Fiducia e sicurezza
Progettato per essere autonomo. Sicuro per impostazione predefinita.
Proofpoints trasforma le parole dei suoi clienti in storie pubblicate. Lo abbiamo creato per meritare la fiducia delle organizzazioni più attente alla sicurezza al mondo – e tutto parte da una semplice scelta architetturale: non ci colleghiamo mai ai suoi sistemi.
Non esiste alcuna integrazione con il suo CRM, la sua pipeline di vendita, i suoi sistemi finanziari, il suo identity provider o la sua rete interna. Non c'è nulla da collegare. Ci arrivano soltanto i contenuti delle storie che i suoi ambassador scelgono di condividere e i contatti specifici che lei decide di invitare a una campagna – mai una connessione ai sistemi in cui risiedono i suoi dati sensibili.
Il perimetro di fiducia
Cosa attraversa il confine – e cosa non lo attraversa mai
Tutto ciò che si trova a sinistra è quanto serve a una storia. Tutto ciò che si trova a destra resta sempre entro le sue mura. Siamo un servizio circoscritto, con un unico scopo e una superficie d'attacco volutamente ridotta.
In entrata
· Trascrizione dell'intervista
· Contenuti e modifiche della Storia
· Nome e ruolo dell'Ambassador
· Contatti della Campagna che carica (nome, ruolo, email aziendale)
· Nome dell'azienda e informazioni pubbliche
Il perimetro di Proofpoints
Crittografato. Ospitato nell'UE. Isolato per ogni organizzazione. Trattato solo per realizzare la sua storia.
› Database e registro di audit (UE)
› Archiviazione crittografata dei file
› Modelli di IA (mai addestrati sui suoi dati)
› Trascrizione
Non attraversa mai
✕ Il suo CRM
✕ Dati di vendita e della pipeline
✕ Sistemi finanziari
✕ Provider di identità / directory SSO
✕ Reti interne
✕ I suoi database di clienti o dipendenti
Non tocchiamo nessuno dei suoi sistemi e non acquisiamo i suoi dati operativi in blocco. Ciò che conserviamo si limita ai contenuti delle storie e ai contatti di campagna specifici che ci fornisce – un'impronta volutamente ridotta e ben definita.
Ambito dei dati
Solo ciò che serve a una storia
Cosa conserviamo
La trascrizione dell'intervista e la storia così come viene scritta e modificata; il nome e il ruolo dell'ambassador; le informazioni pubbliche dell'azienda cliente; e, per una campagna, i contatti che sceglie di invitare – nome, ruolo ed email aziendale. Nient'altro.
Come gestiamo i dati di contatto
Si tratta delle persone specifiche che intende presentare in una storia – un gruppo ristretto e selezionato di potenziali ambassador, non una lista per invii massivi. Agiamo in qualità di responsabile del trattamento per suo conto: i loro dati vengono usati solo per invitarli e raccogliere la loro storia, e non vengono mai venduti, condivisi né utilizzati per addestrare l'IA. Sono trattati ai sensi del GDPR, coperti dal nostro DPA e cancellati su richiesta.
Consenso per ciò che viene pubblicato
Il consenso alla registrazione e una fase di approvazione formale sono integrati nel flusso di lavoro. L'ambassador revisiona e approva la propria storia prima della pubblicazione – non pubblicherà mai nulla che nessuno abbia approvato.
Dove risiedono i dati
Hosting, residenza dei dati e sub-responsabili
Proofpoints si basa su uno stack conforme a SOC 2. Ogni fornitore di infrastruttura indicato di seguito – database, hosting, archiviazione file, email e pagamenti – dispone di un report SOC 2 Type II aggiornato, sottoposto ogni anno ad audit indipendente. I tre che archiviano i suoi dati – database, hosting e archiviazione file – sono inoltre certificati ISO 27001, e i suoi dati sono ospitati nell'UE. I nostri fornitori di infrastruttura sono indicati di seguito; i servizi specialistici sono elencati in base a ciò che fanno e ai dati a cui possono accedere. L'elenco nominativo completo viene fornito ai clienti, e ai potenziali clienti previa sottoscrizione di un NDA, con notifica di qualsiasi modifica.
Per i clienti statunitensi e di altri Paesi extra UE: l'hosting nell'UE rispetta lo standard di protezione dei dati più rigoroso, quindi i Suoi dati sono tutelati al massimo livello. Una protezione più elevata è un vantaggio, non un vincolo, e i meccanismi standard coprono qualsiasi trasferimento transfrontaliero. Se la Sua organizzazione richiede una specifica regione di hosting, ci contatti.
IA e i Suoi dati
Le Sue parole non diventano mai dati di addestramento
Non addestriamo mai modelli sui Suoi contenuti
Proofpoints non utilizza mai le Sue storie, trascrizioni o dati per addestrare alcun modello.
E nemmeno i nostri fornitori di modelli
Utilizziamo esclusivamente modelli di frontiera, ovvero gli attuali modelli di punta dei principali laboratori di IA, tramite termini contrattuali delle API che vietano l'addestramento sui dati inviati e prevedono una conservazione breve o nulla. Ogni chiamata al modello viene elaborata nella regione del fornitore per la sola durata della chiamata; le storie e i file archiviati non lasciano mai l'UE. Per gli incarichi enterprise, instradiamo le richieste esclusivamente verso questi fornitori.
