Politica di divulgazione coordinata delle vulnerabilità (CVD)

Prodotto: OPDesk · Fabbricante: FD Consulting S.R.L. · Versione 1.1 — in vigore dal 4 luglio 2026, revisione del 24 luglio 2026

English version below ↓

Politica adottata ai sensi dell'allegato I, parte II, punto 5, del Regolamento (UE) 2024/2847 (Cyber Resilience Act).

1. Impegno di FD Consulting

FD CONSULTING S.R.L. (Via Giuseppe di Vittorio 9, 40018 San Pietro in Casale (BO), Italia — P.IVA 04157171200 — info@fdconsultingsrl.com — PEC fd.consulting.srl@pec.it), fabbricante del prodotto con elementi digitali OPDesk, riconosce il valore del lavoro dei ricercatori di sicurezza e della comunità che segnala vulnerabilità in modo responsabile.

Con la presente politica FD Consulting:

mette in atto e applica una politica di divulgazione coordinata delle vulnerabilità, come richiesto dall'allegato I, parte II, punto 5, del Reg. (UE) 2024/2847;
fornisce un indirizzo di contatto per la segnalazione delle vulnerabilità, ai sensi dell'allegato I, parte II, punto 6, del medesimo regolamento;
indica il punto di contatto unico dove è possibile segnalare e ricevere informazioni sulle vulnerabilità del prodotto e dove è reperibile questa politica, ai sensi dell'allegato II, punto 2, del medesimo regolamento.

Il processo di ricezione delle segnalazioni e di pubblicazione degli avvisi è ispirato a ISO/IEC 29147:2018; il processo interno di gestione e correzione delle vulnerabilità è ispirato a ISO/IEC 30111:2019.

2. Ambito

2.1 Sistemi in ambito

La presente politica si applica al prodotto OPDesk, trattato come un unico prodotto con elementi digitali comprendente:

Componente	Identificazione
Web app (PWA)	https://app.opdesk.it
App iOS nativa	bundle it.opdesk.app — Apple App Store
Backend (API)	servito sotto app.opdesk.it (nessun hostname API separato)

La politica resta in vigore per l'intero periodo di assistenza del prodotto (attualmente garantito almeno fino a luglio 2031, con data aggiornata a scorrimento finché il prodotto è attivamente commercializzato).

Le segnalazioni relative al sito istituzionale fdconsultingsrl.com sono accettate allo stesso punto di contatto, pur non riguardando il prodotto OPDesk.

2.2 Sistemi esclusi (di terze parti)

Sono fuori ambito i sistemi e i servizi di terze parti utilizzati da OPDesk. Le vulnerabilità che riguardano esclusivamente tali sistemi vanno segnalate ai rispettivi programmi di divulgazione:

Hostinger — piattaforma di hosting dell'infrastruttura (VPS UE); Emergent — precedente piattaforma di hosting, in dismissione fino alla cancellazione certificata dei dati;
provider di modelli AI — OpenAI, Anthropic, OpenRouter, Groq;
Stripe (pagamenti) e RevenueCat (acquisti in-app);
Apple (Sign in with Apple, APNs, App Store) e Google (Sign in with Google);
Resend (email transazionali) e PostHog (analytics).

Resta invece in ambito il modo in cui OPDesk integra tali servizi (codice di integrazione, configurazione, gestione di token e webhook): se una vulnerabilità si manifesta nell'integrazione lato OPDesk, la segnalazione è benvenuta al nostro contatto.

2.3 Segnalazioni non qualificanti

Di norma non sono considerate vulnerabilità qualificanti, salvo impatto concreto dimostrabile: la mera indicazione di versioni software senza prova di sfruttabilità; l'assenza di header o configurazioni «best practice» priva di impatto dimostrabile; l'output di scanner automatici non verificato; questioni di esclusiva natura di user experience.

3. Come segnalare una vulnerabilità

3.1 Canale principale

Inviare la segnalazione via email a: security@fdconsultingsrl.com.

