Standard di sicurezza

In ProcureLabs, la sicurezza è fondamentale per la nostra piattaforma. Questa pagina descrive le misure in essere per proteggere i vostri dati di approvvigionamento e ciò che tali misure coprono e non coprono.

Conformità alle certificazioni

Crittografia dei dati

Sicurezza dell'infrastruttura

• Infrastruttura cloud: Ospitata su AWS, che dispone delle certificazioni SOC 2, ISO 27001 e PCI DSS. Si tratta delle certificazioni di AWS, non di ProcureLabs.
• Isolamento dei dati: La sicurezza a livello di riga è abilitata sulle tabelle del database che contengono i dati dei clienti, pertanto le query di un utente autenticato restituiscono solo le righe della propria organizzazione. I processi in background e i percorsi amministrativi eseguiti con accesso elevato al database non passano attraverso la sicurezza a livello di riga; applicano il filtro del tenant nel codice dell'applicazione.
• Disponibilità: Singola regione AWS (Singapore); nessun failover tra regioni
• Ripristino di emergenza: Backup del database con ripristino point-in-time, forniti dal nostro provider di database (Supabase)

Controllo degli accessi

Monitoraggio e risposta agli incidenti di sicurezza

• Gestione delle vulnerabilità: Ogni merge request viene sottoposta a scansione per rilevare segreti inseriti nel codice (Gitleaks) e vulnerabilità critiche correggibili nelle dipendenze (Trivy).
• Risposta agli incidenti: Gli incidenti vengono gestiti dal fondatore di ProcureLabs utilizzando i playbook di risposta agli incidenti della piattaforma; i clienti interessati vengono informati via email.
• I problemi di sicurezza possono essere segnalati al contatto per la sicurezza indicato di seguito.

Sicurezza del trattamento dei dati tramite l'IA

Le nostre funzionalità di IA sono progettate tenendo conto della sicurezza e della privacy:

• Trattamento tramite OpenAI OpenAI supporta conversazioni, analisi e valutazioni circoscritte di Decisions per selezionare strumenti ed esaminare prove relative agli acquisti. Nel rispetto dell’autorizzazione attuale del cliente e della configurazione regionale concordata, Decisions riceve contesto e domande minimizzati e oscurati per la finalità consentita. I dati dell’API OpenAI vengono utilizzati per addestrare i modelli solo previa adesione esplicita. Decisions può conservare lo stato cifrato della cache dei prompt fino a 24 ore e i normali log di monitoraggio degli abusi fino a 30 giorni, fatte salve le eccezioni applicabili per sicurezza, tutela o obblighi di legge.
• Autorizzazione al trattamento tramite Decisions Il trattamento tramite Decisions richiede istruzioni attuali del cliente e un’autorizzazione per la finalità, l’account, il responsabile del trattamento e il trasferimento negli Stati Uniti specifici. Disattivare l’IA o revocare l’autorizzazione pertinente impedisce nuove richieste a Decisions. Le azioni con conseguenze restano soggette alle garanzie richieste e a una revisione indipendente.
• La conservazione segue la categoria di dati, le istruzioni del cliente, gli obblighi di preservazione legale e le condizioni del fornitore. Cronologia delle conversazioni, contenuti derivati, registri di audit e log del fornitore hanno condizioni di conservazione distinte. Le richieste di cancellazione sono gestite secondo l’accordo sul trattamento dei dati e la legge applicabile.
• Le funzionalità opzionali di IA possono essere disabilitate dagli amministratori
• Le funzionalità di IA possono essere disattivate per l'intera organizzazione da un amministratore oppure da ciascun utente per sé stesso
• Registro di audit delle decisioni relative alle azioni proposte dall'IA

Residenza dei dati

Tutti i dati dei clienti sono archiviati in un'unica regione. Le funzionalità di IA trattano i dati necessari con provider di IA negli Stati Uniti. Al momento non sono disponibili ulteriori regioni di archiviazione.

Governance

• Manteniamo una politica scritta sulla sicurezza delle informazioni, con un indice delle nostre politiche e procedure, riesaminata almeno annualmente.
• Manteniamo un codice di condotta scritto che disciplina onestà, riservatezza e conflitti di interesse.
• ProcureLabs ha tre fondatori. David Hodge, CEO e Director, è responsabile della sicurezza e della protezione dei dati. La revisione da parte dei cofondatori e gli accordi indipendenti per il ripristino sono in fase di documentazione e verifica.
• Manteniamo un registro scritto dei rischi, riesaminato almeno annualmente e prima di modifiche significative.
• Manteniamo una procedura scritta per la verifica e la revisione dei nostri subincaricati. La sicurezza fisica dei server che eseguono ProcureLabs è fornita da AWS e Supabase; non gestiamo centri dati propri.
• Manteniamo un piano scritto di continuità operativa, riesaminato almeno annualmente.
• Disponiamo di una procedura scritta per verificare il ripristino del database dal backup. È stata completata un'esercitazione di ripristino limitata al database e la copia temporanea è stata rimossa. Restano da verificare il ripristino completo dell'applicazione, dell'autenticazione e dell'archiviazione degli oggetti, nonché l'accesso indipendente di un operatore alternativo.

Gestione delle modifiche e integrità del trattamento

• Le modifiche al codice raggiungono il nostro ramo principale tramite merge request che devono superare i controlli obbligatori della pipeline, inclusi la scansione dei segreti, i controlli delle migrazioni del database e una verifica che le dichiarazioni sulla sicurezza e sulla privacy presenti su questo sito corrispondano ancora al codice. La produzione viene rilasciata esclusivamente da quel ramo. Un test automatizzato fallisce se un controllo obbligatorio viene rimosso o gli viene consentito di fallire.
• Le debolezze note nel codice sono registrate nelle baseline e nel nostro registro delle evidenze di conformità. Una modifica che ne aggiunge una nuova, come un gestore degli errori che elimina silenziosamente un errore o una dichiarazione pubblicata il cui codice di supporto è cambiato, viene bloccata finché non viene corretta o registrata.
• La maggior parte degli endpoint di scrittura della nostra API verifica ogni corpo della richiesta rispetto a uno schema dichiarato e rifiuta con un errore 400 le richieste non conformi.
• Ogni esecuzione dei nostri motori di rilevamento registra, per ogni rilevatore, se l'esecuzione è stata completata e quanti risultati ha restituito, oppure se è fallita. Un errore viene registrato come errore, mai come «nessun risultato».