Sicurezza

Point11 si impegna a proteggere la sicurezza e la privacy dei dati dei propri clienti. Questa pagina descrive come isoliamo, proteggiamo e monitoriamo tali dati, e a che punto siamo in materia di conformità.

Isolamento dei dati dei clienti

• I dati di ciascun cliente sono mantenuti separati all'interno del database stesso. La sicurezza a livello di riga (row-level security) di Postgres è attivata e applicata su ogni tabella che contiene dati dei clienti, e l'applicazione si connette tramite un ruolo di database che non può aggirarla.
• Una richiesta che non identifica il proprio spazio di lavoro cliente viene rifiutata dal database anziché ricevere risposta.
• Test automatici verificano queste regole di isolamento.

Infrastructure

La piattaforma Point11 è ospitata su Vercel, con Postgres gestito (Neon) e Redis (Upstash). Quando un cliente configura le proprie credenziali, le chiamate ai modelli di IA possono essere eseguite nell'account Amazon Bedrock, Microsoft Azure o Google Vertex AI di tale cliente.

• Dati cifrati in transito con TLS 1.2 o superiore per tutte le connessioni
• HTTPS imposto dai browser tramite HTTP Strict Transport Security
• Connessioni al database che richiedono TLS con verifica completa dei certificati
• Dati cifrati a riposo con AES-256 o equivalente
• Credenziali per i fornitori di modelli inserite dai clienti, inoltre cifrate da Point11 con AES-256-GCM e vincolate allo spazio di lavoro del cliente
• Mitigazione DDoS a livello di piattaforma ai margini della rete

Controllo degli accessi

• Accesso e single sign-on gestiti dal nostro fornitore di identità, WorkOS, con verifica in due passaggi facoltativa tramite passkey, app di autenticazione o SMS, che un’organizzazione può rendere obbligatoria, e codici di recupero monouso conservati solo come hash
• Controlli di accesso basati sui ruoli secondo il principio del privilegio minimo
• Chiavi API mostrate una sola volta, conservate solo come hash, limitate a un singolo spazio di lavoro e impostate per scadere entro un anno
• Accesso ai sistemi di produzione limitato al personale autorizzato
• Accesso del personale di Point11 concesso solo ad account aziendali, con ogni concessione, modifica e revoca registrata in un registro di audit
• L'accesso del supporto allo spazio di lavoro di un cliente richiede una motivazione registrata, è limitato nel tempo ed è registrato al suo inizio e alla sua fine; ogni cliente può scegliere se ricevere una notifica ogni volta o approvarlo preventivamente

Monitoraggio e log

• Azioni rilevanti per la sicurezza, tra cui gli accessi degli utenti, le modifiche alla verifica in due passaggi, le modifiche ai ruoli, le modifiche alle chiavi API e gli accessi del personale, registrate in un registro di audit di sola aggiunta che il database protegge da modifiche ed eliminazioni, conservato per almeno un anno
• Controlli di integrità automatici, inclusi test sintetici dei percorsi critici dei clienti ogni cinque minuti
• Incidenti operativi tracciati dal rilevamento fino a una risoluzione documentata

Sviluppo sicuro

• Ogni rilascio in produzione supera controlli automatici, tra cui controllo dei tipi, linting, test unitari e di integrazione e verifica dello schema del database
• Modifiche al database revisionate prima del rilascio, con una cronologia delle migrazioni applicate che non può essere alterata
• Avvisi automatici sulle vulnerabilità note nelle dipendenze del nostro software
• Scansione automatica dei segreti su commit e push verso il nostro repository di codice
• Le nuove versioni dei pacchetti di terze parti attendono tre giorni prima di poter essere installate, limitando l'esposizione a release compromesse
• Protezioni lato server che impediscono alla piattaforma di accedere a indirizzi di rete privati o interni

Gestione dei dati

Point11 non addestra i propri modelli di IA sui dati dei clienti. Meta può utilizzare gli input e gli output dei modelli Muse Spark, su cui si basano molte funzionalità di Point11 Analytics, per migliorare i propri modelli ai sensi dei termini di Meta; la nostra Informativa sulla privacy elenca le funzionalità e i dati interessati. Per le altre chiamate a modelli linguistici e di immagini tramite Vercel AI Gateway, chiediamo al Gateway di utilizzare solo fornitori che non addestrano i modelli sui dati inviati.

I dati dei clienti vengono conservati per il tempo necessario a fornire i servizi e adempiere agli obblighi di legge. La nostra Informativa sulla privacy descrive cosa viene eliminato alla chiusura di un account e cosa viene conservato. I clienti possono richiederne la cancellazione per iscritto.

I fornitori di servizi che trattano i dati dei clienti, e ciò che ciascuno di essi riceve, sono elencati nella nostra Informativa sulla privacy.

Point11 non elabora né conserva direttamente i dati delle carte di pagamento; l'elaborazione dei pagamenti è gestita da operatori certificati PCI DSS (Stripe). Per discutere requisiti HIPAA o altre esigenze di conformità, contatta legal@point11.ai.

Risposta agli incidenti e ripristino

• Gli incidenti di sicurezza confermati che coinvolgono dati dei clienti vengono comunicati via email ai proprietari e agli amministratori dello spazio di lavoro interessato senza indebito ritardo ed entro 72 ore da quando ne veniamo a conoscenza
• Analisi e interventi correttivi successivi agli incidenti confermati
• Backup gestito del database e ripristino point-in-time tramite il nostro fornitore di database, Neon

Conformità

Point11 non dispone ancora di un report SOC 2 né di una certificazione ISO 27001. I nostri fornitori di hosting e di database, Vercel e Neon, mantengono report SOC 2 Type 2 per l'infrastruttura su cui opera Point11; tali report non coprono l'applicazione stessa di Point11.

Segnalare problemi di sicurezza

Per segnalare un sospetto incidente di sicurezza che riguarda il tuo account o i tuoi dati Point11, come attività insolite, una chiave API esposta o un sospetto accesso non autorizzato, scrivi a security@point11.ai. Segnala una vulnerabilità di sicurezza nella piattaforma Point11 allo stesso indirizzo; ambito, tutela dei ricercatori e indicazioni per la segnalazione: policy di divulgazione delle vulnerabilità.

Valutazioni di sicurezza

Stai valutando Point11 come fornitore? Compiliamo questionari sulla sicurezza e possiamo illustrare queste pratiche al tuo team in modo più dettagliato. Contatta legal@point11.ai o il tuo referente commerciale.

Preferisci acquistare tramite il tuo provider cloud? Point11 Analytics è disponibile su AWS Marketplace e Microsoft Marketplace.