Security Compliance
Progettata per le organizzazioni in cui la security review viene prima della prima sessione. Ecco cosa facciamo, cosa non facciamo e cosa forniamo su richiesta al vostro team IT.
Security by design
Un ambiente per ogni cliente
Un'istanza di database dedicata e isolata per ciascun cliente. Nessun dato viene condiviso tra clienti diversi.
Leggi di più
Gli ambienti di produzione e di test sono fisicamente separati; gli ambienti di test utilizzano esclusivamente dati anonimizzati. I contenuti del cliente e i dati personali risiedono in due repository crittografati distinti.
Hosting nella vostra regione
Clienti europei: AWS eu-west-1 (Irlanda). Clienti USA: AWS Stati Uniti. Altre regioni disponibili su richiesta.
Leggi di più
Infrastruttura di hosting (AWS) certificata ISO 27001, 27017, 27018 e SOC 1/2/3. Replica cross-region per ridondanza e disaster recovery.
Crittografia in transito e a riposo
TLS in transito, crittografia a riposo, gestione delle chiavi con AWS KMS.
Leggi di più
I certificati sono gestiti e monitorati con avvisi automatici di scadenza. Ogni accesso ai dati avviene tramite l'applicazione: non esiste alcun accesso diretto al database.
Minimizzazione dei dati
Nome, email aziendale, risultati della pratica e registrazioni audio. Nessun video, mai.
Leggi di più
Le registrazioni sono archiviate separatamente dai dati personali e identificate da codici alfanumerici senza alcun legame diretto con la persona. Non viene raccolto alcun dato di business del cliente (dati di vendita, finanziari, formule). Nessun dato regolamentato da PCI, HIPAA, FERPA o FISMA.
Conservazione dei dati sotto il vostro controllo
Audio cancellati dopo 30 o 60 giorni, a vostra scelta, anche durante il contratto.
Leggi di più
I dati personali possono essere cancellati su richiesta in qualsiasi momento, ad esempio quando qualcuno lascia l'azienda. Al termine del contratto, i dati vengono conservati per 30 giorni e poi eliminati definitivamente. I dati vengono anonimizzati automaticamente alla scadenza dei periodi di conservazione.
Solo sviluppo interno
Nessuna esternalizzazione, nessun accesso di terze parti alla produzione o ai dati.
Leggi di più
Gestione formale dei rilasci con test, approvazione e rollback; security review su ogni modifica; nessuna API esterna esposta.
Architettura e protezione dei dati
Come si muovono i dati dei clienti
Due repository, entrambi crittografati: uno per i dati personali, uno per i contenuti degli scenari che ci affidate. Quando un contenuto richiede un servizio di intelligenza artificiale esterno, gli algoritmi di segregazione e qualificazione di Skillgym rimuovono preventivamente gli identificatori diretti e gli elementi sensibili per il brand: il servizio riceve un identificatore transazionale, mai un nome o un'email. Ogni flusso viene tracciato nei log.
Servizi AI esterni
Speech-to-text, modelli linguistici e rendering degli avatar operano su API enterprise con clausole contrattuali di no-training: nulla di ciò che voi o le vostre persone dite viene utilizzato per addestrare modelli di terzi. Cinque dei 120 algoritmi proprietari di Skillgym esistono al solo scopo di garantire questa segregazione in ogni punto di interazione. L'elenco dei servizi e i relativi termini di conservazione sono specificati nel Data Processing Agreement.
Identità e accessi
Single sign-on
Federazione SAML 2.0 con mappatura dei ruoli; supporto per il single sign-out.
Due livelli di accesso
Utenti standard tramite SSO; amministratori solo su richiesta formale, con MFA e VPN.
Privilegio minimo
Un solo amministratore dispone di accesso privilegiato ai dati dei clienti. L'accesso viene verificato settimanalmente.
Solo da browser
Accesso HTTPS dal browser di qualsiasi dispositivo; nessuna app mobile né autenticazione a livello di dispositivo, per scelta architetturale.
Resilienza operativa
Obiettivi di ripristino
Gli obiettivi di recovery time (RTO) e recovery point (RPO) sono definiti nei contratti con i nostri provider, monitorati e testati regolarmente. I parametri precisi sono disponibili nella documentazione di sicurezza.
Backup e failover
Backup regolari con verifiche mensili di integrità; replica cross-region; failover testato semestralmente.
Gestione degli incidenti
Procedure documentate con ruoli definiti e percorsi di escalation. I clienti interessati vengono notificati entro due ore lavorative per gli incidenti critici.
Logging e gestione delle vulnerabilità
Log centralizzati conservati per sei mesi e protetti da modifiche; remediation basata sul rischio; penetration test condotti da personale qualificato; risk assessment annuale.
Garanzie e documentazione
Tutto ciò di cui ha bisogno il vostro processo di vendor-risk assessment, inviato su richiesta.
Panoramica di sicurezza per le valutazioni di vendor risk
Data Processing Agreement
Descrizione dei flussi di dati
Elenco dei sub-responsabili del trattamento con termini di retention
Sintesi dei security assessment di terze parti
Sintesi delle procedure di incident response e business continuity
Risposte ai vostri questionari di sicurezza
Esaminate la sicurezza con il nostro team
Il nostro team tecnico guida le vostre funzioni IT e di sicurezza attraverso l'architettura e la documentazione.
Requisiti di sistema
Dispositivi, sistemi operativi e browser supportati per usare Skillgym (pagina in inglese).