Sicurezza da verificare, non solo di cui fidarsi.

All'interno della piattaforma, il confine PII sostituisce con pseudonimi coerenti i nomi di dipendenti, manager e firmatari, i nomi di datori di lavoro e aziende, le date, gli indirizzi e-mail di lavoro e gli ID dei dipendenti prima che una richiesta raggiunga l'engine, e li ripristina nella risposta. Si applica alle chiamate all'engine della piattaforma HR, del lifecycle worker, di ZeugnyAI Chat (che raggiunge l'engine solo tramite la piattaforma) e del gateway Word.

Una richiesta viene rifiutata, non inviata, quando mancano la chiave di cifratura o l'ambito del documento, quando a una persona o a un datore di lavoro noti non è assegnato alcuno pseudonimo, quando una parte di un nome è ambigua tra due persone o quando non è possibile scrivere la voce di audit.

Luogo di nascita, nazionalità, denominazioni di funzione, reparti, descrizione dell'azienda e testo dei compiti vengono inviati come inseriti; il testo ne ha bisogno per la maggior parte. I nomi digitati nel testo libero vengono sostituiti solo se corrispondono a una persona o a un datore di lavoro noti. Una modalità più rigorosa che trattiene per la verifica umana il testo libero non riconosciuto è sviluppata; la sua attivazione nel Cloud gestito è pianificata.

Per ogni certificato, HR può aprire ogni passaggio da e verso l'engine: ora, direzione, numero di elementi sostituiti per categoria, SHA-256 del payload e pseudonimi utilizzati. I valori reali non vengono mai mostrati. La vista può essere esportata in formato CSV.

Database, backup, archiviazione dei file, key vault, log e server applicativi del Cloud gestito operano in Microsoft Azure Switzerland North (Zurigo). Backup e archiviazione dei file sono replicati in una seconda regione svizzera, Switzerland West. app.zeugny.com si risolve direttamente su Zurigo, senza alcuna content delivery network intermedia. L'indirizzo IP di chi firma viene conservato come prova di firma e non viene inviato ad alcun servizio di geolocalizzazione di terze parti; il Paese viene letto da un header impostato al margine della rete (edge).

Tutte le app accettano solo HTTPS, con TLS 1.2 come minimo; in pratica viene negoziato TLS 1.3. Il server del database accetta solo connessioni TLS, con TLS 1.2 come minimo, e le connessioni al database della piattaforma richiedono TLS.

Azure cifra a riposo il database, i backup e l'archiviazione dei file. In aggiunta, la piattaforma cifra le mappature degli pseudonimi e le chiavi API dell'engine con AES-256-GCM, con chiavi master custodite in Azure Key Vault. Gli altri record si affidano alla cifratura di Azure.

Trascorso il periodo di conservazione (per impostazione predefinita 10 anni dopo la fine del rapporto di lavoro), un processo orario oscura nome, indirizzo e-mail, data e luogo di nascita e nazionalità di un ex dipendente, cancella le bozze ed elimina le mappature degli pseudonimi. Le assegnazioni di funzione, l'audit trail e i certificati emessi vengono conservati; i certificati emessi contengono ancora il nome. Su richiesta impostiamo per la Sua azienda un periodo diverso; la configurazione self-service è pianificata.

I dipendenti presentano da sé le richieste di accesso e di cancellazione in «Privacy» e HR segue ciascuna con un termine di 30 giorni. La cancellazione oscura i dati del dipendente, rimuove le voci del vault e le condivisioni e rilascia una ricevuta. Una richiesta di accesso produce un riepilogo; una copia scaricabile dei dati è pianificata.

I responsabili HR possono applicare un legal hold a un rapporto di lavoro e a tutti i relativi certificati, il che sospende l'eliminazione. I dipendenti possono contestare un certificato; una contestazione accolta produce una nuova versione e la cronologia resta nell'audit trail.

La piattaforma può distruggere la chiave di pseudonimizzazione di un'azienda, rendendo illeggibili le mappature da essa conservate. La funzione è sviluppata e testata; renderla disponibile come azione dell'operatore è pianificato. Le copie nei backup scadono secondo la normale pianificazione dei backup.

I manager, o HR, valutano ogni aspetto delle prestazioni e del comportamento. L'IA scrive un testo che corrisponde a tali valutazioni e non può modificarle. Il livello complessivo è calcolato dalle valutazioni, non scelto dal modello.

Ogni frase valutativa registra l'aspetto e la valutazione che esprime e HR lo vede nell'editor, così ogni frase può essere ricondotta alla valutazione che ne è alla base.

