L'accorciatore che il tuo DPO non respingerà.
Misuri i tempi di risposta DSAR, la freschezza delle evidenze SOC 2 e quante domande dei fornitori costa un ciclo di vendita. Elido è l'abbreviatore che il tuo DPO approverà.
- Regione UE predefinita per ogni workspace
- Registro di audit di sola aggiunta e collegato in catena di hash nell'applicazione
- 13 sub-responsabili, tutti elencati pubblicamente con ubicazione + finalità
- API DSAR con SLA di 30 giorni (5 giorni accelerato su Business)
- EU regioneu · primary originEU residency · default
Primary database, analytics store and backups are hosted here (Hetzner, Germany and Finland).
- US Eastus-east · redirect edgeEdge node
Redirect node in Ashburn. Processes visitor requests and IP addresses; no per-workspace region selection.
- Asia-Pacificapac · redirect edgeEdge node
Redirect node in Singapore. Processes visitor requests and IP addresses; no per-workspace region selection.
Log di audit append-only
Ogni cambio di stato. Attore, IP, diff prima/dopo, sorgente.
L'applicazione si limita ad aggiungere voci alla tabella di audit e ogni voce è collegata in catena di hash alla precedente, quindi qualsiasi manomissione è rilevabile. Questo avviene a livello applicativo, non come restrizione dei permessi del database. La conservazione è di 730 giorni per impostazione predefinita e configurabile per workspace.
- Identità attoreID utente o service principal, più IP sorgente e request ID
- Diff prima/dopoDiff JSON strutturato della riga modificata - non solo una riga di log testuale
- Firehose SIEMWebhook firmato HMAC verso Splunk / Datadog / ELK in tempo reale
- Tamper-evidentVoci collegate in catena di hash con un endpoint di verifica della catena
{ "domain": "go.acme.eu",- "status": "pending_dns",+ "status": "verified",- "tls_mode": "none",+ "tls_mode": "on_demand",+ "verified_at": "2026-05-08T11:42:18Z", "workspace_id": "ws_8a2f" }Richieste di accesso degli interessati
DSAR, non ticket di supporto. Chiamata API, bundle firmato, clock SLA.
Ricevi una richiesta da un interessato. La inoltri tramite dashboard o API come richiesta di titolare per conto dell'interessato - Elido autentica il titolare (tu), non l'interessato. Il bundle è uno zip firmato: registro identità, link, voci log di audit dove l'interessato è l'attore, ricevute di fatturazione se l'interessato è proprietario del workspace. L'SLA standard è 30 giorni; Business accelerato risponde entro 5 giorni lavorativi.
- Step 1
Subject request
End user → controller (you)Subject contacts you. You authenticate them in your own product, not in Elido.
- Step 2
DSAR API call
POST /v1/dsarForward as a controller-on-behalf request with subject email + request type (export / erase).
- Step 3
Workspace bundle
signed zip · JSON + CSVIdentity, links, audit-log entries where subject is actor, billing if owner, anonymised click metadata.
- Step 4
SLA
30 days · 5 days expeditedStandard SLA on every plan; Business expedited tier returns inside 5 business days.
Tredici sub-responsabili, elencati pubblicamente
Hosting, edge, backup, email, pagamenti, chat, IA, SSO, CAPTCHA, controlli degli URL. Tredici fornitori. Questo è l'elenco.
La lista completa con sede del fornitore, finalità del trattamento, categorie di dati e URL di riferimento DPA si trova su /legal/subprocessors. L'aggiunta o la sostituzione di un sub-processor attiva una notifica di 30 giorni a ogni amministratore workspace tramite banner in-app ed email prima dell'inizio del trattamento, così i clienti possono opporsi.
- Compute & hostingISO 27001Primary app + edge infrastructureEU · Germany + Finland
- Edge computeISO 27001 · SOC 2Redirect edge nodesUS + APAC
- Email deliverySOC 2 Type IITransactional emailEU (opt-out for EU-only)
- PaymentsPCI DSS L1Card acquiringEU
- CDN + WAFISO 27001 · SOC 2Marketing proxy (not redirect path)Global · EU routing
Cosa puoi mettere nel deck di procurement
- Regione UE predefinita per ogni workspace
- Registro di audit di sola aggiunta e collegato in catena di hash nell'applicazione
- 13 sub-responsabili, tutti elencati pubblicamente con ubicazione + finalità
- API DSAR con SLA di 30 giorni (5 giorni accelerato su Business)
- SOC 2 in preparazione, ISO 27001 non certificata
- BAA HIPAA-ready su Business+ con protezioni già configurate
Cosa significa 'compliance' nel prodotto
La maggior parte degli abbreviatori risponde alle domande sulla compliance con una pagina informativa e un questionario fornitore. Le funzionalità seguenti sono effettivamente implementate nel codice, non sono solo promesse in un mazzo di documenti per l'ufficio acquisti.
