Questa pagina riunisce le informazioni sulla sicurezza informatica di Sostenutoo: come segnalarci una vulnerabilità, per quanto tempo il prodotto riceve aggiornamenti di sicurezza e come utilizzarlo in modo sicuro. La pagina risponde in particolare a quanto richiesto dal regolamento (UE) 2024/2847 (regolamento sulla ciberresilienza).
Ultimo aggiornamento: 17 settembre 2026
2. Segnalare una vulnerabilità
Se ritiene di aver scoperto una vulnerabilità in Sostenutoo, ci scriva a securite@sostenutoo.com. Questo indirizzo è il nostro punto di contatto unico per la sicurezza. Se preferisce un altro canale, può anche scriverci per posta all'indirizzo indicato sopra o tramite support@sostenutoo.com: inoltreremo la Sua segnalazione.
Per aiutarci, indichi se possibile:
- la parte del servizio interessata (sito web, app iOS, app Android) e la relativa versione;
- una descrizione del problema e del possibile impatto;
- i passaggi per riprodurlo;
- un Suo recapito, e se desidera che il Suo nome venga citato.
Può scriverci in francese, inglese, spagnolo, tedesco o italiano. Il file security.txt riporta questi recapiti in un formato leggibile meccanicamente.
3. Politica di divulgazione coordinata delle vulnerabilità
Cosa facciamo
- Confermiamo la ricezione della Sua segnalazione, di norma entro 10 giorni lavorativi.
- Analizziamo il problema e La aggiorniamo sulle fasi principali.
- Correggiamo le vulnerabilità confermate entro un termine proporzionato alla loro gravità, dando priorità alle più gravi.
- Se la vulnerabilità si trova in un componente di terze parti utilizzato da Sostenutoo, la segnaliamo anche alla persona o all'organizzazione che cura la manutenzione di tale componente.
- Quando la correzione è disponibile, pubblichiamo un avviso di sicurezza (si veda la sezione 4) e, se lo desidera, La ringraziamo citando il Suo nome.
Cosa Le chiediamo
- Non rendere pubblica la vulnerabilità prima che la correzione sia disponibile per gli utenti o, in mancanza, prima che siano trascorsi 90 giorni dalla Sua segnalazione. Questo termine può essere prorogato di comune accordo se la correzione lo richiede.
- Effettuare test solo con i propri account e non consultare, modificare o eliminare i dati di altri utenti oltre lo stretto necessario per dimostrare il problema.
- Non turbare il regolare funzionamento del servizio (niente attacchi di negazione del servizio, niente test automatizzati su larga scala), non inviare spam e non ricorrere all'ingegneria sociale.
- Cancellare gli eventuali dati ottenuti una volta effettuata la segnalazione.
Consideriamo condotta in buona fede qualsiasi ricerca che rispetti queste regole e non intendiamo intraprendere azioni legali nei confronti di chi la svolge. Non offriamo un programma di ricompense (bug bounty).
Può anche segnalare una vulnerabilità al CERT-FR (ANSSI, agenzia nazionale francese per la sicurezza dei sistemi informativi), che svolge il ruolo di coordinatore in Francia.
4. Avvisi di sicurezza
Quando una vulnerabilità viene corretta, pubblichiamo qui un avviso che descrive il problema, le versioni interessate, l'impatto, la gravità e, se del caso, le azioni che Lei deve compiere. Possiamo attendere che gli utenti abbiano avuto il tempo di installare l'aggiornamento prima di pubblicare questi dettagli.
Nessun avviso pubblicato finora.
5. Come La informiamo in caso di problemi
Se una vulnerabilità attivamente sfruttata o un incidente grave ha un impatto sulla sicurezza di Sostenutoo, ne informiamo nel più breve tempo possibile gli utenti interessati e, se necessario, tutti gli utenti. Indichiamo loro anche, se del caso, le misure che possono adottare. A seconda della situazione, questa informazione viene comunicata via e-mail, tramite una notifica nell'app o su questa pagina.
Questi obblighi si aggiungono a quelli previsti dal GDPR in caso di violazione dei dati personali, descritti nell'Informativa sulla privacy.
6. Identificazione del prodotto
Sostenutoo è disponibile in tre forme, che condividono lo stesso account e lo stesso server:
Il numero di versione di un'app mobile è indicato nella pagina dell'app nello store e nelle impostazioni del Suo telefono. L'app web è sempre fornita nella versione più recente.
7. Finalità prevista e proprietà di sicurezza
Sostenutoo serve a gestire una formazione musicale: membri, eventi, presenze, programmi, spartiti, messaggi e documenti. Il servizio è destinato alle associazioni, alle scuole e alle formazioni, ai loro responsabili e ai loro musicisti.