Lingue accettate: italiano e inglese. Al momento non è disponibile un canale cifrato (es. chiave PGP pubblica); non includere nella segnalazione più dati personali di quanto strettamente necessario.

3.2 Contenuti utili della segnalazione

Per consentire un triage rapido, includere ove possibile:

componente interessato (web app, app iOS, API) e URL/endpoint;
tipo di vulnerabilità e descrizione tecnica;
passi dettagliati di riproduzione e, se disponibile, proof of concept;
impatto stimato e condizioni necessarie allo sfruttamento;
data e ora dei test ed eventuali account di prova utilizzati;
un recapito per gli aggiornamenti (facoltativo, vedi segnalazione anonima).

3.3 Segnalazione anonima

Le segnalazioni anonime sono accettate. Se la segnalazione non include alcun recapito utilizzabile, non potremo fornire conferma di ricezione, aggiornamenti sullo stato né riconoscimenti; è possibile indicare un recapito non riconducibile alla propria identità per ricevere comunque gli aggiornamenti. Il trattamento della segnalazione segue comunque il processo descritto alla sezione 4.

3.4 Canale alternativo: CSIRT Italia

In alternativa, la vulnerabilità può essere segnalata al CSIRT Italia (presso l'Agenzia per la Cybersicurezza Nazionale — https://www.csirt.gov.it), designato coordinatore nazionale per la divulgazione coordinata delle vulnerabilità ai sensi dell'art. 12, par. 1, della direttiva (UE) 2022/2555 (NIS2), recepita in Italia con il D.lgs. 4 settembre 2024, n. 138 (artt. 15 e 16). Il CSIRT coordinatore agisce da intermediario di fiducia tra segnalante e fabbricante e garantisce, su richiesta, la possibilità di segnalazione in forma anonima.

4. Cosa promettiamo: impegni e processo

4.1 Tempi di risposta (SLA)

Fase	Impegno
Conferma di ricezione	entro 3 giorni lavorativi
Prima valutazione (triage)	entro 10 giorni lavorativi
Correzione	obiettivo entro 90 giorni di calendario, calibrato sulla gravità della vulnerabilità

Le vulnerabilità più gravi sono trattate con priorità più alta; se il termine indicativo di 90 giorni non può essere rispettato (ad esempio per dipendenze da fornitori terzi), ne diamo comunicazione motivata al segnalante e concordiamo una nuova data.

4.2 Processo di gestione

Ricezione — la segnalazione è registrata e ne è confermata la ricezione.
Triage — verifica di riproducibilità, valutazione di impatto e gravità, conferma dell'ambito; comunichiamo l'esito al segnalante.
Sviluppo della correzione — sviluppo e test della correzione; ove fattibile, gli aggiornamenti di sicurezza sono separati da quelli di funzionalità.
Rilascio — distribuzione della correzione: lato server per web app e API; tramite aggiornamento su App Store per l'app iOS. Gli aggiornamenti di sicurezza sono diffusi tempestivamente e gratuitamente, accompagnati da messaggi di avviso, ai sensi dell'allegato I, parte II, punto 8, Reg. (UE) 2024/2847.
Divulgazione pubblica coordinata — una volta reso disponibile l'aggiornamento di sicurezza, condividiamo e divulghiamo pubblicamente le informazioni sulla vulnerabilità risolta (descrizione, prodotti e versioni interessati, impatto, gravità, indicazioni per correggerla), ai sensi dell'allegato I, parte II, punto 4, Reg. (UE) 2024/2847. In casi debitamente giustificati, quando i rischi della divulgazione superano i benefici in termini di sicurezza, la divulgazione può essere ritardata finché gli utilizzatori non abbiano avuto la possibilità di applicare la correzione.

La data di divulgazione pubblica è concordata con il segnalante; in assenza di diverso accordo, la finestra di coordinamento di riferimento è di 90 giorni dalla segnalazione. Chiediamo al segnalante di non divulgare pubblicamente dettagli della vulnerabilità prima della data coordinata.

