Sicurezza e privacy

Dove si trovano i dati del tuo ufficio?

SecureStack funziona su un server installato fisicamente nel tuo ufficio. Gli utenti lo usano dal browser, sulla rete dell'ufficio. I documenti e le email che SecureStack legge, le conversazioni e i modelli di intelligenza artificiale restano su quel server.

Sul server si trovano anche l'indice dei documenti, i documenti allegati nella chat, le impostazioni e il registro delle operazioni.

Il server non è raggiungibile da Internet. Accetta i collegamenti degli utenti solo dalla rete dell'ufficio, e il collegamento tra il browser e il server è cifrato. Swiss Core Systems non ha nessun accesso a distanza: la manutenzione e gli aggiornamenti si fanno nel tuo ufficio.

Dove lavora il modello di intelligenza artificiale?

Sul server del tuo ufficio. Tutti i modelli di intelligenza artificiale di SecureStack lavorano su quel server, compreso quello che controlla le risposte sulle fonti. I servizi dei modelli non hanno nessun collegamento di rete fuori dal server, nemmeno verso la rete dell'ufficio. Anche il programma che legge i file per estrarne il testo non ha accesso alla rete.

SecureStack installato nel tuo ufficio si avvia solo con i modelli locali. Se fosse impostato un modello esterno, i servizi non partirebbero.

A ogni avvio SecureStack controlla che i file dei modelli siano quelli installati. Le statistiche d'uso dei programmi che eseguono i modelli sono disattivate. I modelli cambiano solo con un aggiornamento firmato, applicato nel tuo ufficio.

Chi può vedere un documento?

Ogni utente vede solo i documenti che può aprire alla fonte, per esempio in una cartella condivisa dell'ufficio. SecureStack applica i permessi prima di passare i documenti al modello: il modello non riceve mai un passaggio che chi fa la domanda non può aprire. Vale per la chat, le sezioni, i documenti citati con @, le attività ricorrenti e le esportazioni.

Per le cartelle condivise valgono i permessi di Windows che il tuo ufficio ha già impostato:

• la lettura deve essere permessa sia dai permessi della condivisione sia dai permessi del file;
• un divieto prevale su un permesso;
• contano i gruppi di Active Directory di cui l'utente fa parte, anche attraverso altri gruppi;
• un documento conta come leggibile solo se l'utente ha per intero il permesso di lettura di Windows.

Se SecureStack non riesce a leggere per intero i permessi di un documento, lo rende visibile solo al suo proprietario oppure non lo usa.

I permessi sono quelli letti all'ultima sincronizzazione della fonte: un permesso cambiato su una cartella conta dalla sincronizzazione successiva di quella cartella. Se una fonte non si sincronizza da più tempo del limite stabilito, i suoi documenti restano fuori dalle risposte finché la sincronizzazione non riesce di nuovo.

Per un documento che non puoi aprire SecureStack risponde come per un documento che non esiste: non conferma nemmeno che c'è.

Se il tuo ufficio collega SecureStack al suo dominio, gli utenti entrano con l'account dell'ufficio. Quando un account viene disattivato nel dominio, quella persona non può più entrare in SecureStack e le sue sessioni aperte si chiudono alla sincronizzazione successiva.

Chi può leggere le chat e i documenti allegati?

Le tue chat le vedi solo tu: nemmeno il referente o il tecnico SCS possono leggerle. In SecureStack non esiste una funzione con cui un amministratore legga le conversazioni di altri.

Un documento che alleghi nella chat lo vedi solo tu. Le email di una casella di posta collegata le legge solo la persona a cui la casella è stata assegnata quando è stata collegata. Un'attività ricorrente legge solo i documenti che può leggere chi l'ha creata.

Fa eccezione una domanda segnalata. SecureStack controlla le domande per riconoscere i tentativi di abuso, per esempio di ottenere documenti fuori dai propri permessi o di far ignorare le regole all'assistente. Il testo di una domanda segnalata viene conservato a parte: lo può leggere solo il referente, ed è cancellato dopo il periodo stabilito dal tuo ufficio. Le altre domande restano solo nella tua chat. In Impostazioni, alla voce Privacy, trovi quali domande possono essere segnalate. Il tuo ufficio può disattivare questa funzione.

Che cosa vede il referente?

I referenti sono una o due persone del tuo ufficio, indicate per nome, che amministrano SecureStack. Gestiscono gli utenti e i gruppi, i collegamenti alle fonti e le impostazioni dell'ufficio, per esempio la conservazione dei dati e la carta intestata.

Quando usa l'assistente, il referente vede solo i documenti che i suoi permessi gli lasciano aprire, come ogni utente. Non legge le chat degli altri e non ha una ricerca nel contenuto di tutti i documenti dell'ufficio. Dei documenti che gli altri allegano nella chat solo per sé vede quanti sono per ogni utente, mai il nome. È l'unica persona che può leggere il testo delle domande segnalate.

Il referente entra con la verifica in due passaggi a ogni accesso.

Che cosa esce dal server?

