🛡️ Sicurezza

Le nostre pratiche di sicurezza

Le tue domande strategiche contengono informazioni sensibili. Ogni livello della nostra infrastruttura è progettato per proteggerle.

Certificazioni e Compliance

GDPRConforme

SOC 2 Type IIIn corso

ISO 27001In corso

TLS 1.3Attivo

AES-256Attivo

Server EUAttivo

I pilastri della nostra sicurezza

🔐

Crittografia End-to-End

Tutti i dati sono crittografati in transito (TLS 1.3) e a riposo (AES-256). Le chiavi di crittografia sono gestite con rotazione automatica e accesso segregato.

🌍

Infrastruttura Europea

I nostri server sono ubicati nell'Unione Europea. I dati non vengono mai trasferiti fuori dall'EU per lo storage. Solo le chiamate API ai provider AI possono coinvolgere server extra-EU, con garanzie SCC.

🗑️

Zero Data Retention

I documenti caricati vengono eliminati al termine della sessione. Le sessioni stesse vengono cancellate automaticamente dopo 90 giorni. L'utente può eliminare tutto in qualsiasi momento.

👁️

Audit Logging

Ogni accesso, modifica e operazione sensibile viene registrata con timestamp, identità e dettagli. I log sono immutabili e conservati per 12 mesi a fini di compliance.

🔑

Autenticazione Sicura

Password hashate con bcrypt (cost 12). Supporto Google OAuth 2.0. Protezione brute-force con rate limiting. Sessioni con token JWT firmati e scadenza controllata.

🛡️

Isolamento dei Dati

Ogni utente opera in un contesto completamente isolato. Le sessioni sono segregate a livello di database. Nessun utente può accedere ai dati di un altro, nemmeno per errore.

Architettura di Sicurezza

Come proteggiamo il flusso dei tuoi dati

BrowserTLS 1.3 — Crittografia end-to-end dal tuo dispositivo ai nostri server

CDN / WAFFirewall applicativo, protezione DDoS, rate limiting, IP filtering

API GatewayAutenticazione JWT, validazione input, sanitizzazione, CORS policy

OrchestratoreRouting AI anonimizzato — le tue domande vengono inviate ai provider senza dati identificativi

Provider AIChiamate API con chiavi dedicate, zero data retention sui provider, nessun fine-tuning con i tuoi dati

DatabaseAES-256 at rest, backup crittografati giornalieri, accesso segregato per ruolo

Come gestiamo i Provider AI

Vertex invia le tue domande a molteplici provider AI (OpenAI, Anthropic, Google, Mistral, DeepSeek, e altri). Ecco le nostre garanzie:

Anonimizzazione: Le domande vengono inviate senza dati personali dell'utente. I provider non sanno chi sta chiedendo.
Nessun training: Utilizziamo esclusivamente API con policy zero-training. I tuoi dati non vengono mai usati per addestrare modelli.
Selezione provider: Ogni provider viene valutato per compliance, policy di retention e sicurezza prima di essere integrato.
Clausole contrattuali: Dove applicabile, utilizziamo Data Processing Agreement (DPA) con ogni provider.

Incident Response

In caso di incidente di sicurezza, il nostro protocollo prevede:

Entro 1 ora: Identificazione, contenimento e notifica al team di sicurezza interno
Entro 24 ore: Valutazione dell'impatto e notifica agli utenti interessati
Entro 72 ore: Notifica alle autorità competenti (come richiesto dal GDPR Art. 33)
Post-incidente: Root cause analysis, remediation, e report pubblico di trasparenza

Segnalazione Vulnerabilità

Apprezziamo i ricercatori di sicurezza che ci aiutano a mantenere Vertex sicuro. Se scopri una vulnerabilità, contattaci in modo responsabile a: security@vertex.medialives.com

Ci impegniamo a rispondere entro 48 ore e a lavorare con te per risolvere il problema prima di qualsiasi divulgazione pubblica.