LA TUA ARCHITETTURA DATI
First-Party Data & Architettura di Misurazione
sGTM, Conversion API, data lake BigQuery/Snowflake, Consent Mode v2 + TCF 2.2, identity resolution e reverse ETL — l'infrastruttura dati dei brand che vincono nel mondo post-cookie di terza parte, costruita con disciplina ingegneristica da zero.
Non stiamo entrando nell'era della morte del pixel, ma in quella in cui la proprietà dei dati è obbligatoria; l'infrastruttura è lavoro di ingegneria, non un SaaS plug-and-play.
Con Consent Mode v2, iOS 17 ATT, i cambiamenti sui cookie di Chrome e TCF 2.2, il segnale verso le piattaforme pubblicitarie si è eroso mediamente del 40-60%. La maggior parte dei brand, senza accorgersene, ha costruito data lake paralleli con più strumenti SaaS; ogni strumento ha il suo ID, la sua interpretazione del consenso, il suo schema eventi. L'operazione first-party di Roibase nasce su sei principi che eliminano questa frammentazione; ogni principio non è un SaaS ma uno standard ingegneristico.
Roibase perspective
METODOLOGIA
AUDIT → DESIGN → DEPLOY → VALIDATE → GOVERN → HANDOFF — disciplina ingegneristica
L'architettura dati non è un progetto di tag management, ma una piattaforma a lungo termine. Il processo in sei fasi rende ogni decisione scritta, testabile e trasferibile.
01
01
AUDIT
Audit di GTM client-side, GA4, pixel, CMP, implementazione del consenso, flussi dati e visibilità sui costi; perdita di segnale, violazioni di consenso e duplicazioni dati vengono quantificate.
02
02
DESIGN
Si progettano event taxonomy, strategia di identity, consent policy, architettura warehouse e data contracts; si ottiene l'approvazione degli stakeholder (legal, IT, marketing, data).
03
03
DEPLOY
Si portano in produzione container sGTM, endpoint CAPI, configurazione Consent Mode v2, streaming warehouse e modelli dbt; il rischio si riduce con blue/green deployment.
04
04
VALIDATE
Con shadow mode + dual tracking, la vecchia e la nuova architettura girano in parallelo; il cutover non avviene finché la event parity non è al 99%+; la checklist QA conta 120+ punti.
05
05
GOVERN
Si attivano schema registry, PII tagging, retention, RBAC, audit log e report di compliance; il comitato di data governance si riunisce con cadenza mensile.
06
06
HANDOFF
Al tuo team: 3 settimane di training hands-on + runbook + 6 mesi di supporto asincrono; la rotazione on-call per gli alert critici e il contratto SLA vengono trasferiti per iscritto.
— CONFRONTO
In-house vs agenzia SaaS-dependent vs ingegneria dati Roibase
La differenza concreta tra i tre approcci su proprietà dei dati, conformità al consenso, profondità ingegneristica e costo totale.
| Dimensione | In-house minimale | Agenzia SaaS-dependent | Ingegneria Roibase |
|---|---|---|---|
| Proprietà dei dati | Frammentata (ogni tool il suo DB) | Presso il fornitore SaaS | Nel tuo warehouse |
| sGTM + CAPI | Parziale (solo client) | Assente o gestita dal vendor | Nella tua infrastruttura, piena proprietà |
| Consent Mode v2 + TCF 2.2 | Integrazione di base | CMP pre-set, senza personalizzazione | Policy scritta + legal review + test |
| Identity resolution | Assente o solo email | Vendor black-box | Modello aperto deterministico + probabilistico |
| PII governance + audit log | Ad-hoc | Contrattuale, non operativa | Runbook + report di compliance mensile |
| Data contracts + schema registry | Assenti | Dipendenti dallo schema SaaS | Versionati, testabili, di proprietà |
| Reverse ETL + activation | CSV manuale | Vincolato al SaaS | Warehouse-native, scelta libera |
| Costo totale annuo | 50-120k€ (SaaS frammentati) | 120-250k€ (agenzia + licenze) | 80-180k€ (setup + warehouse) |
PROOF
Outcomes, measured
+45%
Recupero del segnale
Recupero delle conversioni non attribuite dopo iOS 14+/ATT grazie a sGTM + CAPI.
94%
Tasso di conformità consenso
Distribuzione accettabile degli stati di consenso dopo TCF 2.2 + Consent Mode v2.
12
Consolidamento strumenti
Numero tipico di tool SaaS data/analytics separati che si riescono a unificare per cliente.
€0
Costo mensile licenze dati
Nel tuo warehouse — solo costi di query + storage; nessun per-seat SaaS.
8
Settimane di setup
Timeline tipica dall'audit allo shadow mode live per un cliente mid-market.
99,8%
Tasso di consegna eventi
Successo medio di consegna eventi dopo il dual-path sGTM + CAPI.
WHAT WE DO
Engagement scope
Every offering is an outcome-based work package. Roibase blends strategy and execution inside a single team — no hand-offs.
01 / 10
Server-side GTM (sGTM)
Il tuo container sGTM su Google Cloud Run / AWS Fargate: la proprietà dei dati è tua, niente vendor lock-in, il carico client si riduce; la PII redaction avviene sul server.
02 / 10
Consent Mode v2 + TCF 2.2
Integrazione CMP conforme a IAB TCF 2.2, invio dinamico dei segnali ad_user_data + ad_personalization in base allo stato di consenso; separazione 'legal basis' KVKK/GDPR documentata per iscritto.
03 / 10
Conversion API (CAPI)
Eventi di conversione server-side per Meta, Google, TikTok, Pinterest; hashed PII + event deduplication; recupero del 30-50% del segnale e conformità iOS 14+/ATT.
04 / 10
Data lake BigQuery / Snowflake
Streaming di eventi raw + modelli dbt + semantic layer + visualizzazione con Looker Studio/Metabase/Looker; partition + clustering + cost optimization inclusi.
05 / 10
Identity resolution
Identity graph deterministico (login, hash email) + probabilistico (device fingerprint, household); una sola identità utente per journey cross-device e attribuzione cross-channel.
06 / 10
CDP readiness
Integrazione con Segment / RudderStack / mParticle o CDP warehouse-native (Census, Hightouch) con pipeline di reverse ETL; la scelta del CDP avviene con valutazione indipendente.
07 / 10
Reverse ETL & activation
Trasferimento automatico dei segmenti calcolati (churn risk, LTV tier, product affinity) verso Meta Custom Audience, Google Customer Match, Klaviyo, HubSpot, Braze.
08 / 10
Rebuild Customer Match
Ricostruzione di lookalike + retargeting con hashed PII + CAPI; l'infrastruttura che preserva le performance delle piattaforme pubblicitarie in un mondo senza pixel.
09 / 10
Schema registry + PII governance
Schema eventi versionato e testabile; i campi PII vengono taggati e sottoposti a policy di retention + masking; monitoring della qualità dati con alert sullo schema drift.
10 / 10
Audit log + monitoraggio accessi
Viene loggato chi accede a quali dati, quando e con quale finalità; role-based access control (RBAC), data contracts e report di compliance generati automaticamente ogni mese.
