04a1892c0d
Stats e prodotti non usavano il locale, quindi dopo lo switch lingua lo scroll mostrava ancora l'italiano. Co-authored-by: Cursor <cursoragent@cursor.com>
874 lines
47 KiB
TypeScript
874 lines
47 KiB
TypeScript
/**
|
||
* Modello organizzativo — contenuti in dati, così si aggiornano ruoli e processi
|
||
* senza toccare il layout della pagina.
|
||
*/
|
||
import type { SupportedLocale } from './home/navigation';
|
||
|
||
export type ModelloRuolo = { label: string; text: string };
|
||
export type ModelloGovernance = { nome: string; partecipanti: string; nota: string };
|
||
export type ModelloKpi = { area: string; testo: string };
|
||
export type ModelloPiano30 = { quando: string; testo: string };
|
||
export type ModelloOutsourcing = { titolo: string; testo: string };
|
||
export type ModelloFlusso = { titolo: string; testo: string };
|
||
export type ModelloRaciRow = {
|
||
role: string;
|
||
r?: boolean;
|
||
a?: boolean;
|
||
c?: boolean;
|
||
i?: boolean;
|
||
};
|
||
export type ModelloRaciMatrix = {
|
||
id: string;
|
||
title: string;
|
||
note?: string;
|
||
noteLinkHref?: string;
|
||
noteLinkLabel?: string;
|
||
rows: readonly ModelloRaciRow[];
|
||
};
|
||
|
||
const modelloOrganizzativoByLocale = {
|
||
it: {
|
||
page: {
|
||
title: 'Modello organizzativo — NexStudio',
|
||
description:
|
||
'Modello organizzativo NexStudio: governance, ruoli, RACI, controlli lean, KPI, piano 30 giorni — per le linee LexAura (Legal Tech) e MediAura (Health Tech).',
|
||
heading: 'Modello organizzativo',
|
||
lead:
|
||
'Ruoli, ritmi di governo, processi e controlli «lean» in una software house con SaaS a elevata regolamentazione. Complementare al codice etico. Non sostituisce statuti, modelli di compliance societari (es. 231) né pareri legali: andate in parallelo con struttura reale e consulenti.',
|
||
indexTitle: 'Indice',
|
||
roleCol: 'Ruolo',
|
||
raciLegendBefore: 'Legenda:',
|
||
raciLegend:
|
||
'R = Responsible, A = Accountable, C = Consulted, I = Informed.',
|
||
ruoliIntroBefore:
|
||
'Elenco sintetico delle funzioni e delle attese di impegno. Per allineare il dominio prodotto (Legal Tech, Health Tech) a ruoli e consiglieri, fate riferimento anche a',
|
||
codiceEticoLabel: 'codice etico',
|
||
codiceEticoHref: '/codice-etico',
|
||
ruoliIntroAfter:
|
||
'e, per i trattamenti di dati, a privacy policy e DPA.',
|
||
sectionTitles: {
|
||
ruoli: '1. Ruoli e perimetro',
|
||
governance: '2. Governance essenziale',
|
||
responsabilita: '3. Principali responsabilità (sintesi)',
|
||
raci: '4. RACI sintetico per processi critici',
|
||
flussi: '5. Flussi decisionali rapidi',
|
||
controlli: '6. Controlli minimi obbligatori (lean)',
|
||
kpi: '7. KPI essenziali',
|
||
documentazione: '8. Documentazione minima da mantenere',
|
||
piano30: '9. Primo piano operativo (30 giorni)',
|
||
outsourcing: '10. Outsourcing consigliato (per restare snelli)',
|
||
note: '11. Note pratiche e raccomandazioni',
|
||
},
|
||
index: [
|
||
{ href: '#ruoli', label: 'Ruoli e perimetro' },
|
||
{ href: '#governance', label: 'Governance essenziale' },
|
||
{ href: '#responsabilita', label: 'Principali responsabilità (sintesi)' },
|
||
{ href: '#raci', label: 'RACI per processi critici' },
|
||
{ href: '#flussi', label: 'Flussi decisionali rapidi' },
|
||
{ href: '#controlli', label: 'Controlli minimi obbligatori (lean)' },
|
||
{ href: '#kpi', label: 'KPI essenziali' },
|
||
{ href: '#documentazione', label: 'Documentazione minima da mantenere' },
|
||
{ href: '#piano-30', label: 'Primo piano operativo (30 giorni)' },
|
||
{ href: '#outsourcing', label: 'Outsourcing consigliato' },
|
||
{ href: '#note', label: 'Note pratiche e raccomandazioni' },
|
||
],
|
||
},
|
||
introBox:
|
||
'NexStudio opera da Bangkok. I numeri tra parentesi nelle voci sotto sono orientativi (early stage): formalizzate nomine e deleghe e aggiornate a ogni crescita di team.',
|
||
perimetro:
|
||
'Documento su ruoli, ritmi di governo e controlli «lean» per la Società, con LexAura (Legal Tech) e MediAura (Health Tech) come linee prodotto. Non sostituisce modelli 231, statuti o pareri legali: allineatelo a entità giuridica, consiglio e consulenti.',
|
||
ruoli: [
|
||
{
|
||
label: 'Founder / CEO (1)',
|
||
text: 'strategia, approvazione delle policy, contatti con board e investitori, accountability complessiva verso legge e contratti.',
|
||
},
|
||
{
|
||
label: 'CTO / Head of Product (1)',
|
||
text: 'architettura, roadmap, quality gate di prodotto, responsabilità tecnica end-to-end.',
|
||
},
|
||
{
|
||
label: 'Lead Engineer (1–2)',
|
||
text: 'sviluppo, code review, CI/CD, qualità del codice in reparto.',
|
||
},
|
