Panoramica sulla sicurezza

Ultimo aggiornamento: 26 agosto 2026

Il presente documento descrive come supportpages.io protegge i Suoi dati. Siamo trasparenti sulle nostre pratiche di sicurezza perché la fiducia richiede trasparenza.

Infrastruttura

Ubicazione dell'hosting

Fornitore: Hetzner
Ubicazione: Finlandia (UE)
Giurisdizione: Si applica la normativa UE sulla protezione dei dati

Perché la Finlandia?

Abbiamo scelto un hosting nell'UE perché:
- La conformità al GDPR è più semplice quando i dati restano nell'UE
- Hetzner adotta solide pratiche di sicurezza
- La Finlandia dispone di una normativa rigorosa sulla protezione dei dati

Sicurezza fisica

I data center di Hetzner dispongono di:
- Sorveglianza in loco 24 ore su 24, 7 giorni su 7
- Controlli di accesso biometrici
- Videosorveglianza
- Alimentazione e raffreddamento ridondanti

Autenticazione

Come accede

Solo GitHub OAuth – Non conserviamo password
Token sicuri – I token di autenticazione sono forniti da GitHub
Gestione delle sessioni – Cookie sicuri e HTTP-only

Cosa conserviamo

L'ID utente GitHub (non la Sua password)
Il token OAuth di GitHub (per l'accesso alle API)
I token di sessione (per mantenere l'accesso)

Sicurezza dei token

L'accesso tramite GitHub App che utilizziamo per leggere i Suoi repository ha breve durata ed è limitato ai soli repository da Lei scelti
I token di accesso conservati risiedono nel nostro database ospitato nell'UE, non vengono mai esposti nei log e non vengono mai condivisi con altri utenti
Lei può revocare il nostro accesso da GitHub in qualsiasi momento

Dati in transito

Crittografia

TLS 1.2+ per tutte le connessioni
Solo HTTPS – Le richieste HTTP vengono reindirizzate su HTTPS
HSTS – I browser ricordano di utilizzare HTTPS

Cosa significa

Quando Lei utilizza supportpages.io:
- La connessione del Suo browser è crittografata
- I dati non possono essere intercettati durante il transito
- Nemmeno noi possiamo vedere i dati in transito (crittografia end-to-end)

Sicurezza delle API

Tutte le chiamate ad API esterne utilizzano HTTPS
I payload dei webhook sono firmati e verificati
I token API non vengono mai esposti nei log

Dati a riposo

Database

Archiviazione crittografata
Backup regolari (anch'essi crittografati)
Backup conservati nella stessa regione (Finlandia)

Cosa conserviamo

Account utente e impostazioni
Configurazioni dei progetti
Documentazione generata
Dati analitici di utilizzo

Cosa non conserviamo

Il Suo codice grezzo (trattato temporaneamente, poi eliminato)
La Sua password GitHub
Dati personali non necessari

Gestione del codice

Questa è la parte più delicata della nostra attività. Ecco come proteggiamo il Suo codice:

Analisi iniziale del codice

Avvio – Lei collega SupportPages a un repository (analisi nel cloud) e avvia la prima esecuzione
Isolamento – Il Suo codice viene copiato in un ambiente sicuro e isolato (sandbox)
Analisi – L'AI legge il Suo codice per comprenderne struttura e finalità
Pulizia – L'ambiente isolato viene distrutto e il Suo codice viene eliminato
Conservazione – Vengono conservati solo il riepilogo generato e i metadati

Analisi delle PR

Notifica – GitHub ci notifica il merge di una PR
Isolamento – Viene creato un nuovo ambiente isolato (sandbox)
Analisi – L'AI analizza le modifiche nel contesto del Suo codice
Pulizia – L'ambiente viene distrutto e il Suo codice viene eliminato
Conservazione – Viene conservata solo la documentazione generata

Analisi sulla Sua infrastruttura (SupportPages Agent, beta)

I due flussi descritti sopra riguardano l'analisi nel cloud. In alternativa, Lei può eseguire l'analisi su un'infrastruttura sotto il Suo controllo utilizzando SupportPages Agent, selezionabile in fase di registrazione. L'Agent è in beta e viene reso disponibile un team alla volta.

Dove viene eseguito – All'interno del Suo agente di programmazione (come skill e server MCP), oppure come passaggio della Sua pipeline CI/CD eseguito a ogni merge
Cosa legge – Il codice già presente (checkout) su quella macchina o su quel runner. Non effettua cloni dai nostri sistemi e non deteniamo alcun token di accesso al Suo repository
Cosa invia a SupportPages – Il contenuto degli articoli generati, tramite HTTPS
Cosa non invia mai – Il Suo codice sorgente, i diff o il contenuto dei file

In questa modalità SupportPages non riceve, non tratta e non conserva il Suo codice in alcun momento. I passaggi di sandbox e di pulizia descritti sopra non si applicano, perché il codice non lascia mai il Suo ambiente.