Dei servizi di SecureStack, uno solo apre collegamenti fuori dal server: il servizio dei collegamenti. Legge le fonti del tuo ufficio, per esempio le cartelle condivise, la directory degli utenti e le caselle di posta, e può raggiungere solo gli indirizzi di un elenco chiuso. I modelli, l'applicazione e il servizio che svolge i lavori in background non possono aprire collegamenti fuori dal server, nemmeno verso la rete dell'ufficio.

Oltre a ciò che gli utenti vedono nel browser e ai file che scaricano, per esempio le esportazioni in Word o PDF, SecureStack manda contenuti fuori dal server solo in questi casi, e ogni volta lo decide una persona:

• una bozza di email, quando premi Salva nelle bozze e confermi: va nella cartella delle bozze della tua casella di posta collegata. Se la casella è presso un fornitore esterno, la bozza arriva lì. SecureStack non invia email;
• il testo di una ricerca sul web, quando premi Invia la ricerca, se nella tua installazione la ricerca sul web è attiva: esce solo il testo che hai confermato;
• un insieme anonimizzato di domande e risposte giudicate con Utile o Da correggere, solo se il tuo ufficio ha dato il consenso scritto, il referente approva l'esportazione e il contratto con Swiss Core Systems lo prevede. Altrimenti i giudizi e i messaggi a cui si riferiscono restano sul server.

Che cosa succede con la ricerca sul web?

La ricerca sul web è disattivata in partenza. Se nella tua installazione è attiva, in + Aggiungi trovi Cerca sul web. Scrivi la domanda e premi Prepara la ricerca: vedi il testo esatto che uscirà dall'ufficio, con i dati personali evidenziati, per esempio nomi, numeri AVS, codici fiscali, IBAN, email, telefoni e indirizzi. Puoi modificare il testo; dopo ogni modifica SecureStack lo controlla di nuovo.

Solo quando premi Invia la ricerca il testo esce, e soltanto quel testo. Passa dal servizio dei collegamenti e va a un servizio di ricerca esterno. I tuoi documenti non escono mai: con documenti allegati o citati la ricerca sul web non si può usare.

I risultati compaiono tra le fonti con l'etichetta Dal web, distinti dai documenti del tuo ufficio. Ogni ricerca resta nel registro delle operazioni.

Come accede il tecnico al server?

Il tecnico SCS lavora sul server solo nel tuo ufficio: deve avere accesso fisico al server. Swiss Core Systems non ha nessun accesso a distanza, e il server non ha nessun collegamento verso Swiss Core Systems. Dalla rete dell'ufficio il tecnico non può accedere.

Per la manutenzione ordinaria il tecnico usa un elenco fisso di operazioni, per esempio riavviare un servizio, avviare un backup o applicare un aggiornamento.

Ogni operazione del tecnico resta nel registro delle operazioni con il nome della persona che l'ha fatta. Le visite sono descritte in Installazione e manutenzione.

Che cosa vede il tecnico?

Il tecnico vede lo stato del sistema: se i servizi funzionano, le code di lavoro, i backup, gli aggiornamenti e lo stato dei collegamenti. Degli avvisi di sicurezza vede di che tipo sono e quanti, non chi riguardano. Delle domande segnalate vede la data, il tipo e il numero, mai il testo né il nome di chi le ha scritte. Dei giudizi sulle risposte vede solo i totali.

Il tecnico non vede il testo dei documenti, delle domande e delle conversazioni, e non può usare l'assistente.

Che cosa resta scritto nei registri?

SecureStack tiene due tipi di registro.

I registri tecnici servono a capire un problema. Contengono identificativi, dimensioni, tempi ed esiti delle operazioni, mai il testo dei documenti o delle domande, né password o altre credenziali. Il registro degli accessi al server web non contiene l'indirizzo del computer da cui arriva la richiesta.

Il registro delle operazioni è la traccia di chi ha fatto che cosa e quando. Contiene una voce per ogni accesso e uscita, permesso negato, risposta, esportazione, bozza salvata, ricerca sul web, modifica dei collegamenti, degli utenti e dei ruoli, backup, ripristino, aggiornamento, riavvio e modifica delle impostazioni. Per una risposta il registro non contiene né la domanda né la risposta: il testo è conservato solo per le domande segnalate.

Come si scopre se il registro delle operazioni è stato alterato?

Ogni voce del registro porta l'impronta della voce precedente. L'ancora è il numero dell'ultima operazione registrata con la sua impronta. È scritta in ogni backup, e a ogni visita il tecnico la annota nel rapporto di visita. Alla visita successiva il tecnico la verifica: se un'operazione registrata fino a quel numero fosse stata cambiata o cancellata, la verifica lo segnala.

SecureStack controlla anche ogni giorno l'intero registro e tutte le ancore registrate. Se il registro risulta alterato o un'ancora non corrisponde più, ogni referente e il tecnico vedono un avviso in alto in ogni pagina. L'ancora è spiegata in Orientarsi.

Come funziona la verifica in due passaggi?

Il referente usa la verifica in due passaggi a ogni accesso: dopo la password scrive un codice di 6 cifre mostrato da un'app di autenticazione sul suo telefono. Ogni volta che qualcuno accede con un codice di recupero al posto dell'app, gli altri referenti ricevono un avviso.

