Fiducia
Risposte al questionario di sicurezza.
95 risposte alle domande dell’HECVAT, nell’ordine del questionario e tradotte dalla sua versione inglese, con le domande che non si applicano e il perché. Ogni risposta descrive ciò che LFW fa oggi, in coerenza con le politiche della pagina Fiducia.
Compiliamo il modulo del suo istituto partendo da queste risposte. Ce lo invii, e glielo restituiamo compilato, con ciò che cambia per il suo contratto indicato.
Ultimo aggiornamento:
Traduzione di cortesia. Fa fede la versione in inglese.
L’insieme delle domande.
HECVAT Lite non esiste più come file separato. Il questionario attuale, HECVAT 4.1.6, riunisce Full, Lite e On-Premise in un’unica cartella di lavoro, e indica le sue domande di importanza critica come sostituto dell’approccio Lite. Queste sono quelle domande, verificate rispetto alla cartella di lavoro il 6 ottobre 2026.
- Che cosa contieneLe otto domande di ambito, i dati dell’organizzazione e tutte le domande critiche dell’HECVAT 4.1.6, ciascuna con la risposta di LFW. Gli identificativi delle domande sono quelli della cartella di lavoro, così chi esegue la revisione può confrontarli.
- Che cosa non contieneLe domande standard e minori, che la cartella completa aggiunge. LFW vi risponde sul suo modulo, partendo dagli stessi fatti. Se il suo istituto usa ancora un vecchio HECVAT Lite, le sue categorie corrispondono alle sezioni qui sotto.
- L’ambito consideratoLa soluzione è il servizio di gestione web di LFW: la gestione di un sito web sull’hosting dell’istituto, più il Portale clienti su my.lfw.com, dove il personale dell’istituto invia le richieste e legge i rapporti. Il portale è l’unico sistema che LFW ospita.
Cominci da qui
Domande di ambito.
Le otto domande che determinano quali sezioni si applicano. Le loro risposte spiegano perché le sezioni HIPAA, carte di pagamento e IA qui sotto sono indicate come non applicabili.
- REQU-01 Offrite un prodotto in cloud? Sì In parte. Il servizio funziona nel suo account di hosting. Il Portale clienti (my.lfw.com) è un’applicazione ospitata che LFW gestisce; le domande sul prodotto qui sotto riguardano quindi il portale.
- REQU-02 Il vostro prodotto o servizio ha un’interfaccia? Sì Il Portale clienti per il suo personale, e il sito web che LFW realizza o mantiene per i suoi visitatori e i suoi redattori.
- REQU-03 Fornite servizi di consulenza? Sì Il personale di LFW lavora nei suoi sistemi: il suo sistema di gestione dei contenuti, il suo account di hosting e la sua zona Cloudflare, tramite account che concede lei.
- REQU-04 La vostra soluzione ha funzioni di IA, o ne è prevista l’introduzione nei prossimi 12 mesi? No Il Portale clienti non ha funzioni di IA. Il portale può essere collegato a un assistente di IA di sua scelta, con il suo consenso, tramite una connessione standard; LFW non chiama alcun modello per suo conto. LFW usa strumenti di IA nel proprio lavoro, trattati nella sezione Privacy qui sotto.
- REQU-05 La vostra soluzione tratta informazioni sanitarie protette (PHI) o dati coperti dalla legge HIPAA (Health Insurance Portability and Accountability Act)? No LFW non prende in carico siti o moduli che raccolgono informazioni sanitarie coperte dall’HIPAA.
- REQU-06 La soluzione è progettata per trattare, conservare o trasmettere informazioni di carte di credito? No Né il Portale clienti né il sito di LFW trattano dati di carte di pagamento. Sul sito di un cliente, i pagamenti vanno al fornitore di pagamenti dell’istituto, mai attraverso pagine di cui LFW conservi i dati.
