Privacy by architecture
Revisione tecnica: 20 luglio 2026
Cardentia non si limita a promettere riservatezza. La struttura del prodotto limita ciò che l’organizzazione può ricevere, anche quando avrebbe interesse a conoscere il singolo.
Ciò che l’azienda vede
- Aggregati di squadra soltanto sopra la soglia minima di gruppo.
- Stati collettivi con limiti e incertezza espliciti.
- Opera, attestato e provenienza senza dati cardiaci personali.
Ciò che non vede mai
- Battiti, RR/IBI, HRV o risultati di questionario della singola persona.
- Classifiche, score personali o confronti tra colleghi.
- Chi ha rifiutato, revocato o scelto di non condividere.
Difese tecniche
I dati cardiaci restano fuori catena, cifrati per persona con AES-256-GCM. Sulla catena va soltanto l’hash. La cancellazione distrugge la chiave della persona. L’isolamento tra aziende combina autorizzazione applicativa, membership locale e Row-Level Security PostgreSQL eseguita con un ruolo non proprietario.
Ogni accesso sensibile e ogni operazione rilevante entra in una catena audit verificabile. Le stazioni lavorano offline, conservano soltanto uno spool cifrato e non conoscono l’identità associata alla fascia.
Il limite più importante
La tecnologia non rende automaticamente libero il consenso nel rapporto di lavoro. Prima di trattare dati reali servono la validazione legale del consenso, i DPA e la procedura anti-coercizione prevista dalla DPIA.