Sempre sotto il controllo umano
L'AI redige, le persone decidono. Ogni storia viene revisionata e approvata da una persona prima della pubblicazione. Nessun contenuto viene pubblicato automaticamente da un modello.
Dove viene usata l'AI, nel dettaglio
Massima trasparenza su ogni attività che coinvolge un modello: cosa fa e quali dati vede. In ogni caso si tratta esclusivamente dei dati del singolo tenant, e il risultato viene sempre revisionato da una persona.
Il team di Proofpoints seleziona i modelli disponibili e li mantiene aggiornati: solo modelli di frontiera, mai modelli piccoli, non verificati o ospitati autonomamente. Gli amministratori scelgono tra questi modelli e possono personalizzare le istruzioni alla base di ogni attività. Ogni output è modificabile e ogni storia viene revisionata e approvata da una persona prima della pubblicazione.
Come vengono contrassegnati i contenuti generati dall'AI
L'articolo 50 dell'AI Act dell'UE richiede che i contenuti generati dall'AI siano riconoscibili come tali e che le persone sappiano quando stanno interagendo con un'AI. Ecco cosa applichiamo oggi, in ogni contesto. Il principio cardine è più antico di qualsiasi normativa: la persona citata legge la storia completata e la approva a proprio nome.
Non ancora: credenziali di contenuto con firma crittografica (C2PA) sui file esportati. Rivaluteremo la questione quando un cliente o una procedura di procurement lo richiederà. Non sottoponiamo le storie a “rilevatori di AI”: spieghiamo i motivi nei nostri standard.
Controlli
Come li proteggiamo, giorno dopo giorno
Isolamento dei tenant
I dati di ogni organizzazione sono rigorosamente separati. Le richieste tra tenant diversi restituiscono 'non trovato' – mai i dati di un altro cliente, né alcun indizio della loro esistenza.
Accesso basato sui ruoli
I ruoli di membro, amministratore e proprietario regolano ogni azione. Lettura, scrittura ed eliminazione richiedono ciascuna il ruolo appropriato, verificato lato server a ogni richiesta.
Crittografia ovunque
Tutti i dati sono crittografati in transito (TLS) e a riposo per impostazione predefinita nei nostri database, nell'archiviazione dei file e nei backup.
Log di audit
Ogni creazione, modifica ed eliminazione viene registrata con utente, azione, risorsa, IP e data e ora, e conservata per almeno due anni.
Privilegio minimo
Le chiavi amministrative restano esclusivamente lato server e non vengono mai esposte al browser. La firma dei webhook viene verificata prima di qualsiasi elaborazione.
Sicuro per impostazione predefinita
Header di sicurezza nelle risposte, validazione rigorosa degli input a ogni richiesta ed errori interni del database mai esposti ai client.
Conformità
A che punto siamo
Proofpoints possiede la certificazione Cyber Essentials, lo standard di base del National Cyber Security Centre del Regno Unito, rilasciata da IASME il 16 October 2026 e valida fino al October 2027. Viene rinnovata ogni anno e il certificato è verificabile nel registro pubblico.
La piattaforma è progettata in conformità ai controlli SOC 2: isolamento dei tenant, privilegio minimo, crittografia, log di audit e gestione delle modifiche sono integrati nella progettazione, non aggiunti in un secondo momento. Una verifica formale SOC 2 e un penetration test indipendente sono nella nostra roadmap; siamo lieti di condividere stato attuale, evidenze e tempistiche sotto NDA. Supportiamo l'adempimento degli obblighi GDPR e la residenza dei dati nell'UE, e mettiamo a disposizione un accordo sul trattamento dei dati (DPA) con una clausola esplicita che esclude l'addestramento dell'AI. Siamo registrati presso l'Information Commissioner's Office (ICO) del Regno Unito, numero di registrazione ZC197482.
Per il resto, preferiamo dirLe con esattezza a che punto siamo piuttosto che lasciar intendere un riconoscimento che non abbiamo ottenuto. Se una certificazione è per Lei un requisito vincolante, ci contatti – Le mostreremo il piano.
Le domande di una revisione di sicurezza
Una riga per ciascuna, per una consultazione rapida da parte del revisore.
Due diligence
Il pacchetto di sicurezza
Pubblico – questa pagina
La nostra architettura, l'ambito dei dati trattati, l'elenco dei sub-responsabili, il nostro approccio all'IA e i controlli adottati. Tutto ciò che serve per una prima valutazione, senza bisogno di NDA.
Riservato – previo NDA
Il pacchetto di evidenze: stato e report delle verifiche di sicurezza, risultati dei penetration test, un questionario di sicurezza compilato (CAIQ / SIG), il nostro DPA e gli accordi con i sub-responsabili, oltre a una mappatura dettagliata dei flussi di dati da esaminare. Lo richieda e glielo invieremo in tempi rapidi.
Domande sulla sicurezza o sulla due diligence? Scriva a security@proofpoints.com. Stato del servizio in tempo reale: proofpoints.betteruptime.com. Per segnalare una vulnerabilità, utilizzi lo stesso indirizzo – rispondiamo tempestivamente e non intraprenderemo azioni contro i ricercatori in buona fede.