Se una vulnerabilità risulta attivamente sfruttata, FD Consulting effettua inoltre le notifiche previste dall'art. 14 del Reg. (UE) 2024/2847 (applicabile dall'11 settembre 2026) al CSIRT designato come coordinatore e all'ENISA tramite la piattaforma unica di segnalazione, e informa gli utilizzatori interessati ai sensi dell'art. 14, par. 8.

5. Regole di ingaggio per i ricercatori

Chi svolge attività di ricerca su OPDesk nell'ambito di questa politica deve rispettare le regole seguenti:

testare solo su account propri: utilizzare esclusivamente account creati per la ricerca (è disponibile un periodo di prova gratuito di 15 giorni); non testare su account o workspace di altri utenti;
non accedere a dati di altri utenti: se durante i test si accede accidentalmente a dati non propri, interrompere immediatamente l'attività, non salvare né divulgare i dati e segnalare l'accaduto;
limitare l'esfiltrazione al minimo: acquisire solo i dati strettamente necessari a dimostrare la vulnerabilità; nessun download massivo di dati;
niente denial of service: non eseguire attacchi volumetrici, stress test o attività che degradino la disponibilità del servizio; limitare l'uso di strumenti automatici ad alto volume di richieste;
niente social engineering: nessun phishing o manipolazione verso utenti, collaboratori o fornitori di FD Consulting;
non alterare o distruggere dati: nessuna modifica o cancellazione di dati che non appartengano ai propri account di prova;
non testare sistemi di terzi (sezione 2.2) invocando questa politica;
non divulgare dettagli della vulnerabilità prima della data di divulgazione coordinata (sezione 4.2);
rispettare la legge, incluse le norme in materia di protezione dei dati personali.

6. Safe harbour

FD Consulting considera la ricerca di sicurezza condotta in buona fede e nel rispetto della presente politica come autorizzata. In relazione a tale attività, FD Consulting si impegna a:

non promuovere azioni legali civili né presentare querela o denuncia nei confronti del ricercatore per l'attività di ricerca svolta in conformità alla presente politica;
non richiedere l'applicazione di misure o sanzioni per l'aggiramento delle misure tecniche di protezione reso strettamente necessario dall'attività di ricerca condotta nel rispetto della politica;
collaborare con il ricercatore per comprendere e risolvere rapidamente il problema;
qualora un terzo avvii un'azione legale in relazione ad attività condotte in conformità alla presente politica, rendere nota l'autorizzazione qui concessa.

Limiti: questo impegno vincola esclusivamente FD Consulting. Non può escludere l'iniziativa autonoma di terzi né dell'autorità giudiziaria (nell'ordinamento italiano l'azione penale per i reati perseguibili d'ufficio è esercitata dal pubblico ministero); non copre condotte estranee o contrarie alla presente politica, né attività dirette contro sistemi di terzi. In caso di dubbio sulla liceità di un test, contattarci prima di eseguirlo.

7. Riconoscimenti

FD Consulting non offre ricompense monetarie (non si tratta di un programma di bug bounty). Su consenso esplicito del segnalante, ringraziamo pubblicamente i ricercatori che hanno segnalato vulnerabilità valide, mediante menzione nella pagina dei ringraziamenti («hall of fame») sul sito fdconsultingsrl.com e/o negli avvisi di sicurezza pubblicati. Le segnalazioni anonime o senza consenso non sono menzionate.

8. Riferimenti

Reg. (UE) 2024/2847 (Cyber Resilience Act): allegato I, parte II, punti 4), 5), 6) e 8); allegato II, punto 2; art. 3, punti 2) e 51); art. 14.
Direttiva (UE) 2022/2555 (NIS2), art. 12, par. 1; D.lgs. 4 settembre 2024, n. 138 (artt. 15 e 16).
ISO/IEC 29147:2018 — Information technology — Security techniques — Vulnerability disclosure.
ISO/IEC 30111:2019 — Information technology — Security techniques — Vulnerability handling processes.
RFC 9116 — A File Format to Aid in Security Vulnerability Disclosure (file /.well-known/security.txt).