- REQU-07 Il funzionamento della vostra soluzione richiede che l’istituto faccia girare apparecchiature fisiche o virtuali nel proprio ambiente, o che apra eccezioni in entrata nel proprio firewall perché i vostri dipendenti amministrino da remoto i sistemi dell’istituto? No Nessuna apparecchiatura e nessuna eccezione in entrata. LFW si collega ai suoi sistemi ospitati come fa il suo personale.
- REQU-08 La vostra soluzione ha accesso a dati personali o a dati dell’istituto? Sì I contenuti del suo sito web, gli account dei redattori e gli invii dei moduli, nei suoi sistemi. Nel portale: i nomi e gli indirizzi email del suo personale, le richieste che inviano e i file che allegano.
GNRL, COMP, DOCU
Organizzazione.
Chi è LFW, e i documenti che possiede.
- GNRL-01 Nome del fornitore della soluzione Risposta di LFW LFW.com LLC, che opera con il nome commerciale LFW.
- GNRL-02 Nome della soluzione Risposta di LFW La gestione web di LFW (il contratto di Gestione di siti web, Web Operations Retainer) e il Portale clienti.
- GNRL-03 Descrizione della soluzione Risposta di LFW La gestione di un sito web con un contratto mensile: aggiornamenti, sicurezza, test e correzioni di accessibilità, modifiche ai contenuti e un rapporto mensile scritto, su un hosting di proprietà dell’istituto. Il Portale clienti è il luogo in cui il personale dell’istituto invia le richieste e legge i rapporti.
- GNRL-04 Nome del referente presso il fornitore della soluzione Risposta di LFW Leland Fiegel, Founder & Technical Lead.
- GNRL-06 Email del referente presso il fornitore della soluzione Risposta di LFW hello@lfw.com; le segnalazioni di sicurezza, a security@lfw.com.
- GNRL-07 Telefono del referente presso il fornitore della soluzione Risposta di LFW (703) 662-1617.
- GNRL-08 Paese della sede dell’azienda Risposta di LFW Stati Uniti (Arlington, Virginia). Tutto il lavoro di LFW viene svolto negli Stati Uniti, da Arlington.
- COMP-01 Avete uno o più team dedicati allo sviluppo di software e sistemi (per esempio assistenza clienti, implementazione, gestione del prodotto, ecc.)? No LFW è composta da una persona, il suo fondatore, che si occupa di sviluppo, assistenza e implementazione (1, al 27 settembre 2026).
- COMP-02 Descriva la storia della sua organizzazione e la sua struttura proprietaria, comprese tutte le relazioni con società controllanti e controllate. Risposta di LFW LFW.com LLC è una società a responsabilità limitata della Virginia, costituita nel Distretto di Columbia nel 2020 e trasferita in Virginia nel 2022, interamente di proprietà di Leland Fiegel. Non ha società controllanti, controllate né strutture all’estero.
- COMP-03 Avete gestito questa soluzione senza interruzioni impreviste negli ultimi 12 mesi? No Un’interruzione causata da LFW stessa, di circa un minuto, l’8 settembre 2026, quando un rilascio ha fermato il servizio web prima che terminasse il suo backup. La procedura di rilascio è stata sostituita il giorno stesso, e ora le versioni spostano il traffico solo dopo che la nuova versione ha superato i suoi controlli.
- COMP-04 Avete personale o un ufficio dedicato alla sicurezza delle informazioni? No Il fondatore è il referente per la sicurezza (security@lfw.com). Non esiste un ufficio separato.
- COMP-05 Usi questo spazio per condividere informazioni sul vostro ambiente che aiutino a valutare il programma di sicurezza dei dati della vostra azienda. Risposta di LFW Un server presso Hetzner ad Ashburn, in Virginia, dietro Cloudflare. Il firewall accetta traffico web solo dagli indirizzi di Cloudflare; SSH avviene con chiave, password disattivate. L’applicazione, il suo database e l’indice di ricerca sono in ascolto sull’indirizzo di loopback. I dettagli sono nella politica di sicurezza delle informazioni.