— VANTAGGI
Il ritorno concreto e misurabile della proprietà dei dati
L'architettura first-party non è solo conformità; è leva diretta per performance pubblicitaria, comprensione del cliente e velocità del team.
+45% segnale
Recupero del segnale pubblicitario
Con Meta/Google/TikTok CAPI recuperi il 30-50% del segnale; la velocità di apprendimento e la qualità di ottimizzazione delle piattaforme migliorano sensibilmente.
−52% spesa SaaS
Costi degli strumenti in calo
Lo stack SaaS frammentato si consolida in un unico warehouse + layer dbt; la spesa annuale di licenze cala del 40-60%.
+38% velocità decisionale
Il tuo team guadagna velocità
Con un semantic layer self-serve ogni business unit risponde da sola alle proprie domande; il data team passa da bottleneck a enabler.
100% audit-ready
Consenso conforme per iscritto
TCF 2.2 + Consent Mode v2 + policy KVKK sottoposti ad audit e testabili; in caso di controllo legale l'evidence file è pronto.
+28% accuratezza attribuzione
Journey cross-channel visibile
Con l'identity resolution il percorso utente è indipendente da dispositivo/canale; i modelli di attribuzione e le analisi di cohort girano su dati unificati.
Runbook + RACI
Data governance sostenibile
Schema registry, PII tagging, retention, RBAC, audit log — consegnati al tuo team con runbook + report di compliance mensile.
DELIVERABLE
Consegne concrete e documentate per ogni progetto first-party
Architettura, codice, configurazione, documentazione e formazione — ogni deliverable è versionato e trasferito al tuo team.
Report di signal audit
Valutazione quantitativa di perdita di segnale, violazioni di consenso e duplicazioni tool, 40-60 pagine.
Event taxonomy & data contracts
Nomi, proprietà, owner, versione schema e regole di backward compatibility di tutti gli eventi.
Setup container sGTM
sGTM live su Google Cloud Run / AWS Fargate, blue/green deployment + pipeline CI/CD + piano di rollback.
Integrazioni CAPI
Eventi di conversione server-side per Meta, Google, TikTok, Pinterest; event deduplication + hashed PII + error handling.
Consent Mode v2 + CMP policy
Configurazione CMP conforme a IAB TCF 2.2, segnali dinamici ad_user_data/ad_personalization, consent policy scritta + legal review.
Warehouse BigQuery/Snowflake
Pipeline di streaming eventi raw, partition + clustering, cost optimization, monitoring + alerting.
Modelli dbt + semantic layer
Layer staging → intermediate → marts, test dbt, exposures, lineage graph + sito di documentazione.
Pipeline di identity resolution
Regole di matching deterministico + probabilistico, household detection, tabella cross-device journey.
Pipeline di reverse ETL
Trasferimento segmenti a Meta CA, Google CM, Klaviyo, HubSpot, Braze via Census/Hightouch; schedule + monitoring.
Schema registry & PII governance
Registri di schema versionati, PII tagging, policy di retention + masking, alert su schema drift.
Audit log + report di compliance
Configurazione RBAC, log degli accessi ai dati, report di compliance mensile automatico (KVKK/GDPR + policy pubblicitarie).
Runbook + 3 settimane di training
Runbook operativo, rotazione on-call, contratto SLA + 3 settimane di training hands-on al tuo team.
— PERIMETRO
Cosa facciamo, cosa non facciamo — confini chiari
L'architettura first-party è ingegneria; definire il perimetro in modo netto evita sorprese e fatture aggiuntive.
Lo facciamo
- Signal audit + valutazione della salute del consenso
- Progettazione di event taxonomy + data contracts
- Setup container sGTM + CI/CD + monitoring
- Integrazioni CAPI per Meta/Google/TikTok/Pinterest
- Configurazione Consent Mode v2 + TCF 2.2 + CMP
- Warehouse BigQuery/Snowflake + pipeline di streaming
- Modelli dbt + semantic layer + test
- Identity resolution (deterministica + probabilistica)
- Pipeline di reverse ETL (Census/Hightouch)
- Schema registry + PII governance + audit log
- Coordinamento legal/compliance review
- Runbook + 3 settimane di training hands-on
Non lo facciamo
- Consulenza legale (coordiniamo avvocato partner + policy review)
- Vendita di licenze CDP (proposta vendor-agnostica, senza commissioni)
- Mantenimento di stack SaaS frammentati (proponiamo il consolidamento)
- Ore di raw analytics agency (niente pacchetti, ma sprint ingegneristici)
- Recupero segnale 'pre-pixel' garantito (diamo range realistici)
- Licenze warehouse / fatture cloud (restano sul conto del cliente)
- Gestione account pubblicitari (ambito separato con team PPC/Growth)
- Deployment SaaS plug-and-play (ogni cliente ha architettura custom)
HOW WE WORK
Setup nelle prime 8 settimane → 6 mesi di operatività — cosa succede e quando, per iscritto
01
Settimana 1-2: audit + discovery
Audit di GTM/GA4/CMP/pixel esistenti, consent health check, interviste agli stakeholder, documento di requisiti architetturali.
02
Settimana 3-4: design + data contracts
Event taxonomy, strategia di identity, schema warehouse, consent policy, data contracts — approvazione legal + IT + marketing.
03
Settimana 5-6: deploy sGTM + CAPI
Container Cloud Run/Fargate live; integrazione CAPI Meta/Google/TikTok; avvio shadow mode.
04
Settimana 7-8: warehouse + dbt
Pipeline di streaming BigQuery/Snowflake, dbt staging + intermediate + marts, prima versione del semantic layer.
05
Settimana 9-10: validate + cutover
Test di event parity, checklist QA, cutover blue/green; piano di decommissioning della vecchia architettura.
06
Settimana 11-12: govern + handoff
Schema registry, PII tagging, audit log, RBAC; parte il training hands-on al tuo team, viene consegnato il runbook.
07
Mese 4-5: activation + optimization
Pipeline di reverse ETL, prime attivazioni dei segmenti, preparazione dati per MMM/attribution, cost optimization.
08
Mese 6+: steady state + audit
Report di compliance mensile, comitato di data governance trimestrale, monitoring dello schema drift, SLA + rotazione on-call.
— TOOLKIT
Gli strumenti che usiamo — vendor-agnostici ma con scelte precise
Scegliamo ciò che è giusto per ogni cliente; proteggiamo la nostra indipendenza non incassando commissioni.
SERVER-SIDE TRACKING
Google Tag Manager ServerStape.ioGoogle Cloud RunAWS FargateMeta Conversion APIGoogle Ads Enhanced ConversionsTikTok Events APIPinterest CAPI
CMP & CONSENT
OneTrustCookiebotDidomiUsercentricsGoogle Consent Mode v2IAB TCF 2.2
WAREHOUSE & CDP
BigQuerySnowflakeRedshiftdbt Core/CloudSegmentRudderStackmParticleAmplitude
REVERSE ETL & ACTIVATION
CensusHightouchPolytomicFivetranAirbyteStitchMeta Custom Audience APIGoogle Customer Match API
QUESTIONS
Frequently asked
Tre vantaggi concreti: (1) recupero del 30-50% del segnale bypassando ad-blocker + ITP, (2) proprietà dei dati — la PII redaction avviene sul server, (3) miglior velocità di caricamento delle pagine perché il carico degli script client-side si riduce. In più rompi il vendor lock-in; tutta la logica dei tag vive nel tuo cloud.
