Sicurezza e conformità
La conformità non è una funzione. È il vincolo architetturale.
GDPR e AI Act non sono requisiti recepiti a posteriori: sono la ragione per cui l’architettura della piattaforma è costruita in questo modo e non in un altro.
Garanzie
I quattro punti che definiscono il perimetro.
Sono le quattro affermazioni su cui accettiamo di essere verificati. Ognuna corrisponde a una scelta di architettura, non a una policy interna.
Il documento non viene trasmesso
Gli strumenti disponibili oggi sono tutti locali: il file resta nella cartella di partenza dall’inizio alla fine dell’operazione.
Inferenza AI, interamente europea
Quando arriverà uno strumento AI, l’elaborazione girerà su infrastruttura europea certificata. Mai su server extra-UE.
Zero conservazione dei dati, sempre
Oggi perché il documento non ci raggiunge. Domani perché il fornitore che eseguirà l’inferenza non conserverà ciò che riceve.
Nessun trasferimento fuori dall’UE
Documenti e metadati restano entro i confini dell’UE: oggi perché locali, domani per l’infrastruttura AI stessa.
Infrastruttura
Conformità verificabile, non dichiarata.
L’infrastruttura applicativa è ospitata su fornitori cloud europei, certificati e verificati da enti terzi. Con gli strumenti locali di oggi non entra mai in contatto con i tuoi documenti: serve al sito e all’account, non all’elaborazione dei file.
Infrastruttura cloud
Sito, account e aggiornamenti
- ISO 27001 (+27017, 27018, 27035)
- ISO 27701 — privacy conforme al GDPR
- CSA STAR Level 2
- Codice di condotta CISPE
- Data center UE, fuori dall’ambito di CLOUD Act e FISA
Infrastruttura AI
In arrivoInferenza dei modelli
- ISO/IEC 27001:2022
- Certificazione per il trattamento di dati sensibili
- Infrastruttura interamente europea
- Zero conservazione dei dati elaborati
- SecNumCloud (ANSSI) — qualificazione in corso
Denominazione dei fornitori e documentazione tecnica completa sono disponibili su richiesta, sotto accordo di riservatezza, per organizzazioni in fase di due diligence.
Due diligence
La documentazione per la tua valutazione.
Non tutta la documentazione è per tutti, e la differenza non è commerciale: il DPA spetta per legge a chiunque tratti dati personali con la piattaforma, la documentazione tecnica estesa è riservata a chi ha una valutazione formale in corso.
Accordo sul trattamento dei dati (DPA)
Previsto dall’articolo 28 del GDPR per ogni cliente che tratta dati personali attraverso la piattaforma, e dovuto a chiunque ne abbia necessità — beta gratuita compresa. Non dipende dal prezzo e non è oggetto di trattativa: se ti serve, ti spetta.
- Scheda tecnica dell’infrastruttura
- Registro dei sottoresponsabili
- Certificazioni dei fornitori (ISO 27001 e collegate)
- Compilazione di questionari di sicurezza
Contiene denominazione dei fornitori, architettura e dettagli che non pubblichiamo, e viene fornita su valutazione formale. È disponibile per organizzazioni con un processo di due diligence strutturato — un ufficio acquisti, un DPO o un responsabile sicurezza che stia conducendo una verifica — indipendentemente dal fatto che l’uso sia in beta gratuita.
Se non rientri in questi casi
Se la tua non rientra in questi casi ma hai una domanda precisa sul trattamento, scrivici comunque: rispondere a una domanda è sempre possibile, anche quando il pacco completo non lo è.
Domande frequenti
Sicurezza e trattamento dei dati.
Le domande che riceviamo più spesso da responsabili sicurezza, DPO e uffici legali in fase di valutazione.
Sì, sempre, per tutti gli strumenti disponibili oggi: PDF e immagini, e via via il resto del catalogo locale. Il documento non lascia mai il dispositivo.
Il contenuto verrà trasmesso cifrato all’infrastruttura europea certificata, elaborato e restituito. Non verrà conservato al termine dell’operazione e non lascerà i confini dell’Unione Europea.
Oggi, la cosa più semplice possibile: gli strumenti disponibili sono locali, quindi il documento non ci raggiunge nemmeno — non c’è un perimetro da verificare perché non c’è un trasferimento. Domani, quando arriverà l’AI, la differenza sarà nel perimetro (infrastruttura europea certificata, zero conservazione) e nella forma d’uso: non una conversazione che rispedisce tutto da capo a ogni scambio, ma un’operazione che si sceglie e finisce.
Nella cartella indicata dall’utente, sullo stesso dispositivo di partenza. È possibile sovrascrivere l’originale o produrre una copia.
Sì. È il vincolo architetturale su cui è costruita la piattaforma: minimizzazione dei dati, infrastruttura europea per ciò che non può restare locale, nessuna conservazione superflua — per ogni strumento, presente o futuro.
Sì, anche durante la beta gratuita: il DPA è previsto dall’articolo 28 del GDPR per ogni cliente che tratta dati personali con la piattaforma, e non dipende dal prezzo. La documentazione tecnica estesa — fornitori, architettura, registro dei sottoresponsabili — è invece riservata a chi ha una valutazione formale in corso, sotto accordo di riservatezza. Entrambe si richiedono dalla pagina "Documentazione e due diligence".
Scheda tecnica, registro dei sottoresponsabili e certificazioni dei fornitori sono riservati a organizzazioni con una valutazione formale in corso — un ufficio acquisti, un DPO o un responsabile sicurezza che stia conducendo una verifica — e vengono forniti sotto accordo di riservatezza. Contengono denominazione dei fornitori e dettagli di architettura che non pubblichiamo. Il DPA, invece, non è soggetto a questa condizione: spetta a chiunque tratti dati personali con la piattaforma.
Dalla pagina "Segnala una vulnerabilità", anche in forma anonima: serve solo un recapito per il riscontro. Confermiamo la ricezione entro due giorni lavorativi e ti teniamo aggiornato fino alla chiusura. Ti chiediamo solo di non divulgare pubblicamente il problema prima che sia corretto.
Sì, in qualsiasi momento e nei termini previsti dal GDPR: si usa il modulo "Esercizio dei diritti sui dati". I contenuti elaborati dagli strumenti locali non ci raggiungono mai; quelli che in futuro elaboreranno gli strumenti AI, per costruzione, non verranno comunque conservati oltre l’elaborazione.