HodeiShield®

Ciò che protegge i Suoi dati, e ciò che non promettiamo.

Il Suo DPO e il Suo auditor chiederanno dove si trova ogni cosa e che cosa è certificato. Questa pagina risponde con tutte le sfumature, compreso il fornitore statunitense che si trova lungo il percorso della richiesta.

Richieda una demoVeda i sub-responsabili (si apre in una nuova scheda)
  • Certificata ENS (categoria Media), n. 34/5704/26/09103, OCA Instituto de Certificación, e ISO/IEC 27001 · Hodeitek S.L.; l’ambito include il servizio SaaS HodeiShield.
  • Sicurezza della piattaforma allineata a OWASP ASVS, senza certificazione.
Scheda di sicurezza
Hosting
OVH, Gravelines (Francia, UE)
Sul percorso
Cloudflare (USA): DNS, CDN e TLS
Password
Conservate con un algoritmo progettato per resistere agli attacchi a forza bruta
Doppio fattore
Codici temporanei, passkey e SSO; la Sua organizzazione può imporlo
Segreti
Credenziali e segreti cifrati
Isolamento
Ogni cliente vede solo i propri dati; lo applica il database stesso
Audit
Registro di audit immutabile
Riferimento
Allineata a OWASP ASVS (non certificata)
Dettaglio tecnico
  • Password: hash Argon2id.
  • Doppio fattore: TOTP, passkey e SSO.
  • Segreti: cifratura AES-256-GCM.
  • Isolamento: sicurezza a livello di riga forzata (RLS con FORCE) in PostgreSQL.

Fatti della piattaforma, senza cifre di disponibilità né sigilli.

Dove risiedono i Suoi dati e chi ne risponde

L’infrastruttura e i dati sono ospitati nell’UE. Cloudflare, statunitense, si trova lungo il percorso di ogni richiesta. Le due cose sono vere allo stesso tempo.

Percorso di una richiesta

  1. La Sua organizzazione

    Browser, CLI o agente endpoint

    Origine della richiesta

  2. Cloudflare

    DNS, CDN e TLS

    Azienda statunitense

  3. OVH

    Applicazione, database e archiviazione gestiti

    Gravelines, Francia (UE)

OVH ospita l’applicazione, il database e l’archiviazione. Cloudflare gestisce DNS, CDN e TLS, perciò il traffico verso la piattaforma passa dalla sua rete.

Che cosa si trova nell’UE

L’applicazione, il database e l’archiviazione di oggetti, presso OVH Gravelines. L’IA del copilota è fornita da Mistral AI; non indichiamo la sua regione di trattamento.

Docs · Sub-responsabili (si apre in una nuova scheda)

Che cosa non possiamo dire

Non affermiamo che nessun dato tocchi infrastrutture statunitensi né che la piattaforma sia priva di fornitori statunitensi: Cloudflare si trova sul percorso. Se ciò incide sulla Sua analisi del rischio, ce lo chieda prima della demo.

Architettura della piattaforma

Come viene protetta la piattaforma

Controlli che la console implementa oggi, spiegati per ciò che garantiscono. Il nome tecnico esatto è in ogni «Dettaglio tecnico». Il framework di riferimento è OWASP ASVS: la piattaforma è allineata ad esso, non certificata.

Credenziali e accesso

Chi entra e con quali garanzie.

  • Le password sono conservate con un algoritmo progettato per resistere agli attacchi a forza bruta.
  • Doppio fattore con codici temporanei, passkey e accesso unico (SSO).
  • Il doppio fattore è facoltativo per impostazione predefinita e un amministratore può imporlo tramite la policy dell’organizzazione.

Ambito: Imporlo è una decisione del Suo amministratore: non è imposto di default.

Dettaglio tecnico
  • Password: hash Argon2id.
  • Doppio fattore: TOTP, passkey e SSO.

Segreti e credenziali cifrati

Le credenziali di integrazione e i segreti del doppio fattore sono conservati cifrati.

  • I segreti dei webhook vengono mostrati una sola volta, alla creazione.
Dettaglio tecnico
  • Cifratura: AES-256-GCM.

Isolamento tra organizzazioni

Ogni cliente vede solo i propri dati: l’isolamento lo applica il database stesso, non solo l’applicazione.

  • I token di API, CLI e MCP coprono una sola organizzazione, quella che Lei sceglie al momento di concedere l’accesso.
Dettaglio tecnico
  • Ogni query passa dal contesto del tenant.
  • PostgreSQL applica la sicurezza a livello di riga forzata (RLS con FORCE).

Tracciabilità

Un registro di audit immutabile dell’attività della piattaforma e un registro delle azioni di ACT che indica chi ha fatto ogni cosa.

  • Nel registro delle azioni si aggiungono solo voci, ciascuna è collegata alla precedente e vengono firmate a lotti: chiunque può verificarlo con la chiave pubblica.

