Sicurezza e privacy
Consulta dove sono i tuoi dati
Quattro domande che ogni verifica di sicurezza pone per prime.
- Dove si trovano i contenuti?
- In regioni europee, l'applicazione a Francoforte.
- Chi tratta fuori dall'UE?
- Quattro servizi: Clerk, Stripe, Resend, Voyage AI.
- L'IA si addestra su questo?
- No. Noi no, e i fornitori nemmeno, per contratto.
- Esiste un certificato?
- ISO 27001 e SOC 2 in corso di certificazione, penetration test in corso.
Il percorso di un messaggio
Widget
Esce dal browser tramite TLS. Nessun font esterno, nessuno script esterno.
Applicazione
fra1
Verifica l'appartenenza al workspace.
Database
europe-west3
Conversazioni, conoscenza, account. La copia di riferimento.
Agente IA
Vertex eu
Formula la risposta e indica la fonte.
Ricerca semantica
USA
Solo se configurata. Riceve i contenuti della conoscenza stessi.
Notifica
USA
Contiene estratti letterali della conversazione.
Gli allegati si trovano nello storage della stessa regione europea, l'aggiornamento in tempo reale gira in europe-west1.
Dove si trovano i dati
Nove fornitori di servizi. Cinque nell'UE, quattro negli Stati Uniti.
Unione europea
5Conversazioni, conoscenza, file e la risposta IA.
Google Cloud SQL (PostgreSQL)
Database
Google Cloud Storage
Allegati e loghi
Google Firebase Realtime Database
Aggiornamento in tempo reale delle conversazioni aperte
Anthropic (Claude) über Google Vertex AI
Generazione delle risposte IA
Vercel
Gestione e distribuzione dell'applicazione
Stati Uniti
4Accesso, pagamento, invio di email, ricerca semantica.
Clerk
Accesso e account
Stripe
Pagamenti e abbonamenti
Voyage AI
Embedding per la ricerca nella conoscenza, solo se configurato
Resend
Invio di email transazionali al team
Il testo, così come lo riportano anche l'accordo sul trattamento dei dati e l'Informativa sulla privacy
I contenuti restano nell'UE. Le conversazioni, la base di conoscenza e gli account si trovano nella regione di database europe-west3 (Francoforte), gli allegati e i loghi nell'archiviazione file della stessa regione, l'aggiornamento in tempo reale delle conversazioni aperte viene eseguito in europe-west1 e l'agente IA risponde dalla multiregione Vertex eu; i modelli ausiliari per le righe dell'oggetto e l'analisi dei documenti vengono eseguiti in europe-west1. La regione dell'archiviazione file è stata verificata il 7 agosto 2026 sui bucket in uso; tutte le altre figurano nella configurazione del deployment.
Quattro servizi trattano dati al di fuori dell'UE, precisamente negli Stati Uniti: Clerk per l'accesso, gli account e le sessioni, Stripe per la gestione dei pagamenti, Resend per l'invio delle notifiche al team — queste contengono estratti letterali di conversazioni — e Voyage AI per gli embedding della ricerca semantica, che a tal fine riceve i contenuti di conoscenza. Questi trasferimenti si basano sulle clausole contrattuali tipo della Commissione europea; quale versione e quale valutazione d'impatto si applichi a ciascun fornitore è stabilito dall'accordo sul trattamento dei dati. La gestione dell'applicazione stessa è affidata a Vercel, un gruppo statunitense; la regione di distribuzione di questo deployment non è misurata ed è contrassegnata anche lì come punto aperto.
Tutti e nove con finalità e regione di trattamento
Fornitore di servizi
Per cosa
Regione di trattamento
- ClerkPaese terzo
Accesso e account
Stati Uniti — trasferimento verso un paese terzo sulla base delle clausole contrattuali tipo. Vengono trasmessi nome, indirizzo email e dati di sessione dei membri del team.
- StripePaese terzo
Pagamenti e abbonamenti
Stati Uniti — trasferimento verso un paese terzo sulla base delle clausole contrattuali tipo. Vengono trasmessi i dati di fatturazione e di pagamento del cliente.
- Google Cloud SQL (PostgreSQL)
Database
europe-west3 (Francoforte) secondo la configurazione dell'istanza in uso; verificato nell'ambiente di sviluppo.