- DOCU-01 Avete un piano di continuità operativa (BCP) ben documentato, con un responsabile chiaro, testato ogni anno? No Non nella forma di un piano testato. L’organizzazione della continuità pubblicata da LFW: il suo account di hosting e il suo repository a suo nome dal primo giorno, un manuale operativo nel suo repository aggiornato ogni mese, il supporto 24/7 del suo hosting e l’accesso restituito senza costi alla fine del contratto.
- DOCU-02 Avete un piano di disaster recovery (DRP) ben documentato, con un responsabile chiaro, testato ogni anno? In parte I backup sono documentati e automatici: uno snapshot cifrato e deduplicato ogni giorno e a ogni rilascio, verificato ogni settimana, con una copia fuori sede. Un’esercitazione annuale di ripristino pianificata non fa ancora parte del registro; il responsabile è il fondatore.
- DOCU-03 Siete stati sottoposti a un audit SSAE 18/SOC 2? No LFW non ha alcun rapporto SOC 2. I rapporti del suo hosting coprono l’infrastruttura su cui gira il suo sito.
- DOCU-04 Vi conformate a un framework di sicurezza standard del settore (per esempio NIST Cybersecurity Framework, CIS Controls, ISO 27001, ecc.)? No LFW non dichiara conformità ad alcun framework. Le sue pratiche sono pubblicate per intero su questo sito perché possa confrontarle con il suo framework.
- DOCU-05 Potete fornire schemi dell’architettura complessiva del sistema o dell’applicazione, con una descrizione completa del flusso dei dati di tutti i componenti del sistema? Sì Su richiesta. Il flusso dei dati è breve: visitatore, Cloudflare, nginx sul server, l’applicazione Node, un database SQLite sullo stesso server, con backup cifrati nella directory di backup del server e in Cloudflare R2.
- DOCU-06 La vostra organizzazione ha una politica sulla privacy dei dati? Sì Pubblicata su lfw.com/privacy, con la sua data e le versioni precedenti.
- DOCU-07 Avete una politica documentata, e attualmente applicata, per l’ingresso e l’uscita dei dipendenti? Non applicabile LFW non ha dipendenti. La politica di controllo degli accessi descrive come l’accesso di LFW ai suoi sistemi viene concesso e revocato, e serve anche da elenco di uscita.
THRD, CHNG, PPPR
Terze parti e modifiche.
Le aziende su cui LFW si appoggia, e il modo in cui vengono gestite le modifiche e le patch.
- THRD-01 Svolgete valutazioni di sicurezza delle aziende terze con cui condividete dati (per esempio hosting, servizi cloud, PaaS, IaaS, SaaS)? In parte LFW legge la documentazione di sicurezza pubblicata da ogni fornitore prima di usarlo e tiene pubblico l’elenco dei fornitori (i sub-responsabili della pagina Fiducia). Non svolge propri audit di questi fornitori.
- THRD-02 Avete clausole contrattuali con terze parti che regolano l’accesso ai dati dell’istituto? Sì Le condizioni standard e le condizioni sul trattamento dei dati di ogni fornitore. LFW non negozia contratti su misura con loro.
- THRD-03 I contratti con queste terze parti disciplinano la responsabilità in caso di violazione dei dati? In parte Solo nella misura in cui lo fanno le condizioni standard di ogni fornitore. LFW non ha negoziato con alcun fornitore clausole di responsabilità in caso di violazione.
- THRD-04 Avete adottato una strategia di gestione delle terze parti? In parte Un elenco breve e pubblicato, rivisto a ogni aggiunta o rimozione di un fornitore; l’informativa sulla privacy, la pagina Sicurezza e la pagina Fiducia cambiano insieme.