— GLOSSARIO
Termini di ingegneria dei dati first-party
12 termini chiave che danno al tuo team e agli stakeholder un linguaggio comune.
- sGTM
- Server-side Google Tag Manager — un proxy che prende il payload del GTM del browser, lo pulisce e arricchisce, poi lo distribuisce a più destinazioni (GA4, Meta CAPI, TikTok ecc.). Estende la vita dei cookie, resiste agli ad-blocker ed è la spina dorsale delle conversion API server-side.
- CAPI
- API event server-to-server di Meta in parallelo al Pixel. Recupera il 20-40 % di signal di conversion perso nel browser per ITP e ad-blocker; per la deduplicazione ogni event deve portare event_id e stesso timestamp. Fondamento di ogni stack paid social moderno.
- Consent Mode v2
- Il meccanismo Google di segnalazione del consenso conforme a TCF 2.2; stati ad_user_data + ad_personalization.
- TCF 2.2
- Versione del Transparency & Consent Framework di IAB Europe obbligatoria dal 2024. Standardizza il signal di consent tra publisher, vendor e utente; i CMP (OneTrust, Cookiebot, Didomi) forniscono la compliance obbligatoria insieme a Google Consent Mode v2.
- Identity resolution
- Associazione delle attività utente tra diversi dispositivi e canali a una singola identità; deterministica + probabilistica.
- CDP
- Customer Data Platform; sistema che unifica i profili utente e li espone ai canali di attivazione (Segment, mParticle, warehouse-native).
- Reverse ETL
- Trasferimento dei dati dal warehouse agli strumenti operativi (Meta, Google, Klaviyo); Census, Hightouch sono i vendor tipici.
- Customer Match
- Utilizzo di una lista first-party hashata (email, telefono, indirizzo postale) come audience di targeting/exclusion su Google Search, YouTube e Display. Base per seed lookalike e win-back; utile di solito da match rate 30 %+.
- Data warehouse
- Il deposito dati cloud in cui risiedono eventi raw e modellati (BigQuery, Snowflake, Redshift, Databricks).
- Event schema
- Definizione scritta e versionata di nomi, proprietà, tipi di dato e owner degli eventi; conservata nello schema registry.
- PII
- Personally Identifiable Information; dati che identificano una persona (email, telefono, IP, device ID). Gestiti con tagging + retention.
- Data governance
- L'insieme delle discipline di qualità, accesso, governance e conformità dei dati; RBAC + audit log + data contracts sono standard.
- GA4 Measurement Protocol
- Protocollo server-to-server che invia event direttamente a GA4 via HTTP. Genera signal di conversion da ambienti senza pixel web (CRM, IoT, app server); auth con api_secret + measurement_id, configurato per rispettare Consent Mode.
- Enhanced Conversions
- Layer di misurazione in Google Ads che lega la conversion all'utente tramite first-party data hashata (email, telefono). Recupera il 3-15 % di attribution persa per ITP e decadimento cookie; varianti web e lead-form.
- Offline Conversions
- Processo per restituire alla piattaforma ads le conversion avvenute nel CRM (lead-to-sale, chiusura in call, visita in store) tramite click ID (gclid/wbraid/fbclid). Il modo più affidabile per alimentare tROAS con revenue reale.
- First-party Data
- Dati che il brand raccoglie direttamente dalle proprie properties (web, app, CRM, call center, email, membership) con consenso utente. Il carburante più solido del performance dopo i third-party cookie; viene hashato e attivato in piattaforma.
- Data Clean Room
- Ambiente di calcolo sicuro in cui due parti (es. brand + piattaforma media) fanno match e aggregazione senza esporre i PII grezzi. Google Ads Data Hub, Amazon AMC, Snowflake/Databricks clean room — overlap, attribution e audience building.
- Identity Graph
- Grafo relazionale che collega una stessa persona attraverso device, email, telefono, identificativo di pagamento e ID hashati. Base per attribution cross-device, modelli di retention e qualità del seed LAL — il cuore del CDP.
- First-party Cookies
- Cookie impostati dal dominio stesso del sito e inviati solo nelle sue request. Dopo il blocco dei third-party, ITP ha accorciato anche questa categoria — cookie set server-side + policy di rotazione 1y+ diventano essenziali.
- Server-side Events
- Event di conversion inviati alla piattaforma ads via API dal tuo server (sGTM, backend) invece che dal browser. Immuni ad ad-blocker e limiti del browser; usano spec come CAPI (Meta), GA4 MP, TikTok Events API.
- Hashed PII
- Identificativo personale (email, telefono, nome) congelato tramite funzione crittografica one-way (di solito SHA-256). Obbligatorio per matching, upload custom audience ed Enhanced Conversions sulle piattaforme ads — requisito privacy e compliance.
- Privacy Sandbox
- Suite di API Chrome di Google pensata per misurazione pubblicitaria, retargeting e fraud detection senza third-party cookie: Topics, Protected Audience (FLEDGE), Attribution Reporting. Il lato Google del futuro cookieless.
- CORS (Cross-Origin Resource Sharing)
- Meccanismo di sicurezza del browser che richiede al server di approvare esplicitamente fetch/XHR cross-origin. Si controlla con header Access-Control-Allow-*; la cattiva configurazione è il bug di integrazione più comune delle API SaaS.
- CSP (Content Security Policy)
- Header HTTP che dichiara da quali sorgenti una pagina può caricare script, style, immagini e iframe. La difesa browser-side più forte contro XSS; nonce + strict-dynamic è la best practice moderna, abbinata a report-uri/report-to per il monitoring.
- TLS / SSL
- Protocollo che cifra tutto il traffico tra client e server e autentica il server tramite certificato. Layer sottostante a HTTPS; TLS 1.3 è lo standard moderno, Let's Encrypt offre certificati gratuiti, l'header HSTS è obbligatorio.
- Zero-Trust
- Modello di sicurezza che non si fida di alcuna posizione di rete e ri-autentica + ri-autorizza ogni request in base a utente + device + contesto. Alternativa moderna al VPN; si costruisce su BeyondCorp, Cloudflare Access, Tailscale.
- AWS IAM (Identity and Access Management)
- Layer di auth in AWS che risponde a "chi può fare cosa su quale servizio". Gerarchia User/Group/Role/Policy; principio least-privilege; SCP (Service Control Policy) per guardrail a livello organizzazione; fondazione di sicurezza di ogni workload AWS.
- OWASP Top 10
- Lista aggiornata annualmente da OWASP dei dieci rischi di sicurezza più critici per applicazioni web. L'edizione 2021 è guidata da Broken Access Control, Cryptographic Failures, Injection e Insecure Design. Standard industriale per il self-assessment di sicurezza.
- SQL Injection
- Vulnerabilità web classica in cui l'attaccante inietta frammenti SQL nei campi input per manipolare query DB. Porta a bypass del login, dump completo del DB, attacchi DROP TABLE. Fix: query parametrizzate / prepared statement oppure ORM.