- Google Cloud Storage
Allegati e loghi
EUROPE-WEST3; verificato il 7 agosto 2026 sui bucket in uso. A differenza delle altre regioni, questo valore non figura in alcuna configurazione nel codice sorgente — GCS_UPLOAD_BUCKET indica soltanto il nome del bucket.
- Google Firebase Realtime Database
Aggiornamento in tempo reale delle conversazioni aperte
europe-west1 secondo l'URL del database in uso; verificato nell'ambiente di sviluppo.
- Anthropic (Claude) über Google Vertex AI
Generazione delle risposte IA
L'agente di supporto viene eseguito nella multiregione Vertex eu, i modelli ausiliari in europe-west1; entrambi i valori figurano nella configurazione del deployment (CLOUD_ML_REGION e CLOUD_ML_REGION_UTILITY).
- Voyage AIPaese terzo
Embedding per la ricerca nella conoscenza, solo se configurato
Stati Uniti — trasferimento verso un paese terzo sulla base delle clausole contrattuali tipo. Vengono trasmessi i contenuti di conoscenza stessi, non soltanto un estratto.
- ResendPaese terzo
Invio di email transazionali al team
Stati Uniti — trasferimento verso un paese terzo sulla base delle clausole contrattuali tipo. Vengono trasmesse le notifiche insieme agli estratti di conversazioni in esse contenuti.
- Vercel
Gestione e distribuzione dell'applicazione
Francoforte sul Meno (fra1). Il fornitore è un gruppo statunitense, l'esecuzione di questo deployment avviene nell'UE.
Base contrattuale per fornitore: nell'accordo sul trattamento dei dati.
Cifratura, separazione, accesso
- In transito
- Tutte le connessioni avvengono tramite TLS.
- A riposo
- Cifratura standard dei servizi Google Cloud. Non gestiamo chiavi proprie.
- Separazione dei dati per cliente
- Ogni accesso viene verificato lato server rispetto all'appartenenza al team.
- Accesso da parte nostra
- Solo secondo il principio dei quattro occhi, registrato, log 30 giorni.
Che cosa fa l'IA con i tuoi contenuti
Non analizziamo i tuoi contenuti per addestrare modelli propri. I due fornitori coinvolti si sono impegnati per contratto alla stessa esclusione: il fornitore del modello tramite le condizioni di trattamento dei dati di Google Cloud, il fornitore di embedding tramite le condizioni d'uso di Voyage AI.
L'agente risponde dalla tua base di conoscenza e indica la fonte. Se non trova nulla, passa a una persona. Non esiste un account Anthropic; i modelli girano nell'ambiente Google Cloud.
Eliminazione e termini
- 30 giorni
- Periodo di tolleranza dopo l'eliminazione di un workspace, revocabile fino all'ultimo giorno.
- 7 giorni
- Conservazione dei backup. Dopo, una conversazione eliminata non c'è più nemmeno lì.
- 1 anno
- Conservazione dei log operativi, cifrati nel nostro cloud interno.
- Per legge
- Dati di fatturazione ai sensi del § 147 AO e del § 257 HGB, limitati anziché eliminati.
Singole conversazioni e singoli articoli della guida si possono eliminare in qualsiasi momento nel prodotto.
Segnalare una vulnerabilità di sicurezza
Scrivici che cosa hai trovato e come si può riprodurre, prima di pubblicarlo.
info@comlayer.app- Conferma di ricezione entro 2 giorni lavorativi, poi una valutazione.
- Nessuna azione legale contro una segnalazione in buona fede che non preleva dati altrui.
- Su richiesta ti nominiamo quando la vulnerabilità è chiusa.
Contratti e informazioni
Per un accordo sul trattamento dei dati, un questionario di sicurezza compilato o un'informazione ai sensi dell'art. 15 GDPR è sufficiente una email a info@comlayer.app. Non è nominato un responsabile della protezione dei dati, perché non raggiungiamo le soglie del § 38 BDSG.
Questa pagina riassume le nostre misure e non è una garanzia giuridicamente definitiva. Gli impegni concreti li assumiamo per contratto. Leggi i Termini.