Quadro sintetico
Cookie di prima parte per sessione, autenticazione e sicurezza.
Nessun analytics, advertising, profilazione o servizio terzo nella login.
Il pannello informativo è disponibile soltanto nella login. Il portale autenticato non mostra richieste cookie perché utilizza la stessa sessione tecnica indispensabile.
Registro delle tecnologie utilizzate
| Nome / categoria | Fornitore | Finalità | Durata | Tipo |
|---|---|---|---|---|
| Cookie di sessione applicativa Nome configurato dal server PHP | Edisoft / SinfogestNext | Associa le richieste alla sessione autenticata, conserva la protezione CSRF, mantiene la sfida 2FA e separa il contesto aziendale autorizzato. | Cookie di sessione; la sfida 2FA scade dopo 10 minuti, il portale applica un timeout di inattività di 30 minuti e il logout invalida la sessione. | Tecnico necessario |
Il cookie contiene un identificativo casuale, non password o dati gestionali in chiaro. I relativi dati sono conservati lato server. È impostato come HttpOnly, con attributo SameSite=Lax e Secure quando la connessione usa HTTPS.
Perché è indispensabile
Il protocollo HTTP non ricorda autonomamente le richieste precedenti. Senza un identificativo di sessione il server non potrebbe collegare in sicurezza l’invio delle credenziali alla protezione CSRF, alla verifica Authenticator e al tenant selezionato. Disabilitarlo rende tecnicamente impossibile un accesso sicuro.
La pagina di login non usa local storage per autenticazione e non carica pixel, SDK social, mappe, video incorporati, sistemi pubblicitari o misurazione del traffico di terzi.
Base giuridica e regole sul consenso
Il trattamento è necessario per fornire il servizio richiesto, proteggere account e dati e perseguire il legittimo interesse alla sicurezza del sistema, ai sensi dell’art. 6.1.b e f GDPR. Per i cookie strettamente tecnici la normativa non richiede consenso preventivo, ma impone trasparenza e informazione.
Poiché la login non usa strumenti facoltativi, non vengono mostrati interruttori fittizi né richiesto un consenso a profilazione. Se in futuro venissero introdotte nuove categorie, sarebbero bloccate prima del consenso e gestite con scelte granulari, revocabili e non preselezionate.
Come gestire o eliminare il cookie
Il pannello “Gestisci cookie” riepiloga la configurazione effettiva e mostra la categoria necessaria come sempre attiva. L’utente può comunque cancellare o bloccare i cookie dalle impostazioni del browser. In tal caso la sessione termina o la login non può completarsi.
- la cancellazione del cookie provoca la perdita della sessione corrente;
- il blocco totale impedisce autenticazione, CSRF e 2FA;
- il logout invalida la sessione applicativa;
- la chiusura del browser elimina il cookie di sessione secondo la configurazione del browser.
Accesso e presa visione implicita
Non sono richieste checkbox. Premendo “Accedi” e completando con successo le verifiche, l’utente conferma di poter consultare le informative collegate nella login. Per finalità di accountability vengono registrati utente, versione dei documenti, data e ora, indirizzo IP, user agent e un riferimento non reversibile della sessione.
La registrazione avviene soltanto dopo un’autenticazione completata; un tentativo con credenziali errate non produce una presa visione associata a un account. La registrazione non è utilizzata come consenso marketing.
Governance GDPR del servizio
Gestisce autenticazione, sicurezza, disponibilità, audit e assistenza; tratta i dati gestionali quale responsabile quando previsto dagli accordi ex art. 28.
Determina le finalità sui propri dati, abilita gli utenti, assegna i permessi, informa gli interessati e impartisce istruzioni documentate.
Protegge le credenziali, rispetta i permessi, inserisce solo dati pertinenti e segnala incidenti o accessi anomali.
Le attività di trattamento devono rispettare privacy by design e by default, minimizzazione, segregazione dei tenant, tracciabilità e limitazione degli accessi.
Misure e gestione degli incidenti
Il servizio adotta controlli proporzionati, inclusi password protette, blocco dei tentativi ripetuti, 2FA ove previsto, sessioni HttpOnly, protezione CSRF, timeout, autorizzazioni per ruolo e tenant, audit e diagnostica con oscuramento dei segreti. Gli eventi sono accessibili soltanto a soggetti autorizzati.
In caso di sospetta violazione vengono avviate analisi, contenimento, ripristino e valutazione del rischio. Ove applicabile, il titolare competente provvede agli adempimenti degli articoli 33 e 34 GDPR. Una segnalazione deve indicare cosa è accaduto, quando, account coinvolti e azioni già intraprese, senza trasmettere password.
Titolare, diritti e reclami
Per i dati di account e sicurezza il titolare è Edisoft S.r.l., Corso Francia 239, 12100 Cuneo (CN), P. IVA 02347420040 — info@edisoft.net. Per i dati gestionali il primo referente è normalmente l’organizzazione cliente che ha autorizzato l’account.
L’interessato può esercitare i diritti previsti dagli articoli 15–22 GDPR e proporre reclamo al Garante per la protezione dei dati personali. Le informazioni complete sono disponibili nell’Informativa privacy.
Verifiche e aggiornamenti
La configurazione deve essere riesaminata quando cambiano autenticazione, fornitori, strumenti incorporati o modalità di monitoraggio. Ogni nuova tecnologia deve essere classificata prima della pubblicazione e riportata in questa tabella. La versione e la data in testa permettono di identificare il testo applicabile al momento dell’accesso.