Ambito: Le firme post-quantistiche (ML-DSA-65) proteggono le attestazioni e il registro delle azioni. Non cifrano il traffico in tempo reale.

Dettaglio tecnico
  • Registro delle azioni append-only, concatenato tramite hash e firmato a lotti con ML-DSA-65, verificabile con la chiave pubblica.
  • ML-DSA-65 (FIPS 204) è una firma post-quantistica.

Che cosa accade ai Suoi dati quando usa HodeiAI

Il copilota invia contenuti a un fornitore di IA. Questi sono i limiti esatti di tale trattamento.

Che cosa viene pseudonimizzato

Prima dell’invio, HodeiShield sostituisce con segnaposto i dati personali che riconosce.

  • E-mail, telefoni, documenti d’identità, IBAN e nomi degli utenti della Sua organizzazione e dei contatti dei fornitori.
  • La tabella che mette in relazione segnaposto e valore esiste solo in memoria durante la richiesta.

Ambito: I nomi di persone che non sono utenti né contatti di fornitori della Sua organizzazione non vengono riconosciuti e sono inviati così come sono. Il contenuto stesso (ad esempio il nome di un fornitore) può descrivere la Sua attività. Vale per HodeiAI e per il CISO virtuale. L’analisi del rischio delle scansioni dei fornitori non pseudonimizza: invia il dominio del fornitore e i risultati. Questa chiamata avviene solo se HodeiAI è attivato per la Sua organizzazione.

Quanto si conserva e chi lo controlla

Le conversazioni si conservano al massimo 90 giorni e poi vengono cancellate automaticamente.

  • Un amministratore può disattivare HodeiAI; quando è spento, per quell’organizzazione non si chiama Mistral AI.
  • Non agisce mai senza la Sua conferma esplicita.

Ambito: Interroga i dati vivi della Sua organizzazione tramite strumenti; non è un sistema RAG.

Certificazioni: ENS e ISO/IEC 27001, con HodeiShield nell’ambito

Lo diciamo senza giri di parole perché non sia necessario indovinarlo durante l’audit.

Hodeitek S.L., l’azienda

Ciò che non affermiamo

  • Né certificare la Sua conformità né CPSTICHodeiShield misura la Sua postura, non certifica la Sua conformità, e non figura nel catalogo CPSTIC, che è un’altra cosa. La sua sicurezza è allineata a OWASP ASVS, senza certificazione.

Marchio ECSO «Cybersecurity Made in Europe»

Hodeitek possiede il marchio, che esprime un’origine europea autodichiarata. Non equivale a una certificazione. Hodeitek figura anche nel catalogo di INCIBE, che è un elenco e non un accreditamento.

Che cosa non è garantito

Ciò che qualcuno potrebbe dare per scontato e che non lo è.

  1. Che nessun dato passi dagli USA

    Cloudflare, azienda statunitense, gestisce DNS, CDN e TLS lungo il percorso della richiesta.

  2. Che certifichiamo la Sua conformità

    Le certificazioni ISO/IEC 27001 ed ENS categoria Media di Hodeitek S.L. includono HodeiShield nel loro ambito, ma HodeiShield non certifica la conformità della Sua organizzazione. L’allineamento a OWASP ASVS non è una certificazione.

  3. Che il doppio fattore sia attivo

    È facoltativo per impostazione predefinita. Lo attiva o lo impone la policy della Sua organizzazione.

  4. Che un’attestazione dimostri la conformità

    Prova integrità, origine e momento di ciò che è firmato. Non prova che sia vero e non esiste un registro pubblico di trasparenza. Le chiavi di firma sono conservate come segreti della piattaforma, non in un modulo di sicurezza hardware (HSM).

  5. Che HodeiAI non veda dati personali

    Pseudonimizza ciò che riconosce, e ciò che non riconosce viene inviato così come è scritto.

  6. Cifre di disponibilità

    Non pubblichiamo un SLA né metriche di disponibilità su questo sito.

Divulgazione responsabile

Se ritiene di aver trovato una vulnerabilità, ci scriva prima di renderla pubblica.

security@hodeitek.com

È il canale di Hodeitek per le questioni di sicurezza. Non offriamo e-mail cifrata.

  1. La segnali in privato: tramite la segnalazione privata di vulnerabilità di GitHub nel repository pubblico del prodotto interessato (hodeishield-cli o hodeishield-attest-verifier), oppure via e-mail a security@hodeitek.com. Il sito, la console e l’agente non hanno un repository pubblico: per questi usi l’e-mail.
  2. Indichi l’URL, il tenant o il prodotto e la versione interessati, i passaggi per riprodurla, l’impatto che osserva e un modo per contattarLa. Non includa mai una vera chiave API o un vero token.
  3. Confermiamo la ricezione, Le diamo aggiornamenti durante l’analisi e concordiamo con Lei la data di pubblicazione.

