Sicurezza · Affidabilità
Self-hosted per progettazione. I dati di governance restano in un’infrastruttura sotto il tuo controllo.
Olivares elabora prompt e output delle sessioni governate. Il registratore I/O calcola un digest SHA-256 di ogni frame e concatena digest e lunghezza, ancorandoli al registro di audit; non memorizza il contenuto del frame.
Trattamento dei dati
Cosa tocchiamo e cosa resta da te
Le sessioni elaborano prompt e output; la registrazione conserva digest come evidenza, non il loro contenuto. I dati di governance restano nella tua infrastruttura per impostazione predefinita. Gli strumenti del fornitore conservano le proprie trascrizioni nella directory di configurazione sul tuo host; il rilascio della sessione non le elimina. I fornitori ospitati ricevono ciò che la sessione invia. I messaggi dei canali di comunicazione sono memorizzati con la protezione dei contenuti configurata per il canale.
Gira nella tua infrastruttura
L’auto-hosting dà controllo su server e storage. Le chiamate a modelli ospitati, le fonti collegate e le esportazioni configurate possono attraversare il perimetro di rete.
Evidenze della registrazione delle sessioni
La registrazione concatena digest SHA-256 e lunghezze dei frame, ancorati al registro di audit, senza conservare i byte di prompt o output. È automatica per gli avvii critici e può anche essere richiesta dalla policy o dall’operatore.
Oscuramento dei segreti
I valori segreti del vault configurato vengono oscurati prima che l’output raggiunga il registratore. Dati personali possono comparire in prompt, output, trascrizioni del fornitore e messaggi di comunicazione memorizzati. Lo strumento del fornitore scrive le proprie trascrizioni fuori da questo percorso di oscuramento.
Scoperta e azioni degli agenti
La discovery passiva legge le fonti configurate. Gli agenti gestiti possono agire attraverso i propri strumenti; verifica permessi, policy e credenziali prima dell’avvio.
Destinazioni di rete
Per esempio, l’attivazione e il rinnovo delle licenze Business contattano il servizio di licenze; fornitori ospitati e integrazioni configurate usano connessioni di rete. Il self-hosting non rende offline queste operazioni.
Limiti della conservazione
Registrazioni ed evidenze del registro di audit consentono solo aggiunte (append-only): un’impostazione di conservazione non le elimina. Le trascrizioni del fornitore sul tuo host seguono la conservazione del suo strumento. Olivares non determina la conservazione di un servizio esterno.
Divulgazione delle vulnerabilità
Segnala un problema di sicurezza
Accogliamo la divulgazione coordinata e agiamo in buona fede con i ricercatori che fanno altrettanto. Le segnalazioni sul modello di sicurezza stesso sono esplicitamente benvenute.
Segnala in privato a
security@olivares.aiTi preghiamo di non aprire una issue, pull request o discussione pubblica per una sospetta vulnerabilità. Prima di inviare i dettagli è disponibile PGP su richiesta.
Cosa aspettarsi
- Conferma di ricezione entro 3 giorni lavorativi
- Valutazione iniziale entro 10 giorni lavorativi
- Divulgazione coordinata fino a 90 giorni, prima se viene rilasciata una correzione
Ti preghiamo di non inviare
Nessun segreto, credenziale o token reale (oscurali), nessun dato personale di clienti o terze parti né dump di produzione, e nessuno sfruttamento attivo di sistemi che non possiedi. Descrivi l’impatto sensibile anziché allegarlo — predisporremo un canale sicuro.
La linea supportata è l’ultima release taggata; le correzioni di sicurezza entrano in main e vengono pubblicate con la release taggata successiva.
Sub-responsabili
Chi altro tratta i dati
Questo sito web non utilizza sub-responsabili di analytics, pubblicità o tracciamento. È un sito statico con font self-hosted, una Content-Security-Policy rigorosamente same-origin e nessun cookie. Viene distribuito tramite una content delivery network, che gestisce solo i metadati di connessione necessari a recapitare la pagina — non raccogliamo dati personali durante la navigazione.
Olivares è software auto-ospitato. Scegli i fornitori di modelli e le destinazioni di output o telemetria. I servizi per sito, licenze e comunicazioni sono elencati separatamente nel Centro di fiducia.
Centro di fiduciaTrattamento dei dati
Accordo sul trattamento dei dati (art. 28 GDPR)
Un Accordo sul trattamento dei dati è disponibile su richiesta per gli appalti enterprise. Poiché Olivares AI è self-hosted, nella maggior parte dei deployment rimani titolare del trattamento dei tuoi dati all’interno della tua infrastruttura; un DPA può comunque essere stipulato per formalizzare le responsabilità nell’ambito di un rapporto commerciale.