- CHNG-01 L’istituto sarà informato delle modifiche importanti al vostro ambiente che potrebbero influire sulla sua sicurezza? Sì Nel suo rapporto mensile, e nei documenti datati della pagina Fiducia, che cambiano in modo trasparente.
- CHNG-02 Il sistema conserva le personalizzazioni del cliente da una versione all’altra? Sì Il suo sito web è un tema su misura in un repository di sua proprietà; nessun aggiornamento sovrascrive quindi ciò che è suo. Il Portale clienti non è personalizzato per cliente.
- CHNG-03 Avete un processo di gestione della configurazione dei sistemi (per esempio immagini «di riferimento» sicure, ecc.)? Sì Lo script di provisioning del server, le unità di servizio, le regole del firewall e la configurazione del server web sono nel controllo di versione. Ogni versione viene costruita in un container usa e getta e attivata in un solo passaggio.
- PPPR-01 Avete un processo documentato di gestione delle patch? Sì Per il suo sito: aggiornamenti mensili, rilasci di sicurezza applicati prima del ciclo e un firewall che blocca gli attacchi noti nel frattempo. Per i sistemi di LFW: le dipendenze vengono verificate a ogni rilascio e una versione pubblicata da meno di sette giorni viene rifiutata.
- PPPR-02 La vostra organizzazione può rispettare le politiche dell’istituto in materia di privacy e protezione dei dati nei confronti degli utenti dei suoi sistemi, se necessario? Sì Nell’ambito del suo contratto. Ci invii la politica; LFW la legge prima di firmare.
- PPPR-03 La vostra azienda è soggetta alle leggi e ai regolamenti dell’area geografica dell’istituto? Sì LFW è un’azienda degli Stati Uniti. Nell’ambito del contratto di un istituto pubblico, accetta la legge dello Stato e il foro dell’istituto.
CONS
Accesso del consulente.
Come LFW lavora nei suoi sistemi.
- CONS-01 Il consulente avrà bisogno di accedere alle risorse di rete dell’istituto? No Nessun accesso alla rete, nessuna VPN né apparecchiatura. LFW usa account nominativi che concede lei nei suoi sistemi ospitati.
- CONS-02 Il consulente ha ricevuto una formazione sul trattamento dei dati (sensibili, HIPAA, PCI, ecc.)? No Non esiste un programma di formazione formale; una sola persona detiene l’accesso. Le regole scritte sono la politica di uso accettabile e la politica di controllo degli accessi di questo sito.
- CONS-03 I dati sono cifrati (a riposo) quando sono in possesso del consulente? In parte LFW tiene i suoi dati nei suoi sistemi ed evita di conservarne copie sulla propria attrezzatura. Il lavoro in corso si trova nel repository di sua proprietà. I backup cifrati di LFW coprono i registri del Portale clienti.
- CONS-04 L’accesso può essere limitato in base all’indirizzo IP di origine? Sì Quando la sua piattaforma lo consente. LFW lavora nell’ambito di un elenco di indirizzi autorizzati che stabilisce lei.
APPL, FIDP, VULN, DCTR
Applicazione e infrastruttura.
Il Portale clienti e il server su cui gira.
- APPL-01 I controlli di accesso agli account dell’istituto si basano su regole strutturate, come il controllo degli accessi basato sui ruoli (RBAC), sugli attributi (ABAC) o sulle politiche (PBAC)? Sì I ruoli del portale sono proprietario, membro e lettore, con accessi per sito per i membri. Il personale di LFW non può scrivere a nome di un cliente: la consultazione di un account cliente da parte del personale è in sola lettura e registrata.
- APPL-02 Usate un firewall per applicazioni web (WAF)? Sì Il firewall per applicazioni di Cloudflare davanti a LFW.com e al portale; il server accetta traffico web solo da Cloudflare. I siti dei clienti usano Wordfence Premium e il firewall di Cloudflare.