Nell’ambito

  • hodeishield.com e www.hodeishield.com.
  • app.hodeishield.com, solo se partecipa alla beta e all’interno del Suo tenant o spazio di lavoro.
  • L’agente HodeiShield. Non ha un repository pubblico: segnali via e-mail.
  • Lo strumento da riga di comando (hodeishield-cli), nel suo repository pubblico.
  • Il verificatore di attestazioni (hodeishield-attest-verifier), nel suo repository pubblico.

Fuori dall’ambito

  • Negazione del servizio (DoS) e test di carico.
  • Ingegneria sociale e attacchi fisici.
  • Servizi di terze parti (Cloudflare, Turnstile, tag di analisi).
  • Output di scanner automatici senza impatto dimostrato.
  • Header mancanti senza uno sfruttamento possibile.
  • Spam nei moduli.

Regole

  • Usi solo i Suoi account.
  • Non acceda ai dati di altre persone, non li modifichi né li conservi.
  • Se vede dati esposti, si fermi al primo e ce lo segnali.
  • Non degradi il servizio e non danneggi i suoi utenti.
  • Non intraprenderemo azioni legali per una ricerca in buona fede che rispetti questa politica.

Tempi obiettivo di risposta e di correzione

Conferma di ricezione e prima valutazione in giorni lavorativi; tutti gli altri tempi in giorni di calendario. Gli obiettivi di correzione riguardano il rilascio di una versione corretta, contati dalla prima valutazione. Sono i tempi a cui lavoriamo, non uno SLA.

Conferma di ricezione
3 giorni lavorativi
Prima valutazione
10 giorni lavorativi
Aggiornamenti di stato
Almeno ogni 14 giorni
Obiettivo di correzione, critica
7 giorni
Obiettivo di correzione, alta
30 giorni
Obiettivo di correzione, media
90 giorni
Obiettivo di correzione, bassa
Nella prossima versione
Divulgazione coordinata
90 giorni dalla Sua segnalazione; possiamo pubblicare prima se la vulnerabilità è sfruttata attivamente

Non offriamo compensi economici. Se ci dà il permesso, La riconosciamo pubblicamente.

Fiducia: dove si trova ogni documento

Un indice di ciò che può richiedere o verificare prima di sottoscrivere. Ogni link porta al testo in vigore, non a una sintesi.

Certificazioni

Hodeitek S.L. è certificata ISO/IEC 27001 ed ENS, categoria Media (certificato n. 34/5704/26/09103), con il servizio SaaS HodeiShield nell’ambito. Ciò che non certifichiamo è nella stessa sezione.

Trust Center

HodeiShield non ha un portale di fiducia pubblico proprio. Il Trust Center è una funzione della console con cui ogni cliente pubblica il proprio; si gestisce dalla console, dopo l’accesso.

Maggiori dettagli

Domande da DPO e audit

Quelle che si ripetono di più, con la risposta che regge a una verifica.

I dati lasciano l’UE?

L’applicazione, il database e l’archiviazione sono presso OVH Gravelines (Francia). Cloudflare, azienda statunitense, gestisce DNS, CDN e TLS lungo il percorso della richiesta, perciò non possiamo promettere che nessun dato tocchi infrastrutture statunitensi.

HodeiShield è certificato ISO 27001 o ENS?

Sì. Hodeitek S.L. è certificata ISO/IEC 27001 ed ENS categoria Media (certificato n. 34/5704/26/09103, rilasciato da OCA Instituto de Certificación), con un ambito che include il servizio SaaS HodeiShield. Ciò non certifica la conformità della Sua organizzazione, e il catalogo CPSTIC è un’altra cosa che non rivendichiamo.

Che cosa significa «allineato a OWASP ASVS»?

Che i controlli di sicurezza della piattaforma sono stati progettati prendendo ASVS come riferimento. Non è una certificazione né la rilascia un terzo.

HodeiAI invia dati personali a un terzo?

Invia contenuti a Mistral AI. Prima pseudonimizza i dati personali che riconosce (e-mail, telefoni, documenti, IBAN e nomi dei Suoi utenti e contatti), ma non quelli che non riconosce. L’analisi del rischio delle scansioni dei fornitori non pseudonimizza: invia il dominio del fornitore e i risultati. Un amministratore può spegnerlo.

Come segnalo una vulnerabilità?

Scriva a security@hodeitek.com indicando l’URL o il tenant interessato, i passaggi per riprodurla, l’impatto e un modo per contattarLa. L’ambito, le regole e i tempi indicativi si trovano nella sezione di divulgazione responsabile di questa pagina.

Riveda questi punti con il Suo DPO

Se la Sua analisi del rischio richiede maggiori dettagli, li affrontiamo nella demo con chi Lei indicherà.

Un colloquio di lavoro, senza impegno.

Richieda una demoVeda i sub-responsabili (si apre in una nuova scheda)