||
{
|
||
label: 'DevOps / Platform (1, oppure outsourcing)',
|
||
text: 'deploy, KMS, backup e disaster recovery, governo ambiente di produzione.',
|
||
},
|
||
{
|
||
label: 'Security & Privacy Lead (1, ibrido o contractor)',
|
||
text: 'sicurezza operativa, vulnerabilità, allineamento con DPO e rilasci sensibili.',
|
||
},
|
||
{
|
||
label: 'DPO / Privacy responsible (frazionale o outsourcing)',
|
||
text: 'DPIA, diritti degli interessati, coerenza informativa e register dei trattamenti.',
|
||
},
|
||
{
|
||
label: 'Legal & compliance (frazionale o esterno)',
|
||
text: 'contratti, NDA, normative di settore pertinenza Legal Tech e Health Tech.',
|
||
},
|
||
{
|
||
label: 'Product / domain advisor (part-time o consulente)',
|
||
text: 'convalida funzionalità ad impatto su decisioni mediche o legali, avvertenze d’uso.',
|
||
},
|
||
{
|
||
label: 'Customer success / support (1)',
|
||
text: 'onboarding, richieste, escalation verso tecnica e governance.',
|
||
},
|
||
{
|
||
label: 'Operations / HR (1, part-time)',
|
||
text: 'onboarding personale, formazione, canali segnalazioni e whistleblowing interno.',
|
||
},
|
||
{
|
||
label: 'Finance (1, part-time o outsourcing)',
|
||
text: 'contabilità, incassi, policy fornitori.',
|
||
},
|
||
] as const satisfies readonly ModelloRuolo[],
|
||
governance: [
|
||
{
|
||
nome: 'Weekly tactical',
|
||
partecipanti: 'Founder, CTO, Security/privacy, customer success',
|
||
nota: 'priorità, incidenti aperti, rilasci critici.',
|
||
},
|
||
{
|
||
nome: 'Product sync (bisettimanale)',
|
||
partecipanti: 'CTO, lead engineer, domain advisor',
|
||
nota: 'backlog, release, checkpoint compliance di prodotto (per linea ove serva).',
|
||
},
|
||
{
|
||
nome: 'Compliance check (mensile)',
|
||
partecipanti: 'CEO, legal, DPO, security',
|
||
nota: 'DPIA, vendor ad alto rischio, sintesi incidenti e correzioni.',
|
||
},
|
||
{
|
||
nome: 'Review trimestrale',
|
||
partecipanti: 'board o founders',
|
||
nota: 'strategia, budget, rischi e capacity.',
|
||
},
|
||
] as const satisfies readonly ModelloGovernance[],
|
||
responsabilitaSintesi: [
|
||
'Codice etico e policy: owner legal & compliance; approvazione CEO.',
|
||
'Sicurezza operativa e incident response: owner security lead; esecuzione tecnica CTO.',
|
||
'Privacy, trattamenti sensibili, DPIA: owner DPO; supporto legal.',
|
||
'Rilasci in produzione: accountable CTO; responsible lead engineer; consulted security, DPO, domain advisor.',
|
||
'Fornitori e sub-processori: owner operations e legal; due diligence security e DPO.',
|
||
'Richieste interessati (DSR): owner DPO; operatività customer success ove applicabile.',
|
||
'Segnalazioni e whistleblowing: owner operations/HR; supporto investigativo legal.',
|
||
] as const,
|
||
controlliLean: [
|
||
'IAM con MFA per accesso a produzione e a segreti.',
|
||
'CI/CD con SAST e scansione dipendenze in pipeline.',
|
||
'SBOM per ogni release.',
|
||
'TLS in transito; cifratura a riposo per dati sensibili.',
|
||
'Backup giornalieri; test DR trimestrale con ripristino documentato.',
|
||
'Log e alerting su anomalie (SIEM o servizio gestito).',
|
||
"Checklist pre-release security/privacy con traccia d'approvazione.",
|
||
] as const,
|
||
kpi: [
|
||
{ area: 'Security', testo: 'patch critiche entro SLA; MTTD e MTTR su incidenti.' },
|
||
{
|
||
area: 'Privacy',
|
||
testo:
|
||
'tempo risposta DSR; DPIA aperte vs completate per perimetro (Legale, Sanitario, piattaforma).',
|
||
},
|
||
{
|
||
area: 'Product',
|
||
testo: 'lead time deploy; copertura test sui moduli critici (per linea prodotto).',
|
||
},
|
||
{
|
||
area: 'Operations',
|
||
testo: 'uptime su SLA; tempo risposta support; segnalazioni chiuse nel periodo.',
|
||
},
|
||
] as const satisfies readonly ModelloKpi[],
|
||
documentazione: [
|
||
'Codice etico, adesioni in registro.',
|
||
'Informativa privacy, DPA, condizioni d’uso.',
|
||
'DPIA per trattamenti critici (riferire per perimetro, come nel codice etico).',
|
||
'Trust/security brief per clienti e audit (1–2 pagine).',
|
||
'Playbook incident response (versione eseguibile).',
|
||
'SBOM e registro fornitori e sub-processori.',
|
||
'Checklist pre-release e log approvazioni.',
|
||
] as const,
|
||
piano30: [
|
||
{
|
||
quando: 'Giorni 0–3',
|
||
testo: 'nomine scritte su security, DPO e legal frazionali, con deleghe.',
|
||
},
|
||
{
|
||
quando: 'Giorni 4–10',
|
||
testo: 'checklist pre-release in pipeline; MFA e policy IAM al minimo sopra.',
|
||
},
|
||
{
|
||
quando: 'Giorni 11–17',
|
||
testo:
|
||
'avviare o aggiornare una DPIA sul trattamento più critico (es. perimetro MediAura o LexAura); due diligence fornitori ad alto rischio.',
