ASTRA AI OS

Sicurezza

Sicurezza — Astra AI OS

La sicurezza dei dati degli utenti è una priorità per Astra Digital Marketing & AI Automations. Di seguito descriviamo le misure adottate, senza sovrastimare le garanzie: nessun sistema è intrinsecamente inviolabile, e il nostro obiettivo è ridurre i rischi in modo proporzionato e trasparente.

1. Misure tecniche

• Sessioni cifrate: il cookie di sessione astra_token è trasmesso solo su HTTPS (TLS) e configurato con attributo HttpOnly, che ne impedisce l'accesso da JavaScript.
• Gestione dei segreti: chiavi API e parametri sensibili sono gestiti come variabili d'ambiente, mai esposti nel codice sorgente o in log pubblici.
• Autenticazione delegata: la piattaforma non memorizza password, affidandosi a provider OAuth (Google, Apple) per la gestione delle credenziali.
• Controlli di integrità sugli automatismi: i flussi degli Agenti AI sono soggetti a verifiche di integrità per rilevare comportamenti anomali o non conformi alle istruzioni.
• Audit delle azioni sensibili: le azioni degli Agenti che producono effetti su sistemi collegati sono registrate in log di audit, consultabili dall'Utente per tracciabilità.
• Infrastruttura su provider qualificati: il database è ospitato su Supabase (region UE eu-west-2); l'applicazione su Railway.

2. Gestione delle azioni degli Agenti AI

Gli Agenti AI agiscono esclusivamente su istruzione esplicita dell'Utente. Per impostazione predefinita, le azioni verso sistemi collegati che producono effetti rilevanti o potenzialmente irreversibili richiedono conferma esplicita dell'Utente prima dell'esecuzione. Nessuna azione autonoma irreversibile viene eseguita senza autorizzazione. L'autenticazione verso i sistemi collegati avviene tramite le credenziali fornite dall'Utente, che ne rimane responsabile.

3. Misure organizzative

• Accesso ai dati limitato al personale strettamente necessario per il servizio e il supporto.
• I sub-responsabili (Supabase, Anthropic, Railway) sono vincolati da accordi contrattuali con obblighi di sicurezza.
• Gestione degli incidenti conforme agli artt. 33-34 GDPR (notifica al Garante entro 72 ore in caso di violazione suscettibile di rischio per i diritti degli interessati).

4. Responsible disclosure

Se hai rilevato una vulnerabilità in Astra AI OS, ti chiediamo di segnalarcela in modo responsabile prima di renderla pubblica, scrivendo a agenziacrescita@gmail.com con oggetto "Security Disclosure — Astra AI OS". Ci impegniamo a rispondere entro 5 giorni lavorativi e a gestire la segnalazione con priorità. Non effettuare test che possano compromettere i dati di altri utenti o la disponibilità del servizio.

5. Limiti della sicurezza

Nessun sistema informatico offre garanzie assolute. Le misure descritte riducono significativamente i rischi, ma non eliminano la possibilità di incidenti derivanti da attacchi sofisticati, vulnerabilità non ancora note o fattori al di fuori del nostro controllo diretto (incluse le infrastrutture dei provider terzi). In caso di violazione con rischi per i diritti degli utenti, provvederemo alla comunicazione nei tempi previsti dalla normativa.

Ultima revisione: 17 giugno 2026.