Sicurezza e protezione dei dati
I Suoi dati sono in buone mani. Protime agisce come responsabile del trattamento ed elabora i Suoi dati esclusivamente nell'UE.
Tre livelli di sicurezza — la scelta è Sua
Riservatezza standard, conformità avanzata o separazione strutturale nel Suo cloud aziendale: la configurazione di sicurezza si applica a livello aziendale ed è aggiornabile in qualsiasi momento. Scheda informativa di una pagina con la panoramica dei tre livelli, già in uso pilota quotidiano presso Loeb AG (impresa familiare svizzera) dall'inizio di marzo 2026.
Risposte alle Sue domande
Le mie e-mail sono al sicuro?
Protime accede alle Sue e-mail tramite OAuth: non conosciamo la Sua password e Lei può revocare l'accesso in qualsiasi momento. Nei briefing standard, le e-mail elaborate vengono cancellate automaticamente dopo al massimo 3 mesi. Nei briefing Inbox, le e-mail vengono solo lette e analizzate: non viene memorizzato alcun contenuto. La Sua casella di posta rimane sempre intatta.
Il team di Protime può leggere le mie e-mail?
No. I contenuti delle Sue e-mail vengono elaborati automaticamente dall'IA: nessuna persona fisica li legge. L'accesso ai dati dei clienti è limitato al personale autorizzato ed avviene unicamente per la risoluzione di problemi tecnici o su Sua richiesta di supporto. Non possiamo né vogliamo curiosare nella Sua casella di posta.
Protime può essere violato?
Non gestiamo server proprietari. Tutto funziona su Google Cloud, la stessa infrastruttura che protegge Gmail e Google Workspace. La nostra applicazione è verificata Google CASA Tier 2, la procedura di sicurezza più rigorosa richiesta da Google per le app con accesso alle e-mail. Monitoraggio continuo tramite Google Security Command Center.
I miei segreti aziendali possono andare persi?
I Suoi dati non vengono mai utilizzati per l'addestramento dell'IA. Nessun collaboratore di Protime legge i Suoi contenuti. Tutto è crittografato (AES-256), tutto nell'UE (Francoforte). L'elaborazione IA avviene nell'ambito del contratto cloud di Google: Google non può cedere i Suoi dati a terzi.
Le nostre promesse
Protezione dei dati
Protime agisce in qualità di responsabile del trattamento (Data Processor) ai sensi dell'art. 28 RGPD e dell'art. 9 della legge federale svizzera sulla protezione dei dati (revLPD). Trattiamo i dati personali esclusivamente su mandato e secondo le istruzioni dei nostri clienti.
Per i clienti aziendali mettiamo a disposizione su richiesta un contratto per il trattamento dei dati (DPA/AVV), disponibile sia nella versione svizzera (revLPD) sia in quella europea/tedesca (RGPD). Manteniamo un elenco aggiornato di tutti i sub-responsabili del trattamento, consultabile su richiesta.
L'autorità di vigilanza competente in Svizzera è l'IFPDT (Incaricato federale della protezione dei dati e della trasparenza). Per gli utenti nell'area UE/SEE, l'interlocutore è l'autorità nazionale di protezione dei dati rispettivamente competente.
Hosting dei dati e infrastruttura
Tutti i dati sono ospitati su Google Cloud Platform nel data center di Google a Francoforte, in Germania. Utilizziamo Firebase Authentication, Cloud Firestore e Cloud Functions. Nessun dato viene archiviato al di fuori dell'UE.
Crittografia
- ✓Trasmissione: tutte le connessioni sono crittografate con TLS/SSL.
- ✓Archiviazione: crittografia standard Google Cloud (AES-256) per tutti i dati memorizzati.
- ✓Autenticazione: OAuth 2.0 per l'accesso a Gmail e Outlook. Nessuna password viene memorizzata.
Elaborazione tramite IA
Utilizziamo esclusivamente Google Gemini per la generazione dei briefing. L'elaborazione avviene nel quadro dell'accordo sul trattamento dei dati di Google Cloud (DPA) nel data center di Google a Francoforte, in Germania. Google non utilizza i Suoi dati per addestrare modelli IA generali (in conformità con le condizioni d'uso di Google Cloud).
Accesso a e-mail e calendario
- ✓Utilizziamo OAuth 2.0 per l'accesso sicuro alle Sue e-mail e al Suo calendario. L'accesso può essere revocato in qualsiasi momento attraverso le impostazioni dell'account del Suo provider di posta elettronica.
- ✓Le e-mail elaborate vengono cancellate automaticamente dopo al massimo 3 mesi. I riepiloghi generati rimangono conservati.
- ✓Protime è conforme alla Google Limited Use Policy e alla Google API Services User Data Policy.
Sicurezza dell'infrastruttura e monitoraggio
- ✓Google Security Command Center per il rilevamento continuo delle minacce, il monitoraggio delle intrusioni e gli avvisi su configurazioni errate.
- ✓Cloud Monitoring con verifiche di disponibilità, metriche di prestazione e segnalazione automatica degli errori per tutti i servizi.
