I tuoi numeri, e chi può vederli.
Su questa pagina non c’è scritto «massima protezione». C’è scritto cosa fa il programma, in modo che tu possa chiederne conto.
Il database non si fida del programma. Ogni tabella ha una regola che lascia leggere e scrivere solo le righe di chi ha fatto l’accesso: se domani il programma avesse un difetto e chiedesse i dati di un altro, sarebbe il database a dire di no.
L’accesso dello studio non è una chiave generale: passa da un’autorizzazione che dai tu, cliente per cliente, e che puoi togliere. Finché non la dai, per lui il tuo conto non esiste.
Le aree si assegnano una per una. Chi non ha un’area non la vede chiusa col lucchetto: non la vede affatto, perché «c’è ma non puoi» è già un’informazione.
Quando lo studio apre i dati di un cliente, resta traccia di chi e quando. Serve dopo, quando qualcosa è andato storto e bisogna ricostruire chi ha visto cosa.
Su 85 tabelle del database, 85 hanno la regola accesa. Il numero è contato dallo schema mentre questa pagina viene scritta: non è una promessa, è una misura.
Gira in una scatola chiusa: non legge i tuoi file, non lancia comandi, non ha accesso al sistema. Le protezioni del browser restano tutte accese anche dentro il programma installato.
Il collegamento al registratore fiscale, che sta sulla rete di casa. Due funzioni, non un permesso generico di andare in rete: se la pagina chiedesse di chiamare un sito qualunque, la richiesta verrebbe rifiutata prima di partire.
Il programma per Mac è firmato con un certificato registrato e verificato da Apple prima della pubblicazione. Un file scaricato che non lo fosse, macOS lo bloccherebbe — ed è giusto così.
Ogni aggiornamento porta l’impronta di quello che dovrebbe essere. Se il file scaricato non corrisponde, non viene installato.
I pagamenti passano da Stripe, che tiene i dati della carta sui suoi sistemi. QuotaQuid riceve solo la conferma che hai pagato e per quale piano: il numero della carta non entra nel nostro database, quindi non lo si può perdere.
Il campo che dice quale abbonamento hai non è modificabile dal programma: lo scrive il server di Stripe quando il pagamento riesce, e il database rifiuta chiunque altro. Prima bastava la console del browser per darsi il piano più alto — adesso no.
Se smetti di pagare, il conto scende al piano d’ingresso e le funzioni dei piani superiori si spengono. I dati restano dove sono: le fatture che hai emesso, le spese, i clienti. Se torni, li ritrovi. Cancellare a chi smette di pagare sarebbe legale, e sarebbe il modo più rapido per non farlo tornare mai più.