Sicurezza e fiducia

Correlati: Informativa sulla privacy · Termini di servizio

1. Panoramica#

Clevera gestisce registrazioni dello schermo, filmati di prodotto e talvolta accessi alle tue applicazioni, quindi consideriamo la sicurezza parte integrante del prodotto. Progettiamo per:

• accesso con privilegi minimi
• flussi di dati crittografati
• accesso a breve termine ai file multimediali
• isolamento netto di tutto ciò che interagisce con il web aperto

2. In sintesi#

3. Infrastruttura#

• Applicazione e database. I nostri server sono gestiti con Laravel Forge su Hetzner UE (Germania). Il database Postgres e la coda Redis accettano connessioni solo dal server applicativo, non da Internet.
• File. Registrazioni, caricamenti e file multimediali generati sono archiviati su Amazon S3 negli Stati Uniti, con risorse pubbliche del brand nell'UE (Svezia). I file multimediali vengono distribuiti tramite Amazon CloudFront.
• Rendering. I video vengono renderizzati nel tuo browser per impostazione predefinita, quindi la codifica finale avviene sul tuo dispositivo. I rendering lato server vengono eseguiti su AWS Lambda negli Stati Uniti.
• Visite ai siti web. I componenti che visitano i siti web per te vengono eseguiti in due luoghi:
  • Il nostro scanner del sito. Viene eseguito come utente di sistema separato e limitato, senza accesso alle nostre chiavi API. Un firewall in uscita gli impedisce di raggiungere reti interne ed endpoint di metadati cloud, proteggendo contro la falsificazione delle richieste lato server (SSRF).
  • Browser Use. La navigazione basata su IA viene eseguita in browser cloud isolati presso Browser Use, al di fuori della nostra infrastruttura.
• Posizione dei dati. I dati vengono elaborati principalmente negli Stati Uniti e nell'UE. Attualmente non offriamo la residenza dei dati selezionabile dal cliente.

4. Protezione dei dati#

• In transito: tutto il traffico verso Clevera utilizza TLS.
• A riposo:
  • Crittografiamo quanto segue a livello applicativo:
    • token OAuth di integrazione
    • segreti SSO
    • le tue chiavi API di fornitori terzi
    • credenziali temporanee per siti web
    • link di download dei fornitori
  • Le password sono archiviate solo come hash unidirezionali.
  • I file archiviati si basano sulla crittografia a riposo del provider cloud (AWS SSE-S3).
• Accesso ai media: i file multimediali privati vengono serviti solo tramite link firmati che scadono, solitamente entro 24 ore. I caricamenti vanno direttamente all'archiviazione tramite URL pre-firmati monouso.
• Pagamenti: gestiti interamente da Lemon Squeezy. I dati della carta non raggiungono mai i nostri sistemi.
• Minimizzazione dei dati: inviamo a ogni fornitore di IA solo ciò che è necessario per il lavoro. Ad esempio, le analisi dei visualizzatori sui video condivisi conservano solo la classe del dispositivo e il paese. La prevenzione degli abusi utilizza hash con chiave anziché indirizzi IP grezzi.

5. Fornitori di IA#

Clevera utilizza modelli di IA di Google (Gemini), Anthropic (Claude) e OpenAI. Utilizza inoltre HeyGen per gli avatar IA.

• Utilizziamo questi fornitori in base a termini API commerciali che non consentono l'addestramento sui tuoi contenuti.
• Alcuni fornitori conservano i dati API per un periodo limitato, solitamente fino a 30 giorni, per il monitoraggio degli abusi.
• I file video che carichiamo per l'analisi vengono eliminati dal fornitore entro poche ore dal completamento del lavoro.
• Non utilizziamo i tuoi contenuti per addestrare modelli di IA.

6. Ricerca IA su siti web e credenziali#

Le funzioni "Registra con IA" e la ricerca sui siti web eseguono un agente IA in un browser cloud presso Browser Use.

• Le credenziali restano fuori dal modello. Le credenziali fornite per un'esecuzione vengono passate al browser come segreti. Non vengono mai inserite nel prompt del modello IA e vengono oscurate dai log.
• Archiviazione a breve termine. Da parte nostra, le credenziali vengono conservate crittografate solo durante l'esecuzione del lavoro, poi eliminate.
• Ricerca limitata. Le esecuzioni di ricerca hanno istruzioni di non accedere, inviare moduli o effettuare acquisti.
• Gli accessi salvati sono facoltativi. Sono disattivati per impostazione predefinita e abilitati per singolo sito. Puoi rimuoverli in qualsiasi momento e scadono dopo 30 giorni di inutilizzo. Vengono eliminati con il tuo account.
• Consenso. Prima che l'agente utilizzi un account, la persona che configura l'esecuzione deve confermare di essere autorizzata a fornire a Clevera l'accesso ad esso.
• Usa un account di test. Consigliamo un account demo o di test dedicato per le riprese.

