni dell’agenzia, invita o rimuove persone ed elimina definitivamente i viaggi.
Link dei viaggi
I viaggiatori aprono il loro viaggio da un link privato, senza account. Quel link è la chiave, e lo trattiamo come tale:
- Ogni link contiene 32 byte casuali. Il database ne conserva solo un’impronta (SHA-256) per ritrovarlo, più una copia cifrata perché l’agenzia possa copiarlo di nuovo.
- Un link funziona solo finché il viaggio è pubblicato e il link non è stato revocato. Archiviare un viaggio ne sospende i link; l’agenzia può revocare un singolo link o tutti, e un viaggiatore rimosso dal viaggio perde subito l’accesso.
- Un link personale mostra a quel viaggiatore solo i suoi documenti e i suoi posti.
- Le pagine indicano ai browser di non trasmettere mai il link ad altri siti (nessun referrer), le anteprime dei link nelle chat mostrano solo l’agenzia e il link non compare mai nei nostri log.
Cosa non può fare un link: chiunque lo abbia può aprire ciò che mostra, e revocarlo non cancella una copia già salvata offline su un telefono. Se un link viene condiviso per errore, revocalo e inviane uno nuovo.
Documenti e caricamenti
- Ogni caricamento viene controllato in tre modi (i primi byte, il tipo e l’estensione) e sono accettati solo PDF e immagini comuni, entro limiti di dimensione.
- I file vengono serviti con intestazioni che impediscono al browser di eseguire qualsiasi cosa contengano.
- Biglietti, voucher e copie dei passaporti vengono eliminati 30 giorni dopo la fine del viaggio, insieme a ciò che ne è stato letto.
- La copia offline sul telefono del viaggiatore viene controllata file per file, per dimensione e impronta, prima che l’app dica che il viaggio è salvato.
Accesso
- Gli utenti delle agenzie accedono con un link via email, una password o Google. Le password non vengono mai conservate in chiaro.
- I moduli di accesso sono protetti dai bot con Cloudflare Turnstile, e i tentativi di accesso hanno un limite di frequenza.
- Le sessioni si possono controllare e chiudere dal profilo, dispositivo per dispositivo.
Log e statistiche
- Non registriamo le richieste. L’applicazione registra solo nomi di eventi, identificativi e codici di errore: mai link dei viaggi, testo dei documenti, indirizzi email o ciò che ha letto l’IA.
- Il sito pubblico usa conteggi aggregati delle visite, senza cookie. Il pannello e l’app del viaggiatore non caricano statistiche né script di terze parti.
- Quando un viaggiatore apre un viaggio, Viaondo registra che il link è stato aperto, salvato offline o che è stato visualizzato un documento, senza il suo indirizzo IP, il dispositivo o cookie, così l’agenzia sa che il viaggio è arrivato. Queste registrazioni vengono cancellate dopo 13 mesi.
Pagamenti
Le agenzie pagano su pagine ospitate da Stripe. I dati della carta vanno direttamente a Stripe: Viaondo non li vede né li conserva mai, e il pannello mostra solo il circuito della carta, le ultime quattro cifre e la scadenza.
IA
I documenti letti dall’IA vanno a NaN, nell’Unione Europea, che non conserva né i documenti né le risposte e non li usa per l’addestramento. Le istruzioni nascoste in un documento vengono ignorate, e nulla di ciò che aggiunge l’IA arriva ai viaggiatori finché l’agenzia non pubblica. I dettagli sono nella pagina sull’IA.
Cosa non abbiamo ancora
- Nessuna certificazione SOC 2 o ISO 27001. I nostri fornitori (Cloudflare, Stripe) hanno le proprie.
- Ancora nessun accesso unico (SAML) né autenticazione a due fattori obbligatoria per i team delle agenzie.
- Nessun registro di audit dedicato in cui le agenzie possano vedere chi ha modificato cosa (ogni viaggio conserva le sue versioni pubblicate).
Viaondo è una piccola azienda. Se ti servono risposte per una verifica di sicurezza o un questionario per i fornitori, scrivici e ti risponderemo per iscritto.
Segnala un problema
Se trovi un problema di sicurezza, scrivi a info@viaondo.com indicando cosa hai trovato e come riprodurlo. Rispondiamo entro due giorni lavorativi e ti chiediamo di lasciarci un tempo ragionevole per correggerlo prima di renderlo pubblico. Lo stesso contatto è pubblicato nel nostro security.txt.
Puoi verificare che il servizio funzioni nella pagina di stato.