Come Pseudora protegge i dati

Dove sono i dati

Applicazione, motore di rilevamento e database girano su un server dedicato fornito da Contabo GmbH, in un data center nell'Unione Europea.

• Il traffico passa dalla rete di Cloudflare, che gestisce DNS, HTTPS e protezione anti-bot. Cloudflare termina la connessione cifrata sul nodo più vicino a te: per questo è tra i sub-responsabili.
• Usando Pseudora Cloud invii il testo originale al servizio perché venga elaborato. La protezione riguarda ciò che arriva poi all'AI o alla destinazione che scegli: l'elaborazione non avviene sul tuo dispositivo.
• Ogni richiesta è verificata rispetto a tenant, identità e permessi. I test automatici provano anche tentativi di accesso tra tenant diversi.

Come trattiamo i documenti

I file caricati in Documenti o nella scheda File del playground non vengono mai salvati: esistono solo nella memoria del server mentre li elaboriamo.

• Il documento viene letto in memoria. Anche i buffer temporanei del web server (corpo delle richieste, upload PHP, FastCGI) sono in RAM (tmpfs), non su disco.
• Il server è configurato per evitare quasi del tutto lo swap su disco (vm.swappiness=1).
• Il lavoro viene cancellato appena ti restituiamo il risultato. Se abbandoni la pagina, scade dopo al massimo 15 minuti.
• Contenuto, nome del file, testo estratto e chiave di pseudonimizzazione non finiscono né nel database né nei log. Registriamo solo metadati: dimensioni, numero e tipo di dati trovati, durata.

Testi via API

Per poter ripristinare i dati originali (de-anonimizzazione), il motore conserva le corrispondenze tra segnaposto e valori originali: sempre cifrate e per un tempo limitato.

• Cifratura a busta (envelope encryption): ogni tenant ha una propria chiave dati (DEK), a sua volta cifrata da una chiave master dell'applicazione (KEK).
• Le corrispondenze scadono dopo il TTL configurato: 1 ora per impostazione predefinita, modificabile da ogni tenant nella console. Un job automatico elimina quelle scadute.
• Dalla console puoi esportare i dati del tenant, avviare la pulizia e chiedere la cancellazione.
• Con dry_run ottieni solo il rilevamento: nessuna corrispondenza viene salvata e resta solo la voce di audit, senza testo.
• I dati di utilizzo e di audit non contengono il testo inviato.

Client fail-closed

Se la protezione non è confermata, il testo non parte.

• Estensione browser ed estensione VS Code: rilasciano il testo solo dopo una risposta positiva del servizio. Se il servizio non risponde, va in timeout o dà errore, non inviano nulla.
• SDK Python e Node: restituiscono un errore esplicito se il motore non risponde, invece di far passare il testo originale.
• Alcune integrazioni server (per esempio i middleware per i log) permettono di scegliere fail-open per non bloccare il workflow: è una scelta esplicita di chi le configura.
• Fail-closed protegge dai guasti, non dai falsi negativi: nessun rilevatore garantisce copertura totale.
• Server MCP: attivarlo non intercetta ogni messaggio di una chat con l'AI. Usa esplicitamente lo strumento protetto e controlla il contenuto prima di inviarlo.

Log senza dati personali

I nostri log non devono diventare un archivio di dati personali.

• Un filtro di redazione si applica a tutti i canali di log: email, indirizzi IP, token, numeri di telefono, IBAN e carte di pagamento vengono mascherati prima della scrittura.
• I log applicativi sono giornalieri e vengono conservati per 14 giorni.
• Le segnalazioni automatiche di errore registrano l'indirizzo della pagina senza i parametri (che potrebbero contenere token o email).
• Il motore non registra il testo delle richieste.

Open source e self-hosting

Il motore di rilevamento è open source con licenza Apache-2.0.

• Puoi leggere il codice che tratta i tuoi dati, verificarne il comportamento e installarlo sulla tua infrastruttura.
• Con il self-hosting i dati non passano dai nostri server: ne controlli tu chiavi, retention e accessi.

github.com/nephilimdie/pii-protect

Infrastruttura e accessi

Controlli di base, applicati in modo coerente.

• Solo HTTPS, con HSTS. Content Security Policy restrittiva e divieto di incorporare il sito in altre pagine.
• Protezione anti-bot (Cloudflare Turnstile) sui moduli pubblici e protezione CSRF su tutti i moduli.
• Le chiavi API vengono salvate solo come hash; le notifiche di pagamento sono accettate solo con firma verificata.
• I segreti di configurazione sono cifrati (sops/age) e non stanno in chiaro nel repository.
• Ogni deploy parte solo dopo un backup del database riuscito. I backup restano sullo stesso server, protetti dagli stessi controlli di accesso.
• Le pipeline del progetto eseguono test, scansione delle dipendenze e ricerca di segreti. Non sostituiscono un audit esterno o un penetration test indipendente.

Sub-responsabili

I fornitori che trattano dati personali per conto nostro. Ti avvisiamo con almeno 30 giorni di anticipo prima di aggiungerne o sostituirne uno (vedi DPA).

Google e Stripe trattano solo dati dell'account e di fatturazione, mai i testi o i documenti che proteggi. Dove indicato, il trasferimento fuori dall'UE si basa sul Data Privacy Framework UE-USA e/o sulle Clausole contrattuali standard previste dalle condizioni del fornitore.