7. Strumenti gratuiti#

I nostri strumenti gratuiti su clevera.ai/tools funzionano senza account, quindi li proteggiamo, insieme alle persone che li utilizzano, nei seguenti modi:

• Nessuna archiviazione di contenuti da parte nostra. Input, caricamenti e risultati vengono elaborati in memoria e restituiti nella risposta. Non li scriviamo su disco, database o log. I log di errore potrebbero contenere il messaggio di errore di un fornitore di IA, ma non il tuo input.
• Nessun risultato pubblico. I risultati non hanno un link condivisibile. Esistono solo nella scheda del tuo browser finché non li copi o scarichi.
• Gli strumenti solo-browser non caricano mai file. I nostri strumenti multimediali e calcolatrici elaborano i file sul tuo dispositivo. Inviano solo un registro di utilizzo, mai il contenuto del file.
• Controlli dei file tramite contenuto. Verifichiamo il tipo di caricamento dal suo contenuto, non solo dal nome o dal tipo dichiarato.
• Limiti di dimensione. Testo fino a 12.000 caratteri; immagini fino a 4 MB ciascuna, da 1 a 10 per esecuzione; video fino a 20 MB, o i primi 10 minuti di un video YouTube pubblico. Per i sottotitoli, il tuo browser estrae i primi 3 minuti di audio e invia solo quelli.
• Rimozione dei metadati. Il tuo browser rimuove i metadati delle foto, come i dati EXIF e la posizione GPS, prima che un'immagine venga caricata.
• Nessun indirizzo IP grezzo. I limiti di utilizzo e i blocchi utilizzano un hash con chiave (HMAC) del tuo indirizzo IP o della tua rete.
• Controlli bot. Gli strumenti IA utilizzano Cloudflare Turnstile.
• Limiti di utilizzo e blocchi automatici. Si applicano limiti orari e giornalieri per indirizzo IP e per rete. Richieste rifiutate ripetutamente portano a un blocco automatico di 24 ore.
• Tetti di spesa. Un tetto di spesa limita quanto possono costarci gli strumenti gratuiti, in modo che non possano essere utilizzati per accumulare un utilizzo illimitato dell'IA.
• Protezione contro il prompt-injection. Il tuo input viene passato al modello IA come dati, tenuto separato dalle nostre istruzioni. Le regole del modello rifiutano richieste fuori tema o dannose.
• Fornitori di IA. Gli strumenti IA gratuiti utilizzano l'API Gemini di Google su un piano a pagamento e OpenAI per gli strumenti di testo quando selezionato. Nessuno dei due utilizza l'input per addestrare i propri modelli. Come descritto nella sezione 5, potrebbero conservare i dati API per un periodo limitato per il monitoraggio degli abusi.

8. Sicurezza dell'account#

• Autenticazione a due fattori: codici tramite app di autenticazione (TOTP), con codici di recupero.
• Verifica nuovo dispositivo: quando accedi da un nuovo dispositivo o posizione, inviamo un codice monouso via email. I dispositivi attendibili vengono periodicamente riverificati.
• Single sign-on:
  • SAML 2.0 e OpenID Connect sui piani personalizzati
  • supporta Okta, Microsoft Entra ID, Google Workspace, OneLogin e altri provider di identità standard
  • i segreti SSO sono crittografati
• L'accesso Google è disponibile per tutti gli utenti.
• Il rate limiting protegge gli endpoint di accesso, autenticazione a due fattori, verifica e API contro attacchi brute-force e abusi.
• Ruoli del team: Proprietario, Amministratore, Editor e Content Creator. Ogni ruolo controlla ciò che i membri possono vedere e modificare.
• I token API per il registratore desktop sono limitati alla registrazione e possono essere revocati dal tuo profilo.

9. Sicurezza dell'applicazione#

• Revisione del codice e test automatizzati su ogni modifica.
• Protezioni del framework contro i rischi web comuni, inclusi token CSRF, output escaping, query di database parametrizzate e cookie firmati.
• Sanitizzazione dei file SVG caricati.
• Restrizioni Content-Security-Policy sui siti che possono essere incorporati nell'app.
• Verifica della firma su ogni webhook in entrata (Lemon Squeezy, HeyGen, Amazon SES).
• Segreti conservati al di fuori del controllo del codice sorgente, con credenziali di servizio a privilegi minimi.