- XSS (Cross-Site Scripting)
- L'attaccante inietta JavaScript malevolo in una pagina web; viene eseguito nel browser della vittima. Tre varianti: Reflected, Stored, DOM-based — porta a furto di cookie e session hijacking. Mitigazione: escape in output, header CSP, cookie HttpOnly + SameSite.
- CSRF (Cross-Site Request Forgery)
- Attacco che sfrutta la sessione autenticata della vittima per compiere azioni indesiderate. Da un altro sito l'attaccante fa auto-submit di un form alla banca della vittima. Mitigazione: token anti-CSRF, cookie SameSite=Lax/Strict, pattern double-submit cookie.
- Clickjacking
- L'attaccante sovrappone il sito target come iframe trasparente sulla propria pagina e inganna l'utente facendogli cliccare bottoni invisibili — like, bonifici, permessi senza consenso. Mitigazione: X-Frame-Options: DENY o header CSP frame-ancestors.
- MITM (Man-in-the-Middle)
- Attacco che intercetta o modifica la comunicazione fra due parti. Vettori tipici: Wi-Fi aperto, certificati fasulli, ARP spoofing. Mitigazione: HTTPS, HSTS preload, certificate pinning, DNS over HTTPS (DoH).
- Certificate Pinning
- L'app mobile/desktop accetta solo una specifica chiave pubblica di certificato server (o CA). Anche se l'attaccante installa una CA fasulla sul device, l'app non si fida. Tra le difese più forti contro il MITM, ma rende più difficile la rotazione delle chiavi.
- MFA / 2FA (Multi-Factor Authentication)
- Metodo di auth che richiede un secondo fattore di prova oltre alla password. Fattori: ciò che sai (password), hai (telefono, hardware key), sei (biometria). SMS è debole; TOTP (Authenticator), push notification e FIDO2/WebAuthn sono la scelta moderna.
- SSO (Single Sign-On)
- Un unico login dà accesso a più app collegate. Protocolli principali: SAML 2.0 (enterprise) e OIDC (web/mobile moderno); IdP tipici: Okta, Azure AD, Google Workspace. Migliora l'UX e dà all'IT gestione centralizzata del ciclo di vita utente.
- SAML 2.0
- Standard legacy XML per SSO enterprise (2005). Trasporta authentication assertion da un IdP (Okta, ADFS) al Service Provider via browser POST o redirect binding. Ancora standard nelle SaaS moderne, ma i nuovi progetti preferiscono OIDC.
- OIDC (OpenID Connect)
- Layer di identità costruito su OAuth 2.0. Aggiunge un ID token (JWT) oltre all'access token; tecnologia dietro "Sign in with Google/Apple/Microsoft". Basato su JSON, mobile/SPA-friendly e più moderno di SAML.
- JWT (JSON Web Token)
- Token di identità/autorizzazione portabile e firmato nel formato Header.Payload.Signature. Abilita sessioni stateless, trasferimento di identità fra microservizi e il formato ID token di OIDC. Best practice: access corto + refresh lungo; RS256/ES256 preferiti a HS256.
- Security Headers
- Header HTTP di risposta che inviano regole di sicurezza al browser: Strict-Transport-Security (HSTS), Content-Security-Policy (CSP), X-Content-Type-Options, Referrer-Policy, Permissions-Policy. Configurati bene riducono drasticamente XSS, MITM e sniffing.
- WAF (Web Application Firewall)
- Layer di sicurezza che ispeziona il traffico Layer-7 e blocca SQL injection, XSS, RCE e attacchi bot. Prodotti principali: Cloudflare WAF, AWS WAF, Imperva, F5; combinano rule set gestiti con regole custom e rate limiting.
- Penetration Testing (Pentest)
- Audit di sicurezza controllato che mette alla prova le difese di un sistema con la mentalità di un attaccante reale. Approcci black-box, gray-box e white-box; scope web-app, mobile, network, social engineering. Output: lista di finding prioritizzati + retest delle fix.
- Bug Bounty
- Programma con cui un'azienda paga ricercatori esterni in denaro per la scoperta di vulnerabilità. Via HackerOne, Bugcrowd o self-hosted; scope, regole e fasce di reward sono pubblicate apertamente. Effetto: pressione di pentest continua.
- Zero Trust
- Approccio "non fidarsi per default di nessuno né di alcuna rete — verifica ogni request". Sostituisce il classico modello castle-and-moat con accessi basati su identità, postura del device e contesto. BeyondCorp, Cloudflare Access e Zscaler sono esempi chiave.
- DDoS (Distributed Denial of Service)
- Attacco che inonda un servizio target con traffico da migliaia di dispositivi compromessi contemporaneamente. Varianti: volumetrico (saturazione banda), protocollo (SYN flood), application layer (HTTP flood). Difesa principale: reti anycast come Cloudflare, AWS Shield, Akamai.
- Secrets Management
- Memorizzare valori sensibili — API key, password DB, certificati, OAuth client secret — in modo centralizzato, auditabile e ruotabile. HashiCorp Vault, AWS Secrets Manager, Doppler e 1Password Secrets sono i tool standard; chiude la cattiva abitudine del .env in Git.
- Prompt Injection
- Attacco in cui l'attaccante inserisce istruzioni nascoste nell'input utente o tool per far ignorare al LLM il suo system prompt — es. "Dimentica tutte le istruzioni precedenti e…". L'XSS delle app LLM; la difesa richiede sanitizzazione input a livelli, filtering output e sandbox.
- LLM Jailbreak
- Tentativo di aggirare le regole di sicurezza built-in di un modello (rifiutare contenuti dannosi, non rivelare il system prompt, ecc.). Tecniche comuni: DAN, "grandma exploit", framing di roleplay, trick di encoding, manipolazione multi-turn. Superficie che i red team stressano costantemente.
- GDPR (General Data Protection Regulation)
- Regolamento europeo sulla protezione dei dati, in vigore dal 2018. Consenso esplicito, minimizzazione dei dati, diritti di accesso ed cancellazione, notifica di breach entro 72 h, sanzioni fino al 4 % del fatturato globale o 20 M €. Vincola chiunque faccia affari con l'UE.
- CCPA / CPRA
- California Consumer Privacy Act (2020) e il suo potenziamento CPRA (2023). Concede ai residenti californiani diritto di sapere, diritto di cancellazione e opt-out "Do Not Sell or Share". In assenza di una legge federale, è lo standard privacy USA de facto; altre leggi statali (Virginia VCDPA, Colorado CPA) vi fanno riferimento.
- LGPD (Lei Geral de Proteção de Dados)
- Legge brasiliana di protezione dati simile al GDPR, in vigore dal 2020. Applicata dall'ANPD; 9 diritti dell'interessato, consenso esplicito e DPO obbligatorio. Sanzioni: fino al 2 % del fatturato per violazione, max 50 M BRL.
- KVKK (Turchia)
- Legge turca sulla protezione dei dati personali n. 6698, emanata nel 2016. Applicata dal Consiglio KVKK; registro VERBİS, consenso esplicito, 11 diritti per l'interessato, requisito di adeguatezza per trasferimenti internazionali. Allineata al GDPR ma più severa su alcuni punti.