|
||
},
|
||
{
|
||
quando: 'Giorni 18–24',
|
||
testo:
|
||
'Trust center di base: link a codice etico, canali DPO/security, materiali privacy/DPA se disponibili.',
|
||
},
|
||
{
|
||
quando: 'Giorni 25–30',
|
||
testo:
|
||
'esercitazione su incident; test rollback e backup; formazione security/privacy obbligatoria iniziale.',
|
||
},
|
||
] as const satisfies readonly ModelloPiano30[],
|
||
outsourcing: [
|
||
{
|
||
titolo: 'Security ops / SOC',
|
||
testo: 'log, alerting, penetration test periodici.',
|
||
},
|
||
{
|
||
titolo: 'DPO e legal',
|
||
testo:
|
||
'consulenti con PDPA, GDPR e contesto medico-legale dei mercati in cui servite i clienti.',
|
||
},
|
||
{
|
||
titolo: 'DevOps / platform',
|
||
testo: 'servizi cloud gestiti (KMS, database gestiti) per ridurre toil interno.',
|
||
},
|
||
] as const satisfies readonly ModelloOutsourcing[],
|
||
note: [
|
||
'Separazione dei compiti: chi approva in produzione non è l’unico a concedere accessi amministrativi.',
|
||
'Automatizzare controlli ripetitivi (SAST, SBOM, scan dipendenze).',
|
||
'Documentare su ticketing accettazione rischio e decisioni per audit e post-mortem.',
|
||
'Per LexAura e MediAura: convalida esterna su funzionalità ad alto rischio di dominio.',
|
||
'Revisione trimestrale del modello; aggiornare le voci in questo documento e le deleghe scritte.',
|
||
] as const,
|
||
flussiDecisionali: [
|
||
{
|
||
titolo: 'Decisione tecnica ordinaria',
|
||
testo:
|
||
'lead engineer → CTO (ticket con nota se impatta rischi privacy/sicurezza o contrattuali).',
|
||
},
|
||
{
|
||
titolo: 'Rilascio con impatto privacy o sicurezza',
|
||
testo:
|
||
'via libera di security lead e DPO, target 48 ore lavorative salvo deroga motivata scritta.',
|
||
},
|
||
{
|
||
titolo: 'Incident P0 (es. data breach probabile o confermato)',
|
||
testo:
|
||
'security notifica entro 4h CEO, DPO e legal; board se impatto su clienti, regolatori o classi di dati sensibili elevato.',
|
||
},
|
||
] as const satisfies readonly ModelloFlusso[],
|
||
raci: [
|
||
{
|
||
id: 'raci-release',
|
||
title: 'Rilascio in produzione',
|
||
rows: [
|
||
{ role: 'Lead engineer', r: true },
|
||
{ role: 'CTO', a: true },
|
||
{ role: 'Security lead, DPO, product advisor', c: true },
|
||
{ role: 'CEO, customer success', i: true },
|
||
],
|
||
},
|
||
{
|
||
id: 'raci-incident',
|
||
title: 'Incident response (violazione dei dati o incidente P0)',
|
||
rows: [
|
||
{ role: 'Security lead', r: true },
|
||
{ role: 'CEO', a: true },
|
||
{ role: 'DPO, legal, CTO', c: true },
|
||
{ role: 'Clienti interessati, board (se impatto elevato)', i: true },
|
||
],
|
||
},
|
||
{
|
||
id: 'raci-vendor',
|
||
title: 'Onboarding vendor (sub-processore)',
|
||
rows: [
|
||
{ role: 'Operations', r: true },
|
||
{ role: 'Legal', a: true },
|
||
{ role: 'Security lead, DPO', c: true },
|
||
{ role: 'CTO, finance', i: true },
|
||
],
|
||
},
|
||
{
|
||
id: 'raci-dpia',
|
||
title: 'DPIA (per perimetro: LexAura, MediAura, piattaforma)',
|
||
note: 'La matrice RACI non sostituisce il criterio legale (chi è titolare, chi responsabile) definito in contratti e in',
|
||
noteLinkHref: '/codice-etico#tutela-dati-ruoli',
|
||
noteLinkLabel: '§5.1 del codice etico',
|
||
noteAfter: '. Qui: chi coordina l’esercizio interno della valutazione d’impatto.',
|
||
rows: [
|
||
{ role: 'DPO', r: true },
|
||
{ role: 'Legal', a: true },
|
||
{ role: 'Product advisor, CTO, security lead', c: true },
|
||
{ role: 'CEO', i: true },
|
||
],
|
||
},
|
||
] as const satisfies readonly (ModelloRaciMatrix & { noteAfter?: string })[],
|
||
},
|
||
en: {
|
||
page: {
|
||
title: 'Organizational model — NexStudio',
|
||
description:
|
||
'NexStudio organizational model: governance, roles, RACI, lean controls, KPIs, 30-day plan — for LexAura (Legal Tech) and MediAura (Health Tech) product lines.',
|
||
heading: 'Organizational model',
|
||
lead:
|
||
'Roles, governance cadences, processes and lean controls in a software house delivering highly regulated SaaS. Complementary to the code of ethics. It does not replace bylaws, corporate compliance models (e.g. Italian Legislative Decree 231) or legal opinions: run it in parallel with your real structure and advisors.',
|
||
indexTitle: 'Index',
|
||
roleCol: 'Role',
|
||
raciLegendBefore: 'Legend:',
|
||
raciLegend:
|
||
'R = Responsible, A = Accountable, C = Consulted, I = Informed.',
|
||
ruoliIntroBefore:
|
||
'A concise list of functions and expected commitment. To align the product domain (Legal Tech, Health Tech) with roles and advisors, also refer to the',
|
||
codiceEticoLabel: 'code of ethics',
|
||
codiceEticoHref: '/codice-etico',
|
