Sicurezza

Segnalare una vulnerabilità

Se hai trovato una falla nei nostri sistemi, scrivi a admin@swavo.ai mettendo «sicurezza» nell'oggetto. Ti rispondiamo entro 3 giorni lavorativi e ti diciamo cosa intendiamo fare.

Non intraprendiamo azioni legali contro chi segnala in buona fede, a condizione che non abbia acceduto, modificato o divulgato dati di altre persone, non abbia degradato il servizio e ci dia un tempo ragionevole per rimediare prima di rendere pubblica la cosa. Se ci aiuti, ti ringraziamo pubblicamente — se preferisci di no, resti anonimo.

Dove stanno i dati

• Database, autenticazione e file: infrastruttura europea (Francoforte).
• Server applicativi: Germania.
• Per alcune funzioni — trascrizione, voce, modelli linguistici, pagamenti — usiamo fornitori che trattano dati anche fuori dall'UE, con le garanzie previste dal GDPR. Categorie, ubicazione e base giuridica di ciascuno sono pubbliche alla pagina Subprocessors; l'elenco nominativo è fornito su richiesta scritta.

Come sono protetti

• Connessioni cifrate (HTTPS) fra il tuo browser, il telefono e i nostri sistemi.
• Backup del database cifrati, sovrascritti entro la finestra tecnica successiva a una cancellazione.
• Separazione fra clienti: il sistema è costruito perché ogni azienda veda soltanto i propri dati, con il controllo applicato dal database stesso e non solo dall'applicazione.
• Accessi: ogni accesso a dati sensibili è registrato. Le clausole contrattuali si approvano con un codice monouso inviato all'email dell'account.
• Cancellazione: quando chiedi di cancellare, si apre un periodo di ripensamento di 25 giorni; poi la cancellazione è definitiva e viene ri-applicata anche se un backup viene ripristinato.

Se qualcosa va storto

In caso di violazione di dati personali informiamo l'azienda cliente (il Titolare del trattamento) entro 24 ore da quando ne veniamo a conoscenza, con quello che sappiamo e quello che stiamo facendo. Gli obblighi reciproci sono scritti nel DPA.

Cosa non abbiamo, e lo diciamo

Al 12 settembre 2026 Swavo non è certificata ISO 27001 né SOC 2, e non pubblichiamo relazioni di audit di terzi perché non ne abbiamo. Preferiamo scriverlo qui piuttosto che lasciarlo scoprire durante una verifica: se la tua azienda richiede una certificazione come condizione per firmare, parliamone prima — non dopo.

Non pubblichiamo nemmeno un impegno numerico sulla continuità del servizio, per lo stesso motivo: un numero senza un rimedio è una promessa da vetrina. Sui piani self-service non offriamo livelli di servizio contrattuali, e lo dice anche l'art. 7 dei Termini.

Domande

Per tutto il resto: admin@swavo.ai. Se ci mandi un questionario di sicurezza, lo compiliamo — e dove la risposta è «non ancora», scriviamo «non ancora».