Sicurezza in Conviro

In Transito: Tutti i dati sono crittografati tramite TLS 1.2+ con crittografia a 256 bit. Tutti gli endpoint API, webhook e connessioni widget sono esclusivamente HTTPS. HSTS è applicato con un max-age di 1 anno, inclusi i sottodomini.

A Riposo: I dati dei clienti sono crittografati con AES-256 a livello di archiviazione. I volumi del database utilizzano la crittografia completa del disco.

Gestione dei Segreti: Le chiavi API, i token e le credenziali sono crittografati a riposo con gerarchie di chiavi separate e non vengono mai registrati né esposti nelle risposte API.

Data Center: Tutta l'infrastruttura di produzione è ospitata in data center certificati ISO 27001 nell'Unione Europea (Germania). I server non sono accessibili dall'internet pubblico.

Isolamento di Rete: Database, cache e servizi di coda messaggi operano in reti private senza indirizzi IP pubblici. Solo l'API e l'applicazione web hanno endpoint pubblici, protetti da un reverse proxy con limitazione della frequenza e protezione DDoS.

Monitoraggio: Monitoraggio dell'infrastruttura 24/7 con avvisi automatici. Obiettivo di uptime: 99,9%.

Autenticazione: Email/password con hashing bcrypt (salt rounds: 12) o Google OAuth 2.0. Token di accesso basati su JWT con scadenza di 15 minuti e token di aggiornamento casuali crittograficamente.

Autorizzazione: Controllo degli accessi basato sui ruoli (RBAC) con ruoli Proprietario, Amministratore e Agente. Autenticazione con chiave API per accesso programmatico con ambito delle autorizzazioni per chiave.

Limitazione della Frequenza: Limiti di frequenza per IP e per account su tutti gli endpoint. Gli endpoint di autenticazione hanno limiti più severi per prevenire attacchi brute force.

GDPR: Piena conformità al Regolamento Generale sulla Protezione dei Dati dell'UE. Un Accordo sul Trattamento dei Dati (DPA) è incluso in ogni piano a pagamento. Principi di privacy by design applicati in tutta la piattaforma.

Residenza dei Dati: I dati dei clienti sono conservati su server nell'UE. Il contenuto delle conversazioni è inviato ai fornitori di modelli di IA per generare le risposte; essi agiscono come responsabili del trattamento in base ad accordi sul trattamento dei dati e, se il trattamento avviene fuori dall'UE (ad esempio negli USA), si applicano il Data Privacy Framework UE-USA o le Clausole contrattuali standard.

Conformità ai Cookie: Banner di consenso ai cookie conforme al GDPR con controllo granulare per categoria (Essenziali, Analitici, Marketing). I registri del consenso sono conservati a fini di audit.

Legge Estone sulla Protezione dei Dati: Conforme alle normative locali estoni. Autorità di controllo: Ispettorato Estone per la Protezione dei Dati (Andmekaitse Inspektsioon).

Dati delle Conversazioni: Conservati in base alle impostazioni del tuo workspace (predefinito: 90 giorni). Configurabile per workspace.

Eliminazione dell'Account: Quando elimini il tuo account o un chatbot, tutti i dati associati vengono immediatamente eliminati definitivamente dai database attivi. I backup che contengono ancora i dati eliminati scadono con la normale rotazione, entro 30 giorni.

Diritto alla Cancellazione: Le richieste ai sensi dell'Art. 17 del GDPR vengono elaborate entro 30 giorni. Contattare [email protected].

Isolamento dei Dati: La tua knowledge base e i dati delle conversazioni non vengono mai utilizzati per addestrare modelli AI. I dati di ogni workspace sono rigorosamente isolati.

Accordi con i Fornitori: Manteniamo Accordi sul Trattamento dei Dati con tutti i fornitori di AI (Anthropic, OpenAI, Google).

Filtraggio dei Contenuti: Gli output AI sono monitorati per la sicurezza. Protezioni contro l'iniezione di prompt e filtri di sicurezza dei contenuti sono applicati a tutte le interazioni AI.

Se ritieni di aver trovato una vulnerabilità di sicurezza in Conviro, ti invitiamo a segnalarla in modo responsabile al nostro team di sicurezza. Non divulgare pubblicamente la vulnerabilità finché non abbiamo avuto l'opportunità di risolverla.

Contatto: [email protected]

Ci impegniamo a:

• Confermare la ricezione della segnalazione entro 24 ore.
• Fornire una tempistica per la correzione entro 72 ore.
• Tenerti aggiornato sui nostri progressi.
• Non intraprendere azioni legali contro i ricercatori di sicurezza in buona fede.