||
ruoliIntroAfter:
|
||
'and, for data processing, to the privacy policy and DPA.',
|
||
sectionTitles: {
|
||
ruoli: '1. Roles and scope',
|
||
governance: '2. Essential governance',
|
||
responsabilita: '3. Key responsibilities (summary)',
|
||
raci: '4. Condensed RACI for critical processes',
|
||
flussi: '5. Fast decision flows',
|
||
controlli: '6. Mandatory minimum controls (lean)',
|
||
kpi: '7. Essential KPIs',
|
||
documentazione: '8. Minimum documentation to maintain',
|
||
piano30: '9. First operating plan (30 days)',
|
||
outsourcing: '10. Recommended outsourcing (to stay lean)',
|
||
note: '11. Practical notes and recommendations',
|
||
},
|
||
index: [
|
||
{ href: '#ruoli', label: 'Roles and scope' },
|
||
{ href: '#governance', label: 'Essential governance' },
|
||
{ href: '#responsabilita', label: 'Key responsibilities (summary)' },
|
||
{ href: '#raci', label: 'RACI for critical processes' },
|
||
{ href: '#flussi', label: 'Fast decision flows' },
|
||
{ href: '#controlli', label: 'Mandatory minimum controls (lean)' },
|
||
{ href: '#kpi', label: 'Essential KPIs' },
|
||
{ href: '#documentazione', label: 'Minimum documentation to maintain' },
|
||
{ href: '#piano-30', label: 'First operating plan (30 days)' },
|
||
{ href: '#outsourcing', label: 'Recommended outsourcing' },
|
||
{ href: '#note', label: 'Practical notes and recommendations' },
|
||
],
|
||
},
|
||
introBox:
|
||
'NexStudio operates from Bangkok. Numbers in parentheses below are indicative (early stage): formalize appointments and delegations and update them as the team grows.',
|
||
perimetro:
|
||
'Document on roles, governance cadences and lean controls for the Company, with LexAura (Legal Tech) and MediAura (Health Tech) as product lines. It does not replace Legislative Decree 231 models, bylaws or legal opinions: align it with the legal entity, board and advisors.',
|
||
ruoli: [
|
||
{
|
||
label: 'Founder / CEO (1)',
|
||
text: 'strategy, policy approval, board and investor relations, overall accountability toward law and contracts.',
|
||
},
|
||
{
|
||
label: 'CTO / Head of Product (1)',
|
||
text: 'architecture, roadmap, product quality gates, end-to-end technical responsibility.',
|
||
},
|
||
{
|
||
label: 'Lead Engineer (1–2)',
|
||
text: 'development, code review, CI/CD, code quality within the team.',
|
||
},
|
||
{
|
||
label: 'DevOps / Platform (1, or outsourcing)',
|
||
text: 'deploy, KMS, backup and disaster recovery, production environment governance.',
|
||
},
|
||
{
|
||
label: 'Security & Privacy Lead (1, hybrid or contractor)',
|
||
text: 'operational security, vulnerabilities, alignment with DPO and sensitive releases.',
|
||
},
|
||
{
|
||
label: 'DPO / Privacy responsible (fractional or outsourcing)',
|
||
text: 'DPIA, data subject rights, notice consistency and records of processing.',
|
||
},
|
||
{
|
||
label: 'Legal & compliance (fractional or external)',
|
||
text: 'contracts, NDAs, sector regulations relevant to Legal Tech and Health Tech.',
|
||
},
|
||
{
|
||
label: 'Product / domain advisor (part-time or consultant)',
|
||
text: 'validation of features impacting medical or legal decisions, usage warnings.',
|
||
},
|
||
{
|
||
label: 'Customer success / support (1)',
|
||
text: 'onboarding, requests, escalation to engineering and governance.',
|
||
},
|
||
{
|
||
label: 'Operations / HR (1, part-time)',
|
||
text: 'staff onboarding, training, internal reporting and whistleblowing channels.',
|
||
},
|
||
{
|
||
label: 'Finance (1, part-time or outsourcing)',
|
||
text: 'accounting, collections, vendor policies.',
|
||
},
|
||
] as const satisfies readonly ModelloRuolo[],
|
||
governance: [
|
||
{
|
||
nome: 'Weekly tactical',
|
||
partecipanti: 'Founder, CTO, Security/privacy, customer success',
|
||
nota: 'priorities, open incidents, critical releases.',
|
||
},
|
||
{
|
||
nome: 'Product sync (biweekly)',
|
||
partecipanti: 'CTO, lead engineer, domain advisor',
|
||
nota: 'backlog, release, product compliance checkpoint (per line where needed).',
|
||
},
|
||
{
|
||
nome: 'Compliance check (monthly)',
|
||
partecipanti: 'CEO, legal, DPO, security',
|
||
nota: 'DPIA, high-risk vendors, incident and remediation summary.',
|
||
},
|
||
{
|
||
nome: 'Quarterly review',
|
||
partecipanti: 'board or founders',
|
||
nota: 'strategy, budget, risks and capacity.',
|
||
},
|
||
] as const satisfies readonly ModelloGovernance[],
|
||
responsabilitaSintesi: [
|
||
'Code of ethics and policies: owned by legal & compliance; approved by CEO.',
|
||
'Operational security and incident response: owned by security lead; technical execution by CTO.',
|
||