- APPL-03 I sistemi o le applicazioni che avranno accesso ai dati dell’istituto usano solo sistemi operativi, software e librerie attualmente supportati? Sì Una versione attuale di Node.js e librerie attuali, bloccate in un file di lock e verificate a ogni rilascio. La build rifiuta una vulnerabilità nota di gravità alta.
- APPL-04 La vostra applicazione ha bisogno di accedere a dati di posizione o GPS? No No. Le statistiche delle pagine viste conservano solo un paese o una regione dedotti dall’indirizzo, che non viene conservato.
- APPL-05 La vostra applicazione garantisce la separazione dei compiti tra amministrazione della sicurezza, amministrazione del sistema e funzioni utente standard? In parte Tra LFW e i clienti, sì: l’amministrazione interna e il portale clienti sono siti separati con sessioni separate. All’interno di LFW, no: una sola persona ricopre i ruoli di amministrazione della sicurezza e dei sistemi.
- APPL-06 Sottoponete il vostro codice ad analisi statica o a test statici di sicurezza applicativa prima di ogni rilascio? In parte Il lint, una verifica delle dipendenze dei due alberi di produzione e la suite di test girano in un container usa e getta prima di ogni rilascio e lo bloccano se falliscono. Non esiste un prodotto SAST separato.
- APPL-07 Avete processi di test del software (dinamici o statici) definiti e seguiti? Sì Una suite di test automatici a ogni rilascio, controlli nel browser delle pagine modificate e i controlli giornalieri del sito online da parte di LFW Monitor.
- FIDP-01 Usate un firewall a ispezione dello stato dei pacchetti (SPI)? Sì Il firewall dell’host (netfilter tramite ufw), con Cloudflare davanti.
- FIDP-02 Avete una politica documentata per le richieste di modifica del firewall? Sì Le regole del firewall sono nello script di provisioning, nel controllo di versione; una modifica è un commit rivisto e un rilascio.
- FIDP-03 Avete un sistema di rilevamento delle intrusioni (di rete)? No Nessun sistema di rilevamento delle intrusioni di rete. Il firewall e la protezione DDoS di Cloudflare stanno davanti al server, e solo Cloudflare può raggiungerlo sulle porte web.
- FIDP-04 Usate un rilevamento delle intrusioni a livello di host? In parte fail2ban blocca gli indirizzi dopo ripetuti tentativi di accesso falliti. Non esiste un prodotto più ampio di rilevamento delle intrusioni sull’host.
- FIDP-05 Sono disponibili log di audit per tutte le modifiche alla rete, al firewall e ai sistemi IDS e IPS? Sì Ogni modifica al firewall o alla configurazione del server è un commit nel controllo di versione, con il suo autore e la sua data, e un registro dei rilasci.
- VULN-01 I vostri sistemi e applicazioni vengono analizzati per le vulnerabilità con un account utente autenticato (con le vulnerabilità poi corrette) prima di ogni nuova versione? No Nessuno scanner autenticato gira prima di un rilascio. Ciò che gira: la verifica delle dipendenze, la suite di test e i controlli giornalieri non autenticati di LFW Monitor su intestazioni, TLS e politica dei contenuti.
- VULN-02 Fornirete all’istituto i risultati delle analisi delle vulnerabilità dell’applicazione e del sistema? Sì Il controllo giornaliero di LFW.com da parte di LFW Monitor è pubblico, e il risultato della verifica delle dipendenze viene condiviso su richiesta.
- VULN-03 Consentirete all’istituto di svolgere propri test o analisi delle vulnerabilità dei vostri sistemi o della vostra applicazione, in una data e a un’ora concordate? Sì In un momento concordato, nell’ambito delle regole della politica di divulgazione delle vulnerabilità su lfw.com/security.
- DCTR-06 Una barriera fisica circonda completamente lo spazio fisico, impedendo qualsiasi contatto fisico non autorizzato con le vostre apparecchiature? Sì LFW non possiede data center. Il server si trova nelle strutture di Hetzner ad Ashburn; i suoi controlli fisici sono quelli di Hetzner, descritti nella documentazione pubblicata da Hetzner, e non verificati sul posto da LFW.
