Sicurezza & Compliance

Architettura, residenza dati e controlli di sicurezza che adottiamo per proteggere i tuoi contenuti, le voci clonate e i dati di pagamento.

HTTPS/TLS in transito

Cifratura a riposo secondo i provider di infrastruttura

Infrastruttura cloud gestita

Audit log di sicurezza

Data residency e infrastruttura

Database Supabase Postgres, secondo la configurazione del progetto e le misure tecniche e organizzative del provider.
CDN Cloudflare. Traffico servito su HTTPS; eventuali protezioni di rete dipendono dalla configurazione del servizio.
API backend Railway, secondo la configurazione del servizio.
Object storage (R2) Cloudflare R2, secondo la configurazione del servizio e le misure di sicurezza del provider.
Pagamenti Stripe — PCI-DSS Level 1. Nessun numero di carta transita o è memorizzato sui nostri sistemi.

Password con hashing bcrypt (cost 12).
OTP a 6 cifre sull'email per signup e password reset.
Session token httpOnly + Secure + SameSite=None (richiesto per l'uso cross-origin tra app e API).
Accesso con Google; per il tier Enterprise è disponibile una configurazione SSO SAML 2.0.

Il campione vocale grezzo è un dato personale. Le caratteristiche vocali elaborate e il modello vocale derivato sono anch'essi dati personali e possono costituire dati biometrici ai sensi dell'Art. 9 GDPR quando derivano da un trattamento tecnico specifico finalizzato a identificare in modo univoco una persona (identificazione/autenticazione vocale). La clonazione/sintesi vocale che offriamo non ha lo scopo di identificarti univocamente, ma adottiamo comunque, in via prudenziale, le stesse garanzie previste per i dati biometrici — vedi Informativa sui dati biometrici.
Consenso elettronico registrato (testo, versione, IP, data e ora).
Controllo cross-lingua — la sintesi è bloccata in qualsiasi lingua non esplicitamente autorizzata dall'utente al momento dell'enrollment. Tentativi non autorizzati generano un safety_event di tipo consent_violation.
Distruzione anticipata quando la finalità viene meno, alla revoca del consenso o alla cancellazione del profilo; limite massimo interno attuale di 1095 giorni dal consenso (vedi l'Informativa sui dati biometrici). Revoca ed eliminazione su richiesta.

Eventi di sicurezza selezionati (ad es. accessi, gestione dell'account, accessi SSO e azioni amministrative) sono registrati nella tabella audit_events con IP, user-agent e timestamp UTC.
Esportazione CSV disponibile dalla dashboard amministratore (ruolo admin).
L'esportazione stessa è auditata (azione admin.audit_exported).

Log applicativi e di infrastruttura gestiti tramite i servizi dei provider di hosting.
Webhook Stripe firmati (HMAC SHA-256) — payload non firmati vengono respinti.
In caso di violazione dei dati personali che presenti un rischio per i diritti e le libertà delle persone, la notifica all'autorità di controllo avviene senza ingiustificato ritardo e, ove possibile, entro 72 ore dalla conoscenza della violazione, e gli interessati sono informati nei casi previsti (GDPR artt. 33-34).

GDPR (UE 2016/679)

In fase di allineamento

BIPA (Illinois — biometria)

In fase di allineamento

Incidenti di sicurezza: security@fynqcast.com

Privacy: privacy@fynqcast.com