'Privacy, sensitive processing, DPIA: owned by DPO; legal support.',
|
||
'Production releases: accountable CTO; responsible lead engineer; consulted security, DPO, domain advisor.',
|
||
'Vendors and sub-processors: owned by operations and legal; due diligence by security and DPO.',
|
||
'Data subject requests (DSR): owned by DPO; customer success operations where applicable.',
|
||
'Reports and whistleblowing: owned by operations/HR; investigative support by legal.',
|
||
] as const,
|
||
controlliLean: [
|
||
'IAM with MFA for production and secrets access.',
|
||
'CI/CD with SAST and dependency scanning in the pipeline.',
|
||
'SBOM for every release.',
|
||
'TLS in transit; encryption at rest for sensitive data.',
|
||
'Daily backups; quarterly DR test with documented restore.',
|
||
'Logging and alerting on anomalies (SIEM or managed service).',
|
||
'Pre-release security/privacy checklist with approval trail.',
|
||
] as const,
|
||
kpi: [
|
||
{ area: 'Security', testo: 'critical patches within SLA; MTTD and MTTR on incidents.' },
|
||
{
|
||
area: 'Privacy',
|
||
testo:
|
||
'DSR response time; open vs completed DPIAs by perimeter (Legal, Health, platform).',
|
||
},
|
||
{
|
||
area: 'Product',
|
||
testo: 'deploy lead time; test coverage on critical modules (per product line).',
|
||
},
|
||
{
|
||
area: 'Operations',
|
||
testo: 'uptime vs SLA; support response time; reports closed in the period.',
|
||
},
|
||
] as const satisfies readonly ModelloKpi[],
|
||
documentazione: [
|
||
'Code of ethics, adhesions in the register.',
|
||
'Privacy notice, DPA, terms of use.',
|
||
'DPIA for critical processing (reference by perimeter, as in the code of ethics).',
|
||
'Trust/security brief for customers and audits (1–2 pages).',
|
||
'Incident response playbook (executable version).',
|
||
'SBOM and register of vendors and sub-processors.',
|
||
'Pre-release checklist and approval log.',
|
||
] as const,
|
||
piano30: [
|
||
{
|
||
quando: 'Days 0–3',
|
||
testo: 'written appointments for security, DPO and fractional legal, with delegations.',
|
||
},
|
||
{
|
||
quando: 'Days 4–10',
|
||
testo: 'pre-release checklist in the pipeline; MFA and IAM policy at the minimum above.',
|
||
},
|
||
{
|
||
quando: 'Days 11–17',
|
||
testo:
|
||
'start or update a DPIA on the most critical processing (e.g. MediAura or LexAura perimeter); due diligence on high-risk vendors.',
|
||
},
|
||
{
|
||
quando: 'Days 18–24',
|
||
testo:
|
||
'basic trust center: links to code of ethics, DPO/security channels, privacy/DPA materials if available.',
|
||
},
|
||
{
|
||
quando: 'Days 25–30',
|
||
testo:
|
||
'incident drill; rollback and backup test; initial mandatory security/privacy training.',
|
||
},
|
||
] as const satisfies readonly ModelloPiano30[],
|
||
outsourcing: [
|
||
{
|
||
titolo: 'Security ops / SOC',
|
||
testo: 'logging, alerting, periodic penetration tests.',
|
||
},
|
||
{
|
||
titolo: 'DPO and legal',
|
||
testo:
|
||
'advisors with PDPA, GDPR and the medico-legal context of the markets you serve.',
|
||
},
|
||
{
|
||
titolo: 'DevOps / platform',
|
||
testo: 'managed cloud services (KMS, managed databases) to reduce internal toil.',
|
||
},
|
||
] as const satisfies readonly ModelloOutsourcing[],
|
||
note: [
|
||
'Separation of duties: whoever approves production is not the only one granting admin access.',
|
||
'Automate repetitive controls (SAST, SBOM, dependency scans).',
|
||
'Document risk acceptance and decisions in ticketing for audit and post-mortems.',
|
||
'For LexAura and MediAura: external validation on high-risk domain features.',
|
||
'Quarterly review of the model; update the entries in this document and written delegations.',
|
||
] as const,
|
||
flussiDecisionali: [
|
||
{
|
||
titolo: 'Ordinary technical decision',
|
||
testo:
|
||
'lead engineer → CTO (ticket with a note if it affects privacy/security or contractual risks).',
|
||
},
|
||
{
|
||
titolo: 'Release with privacy or security impact',
|
||
testo:
|
||
'go-ahead from security lead and DPO, target 48 business hours unless a reasoned written waiver.',
|
||
},
|
||
{
|
||
titolo: 'P0 incident (e.g. probable or confirmed data breach)',
|
||
testo:
|
||
'security notifies CEO, DPO and legal within 4h; board if impact on customers, regulators or sensitive data classes is high.',
|
||
},
|
||
] as const satisfies readonly ModelloFlusso[],
|
||
raci: [
|
||
{
|
||
id: 'raci-release',
|
||
title: 'Production release',
|
||
rows: [
|
||
{ role: 'Lead engineer', r: true },
|
||
{ role: 'CTO', a: true },
|
||
{ role: 'Security lead, DPO, product advisor', c: true },
|
||
{ role: 'CEO, customer success', i: true },
|
||
],
|
||
},
|
||
{
|
||