- DCTR-10 Le alimentazioni ridondanti vengono testate? Sì Secondo il gestore del data center. LFW non l’ha verificato sul posto.
AAAI
Autenticazione e audit.
Come le persone accedono al Portale clienti, e che cosa viene registrato.
- AAAI-01 La vostra soluzione supporta protocolli di accesso unico (SSO) per utenti e amministratori? Sì OpenID Connect, direttamente con il suo fornitore di identità (per esempio Entra ID, Okta o Google Workspace). L’indirizzo di reindirizzamento viene registrato dal suo personale informatico.
- AAAI-02 Per i clienti che non usano l’SSO, la vostra soluzione supporta protocolli di autenticazione locale per utenti e amministratori? Sì Un link inviato via email che funziona una sola volta e scade dopo 15 minuti, oppure una passkey. Non ci sono password.
- AAAI-03 Per i clienti che non usano l’SSO, potete imporre requisiti di complessità delle password o passphrase (stabiliti dall’istituto)? Non applicabile Non ci sono password a cui applicare regole.
- AAAI-04 Per i clienti che non usano l’SSO, il sistema impone limiti o restrizioni di complessità o di lunghezza delle password? Non applicabile Nessuna password.
- AAAI-05 Per i clienti che non usano l’SSO, avete procedure documentate di reimpostazione delle password o passphrase, applicate nel sistema o dall’assistenza clienti? Non applicabile Nulla da reimpostare. Un nuovo link di accesso sostituisce un link perso; una passkey può essere registrata di nuovo dopo un accesso via email.
- AAAI-06 La vostra organizzazione partecipa a InCommon o a un’altra federazione di fiducia affiliata a eduGAIN? No Non membro. L’SSO viene configurato per istituto con il suo fornitore di identità.
- AAAI-07 Ci sono password o passphrase scritte nel codice dei vostri sistemi o soluzioni? No I segreti si trovano in un file sul server, limitato all’amministratore del server e all’account di servizio. Il repository non ne contiene; la revisione di settembre 2026 lo ha verificato.
- AAAI-08 Conservate password in chiaro? No LFW non conserva alcuna password.
- AAAI-09 Sono disponibili log di audit che comprendano ALMENO tutti i seguenti elementi: accesso, disconnessione, azioni svolte e indirizzo IP di origine? In parte Il portale registra le azioni su richieste e documenti (uno storico in sola aggiunta), ogni consultazione di un account cliente da parte del personale e i token di accesso usati. I log del server web conservano l’indirizzo di origine di ogni richiesta. Un rapporto degli accessi e delle disconnessioni per utente non è ancora offerto ai clienti.
- AAAI-11 Potete fornire all’istituto una documentazione sulla durata di conservazione di questi log, sulla loro protezione e sulla loro accessibilità per il cliente (e, se sì, come)? Sì Su richiesta, per iscritto, per i log citati qui sopra.
DATA
Dati.
Dove si trovano i dati dell’istituto nei sistemi di LFW, cifrati o no, e che cosa succede loro alla fine.
- DATA-01 I dati dell’istituto saranno conservati su apparecchiature (server di database, file server, SAN, NAS, ecc.) configurate con indirizzi IP non RFC 1918/4193 (cioè instradabili pubblicamente)? Sì L’unico server ha un indirizzo pubblico. Il suo firewall accetta traffico web solo dagli intervalli di Cloudflare e SSH solo con chiave; il database è un file su quel server, leggibile solo dall’account di servizio.
- DATA-02 Il trasporto dei dati sensibili è cifrato con protocolli o algoritmi di sicurezza (per esempio dal sistema al client)? Sì TLS 1.3 verso i visitatori, con una politica HSTS di un anno; le versioni più vecchie di TLS sono rifiutate. Anche il traffico tra Cloudflare e il server è cifrato.