- DSA (Digital Services Act)
- Regolamento UE per le grandi piattaforme, pienamente in vigore dal 2024. Per le VLOP (Very Large Online Platforms, 45 M+ utenti UE — Meta, Google, TikTok…): valutazione annuale dei rischi, tracciamento di contenuti illegali, trasparenza algoritmica, divieto di dark pattern. Sanzioni fino al 6 % del fatturato globale.
- DMA (Digital Markets Act)
- Regola di concorrenza UE rivolta alle piattaforme "gatekeeper" (Apple, Google, Meta, Microsoft, Amazon, ByteDance, Booking) dal 2024. Impone app store di terze parti, scelta del motore di browser, interoperabilità della messaggistica e vieta il self-preferencing. Motivo per cui iOS in UE ha aperto il side-loading.
- ePrivacy Directive ("Cookie Law")
- Direttiva UE del 2002 (aggiornata nel 2009) — primo obbligo di consenso esplicito prima di cookie e tracker. Tuttora in vigore come complemento del GDPR; fonte legale dei cookie banner che vediamo sui siti UE. Il Regolamento ePrivacy successivo è ancora in negoziazione.
- FLEDGE / Protected Audience API
- API della Google Privacy Sandbox pensata per tenere vivo il remarketing dopo la scomparsa dei cookie di terze parti. Gli interest group sono salvati nel browser, anche l'asta gira nel browser, IP/ID non escono. Default in Chrome 109+, test IAB in corso.
- Topics API
- Successore di FLoC nella Google Privacy Sandbox (2023). Il browser deriva 5 "topic" alla settimana dalla cronologia dell'utente (es. /Sports/Soccer); gli inserzionisti vedono un subset random. Obiettivo: matching di interessi senza cross-site tracking.
- CHIPS (Cookies Having Independent Partitioned State)
- Tecnologia Chrome che divide i cookie di terze parti in partizioni per sito. Il cookie di un widget embedded ora è isolato per top-site, rompendo il cross-site tracking ma preservando lo state in-site. Implementato aggiungendo l'attributo Partitioned su Set-Cookie.
- SKAdNetwork (Apple)
- Framework iOS di Apple per l'attribution pubblicitaria senza IDFA. Fornisce un match deterministico tra il network che ha servito l'annuncio e quello che ha innescato l'install; conversion value 0-63 e postback aggregati a 24 h. Standard dell'ecosistema mobile ad post-ATT.
- ATT (App Tracking Transparency)
- Feature Apple introdotta in iOS 14.5 (2021) che impedisce alle app di accedere all'IDFA senza mostrare il dialogo di sistema "Allow / Ask Not to Track". ~75 % degli utenti ha fatto opt-out, cambiando radicalmente l'industria della mobile attribution e spingendola verso SKAdNetwork.
- IDFA / GAID
- IDFA (Identifier for Advertisers, iOS) e GAID (Google Advertising ID, Android) — ID pubblicitari legati al dispositivo e resettabili dall'utente. Prima di ATT, spina dorsale della mobile attribution; oggi GAID è ancora attivo su Android, IDFA è passato a un modello opt-in.
- OpenRTB
- Protocollo aperto IAB che standardizza l'acquisto/vendita programmatic display e video. Definisce i formati JSON di bid request, bid response e win notice tra SSP e DSP; la v2.6 (2024) aggiunge audio, CTV e identity solution. Base tecnica di header bidding e PMP.
- Prebid.js
- La libreria header-bidding open-source più diffusa. Sulla pagina del publisher invia bid request in parallelo a 10+ SSP prima della chiamata all'ad server (GAM); vince il bid più alto. Ha alzato l'eCPM dei publisher del 20-50 % e portato trasparenza nell'ecosistema programmatic — una rivoluzione.
- Cookie Consent Banner
- Il banner familiare del web moderno che chiede "Accetti i cookie?" al caricamento del sito. Richiesto da ePrivacy + GDPR; "Reject All" deve essere altrettanto semplice e il consenso deve essere granulare per categoria. CookieYes, OneTrust e Cookiebot sono i CMP principali.
- CMP (Consent Management Platform)
- Piattaforma che raccoglie, memorizza e propaga il consenso dell'utente in tutto il sito. Si integra con IAB TCF v2.2 e segnala ai vendor di terze parti tramite consent string. OneTrust, TrustArc, CookieYes, Cookiebot e Iubenda sono diffusi; pezzo obbligatorio dello stack privacy moderno.
- IAB TCF v2.2 (Transparency & Consent Framework)
- Standard IAB Europe per condividere il consenso fra vendor adtech nel mercato UE. Una consent string binaria codifica quali dei 12 purpose e quali dei 1.000+ vendor l'utente ha approvato; viene trasportata CMP→SSP→DSP. La v2.2 (2023) ha chiarito la granularità del "purpose 1: device storage".
- DSAR (Data Subject Access Request)
- Ai sensi del GDPR art. 15 / KVKK / CCPA, diritto dell'individuo a una risposta documentata entro 30 giorni a "quali dati avete su di me e con chi li avete condivisi?". Portale DSAR, runbook e pipeline automatica di estrazione dati sono pezzi imprescindibili di un programma privacy moderno.
- Privacy by Design
- I sette principi di Ann Cavoukian (1995, integrati nell'art. 25 del GDPR): essere proattivi, default privacy-friendly, progettare sistemi privacy-first, cifratura end-to-end, protezione full-lifecycle, visibilità, rispetto per l'utente. Base etica dell'architettura di sicurezza moderna.
- Right to be Forgotten
- Articolo 17 del GDPR — diritto dell'individuo a chiedere la cancellazione dei propri dati personali. Senza base legale per conservarli, l'azienda deve cancellare in 30 giorni — backup, log e vendor di terze parti compresi. Esteso ai risultati di ricerca Google dalla sentenza CGUE Costeja del 2014.
- SPF (Sender Policy Framework)
- Standard anti-spoofing in DNS TXT che elenca gli IP autorizzati a inviare email per un dominio. Esempio: v=spf1 include:_spf.mailgun.org -all. L'MTA ricevente confronta l'IP del mittente con SPF; in caso di failure → spam o rifiuto.
- DKIM (DomainKeys Identified Mail)
- Standard che dimostra l'autenticità di un'email tramite firma crittografica del dominio mittente. Un header DKIM-Signature viene aggiunto al messaggio; il ricevente lo verifica contro la chiave pubblica pubblicata in DNS. Seconda gamba dell'email auth moderno insieme a SPF.
- DMARC (Domain-based Message Authentication, Reporting & Conformance)
- Standard che combina SPF + DKIM e lascia al proprietario del dominio decidere cosa fare se l'autenticazione fallisce. Policy p=none / quarantine / reject; rua=mailto:dmarc@… aggrega i report. Obbligatorio per mittenti massivi verso Gmail/Yahoo dal 2024.
- BIMI (Brand Indicators for Message Identification)
- Standard che mostra il logo del brand mittente accanto al "from" nelle inbox Gmail/Yahoo quando il dominio applica DMARC. Richiede logo SVG Tiny + Verified Mark Certificate (VMC); supporto mailbox in crescita dal 2023. Open rate +3-15 %.