id: 'raci-incident',
|
||
title: 'Incident response (data breach or P0 incident)',
|
||
rows: [
|
||
{ role: 'Security lead', r: true },
|
||
{ role: 'CEO', a: true },
|
||
{ role: 'DPO, legal, CTO', c: true },
|
||
{ role: 'Affected customers, board (if high impact)', i: true },
|
||
],
|
||
},
|
||
{
|
||
id: 'raci-vendor',
|
||
title: 'Vendor onboarding (sub-processor)',
|
||
rows: [
|
||
{ role: 'Operations', r: true },
|
||
{ role: 'Legal', a: true },
|
||
{ role: 'Security lead, DPO', c: true },
|
||
{ role: 'CTO, finance', i: true },
|
||
],
|
||
},
|
||
{
|
||
id: 'raci-dpia',
|
||
title: 'DPIA (by perimeter: LexAura, MediAura, platform)',
|
||
note: 'The RACI matrix does not replace the legal criterion (who is controller, who is processor) defined in contracts and in',
|
||
noteLinkHref: '/codice-etico#tutela-dati-ruoli',
|
||
noteLinkLabel: '§5.1 of the code of ethics',
|
||
noteAfter: '. Here: who coordinates the internal impact assessment exercise.',
|
||
rows: [
|
||
{ role: 'DPO', r: true },
|
||
{ role: 'Legal', a: true },
|
||
{ role: 'Product advisor, CTO, security lead', c: true },
|
||
{ role: 'CEO', i: true },
|
||
],
|
||
},
|
||
] as const satisfies readonly (ModelloRaciMatrix & { noteAfter?: string })[],
|
||
},
|
||
th: {
|
||
page: {
|
||
title: 'โมเดลองค์กร — NexStudio',
|
||
description:
|
||
'โมเดลองค์กร NexStudio: การกำกับดูแล บทบาท RACI การควบคุมแบบ lean KPI แผน 30 วัน — สำหรับสายผลิตภัณฑ์ LexAura (Legal Tech) และ MediAura (Health Tech)',
|
||
heading: 'โมเดลองค์กร',
|
||
lead:
|
||
'บทบาท จังหวะการกำกับดูแล กระบวนการ และการควบคุมแบบ lean ในซอฟต์แวร์เฮาส์ที่ส่งมอบ SaaS ที่มีการกำกับดูแลสูง เป็นส่วนเสริมของประมวลจริยธรรม ไม่แทนที่ข้อบังคับบริษัท โมเดลการปฏิบัติตามกฎของบริษัท (เช่น พ.ร.บ. 231 ของอิตาลี) หรือความเห็นทางกฎหมาย: ใช้ควบคู่กับโครงสร้างจริงและที่ปรึกษา',
|
||
indexTitle: 'สารบัญ',
|
||
roleCol: 'บทบาท',
|
||
raciLegendBefore: 'คำอธิบาย:',
|
||
raciLegend:
|
||
'R = Responsible, A = Accountable, C = Consulted, I = Informed',
|
||
ruoliIntroBefore:
|
||
'รายการสรุปหน้าที่และความคาดหวังด้านภาระงาน เพื่อจัดแนวโดเมนผลิตภัณฑ์ (Legal Tech, Health Tech) กับบทบาทและที่ปรึกษา โปรดอ้างอิงถึง',
|
||
codiceEticoLabel: 'ประมวลจริยธรรม',
|
||
codiceEticoHref: '/codice-etico',
|
||
ruoliIntroAfter:
|
||
'และสำหรับการประมวลผลข้อมูล โปรดดูนโยบายความเป็นส่วนตัวและ DPA',
|
||
sectionTitles: {
|
||
ruoli: '1. บทบาทและขอบเขต',
|
||
governance: '2. การกำกับดูแลที่จำเป็น',
|
||
responsabilita: '3. ความรับผิดชอบหลัก (สรุป)',
|
||
raci: '4. RACI ย่อสำหรับกระบวนการวิกฤต',
|
||
flussi: '5. กระแสการตัดสินใจอย่างรวดเร็ว',
|
||
controlli: '6. การควบคุมขั้นต่ำที่บังคับ (lean)',
|
||
kpi: '7. KPI ที่จำเป็น',
|
||
documentazione: '8. เอกสารขั้นต่ำที่ต้องรักษา',
|
||
piano30: '9. แผนปฏิบัติการแรก (30 วัน)',
|
||
outsourcing: '10. การจ้างภายนอกที่แนะนำ (เพื่อให้กระชับ)',
|
||
note: '11. บันทึกเชิงปฏิบัติและข้อแนะนำ',
|
||
},
|
||
index: [
|
||
{ href: '#ruoli', label: 'บทบาทและขอบเขต' },
|
||
{ href: '#governance', label: 'การกำกับดูแลที่จำเป็น' },
|
||
{ href: '#responsabilita', label: 'ความรับผิดชอบหลัก (สรุป)' },
|
||
{ href: '#raci', label: 'RACI สำหรับกระบวนการวิกฤต' },
|
||
{ href: '#flussi', label: 'กระแสการตัดสินใจอย่างรวดเร็ว' },
|
||
{ href: '#controlli', label: 'การควบคุมขั้นต่ำที่บังคับ (lean)' },
|
||
{ href: '#kpi', label: 'KPI ที่จำเป็น' },
|
||
{ href: '#documentazione', label: 'เอกสารขั้นต่ำที่ต้องรักษา' },
|
||
{ href: '#piano-30', label: 'แผนปฏิบัติการแรก (30 วัน)' },
|
||
{ href: '#outsourcing', label: 'การจ้างภายนอกที่แนะนำ' },
|
||
{ href: '#note', label: 'บันทึกเชิงปฏิบัติและข้อแนะนำ' },
|
||
],
|
||
},
|
||
introBox:
|
||
'NexStudio ดำเนินการจากกรุงเทพฯ ตัวเลขในวงเล็บด้านล่างเป็นแนวทาง (early stage): ให้แต่งตั้งและมอบอำนาจเป็นลายลักษณ์อักษร และอัปเดตทุกครั้งที่ทีมเติบโต',
|
||
perimetro:
|
||
'เอกสารเกี่ยวกับบทบาท จังหวะการกำกับดูแล และการควบคุมแบบ lean ของบริษัท โดยมี LexAura (Legal Tech) และ MediAura (Health Tech) เป็นสายผลิตภัณฑ์ ไม่แทนที่โมเดลตาม พ.ร.บ. 231 ข้อบังคับ หรือความเห็นทางกฎหมาย: ให้สอดคล้องกับนิติบุคคล คณะกรรมการ และที่ปรึกษา',
|
||
ruoli: [
|
||
{
|
||
label: 'Founder / CEO (1)',
|
||
text: 'กลยุทธ์ การอนุมัตินโยบาย การติดต่อกับบอร์ดและนักลงทุน ความรับผิดชอบโดยรวมต่อกฎหมายและสัญญา',
|
||
},
|
||
{
|
||
label: 'CTO / Head of Product (1)',
|
||
text: 'สถาปัตยกรรม โรดแมป quality gate ของผลิตภัณฑ์ ความรับผิดชอบทางเทคนิคแบบ end-to-end',
|
||
},
|
||
{
|
||
label: 'Lead Engineer (1–2)',
|
||
text: 'การพัฒนา code review CI/CD คุณภาพโค้ดในทีม',
|
||
},
|
||
{
|
||
label: 'DevOps / Platform (1 หรือ outsourcing)',
|
||
text: 'deploy KMS สำรองข้อมูลและ disaster recovery การกำกับสภาพแวดล้อม production',
|
||
},
|
||
{
|
||
label: 'Security & Privacy Lead (1 แบบผสมหรือ contractor)',
