Vendor Security Assessment Questionnaire

Quvant.app

Versione: 1.0, Giugno 2026

Sezione 1: Informazioni aziendali

Q: I dati vengono processati nell'UE?: A: Configurazione dichiarata dal provider (documentale — non prova di non-egress): backend su Railway con region selezionata EU West (Amsterdam); storage su MongoDB Atlas con region dichiarata AWS eu-south-1 (Milan). Nel registry W0-4 entrambe risultano UNKNOWN fino a prova strumentale. L'inferenza LLM può coinvolgere sub-processor extra-SEE (vedi /legal/subprocessors).
Q: I dati sono cifrati at-rest?: A: Sì. AES-256 via MongoDB Atlas encryption at rest.
Q: I dati sono cifrati in transit?: A: Sì. TLS 1.3 su tutti i layer.
Q: I tenant sono isolati?: A: Sì. Isolamento a livello applicativo per workspace: ogni workspace ha un tenant_id univoco; richieste API e query su database sono vincolate al workspace_id (middleware di workspace + scoping delle query). Non dichiareremo compute dedicato per tenant né inference in container isolati dedicati.

Q: È disponibile un audit log?: A: Sì. SHA-256 append-only chain. Export CSV/JSON disponibile dal piano Starter.
Q: È disponibile un DPA firmabile?: A: No. Il DPA pubblico è in revisione legale (stato DRAFT); la pagina https://www.quvant.app/legal/dpa non è approvata per download pubblico (noindex). Non è disponibile un DPA approvato scaricabile pubblicamente; il download autenticato tramite /api/v1/dpa/download è per workflow controllati, non una pubblicazione approvata.
Q: SOC 2?: A: Non avviato — nessun audit in corso. Solo intento di roadmap.
Q: Subprocessor list disponibile?: A: Sì. https://www.quvant.app/legal/subprocessors

Q: Status page pubblica?: A: Status page in rollout.
Q: SLA?: A: Piano Team: SLA email 24h. Enterprise: SLA target negoziato per contratto; non è una garanzia standard pubblicata.