- CAN-SPAM (legge email USA)
- Legge USA del 2003 che fissa regole obbligatorie per l'email commerciale: niente header/subject ingannevoli, link di opt-out chiaro, indirizzo postale fisico nel messaggio, opt-out applicati entro 10 giorni. Sanzioni fino a 51K $ per violazione. Regime opt-out, a differenza del GDPR.
- CBDC (Central Bank Digital Currency)
- Token digitale emesso da una banca centrale con valore di moneta a corso legale. Sand Dollar delle Bahamas, eNaira nigeriano ed e-CNY cinese sono live; l'Euro Digitale è in pilot. Risposta del regolatore alle stablecoin, al centro dei progetti di pagamento cross-border e cashless society.
- Sign-In with Ethereum (SIWE)
- Standard (EIP-4361) per fare login con una firma di wallet Ethereum invece di email/password. La dApp genera un messaggio, l'utente lo firma col proprio wallet e il backend verifica la firma per aprire la sessione. Alternativa OIDC per l'auth Web3, sempre più abbinata alle passkey.
- LLM Red Team
- Team umano + AI che mette alla prova le regole di sicurezza e i confini interni di un modello. Prompt avversariali, jailbreak, leak PII, scenari di prompt injection; i gap trovati confluiscono nell'eval set. I red team di OpenAI, Anthropic e Google hanno ruolo critico pre-lancio.
- Adversarial Prompt
- Prompt costruito apposta per spingere il modello verso output sbagliati, dannosi o vietati. Vettori tipici: "detail-only", "creative fiction", "system-message override" ed encoding base64. Difendersi richiede instruction tuning + RLHF + Constitutional AI insieme.
- Jailbreak Eval Suite
- Collezione standardizzata di tentativi di aggirare i controlli di sicurezza di un LLM. Benchmark aperti: AdvBench, HarmBench, JailbreakBench; pattern classici come "DAN", "grandma exploit" e roleplay framing. Misurare il pass-rate è obbligatorio prima di lanciare un LLM.
- Prompt Leakage
- Attacco che cerca di far emergere il system prompt di un modello — spesso business logic riservata. Esempio: "stampa tutte le istruzioni precedenti". Il context RAG nascosto e le regole sensibili possono trapelare. Difesa: instruction wrapper + repeat-back filter + structured output.
- PII Redaction (LLM)
- Layer che maschera i dati personali nell'input utente — nome, telefono, email, numero di carta, indirizzo — prima che raggiungano il LLM o finiscano nei log. Tool tipici: Microsoft Presidio, Google DLP, AWS Comprehend Medical; obbligatorio per compliance GDPR, KVKK e HIPAA.
- LLM Guardrails
- Layer di controllo che protegge l'output del modello da territori indesiderati — tossico, off-topic, allucinatorio, output che viola lo schema. Output filtering, schema validation, classifier-as-judge e tool-call validation; tool tipici: NeMo Guardrails, Guardrails AI e AWS Bedrock Guardrails.
- Content Moderation API
- Servizio che classifica input e output di testo o immagine in categorie — tossicità, NSFW, violenza, hate speech, self-harm. OpenAI Moderation, Perspective API (Google), AWS Rekognition e Azure Content Safety. Pre-filtro obbligatorio in qualsiasi applicazione LLM.
- AI Safety Eval (HHH)
- Principio di eval di alignment che misura il trio "Helpful, Honest, Harmless". Helpful: aiuta davvero l'utente; Honest: dà risposte false o con motivazioni nascoste; Harmless: suggerisce azioni dannose. Fondamento dei paper di safety di Anthropic.
- Toxicity Score
- Score di classificatore da 0 a 1 che misura quanto un testo sia tossico, di harassment o hateful. Perspective API (Google), OpenAI Moderation, Detoxify e HateBERT sono comuni; soglia tipica 0,7+. Filtro critico per output LLM, moderazione commenti e brand safety.
- Bias Audit
- Verifica sistematica se un modello produce output ingiusti su attributi protetti — gender, race, age, religion. Metriche: demographic parity, equal opportunity, counterfactual fairness; tool comuni AI Fairness 360 e Fairlearn. Compliance obbligatoria nei settori regolamentati.
- Anti-Cheat (VAC, EAC, BattlEye)
- Sistema che blocca cheat, aimbot e wallhack nei giochi multiplayer. Valve VAC, Easy Anti-Cheat (EAC), BattlEye, Riot Vanguard e FACEIT AC sono diffusi; l'accesso a livello kernel alimenta il dibattito security/privacy. Prevenire i cheat non ha tetto, ma un'implementazione scadente distrugge la UX.
- SOC (Security Operations Center)
- Team 24/7 + infrastruttura che monitora e risponde agli eventi di sicurezza. Strutturato in Tier 1 (alert triage), Tier 2 (investigazione approfondita), Tier 3 (threat hunter, forensics); toolset comune SIEM, EDR, SOAR. Le aziende moderne gestiscono un SOC interno di 100+ persone o lo affidano a un MSSP.
- SIEM (Security Information & Event Management)
- Piattaforma che ingest log e security event centralmente e scatena alert con regole di correlation. Splunk, IBM QRadar, Microsoft Sentinel, Elastic SIEM e Sumo Logic in testa; risponde a "chi ha fatto cosa" e "quale anomalia" — cuore di ogni SOC moderno.
- EDR (Endpoint Detection & Response)
- Piattaforma di detection + response in tempo reale per malware, ransomware e lateral movement su laptop, server e endpoint mobile. CrowdStrike Falcon, SentinelOne, Microsoft Defender for Endpoint, Carbon Black e Sophos Intercept X in testa. Il successore dell'antivirus classico.
- XDR (Extended Detection & Response)
- Successore dell'EDR che unifica anche segnali di rete, email, cloud e identity. Trasforma alert siloed oltre l'endpoint in un'unica vista correlata; Palo Alto Cortex XDR, Microsoft Defender XDR, Trellix e SentinelOne Singularity in testa. Riduce i ticket per analyst SOC di 5-10×.
- SOAR (Security Orchestration, Automation & Response)
- Piattaforma di orchestrazione che esegue playbook automatici dopo alert SIEM — "blocca questo IP", "isola questo endpoint", "reset della password" e altre risposte da 100+ step. Splunk SOAR, Palo Alto XSOAR, Tines e Torq leader; riduce il carico del Tier 1 SOC del 60 %+.
- Threat Intelligence
- Disciplina che fornisce conoscenza sugli attori di minaccia attivi, le loro tattiche e gli IoC (indicators of compromise — IP, hash, domini). Recorded Future, Mandiant, CrowdStrike Intel, OTX e MISP danno i feed che vengono iniettati nel SIEM; risponde a "questo leak ci tocca?".
- CVE (Common Vulnerabilities & Exposures)
- Catalogo pubblico di ID di vulnerabilità di sicurezza gestito da MITRE — ad esempio CVE-2024-12345. Ogni voce collega patch del vendor, dettagli di exploit e versioni colpite, e riceve uno score CVSS. Unità atomica di un programma di vulnerability management.
