Politica di sicurezza

Ultimo aggiornamento: 5 giugno 2026

Prendiamo sul serio la sicurezza di Gianna e dei dati affidati al servizio. Questo documento spiega come segnalare una vulnerabilità e quale risposta aspettarsi.

Gianna è un'assistente cattolica per la famiglia, disponibile su Telegram e tramite l'app web gianna.chat. È software proprietario (vedi LICENSE); questa politica riguarda la divulgazione coordinata di problemi di sicurezza e non concede diritti sul codice.

Segnalare una vulnerabilità

Se ritieni di avere trovato una vulnerabilità, segnalala in privato. Non aprire una segnalazione pubblica, non pubblicarla e non condividerla con altri prima che abbiamo avuto la possibilità di intervenire.

Scrivi a security@gianna.chat indicando:

• Una descrizione chiara del problema e del possibile impatto.
• Passaggi per riprodurlo, incluse prove di concetto, richieste o payload.
• Componente, endpoint o URL interessati, quando pertinente.
• Nome o pseudonimo, se vuoi ricevere un riconoscimento.

Se vuoi inviare dettagli sensibili, chiedilo nel primo messaggio e predisporremo un canale cifrato.

Il nostro impegno

• Puntiamo a confermare la ricezione entro 3 giorni lavorativi.
• Forniremo una valutazione iniziale, con gravità e tempi probabili, entro 10 giorni lavorativi.
• Ti terremo informato durante il lavoro e ti avviseremo quando il problema sarà risolto.
• Con il tuo consenso, possiamo riconoscere il tuo contributo dopo la correzione.

Ambito

Incluso:

• App web e API di Gianna su gianna.chat.
• Integrazione Telegram.
• Autenticazione, gestione delle sessioni, fatturazione e controlli di accesso ai dati.

Escluso (non segnalare né verificare questi casi):

• Servizi esterni da cui dipendiamo, per esempio Telegram, il fornitore del modello, Stripe o PostHog. Segnala i problemi di quei prodotti ai rispettivi fornitori.
• Test di negazione del servizio, volumetrici o di forza bruta.
• Ingegneria sociale, phishing o attacchi fisici contro noi, il personale o gli utenti.
• Segnalazioni basate solo sui risultati di scanner automatici senza un impatto dimostrato.
• Intestazioni di sicurezza mancanti o suggerimenti di buone pratiche senza impatto sfruttabile (restano graditi, ma sono considerati informativi).

Verifiche responsabili

Durante l'indagine:

• Verifica solo il tuo account e i tuoi dati; non accedere, modificare né distruggere dati di altre famiglie.
• Fermati non appena hai dimostrato la vulnerabilità e non approfondire oltre quanto necessario per provare l'impatto.
• Evita violazioni della privacy, interruzioni del servizio e azioni che possano danneggiare gli utenti.
• Concedici un'opportunità ragionevole di correggere il problema prima di qualsiasi divulgazione pubblica.

Non intraprenderemo né sosterremo azioni legali contro ricercatori che agiscono in buona fede e seguono questa politica.

Come proteggiamo i dati

Alcune misure integrate in Gianna:

• Le password usano hash argon2; non le conserviamo mai in chiaro.
• L'accesso autenticato usa token JWT firmati; l'app rifiuta l'avvio con un segreto predefinito fuori dalla modalità simulata.
• Tutto il traffico usa TLS.
• I messaggi in entrata dai canali hanno mittente verificato: la famiglia è identificata dall'identità verificata dal canale, mai da dati forniti dal client, impedendo accessi tra famiglie (senza IDOR).
• In produzione CORS è limitato all'origine dell'applicazione.
• Per evitare l'uso inconsapevole di integrazioni non verificate, l'app rifiuta l'avvio in modalità reale se le credenziali non sono configurate correttamente.

Per sapere come raccogliamo e trattiamo i dati personali, vedi Informativa sulla privacy. Per i termini d'uso del Servizio, vedi Termini di servizio.

Contatti

Segnalazioni di sicurezza: security@gianna.chat Domande generali: hello@gianna.chat