Fiducia

Sicurezza

11 misure tecniche in essere oggi, ciascuna verificata: HTTPS con HSTS, cifratura a riposo, separazione per riga fra i negozi, verifica in due passaggi, chiavi API conservate solo come impronta, webhook firmati, limiti di richieste, un registro delle attività che le applicazioni del servizio non possono modificare, conversazioni mascherate, copie giornaliere, una Content Security Policy sul portale.

Le misure di sicurezza

Segnalare una vulnerabilità

La nostra politica di divulgazione delle vulnerabilità dice che cosa rientra nel perimetro, come segnalare e a che cosa ci impegniamo: rispondiamo entro 2 giorni lavorativi. Il recapito è pubblicato anche nel nostro security.txt (RFC 9116).

Politica di divulgazione delle vulnerabilità

Protezione dei dati

• L’accordo sul trattamento dei dati (art. 28 GDPR), costruito sulle clausole contrattuali tipo fra titolari e responsabili (decisione (UE) 2021/915). Se scopriamo una violazione dei dati di un negozio, lo avvisiamo senza ingiustificato ritardo e comunque entro 48 ore.
• I sub-responsabili: 8 fornitori trattano i dati dei negozi e dei loro clienti e 1 solo quelli del sito, ciascuno con che cosa fa, quali dati, dove e con quali garanzie. Prima di un cambio avvisiamo i negozi per email almeno 30 giorni prima.
• L’informativa sulla privacy e come eliminare i tuoi dati.

Dove sono i dati

Il database del servizio è nell’Unione europea, a Stoccolma. Alcuni fornitori, fra cui quello del modello di intelligenza artificiale, trattano dati fuori dall’UE. Dove lavora ciascuno, come lo dice la pagina dei sub-responsabili:

• Supabase: Database nella regione eu-north-1, a Stoccolma (Svezia, UE). Le funzioni girano nella regione più vicina a chi le chiama; il portale le chiede a Francoforte (eu-central-1).
• OpenAI: Stati Uniti. Le richieste dell'assistente partono senza conservazione dello stato (store: false); i registri per il controllo degli abusi restano al massimo 30 giorni.
• Meta Platforms (WhatsApp Business Platform, Cloud API): Centri dati di Meta; conserva i messaggi al massimo 30 giorni.
• Vercel: Funzioni del server a Francoforte (Germania), pagine dalla sua rete mondiale; sede principale del trattamento negli Stati Uniti.
• Cloudflare: Rete mondiale, anche fuori dallo Spazio economico europeo.
• Resend: Stati Uniti (infrastruttura di Amazon Web Services).
• n8n: Francoforte (Germania).
• Google (Google Workspace): Stati Uniti e rete mondiale di Google.
• Cal.com: Stati Uniti.

Trasparenza dell’intelligenza artificiale

Le risposte sono scritte da un modello di intelligenza artificiale e possono contenere errori; prezzi, totali e fasce di consegna vengono dai sistemi del negozio. Al primo messaggio di ogni conversazione l’assistente dice di essere un assistente AI e indica dove leggere le condizioni e l’informativa del negozio (art. 50 del regolamento (UE) 2024/1689), come dice il contratto di servizio. Il fornitore del modello non usa le conversazioni per addestrare i suoi modelli.

Architettura e flussi dei dati

Chi manda dati a chi quando GroceryAI lavora per un negozio.

Che cosa non abbiamo ancora

Oggi GroceryAI non ha attestazioni di sicurezza rilasciate da terzi né una valutazione esterna dei controlli. Le garanzie dei fornitori sono le loro: le trovi nei loro documenti, linkati nella pagina dei sub-responsabili.

Contatti

Per ogni domanda su sicurezza e dati: hello@groceryai.ai. GroceryAI è sviluppata e di proprietà di Aequus Ventures SRL, Olbia.

security.txt