Sicurezza

La sicurezza è integrata in Nodary, non aggiunta a posteriori. Seguiamo i principi del privilegio minimo, della difesa in profondità e della configurazione sicura per impostazione predefinita, e manteniamo ridotta la superficie di attacco affidandoci a un'infrastruttura gestita e sottoposta ad audit. Questa pagina riassume le misure in essere; il trattamento dei dati personali è descritto nell'informativa sulla privacy.

Nodary funziona interamente su Amazon Web Services, i cui data center dispongono di certificazioni indipendenti di primo piano, tra cui SOC 2 Tipo II e ISO 27001.

• Il database gira su PostgreSQL gestito all'interno di una rete virtuale privata (VPC), non esposta alla rete internet pubblica.
• L'elaborazione avviene su funzioni serverless isolate ed effimere, con permessi IAM circoscritti.
• I file sono conservati in uno storage a oggetti ad accesso controllato, con URL firmati e a durata limitata.

• Le password sono sottoposte ad hash con bcrypt; non le conserviamo mai in chiaro e non le mostriamo mai di nuovo.
• Le sessioni utilizzano token firmati e http-only, con revoca per sessione e «disconnetti ovunque».
• Autenticazione a due fattori facoltativa (TOTP), con codici di riserva e protezione dal replay.
• Controllo degli accessi basato sui ruoli in ciascuno spazio di lavoro, applicato lato server a ogni richiesta e non semplicemente nascosto nell'interfaccia.
• Verifica dell'e-mail, controlli dei token a tempo costante e link monouso per la verifica e la reimpostazione della password.

• Cifratura in transito (TLS) per tutte le connessioni.
• Cifratura a riposo per database, archiviazione dei file e backup.
• Isolamento rigoroso dei dati per spazio di lavoro, applicato a ogni query e ai livelli di fatturazione e IA.
• Backup automatici e cifrati, con ripristino a un istante specifico sul database gestito.

Le funzionalità di IA girano su modelli di base ospitati all'interno di AWS (Amazon Bedrock) nell'ambito di un accordo che vieta l'uso dei tuoi dati per addestrare tali modelli.

• Validazione degli input lato server, con applicazione di uno schema.
• Limitazione di frequenza a più livelli sugli endpoint di autenticazione, API e IA, sia in memoria sia distribuita.
• Content Security Policy e intestazioni di risposta di irrobustimento standard.
• Registrazione di audit delle azioni sensibili e gestione visibile delle sessioni attive per ogni utente.
• I webhook sono verificati tramite firma e trattati in modo idempotente per impedire il replay.

I pagamenti sono gestiti da Stripe, fornitore certificato PCI-DSS di Livello 1. I dati della carta sono inseriti direttamente presso Stripe e non transitano mai dai nostri server; conserviamo solo metadati di fatturazione non sensibili.

Se ritieni di aver individuato una vulnerabilità di sicurezza, segnalala in via riservata a support@nodary.ai con dettagli sufficienti a riprodurla. Confermeremo la ricezione della tua segnalazione, indagheremo tempestivamente e ti terremo informato. Ti chiediamo di concederci un tempo ragionevole per porvi rimedio prima di qualsiasi divulgazione pubblica, e di non accedere né modificare dati che non ti appartengono.

In caso di violazione dei dati personali, informeremo l'autorità di controllo competente e gli utenti interessati entro i termini richiesti dal GDPR, e agiremo per contenere e rimediare all'incidente.