- In vigore dal
- 28 settembre 2026
Questa versione italiana è fornita per comodità. La versione spagnola è quella che si applica.
Come proteggiamo i dati delle aziende e delle persone che usano XEN. Questa sintesi è la versione pubblica. La documentazione completa (Dichiarazione di applicabilità, programma di test di sicurezza, piano di certificazione e diagrammi dei flussi di dati) viene consegnata a clienti e valutatori sotto accordo di riservatezza, tramite security@xeneural.com.
Registro delle modifiche
| Data | Modifica |
|---|
| Novembre 2025 | Prima versione |
| 28 settembre 2026 | Accesso aziendale, registro degli accessi visibile all'amministratore, obiettivi di ripristino, programma di test di sicurezza, calendario di certificazione, amministrazione della piattaforma e posta autenticata |
L'essenziale
- I Suoi dati sono Suoi. Li usiamo solo per fornirLe il Servizio. Non addestriamo modelli di intelligenza artificiale con essi e lo vietiamo per contratto ai nostri fornitori.
- Cifratura in transito e a riposo. TLS 1.2 o superiore in transito e AES-256 a riposo, in database, file e copie di backup.
- Ogni azienda, isolata. I dati di ogni cliente sono segregati logicamente e ogni richiesta viene validata sul server rispetto all'organizzazione dell'utente; gli identificatori inviati dal browser non vengono usati per autorizzare.
- Accesso aziendale e permessi granulari. Accesso aziendale SAML o OIDC, esclusivo per azienda se il cliente lo sceglie, con autenticazione a più fattori obbligatoria; ruoli per modulo, azione e sede; minimo privilegio.
- Notifica degli incidenti entro 24 ore. Procedura documentata, con notifica ai clienti interessati entro un massimo di 24 ore dal momento in cui abbiamo ragionevole conoscenza dell'incidente e un rapporto completo entro 10 giorni lavorativi.
- Un sistema di gestione operativo. Sistema di gestione della sicurezza delle informazioni conforme alla norma ISO/IEC 27001:2022, con politiche, registri, audit interno e riesame della direzione. Il processo di certificazione è stato avviato nell'ottobre 2026.
Sicurezza del prodotto
| Controllo | Cosa facciamo |
|---|
| Autenticazione | Identità verificata sul server in ogni richiesta; accesso aziendale SAML o OIDC (Google Workspace e Microsoft Entra ID), esclusivo per azienda se il cliente lo sceglie, con autenticazione a più fattori obbligatoria; password custodite cifrate dal nostro fornitore di identità e mai leggibili da Xeneural; secondo fattore TOTP con codici di recupero |
| Autorizzazione | Ruoli per modulo, azione e sede; gli amministratori del cliente gestiscono i propri utenti e permessi; gli accessi di assistenza richiedono l'autorizzazione del cliente e vengono registrati |
| Segregazione tra clienti | Identificatore di organizzazione validato sul server in ogni operazione; le query sono limitate per progettazione all'organizzazione attiva |
| Integrità dei dati | Validazione degli schemi, impronte SHA-256 di ogni documento, firma elettronica con catena verificabile e marca temporale, sanificazione degli input |
| Perimetro dell'applicazione | Intestazioni di sicurezza rigorose (CSP, HSTS, isolamento dell'origine), limiti di frequenza globali e per account, protezione contro l'automazione abusiva sui moduli pubblici |
| Assistente XENI | Contesto limitato all'azienda attiva e ai permessi dell'utente; nessuna azione di scrittura senza conferma umana; contenuti generati identificati come tali; l'amministratore può disattivare XENI per tutta l'azienda; fornitore di modelli senza addestramento sui dati dei clienti |
Sicurezza dei dati
| Controllo | Cosa facciamo |
|---|
| Cifratura in transito | TLS 1.2 o superiore su tutte le connessioni: browser, applicazioni mobili e integrazioni |
| Cifratura a riposo | AES-256 in database, archiviazione di file e copie di backup; segreti di integrazione cifrati con chiave propria e rotazione programmata |
| Ubicazione | Hosting in data center di fornitori certificati negli Stati Uniti; distribuzione e protezione del traffico su una rete edge globale; trasferimenti comunicati all'autorità peruviana e coperti da clausole contrattuali tipo per i clienti europei |
| Copie e ripristino | Database con copia continua e ripristino a un punto nel tempo (RPO 5 minuti, RTO 4 ore); documenti con replica giornaliera; test di ripristino ogni trimestre con verbale ed esercitazione annuale di ripristino in caso di disastro |
