Sicurezza e conservazione

Per gestire correttamente la contabilità preliminare sono fondamentali la protezione dei dati, il controllo degli accessi e il rispetto dei termini legali di conservazione. Saldek separa i ruoli e archivia i documenti in modo immodificabile.

Sicurezza dell'account e credenziali

In «Impostazioni -> Sicurezza» può gestire l'accesso al Suo account e alla Sua organizzazione:

• Modificare la password: quando cambia la password, tutti gli altri dispositivi connessi vengono disconnessi automaticamente.
• Autenticazione a due fattori (2FA): protegga l'accesso con un'app di autenticazione (TOTP).
• Dispositivi e sessioni di accesso: consulti le sessioni attive e disconnetta tutti gli altri dispositivi con «Disconnetti le altre sessioni». «Attività di accesso recente» mostra gli ultimi tentativi di accesso; Saldek conserva i registri di accesso e di sicurezza per 90 giorni.
• Chiavi API: crei e gestisca le chiavi per le interfacce in «Impostazioni -> Sicurezza».
• Credenziali cifrate: i dati di accesso delle integrazioni collegate, come i server SMTP personali, sono archiviati in forma cifrata.
• Registro di audit: Saldek registra chi ha modificato cosa e quando. Amministratori e proprietari lo consultano in «Impostazioni» › «Conservazione e registro». Le modifiche vengono registrate con ogni piano; la consultazione è inclusa dal piano Business e durante il periodo di prova.

Configurare l'autenticazione a due fattori (2FA)

1. 1Apra «Impostazioni -> Sicurezza» e selezioni «Attiva 2FA».
2. 2Installi un'app di autenticazione sul telefono, se non ne usa ancora una. La finestra suggerisce alcune app, per esempio Google Authenticator, Microsoft Authenticator o «App Password di Apple».
3. 3Nell'app tocchi «+» o «Aggiungi account», scelga «Scansiona codice QR» e inquadri il codice mostrato. Se non funziona, inserisca la «Chiave di configurazione»; se ha aperto la pagina sul telefono, selezioni «La aggiunga direttamente all'app».
4. 4Inserisca il codice a 6 cifre dell'app e selezioni «Verifica e attiva». Conservi la chiave di configurazione in un luogo sicuro, così potrà configurare di nuovo i codici su un nuovo telefono.

Hosting e trattamento dei dati

• Server dell'applicazione e database: sono gestiti da Hetzner in Germania.
• File dei documenti: sono archiviati su AWS S3 a Francoforte (eu-central-1).
• Backup del database: ogni notte vengono cifrati (con cifratura lato client), salvati su AWS nell'UE e conservati per 30 giorni.
• Monitoraggio degli errori: è affidato a Sentry; i contenuti dei documenti non vengono trasmessi.
• Cookie di tracciamento: Saldek non utilizza cookie analitici o di tracciamento.
• Elaborazione tramite IA: in modalità «Standard», i fornitori Jev (TypeSafe) e OpenAI elaborano i dati negli Stati Uniti, compresa la verifica dell'immagine della prima pagina di un documento. La base sono le clausole contrattuali standard dell'UE (SCC) nell'accordo sul trattamento dei dati di TypeSafe e, per OpenAI, le clausole contrattuali tipo dell'UE tra OpenAI Ireland Ltd e le sue società collegate negli USA. Google Gemini è usato come fallback (Data Privacy Framework, altrimenti SCC). I documenti non vengono usati per addestrare modelli di IA. In modalità «Senza IA» (local_only), nessun dato viene trasmesso ai fornitori di IA.
• E-mail e voce: Mailgun (regione UE) elabora le e-mail in arrivo, Resend (USA) invia le e-mail e Microsoft Azure Speech (Irlanda) trascrive l'immissione vocale. Tutti i fornitori, con sede e base del trasferimento, sono elencati nella pagina «Sub-responsabili del trattamento».

Termini legali di conservazione e archivio WORM

Dopo il caricamento, i documenti originali vengono archiviati in modo immodificabile. Quando un documento diventa il supporto di una registrazione contabilizzata, viene applicato automaticamente un blocco WORM (S3 Object Lock in modalità COMPLIANCE). Se non è possibile impostare il blocco, la contabilizzazione non riesce (fail-closed). Uno storno non rimuove il blocco. Prima della contabilizzazione, l'utente può eliminare il file caricato.

Il blocco resta attivo per il termine previsto dalla legge, calcolato dalla fine dell'anno solare:

• Austria (§ 132 BAO): 7 anni; 22 anni per i documenti relativi a immobili.
• Germania (§ 147 AO): 10 anni per libri contabili, inventari e bilanci d'esercizio; 8 anni per i documenti contabili (dal 1° gennaio 2025); 6 anni per la corrispondenza commerciale ricevuta e inviata.

Eliminare i dati e chiudere un'organizzazione

Il Proprietario può verificare i termini di conservazione con una simulazione ed eliminare i documenti scaduti non contabilizzati. Le richieste di cancellazione ai sensi del GDPR vengono eseguite solo dopo la scadenza del termine legale di conservazione; una limitazione del trattamento (art. 18 GDPR) impedisce la cancellazione. Alla chiusura dell'organizzazione può scegliere tra due opzioni: (a) chiuderla e conservare i documenti in sola lettura fino alla fine del termine, con successiva cancellazione automatica; oppure (b) cancellare subito i dati, dopo aver ricevuto l'avviso che l'obbligo di conservazione resta a Suo carico.