- ✓Logging strutturato su tutte le Cloud Functions con livelli di gravità per il rilevamento delle anomalie in tempo reale.
- ✓Cloud Armor Web Application Firewall per la protezione contro gli attacchi OWASP Top 10.
- ✓GitHub Branch Protection e revisione obbligatoria del codice per tutte le modifiche in produzione.
- ✓Scansione automatica delle vulnerabilità per tutte le immagini dei container e le dipendenze.
Sicurezza organizzativa
- ✓L'accesso ai dati dei clienti è limitato al personale autorizzato ed avviene unicamente per la risoluzione di problemi tecnici o su richiesta di supporto.
- ✓Autenticazione a più fattori (MFA) su tutti i sistemi critici: infrastruttura cloud, repository di codice, elaborazione dei pagamenti e recapito delle e-mail.
- ✓Gestione delle password secondo NIST SP 800-63B: password generate univoche per ciascun servizio, nessuna rotazione periodica prefissata, modifica solo in caso di compromissione.
- ✓Crittografia completa del disco rigido (AES-256) su tutti i dispositivi aziendali. Nessun accesso non crittografato ai dati dei clienti è possibile.
- ✓Disponiamo di una procedura di risposta agli incidenti con un termine di notifica entro 72 ore in conformità con i requisiti del RGPD.
- ✓Valutazioni periodiche della sicurezza, tra cui Google CASA Tier 2 (Cloud Application Security Assessment, verificato fino a febbraio 2027).
- ✓Tutti i registri di sistema vengono conservati per 365 giorni per garantire la completa tracciabilità e la verificabilità in sede di audit.
- ✓Contatto per la protezione dei dati: Marc Loeb, data@protime.ai
Conformità e standard
Protime attua misure tecniche e organizzative adeguate, allineate ai più recenti standard di sicurezza europei. I nostri controlli di sicurezza supportano la Sua conformità alla catena di fornitura secondo la direttiva NIS2.
| Standard / Framework | Stato | Dettagli |
|---|---|---|
| GDPR & revDSG | Certificato | RGPD e revLPD — Piena conformità alle normative sulla protezione dei dati svizzere ed europee, compresi contratti sul trattamento dei dati (AVV), misure tecniche e organizzative (TOM) documentate e trasparenza sui sub-responsabili. |
| Google CASA Tier 2 | Certificato | Google CASA Tier 2 — Verifica indipendente di sicurezza da parte di un laboratorio autorizzato dall'App Defence Alliance, che convalida la sicurezza dell'applicazione su 13 categorie OWASP ASVS. Certificato fino a febbraio 2027. |
| ISO 27001:2022 | In corso | ISO 27001:2022 — SGSI completo implementato: Statement of Applicability v1.3, 12 direttive consolidate che coprono tutti i controlli applicabili dell'Annex A, Risk Register, registro delle attività di trattamento (ROPA), piano di continuità operativa. Audit di certificazione avviato con SGS Svizzera ad aprile 2026. |
| SOC 2 Type I | Pianificato | SOC 2 — Controlli pronti per SOC 2. Procedura di attestazione Type I programmata con TAC Security (completamento entro ~30 giorni dall'avvio). |
| NIS2 supply chain | Allineato — certificazione in attesa | Catena di fornitura NIS2 — Le nostre misure di sicurezza supportano le organizzazioni regolamentate nell'adempimento dei loro obblighi di diligenza NIS2 lungo la catena di approvvigionamento (art. 21(2)(d)). |
Sub-responsabili del trattamento
Una panoramica aggiornata dei servizi impiegati per l'erogazione di Protime:
| Sub-responsabile | Scopo | Sede dei dati | Certificazioni | Protezione del trasferimento |
|---|---|---|---|---|
| Google Cloud Platform | Firestore, Cloud Functions, Firebase Auth | europe-west3 (Frankfurt) | ISO 27001, SOC 2 Type II, ISO 27701 | Swiss-US DPF |
| Google Vertex AI (Gemini) | AI inference (briefings, inbox classification, drafts) | EU region | ISO 27001, SOC 2 Type II | Swiss-US DPF |
| Microsoft Graph | Outlook OAuth (mail, calendar and tasks read/write) | EU / US | ISO 27001, SOC 2 Type II | Swiss-US DPF |
| Stripe | Payment processing | US / EU | PCI DSS Level 1, SOC 2 Type II, ISO 27001 | Swiss-US DPF |
| SendGrid (Twilio) | Transactional email delivery | US | ISO 27001, SOC 2 Type II | Swiss-US DPF |
| GitHub (Microsoft) | Source code hosting (no customer data) | US | ISO 27001, SOC 2 Type II | Swiss-US DPF |
Divulgazione responsabile
Esperti di sicurezza e clienti possono segnalare eventuali vulnerabilità attraverso il nostro canale coordinato di divulgazione.
Confermiamo la ricezione delle segnalazioni entro 3 giorni lavorativi e applichiamo un termine di divulgazione di 90 giorni per la risoluzione.
Contatto
Per richieste relative alla sicurezza, alla protezione dei dati o per la segnalazione di vulnerabilità, ci contatti a:
data@protime.ai