Protected Customer Data: autovalutazione + macchina sempre calda

PROTECTED-CUSTOMER-DATA.md - verdetto: la distribuzione CUSTOM ha accesso
'Always available' a Level 1 e Level 2 (email, statusPageUrl): nessuna approvazione
Shopify da attendere per gli store live. La review servira' per l'app pubblica (R7).
Il fatto che funzioni oggi su pcrt-reso-test non prova nulla: sui development store
la review non e' richiesta comunque.

I requisiti di sicurezza L1/L2 restano pero' obbligatori. Autovalutazione con
evidenze: cifratura a riposo OK (volume Fly ENCRYPTED=true), backup cifrati OK
(snapshot Fly), separazione test/prod OK. Gap: retention non documentata, privacy
policy assente, incident response assente, password Fly da cambiare, snapshot con
sola retention 5gg e nodo singolo (i record legali sono la PROVA del recesso).

fly.toml: min_machines_running 0 -> 1. Un cold start misurato ha richiesto ~38s;
l'art. 54-bis pretende una funzione sempre accessibile e facilmente utilizzabile.

app/fly.toml

@@ -17,7 +17,10 @@ primary_region = "fra" # Frankfurt (EU data residency)
   force_https = true
   auto_stop_machines = true
   auto_start_machines = true
-  min_machines_running = 0
+  # Una macchina sempre calda. Con 0, un cold start misurato ha richiesto ~38s:
+  # l'art. 54-bis pretende una funzione "sempre accessibile" e "facilmente
+  # utilizzabile", e 38 secondi dopo il clic sono un ostacolo. Costo: 1 macchina.
+  min_machines_running = 1
 
 [[vm]]
   size = "shared-cpu-1x"