- DATA-03 La conservazione dei dati sensibili è cifrata con protocolli o algoritmi di sicurezza (per esempio cifratura del disco, a riposo, dei file e in un database in esercizio)? In parte I backup sono cifrati prima di lasciare il server. Il database di produzione è protetto dai permessi dei file e dal firewall; LFW non dichiara per esso la cifratura del disco.
- DATA-04 Tutti i moduli crittografici usati nella vostra soluzione sono conformi ai Federal Information Processing Standards (FIPS PUB 140-2 o 140-3)? No Non viene dichiarata alcuna convalida FIPS.
- DATA-05 I dati dell’istituto resteranno disponibili nel sistema per un certo periodo alla fine di questo contratto? Sì Per 30 giorni dopo la fine, durante la transizione prevista dal contratto di servizi, e su richiesta LFW esporta i suoi registri del portale.
- DATA-06 I diritti di proprietà su tutti i dati, input, output e metadati sono mantenuti anche in caso di acquisizione o fallimento del fornitore? Sì I suoi contenuti e i suoi dati restano suoi secondo il contratto di servizi, e il lavoro che paga le appartiene una volta pagato. Un cambio di proprietà di LFW non cambia nulla.
- DATA-07 I backup che contengono dati dell’istituto lasciano a volte l’area dei dati dell’istituto, fisicamente o tramite instradamento di rete? Sì Il server e i suoi backup sono ad Ashburn, in Virginia. La copia cifrata fuori sede è in Cloudflare R2, nella giurisdizione predefinita di Cloudflare, che può collocarla fuori dagli Stati Uniti; la copia è cifrata prima di lasciare il server. I backup del suo sito web restano presso il suo hosting.
- DATA-08 I supporti usati per la conservazione a lungo termine e l’archiviazione dei dati aziendali sono custoditi in un’area sicura e protetta dall’ambiente? Sì Nessun supporto fisico. La conservazione avviene nei data center di Hetzner e di Cloudflare.
ITAC
Accessibilità digitale.
Per il Portale clienti e LFW.com, e per i siti che LFW realizza.
- ITAC-06 Negli ultimi 12 mesi è stato creato o aggiornato un VPAT o un ACR per la soluzione e la versione in esame? Sì Un rapporto di conformità sull’accessibilità di LFW.com datato 2 ottobre 2026 è pubblicato nella pagina Fiducia. Per un sito che LFW realizza, un rapporto viene consegnato alla messa online.
- ITAC-07 La vostra azienda accetterà di rispettare lo standard di accessibilità che dichiara o le WCAG 2.1 AA nel quadro del vostro accordo contrattuale per la soluzione? Sì Per i modelli e le pagine che LFW realizza e mantiene, come standard del suo contratto. LFW non promette la conformità a una data precisa per contenuti che non controlla.
- ITAC-08 La soluzione è sostanzialmente conforme alle WCAG 2.1 AA? Sì LFW.com, secondo il rapporto autodichiarato: ogni criterio di livello A e AA è supportato o non applicabile. Il rapporto indica che non si tratta di un audit indipendente.
- ITAC-09 Avete un processo documentato e applicato per segnalare e seguire i problemi di accessibilità? Sì Segnali un ostacolo via email, come indica la dichiarazione di accessibilità, oppure nel Portale clienti. I rilievi sono seguiti come richieste, e LFW Monitor ricontrolla le pagine ogni giorno.
PCOM, PTHP, PDAT, PRPO, DPAI
Privacy.
Violazioni dei dati, terze parti, i tipi di dati che LFW non raccoglie, e gli strumenti di IA.
- PCOM-01 Negli ultimi tre anni avete subito una violazione di dati personali che abbia comportato una comunicazione a un’autorità pubblica, una notifica alle persone (anche volontaria) o una notifica a un’altra organizzazione o istituto? No Nessuna.
