Sicurezza e crittografia
Il nostro approccio alla sicurezza è documentato, verificabile e trasparente.
Copertura MITRE ATT&CK Mobile
Le nostre funzioni si basano su numerosi controlli di sicurezza mappati sul framework MITRE ATT&CK Mobile, una base di conoscenza pubblica che descrive le tecniche di attacco rivolte ai telefoni.
Modello di minaccia
Trasimène affronta le minacce documentate nel framework MITRE ATT&CK Mobile: phishing e quishing, applicazioni dannose, intercettazione di rete (MITM), fughe di dati e spyware. L’esatta portata dei rilevamenti dipende dalle capacità offerte da ciascuna piattaforma (Android, iOS): documentiamo ciò che l’applicazione può, e non può, rilevare, senza promettere una protezione al 100%.
Conformità agli standard
OWASP Mobile Top 10, OWASP MASTG, NIST SP 800-63B, GDPR e ISO 25010 guidano le nostre scelte. Il server e il sito sono coperti da test automatizzati: oltre 1.700 test per il sito e oltre 300 file di test per il server a ottobre 2026. La nostra politica di divulgazione responsabile è pubblica (security.txt): ogni segnalazione riceve una conferma di ricezione e una risposta. Ciò che è stato verificato da terzi è raccolto nella pagina Prove e trasparenza.
Crittografia
AES-256-GCM per la cassaforte, TLS 1.2 e 1.3 per le comunicazioni tra l'app, il sito e i nostri server, WireGuard per la VPN. Le chiavi di crittografia della cassaforte sono conservate in Google Cloud Secret Manager, una chiave per account.
Gestione delle chiavi e dei segreti
Le chiavi di crittografia della cassaforte (una per account, generata in modo casuale) e i segreti dell'infrastruttura sono conservati in Google Cloud Secret Manager, crittografati a riposo da Google e replicati automaticamente per restare disponibili. Il loro accesso è limitato, tramite le autorizzazioni IAM di Google Cloud, ai servizi di Trasimène e alle persone autorizzate, e ogni lettura di una chiave della cassaforte viene registrata; nessuna chiave viene inviata al telefono. Il contenuto della cassaforte è crittografato con AES-256-GCM; non conserviamo alcun dato delle carte di pagamento.
Residenza dei dati
Il sito, l'API e i dati (account, risultati, cassaforte crittografata) sono ospitati su Google Cloud, regione europe-west1 (Belgio, UE). I server della VPN sono macchine noleggiate presso Google Cloud in 19 Paesi, di cui 5 nell'UE, installate e gestite da Trasimène. Nessun dato viene venduto. I fornitori e i trasferimenti al di fuori dell'UE sono descritti in dettaglio nella nostra informativa sulla privacy.
Privacy
Nessun dato viene venduto e l'app non mostra pubblicità. Trasimène raccoglie i dati di cui il servizio ha bisogno. L'app invia inoltre misurazioni dell'utilizzo a Firebase Analytics e PostHog, che puoi disattivare nelle sue impostazioni («Analisi d'uso»), e rapporti sugli errori a Sentry e Firebase Crashlytics. Se acconsenti creando il tuo account su Android o su trasimene.com, la creazione dell'account e un abbonamento vengono segnalati a Meta, TikTok, Snapchat, LinkedIn e Google Analytics per misurare le nostre campagne; senza il tuo consenso, non viene inviato nulla, e nulla parte mai da un iPhone. I dettagli e il modo per revocare il tuo consenso si trovano nella nostra informativa sulla privacy.
Divulgazione responsabile
Hai scoperto una vulnerabilità? Scrivici a contact@trasimene.com. I nostri tempi di risposta, il nostro impegno nei confronti dei ricercatori in buona fede e i nostri ringraziamenti sono pubblicati nella pagina Prove e trasparenza, indicata dal nostro file security.txt (/.well-known/security.txt).