Prima della revisione di HR, ogni bozza dell'IA passa attraverso l'analisi di equità dell'engine. Un riscontro bloccante trattiene il certificato finché una modifica non lo risolve o un responsabile HR non applica un override, e l'override viene registrato nell'audit trail. Le conferme di lavoro, create da un modello senza IA, saltano questo passaggio.

Nessun certificato raggiunge un dipendente senza la revisione e la finalizzazione da parte di un responsabile HR o di un amministratore. Le automazioni possono avviare le richieste, ma non finalizzarle mai.

Non utilizziamo i dati dei clienti per addestrare, ottimizzare (fine-tuning) o valutare modelli e le richieste dei clienti non entrano mai nel nostro corpus di riferimento.

Il testo dei certificati viene scritto da modelli su Microsoft Azure AI Foundry, su una risorsa in Switzerland North con un deployment EU Data Zone Standard, per cui le richieste vengono elaborate all’interno della zona dati dell’UE. I passaggi di decisione, estrazione e recupero utilizzano inoltre Microsoft Decision-1 (una risorsa Azure AI Foundry in Sweden Central con un deployment EU Data Zone Standard), OpenRouter e Voyage AI, e la piattaforma utilizza OpenRouter direttamente per suggerire denominazioni di funzione e compiti. I fornitori ricevono esclusivamente testo pseudonimizzato. Ogni richiesta che l'engine invia a OpenRouter richiede fornitori che non raccolgono dati degli utenti, senza alcuna impostazione per disattivare questo requisito. L'instradamento con zero data retention è pianificato.

Le password sono sottoposte a hash con scrypt e richiedono almeno 8 caratteri. Gli indirizzi e-mail vengono verificati prima del primo accesso con password e i magic link senza password scadono dopo 5 minuti. I tentativi di accesso sono soggetti a un limite di frequenza per indirizzo IP.

Con il single sign-on, l'MFA del Suo identity provider si applica a ogni accesso. Gli account del personale nel nostro control plane richiedono un secondo fattore (codice di autenticazione o codice di backup) a ogni sessione e senza di esso non viene rilasciato alcun accesso operatore all'engine. È pianificato un secondo fattore integrato per l'accesso con password dei clienti.

Ogni route verifica i permessi basati sulle relazioni. I coordinatori HR possono redigere bozze ma non possono finalizzare, applicare un override a un riscontro, firmare né scaricare il documento ufficiale. Le rappresentanze dei lavoratori vedono solo dati aggregati; i manager vedono i propri collaboratori diretti.

Nel Cloud gestito le aziende condividono un unico database svizzero. L'applicazione limita ogni richiesta a una sola azienda e verifica i permessi su ogni oggetto. Self-Hosted assegna a ogni cliente un proprio database. L'imposizione a livello di riga nel database è pianificata come secondo livello.

Ogni fase del ciclo di vita e ogni modifica viene scritta in un registro di audit in cui ogni voce contiene l'hash della precedente, così una voce modificata interrompe la catena. La catena viene verificata all'apertura di un dossier o di una pagina di verifica e il dossier di ogni certificato può essere scaricato insieme alle sue voci di audit.

Se un incidente riguarda i Suoi dati, informiamo il referente da Lei indicato senza ingiustificato ritardo dopo averlo confermato, comunicando che cosa è accaduto, quali dati sono interessati e che cosa stiamo facendo al riguardo. Un piano scritto di risposta agli incidenti è redatto e verrà pubblicato dopo la verifica legale; sono previste esercitazioni periodiche.

Il database può essere ripristinato a qualsiasi momento degli ultimi 35 giorni. Inoltre, un job pianificato esegue ogni notte il dump di tutti i database. Gira su un runner CI gestito da ZeugnyAI, che si connette via TLS, scrive ogni dump in un file temporaneo, lo carica in Azure Storage in Switzerland North ed elimina il file. Vengono conservati gli ultimi 30 dump di ciascun database e i dump eliminati restano recuperabili per altri 30 giorni. I backup archiviati, point-in-time e dump, si trovano in Switzerland North e sono replicati in Switzerland West, una seconda regione svizzera.

Ogni fornitore che tratta dati per il Cloud è elencato in questa pagina con la sua finalità, i dati che riceve e la sua ubicazione.

Un contratto standard sul trattamento dei dati ai sensi della LPD e del RGPD è redatto e verrà pubblicato dopo la verifica legale. Fino ad allora esaminiamo e firmiamo il Suo.