Dati principali ospitati nell'UE
Il database principale, l'archivio di analytics, i metadati dei link e i backup sono ospitati nell'UE (Hetzner, Germania e Finlandia). La nostra rete di reindirizzamento gira anche su Hetzner Ashburn (Stati Uniti) e OVH Singapore, quindi lì vengono elaborati richieste dei visitatori, indirizzi IP, user agent e referrer, e quei nodi possono conservare copie in cache o replicate dei dati dei link. La selezione della regione per workspace non è ancora disponibile: ogni workspace è servito dalla stessa infrastruttura. I backup sono cifrati prima del caricamento.
Log di sola aggiunta per ogni cambio di stato
Impostazioni del workspace, emissione e rotazione delle chiavi API, inviti dei membri e cambi di ruolo, rivendicazioni di domini personalizzati, modifiche al brand, cambi di piano, e creazione, modifica ed eliminazione dei link: ogni mutazione che cambia lo stato finisce nel registro di audit con attore, timestamp UTC, diff JSON prima/dopo, IP di origine e ID della richiesta. La conservazione è di 730 giorni di default e configurabile per workspace. Gli eventi possono essere inviati a un SIEM (Splunk, Datadog, ELK) tramite webhook firmato. L'applicazione si limita ad aggiungere righe alla tabella di audit e ogni voce è concatenata tramite hash alla precedente, quindi la manomissione è rilevabile con un endpoint di verifica. È una protezione a livello applicativo, non una restrizione dei permessi del database.
Tredici fornitori, tutti elencati pubblicamente
Utilizziamo tredici sub-responsabili e l'elenco è pubblicato per intero: hosting e database (UE - Germania + Finlandia, più un nodo edge negli USA), edge di redirect (USA e Singapore), backup cifrati, email transazionali, pagamenti (Paddle fuori dall'Ucraina, monobank in Ucraina), live chat, funzioni di IA, SSO aziendale, CAPTCHA e DNS/proxy, controlli di reputazione degli URL e un dataset di geolocalizzazione offline. L'elenco completo con nomi, ubicazione dei fornitori e finalità del trattamento è su /legal/subprocessors. L'aggiunta o la sostituzione di un sub-responsabile comporta un preavviso di 30 giorni a ogni amministratore del workspace tramite banner in-app ed email prima dell'inizio del trattamento, così i clienti possono opporsi.
Esportazione ed eliminazione via API, non tramite ticket di supporto
L'API DSAR restituisce un pacchetto per interessato in JSON e CSV in uno zip firmato: record di identità, link dell'interessato, voci del registro di audit in cui è l'attore, e ricevute di fatturazione e storico dei piani per i proprietari di workspace. Una richiesta di cancellazione anonimizza il record dell'account (e-mail e nome), termina le sessioni e rimuove l'identità di accesso; i record di fatturazione vengono conservati dove la legge lo richiede. Gli eventi di clic registrati sui visitatori dei link brevi (inclusi gli indirizzi IP) non sono ancora inclusi automaticamente; inviateci il link breve e gestiremo il caso singolarmente. Il tempo di risposta standard è di 30 giorni.
SOC 2 in preparazione, pronti per HIPAA
SOC 2 è in preparazione: non è stato emesso alcun report di audit e non dichiariamo alcuna certificazione. ISO 27001 non è certificata. L'insieme di controlli che stiamo preparando comprende revisioni degli accessi, ticket di change management, cadenza di scansione delle vulnerabilità, simulazioni di incidente e verifiche dei fornitori. «Pronti per HIPAA» su Business+ significa che firmiamo un BAA che copre Elido come business associate, con le salvaguardie attive: cifratura a riposo e in transito, audit trail in sola aggiunta, RBAC, chiavi API a portata limitata e una procedura documentata di notifica delle violazioni entro 72 ore. HIPAA stesso è un'autoattestazione di settore: il BAA più le salvaguardie è ciò che chiedono gli auditor. I cambiamenti di postura compaiono in /changelog il giorno del rilascio.
Stack di cui farai evidence
- EU-residency
- GDPR DPA
- SOC 2 (in preparazione)
- ISO 27001 (pianificata)
- Log di audit + firehose SIEM
- DSAR API
Cosa misura il tuo DPO
- Conteggio sub-processor
- 13, elenco pubblico
- Risposta DSAR
- Sotto 30 giorni
- Retention log di audit
- 730 giorni di default
Cosa cambia quando il compratore è il responsabile della compliance
Se il tuo DPO sta esaminando il fornitore, queste sono le domande che porrà. Risposte oneste tra tre opzioni.
Domande comuni dall'ufficio acquisti
Dove sono memorizzati esattamente i nostri dati?
Nell'UE: database principale, archivio di analytics, metadati dei link e backup. I nodi di reindirizzamento girano anche negli Stati Uniti (Ashburn) e a Singapore e lì elaborano le richieste dei visitatori. La selezione della regione per workspace non è ancora disponibile.