10. Accesso interno#

• L'accesso alla produzione è limitato al personale autorizzato che ne ha necessità.
• Gli strumenti amministrativi nell'app richiedono un ruolo di amministratore separato.
• Il personale esamina i contenuti dei clienti solo per fornire l'assistenza richiesta, per indagare su abusi o incidenti, o laddove richiesto dalla legge.

11. Logging e monitoraggio#

• I log dell'applicazione e di sicurezza vengono conservati per circa 14-30 giorni per la risoluzione dei problemi e la revisione della sicurezza.
• Inviamo avvisi in caso di tassi di errore elevati, processi falliti e utilizzo insolito. Una protezione giornaliera sui costi limita l'utilizzo incontrollato sugli account gratuiti.
• Il monitoraggio dell'utilizzo e dei crediti è integrato in Clevera; non viene utilizzato alcun servizio di misurazione di terze parti.

12. Gestione degli incidenti#

Seguiamo un processo definito per classificare, contenere e risolvere gli incidenti di sicurezza.

In caso di violazione dei dati personali che ti riguardi, informeremo i clienti interessati senza indebito ritardo, come richiesto dalla legge. Ai sensi del GDPR, notifichiamo le autorità di controllo entro 72 ore, ove richiesto.

13. Backup e continuità#

• Il database Postgres viene sottoposto a backup giornaliero tramite Laravel Forge. Ogni backup è un dump compresso archiviato nel cloud, crittografato a riposo dal fornitore di storage e conservato per 7 giorni. I backup più vecchi vengono eliminati automaticamente.
• I nostri servizi possono essere ridistribuiti dal controllo del codice sorgente.
• I processi a lunga esecuzione, come il rendering, la ricerca e la generazione, vengono messi in coda e riprovati in caso di errore.

14. Conservazione ed eliminazione dei dati#

• I tuoi contenuti: conservati finché il tuo account è attivo.
• Cestino: gli elementi nel cestino vengono eliminati definitivamente dopo 7 giorni.
• Registrazioni inutilizzate: le registrazioni non utilizzate in alcun video vengono eliminate dopo 15 giorni.
• L'eliminazione dell'account inizia immediatamente. Essa:
  • annulla gli abbonamenti
  • revoca i token e gli accessi salvati
  • elimina definitivamente le registrazioni, i video e i file dei team di proprietà poco dopo
• I backup scadono secondo il loro piano di conservazione.

Tutti i dettagli sono nella nostra Privacy Policy.

15. Conformità#

• GDPR, UK GDPR e KVKK. Siamo i titolari del trattamento per i dati dell'account, della fatturazione e del sito web. Per i tuoi contenuti, agiamo come responsabili del trattamento ai sensi del nostro Addendum sul trattamento dei dati (DPA). I trasferimenti internazionali utilizzano le Clausole Contrattuali Standard, l'Addendum per il Regno Unito o i contratti standard KVKK come richiesto.
• CPRA. Non vendiamo né condividiamo informazioni personali e non partecipiamo a pubblicità comportamentale intercontestuale.
• SOC 2 / ISO 27001. Il nostro audit SOC 2 è in corso, previsto per il 2027. Prevediamo di ottenere la certificazione ISO 27001 nel 2027.
• DPA: disponibile su richiesta a team@clevera.ai.

16. Sub-responsabili del trattamento#

L'elenco completo, con categorie di dati e posizioni, è nella nostra Privacy Policy. Notifichiamo ai clienti le modifiche sostanziali come descritto nel nostro DPA.

17. Divulgazione delle vulnerabilità#

Se pensi di aver trovato un problema di sicurezza, invia un'email a team@clevera.ai con i dettagli e i passaggi per riprodurlo.

Ti preghiamo di:

• testare solo sul tuo account
• evitare di accedere o modificare i dati di altre persone
• evitare di degradare il servizio
• evitare scansioni automatizzate ad alto volume
• darci un tempo ragionevole per risolvere il problema prima di divulgarlo pubblicamente

Prenderemo atto della tua segnalazione, ti terremo aggiornato e ti daremo credito se lo desideri. Non intraprenderemo azioni legali contro la ricerca in buona fede che segue queste linee guida.

18. Contatti#

Sicurezza e fiducia: team@clevera.ai
Clevera Teknoloji AŞ, Yenişehir Mah. Kardeşler Cad. 7/2, Sivas, Türkiye