Principali misure di protezione:
- comunicazioni cifrate (HTTPS/TLS) tra le app e il server;
- autenticazione tramite password (memorizzata in forma di hash) o tramite Apple e Google;
- isolamento dei dati di ciascuna formazione a livello di database e autorizzazioni diverse a seconda del ruolo (membro, amministratore);
- pagamenti elaborati da Stripe, Apple o Google: Sostenutoo non memorizza alcun numero di carta;
- backup regolari del database.
8. Rischi noti o prevedibili
Le seguenti situazioni possono esporre i Suoi dati o quelli della Sua formazione:
- una password debole o riutilizzata su altri siti, oppure un'e-mail di phishing che si spaccia per Sostenutoo;
- una sessione rimasta aperta su un dispositivo condiviso o smarrito;
- un ruolo di amministratore assegnato a troppe persone, o un ex membro rimasto nella formazione;
- un link o un codice di invito diffuso pubblicamente mentre le adesioni sono aperte;
- un browser, un sistema operativo o un'app che non riceve più aggiornamenti, oppure un telefono con jailbreak o permessi di root;
- un assistente di intelligenza artificiale di terze parti collegato al Suo account, che agisce con le Sue autorizzazioni;
- i file caricati da altri membri (PDF, immagini, documenti): li apra con la stessa prudenza riservata a qualsiasi file ricevuto.
9. Periodo di assistenza e aggiornamenti
Sostenutoo riceve aggiornamenti di sicurezza almeno fino a dicembre 2032. Questa data può solo essere posticipata. Se un giorno dovessimo interrompere il servizio, La avviseremmo in anticipo.
- Gli aggiornamenti di sicurezza sono gratuiti per tutti gli utenti, abbonati o no.
- È supportata solo la versione più recente delle app: l'aggiornamento è gratuito, basta installarlo.
- L'app web si aggiorna da sola: basta ricaricare la pagina.
- Le app mobili si aggiornano tramite l'App Store e Google Play, automaticamente se questa opzione è attiva sul Suo telefono (è l'impostazione predefinita). L'app può anche indicare che è disponibile una nuova versione.
10. Istruzioni per un utilizzo sicuro
Nell'uso quotidiano
- Scelga una password robusta e diversa da quelle che utilizza altrove, oppure acceda con Apple o Google.
- Esca dall'account sui dispositivi condivisi. Non Le chiederemo mai la password via e-mail.
- Mantenga aggiornati il browser, il sistema operativo e l'app.
- Se gestisce una formazione: riservi il ruolo di amministratore a persone di fiducia, rimuova i membri che lasciano la formazione e chiuda le adesioni quando non cerca nuovi musicisti.
- Scolleghi gli assistenti di intelligenza artificiale che non utilizza più.
Quando un'impostazione incide sulla sicurezza dei Suoi dati
Assegnare un ruolo di amministratore, aprire le adesioni, condividere un link di invito, aggiungere una persona di riferimento o collegare un assistente di terze parti amplia l'accesso ai dati. Verifichi regolarmente queste impostazioni. Le versioni modificate o non ufficiali delle app non sono supportate.
Installare gli aggiornamenti
- Web: ricarichi la pagina; la versione più recente viene caricata automaticamente.
- iPhone e iPad: App Store, tocchi l'icona del Suo profilo, poi aggiorni Sostenutoo.
- Android: Google Play, tocchi la Sua immagine del profilo, poi «Gestisci app e dispositivo», quindi aggiorni Sostenutoo.
Disattivare gli aggiornamenti automatici
Le consigliamo di lasciarli attivi. Se preferisce disattivarli o rimandarli:
- iPhone e iPad: Impostazioni, App Store, disattivi «Aggiornamenti app».
- Android: Google Play, immagine del profilo, Impostazioni, Preferenze di rete, «Aggiornamento automatico app». Può anche disattivarli solo per Sostenutoo dalla pagina dell'app nello store (menu con i tre puntini).
- Web: l'app web viene fornita dai nostri server, quindi è sempre aggiornata e questa impostazione non esiste.
Smettere di usare Sostenutoo e cancellare i Suoi dati
- Elimini il Suo account dalla sezione «Il mio account» (web) o dalle impostazioni del profilo (app). I Suoi dati vengono quindi cancellati secondo le modalità descritte nell'Informativa sulla privacy.
- La disinstallazione dell'app cancella i dati memorizzati sul telefono, ma non elimina il Suo account.
- Su un computer condiviso, esca dall'account prima di chiudere il browser.
Integrazione in altri prodotti
Sostenutoo non è progettata per essere integrata come componente in un altro prodotto.
11. Dichiarazione di conformità e distinta base del software
La dichiarazione di conformità UE di Sostenutoo sarà pubblicata su questa pagina al più tardi alla data di applicazione dei relativi requisiti del regolamento (UE) 2024/2847, ossia l'11 dicembre 2027.
Teniamo aggiornato l'elenco dei componenti software utilizzati da Sostenutoo (distinta base del software, o SBOM). L'elenco non è pubblicato, ma viene trasmesso alle autorità su richiesta.
← Torna alla home page