Sicurezza – VoiceMail

1. Il Nostro Impegno

La sicurezza dei dati trattati tramite VoiceMail è una priorità per INVESTIMENTO DIGITALE SRL. Questa pagina descrive, in forma divulgativa, le principali misure tecniche e organizzative adottate a protezione dei dati degli utenti. Non si tratta di una dichiarazione di conformità assoluta o di assenza di rischio: la sicurezza informatica è un processo continuo di miglioramento.

2. Cifratura dei Dati

I token di accesso alle caselle email collegate (Gmail, Outlook) e le credenziali SMTP/IMAP inserite manualmente sono cifrati at-rest. Il contenuto degli allegati email e dei documenti caricati nei profili AI è cifrato prima della memorizzazione, così come il corpo delle email sincronizzate, conservato come file cifrato anziché in chiaro nel database. Alcuni campi delle email (oggetto, mittente, destinatari) sono cifrati.

Sono inoltre cifrati a livello applicativo (AES-256-GCM) i dati personali di fatturazione (nome, cognome, codice fiscale, data e luogo di nascita, telefono, indirizzo, note), la copia di tali dati conservata con ciascuna fattura e i ticket di assistenza (oggetto, testo dei messaggi, note interne). La chiave è conservata sul server, separata dal database. Restano non cifrati a livello applicativo, e protetti da accessi riservati, TLS e backup cifrati, il testo estratto dagli allegati (usato per la ricerca), i dati anagrafici dell'account (nome, email, telefono), i file allegati ai ticket e i dati d'impresa di fatturazione (partita IVA, ragione sociale, PEC, codice SDI, città, CAP, provincia, email di fatturazione); il Titolare valuta l'estensione della cifratura ad ulteriori categorie.

I token di accesso ai calendari esterni collegati (Google Calendar, Outlook) sono cifrati. Per la knowledge base, ogni utente dispone di uno spazio separato con chiavi di accesso dedicate, conservate cifrate; i database e gli indici della knowledge base risiedono su un volume cifrato, e la comunicazione tra l'applicazione e la knowledge base avviene su connessione protetta (TLS) con verifica del certificato.

3. Verifica di Sicurezza Indipendente

L'infrastruttura di accesso alle caselle Gmail è stata sottoposta a un test di sicurezza indipendente (DAST) da parte di un fornitore terzo specializzato, nell'ambito del processo di verifica applicazioni Google per l'utilizzo di scope Gmail ad accesso ampio (certificazione CASA). Il processo di certificazione si è concluso positivamente.

4. Autenticazione e Accesso

L'accesso al servizio richiede credenziali personali; le password sono conservate secondo tecniche standard di settore (hashing, non reversibile). È disponibile un livello aggiuntivo di verifica dell'identità in fase di accesso per determinate categorie di account. Il numero di tentativi ripetuti di accesso e di verifica del codice è limitato, per ostacolare gli attacchi a forza bruta.

5. Anonimizzazione per le Funzioni AI

Prima dell'invio di contenuti ai fornitori di intelligenza artificiale esterni, il sistema tenta di anonimizzare i dati personali riconosciuti, riducendo l'esposizione di informazioni identificative. Il meccanismo è descritto nell'Informativa AI. Per la knowledge base l'anonimizzazione è svolta da un servizio dedicato sull'infrastruttura del Titolare in Unione Europea.

6. Continuità Operativa e Backup

Il Titolare esegue backup periodici del database e dei file del servizio in ambiente di produzione. I file di backup sono cifrati prima di essere salvati e ne viene conservata una copia su un'infrastruttura di storage separata da quella del servizio (Hetzner Object Storage, Unione Europea), oltre alla copia locale.

7. Localizzazione dei Dati

I dati e i file allegati sono conservati su infrastruttura situata in Unione Europea (Germania), compresa la knowledge base. Alcuni fornitori di servizi elencati nella Pagina Sub-responsabili trattano dati anche negli Stati Uniti.

8. Segnalazione di Vulnerabilità

Chiunque riscontri una potenziale vulnerabilità di sicurezza è invitato a segnalarla in modo responsabile scrivendo a security@hypy.it, prima di divulgarla pubblicamente.

9. Aggiornamenti

La presente pagina può essere aggiornata nel tempo per riflettere l'evoluzione delle misure di sicurezza adottate.