Sicurezza e privacy

Questa guida spiega dove vengono archiviati i dati, come vengono protetti e chi può visualizzarli all'interno dello studio legale.

Crittografia dei dati#

• In transito: tutto il traffico tra il browser e Lawzana Flow transita tramite HTTPS
• A riposo (at rest): i nostri fornitori di servizi cloud crittografano i dati archiviati: Google Cloud per i file caricati, DigitalOcean per il database
• Documenti: i file caricati sono archiviati in Google Cloud Storage con crittografia lato server

Residenza dei dati#

I file caricati vengono archiviati in un'unica area geografica. Gli studi legali che effettuano la registrazione su flow.lawzana.com ottengono l'area geografica Europa; gli studi che avviano l'account dal Lawzana Directory scelgono la propria area al momento della creazione del workspace.

In tale area geografica vengono archiviati solo i file caricati. Il database, il motore di ricerca, i processi in background e i server applicativi risiedono su DigitalOcean negli Stati Uniti. Le richieste indirizzate all'IA vengono elaborate da Google Vertex AI sul rispettivo endpoint globale, pertanto non sono limitate all'area geografica di archiviazione dei file.

È possibile verificare la propria area geografica in Impostazioni → Generali alla voce Area di archiviazione file.

Privacy dei dati nell'IA#

Come gestisce le richieste Google#

Utilizziamo Google Vertex AI. Google non utilizza i contenuti degli utenti per addestrare i propri modelli e la registrazione delle richieste (request logging) è disattivata sul nostro progetto. Google può mantenere le richieste in memoria per un massimo di 24 ore a scopi di caching ed eventualmente registrarle per rilevare possibili abusi.

• I documenti e i dati non vengono mai utilizzati per addestrare modelli di IA
• La registrazione delle richieste è disattivata sul nostro progetto Google Cloud
• Google può mantenere le richieste in memoria per un massimo di 24 ore a fini di caching, in modo isolato all'interno del nostro progetto
• Google può registrare le richieste per rilevare eventuali abusi
• Lawzana Flow archivia la cronologia delle chat dell'IA, i riepiloghi e i dati estratti all'interno della pratica di riferimento

Come funziona l'elaborazione dell'IA#

1. L'utente richiede un'operazione all'IA (ad es. il riepilogo di un documento)
2. Il documento viene inviato a Google Vertex AI per l'elaborazione
3. L'IA genera una risposta
4. La risposta viene restituita a Lawzana Flow e salvata nell'account
5. Google gestisce la richiesta come descritto sopra

Autenticazione e accesso#

• Accesso tramite e-mail e password, con verifica dell'e-mail prima del primo accesso
• Accesso tramite Google e Microsoft
• Magic link per il portale clienti: i clienti non hanno bisogno di password né di un account
• Ruoli: quattro livelli di autorizzazione (Titolare, Amministratore, Membro, Visualizzatore). Consultare Team e ruoli
• Visibilità dei record: possibilità di scegliere se i membri e i visualizzatori possono consultare ogni lead e pratica o soltanto quelli a loro assegnati o condivisi
• Barriere etiche (ethical walls): per impedire l'accesso alle pratiche che presentano conflitti di interesse ai membri del team. Consultare Barriere etiche
• I link del portale hanno una scadenza e possono essere revocati in qualsiasi momento

Sicurezza delle sessioni#

• Le sessioni utilizzano cookie firmati, crittografati e con attributo HTTP-only (non leggibili tramite JavaScript)
• Le autorizzazioni di accesso vengono riverificate a intervalli di pochi minuti, garantendo che un utente rimosso perda l'accesso tempestivamente

Registro di controllo (Audit Log)#

Il registro di controllo memorizza:

• Gli accessi effettuati
• Le modifiche apportate a lead, pratiche, contatti, clienti e automazioni
• Il caricamento, la visualizzazione, il download e l'eliminazione dei documenti
• I passaggi di fase delle pratiche e le conversioni dei lead
• Le verifiche dei conflitti di interesse
• Le modifiche ai ruoli e la rimozione dei membri del team
• Le variazioni relative alla visibilità e alla condivisione dei record

I registri di controllo sono:

• Consultabili con funzione di ricerca per azione, tipo di record, utente o data
• Esportabili in formato CSV
• Accessibili esclusivamente al Titolare dello studio, in Impostazioni → Registri di controllo

Sicurezza dell'infrastruttura#

• I server applicativi, il database, il motore di ricerca e i processi in background sono ospitati su DigitalOcean negli Stati Uniti; i file caricati sono archiviati in Google Cloud Storage
• Il traffico di rete viene instradato tramite Cloudflare
• Intestazioni Content Security Policy (CSP) per contribuire a prevenire attacchi di tipo cross-site scripting
• Monitoraggio degli errori tramite Sentry

Backup dei dati#

• Backup giornalieri automatizzati del database, conservati per 7 giorni
• Ripristino point-in-time del database nell'arco dei 7 giorni

I vostri dati#

• Accordi sul trattamento dei dati (DPA) disponibili su richiesta
• Possibilità di scaricare i propri file in qualsiasi momento
• Possibilità di richiedere l'esportazione completa dei dati o la cancellazione dei dati personali

Divulgazione responsabile delle vulnerabilità (Responsible Disclosure)#

Qualora si rilevi una vulnerabilità di sicurezza, si prega di segnalarla all'indirizzo [email protected].

Contatti#

Per domande relative alla sicurezza:

• E-mail: [email protected]
• Assistenza generale: [email protected]