Bozza, aggiornata al 19 ottobre 2026. Traduzione a scopo informativo; fa fede la versione tedesca. Completare e far verificare da un legale prima della pubblicazione.
1. Esercizio e infrastruttura
KI.ordo funziona su un unico server gestito da noi [ubicazione o hosting e paese]. Nel piano Enterprise KI.ordo funziona su un server del cliente; il cliente è responsabile della sua sicurezza fisica e del suo sistema operativo, salvo diverso accordo.
Tutti i contenuti si trovano in un database su questo server. Utilizziamo servizi esterni solo per le risposte IA e per le finalità indicate nella pagina Sub-responsabili del trattamento.
2. Trasmissione cifrata
Sul nostro dominio KI.ordo è raggiungibile solo tramite HTTPS (TLS). I cookie di accesso vengono quindi inviati esclusivamente tramite connessioni cifrate. La connessione al fornitore di IA è sempre cifrata.
3. Accesso e autorizzazioni
- Salviamo le password solo come hash con il metodo scrypt e un salt casuale.
- Le sessioni funzionano tramite un cookie HttpOnly con protezione SameSite. Sul server salviamo solo un hash della chiave di sessione. Una sessione termina dopo 14 giorni o alla disconnessione.
- Anche le chiavi API sono salvate solo come hash. Si possono revocare in qualsiasi momento; l’ultimo utilizzo è visibile.
- Ruoli per area di lavoro: Proprietario, Admin, Editor e Lettore. Ogni persona vede solo le aree di lavoro di cui è membro.
- Le modifiche importanti vengono annotate nel registro delle modifiche dell’area di lavoro.
4. Protezione dagli abusi
- Gli accessi pubblici come login, modulo di contatto, chat per il sito e webhook limitano il numero di richieste per indirizzo e minuto.
- Puoi limitare la chat per il sito ai siti web autorizzati.
- Le richieste web dai flussi non possono raggiungere indirizzi di rete interni o privati.
- Un limite mensile di token per area di lavoro evita costi imprevisti.
5. Backup
Il database viene salvato ogni notte. Conserviamo i backup degli ultimi sette giorni. [Luogo dei backup, ad es. in aggiunta fuori sede in forma cifrata]
6. Organizzazione
Adeguare le sezioni 6 e 7 alla prassi effettiva prima della pubblicazione.
- Hanno accesso al server solo [numero / ruoli] persone vincolate alla riservatezza.
- Accediamo ai contenuti dei clienti solo se necessario per assistenza o funzionamento, oppure se il cliente lo richiede.
- I dispositivi con accesso al server sono cifrati e protetti con blocco schermo.
- I supporti dati non più necessari vengono cancellati in modo sicuro o distrutti.
7. Aggiornamenti e verifiche
Manteniamo aggiornati il sistema operativo e i pacchetti software e verifichiamo le nuove versioni di KI.ordo con test automatici prima del rilascio. [Aggiungere verifiche di sicurezza esterne o certificazioni, quando disponibili]
8. Incidenti
Se rileviamo una violazione dei dati personali, informiamo i clienti interessati senza ingiustificato ritardo e li supportiamo nei loro obblighi di notifica. Nella misura in cui siamo noi stessi titolari del trattamento, notifichiamo l’incidente all’autorità di controllo entro 72 ore (art. 33 GDPR).
9. Segnalare vulnerabilità
Hai trovato una vulnerabilità? Scrivi a [email protected]. Dacci il tempo di risolvere il problema prima di renderlo pubblico e non accedere ai dati di altri.