Sicurezza e riservatezza dei dati

• Dati ospitati su un'infrastruttura cloud protetta situata a Montréal, Canada (regione northamerica-northeast1)
• Elaborazione tramite intelligenza artificiale (estrazione delle quote) anch'essa eseguita a Montréal (Google Vertex AI) — i dati di estrazione non lasciano il Canada
• Vertex AI scelto per le sue prestazioni e il suo impegno enterprise: nessun utilizzo dei vostri dati per addestrare modelli (impegno contrattuale di Google Cloud)
• Hosting conforme ai requisiti applicabili in Québec e in Canada in materia di localizzazione dei dati
• Isolamento rigoroso dei dati tra ciascuna azienda cliente
• Accesso limitato agli utenti autorizzati in base al loro ruolo
• Crittografia dei dati in transito e a riposo secondo gli standard di settore
• Registro di audit con catena di hash: ogni azione sensibile è tracciata in un registro che rende rilevabile qualsiasi alterazione
• Infrastruttura di hosting certificata SOC 2 e ISO 27001/27017/27018 (Google Cloud)
• Backup regolari con meccanismi di ripristino controllati

Astérion Solutions inc. applica i principi e gli obblighi derivanti:

• Dalla Legge 25 del Québec (Loi 25) sulla protezione delle informazioni personali
• Dalle leggi canadesi applicabili in materia di riservatezza e protezione dei dati

Tra questi principi figurano in particolare:

• La limitazione dell'accesso alle informazioni
• La protezione contro gli accessi non autorizzati
• La conservazione sicura dei dati
• Il rispetto dei diritti delle persone e delle organizzazioni

Ogni azienda cliente dispone di uno spazio dati distinto che garantisce:

• Nessuna interconnessione tra organizzazioni
• Nessun accesso incrociato possibile
• Una separazione logica rigorosa degli ambienti

Ci avvaliamo di fornitori tecnici riconosciuti (sub-responsabili del trattamento), vincolati agli stessi obblighi di riservatezza. Conformemente all'articolo 17 della Legge 25, è stata effettuata una valutazione dei fattori relativi alla privacy per ciascuna delle comunicazioni al di fuori del Québec elencate di seguito; la sua sintesi, il registro completo dei sub-responsabili e un accordo sul trattamento dei dati sono disponibili su richiesta:

• Google Cloud / Firebase — hosting, archiviazione ed elaborazione tramite IA (Vertex AI), regione di Montréal (Canada). Infrastruttura certificata SOC 2 e ISO 27001/27017/27018
• Stripe — elaborazione sicura dei pagamenti (nessun dato di carta memorizzato sui nostri server) — Stati Uniti
• Amazon SES (Amazon Web Services) — invio delle email transazionali (inviti, notifiche, promemoria), regione di Montréal — Canada. Resend (Stati Uniti) resta come soluzione di riserva temporanea, dismissione prevista entro il 30 settembre 2026
• Cloudflare Turnstile — protezione anti-bot dei moduli pubblici del sito (tratta l'indirizzo IP del visitatore, senza profilazione) — Stati Uniti (rete di distribuzione globale)
• Anthropic — assistente di aiuto integrato (solo domande sull'utilizzo, nessun accesso ai vostri dati aziendali, nessun addestramento sui dati inviati) — Stati Uniti
• GoatCounter — misurazione del pubblico senza cookie né identificativi, indirizzo IP non conservato — Unione europea

I dati restano di proprietà esclusiva della vostra azienda. Astérion Solutions inc. agisce unicamente come custode tecnico dei vostri dati.

Disponete dei seguenti diritti:

• Accesso e consultazione tramite l'applicazione
• Modifica e rettifica
• Esportazione dei dati su richiesta
• Cancellazione dei dati entro 90 giorni dalla fine del contratto (salvo obblighi di legge), con conferma scritta su richiesta

Tre risposte che preferiamo dare prima che ci vengano chieste:

• Certificazioni: Astérion Solutions inc. non è essa stessa certificata SOC 2 né ISO 27001 — ereditiamo i controlli infrastrutturali di Google Cloud (certificata SOC 2 e ISO 27001/27017/27018) e i nostri controlli sono descritti nell'accordo sul trattamento dei dati, disponibile su richiesta
• Accesso amministratore: tecnicamente, il nostro personale può accedere ai dati ospitati. Questo accesso è utilizzato solo per l'assistenza richiesta dal cliente o per la gestione del servizio, e ogni azione sensibile è registrata nel registro di audit con catena di hash, la cui alterazione è rilevabile
• Continuità: un piano scritto designa un amministratore sostituto con gli accessi necessari per mantenere il servizio in caso di indisponibilità prolungata del fondatore, e un accordo di deposito del codice sorgente (escrow) presso terzi può essere attivato su richiesta contrattuale