- PTHP-01 Avete accordi contrattuali con terze parti che le obblighino a mantenere degli standard e a rispettare tutti i requisiti normativi? Sì Le condizioni standard e le condizioni sul trattamento dei dati di ogni fornitore.
- PDAT-01 Raccogliete, trattate o conservate informazioni demografiche? No No.
- PDAT-02 Acquisite o create informazioni genetiche, biometriche o comportamentali (per esempio riconoscimento facciale o impronte digitali)? No No. La verifica biometrica di una passkey avviene sul dispositivo dell’utente; LFW riceve solo una chiave pubblica.
- PDAT-03 Combinate dati dell’istituto (compresi dati «de-identificati», «anonimizzati» o altrimenti mascherati) con dati personali provenienti da altre fonti? No No.
- PRPO-06 Avete un programma di sensibilizzazione o di formazione sulla privacy? No Nessun programma formale. L’informativa sulla privacy è la regola scritta.
- PRPO-12 Condividete dati dell’istituto con le forze dell’ordine senza un mandato o un’ingiunzione validi? No No.
- DPAI-02 Dati dell’istituto vengono conservati nell’elaborazione tramite IA? No I sistemi di LFW non hanno funzioni di IA. Nel lavoro di LFW, gli strumenti di IA possono trattare informazioni dei clienti per redigere e verificare il lavoro; non vengono mai usate per addestrare modelli, una persona rivede ogni risultato e ogni dato che lei indica nel suo contratto è escluso.
- DPAI-03 Avete accordi con terze parti o subappaltatori sulla protezione dei dati dei clienti e sull’uso dell’IA? Sì Le condizioni commerciali di Anthropic, che vietano l’addestramento sui contenuti dei clienti. L’elenco dei sub-responsabili della pagina Fiducia nomina ogni fornitore di IA.
HIPA, PCID, sezioni IA
Non applicabile, e perché.
Le domande critiche che le risposte di ambito escludono. Ciascuna è elencata perché chi esegue la revisione veda che l’identificativo non è stato omesso.
- HIPA-01 a HIPA-04 Formazione HIPAA, aree di rischio, piani testati e accordi con i business associate (BAA). Non applicabile LFW non tratta alcuna informazione sanitaria protetta (REQU-05).
- PCID-01 a PCID-03 Attestazione PCI DSS, iscrizione all’elenco PA-DSS e trattamento dei dati dei titolari di carta da parte di terzi. Non applicabile Nessun dato di carte di pagamento passa dai sistemi di LFW (REQU-06). I pagamenti sul sito di un cliente vanno al fornitore dell’istituto.
- AIGN-01 a AIGN-03 Modello di rischio dell’IA, disattivazione delle funzioni di IA, formazione a un’IA responsabile. Non applicabile Nessuna funzione di IA nella soluzione (REQU-04).
- AIPL-01 a AIPL-04 Politiche sull’IA pubblicate, rischi dell’IA misurati, disattivazione e riattivazione delle funzioni di IA dopo un incidente. Non applicabile Nessuna funzione di IA nella soluzione (REQU-04).
- AISC-01 a AISC-03 Rimozione di dati da un modello, influenza degli input degli utenti su un modello, registrazione delle azioni dell’IA. Non applicabile Nessuna funzione di IA nella soluzione (REQU-04).
- AIML-01, AIML-02, AILM-01 a AILM-04 Separazione dei dati di addestramento e feedback dell’apprendimento automatico; privilegi, dati di addestramento, intervento umano ed estensioni dei grandi modelli linguistici. Non applicabile Nessuna funzione di IA nella soluzione (REQU-04).
Ci invii il modulo del suo istituto.
HECVAT, un questionario statale o il suo foglio di calcolo. Glielo restituiamo compilato partendo da queste risposte, con i link alle politiche che cita.