Sicurezza e controllo dei dati
Sicurezza non è sufficiente. Le organizzazioni enterprise richiedono controllo dimostrabile: su ogni accesso, ogni analisi, ogni output. Quvant è progettato per questo.
Dove vivono i tuoi dati
Il database primario è configurato su MongoDB Atlas con region dichiarata dal provider AWS eu-south-1 (Milan). L'hosting applicativo è configurato su Railway con region dichiarata EU West (Amsterdam). Entrambe sono regioni dichiarate dal provider. Non pubblichiamo un claim di processing solo-UE senza prova per workload. I trasferimenti verso sub-processor LLM extra-SEE, ove applicabili, sono disciplinati da DPA/SCC e descritti nell'elenco sub-processor.
Ogni cliente opera in uno spazio logicamente isolato. Le analisi, gli evidence pack e i log di un'organizzazione non sono mai accessibili da un'altra.
Enterprise: BYOC (Bring Your Own Cloud) in roadmap — solo valutazione custom; non è una funzione self-serve disponibile oggi.
Audit trail e concatenazione hash SHA-256
Le evidenze sono concatenate tramite hash SHA-256 per rendere rilevabili eventuali alterazioni. Non è attualmente applicata una firma digitale indipendente.
RFC 3161 TSA (Enterprise): la marcatura temporale RFC 3161 dell'evidenza PDF esportata è in roadmap; non è attualmente applicata. L'ancoraggio esteso del manifest dell'evidence pack è in roadmap.
Compliance e certificazioni
- GDPR: trattiamo i dati necessari all'erogazione del servizio secondo base giuridica e DPA; non dichiariamo 'no personal data by design' come garanzia assoluta.
- Quvant non ha completato un audit SOC 2. Un'attestazione di un fornitore non certifica Informis Labs né Quvant.
- Quvant non ha completato un audit SOC 2.
- Il programma di sicurezza di Quvant prende come riferimento controlli e principi di ISO/IEC 27001. La documentazione sullo stato di implementazione è disponibile durante la valutazione enterprise.
Autenticazione e accesso
- Accesso tramite email e password, con verifica del fattore aggiuntivo (MFA) opzionale. È disponibile anche l'accesso passwordless tramite magic link monouso, valido 15 minuti.
- SSO/SAML (Enterprise): in roadmap; disponibile su valutazione custom — non è una funzione self-serve standard.
- 2FA opzionale sul piano Professional, obbligatoria sul piano Enterprise.
Scala di Sovranità
Scala di Sovranità
- Modello
- Managed (region EU dichiarate dal provider)
- Piano
- Engagement assistito
- Residenza dati
- Atlas eu-south-1 configurato (UNKNOWN fino a prova)
- Controllo
- Standard
- Modello
- BYOC (roadmap / custom)
- Piano
- Enterprise (da valutare)
- Residenza dati
- Cloud cliente (se offerto)
- Controllo
- Custom
- Modello
- Single-tenant (roadmap / custom)
- Piano
- Enterprise (da valutare)
- Residenza dati
- Tenant dedicato (se offerto)
- Controllo
- Custom
| Modello | Piano | Residenza dati | Controllo |
|---|---|---|---|
| Managed (region EU dichiarate dal provider) | Engagement assistito | Atlas eu-south-1 configurato (UNKNOWN fino a prova) | Standard |
| BYOC (roadmap / custom) | Enterprise (da valutare) | Cloud cliente (se offerto) | Custom |
| Single-tenant (roadmap / custom) | Enterprise (da valutare) | Tenant dedicato (se offerto) | Custom |
Le opzioni BYOC e single-tenant sono in roadmap; contatta Enterprise per una valutazione custom.
Compliance Roadmap
SOC 2 Type I e ISO 27001 non sono certificazioni di Quvant.
Compliance Roadmap
- Certificazione
- SOC 2 Type I
- Status
- Non certificato — nessun audit completato
- Target
- —
- Certificazione
- ISO 27001
- Status
- Non certificata — riferimento ISO/IEC 27001
- Target
- —
| Certificazione | Status | Target |
|---|---|---|
| SOC 2 Type I | Non certificato — nessun audit completato | — |
| ISO 27001 | Non certificata — riferimento ISO/IEC 27001 | — |
Vendor Security Assessment
È disponibile un Vendor Security Assessment Questionnaire (VSAQ) pre-compilato per le valutazioni di procurement e onboarding fornitori.
Data Processing Agreement
Scarica il nostro DPA standard (template v1.0) per la revisione del tuo ufficio legale prima della firma di qualsiasi MSA.
Architettura di sicurezza
- Non dichiariamo compute dedicato per tenant.
- L'hash dell'Evidence Pack™ è calcolato server-side con concatenazione hash SHA-256.
- Nessun addestramento sui dati dei clienti.
- Nessuna durata pubblica per i log di audit.
Impegni di AI responsabile
- Il Blind Validator è progettato per ricevere l'input originale e la conclusione candidata, non il dibattito che l'ha prodotta.
- Ogni arresto è registrato nello stato del processo, con i limiti dichiarati. Non descriviamo un archivio del contenuto di un dissenso.
- Lo score di confidenza è sempre visibile: nessun output a scatola nera.
Trust posture
Quvant non dichiara certificazioni che non possiede.
- Nessun addestramento sui dati dei clientiattivo
- Concatenazione hash SHA-256attivo
- Riferimento ISO/IEC 27001riferimento controllo
- Nessun audit SOC 2 completatoin corso
- Blind Validatorattivo
- Decision Support System, la decisione finale è umanaattivo
Ogni claim qui sopra è registrato nel Trust Ledger con il proprio stato. Lo stato è quello del ledger, non una certificazione.
Domande frequenti
- I dati degli incidenti escono dall'UE?
- Lo storage primario è configurato su MongoDB Atlas con una region AWS UE dichiarata dal provider (eu-south-1); non è una garanzia strumentale che i dati non lascino lo SEE. Parte dell'inferenza LLM coinvolge sub-processor extra-SEE; i trasferimenti, ove applicabili, sono coperti da DPA/SCC e documentati. Per Enterprise con tenant dedicato, la localizzazione è configurabile contrattualmente. Non promettiamo 'nessun dato esce dall'UE' senza prova strumentale.
- Quvant è certificato ISO 27001?
- I controlli di sicurezza sono progettati prendendo come riferimento ISO/IEC 27001. Quvant non possiede alcuna certificazione ISO 27001 e non ha completato un audit SOC 2.
Controllo dimostrabile, dalla prima analisi.
Valuta Quvant sui tuoi dati e verifica ogni evidenza prima di proporre il budget.