Le tue chiavi e i tuoi dati, al sicuro
GuardrailX sta fra i tuoi agenti e i provider: vede le chiavi e le chiamate. Qui trovi come lo gestiamo, cosa fare se il servizio non risponde e a chi scrivere.
- Il contenuto delle chiamate non si salva, salvo le funzioni che attivi tu
- Server e dati in Italia
- Segreti cifrati con AES-256-GCM
Infrastruttura
Le misure tecniche e organizzative sono descritte nell’Allegato A del DPA. Eccole in breve.
Server in Italia
Applicazione e database su server di Server Plan in Italia.
Cifratura in transito e a riposo
Solo HTTPS, con HSTS e una Content Security Policy rigida. Chiavi dei provider e testi conservati per le funzioni che attivi sono cifrati con AES-256-GCM, con una chiave che sta fuori dal database.
Le chiavi gr_
Le chiavi che crei in GuardrailX si conservano solo come impronta SHA-256: nemmeno noi possiamo rileggerle.
Backup ogni giorno
Backup giornaliero del database, verificato, tenuto 14 giorni sul server e 60 giorni in una copia esterna cifrata.
Se GuardrailX non risponde
GuardrailX sta sul percorso di ogni chiamata. Se dovesse fermarsi, per un aggiornamento, un guasto o la rete, i tuoi agenti possono chiamare direttamente il provider invece di fermarsi anche loro. La scheda Integrazione della dashboard ti dà il codice pronto.
- Si passa al provider diretto solo se GuardrailX non risponde: connessione rifiutata, DNS, rete, oppure 502, 503 e 504 senza spiegazioni.
- I blocchi voluti restano errori: un limite di spesa o un loop (429), una chiave sbagliata (401), una richiesta non valida (400).
- Durante il guasto limiti, anti-loop e registro dei costi non valgono: per questo l’app tiene anche la chiave vera del provider, come riserva.
// Ripiego: se GuardrailX non risponde, chiama il provider direttamente. async function conRiserva(richiesta) { try { return await viaGuardrailX.chat.completions.create(richiesta); } catch (e) { // i blocchi voluti (429, 401, 400) restano errori if (!nonRaggiungibile(e)) throw e; return await diretto.chat.completions.create(richiesta); } }
I documenti
Il trattamento dei dati per tuo conto è regolato dal DPA, che fa parte dei Termini. Tutti i documenti ci sono anche in inglese.
Accordo sul trattamento dei dati
Art. 28 GDPR: cosa trattiamo per tuo conto, misure di sicurezza, sub-responsabili, notifica delle violazioni entro 48 ore.
Informativa privacy
I dati del tuo account: quali trattiamo, perché, per quanto tempo e quali sono i tuoi diritti.
Termini di servizio
Il contratto: piani, responsabilità, sospensione e chiusura dell’account.
| Sub-responsabile | Attività |
|---|---|
| Server Plan S.r.l. · Italia | Server applicativo e database |
| Microsoft Ireland Operations Ltd. (Microsoft 365) · UE | Invio delle email di avviso |
| Telegram · fuori dallo SEE, clausole contrattuali tipo | Avvisi tramite il bot, solo se lo colleghi |
| Cloudflare, Inc. · USA, Data Privacy Framework | Rete e protezione di sito e dashboard; le chiamate degli agenti non ci passano |
Segnalare un problema di sicurezza
Se trovi una vulnerabilità in GuardrailX, scrivici. Leggiamo ogni segnalazione e ti rispondiamo.
- Descrivi il problema e come riprodurlo, con l’indirizzo o la chiamata coinvolta.
- Non accedere ai dati di altri clienti e non degradare il servizio per provarlo.
- Dacci il tempo di correggerlo prima di renderlo pubblico.
Domande sulla sicurezza
Vedete i miei prompt?
Passano dal Servizio per arrivare al provider, ma non si salvano. Le sole eccezioni sono le funzioni che attivi tu: i Confronti fra modelli e l’Autopilot conservano un campione, cifrato, per 30 giorni.
Dove sono i dati?
Su server in Italia. I fornitori che li trattano fuori dallo Spazio economico europeo, come Microsoft per le email, lo fanno con le garanzie del GDPR: decisione di adeguatezza o clausole contrattuali tipo.
Che fine fanno le chiavi dei miei provider?
Le inserisci tu nel progetto e restano tue: si salvano cifrate con AES-256-GCM e si usano solo per inoltrare le chiamate dei tuoi agenti.
Cosa succede in caso di violazione dei dati?
Il DPA ci impegna a notificartela senza ingiustificato ritardo e comunque entro 48 ore da quando ne veniamo a conoscenza, con le informazioni disponibili.
Posso installare GuardrailX sui miei server?
Sì, con il piano Enterprise: prompt e risposte non escono dalla tua rete. Prezzo e condizioni sono in un contratto a parte.
Metti un tetto alla spesa prima del prossimo loop.
Inizia con il piano Free: 5000 richieste al mese, senza carta e senza scadenza.