- CVSS (Common Vulnerability Scoring System)
- Sistema standard gestito da FIRST.org che valuta la gravità di una vulnerabilità da 0,0 a 10,0. Livelli: Base Score (exploitability + impatto), Temporal, Environmental; 9,0+ Critical, 7,0-8,9 High, 4,0-6,9 Medium. Base per la priorità dei patch.
- NIST CSF (Cybersecurity Framework)
- Framework pubblicato da NIST nel 2014 che organizza un programma di cybersecurity in cinque funzioni: Identify, Protect, Detect, Respond e Recover. La v2.0 (2024) ha aggiunto Govern. Riferimento più diffuso nel federale USA e nelle enterprise globali.
- ISO 27001
- Standard internazionale per un Information Security Management System (ISMS). Risk assessment + 93 controlli (Allegato A) + ciclo di miglioramento continuo; audit esterno ogni 3 anni + surveillance annuale. Obbligatoria nel B2B SaaS e prova di allineamento con GDPR e KVKK.
- SOC 2
- Report di audit ideato dall'AICPA per le SaaS. Trust Services Criteria: Security (obbligatoria), Availability, Processing Integrity, Confidentiality, Privacy. Type 1 (point-in-time), Type 2 (6-12 mesi di evidenze operative). La chiave per vendere enterprise negli USA.
- CIS Controls
- Insieme dei 18 controlli di cybersecurity più critici pubblicato dal Center for Internet Security (ex SANS Top 20). I tier IG1 (small), IG2 (mid) e IG3 (large) coprono azioni pratiche come asset inventory, MFA e phishing awareness. La mappa operativa del NIST CSF.
- MITRE ATT&CK Framework
- Knowledge base aperta di MITRE che cataloga TTP reali degli attaccanti — Tactics, Techniques and Procedures. 14 tattiche Initial Access → Execution → Persistence → … → Impact, con oltre 600 tecniche. Riferimento per scenari red team, scrittura di regole di detection e allineamento threat intel.
- Zero-Day Exploit
- Vulnerabilità software che il vendor non conosce ancora — 0 giorni dal patch — e l'exploit che la sfrutta. Vale milioni nei mercati bug-bounty e dark web; arma preferita di gruppi APT, attori statali e spyware tipo Pegasus. Difesa: defense in depth, EDR, virtual patching.
- Supply Chain Attack
- Attacco a un target tramite il software, i componenti o i vendor che usa, non direttamente. Casi di scuola: SolarWinds Orion (2020), Kaseya (2021), MOVEit Transfer (2023) e 3CX (2023). Un singolo vendor compromesso può colpire 18.000+ clienti; SBOM, artefatti firmati e framework SLSA sono difesa standard.
- Ransomware
- Malware che cifra i file della vittima e chiede un riscatto per la chiave di decrittazione. La "double extortion" moderna minaccia anche di pubblicare i file sul dark web. LockBit, BlackCat (ALPHV), Conti e Ryuk sono tristemente noti; nel 2024 il riscatto medio è 2 M $ e il downtime medio 21 giorni.
- Phishing / Spear Phishing / Whaling
- Attacchi che rubano credenziali o dati con email, SMS o pagina contraffatti. Phishing: massivo e generico; spear phishing: mirato a una persona o azienda specifica; whaling: punta a CEO, CFO e top executive. Il phishing generato da IA è cresciuto del 1500 % nel 2024; difesa: DMARC, email security gateway e awareness training.
- Credential Stuffing
- Attacco che prende coppie username/password trapelate altrove e le prova automaticamente su altri siti per prendere il controllo degli account. Bot-driven, milioni di richieste al secondo; HaveIBeenPwned traccia 13 mld+ di record. Difesa: rate limiting, CAPTCHA, MFA e password uniche con password manager.
- Brute Force Attack
- Provare sistematicamente combinazioni di password. Due varianti: online (contro un login live) e offline (contro un dump di hash). Tool: GPU + dizionario + motori rule-based (Hashcat, John the Ripper); una top GPU 2024 fa 600 miliardi di hash/sec. Difesa: passphrase lunga + bcrypt/scrypt/argon2.
- UEBA (User & Entity Behavior Analytics)
- Layer di security analytics che con ML impara i pattern di comportamento di utenti e device e segnala le anomalie — orario/luogo di login anomalo, accesso a file atipico, pattern di lateral movement. Cruciale per insider-threat e compromised-account detection. Leader: Splunk UBA, Exabeam, Microsoft Sentinel UEBA.
- CASB (Cloud Access Security Broker)
- Layer di cloud security che monitora e applica policy sulle app SaaS usate dai dipendenti. Copre shadow IT discovery, DLP, threat protection e compliance check. Leader: Microsoft Defender for Cloud Apps, Netskope, McAfee MVISION e Zscaler CASB. La DMZ di sicurezza dell'era SaaS-first.
- DLP (Data Loss Prevention)
- Sistema che previene l'esfiltrazione non autorizzata di dati sensibili — PII, numeri di carta, segreti commerciali. Deep content inspection + enforcement delle policy su endpoint, rete, email e cloud. Leader: Symantec DLP, Forcepoint, Microsoft Purview e Netskope. Cuore della compliance GDPR, KVKK e HIPAA.
- IAM (Identity & Access Management)
- Piattaforma che risponde a "chi può accedere a quale sistema con quali privilegi?". Single source of identity (Okta, Azure AD/Entra, Auth0, Ping Identity), SSO, MFA, automation del lifecycle joiner-mover-leaver, RBAC/ABAC. Centro di qualsiasi architettura zero-trust moderna.
- Privileged Access Management (PAM)
- Piattaforma che gestisce e audita gli account privilegiati — admin, root, break-glass. Accesso just-in-time, password vault, session recording e workflow di approvazione. CyberArk, BeyondTrust, Delinea e HashiCorp Boundary in testa; controllo primario contro insider threat e privilege escalation.
- KYC (Know Your Customer)
- Obbligo regolatorio finanziario di verificare l'identità del cliente. Passi: documenti (carta, passaporto), liveness check (selfie, video), indirizzo (bolletta), source of funds. Passo obbligatorio per banche, exchange crypto e fintech; la non-compliance significa multe milionarie e revoca della licenza.
- AML (Anti-Money Laundering)
- Controlli regolatori e operativi contro il riciclaggio. Transaction monitoring, Suspicious Activity Report (SAR), screening sanzioni (OFAC, UE, ONU) e check PEP (Politically Exposed Person). Funzione di compliance di banche e fintech; FinCEN e FATF dettano gli standard globali.
- PCI DSS Level 1
- Lo standard di sicurezza carta più severo, per aziende con più di 6 M di transazioni carta all'anno. Audit annuale on-site da QSA (Qualified Security Assessor), scan vulnerabilità trimestrali, pentest e revisione della segmentazione. Stripe, Adyen e Shopify Payments sono certificati Level 1.
- Embedded Finance
- Integrare servizi finanziari — pagamenti, lending, assicurazioni, conti bancari — direttamente in prodotti non finanziari. Esempi: account driver di Uber, Shopify Capital, Tesla Insurance, Apple Card. Costruito su provider Banking-as-a-Service (Stripe Treasury, Unit, Synapse); mercato previsto oltre 7.000 mld $ al 2030.
