Sicurezza e privacy

Questa pagina descrive in termini semplici come InterMIND gestisce i tuoi dati. Per il testo legale, consulta l'Informativa sulla privacy e i Termini di servizio; per il riepilogo destinato a chi acquista, con i link all'audit GDPR e al DPA, consulta la pagina della funzionalità Privacy e sicurezza.

Crittografia

In transito. Tutte le connessioni a InterMIND avvengono tramite HTTPS / WSS (TLS). Le richieste HTTP vengono reindirizzate automaticamente a HTTPS: non esiste alcun ripiego in chiaro. Questo vale per l'app web, per il server WebSocket che trasporta chat e segnalazione e per le nostre chiamate al motore di traduzione. L'audio e il video dei meeting viaggiano tramite WebRTC con DTLS-SRTP tra il tuo browser e il media server del nostro motore in Francia; il media server decifra ogni flusso per inoltrarlo agli altri partecipanti e alla pipeline di riconoscimento vocale e traduzione.

A riposo. Il database (Neon, Francoforte) cifra la propria memoria con AES-256; le registrazioni, gli allegati e gli archivi di esportazione sull'object storage Tigris sono coperti da una crittografia lato server sempre attiva. I token delle integrazioni OAuth e i client secret OIDC sono inoltre cifrati a livello applicativo (AES-256-GCM) prima di essere scritti, e i token di sessione OIDC sono archiviati in forma cifrata nella cache di sessione. Dichiarazioni dei fornitori: Neon security overview, Tigris S3 API.

Crittografia end-to-end: no. La traduzione è elaborazione: il riconoscimento vocale e la traduzione vengono eseguiti sul nostro motore, sui nostri server in Germania e in Francia, e quel motore deve leggere il contenuto per tradurlo. InterMIND è quindi cifrato in transito e a riposo, e il contenuto è leggibile dalla nostra infrastruttura nel momento dell'elaborazione; non è cifrato end-to-end e nessun piano o impostazione cambia questa condizione. Offriamo invece un percorso dei dati verificabile: UE a ogni passaggio, un motore proprio per la voce in tempo reale anziché un modello di terze parti, funzioni di AI sul gateway scelto dalla tua organizzazione (il nostro tenant, nessun addestramento sui tuoi dati) e una conservazione che controlli tu. Le note vocali vengono trascritte da Azure AI Speech nello stesso tenant. Se per te la crittografia end-to-end viene prima di ogni altra cosa, i prodotti costruiti attorno a essa (Element, Wire, Threema) sono la scelta più adatta, e nessuno di loro documenta la traduzione; lo diciamo anche nel nostro confronto tra messenger.

Autenticazione

Le password non vengono mai memorizzate: l'accesso avviene con un codice di verifica monouso oppure con un flusso OAuth con Google / Microsoft. Le sessioni sono conservate in cookie HTTP-only; puoi disconnetterti in qualsiasi momento dal menu del profilo.

L'SSO Enterprise utilizza OpenID Connect Authorization Code con PKCE (S256), state e nonce. Gli ID token vengono convalidati rispetto al JWKS pubblicato dall'IdP (firma, emittente, destinatario), e un accesso viene accettato solo per i domini email che il team ha verificato tramite DNS: il tuo IdP è autorevole solo per i domini di cui hai dimostrato la proprietà. I client secret OIDC sono cifrati a riposo e ogni accesso SSO viene registrato nel registro di audit del team. Configurazione: Configurazione SSO.

Traduzione in tempo reale

La traduzione in tempo reale della voce e dei sottotitoli viene eseguita sull'infrastruttura propria di InterMIND: l'audio del parlato è elaborato sul nostro servizio WebSocket privato e non viene inviato a un endpoint pubblico di OpenAI / Google Translate / Azure.

La traduzione dei documenti (PDF, DOCX, DOC, PPTX, XLSX) utilizza DeepL come fornitore di traduzione. I file vengono caricati su DeepL tramite una connessione TLS per essere tradotti e il risultato viene restituito nella chat del tuo meeting. Il trattamento dei dati da parte di DeepL è regolato dai termini sulla privacy di DeepL: DeepL non conserva i contenuti per l'addestramento.

Funzioni di AI

I recap dei meeting, i riassunti dei documenti, l'assistente di scrittura, Ask AI e Mia (il partecipante AI che puoi chiamare per nome in un meeting) vengono eseguiti su un gateway di modelli linguistici di un hyperscaler, nel tenant di proprietà di InterMIND: lo stesso gateway che la tua organizzazione molto probabilmente usa già per la propria AI:

Un amministratore dell'organizzazione sceglie il gateway nella pagina Integrazioni; la scelta si applica a tutte le funzioni di AI dell'organizzazione contemporaneamente e le funzioni di AI possono essere disattivate per l'intera organizzazione: trascrizione e traduzione continuano a funzionare. Ciò che lascia InterMIND per una chiamata AI è la trascrizione del meeting e la finestra della chat al termine del meeting, i documenti condivisi, il testo dell'editor o la domanda posta; tutti i gateway sono configurati con conservazione dei dati pari a zero e nessun addestramento sui tuoi contenuti. La voce di Mia è sintetizzata dallo stesso fornitore del gateway (Azure AI Speech, Google Cloud Text-to-Speech, regioni UE); con il tuo endpoint Mia risponde in testo.