Postura di conformità
Onesti su dove siamo
Olivares AI non è certificato secondo SOC 2, ISO/IEC 27001, il Regolamento europeo sull’IA (AI Act) o qualsiasi altro framework, e nessun audit è in corso. Progettiamo il prodotto affinché si mappi sui controlli che quei framework esaminano — registro di audit, controllo degli accessi, integrità, cifratura e gestione del cambiamento — così che sia pronto a essere sottoposto ad audit quando sarà il momento. La certificazione formale (per esempio SOC 2 Type 2) è un passo successivo che l’architettura è costruita per abilitare; non è un prerequisito della prima release.
Framework verso cui progettiamo
-
SOC 2 / ISO 27001
Obiettivi di controllo verso cui progettiamo — non certificati, in roadmap.
-
Regolamento europeo sull’IA (AI Act)
Progettato per supportarne le aspettative di controllo e documentazione.
-
CSA MAESTRO
Una metodologia di threat modelling su cui ci mappiamo — non uno standard certificabile.
-
Minacce agentiche OWASP
Mappato sull’elenco delle minacce agentiche e delle relative mitigazioni.
-
Linee guida CISA / NIST
Linee guida, non uno standard certificabile — progettazione verso l’obiettivo, senza dichiarazione di conformità.
Laddove descriviamo l’allineamento con framework esterni, si tratta di una mappatura tecnica, non di una certificazione — e per gli standard non ancora definitivi è un segnale di progettazione verso l’obiettivo, senza alcuna dichiarazione di conformità.
Integrità della build
- Le release sono firmate crittograficamente, distribuite con una software bill of materials e dotate di build provenance.
- Un unico binario statico memory-safe in immagini container minimali e hardened.
- Dipendenze minimali e pinnate — nessuno script di installazione che esegua codice non verificato.
- La scansione delle dipendenze e dei segreti fa da gate a ogni modifica in CI.
Queste garanzie valgono per ogni release taggata.
Tempi target di correzione
- Critica 7 giorni
- Alta 14 giorni
- Media 30 giorni
- Bassa prossima release pianificata
La cadenza di correzione che ci impegniamo a rispettare, in vigore dalla prima release taggata. Le vulnerabilità attivamente sfruttate sono trattate come critiche.
Business: sicurezza a runtime e le tue chiavi
Community include guardrail, DLP in uscita e le verifiche deny-closed. Business aggiunge un firewall di contenuto, verifiche sull’uscita degli strumenti server e sull’uso del computer, un circuit breaker, il vincolo degli strumenti MCP, intelligence sulle minacce e chiavi nel tuo servizio di gestione delle chiavi.
Domande sull’affidabilità
Dove vanno a finire i miei dati?
Le sessioni elaborano prompt e output; la registrazione conserva digest come evidenza, non il loro contenuto. I dati di governance restano nella tua infrastruttura per impostazione predefinita. Gli strumenti del fornitore conservano le proprie trascrizioni nella directory di configurazione sul tuo host; il rilascio della sessione non le elimina. I fornitori ospitati ricevono ciò che la sessione invia. I messaggi dei canali di comunicazione sono memorizzati con la protezione dei contenuti configurata per il canale.
Siete certificati SOC 2 o ISO 27001?
Non ancora. Il prodotto è progettato per mapparsi sugli obiettivi di controllo SOC 2 e ISO 27001, così da essere pronto a un audit, ma la certificazione formale è in roadmap e non è stata ancora ottenuta. Non dichiareremo una certificazione che non possediamo.
Come segnalo una vulnerabilità di sicurezza?
Scrivi in privato a security@olivares.ai — ti preghiamo di non aprire una issue pubblica. La nostra policy completa, incluse le tempistiche di risposta, è in questa pagina e referenziata da /.well-known/security.txt (RFC 9116). Confermiamo la ricezione entro tre giorni lavorativi.
Offrite un DPA?
Sì, un Accordo sul trattamento dei dati ai sensi dell’articolo 28 del GDPR è disponibile su richiesta per gli appalti enterprise. Contatta enterprise@olivares.ai.
Domande dal tuo team di sicurezza o appalti?
Segnala una vulnerabilità al nostro contatto di sicurezza, oppure contattaci per appalti, un DPA o una security review.