Misure di sicurezza

Ambienti isolati – Il Suo codice viene eseguito in container isolati (sandbox)
Elaborazione effimera – Ogni analisi utilizza un ambiente nuovo
Nessuna archiviazione persistente – Gli ambienti vengono distrutti dopo ogni utilizzo
Nessuna conservazione del codice – Il Suo codice sorgente non viene mai conservato nel nostro database
Un unico fornitore di AI – Il codice viene condiviso solo con il nostro fornitore di AI (Anthropic)

Il nostro fornitore di AI

In base al nostro Accordo sul trattamento dei dati con Anthropic:
- Anthropic tratta il Suo codice per generare la documentazione
- Non conserva il Suo codice al termine dell'elaborazione
- Non addestra modelli sui Suoi dati
- Non condivide il Suo codice con terzi

Controlli di accesso

Accesso interno

Principio del privilegio minimo – Il personale accede solo a ciò di cui ha bisogno
Nessun accesso di routine al codice – Non esaminiamo il Suo codice
Registrazione degli accessi (audit log) – Gli accessi vengono registrati

Quando potremmo accedere ai dati

Debug – Se Lei segnala un bug e ci chiede di indagare
Incidenti di sicurezza – Se dobbiamo indagare su una violazione
Obblighi di legge – Se vi siamo tenuti per legge

La informeremo qualora accedessimo ai Suoi dati (salvo divieto di legge).

Accesso dei clienti

Lei accede solo ai Suoi dati
I progetti sono isolati tra gli utenti
L'autenticazione è obbligatoria per ogni accesso

Monitoraggio

Cosa monitoriamo

Errori ed eccezioni dell'applicazione
Metriche di prestazione
Eventi di sicurezza (accessi non riusciti, ecc.)

Cosa non monitoriamo

Il contenuto del Suo codice
Il contenuto della Sua documentazione
Le Sue abitudini di utilizzo private

Registrazione degli errori

Il nostro sistema di monitoraggio degli errori filtra:
- I token di autenticazione
- Il contenuto del codice
- I dati personali sensibili

I log degli errori includono informazioni diagnostiche, ma mai il Suo codice.

Risposta agli incidenti

Se qualcosa va storto

Rilevamento – Il monitoraggio ci segnala i problemi
Valutazione – Valutiamo portata e impatto
Contenimento – Arrestiamo il danno
Notifica – La informiamo di quanto accaduto (entro 72 ore in caso di violazioni)
Risoluzione – Eliminiamo la causa principale
Analisi post-incidente – Impariamo e miglioriamo

Notifica delle violazioni

In caso di violazioni dei dati personali, ci impegniamo a:
- Informare i clienti interessati entro 72 ore
- Fornire dettagli su quanto accaduto
- Spiegare quali misure stiamo adottando

Sicurezza delle terze parti

Selezione dei sub-responsabili del trattamento

Prima di avvalerci di un sub-responsabile del trattamento, verifichiamo che:
- Disponga di certificazioni di sicurezza adeguate
- Sottoscriva accordi sul trattamento dei dati
- Rispetti i nostri standard di sicurezza

Sub-responsabili attuali

Per i dettagli sulla sicurezza di ciascun fornitore consulti la nostra pagina Sub-responsabili del trattamento.

Verifica continua

Verifichiamo periodicamente le pratiche di sicurezza e le certificazioni dei sub-responsabili del trattamento.

Cosa non facciamo

Per chiarezza, noi non:
- Vendiamo i Suoi dati
- Condividiamo il codice con soggetti non autorizzati
- Addestriamo l'AI sui Suoi dati
- Conserviamo password
- Utilizziamo cookie di tracciamento
- Estraiamo dal Suo codice informazioni per scopi diversi dalla documentazione

Le Sue responsabilità

La sicurezza è una responsabilità condivisa. Lei dovrebbe:
- Mantenere sicuro il Suo account GitHub (utilizzando la 2FA)
- Esaminare la documentazione generata prima di pubblicarla
- Segnalare tempestivamente eventuali problemi di sicurezza
- Revocare l'accesso se non utilizza più il servizio

Segnalazione di problemi di sicurezza

Ha individuato una vulnerabilità? Ce lo comunichi:

Email: security@supportpages.io

Apprezziamo la divulgazione responsabile. Ci impegniamo a:
- Confermare la ricezione entro 24 ore
- Tenerla aggiornato sulla nostra indagine
- Riconoscerle il merito (se lo desidera) quando avremo risolto il problema
- Non intraprendere azioni legali nei confronti dei ricercatori in buona fede

Certificazioni e conformità

Stato attuale

Conforme al GDPR – Hosting nell'UE, DPA disponibile
SOC 2 – Non ancora (nella nostra roadmap)

Roadmap

Con la nostra crescita, prevediamo di ottenere:
- La certificazione SOC 2 Type II
- La certificazione ISO 27001

Domande

Ha domande sulla sicurezza? Ci contatti:

Email: security@supportpages.io

Siamo lieti di illustrare più nel dettaglio le nostre pratiche di sicurezza, sottoscrivere accordi di riservatezza (NDA) per discussioni riservate o compilare questionari sulla sicurezza.

La sicurezza non è mai "conclusa". Miglioriamo costantemente le nostre pratiche. Il presente documento riflette la nostra situazione attuale alla data sopra indicata.