Per le operazioni delicate SecureStack chiede di nuovo il codice dell'app, se non è stato scritto negli ultimi minuti. Sono operazioni delicate, per esempio, cambiare i ruoli e i gruppi, configurare i collegamenti, cambiare la conservazione dei dati o la ricerca sul web ed esportare il registro delle operazioni. Così una sessione rubata, da sola, non basta per cambiare chi può fare che cosa né che cosa esce dal server.

Gli avvisi di sicurezza compaiono in SecureStack e non arrivano per email; se nell'ufficio c'è un solo referente, nessun altro li riceve. La verifica in due passaggi è descritta in Accedere a SecureStack.

Come funzionano i backup?

SecureStack fa un backup ogni notte, prima di ogni aggiornamento e su richiesta. I backup sono cifrati e vanno su due dischi esterni che si alternano: uno resta collegato al server, l'altro lo conserva il tuo ufficio fuori sede.

Dopo ogni backup SecureStack ne controlla l'integrità. Una volta al mese ripristina da solo l'ultimo backup del database in un database di prova e ne controlla il contenuto. Il risultato si vede in Amministrazione; un backup non ancora verificato è indicato come non verificato.

I backup sono conservati secondo le impostazioni di conservazione del tuo ufficio, così i dati cancellati non restano nei backup senza limite di tempo. In Amministrazione si vede quando i dati cancellati escono dai backup.

Se il server si guasta, Swiss Core Systems lo sostituisce con un server di riserva, e le conversazioni, l'indice dei documenti e le impostazioni tornano dall'ultimo backup verificato. Il ripristino lo fa Swiss Core Systems nel tuo ufficio, in presenza di una persona del tuo ufficio.

Chi conserva la chiave di ripristino?

Il tuo ufficio. La chiave che cifra i backup viene creata all'installazione e stampata su un foglio di ripristino. Il tuo ufficio chiude il foglio in una busta sigillata e la conserva nella propria cassaforte. Swiss Core Systems non ne tiene una copia.

La busta serve se il server va perso: per ripristinare i backup su un altro server serve la chiave. Per questo al ripristino è presente una persona del tuo ufficio, che apre la busta.

Come arrivano gli aggiornamenti senza un collegamento a Internet?

Gli aggiornamenti arrivano su un'unità USB e li applica il tecnico nel tuo ufficio. Non esiste nessun canale di aggiornamento a distanza.

Prima di applicare un aggiornamento SecureStack controlla che sia firmato da Swiss Core Systems e che nessun file sia stato cambiato, poi fa un backup. Se l'aggiornamento non riesce, SecureStack torna da solo alla versione precedente, con il database com'era prima dell'aggiornamento.

Anche i modelli di intelligenza artificiale cambiano solo così, dopo le prove di valutazione di Swiss Core Systems. Sul server nessun programma scarica aggiornamenti da Internet da solo.

Come si cancellano i dati?

Una chat che elimini va nel cestino. Dal cestino la puoi recuperare per 30 giorni; dopo non si può più recuperare.

Il referente stabilisce per quanto tempo SecureStack conserva le conversazioni, i risultati delle attività ricorrenti e il testo delle domande segnalate. Il giudizio su una risposta viene cancellato insieme alla sua conversazione. Anche i backup seguono queste impostazioni.

Se un documento citato in una risposta è stato cancellato, o se non puoi più aprirlo, al suo posto compare Passaggio rimosso. Il testo della risposta resta.

Quando un utente lascia l'ufficio, i documenti che aveva allegato nella chat solo per sé non passano a nessun altro. Non vengono cancellati subito: sono cancellati dopo un periodo stabilito dal tuo ufficio, a meno che l'account non venga riattivato prima.

Se una persona chiede la cancellazione dei suoi dati, SecureStack chiede a ogni utente di cercarli tra i propri dati privati. Il referente vede se ciascuno ha risposto, non che cosa ha trovato.

Come si pone SecureStack rispetto alla nLPD e al GDPR?

SecureStack è una soluzione pensata per la nLPD e il GDPR: i dati restano sul server del tuo ufficio, i modelli lavorano su quel server, ogni utente vede solo i documenti che può aprire e le operazioni restano nel registro.

Il rispetto della nLPD e del GDPR resta responsabilità del tuo ufficio. Questa pagina descrive come funziona SecureStack; le domande di diritto vanno poste al tuo consulente legale.

Dove trovo altre risposte?

Puoi fare una domanda all'assistente di questo sito. Risponde usando solo le pagine di questo sito e indica le pagine da cui prende la risposta. L'assistente del sito è separato da SecureStack e non ha accesso al server del tuo ufficio: non scrivere nelle domande dati personali o dati del tuo ufficio. Che cosa conserva è descritto nell'informativa sulla privacy.

Dentro SecureStack, Aiuto risponde dal manuale. Per i permessi e gli utenti del tuo ufficio rivolgiti al referente. Per tutto il resto scrivi a Swiss Core Systems, info@swisscoresystems.com.