I tuoi dati, sovrani by design.
KS-Agents gestisce dati HR che sono, per definizione, sensibili: punteggi di personalità, exit interview, feedback dei colleghi, skill gap. E li trattiamo come tali. Questa pagina documenta ogni scelta architetturale, ogni quadro normativo che rispettiamo e i limiti che ancora non soddisfiamo, così puoi valutarne l'idoneità prima di firmare.
Sei impegni su cui non transigiamo.
Non sono slogan di marketing. Ogni principio qui sotto corrisponde a una specifica scelta architetturale o contrattuale. Dove un principio non lo soddisfiamo ancora, lo trovi alla fine, nella sezione sui limiti dichiarati.
La sovranità dei dati innanzitutto
I contenuti proprietari (trascrizioni di interviste, risposte ai sondaggi, knowledge asset) sono logicamente isolati per app e tenant. KS-Agents non aggrega i dati dei clienti in corpora condivisi.
Nessun addestramento sui dati privati
KS-Agents non addestra i propri modelli pubblici sullo spazio di lavoro privato del cliente. I fornitori LLM (OpenAI, Google Gemini, OpenRouter) operano secondo le policy no-training dei loro piani enterprise.
Crittografia a riposo e in transito
AES-256 a riposo per tutti gli archivi sensibili. TLS 1.2+ in transito. Credenziali dell'object storage ruotate; segreti mai inseriti nel codice sorgente.
Diritto di eliminare & esportare
GDPR articoli 15 (accesso), 17 (cancellazione), 20 (portabilità) supportati tramite self-service in-app, più un percorso di escalation documentato attraverso il nostro Data Protection Officer.
Sub-responsabili controllabili
Un elenco pubblico, con tracciamento della versione, di tutti i sub-responsabili del trattamento che utilizziamo, dove archiviano i dati e cosa fanno. Notifiche quando l'elenco cambia.
Elaborazione solo UE su richiesta
Per i clienti europei che richiedono la residenza completa nell'UE, instradiamo i carichi di lavoro AI attraverso le regioni dell'UE. Configurato per app.
Dove ci troviamo. Dove stiamo andando.
Dividiamo le certificazioni in tre stati: live (oggi in produzione, con audit interno), available (documentazione su richiesta: DPA, SCC, ecc.) e roadmap (con impegno preso e data prevista).
| Framework | Stato | Note |
|---|---|---|
| GDPR (EU 2016/679) | Live | Mappatura completa delle basi giuridiche per attività di trattamento. Nominato DPO. Endpoint dei diritti del soggetto nel prodotto. Conservazione delle registrazioni del trattamento. |
| EU AI Act | Live | I nostri casi d'uso delle risorse umane sono classificati ad alto rischio nell'allegato III. Sistema di gestione del rischio, controlli di supervisione umana, governance dei dati, documentazione tecnica di cui al Titolo III, Capitolo 2. |
| AES-256 at rest | Live | Crittografia del database a riposo. L'object storage (Cloudflare R2) crittografa i dati a riposo con chiavi gestite dal provider. I segreti dell'applicazione sono crittografati in transito e conservati in un secrets manager. |
| DPA (Accordo sul trattamento dei dati) | Disponibile | DPA standard disponibile pre-contratto. SCC (Clausole Contrattuali Standard) incluse per eventuali trasferimenti extra-UE da te esplicitamente approvati. |
| Residenza dei dati nell'UE | Disponibile | Hetzner Falkenstein (Germania) per le infrastrutture primarie. Routing LLM solo UE su richiesta. Architettura completa → |
| ISO 27001 | Roadmap | Sistema di Gestione della Sicurezza delle Informazioni (ISMS) in fase di formalizzazione. Obiettivo certificazione: 2027. Gap Assessment in corso. Fino ad allora, i controlli seguono internamente il quadro ISO 27001 senza audit di terze parti. |
| SOC 2 Type II | Roadmap | Definito dopo la ISO 27001: nel frattempo i clienti statunitensi possono richiedere un questionario sulla sicurezza (Cyber Essentials Plus / HECVAT). |
Cinque strati, un confine.
Una mappa semplificata di dove risiedono i dati e di cosa li protegge. Diagrammi completi dell'architettura condivisi sotto NDA su richiesta.
openai_eu, azure_sweden, google_vertex (europe-west4). Nessun dato dei clienti viene conservato dai provider secondo i termini enterprise.Chi altro tocca i dati — e dove.
Di seguito un sottoinsieme dei nostri sub-responsabili attivi; l'elenco completo e versionato è mantenuto nella pagina dedicata. Avvisiamo i clienti in anticipo di ogni nuova aggiunta, con diritto di opposizione.
Hetzner
Cloudflare R2
OpenAI
Google Vertex AI
Azure OpenAI
Stripe
L’onesto elenco di limiti e scadenze.
La pagina di fiducia di ogni fornitore elenca ciò che hanno. Elenchiamo anche ciò che non abbiamo, con un obiettivo su cui stiamo lavorando. Questo è comunque il modo in cui i team di procurement dovrebbero valutare i fornitori.
Leggi il testo normativo. Salta il legalese.
Ogni documento riporta in apertura una sintesi in linguaggio chiaro, seguita dalla versione legale completa. Da segnalare direttamente ai team di sicurezza o procurement.
Gira questa pagina al tuo team di sicurezza. Poi prenota una call.
Se il CISO o il team di procurement hanno domande a cui la documentazione pubblica non risponde (risultati dei pen test, controlli ISMS, addenda DPA personalizzati), le affrontiamo in una chiamata di 30 minuti sotto NDA.