Coordinated Vulnerability Disclosure Policy (English version)

Product: OPDesk · Manufacturer: FD Consulting S.R.L. · Version 1.1 — effective from 4 July 2026, revised 24 July 2026

This policy is adopted pursuant to Annex I, Part II, point (5) of Regulation (EU) 2024/2847 (Cyber Resilience Act). In case of discrepancy, the Italian version prevails.

A.1 Our commitment

FD CONSULTING S.R.L. (Via Giuseppe di Vittorio 9, 40018 San Pietro in Casale (BO), Italy — VAT IT04157171200 — info@fdconsultingsrl.com — certified email (PEC): fd.consulting.srl@pec.it), manufacturer of the product with digital elements OPDesk, values the work of security researchers and of everyone who reports vulnerabilities responsibly. With this policy, FD Consulting puts in place and enforces a coordinated vulnerability disclosure policy (Annex I, Part II, point (5), Regulation (EU) 2024/2847), provides a contact address for vulnerability reporting (Annex I, Part II, point (6)), and designates the single point of contact required by Annex II, point 2, of the same Regulation. Report intake and advisories follow ISO/IEC 29147:2018; internal vulnerability handling follows ISO/IEC 30111:2019.

A.2 Scope

In scope — the OPDesk product, treated as a single product with digital elements:

web app (PWA): https://app.opdesk.it;
native iOS app: bundle it.opdesk.app (Apple App Store);
backend (API): served under app.opdesk.it (no separate public API hostname).

This policy remains in force throughout the product support period (currently guaranteed at least until July 2031, on a rolling basis while the product is actively marketed). Reports concerning the corporate website fdconsultingsrl.com are accepted at the same contact point, although the website is not part of the OPDesk product.

Out of scope — third-party systems and services used by OPDesk; please report vulnerabilities affecting only those systems to their respective programmes:

Hostinger (infrastructure hosting, EU VPS); Emergent (former hosting platform, being decommissioned pending certified data deletion);
AI model providers: OpenAI, Anthropic, OpenRouter, Groq;
Stripe (payments) and RevenueCat (in-app purchases);
Apple (Sign in with Apple, APNs, App Store) and Google (Sign in with Google);
Resend (transactional email) and PostHog (analytics).

The way OPDesk integrates those services (integration code, configuration, token and webhook handling) is in scope: if a vulnerability manifests on the OPDesk side of the integration, please report it to us.

Non-qualifying reports (unless a concrete, demonstrable impact is shown): software version disclosure without proof of exploitability; missing "best practice" headers or configurations with no demonstrable impact; unverified automated scanner output; pure user-experience issues.

A.3 How to report

Primary channel: email security@fdconsultingsrl.com. Accepted languages: Italian and English. An encrypted channel (e.g. public PGP key) is not currently available; please do not include more personal data than strictly necessary.

Please include, where possible: affected component (web app, iOS app, API) and URL/endpoint; vulnerability type and technical description; detailed reproduction steps and proof of concept if available; estimated impact and exploitation preconditions; date/time of testing and any test accounts used; a contact address for updates (optional).

Anonymous reports are accepted. If the report does not include any usable contact address, we cannot provide acknowledgement, status updates or credit; you may provide a contact address that cannot be linked to your identity in order to still receive updates. The report is handled through the same process described below.

Alternative channel — CSIRT Italia: you may also report the vulnerability to CSIRT Italia (at the Italian National Cybersecurity Agency, ACN — https://www.csirt.gov.it), designated as national coordinator for coordinated vulnerability disclosure under Article 12(1) of Directive (EU) 2022/2555 (NIS2), transposed in Italy by Legislative Decree No 138 of 4 September 2024 (Articles 15 and 16). The coordinating CSIRT acts as a trusted intermediary between reporter and manufacturer and, upon request, allows anonymous reporting.