- Apple Pay / Google Pay (Wallet)
- Wallet digitale in cui i dati carta vengono tokenizzati e salvati sul telefono o wearable, poi usati per pagamenti NFC o online. Il tasso di frode scende del 50 %+ nelle transazioni card-not-present; backend Visa Token Service e Mastercard MDES. L'NFC iOS si è aperto ai wallet di terze parti nel 2024 con il DMA UE.
- Direct Debit (SEPA DD / BACS)
- Pull pre-autorizzato dal conto del cliente per pagamenti ricorrenti — affitto, bollette, abbonamenti. SEPA Direct Debit in Europa, BACS Direct Debit in UK, ACH Debit in USA. Standard pull-payment per subscription business e utility; regole su pre-notification, mandate ID e diritto di chargeback.
- Wire Transfer
- Trasferimento bancario ad alto valore in tempo reale — domestic via Fedwire negli USA, internazionale via SWIFT. Settlement nello stesso giorno, fee $25-50, irreversibile. Rail standard per B2B ad alto valore e acquisti immobiliari; più veloce e più costoso di ACH.
- Cross-Border Payment
- Pagamento internazionale che attraversa valute e reti bancarie. Il classico correspondent banking SWIFT impiega 2-5 giorni con fee del 2-5 %; alternative moderne: Wise, Revolut, Stripe Cross-Border, stablecoin blockchain come USDC. Il mercato cross-border B2B globale ha superato i 150 mila mld $ nel 2024.
- Authorization vs Settlement
- I due passi di una transazione carta. Authorization: blocca il limite della carta in pochi secondi; Settlement: trasforma il blocco in addebito reale in 1-3 giorni lavorativi. In e-commerce si autorizza all'ordine e si capture/settle alla spedizione; al ristorante si autorizza e poi si fa adjusted settlement per la mancia.
- Chargeback
- Quando la banca del cliente annulla una transazione → rimborso più fee di chargeback $15-50 per il merchant. Motivi tipici: "articolo non ricevuto", frode, addebito duplicato. Sequenza moderna: pre-arbitration → arbitration. Visa Compelling Evidence 3.0 (2023) dà al merchant strumenti più forti di evidence.
- Friendly Fraud
- Il cliente ha realmente ricevuto e usato il prodotto, ma apre un chargeback dicendo "non lo riconosco". Il 60-80 % dei chargeback dell'e-commerce sono friendly fraud. Difesa del merchant: screenshot dell'ordine, tracking, match IP e conferma di consegna con firma.
- Interchange Fee
- Commissione che la banca acquirer paga alla banca issuer (quella del titolare). Fissata dagli schedule Visa/Mastercard — ~1,5-3 % negli USA e 0,2-0,3 % in UE con il cap PSD2. La fetta più grande del ~2,5 % di merchant fee totale e la linea di ricavo più redditizia per le fintech.
- Acquirer Bank vs Issuer Bank
- I due estremi di una transazione carta. Issuer Bank: la banca che dà la carta al titolare (limite, billing); Acquirer Bank: la banca integrata col payment processor del merchant (merchant funding, settlement). Stripe e Adyen lavorano con l'acquirer — il partner back-end del merchant.
- eKYC / Digital KYC
- Il successore 100 % digitale del KYC. Verifica AI di selfie + documento ID via Onfido, Jumio, Veriff o Persona; onboarding in 30 secondi-2 minuti con manual review come fallback. AI document-tampering detection e liveness anti-spoofing sono essenziali. Vantaggio di conversion delle fintech moderne.
- Card Brand (Visa / Mastercard / Amex)
- I proprietari delle reti carta. Visa e Mastercard sono open-loop (qualsiasi banca può essere issuer o acquirer); Amex e Discover sono closed-loop (sono loro la banca). Quota di volume globale: Visa ~38 %, Mastercard ~28 %, Amex ~22 %; Troy è la rete locale turca. Interchange + network fee del brand fissano il costo merchant.
- Card-Present vs Card-Not-Present
- CP: il cliente è fisicamente in negozio con la carta — chip + PIN, NFC, swipe. CNP: e-commerce, telefono o mail-order. Il fraud CNP è 8-10× il CP; 3DS2, tokenization e fraud scoring sono obbligatori. La differenza fondamentale di profilo di rischio fra retail fisico e online.
- Open Banking / PISP / AISP
- Due ruoli di terzi creati dalla PSD2. AISP (Account Information Service Provider): aggregazione conti, financial planning — Mint, Tink. PISP (Payment Initiation Service Provider): iniziazione di pagamenti direttamente dal conto bancario — Trustly, GoCardless Instant. Rivale diretto delle reti carta.
- HIPAA
- Legge USA del 1996 sulla privacy dei dati sanitari. PHI (Protected Health Information) è la combinazione di identità del paziente e stato di salute; cifratura in storage e transit, log di accesso e audit trail di 6 anni sono obbligatori. Sanzioni 50K-1,5 M $ per violazione; la compliance HIPAA è non negoziabile per qualsiasi SaaS che venda nella sanità.
- RegTech (Regulatory Technology)
- Segmento tech che automatizza compliance e processi regolatori. Copre AML/KYC (ComplyAdvantage, Chainalysis), reporting regolatorio (NICE Actimize, FIS Protegent), automation fiscale (Avalara, TaxJar) e reporting GDPR/CSRD. Investimento RegTech > 15 mld $ nel 2024; la categoria supplier in più rapida crescita per banche, assicurazioni e fintech.
- InsurTech
- Il segmento tech che digitalizza l'assicurazione. Lemonade (P&C, claim con AI), Root (auto telematics), Hippo (smart home insurance), Coalition (cyber insurance) e Wefox in testa; in Turchia Quick Sigorta e BoMonti. La controparte data-driven e customer-experience-first dell'assicurazione legacy.
01
CAPIConsent Mode v2
02
sGTMCustomer Match
03
TCF 2.2PII
04
Consent Mode v2
05
CDPCustomer Match
06
Reverse ETLData warehouse
07
CDPData warehouse
08
CAPIPII
09
Event schemaData governance
10
Data governance
11
Data governanceConsent Mode v2
12
PIIEvent schema
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31
32
33
34
35
36
37
38
39
40
41
42
43
44
45
46
47
48
49
50
51
52
53
54
55
56
57
58
59
60
61
62
63
64
65
66
67
68
69
70
71
72
73
74
75
76
77
78
79
80
81
82
83
84
85
86
87
88
89
90
91
92
93
94
95
96
97
98
99
100
101
102
103
104
105
106
107
108
109
110
111
112
113
114
115
116
117
118
119
120
121
122
123
124
125
126
127
128
129
130
131
— ALBERO DECISIONALE
Un'operazione di dati first-party è adatta a te?
Rispondi Sì/No a 4 domande; il risultato è una raccomandazione chiara.
01 / 04
Il tuo budget pubblicitario mensile supera i 30k USD?
Soglia perché il recupero del segnale sia economicamente rilevante.
— LET'S BEGIN
Quanto ti fidi davvero dei tuoi pixel?
Con un signal audit di 2 ore mettiamo in luce conversioni perse, problemi di consenso e opportunità sul warehouse.