La sicurezza in True Aim

Ultimo aggiornamento: 2026-10-31

Segnalare una vulnerabilità: security@trueaim.ai. Confermiamo la ricezione delle segnalazioni entro 5 giorni lavorativi. Si veda Divulgazione responsabile.

True Aim AG opera una piattaforma per la gestione dei sinistri destinata ad assicuratori, broker e a qualsiasi soggetto della catena del valore assicurativa che gestisce o tratta sinistri. La sicurezza è un requisito fondamentale del nostro Servizio, e i nostri clienti ci affidano i dati personali dei loro assicurati. Questa pagina descrive il nostro programma di sicurezza a grandi linee. Per le evidenze complete a livello di audit (rapporto SOC 2 Type II una volta emesso, certificato ISO 27001, elenco dei sub-responsabili, accordo sul trattamento dei dati), contattate security@trueaim.ai. Sono disponibili previo accordo di riservatezza (NDA).

Framework di conformità

ISO/IEC 27001:2022: certificato da A-LIGN, certificato ISMS-TR-090426, rilasciato il 4 settembre 2026, valido fino al 4 settembre 2029.
SOC 2 Type II: audit completato, relativo al periodo dal 1° maggio al 31 luglio 2026; il rapporto finale è stato emesso.
LPD svizzera e GDPR: allineata come responsabile del trattamento per i dati dei clienti.
AI Act (regolamento europeo sull’IA): documentazione tecnica IA (AI Technical File) mantenuta per Automated Coverage Check; lo stato di preparazione attuale è documentato e monitorato.

Dove vengono trattati i dati

I dati dei clienti a riposo sono conservati su Microsoft Azure nella regione Switzerland North. Hosting e inferenza IA restano in Svizzera, nel SEE o nel Regno Unito; le eccezioni sono indicate nell’elenco dei sub-responsabili, Allegato 2 del nostro accordo sul trattamento dei dati.

Sub-responsabili del trattamento

Utilizziamo un insieme limitato di servizi Microsoft Azure per hosting, inferenza IA e telemetria operativa, oltre a Google Cloud (modelli Gemini per l’inferenza IA nell’UE), Google Workspace (per la posta elettronica aziendale), Slack (per la comunicazione interna del team) e Sentry (solo log tecnici degli errori). L’elenco attuale costituisce l’Allegato 2 del nostro accordo sul trattamento dei dati ed è disponibile su richiesta. Informiamo i clienti in anticipo delle modifiche. Gli strumenti esclusivamente interni (controllo del codice sorgente, CI/CD, CRM) che non trattano dati di produzione dei Tenant non sono sub-responsabili verso i clienti e non sono elencati.

Cifratura

Tutti i dati sono cifrati in transito (TLS 1.2 o superiore) e a riposo (AES-256 tramite la cifratura della piattaforma Azure). I segreti applicativi sono conservati in Azure Key Vault con eliminazione temporanea e protezione dall’eliminazione definitiva attivate.

Controllo degli accessi

L’accesso ai dati dei clienti è limitato al personale autorizzato di True Aim secondo i principi del minimo privilegio e della necessità di conoscere, applicati tramite controlli di accesso basati sui ruoli e Azure Managed Identities. L’autenticazione a più fattori è obbligatoria per tutti gli account dei dipendenti.

Monitoraggio e risposta agli incidenti

Gestiamo logging, allerta e monitoraggio continui dell’ambiente di produzione tramite Microsoft Defender for Cloud e Azure Monitor. Manteniamo una procedura documentata di risposta agli incidenti. I clienti vengono informati degli incidenti di sicurezza confermati che riguardano i loro dati senza indebito ritardo e in conformità al nostro accordo sul trattamento dei dati.

Gestione delle vulnerabilità

Monitoriamo le dipendenze software e l’infrastruttura alla ricerca di vulnerabilità note tramite scansioni automatizzate e Microsoft Defender. I risultati vengono classificati secondo SLA di gravità documentati. Incarichiamo periodicamente penetration tester esterni.

Sicurezza del personale

Tutto il personale è sottoposto a verifica dei precedenti, accetta obblighi di riservatezza e completa una formazione di sensibilizzazione su sicurezza e privacy.

Continuità operativa

I dati dei clienti sono sottoposti a backup a intervalli regolari, con procedure di ripristino documentate. Testiamo periodicamente le nostre procedure di disaster recovery.

Divulgazione responsabile

Se ritenete di aver individuato una vulnerabilità di sicurezza nel nostro Servizio o in questo sito web, segnalatela a security@trueaim.ai. Ci impegniamo a confermare la ricezione della vostra segnalazione entro 5 giorni lavorativi e a collaborare con voi in buona fede per indagare e correggere i problemi verificati. Non intraprenderemo azioni legali contro i ricercatori che seguono questo processo di divulgazione, agiscono in buona fede e non accedono a dati, né li modificano o eliminano, oltre quanto necessario per dimostrare una vulnerabilità. Si veda anche il nostro canale Etica e segnalazioni per le condotte scorrette non legate alla sicurezza.

Contatti

Per domande sulla sicurezza: security@trueaim.ai. Per richieste su privacy e protezione dei dati: privacy@trueaim.ai.