| Conservazione e cancellazione | Periodi pubblicati nell'Informativa sulla privacy; esportazione in formati aperti; cancellazione certificata dopo la cessazione; conservazione legale di documenti e registri contabili in un archivio con verifica di integrità |
| Registro degli accessi e delle attività | Chi ha fatto cosa e quando, inclusi gli accessi alla piattaforma e gli accessi di assistenza, visibile all'amministratore del cliente; conservazione di 24 mesi; revisione trimestrale |
Sicurezza operativa
| Controllo | Cosa facciamo |
|---|
| Sviluppo sicuro | Test automatizzati, avvisi sulle dipendenze vulnerabili, analisi delle dipendenze con quarantena e verifica delle firme, programma di test di sicurezza interni classificati per livello di impatto, gestione delle vulnerabilità con scadenze per gravità, distribuzione tramite flusso di lavoro dopo i test |
| Fornitori | Solo fornitori con ISO/IEC 27001 o SOC 2, accordo sul trattamento dei dati o condizioni equivalenti e notifica degli incidenti; elenco pubblico dei subresponsabili con 30 giorni di preavviso per le modifiche |
| Personale e dispositivi | Accordi di riservatezza, formazione registrata, dispositivi con accesso alle informazioni aziendali con cifratura del disco, blocco automatico e aggiornamenti al passo; accesso alla produzione solo per il personale autorizzato |
| Amministrazione della piattaforma | Console interna separata dall'applicazione: ogni azione richiede la sessione verificata di un account attivo del personale, ogni persona accede solo alle sezioni assegnate e la disattivazione di un account ha effetto immediato; ogni accesso del personale ai dati di un'azienda resta nel registro delle attività di quell'azienda, visibile al suo amministratore |
| Posta elettronica | Le e-mail di xeneural.com sono firmate con DKIM e autorizzate con SPF; DMARC è in politica di quarantena con report giornalieri e passa al rifiuto il 26 ottobre 2026 |
| Continuità | Obiettivi di ripristino pubblicati nell'Accordo sul livello di servizio; piano di continuità con test di ripristino trimestrale ed esercitazione annuale |
| Verifica | Programma continuo di test di sicurezza interni; test di intrusione esterno con l'audit di fase 2 della certificazione (gennaio 2027) e annuale in seguito; audit interno e riesame della direzione annuali; sintesi esecutive condivise con i clienti sotto riservatezza |
Gestione degli incidenti
- Rilevamento tramite monitoraggio, segnalazione di un cliente o di un fornitore, o da parte di un ricercatore di sicurezza.
- Contenimento immediato e registrazione con responsabile e ora.
- Notifica ai clienti interessati entro le 24 ore successive al momento in cui abbiamo ragionevole conoscenza dell'incidente; le informazioni vengono completate per fasi.
- Notifica all'Autorità nazionale di protezione dei dati personali del Perù entro il termine di legge ove applicabile, e assistenza al cliente per le sue notifiche.
- Rapporto successivo con causa principale, impatto, misure e scadenze, entro un massimo di 10 giorni lavorativi.
Certificazioni e stato
| Quadro | Stato |
|---|
| ISO/IEC 27001:2022 | Sistema di gestione documentato e operativo. Processo di certificazione avviato nell'ottobre 2026: audit di fase 1 a dicembre 2026 e di fase 2 a gennaio 2027 |
| Fornitori di infrastruttura | Dispongono di ISO/IEC 27001 o SOC 2; l'elenco, con la finalità e l'ubicazione di ciascuno, è nella pagina dei subresponsabili |
Tabella di marcia
| Miglioramento | Data |
|---|
| Certificato ISO/IEC 27001 emesso da un organismo accreditato | Dopo l'audit di fase 2 (gennaio 2027) |
| Test di intrusione esterno da parte di un terzo indipendente | Con l'audit di fase 2 (gennaio 2027) |
| Cifratura per campo con chiave gestita dal cliente | Evoluzione prevista sul database attuale |
Segnalazione di vulnerabilità
Se trova una vulnerabilità, ci scriva a security@xeneural.com. La nostra Politica di divulgazione responsabile spiega l'ambito, i tempi di risposta e l'impegno a non intraprendere azioni legali contro chi fa ricerca in buona fede. I dati di contatto sono disponibili anche su xeneural.com/.well-known/security.txt.
In vigore dal 28 settembre 2026. Le versioni precedenti sono conservate e fornite su richiesta a legal@xeneural.com.
