1. Dove siamo oggi
Siamo un piccolo team di ingegneria europeo e descriviamo la nostra postura di sicurezza in modo letterale, senza attribuirci una credibilità che non abbiamo guadagnato.
Non abbiamo una certificazione SOC 2, ISO 27001 o attestazione equivalente di terze parti, e non ne rivendichiamo alcuna. Non abbiamo commissionato un audit, quindi non esiste alcun report, bridge letter o certificazione da condividere. Se cambierà, lo scriveremo qui con ambito e data reali.
Per la verifica di un fornitore, il nostro pacchetto di sicurezza è pubblico:
- Panoramica di sicurezza: come la piattaforma è ospitata, cifrata, protetta negli accessi e monitorata (questa pagina).
- Contratto di trattamento dei dati (DPA), che include questa pagina come misure di sicurezza. Una copia firmata è disponibile su richiesta.
- Elenco dei sub-responsabili, con finalità, categorie di dati e luogo del trattamento di ogni fornitore.
- Piano di conservazione dei dati, con il periodo previsto per ogni categoria di dati e il funzionamento della cancellazione.
- Informativa sulla privacy, informativa sui cookie e termini di servizio.
Per un questionario di sicurezza o un DPA firmato scrivi a [email protected]: ti risponde chi gestisce i sistemi.
2. Infrastruttura e hosting
La piattaforma gira nell'Unione Europea: l'applicazione e il suo database sono ospitati su server in Germania, e i backup cifrati sono conservati presso un fornitore separato nei Paesi Bassi. Il database è replicato su tre server con failover automatico. La produzione è separata dagli ambienti di sviluppo e test e nessun dato personale di produzione viene usato per sviluppo o test.
La disponibilità è supportata da monitoraggio automatico e backup cifrati su ciclo di 35 giorni. Le procedure di ripristino sono verificate periodicamente.
3. Cifratura
I dati in transito sono protetti con TLS 1.2 o superiore su tutti gli endpoint pubblici. I dati a riposo, inclusi database, storage a oggetti e backup, sono cifrati con AES-256 o equivalente gestito dal provider.
Segreti e credenziali API delle piattaforme collegate sono memorizzati cifrati e non vengono mai scritti nei log applicativi.
MessageMind non offre la crittografia end-to-end. L'agente AI deve leggere un messaggio per rispondere, quindi il contenuto viene decifrato all'interno della piattaforma durante l'elaborazione, e solo i sistemi e il personale autorizzati dai nostri controlli di accesso possono raggiungerlo.
4. Controllo degli accessi
L'accesso ai sistemi di produzione segue il principio del minimo privilegio ed è limitato al personale che ne ha bisogno per il proprio ruolo. L'accesso amministrativo richiede account individuali e autenticazione a più fattori.
I diritti di accesso sono rivisti periodicamente e revocati tempestivamente quando un ruolo cambia o un incarico termina. Accediamo ai dati del cliente solo per erogare il servizio, gestire una richiesta di assistenza o su istruzione del cliente.
5. Log e monitoraggio
Eventi rilevanti per la sicurezza, azioni amministrative e attività di autenticazione sono registrati e conservati 12 mesi. I log sono monitorati per anomalie e usati per l'indagine sugli incidenti e la responsabilizzazione ex art. 32 GDPR.
6. Sviluppo sicuro e gestione delle vulnerabilità
Le modifiche passano da revisione tra pari prima di arrivare in produzione. Le dipendenze sono monitorate per vulnerabilità pubblicate e aggiornate secondo il rischio: le criticità hanno priorità, le altre seguono il normale ciclo di rilascio.
Al momento non abbiamo un programma di bug bounty retribuito. Le segnalazioni di ricercatori indipendenti sono benvenute e gestite come da sezione 7.
7. Contatto di sicurezza e segnalazione di vulnerabilità
Segnala una vulnerabilità o un incidente sospetto a [email protected] con SECURITY nell'oggetto. Indica cosa hai trovato, come riprodurlo e l'impatto che ritieni abbia.
Confermiamo la ricezione entro 2 giorni lavorativi, forniamo una prima valutazione entro 5 giorni lavorativi e teniamo aggiornato chi ha segnalato fino alla chiusura.
Se stai effettuando test in buona fede, ti chiediamo di non accedere, modificare o cancellare dati non tuoi, di non degradare il servizio e di non divulgare pubblicamente il problema prima che abbiamo avuto una ragionevole possibilità di correggerlo. Non intraprenderemo azioni contro chi rispetta questi principi.
8. Risposta agli incidenti e notifica delle violazioni
Gli incidenti sospetti sono classificati, contenuti e indagati, e la remediation è tracciata fino alla chiusura. Registriamo cosa è successo, quali dati sono stati coinvolti e cosa abbiamo cambiato di conseguenza.
Quando agiamo come responsabile e veniamo a conoscenza di una violazione di dati personali, informiamo il cliente interessato senza ingiustificato ritardo ed entro 48 ore, con le informazioni necessarie ai suoi obblighi ex art. 33. Quando agiamo come titolare notifichiamo al Garante per la protezione dei dati personali entro 72 ore se la violazione presenta un rischio per le persone, informando gli interessati se il rischio è elevato.
9. Gestione di fornitori e sub-responsabili
I fornitori che possono trattare dati personali sono valutati prima dell'incarico e vincolati da clausole scritte di protezione dei dati. L'elenco aggiornato è pubblicato nella pagina dei sub-responsabili, con luoghi e garanzie di trasferimento.
10. Cosa serve da parte tua
La sicurezza è condivisa. Usa credenziali forti e uniche e attiva l'autenticazione a più fattori, tieni aggiornato l'elenco utenti rimuovendo chi esce, concedi alle integrazioni solo gli scope necessari e configura l'agente in modo che non compia azioni rilevanti senza le protezioni che desideri.