|
||
text: 'ความปลอดภัยเชิงปฏิบัติการ ช่องโหว่ การจัดแนวกับ DPO และการปล่อยรุ่นที่ละเอียดอ่อน',
|
||
},
|
||
{
|
||
label: 'DPO / Privacy responsible (fractional หรือ outsourcing)',
|
||
text: 'DPIA สิทธิของเจ้าของข้อมูล ความสอดคล้องของประกาศ และทะเบียนการประมวลผล',
|
||
},
|
||
{
|
||
label: 'Legal & compliance (fractional หรือภายนอก)',
|
||
text: 'สัญญา NDA กฎระเบียบภาคส่วนที่เกี่ยวข้องกับ Legal Tech และ Health Tech',
|
||
},
|
||
{
|
||
label: 'Product / domain advisor (พาร์ทไทม์หรือที่ปรึกษา)',
|
||
text: 'ตรวจสอบฟีเจอร์ที่มีผลกระทบต่อการตัดสินใจทางการแพทย์หรือกฎหมาย คำเตือนการใช้งาน',
|
||
},
|
||
{
|
||
label: 'Customer success / support (1)',
|
||
text: 'onboarding คำขอ การ escalate ไปยังฝ่ายเทคนิคและการกำกับดูแล',
|
||
},
|
||
{
|
||
label: 'Operations / HR (1 พาร์ทไทม์)',
|
||
text: 'onboarding พนักงาน การฝึกอบรม ช่องทางรายงานและ whistleblowing ภายใน',
|
||
},
|
||
{
|
||
label: 'Finance (1 พาร์ทไทม์หรือ outsourcing)',
|
||
text: 'บัญชี การเรียกเก็บ นโยบายผู้ให้บริการ',
|
||
},
|
||
] as const satisfies readonly ModelloRuolo[],
|
||
governance: [
|
||
{
|
||
nome: 'Weekly tactical',
|
||
partecipanti: 'Founder, CTO, Security/privacy, customer success',
|
||
nota: 'ลำดับความสำคัญ เหตุการณ์ที่เปิดอยู่ การปล่อยรุ่นวิกฤต',
|
||
},
|
||
{
|
||
nome: 'Product sync (ทุกสองสัปดาห์)',
|
||
partecipanti: 'CTO, lead engineer, domain advisor',
|
||
nota: 'backlog การปล่อยรุ่น จุดตรวจการปฏิบัติตามกฎของผลิตภัณฑ์ (ตามสายเมื่อจำเป็น)',
|
||
},
|
||
{
|
||
nome: 'Compliance check (รายเดือน)',
|
||
partecipanti: 'CEO, legal, DPO, security',
|
||
nota: 'DPIA ผู้ขายความเสี่ยงสูง สรุปเหตุการณ์และการแก้ไข',
|
||
},
|
||
{
|
||
nome: 'การทบทวนรายไตรมาส',
|
||
partecipanti: 'บอร์ดหรือ founders',
|
||
nota: 'กลยุทธ์ งบประมาณ ความเสี่ยง และความจุ',
|
||
},
|
||
] as const satisfies readonly ModelloGovernance[],
|
||
responsabilitaSintesi: [
|
||
'ประมวลจริยธรรมและนโยบาย: เจ้าของคือ legal & compliance; อนุมัติโดย CEO',
|
||
'ความปลอดภัยเชิงปฏิบัติการและ incident response: เจ้าของคือ security lead; การดำเนินการทางเทคนิคโดย CTO',
|
||
'ความเป็นส่วนตัว การประมวลผลที่ละเอียดอ่อน DPIA: เจ้าของคือ DPO; สนับสนุนโดย legal',
|
||
'การปล่อยสู่ production: accountable คือ CTO; responsible คือ lead engineer; consulted คือ security, DPO, domain advisor',
|
||
'ผู้ให้บริการและผู้ประมวลผลช่วง: เจ้าของคือ operations และ legal; due diligence โดย security และ DPO',
|
||
'คำขอของเจ้าของข้อมูล (DSR): เจ้าของคือ DPO; การดำเนินงานโดย customer success เมื่อเกี่ยวข้อง',
|
||
'การรายงานและ whistleblowing: เจ้าของคือ operations/HR; สนับสนุนการสอบสวนโดย legal',
|
||
] as const,
|
||
controlliLean: [
|
||
'IAM พร้อม MFA สำหรับการเข้าถึง production และความลับ',
|
||
'CI/CD พร้อม SAST และการสแกน dependency ใน pipeline',
|
||
'SBOM สำหรับทุกการปล่อยรุ่น',
|
||
'TLS ขณะส่งข้อมูล; การเข้ารหัสขณะพักสำหรับข้อมูลอ่อนไหว',
|
||
'สำรองข้อมูลรายวัน; ทดสอบ DR รายไตรมาสพร้อมการกู้คืนที่บันทึกไว้',
|
||
'บันทึกและแจ้งเตือนเมื่อพบความผิดปกติ (SIEM หรือบริการจัดการ)',
|
||
'เช็กลิสต์ security/privacy ก่อนปล่อยพร้อมเส้นทางอนุมัติ',
|
||
] as const,
|
||
kpi: [
|
||
{ area: 'Security', testo: 'แพตช์วิกฤตภายใน SLA; MTTD และ MTTR ของเหตุการณ์' },
|
||
{
|
||
area: 'Privacy',
|
||
testo:
|
||
'เวลาตอบสนอง DSR; DPIA ที่เปิดอยู่เทียบกับที่เสร็จแล้วตามขอบเขต (กฎหมาย สุขภาพ แพลตฟอร์ม)',
|
||
},
|
||
{
|
||
area: 'Product',
|
||
testo: 'lead time การ deploy; ความครอบคลุมการทดสอบบนโมดูลวิกฤต (ตามสายผลิตภัณฑ์)',
|
||
},
|
||
{
|
||
area: 'Operations',
|
||
testo: 'uptime ตาม SLA; เวลาตอบสนอง support; รายงานที่ปิดในช่วงเวลา',
|
||
},
|
||
] as const satisfies readonly ModelloKpi[],
|
||
documentazione: [
|
||
'ประมวลจริยธรรม การยอมรับในทะเบียน',
|
||
'ประกาศความเป็นส่วนตัว DPA เงื่อนไขการใช้งาน',
|
||
'DPIA สำหรับการประมวลผลวิกฤต (อ้างอิงตามขอบเขต ดังในประมวลจริยธรรม)',
|
||
'สรุป trust/security สำหรับลูกค้าและการตรวจสอบ (1–2 หน้า)',
|
||
'Playbook การตอบสนองเหตุการณ์ (เวอร์ชันที่ใช้งานได้)',
|
||
'SBOM และทะเบียนผู้ให้บริการและผู้ประมวลผลช่วง',
|
||
'เช็กลิสต์ก่อนปล่อยและบันทึกการอนุมัติ',
|
||
] as const,
|
||
piano30: [
|
||
{
|
||
quando: 'วัน 0–3',
|
||
testo: 'แต่งตั้งเป็นลายลักษณ์อักษรสำหรับ security, DPO และ legal แบบ fractional พร้อมการมอบอำนาจ',
|
||
},
|
||
{
|
||
quando: 'วัน 4–10',
|
||
testo: 'เช็กลิสต์ก่อนปล่อยใน pipeline; MFA และนโยบาย IAM ตามขั้นต่ำด้านบน',
|
||
},
|
||
{
|
||
quando: 'วัน 11–17',
|
||
testo:
|
||
'เริ่มหรืออัปเดต DPIA บนการประมวลผลที่วิกฤตที่สุด (เช่น ขอบเขต MediAura หรือ LexAura); due diligence ผู้ขายความเสี่ยงสูง',
|
||
},
|
||
{
|
||
quando: 'วัน 18–24',
|
||
testo:
|
||
'trust center พื้นฐาน: ลิงก์ไปยังประมวลจริยธรรม ช่องทาง DPO/security เอกสาร privacy/DPA หากมี',
|
||
},
|
||
{
|
||
