I miei audio sono cifrati?

Nel tragitto verso di noi e ritorno, sì: ogni connessione usa HTTPS (TLS 1.2 o 1.3). Sui nostri server non può essere nascosto a noi, perché i nostri server e il partner di riconoscimento vocale devono leggere l'audio per trascriverlo. Non aggiungiamo la cifratura del disco sui server. I backup notturni del database sono cifrati prima di lasciare il server, con una chiave che resta da noi.

Dove sono archiviati i miei dati, e escono dall'UE?

Le tue registrazioni e i dati dell'account sono archiviati sui nostri server presso Hetzner in Germania. L'audio esce dall'UE una volta: il riconoscimento vocale gira sull'endpoint statunitense di AssemblyAI. Le funzioni di IA inviano il testo della trascrizione a OpenRouter e ai fornitori di modelli che stanno dietro. Ogni partner e la sua sede sono elencati nella pagina dei sub-responsabili.

Usate le mie registrazioni per addestrare l'IA?

No, e non le vendiamo. Nel codice di SozAI nulla invia le tue registrazioni o trascrizioni all'addestramento di modelli. I partner che le elaborano, come il fornitore del riconoscimento vocale e i fornitori dei modelli di IA, operano secondo i propri termini, e li colleghiamo uno per uno dalla pagina dei sub-responsabili, così puoi leggerli tu stesso. Gli strumenti gratuiti del sito usano modelli gratuiti, i cui fornitori possono conservare ciò che ricevono.

Cosa succede ai miei dati quando elimino una registrazione?

Il file audio e tutto ciò che ne è stato generato vengono rimossi subito dai nostri server. Gli appunti che hai scritto tu stesso in Note restano finché non li elimini. Una copia cifrata del database può rimanere nei nostri backup fino a 12 mesi. La copia del partner di riconoscimento vocale segue le sue condizioni di conservazione; per ora non gli inviamo una richiesta di cancellazione.

SozAI è conforme a HIPAA o certificato SOC 2?

Nessuna delle due cose. Non firmiamo un Business Associate Agreement e non abbiamo un report SOC 2, quindi SozAI non è lo strumento giusto per le informazioni sui pazienti. Va bene per lezioni e interviste di ricerca. I clinici possono guardare notavik, la nostra app sorella, che tiene registrazione e appunti sul dispositivo. I data center che affittiamo sono certificati ISO/IEC 27001, ma quel certificato è di Hetzner.

SozAI supporta SSO o l'accesso a due fattori?

Non ancora. Si accede con un account Google o Apple, oppure con un codice di sei cifre inviato via e-mail, valido tre minuti. Non ci sono password SozAI. Se il tuo account Google o Apple usa l'accesso a due fattori, questo protegge anche il tuo accesso a SozAI. Il single sign-on e i ruoli di amministratore per i team oggi non esistono; se il tuo team ne ha bisogno, scrivici a support@sozai.app.

SozAI è conforme al GDPR?

Non ci mettiamo un bollino, perché un bollino non dimostra nulla. Ecco cosa puoi verificare: i tuoi dati sono archiviati in Germania, ogni azienda che li elabora è elencata pubblicamente e puoi esportare le trascrizioni ed eliminare una registrazione o l'intero account da solo. Il riconoscimento vocale avviene negli Stati Uniti. Il nostro accordo sul trattamento dei dati include le clausole contrattuali standard dell'UE e si applica automaticamente all'uso aziendale.

Sicurezza SozAI: dove vanno le registrazioni e chi le elabora

Per una revisione di sicurezza

Tutto ciò che un revisore di solito chiede è pubblico: il Trust Center con ogni controllo e la sua prova, un questionario di sicurezza già compilato, come SozAI usa l'IA, l'elenco dei sub-responsabili del trattamento e un accordo sul trattamento dei dati (DPA) con le clausole contrattuali standard dell'UE, che si applica automaticamente all'uso aziendale.

Dove sono archiviati i tuoi file

Le tue registrazioni e tutto ciò che ne deriva si trovano sui nostri server presso Hetzner, in Germania. I parchi di data center di Hetzner sono certificati ISO/IEC 27001:2022. Quel certificato appartiene a Hetzner, non a SozAI: noi non abbiamo certificazioni proprie.

Ogni connessione di ogni app ed estensione usa HTTPS (TLS 1.2 o 1.3). Davanti ai nostri siti c'è Cloudflare, quindi il traffico viene decifrato al bordo della rete di Cloudflare e cifrato di nuovo nel tragitto verso i nostri server. Sui server non aggiungiamo noi una cifratura del disco. I backup notturni del database vengono cifrati sul server prima di lasciarlo.

L'audio resta sui nostri server finché non elimini la registrazione o l'account, a meno che tu non scelga nell'app di eliminarlo 30 giorni dopo la trascrizione o subito dopo. Le trascrizioni non vengono mai eliminate automaticamente.

Chi elabora una registrazione, e quando

L'archiviazione è in Germania, ma il lavoro lo fanno i partner, e il più grande è negli Stati Uniti: l'audio di ogni file caricato e di ogni registrazione dell'app va all'endpoint statunitense di AssemblyAI per il riconoscimento vocale. La tabella mostra quale partner riceve cosa per ogni azione. L'elenco completo, con i link alla pagina privacy di ciascuna azienda, è su /subprocessors/.

