1. Approccio alla sicurezza
DIRI AI utilizza controlli basati sul rischio finalizzati a proteggere la riservatezza, l'integrità e la disponibilità. La sicurezza è condivisa: DIRI AI protegge il servizio e l'infrastruttura configurata; i clienti proteggono i propri utenti, dispositivi, credenziali, scelte sui contenuti e decisioni degli amministratori.
La presente panoramica descrive la progettazione dei controlli. Non dichiara che DIRI AI possieda certificazioni ISO 27001, SOC 2 o PCI DSS, una copertura di penetration test o un servizio ininterrotto. Le certificazioni dei fornitori non diventano certificazioni di DIRI AI.
2. Controlli di identità, accesso e tenant
I controlli comprendono:
- identità utente univoche e cookie di sessione di produzione protetti;
- autorizzazione lato server, basata sui ruoli e limitata a ciascun tenant;
- inviti, ruoli e rimozione dei membri gestiti dall'amministratore;
- accesso con privilegi minimi ai sistemi di produzione e agli account dei fornitori;
- ambienti e configurazioni di produzione e non produzione separati;
- limiti di frequenza e controlli anti-abuso; e
- registri di controllo degli eventi di amministrazione e di abbonamento rilevanti per la sicurezza.
DIRI AI verifica l'accesso tra tenant, riesamina i privilegi e controlla i meccanismi di recupero degli account. L'autenticazione a più fattori dovrebbe essere attivata sugli account dei fornitori e su quelli privilegiati e resa disponibile ai clienti ove supportata.
3. Protezione dei dati
Il traffico supportato utilizza TLS in transito. I fornitori gestiti cifrano i dati archiviati a riposo con i propri controlli standard e le informazioni su fornitori e trasferimenti sono riportate nell'Elenco dei sub-responsabili del trattamento. I segreti devono essere custoditi al di fuori del codice sorgente e dei log ordinari. L'inserimento della carta di pagamento è delegato al fornitore di pagamenti, così che DIRI AI non abbia bisogno del numero completo della carta.
La conservazione delle registrazioni vocali è disattivata per impostazione predefinita. La telemetria deve essere ripulita e i Contenuti del Cliente devono essere esclusi dai log di routine ove fattibile. Il debug in produzione deve essere limitato nel tempo, autorizzato e registrato.
4. Sicurezza delle applicazioni
DIRI AI utilizza la revisione delle modifiche, test automatizzati, controlli su dipendenze e segreti, controlli di ingresso attendibile e callback firmati dei fornitori per proteggere le modifiche all'applicazione e le integrazioni esterne.
L'accesso dei fornitori, la registrazione e la fatturazione sono protetti dai controlli applicabili di accesso, legali, di fatturazione e di sicurezza. Tali controlli non vengono indeboliti al solo scopo di rendere disponibile una funzione.
5. Monitoraggio e risposta agli incidenti
Il servizio utilizza telemetria ripulita degli errori dell'applicazione, metriche operative, registri di controllo ed eventi dei fornitori. DIRI AI riesamina la copertura del monitoraggio, le quote, la consegna degli avvisi e la responsabilità operativa dopo modifiche rilevanti. Le metriche interne non sono analisi di marketing.
Gli incidenti sospetti sono selezionati, contenuti, indagati, risolti e documentati ai sensi della Politica di sicurezza e notifica degli incidenti. Gli obblighi relativi alle violazioni dei dati personali sono valutati separatamente dai normali eventi di disponibilità.
6. Disponibilità, backup e ripristino
L'architettura utilizza fornitori gestiti di hosting, database, cache e code e archiviazione di oggetti. DIRI AI verifica la configurazione di backup, ripristino, nuovo tentativo delle code e ciclo di vita dei dati. Nei piani standard non è promesso alcun obiettivo del tempo di ripristino né del punto di ripristino finché non siano misurati formalmente e contrattualizzati.
I piani standard non prevedono uno SLA percentuale di disponibilità. Ciò non limita i diritti inderogabili del consumatore in materia di conformità e di rimedi.
7. Rischio dei fornitori
I fornitori sono valutati per finalità, accesso, condizioni contrattuali, informazioni di sicurezza, luoghi di trattamento, meccanismo di trasferimento, conservazione e cancellazione. Vengono inviati solo i dati minimi necessari. L'Elenco dei sub-responsabili del trattamento individua i fornitori utilizzati per le funzioni coperte.
8. Responsabilità del cliente
I clienti devono:
- utilizzare credenziali robuste e univoche e l'autenticazione a più fattori ove disponibile;
- mantenere aggiornati dispositivi, browser e integrazioni;
- assegnare i ruoli minimi, verificare l'appartenenza e rimuovere tempestivamente chi lascia l'organizzazione;
- evitare di caricare dati sensibili non necessari o dati di clienti reali;
- verificare le esportazioni prima della chiusura dell'account e proteggere i file scaricati;
- configurare una conservazione lecita e le informative ai dipendenti; e
- segnalare tempestivamente sospette compromissioni senza divulgare pubblicamente dettagli sfruttabili.
9. Segnalazione di vulnerabilità
Invii una segnalazione concisa a security@diriai.com con il percorso interessato, i passaggi di riproduzione, l'impatto e una prova sicura. Non acceda ai dati di un altro cliente, non interrompa il servizio, non ricorra all'ingegneria sociale, non esfiltri dati né pretenda un pagamento. Interrompa i test dopo aver confermato il problema e conceda un tempo ragionevole per l'indagine.
Non esiste un programma pubblico di bug bounty né un ampio programma di safe harbour, salvo che sia pubblicato separatamente. Le segnalazioni in buona fede saranno gestite in modo responsabile, ma la presente panoramica non autorizza condotte altrimenti illecite.
10. Contatti e versione
Segnalazioni di sicurezza: security@diriai.com. Incidenti di privacy: privacy@diriai.com. Versione: 1.2.0. Data: 30 agosto 2026.