Siete in ambito per SOC 2 / ISO 27001?
SOC 2 è in preparazione e non è stato emesso alcun report. ISO 27001 non è certificata. Non dichiariamo né l'una né l'altra. Il Trust Center su /trust segue lo stato attuale.
Firmate un DPA?
Disponibile su richiesta a [email protected]; le SCC dell'UE sono incluse. Il DPA rimanda al nostro elenco dei sub-responsabili su /legal/subprocessors come documento vivo; le modifiche vengono comunicate con 30 giorni di preavviso. Se servono modifiche, contattateci.
Quanti sub-responsabili sono coinvolti?
Tredici, non tutti nell'UE: hosting e database (Hetzner, DE/FI, più un nodo edge statunitense ad Ashburn), edge di reindirizzamento (OVH, Singapore), backup cifrati (Backblaze), e-mail transazionali, pagamenti (Paddle fuori dall'Ucraina, monobank in Ucraina, Coinbase Commerce solo se abilitato), live chat, funzioni di IA, SSO enterprise, CAPTCHA e DNS/proxy, controlli di reputazione degli URL e un dataset di geolocalizzazione offline. L'elenco nominativo completo con sede e finalità di ciascuno è su /legal/subprocessors. L'aggiunta di un sub-responsabile attiva un preavviso ai clienti di 30 giorni.
Possiamo utilizzare i nostri HSM / KMS per le chiavi di crittografia?
Non sul SaaS multi-tenant: le chiavi gestite dal cliente non sono ancora disponibili. I backup del database sono cifrati prima di lasciare i nostri server. Il self-hosting è disponibile su contratto (Enterprise); contatta [email protected].
Qual è lo SLA per la notifica delle violazioni?
Violazioni confermate dei dati personali: notifica al cliente entro 24 ore, notifica all'autorità di regolamentazione entro 72 ore (GDPR Art. 33). La notifica copre ciò che sappiamo in quel momento; non aspettiamo la perizia forense completa. Il processo è descritto nel nostro Trust Center su /trust/incident-response.
Soddisfate le DSAR degli utenti finali (interessati), non solo le nostre come clienti?
Agiamo su istruzione del titolare del trattamento (tu, il cliente). Gli utenti finali contattano te; tu inoltri la richiesta tramite la dashboard o l'API e noi la eseguiamo. Non accettiamo direttamente DSAR dagli utenti finali perché non avremmo modo di autenticarli come interessati del tuo workspace - quell'autenticazione spetta a te.
Il log di audit può essere manomesso da un amministratore di Elido?
Non tramite il prodotto. L'applicazione si limita ad aggiungere righe alla tabella di audit e ogni voce è concatenata tramite hash alla precedente, quindi la manomissione è rilevabile con l'endpoint di verifica. È una protezione a livello applicativo, non una restrizione dei permessi del database: chi avesse accesso diretto al database potrebbe alterare delle righe, ma la catena non risulterebbe più valida. L'eliminazione oltre il periodo di conservazione (730 giorni di default) è automatica e registra un meta-evento «retention purge».
Avete una security.txt pubblica / una politica di divulgazione coordinata?
Sì: security.txt su /.well-known/security.txt; politica di divulgazione coordinata su /trust/disclosure. Segnalate le vulnerabilità a [email protected]. Un programma di bug bounty a pagamento su HackerOne è in fase di allestimento e non è ancora attivo.
Cosa succede alla fine del contratto? Come recuperiamo i nostri dati?
Esportazione completa dei dati in qualsiasi momento tramite l'API o una richiesta di supporto una tantum. Pacchetto JSON + CSV che copre link, eventi di clic (grezzi o aggregati, a tua scelta), log di audit, membri, impostazioni, branding. Dopo la fine del contratto conserviamo i dati per 30 giorni per il recupero in caso di cancellazione accidentale, poi procediamo all'eliminazione definitiva da database primari, repliche e backup. Possiamo rilasciare una conferma scritta dell'eliminazione se il tuo DPA lo richiede.
Lista di lettura del DPO
Sub-processor, DPA, security.txt - la versione pubblica di ogni dichiarazione in questa pagina.
DPA GDPR disponibile su richiesta. SCC standard dell'UE incluse.
Tredici fornitori, elenco pubblico con ubicazione e finalità per ogni riga.
Crittografia, controllo accessi, divulgazione vulnerabilità, tempistiche di risposta agli incidenti.
SAML / OIDC + sincronizzazione directory SCIM gestiti da WorkOS; deprovisioning in pochi minuti.
Endpoint DSAR, streaming log di audit, chiavi API con scope - tipizzati in TS / Py / Go.
Non sei sicuro quale angolazione si adatti?
La maggior parte dei team inizia come uno e si sviluppa in tutti e quattro. Il nostro team di vendita può esaminare il tuo stack specifico in 20 minuti.