Politica di Controllo degli Accessi

La Piattaforma ExactFlow e il Marketplace ExactFlow sono sistemi multi-tenant in cui più clienti, venditori e acquirenti condividono un'infrastruttura comune, mentre i rispettivi dati rimangono soggetti a una rigida separazione logica. L'integrità di tale separazione dipende dalla disciplina con cui la Società controlla l'accesso ai propri sistemi, compresi gli accessi concessi ai Partner di Pagamento e ai Partner di Spedizione i cui sistemi interagiscono con quelli della Società.

Lo scopo della presente Politica è garantire che l'accesso ai sistemi e agli Asset Informativi della Società sia concesso in base ai principi del minimo privilegio e della necessità di sapere (need-to-know), sia autorizzato prima della concessione, riesaminato periodicamente e revocato tempestivamente non appena non sia più necessario, in adempimento dell'obbligo di sicurezza del trattamento stabilito dall'Articolo 32 del GDPR.

La presente Politica si applica a ogni sistema, applicazione, database e archivio dati che supporta la Piattaforma e il Marketplace; agli utenti umani e alle identità non umane, inclusi gli Account di Servizio (Service Accounts), le credenziali di automazione e le chiavi delle interfacce di programmazione delle applicazioni (chiavi API); nonché agli accessi concessi a Terze Parti, compresi i Partner di Pagamento o di Spedizione, laddove i sistemi di tali Terze Parti interagiscano con i sistemi della Società.

L'accesso agli Asset Informativi è regolato dai principi del minimo privilegio, della necessità di sapere e del diniego predefinito (default-deny). Tali principi si applicano in egual misura agli utenti umani, agli Account di Servizio e ad altre identità non umane.

L'accesso deve essere autenticato tramite un Identity Provider centralizzato utilizzando il Single Sign-On (SSO) ove il sistema sottostante lo supporti.

L'Autenticazione a Più Fattori (MFA) è obbligatoria per tutti gli accessi amministrativi e privilegiati all'infrastruttura di produzione e alle console dei provider cloud, per tutti gli accessi remoti alle reti aziendali o di produzione, per tutti gli accessi ai sistemi contenenti dati personali e, laddove la Piattaforma o il Marketplace lo supportino, per gli account dedicati a venditori e acquirenti.

Un fattore di autenticazione basato su app o una chiave di sicurezza hardware è da preferirsi rispetto a un fattore di autenticazione trasmesso via SMS.

Ogni account deve essere protetto da una credenziale robusta e univoca, generata e memorizzata tramite il gestore di password approvato dalla Società.

Le sessioni amministrative sono soggette a timeout per inattività, e i token di sessione devono essere ruotati al momento dell'escalation dei privilegi e invalidati al logout o al cambio delle credenziali.

L'accesso è concesso tramite il controllo degli accessi basato sui ruoli (RBAC), mediante il quale le autorizzazioni sono collegate a un ruolo definito corrispondente a una mansione lavorativa, e un individuo viene assegnato a un ruolo anziché accumulare autorizzazioni individualmente nel tempo.

L'Accesso Privilegiato è limitato a un gruppo nominale e minimo di individui, registrato con maggiore dettaglio e, ove il sistema sottostante lo consenta, concesso solo per il periodo strettamente necessario.

Ove praticabile, nessun singolo individuo può detenere un controllo finale e non verificato su un'azione sensibile; laddove tale separazione dei compiti non sia realizzabile, deve essere applicato un controllo compensativo e il rischio residuo registrato nel Registro dei Rischi.

I controlli di accesso devono applicare una rigida separazione logica tra i tenant della Piattaforma e tra i singoli venditori e acquirenti sul Marketplace, in modo che nessun utente, processo o azione amministrativa possa accedere ai dati di un'altra parte se non attraverso un processo di supporto documentato e sottoposto ad audit.

L'accesso deve essere richiesto e approvato prima di essere concesso, identificando il richiedente, il sistema, il livello di accesso desiderato e la giustificazione aziendale. L'accesso assegnato senza tale richiesta e approvazione costituisce una violazione dei controlli, indipendentemente dall'anzianità del richiedente.

L'individuo che inizia un rapporto di lavoro o di collaborazione riceverà un accesso allineato al profilo standard previsto per il suo ruolo e deve completare la registrazione all'Autenticazione a Più Fattori prima del primo accesso.

In caso di cambio di ruolo, l'accesso associato al ruolo precedente viene revocato e viene concesso l'accesso idoneo al nuovo ruolo; non è consentito l'accumulo degli accessi.

Alla cessazione del rapporto di lavoro o di collaborazione, l'accesso deve essere revocato entro due ore dalla notifica inviata alla funzione IT da parte delle Risorse Umane, su ogni sistema a cui l'individuo aveva accesso, e qualsiasi credenziale condivisa a cui l'individuo aveva accesso deve essere ruotata.

Gli accessi utente e gli Accessi Privilegiati devono essere riesaminati almeno con cadenza trimestrale per confermarne la continua necessità e il livello appropriato, e la riconciliazione degli account attivi con l'elenco attuale del personale deve essere eseguita almeno settimanalmente.

Un Account di Servizio o una chiave API deve essere limitata ai permessi minimi richiesti per lo scopo specifico e non deve essere inserita nel codice sorgente o nei file di configurazione.

L'accesso concesso a un Partner di Pagamento o di Spedizione è strettamente limitato ai dati necessari per svolgere la funzione per la quale è stato concesso l'accesso.

Deve essere mantenuto un inventario degli Account di Servizio, delle chiavi API e delle credenziali di accesso delle Terze Parti, e riesaminato contestualmente alla verifica condotta ai sensi della Sezione 4.4.

L'accesso amministrativo remoto ai sistemi di produzione è consentito solo tramite canali autenticati e protetti da Autenticazione a Più Fattori.

L'esposizione diretta di un'interfaccia amministrativa a Internet pubblico non è consentita in nessuna circostanza.

La conformità alla presente Politica è obbligatoria. La funzione Sicurezza è responsabile dei riesami periodici degli accessi e del monitoraggio dell'uso degli Accessi Privilegiati; la funzione IT è responsabile dell'assegnazione e della revoca degli accessi in conformità con le richieste approvate.

Qualsiasi eccezione alla presente Politica deve essere documentata e approvata in anticipo dal Chief Information Security Officer (CISO), registrandone il motivo e, se applicabile, un limite di tempo.

La presente Politica deve essere letta congiuntamente alla Politica di Sicurezza delle Informazioni, alla Politica di Crittografia e Gestione delle Chiavi, alla Politica di Gestione dei Rischi relativi a Terze Parti e Partner, e alla Politica di Sicurezza e Riservatezza delle Risorse Umane.

"Controllo degli Accessi" indica il mezzo attraverso il quale il diritto di utilizzare, visualizzare o interagire con un Asset Informativo viene concesso, limitato o revocato.

"Minimo Privilegio" indica il principio secondo cui l'accesso deve essere limitato al minimo necessario per lo svolgimento di un ruolo.

"Accesso Privilegiato" indica i diritti di accesso che superano quelli di un utente standard, compreso l'accesso amministrativo all'infrastruttura, ai database o agli strumenti di sicurezza.

"Autenticazione a Più Fattori" indica l'autenticazione che richiede due o più fattori indipendenti di prova dell'identità.

"Account di Servizio" indica un'identità non umana utilizzata da un sistema o da un processo automatizzato per accedere a un altro sistema.

Versione 1.0 — Luglio 2026