Scheda di sicurezza di FlowOS Ottobre 2026
Questo documento riassume le misure di sicurezza in vigore in FlowOS, ciò che definiamo con ciascun cliente prima della distribuzione e ciò che non abbiamo ancora.
Ambito di questo documento.
FlowOS è il sistema operativo IA per i vostri collaboratori: agenti, documenti, attività pianificate e connettori verso gli strumenti della vostra azienda. Questo documento descrive le misure applicate per proteggere la riservatezza, integrità e disponibilità dei vostri dati e dei trattamenti che ne derivano.
È destinato ai team IT, sicurezza, legale e compliance che valutano FlowOS. Gli impegni contrattuali (hosting, accordo sul trattamento dei dati, livelli di servizio, reversibilità) sono definiti con ciascun cliente prima della distribuzione.
Hosting definito con voi.
Dove sono ospitati l'applicazione FlowOS e i dati (documenti, conversazioni, log), e i fornitori di infrastruttura utilizzati, sono definiti con ciascun cliente prima della distribuzione. L'hosting può essere limitato a fornitori europei.
Fornitori di modelli
FlowOS instrada le richieste verso diversi fornitori di modelli: Anthropic (Claude), OpenAI, Google (Gemini) e Mistral. La modalità "EU only" limita l'uso a Mistral, un fornitore europeo. I dati inviati a un fornitore di modelli sono trattati da tale fornitore secondo le proprie condizioni.
Il sito thinkingplatforms.com
Il sito vetrina è ospitato da OVH SAS (Roubaix, Francia). Questo vale solo per il sito web, non per l'applicazione FlowOS.
I nostri impegni per la sicurezza.
| Tema | Stato | Dettagli |
|---|---|---|
| GDPR | DPA con ciascun cliente | Accordo sul trattamento dei dati firmato con ciascun cliente |
| Questionari di sicurezza | Su richiesta | Rispondiamo ai questionari dei vostri team |
| Revisione della sicurezza | Disponibile | Con il vostro reparto IT, prima della distribuzione |
Condividiamo la nostra documentazione di sicurezza e rispondiamo direttamente alle domande dei vostri team.
Tutto passa dal server FlowOS.
Il browser non dialoga mai direttamente con i fornitori di modelli o con i connettori. Le richieste passano dal server FlowOS, che verifica l'identità e i permessi dell'utente prima di accedere ai dati.
FlowOS ERP
Il livello IA di FlowOS ERP accede ai dati aziendali attraverso un unico gateway, con i permessi del ruolo dell'utente (dirigente, vendite, finanza, operations, collaboratore, amministratore), anche per le domande poste in linguaggio naturale.
Distribuzione privata
Una distribuzione privata o sulla vostra infrastruttura può essere valutata con i vostri team, in base ai vostri vincoli.
Connessioni cifrate, segreti protetti.
- In transito: connessioni cifrate (HTTPS), con HSTS quando il servizio è erogato tramite HTTPS.
- A riposo: dipende dall'hosting definito con voi; lo specifichiamo prima della distribuzione.
- Password: salate e sottoposte a hash con scrypt, mai conservate in chiaro.
- Chiavi API: le chiavi dei fornitori di modelli e dei connettori restano sul server e non vengono mai inviate al browser.
- Intestazioni HTTP: X-Frame-Options DENY, X-Content-Type-Options nosniff, Referrer-Policy no-referrer.
Permessi verificati a ogni richiesta.
- Autenticazione: e-mail e password, autenticazione a due fattori con codici da app (TOTP), single sign-on con account aziendali Google o Microsoft (OpenID Connect) quando configurato.
- Sessioni: token casuali con durata limitata.
- Ruoli: amministratore, manager e membro, verificati lato server prima di qualsiasi accesso ai dati.
- Forza bruta: i tentativi di accesso sono limitati per frequenza.
- Account: un amministratore può disattivare un account o reimpostarne l'autenticazione a due fattori, con effetto immediato.
Chi ha fatto cosa, e quando.
FlowOS registra le azioni importanti in un registro di audit specifico per ciascuna organizzazione, che gli amministratori possono consultare:
- Accessi, accessi non riusciti e modifiche dell'autenticazione a due fattori
- Inviti, cambi di ruolo e disattivazioni di account
- Documenti, cartelle e link di condivisione
- Chiamate ai modelli e utilizzo degli agenti
- Connettori aggiunti o rimossi
- In FlowOS ERP: inserimenti di dati, domande, preparazioni e azioni dell'IA, approvazioni e rifiuti
Impegni previsti dal contratto.
- Violazione dei dati: in caso di violazione di dati personali che vi riguardi, vi informiamo senza ingiustificato ritardo, come richiesto dal GDPR e dall'accordo sul trattamento dei dati.
- Livelli di servizio: tempi di risposta e di supporto definiti con voi nel contratto.
- Segnalazioni di vulnerabilità: scrivete a contact@thinkingplatforms.com.
Non addestriamo modelli sui vostri dati.
Thinking Platforms non addestra i propri modelli sui dati dei suoi clienti. FlowOS utilizza le offerte API professionali dei fornitori di modelli; la scelta del fornitore e le sue condizioni sui dati vengono riviste insieme a voi.
Modelli utilizzati
Prima della distribuzione vi indichiamo quali fornitori di modelli vengono utilizzati e in quale modalità, ad esempio "EU only".
Guardrail
Livelli di autonomia per tipo di azione. In FlowOS ERP, pagamenti ed eliminazioni richiedono sempre l'approvazione umana. Limiti di utilizzo per agente e per organizzazione.
Una domanda, un questionario, una revisione?
Scriveteci a contact@thinkingplatforms.com. Rispondiamo alle domande dei vostri team e, se necessario, organizziamo una revisione della sicurezza con il vostro reparto IT.
Ricevete la nostra documentazione di sicurezza
Misure in vigore, risposte alle domande IT più comuni e punti da definire insieme.