Questa traduzione è fornita per comodità. La versione inglese è l'unica vincolante e prevale in caso di contrasto o di differenze di significato. Leggi la versione inglese.
Sicurezza
Quello che facciamo oggi, non quello che prevediamo di fare.
Questa pagina descrive le misure in vigore il 30 ottobre 2026. La versione vincolante è l'Allegato 2 dell'Accordo sul trattamento dei dati.
01
Hosting e dati
L'applicazione è ospitata su Vercel. Il database dei clienti e l'autenticazione sono ospitati da Supabase su AWS in Irlanda (UE): i dati dei clienti sono archiviati nell'UE, crittografati a riposo, con sicurezza a livello di riga, così che i dati di ciascun cliente siano leggibili solo dagli utenti di quel cliente e dal servizio che agisce per loro conto. Le funzioni di Vercel e i fornitori di IA operano fuori dall'UE, quindi il trattamento non avviene solo nell'UE: l'Informativa sulla privacy elenca ogni fornitore con la sua ubicazione.
I backup sono crittografati, eseguiti automaticamente presso il fornitore con ripristino a un punto nel tempo e sostituiti a rotazione entro 30 giorni.
02
Accesso
Il personale usa account individuali con autenticazione a due fattori, obbligatoria per ogni accesso di amministratori e membri del team e disponibile per ogni utente cliente. I segreti di produzione risiedono solo nell'archivio crittografato delle variabili d'ambiente del fornitore di hosting, mai nel codice. I token di integrazione (per esempio Google Analytics) sono crittografati con AES-256-GCM, con una chiave conservata solo in quell'archivio. Le password sono memorizzate come hash con salt dal fornitore dell'autenticazione, mai da noi.
03
In transito
TLS 1.2 o superiore ovunque. I moduli pubblici e le route API hanno un limite di richieste; i moduli di accesso, di registrazione e di contatto sono protetti da un controllo anti-bot di Cloudflare, dove è attivo. I tentativi di accesso sono limitati per account e per indirizzo.
04
Fornitori di IA
Le domande sono inviate ai fornitori di IA alle condizioni commerciali delle loro API. Anthropic e OpenAI non usano i dati inviati tramite API per addestrare i propri modelli; se le condizioni di un fornitore non sono ancora verificate, l'Informativa sulla privacy lo indica. Non consentiamo a nessun fornitore di addestrare un modello pubblico con i dati dei clienti. Prima che il cliente le veda, le bozze generate sono controllate da un verificatore automatico rispetto ai dati del cliente stesso, e ogni bozza è contrassegnata come generata dall'IA.
05
Incidenti
Informiamo i clienti interessati entro 48 ore da quando veniamo a conoscenza di una violazione dei dati personali e collaboriamo alle loro notifiche alle autorità e agli interessati. Registriamo gli eventi di sicurezza di ogni account; i clienti vedono la propria cronologia degli accessi e le sessioni attive nella scheda Sicurezza della loro area clienti. L'impegno completo è riportato nell'Accordo sul trattamento dei dati, sezione 5.
06
Certificazioni
Non abbiamo ancora un nostro rapporto SOC 2 o ISO 27001. I nostri fornitori di infrastruttura sì: condividiamo i loro rapporti su richiesta, previo accordo di riservatezza (NDA), e il DPA stabilisce come un cliente può sottoporci a verifica.
07
Segnalare una vulnerabilità
Scriva a security@thenewmap.ai. Confermiamo la ricezione entro 5 giorni lavorativi. Non intraprenderemo azioni legali contro ricerche svolte in buona fede che rispettino i dati degli altri clienti, non compromettano il funzionamento del servizio e non accedano a più dati del necessario per dimostrare il problema. Le chiediamo di darci un tempo ragionevole per correggerlo prima di renderlo pubblico. Non abbiamo un programma di ricompense per le segnalazioni.
Domande da parte dell'ufficio acquisti o del responsabile della protezione dei dati: privacy@thenewmap.ai. Si veda anche: Informativa sulla privacy, Accordo sul trattamento dei dati, Termini di servizio.
Ultimo aggiornamento: .