Registrazioni e trascrizioni

La conservazione la controlli tu: i tuoi contenuti restano disponibili finché il tuo account o lo spazio di lavoro del team è attivo e puoi eliminare in qualsiasi momento qualsiasi registrazione, canale o messaggio. L'eliminazione del tuo account cancella definitivamente tutti i contenuti associati dal nostro database e dall'archiviazione. Non imponiamo alcuna scadenza automatica: decidi tu per quanto tempo i tuoi contenuti vengono conservati. Consulta la nostra Informativa sulla privacy per la dichiarazione completa sulla conservazione.

Dove si trovano i tuoi dati

La regione applicativa primaria di InterMIND è Parigi (CDG, Francia) su Fly.io; il database si trova a Francoforte, in Germania. Le registrazioni e i file sono conservati su uno storage compatibile con S3 fissato su regioni UE (Francoforte / Amsterdam). Al momento non è prevista la scelta della regione per singolo cliente.

Che cosa vedono le altre parti

Che cosa InterMIND non fa

• Nessun addestramento di modelli sui tuoi dati. Conversazioni, documenti e registrazioni non vengono usati per addestrare alcun modello di AI.
• Nessuna vendita o condivisione. I tuoi dati non vengono venduti né condivisi con inserzionisti.
• Nessun tracciamento di terze parti nei meeting. Nessun pixel di tracciamento, nessun SDK pubblicitario nella sala del meeting.

Eliminare i tuoi dati

L'eliminazione dell'account rimuove il tuo profilo, i meeting, le registrazioni, le trascrizioni e la cronologia delle chat. I backup possono richiedere fino a 30 giorni per scadere.

Segnalare un problema di sicurezza

Se ritieni di aver trovato una vulnerabilità di sicurezza in InterMIND, vogliamo saperlo.

Come contattarci. Scrivi a security@intermind.com con una breve descrizione del problema e dettagli sufficienti per riprodurlo (passaggi, URL interessato, schermate o una proof of concept). Se preferisci, va bene anche un'email cifrata. Un contatto leggibile dalle macchine è inoltre pubblicato su /.well-known/security.txt (RFC 9116).

Che cosa aspettarti. Puntiamo a confermare la ricezione di una segnalazione entro 3 giorni lavorativi e a tenerti aggiornato mentre indaghiamo e risolviamo. Quando una segnalazione porta a una correzione, siamo lieti di citarti per nome, se desideri un riconoscimento.

Che cosa ti chiediamo. Ti chiediamo di praticare una divulgazione responsabile: segnalaci prima il problema in privato e concedici un tempo ragionevole per risolverlo prima di qualsiasi discussione pubblica. Non accedere, non modificare, non scaricare e non conservare dati appartenenti ad altri utenti o account oltre il minimo necessario per dimostrare il problema, non compromettere né interrompere il servizio ed elimina qualsiasi dato o schermata acquisiti durante i test una volta chiusa la segnalazione.

Ambito. Rientrano nell'ambito: intermind.com e le sue API, le applicazioni web, mobile e desktop di InterMIND e il nostro servizio WebSocket. Non rientrano nell'ambito: i risultati che richiedono l'accesso fisico al dispositivo di un utente, l'ingegneria sociale ai danni del nostro personale o dei nostri utenti, gli attacchi denial-of-service volumetrici e le segnalazioni di scanner automatici senza un impatto dimostrato e sfruttabile.

Ricompense. Al momento non gestiamo un programma bug bounty a pagamento, quindi non siamo in grado di offrire ricompense in denaro. Apprezziamo sinceramente le segnalazioni in buona fede e le riconosceremo.

Safe harbor. Non intraprenderemo né sosterremo azioni legali contro i ricercatori che agiscono in buona fede, rispettano questa policy ed evitano violazioni della privacy, distruzione di dati e interruzioni del servizio. In caso di dubbio sull'autorizzazione di un'azione, chiedici prima a security@intermind.com.

Correlati

• Informativa sulla privacy — Testo legale
• Subresponsabili del trattamento — I fornitori che utilizziamo e dove trattano i dati
• Termini di servizio — Testo legale
• Fatturazione e piani — Differenze nella gestione dei dati tra i piani