Hosting
HONESTAS opera in uno di questi due ambienti, con lo stesso software in entrambi.
- Il nostro cloud UE. Data center in Irlanda. I tuoi dati sono archiviati ed elaborati nell'Unione europea, e sei tu a scegliere dove conservare ciascuna tipologia di dati: nel nostro cloud UE o nel tuo data center.
- Il tuo data center. HONESTAS installato sul tuo hardware, protetto dai tuoi controlli di rete. Gli aggiornamenti arrivano come pacchetti firmati che approvi prima dell'esecuzione.
In entrambi i casi, le registrazioni sigillate vengono scritte in un archivio esterno all'installazione, con una marca temporale esterna, in modo che la compromissione di un'installazione non possa riscriverne la cronologia.
Crittografia e chiavi
- I dati sono crittografati in transito e a riposo, con una chiave distinta per ciascuna azienda.
- Puoi custodire le tue chiavi nel tuo archivio chiavi. Se revochi la chiave, i dati che protegge non potranno più essere letti.
- Le chiavi che sigillano le registrazioni sono tenute separate da quelle che proteggono i dati e non sono mai disponibili per le persone che firmano le decisioni.
- Le chiamate all'IA vengono eseguite sui tuoi account e con le tue chiavi del fornitore del modello, in base ai tuoi contratti. Ogni chiamata viene registrata con la chiave, il modello e la versione utilizzati.
- I numeri delle carte di pagamento non raggiungono mai HONESTAS. I clienti li digitano direttamente nei campi del prestatore di servizi di pagamento.
Isolamento
Ogni richiesta in HONESTAS indica tre elementi: l'azienda a cui appartiene, il titolare dei dati e l'unità richiedente. Una richiesta che non specifica tutti e tre gli elementi viene rifiutata con il codice SCOPE_REFUSED e il rifiuto viene registrato.
- Tra aziende. Ogni compagnia assicurativa, broker, MGA o TPA dispone del proprio spazio e delle proprie chiavi. In una stanza di piazzamento condivisa, la barriera tra i mercati viene verificata prima dell'invio di ogni messaggio.
- Tra titolari. Un TPA o un broker che lavora per più clienti conserva le registrazioni di ciascun cliente a nome di quest'ultimo.
- Tra unità. Team come l'unità investigativa speciale (SIU) possono essere isolati all'interno della stessa azienda.
Ogni file caricato viene aperto in una sandbox priva di accesso alla rete, letto ed eliminato.
Accesso
- Gli utenti effettuano l'accesso tramite il tuo identity provider utilizzando SAML o OIDC, con gli account mantenuti sincronizzati tramite SCIM. Le firme sulle decisioni utilizzano passkey sul dispositivo personale dell'utente.
- I ruoli stabiliscono cosa ciascuna persona può vedere e fare. Le modifiche delicate, come un nuovo limite di sottoscrizione o una nuova versione del modello, richiedono l'approvazione di una seconda persona.
- In caso di emergenza, a un amministratore può essere concesso l'accesso completo per un breve periodo, sotto la supervisione di una seconda persona e con la registrazione di ogni passaggio.
- L'accesso da parte del personale di Adverant è limitato, soggetto ad approvazione e registrato.
Registrazione dei log
Ogni accesso, lettura, modifica, chiamata all'IA e azione dell'amministratore viene registrato nei log indicando chi, cosa, quando e da dove. I log sono conservati all'esterno della tua installazione, non possono essere modificati e vengono mantenuti per il periodo da te impostato. Puoi inviarli ai tuoi strumenti di sicurezza tramite l'API degli eventi.
Test
- Tester indipendenti verificano la presenza di eventuali vulnerabilità in HONESTAS. Risolviamo i problemi rilevati in ordine di gravità.
- Ogni build è firmata e il software che contiene viene controllato per individuare eventuali vulnerabilità note prima del rilascio.
- I controlli che rifiutano le decisioni, il sigillo e le barriere tra le aziende vengono testati a ogni rilascio.
Incidenti
Se un incidente interessa i tuoi dati, informiamo senza ingiustificato ritardo il tuo referente per la sicurezza designato e seguiamo il piano previsto dal tuo contratto. Ti forniamo una cronologia a partire dal primo avviso e gli elementi fattuali necessari per adempiere ai tuoi obblighi di segnalazione ai sensi di DORA e del GDPR.
Segnala un problema
Invia un'email a security@honestas.ai. Ti preghiamo di includere:
- cosa hai trovato e dove (l'indirizzo, la schermata o il componente);
- i passaggi per riprodurlo, con eventuale codice proof-of-concept o screenshot;
- cosa potrebbe farne un malintenzionato, secondo la tua valutazione;
- come contattarti e se desideri ricevere un riconoscimento.
Se possibile, scrivi in inglese. Una sola segnalazione chiara è più utile di tante segnalazioni brevi. Ti preghiamo di non includere eventuali dati personali in cui ti sei imbattuto; limitati a descriverli. Risolviamo per primi i problemi più gravi, ti avvisiamo quando la correzione è stata rilasciata e concordiamo con te quando i dettagli possono essere condivisi.
Ambito di applicazione
- honestas.ai e i relativi sottodomini, inclusa la console HONESTAS;
- HONESTAS così come gestito nel nostro cloud UE, inclusi il sistema di accesso, l'archivio delle registrazioni e il verificatore delle registrazioni;
- le app HONESTAS per iOS e Android, l'SDK dello storefront e l'API pubblica.
Fuori ambito: attacchi al nostro personale (phishing, social engineering), attacchi fisici, denial of service, risultati che richiedono un dispositivo già compromesso e segnalazioni generate da scanner automatizzati senza un impatto dimostrato. Un'installazione nel data center di un cliente appartiene a quel cliente; ti preghiamo di segnalare eventuali problemi riscontrati in tale sede sia a loro che a noi.
Regole per i ricercatori
- Utilizza solo account e dati tuoi o che ti sono stati forniti per i test.
- Limita le tue azioni al minimo necessario per dimostrare il problema. Fermati e avvisaci non appena raggiungi i dati di un'altra azienda.
- Non modificare né eliminare dati, non degradare il servizio e non mantenere l'accesso più a lungo del necessario.
- Mantieni riservati i dettagli finché non avremo concordato una data di divulgazione.
Safe harbour
Se agisci in buona fede e rispetti queste regole, considereremo la tua ricerca come autorizzata. Non intraprenderemo azioni legali contro di te né ti segnaleremo alle autorità per questo e, qualora lo facesse qualcun altro, chiariremo che hai agito con il nostro permesso. Ciò non copre azioni che violano la legge in modi che queste regole non possono autorizzare.
Divulgazione
Preferiamo pubblicare i dettagli dopo che la correzione è stata resa disponibile a tutti gli interessati. Concorderemo le tempistiche con te e non ti chiederemo di mantenere il riserbo più a lungo di quanto necessario per proteggere i nostri clienti. In caso di disaccordo, ti spiegheremo il perché.
Se sei un cliente, segnala un sospetto incidente tramite il referente per la sicurezza indicato nel tuo contratto o tramite l'assistenza all'interno di HONESTAS, così potremo seguire il tuo piano di risposta agli incidenti. Per sapere dove risiedono i tuoi dati e quali normative mappiamo, visita il centro fiducia.
Ultimo aggiornamento: 23 ottobre 2026