Quando	Chi lo elabora	Cosa riceve
Carichi un file o registri nell'app	AssemblyAI (USA)	L'audio. Restituisce il testo con interlocutori e marcatori temporali.
Incolli un link di YouTube	Google Gemini API	Il link e le nostre istruzioni. Nessun audio da parte tua.
Chiedi un riassunto, appunti, flashcard, un quiz, la traduzione di una trascrizione o una risposta in chat	OpenRouter, che passa la richiesta a modelli di Anthropic, Google o xAI (DeepSeek come alternativa di riserva)	Il testo della trascrizione, più le pagine di un PDF o le foto che aggiungi come fonte
Detti in una nota o usi Voice Translate	Riconoscimento vocale di Apple o Google, tramite il sistema del tuo telefono	L'audio che detti
Ti abboni	Apple o Google, e RevenueCat	Ricevute di acquisto, stato dell'abbonamento, il tuo ID utente dell'app e l'e-mail
Scrivi all'assistenza dall'app	Telegram, dove si trova la nostra casella di assistenza	Il tuo messaggio e l'indirizzo e-mail; l'app aggiunge la propria versione

L'app invia inoltre notifiche push tramite Google Firebase e comunica a Meta eventi come installazioni e acquisti per la misurazione pubblicitaria. Le tue registrazioni e trascrizioni non fanno parte di quegli eventi.

Cosa rimuove l'eliminazione, e cosa no

Puoi eliminare una registrazione, o l'intero account, da solo, in una qualsiasi delle nostre app o su web.sozai.app. Non devi scrivere all'assistenza.

Eliminare una registrazione rimuove dai nostri server il suo file audio e tutto ciò che ne è stato generato: trascrizione, riassunto, appunti, flashcard, quiz, traduzioni e messaggi di chat. Restano due cose: gli appunti che hai scritto tu stesso in Note a partire da quella registrazione e una conversazione vuota. Eliminare l'account rimuove tutto ciò che gli appartiene, compresi quegli appunti. Se hai effettuato l'accesso con Apple, revochiamo anche il token di accesso Apple.

Tre limiti che è bene conoscere:

Il database (trascrizioni, appunti, dati dell'account) viene salvato ogni notte su Cloudflare R2, cifrato prima del caricamento. Conserviamo 14 copie giornaliere, 8 settimanali e 12 mensili, quindi una trascrizione eliminata può restare in un backup cifrato fino a 12 mesi. I file audio non sono in questi backup. Una volta al mese ripristiniamo l'ultimo backup per verificare che funzioni.
L'eliminazione in SozAI non invia ancora una richiesta di cancellazione ad AssemblyAI. La copia che ha elaborato segue le condizioni di conservazione di AssemblyAI stesso.
Il testo che un partner ha ricevuto per svolgere il suo compito (una richiesta di riassunto, una domanda in chat) è trattato secondo i termini di quel partner, collegati da /subprocessors/.

Accesso all'account

Ci sono tre modi per entrare: Google, Apple o un codice di sei cifre che ti inviamo via e-mail, valido tre minuti. SozAI non ha password, quindi non ce ne sono da far trapelare o riutilizzare. L'app per telefono può anche partire come ospite, senza e-mail; l'app web chiede sempre di accedere. Un solo account funziona ovunque tu possa accedere a SozAI.

Non esiste un'opzione separata di autenticazione a due fattori. Se il tuo account Google o Apple ha l'accesso a due fattori attivo, questo protegge anche il tuo accesso a SozAI.

Cosa non offriamo ancora

Una revisione di sicurezza va più veloce quando le lacune sono scritte, quindi eccole:

Nessuna conformità HIPAA e nessun Business Associate Agreement (BAA). Non usare SozAI per informazioni sui pazienti. Per gli appunti clinici, la nostra app sorella notavik funziona interamente sul dispositivo.
Nessun report SOC 2 e nessun certificato ISO proprio.
Nessun single sign-on (SAML o OIDC) per le organizzazioni.
Nessuno spazio di lavoro per team o ruoli di amministratore, e nessun registro di audit. Ogni persona ha il proprio account e la propria libreria.

Gli strumenti gratuiti su sozai.app funzionano in modo diverso

Gli strumenti per quiz e flashcard e i riassunti su sozai.app/tools/ non richiedono un account e conservano i risultati nel tuo browser. Per creare le domande o le schede, inviano il testo che incolli, o il testo del video di YouTube o del PDF che scegli, a modelli di IA gratuiti tramite OpenRouter. I fornitori dei modelli gratuiti possono conservare o usare ciò che ricevono secondo i propri termini. Non incollare nulla di riservato: usa invece l'app.

Quando uno strumento trascrive un file, invia i primi cinque minuti di audio ad AssemblyAI ed elimina quel lavoro dopo l'elaborazione.

Come segnalare un problema di sicurezza

Scrivi a [email protected] con "Security" nell'oggetto. Dicci cosa hai trovato, come riprodurlo e quale parte di SozAI riguarda. Di solito rispondiamo entro un giorno lavorativo. Ti chiediamo di darci la possibilità di risolvere il problema prima di pubblicarlo e di non accedere ai dati di altre persone durante i test. Non gestiamo un programma bug bounty a pagamento.

Come SozAI tratta le tue registrazioni

In breve