quando: 'วัน 25–30',
|
||
testo:
|
||
'ซ้อมเหตุการณ์; ทดสอบ rollback และสำรองข้อมูล; การฝึกอบรม security/privacy เบื้องต้นที่บังคับ',
|
||
},
|
||
] as const satisfies readonly ModelloPiano30[],
|
||
outsourcing: [
|
||
{
|
||
titolo: 'Security ops / SOC',
|
||
testo: 'บันทึก การแจ้งเตือน การทดสอบเจาะระบบเป็นระยะ',
|
||
},
|
||
{
|
||
titolo: 'DPO และ legal',
|
||
testo:
|
||
'ที่ปรึกษาที่มีความรู้ PDPA GDPR และบริบททางการแพทย์-กฎหมายของตลาดที่คุณให้บริการลูกค้า',
|
||
},
|
||
{
|
||
titolo: 'DevOps / platform',
|
||
testo: 'บริการคลาวด์แบบจัดการ (KMS ฐานข้อมูลแบบจัดการ) เพื่อลดภาระภายใน',
|
||
},
|
||
] as const satisfies readonly ModelloOutsourcing[],
|
||
note: [
|
||
'การแยกหน้าที่: ผู้ที่อนุมัติ production ไม่ใช่ผู้เดียวที่ให้สิทธิ์ผู้ดูแลระบบ',
|
||
'ทำให้การควบคุมซ้ำๆ เป็นอัตโนมัติ (SAST, SBOM, สแกน dependency)',
|
||
'บันทึกการยอมรับความเสี่ยงและการตัดสินใจในระบบตั๋วเพื่อการตรวจสอบและ post-mortem',
|
||
'สำหรับ LexAura และ MediAura: การตรวจสอบภายนอกบนฟีเจอร์โดเมนความเสี่ยงสูง',
|
||
'ทบทวนโมเดลรายไตรมาส; อัปเดตรายการในเอกสารนี้และการมอบอำนาจเป็นลายลักษณ์อักษร',
|
||
] as const,
|
||
flussiDecisionali: [
|
||
{
|
||
titolo: 'การตัดสินใจทางเทคนิคทั่วไป',
|
||
testo:
|
||
'lead engineer → CTO (ตั๋วพร้อมหมายเหตุหากกระทบความเสี่ยง privacy/ความปลอดภัย หรือตามสัญญา)',
|
||
},
|
||
{
|
||
titolo: 'การปล่อยที่มีผลกระทบต่อความเป็นส่วนตัวหรือความปลอดภัย',
|
||
testo:
|
||
'การอนุมัติจาก security lead และ DPO เป้าหมาย 48 ชั่วโมงทำการ เว้นแต่มีการยกเว้นเป็นลายลักษณ์อักษรพร้อมเหตุผล',
|
||
},
|
||
{
|
||
titolo: 'เหตุการณ์ P0 (เช่น การละเมิดข้อมูลที่น่าจะเป็นหรือยืนยันแล้ว)',
|
||
testo:
|
||
'security แจ้ง CEO, DPO และ legal ภายใน 4 ชม.; บอร์ดหากผลกระทบต่อลูกค้า หน่วยงานกำกับ หรือประเภทข้อมูลอ่อนไหวสูง',
|
||
},
|
||
] as const satisfies readonly ModelloFlusso[],
|
||
raci: [
|
||
{
|
||
id: 'raci-release',
|
||
title: 'การปล่อยสู่ production',
|
||
rows: [
|
||
{ role: 'Lead engineer', r: true },
|
||
{ role: 'CTO', a: true },
|
||
{ role: 'Security lead, DPO, product advisor', c: true },
|
||
{ role: 'CEO, customer success', i: true },
|
||
],
|
||
},
|
||
{
|
||
id: 'raci-incident',
|
||
title: 'Incident response (การละเมิดข้อมูลหรือเหตุการณ์ P0)',
|
||
rows: [
|
||
{ role: 'Security lead', r: true },
|
||
{ role: 'CEO', a: true },
|
||
{ role: 'DPO, legal, CTO', c: true },
|
||
{ role: 'ลูกค้าที่เกี่ยวข้อง บอร์ด (หากผลกระทบสูง)', i: true },
|
||
],
|
||
},
|
||
{
|
||
id: 'raci-vendor',
|
||
title: 'Onboarding ผู้ขาย (ผู้ประมวลผลช่วง)',
|
||
rows: [
|
||
{ role: 'Operations', r: true },
|
||
{ role: 'Legal', a: true },
|
||
{ role: 'Security lead, DPO', c: true },
|
||
{ role: 'CTO, finance', i: true },
|
||
],
|
||
},
|
||
{
|
||
id: 'raci-dpia',
|
||
title: 'DPIA (ตามขอบเขต: LexAura, MediAura, แพลตฟอร์ม)',
|
||
note: 'เมทริกซ์ RACI ไม่แทนที่เกณฑ์ทางกฎหมาย (ใครเป็นผู้ควบคุม ใครเป็นผู้ประมวลผล) ที่กำหนดในสัญญาและใน',
|
||
noteLinkHref: '/codice-etico#tutela-dati-ruoli',
|
||
noteLinkLabel: '§5.1 ของประมวลจริยธรรม',
|
||
noteAfter: ' ที่นี่: ใครประสานงานการประเมินผลกระทบภายใน',
|
||
rows: [
|
||
{ role: 'DPO', r: true },
|
||
{ role: 'Legal', a: true },
|
||
{ role: 'Product advisor, CTO, security lead', c: true },
|
||
{ role: 'CEO', i: true },
|
||
],
|
||
},
|
||
] as const satisfies readonly (ModelloRaciMatrix & { noteAfter?: string })[],
|
||
},
|
||
} as const;
|
||
|
||
export const getModelloOrganizzativo = (locale: SupportedLocale) =>
|
||
modelloOrganizzativoByLocale[locale];
|
||
|
||
/** Retro-compatibilità: fallback italiano. */
|
||
export const modelloOrganizzativo = {
|
||
introBox: modelloOrganizzativoByLocale.it.introBox,
|
||
perimetro: modelloOrganizzativoByLocale.it.perimetro,
|
||
} as const;
|
||
|
||
export const modelloOrganizzativoRuoli = modelloOrganizzativoByLocale.it.ruoli;
|
||
export const modelloOrganizzativoGovernance =
|
||
modelloOrganizzativoByLocale.it.governance;
|
||
export const modelloOrganizzativoResponsabilitaSintesi =
|
||
modelloOrganizzativoByLocale.it.responsabilitaSintesi;
|
||
export const modelloOrganizzativoControlliLean =
|
||
modelloOrganizzativoByLocale.it.controlliLean;
|
||
export const modelloOrganizzativoKpi = modelloOrganizzativoByLocale.it.kpi;
|
||
export const modelloOrganizzativoDocumentazione =
|
||
modelloOrganizzativoByLocale.it.documentazione;
|
||
export const modelloOrganizzativoPiano30 =
|
||
modelloOrganizzativoByLocale.it.piano30;
|
||
export const modelloOrganizzativoOutsourcing =
|
||
modelloOrganizzativoByLocale.it.outsourcing;
|
||
export const modelloOrganizzativoNote = modelloOrganizzativoByLocale.it.note;
|
||
export const modelloOrganizzativoFlussiDecisionali =
|
||
modelloOrganizzativoByLocale.it.flussiDecisionali;
|