Sicurezza e trattamento dati

In breve

• Server e database in Italia (Aruba S.p.A.).
• Ogni organizzazione vede solo i propri dati: aziende, analisi, contatti, progetti, offerte.
• Il codice dei tuoi repository non arriva a DeviL: arriva solo la scheda del progetto.
• Chiavi e segreti cifrati, token API conservati solo come impronta, password con bcrypt.
• Nessun invio di massa e nessuna email senza base giuridica: lo blocca il sistema.

Dove stanno i dati

L’applicazione e il database PostgreSQL girano su un server dedicato in Italia, presso Aruba S.p.A. Il traffico passa solo in HTTPS. I pagamenti sono gestiti da Stripe: DeviL non vede né conserva i dati delle carte.

Separazione fra organizzazioni

Ogni dato di lavoro appartiene a un’organizzazione e ogni lettura e scrittura è filtrata per organizzazione, nell’interfaccia, nell’API e negli strumenti MCP. Dentro l’organizzazione i ruoli decidono chi vede chiavi, impostazioni e fatturazione.

L’unica cosa condivisa è una copia tecnica delle pagine pubbliche dei siti aziendali (30 giorni) e della loro storia su archive.org (90 giorni), per non rileggere lo stesso sito più volte. Contiene solo ciò che è già pubblico; le tue analisi, i tuoi contatti e i tuoi riscontri restano tuoi.

I tuoi repository e Claude Code

Con Claude Code la lettura dei repository avviene sul tuo computer, con il tuo abbonamento Anthropic: a DeviL arriva solo la scheda del progetto (cosa fa, per chi, funzionalità, settori, parole chiave, maturità), che puoi correggere o cancellare in «I miei progetti». Collegando GitHub, DeviL legge solo README e package.json tramite API per proporre le bozze delle schede.

Il collegamento MCP usa un token creato da te in Impostazioni → Claude Code e API. Ogni token dà accesso solo agli strumenti del tuo livello e ai dati della tua organizzazione, si revoca con un clic, e DeviL ne conserva solo l’impronta (SHA-256): se qualcuno leggesse il database, non potrebbe usarlo.

Chiavi, password, accessi

• Le chiavi che inserisci (Anthropic, casella di posta, HubSpot, Pipedrive) sono cifrate con AES-256-GCM; nell’interfaccia si vedono solo le ultime cifre.
• Le password sono salvate con bcrypt (costo 12), mai in chiaro.
• Accesso e registrazione sono limitati a 5 tentativi ogni 15 minuti.
• I webhook in uscita sono firmati (HMAC-SHA256) e partono solo verso indirizzi HTTPS pubblici: niente reti interne, niente redirect.
• Le azioni dell’amministrazione della piattaforma sono registrate.

Contatti e regole privacy, nel sistema

Email e WhatsApp partono solo con una base giuridica registrata (consenso o rapporto in essere), una alla volta, dalla tua casella, con 60 secondi per annullare. La PEC è esclusa per le proposte commerciali. Per il telefono DeviL ricorda la verifica sul Registro delle Opposizioni e blocca i numeri iscritti. Le richieste di non essere più contattati valgono per sempre. Ogni invio è registrato: chi, quando, con quale base.

Le aziende vengono dalle fonti pubbliche elencate nell’informativa privacy: niente accessi con account e niente raccolte automatiche dai social. DeviL non vende né cede elenchi di contatti.

Ruoli GDPR

Per i lead e i contatti che gestisci, la tua organizzazione è titolare del trattamento e DeviL (Luca Porro) tratta i dati per tuo conto, come responsabile. Per l’account e la fatturazione, il titolare è Luca Porro.

Fornitori

Con Claude Code, le analisi passano dal tuo account Anthropic, secondo il tuo contratto con loro.

Esportare e cancellare

Puoi esportare le aziende in CSV con i filtri applicati e cancellare progetti, offerte e chiavi quando vuoi. Per chiudere l’organizzazione e cancellare i dati scrivi a devil@vibecanyon.com: rispondo entro 30 giorni.

Segnalare un problema di sicurezza

Se trovi una vulnerabilità, scrivi a devil@vibecanyon.com con oggetto «Sicurezza»: rispondo entro 72 ore e ti tengo aggiornato fino alla correzione. Ti chiedo di non accedere ai dati di altri e di darmi il tempo di correggere prima di renderla pubblica.