A.4 What we promise: SLAs and process

Phase	Commitment
Acknowledgement of receipt	within 3 business days
Initial assessment (triage)	within 10 business days
Remediation	target within 90 calendar days, calibrated on severity

Higher-severity vulnerabilities are prioritised. If the indicative 90-day target cannot be met (e.g. due to third-party dependencies), we will inform the reporter with reasons and agree on a new date.

Process: (1) intake — the report is logged and acknowledged; (2) triage — reproducibility check, impact and severity assessment, scope confirmation, outcome communicated to the reporter; (3) fix development — where feasible, security updates are kept separate from feature updates; (4) release — server-side deployment for web app and API, App Store update for the iOS app; security updates are distributed promptly and free of charge, accompanied by advisory messages (Annex I, Part II, point (8), Regulation (EU) 2024/2847); (5) coordinated public disclosure — once a security update is available, we share and publicly disclose information about the fixed vulnerability (description, affected products and versions, impact, severity, remediation guidance), pursuant to Annex I, Part II, point (4), of Regulation (EU) 2024/2847; in duly justified cases, where the security risks of disclosure outweigh its benefits, disclosure may be delayed until users have had the possibility to apply the fix.

The public disclosure date is coordinated with the reporter; absent a different agreement, the reference coordination window is 90 days from the report. We ask reporters not to publicly disclose details before the coordinated date. If a vulnerability is found to be actively exploited, FD Consulting will additionally make the notifications required by Article 14 of Regulation (EU) 2024/2847 (applicable from 11 September 2026) to the coordinating CSIRT and ENISA through the single reporting platform, and will inform affected users pursuant to Article 14(8).

A.5 Rules of engagement

Test only against your own accounts (a 15-day free trial is available); never against other users' accounts or workspaces.
Do not access other users' data: if you accidentally access data that is not yours, stop immediately, do not store or disclose it, and report the event.
Keep data exfiltration to the minimum needed to demonstrate the vulnerability; no bulk downloads.
No denial of service: no volumetric attacks, stress testing or activity degrading service availability; limit high-volume automated tooling.
No social engineering or phishing against FD Consulting users, staff or suppliers.
Do not alter or destroy data that does not belong to your own test accounts.
Do not test third-party systems (section A.2) under this policy.
Do not disclose vulnerability details before the coordinated disclosure date.
Comply with applicable law, including data protection law.

A.6 Safe harbour

FD Consulting considers security research conducted in good faith and in compliance with this policy to be authorized. With respect to such activity, FD Consulting commits: not to initiate civil action nor to file a criminal complaint against the researcher for research conducted in compliance with this policy; not to seek measures or sanctions for the circumvention of technological protection measures where strictly necessary to the research conducted in compliance with this policy; to work with the researcher to understand and resolve the issue quickly; and, should a third party initiate legal action in connection with activities conducted in compliance with this policy, to make it known that those activities were authorized.

Limits: this commitment binds FD Consulting only. It cannot exclude autonomous action by third parties or by judicial authorities (under Italian law, prosecution of offences prosecutable ex officio is exercised by the public prosecutor); it does not cover conduct outside or contrary to this policy, nor activities against third-party systems. If in doubt about the lawfulness of a test, contact us before running it.

A.7 Recognition

FD Consulting does not offer monetary rewards (this is not a bug bounty programme). With the reporter's explicit consent, we publicly thank researchers who reported valid vulnerabilities in a hall-of-fame page on fdconsultingsrl.com and/or in published security advisories. Anonymous reports, or reports without consent, are not credited.

A.8 References

Regulation (EU) 2024/2847 (Cyber Resilience Act): Annex I, Part II, points (4), (5), (6) and (8); Annex II, point 2; Article 3, points (2) and (51); Article 14 — Directive (EU) 2022/2555 (NIS2), Article 12(1); Italian Legislative Decree No 138/2024 (Articles 15 and 16) — ISO/IEC 29147:2018 (Vulnerability disclosure) — ISO/IEC 30111:2019 (Vulnerability handling processes) — RFC 9116 (/.well-known/security.txt).