amaise classifica tutti i dati in tre livelli con misure di protezione progressivamente più rigorose. Ogni livello ha un codice (C1, C2, C3) utilizzato nei nostri diagrammi di architettura e un nome semantico utilizzato nelle policy e nella comunicazione con i clienti. Entrambi indicano lo stesso livello.

C3 — Sensibile (strettamente riservato) — i tuoi documenti caricati e tutti i contenuti persistenti che ne derivano: PDF elaborati con OCR, miniature, testo integrale estratto, riepiloghi IA, estrazioni strutturate, diagnosi, risposte IA, chat e il taccuino del caso, insieme all’indice di ricerca full-text e ai backup che ne derivano. I tuoi documenti e i relativi artefatti di archiviazione file sono cifrati con una chiave dedicata per tenant, che consente il crypto-shredding: se disattivi la chiave, i documenti di quel tenant diventano definitivamente irrecuperabili. Tutti i dati C3 sono rigorosamente isolati per tenant e cifrati a riposo con AES-256.

C2 — Riservato — l’inventario dei casi e dei documenti (quali casi e documenti esistono), gli identificatori interni e le mappature, l’audit trail, gli eventi degli agent di integrazione e i dati derivati di breve durata (contesto di risposta IA ed esportazioni temporanee). Questo livello copre inoltre le tue credenziali di accesso e le mappature SSO (gestite dal nostro provider di identità) e i segreti della nostra infrastruttura. Memorizzati cifrati a riposo, soggetti a controllo degli accessi, mai registrati in chiaro nei log e ruotati periodicamente.

C1 — Operativo (interno) — Analisi di utilizzo, metriche dei token LLM, report di errori, log dell’applicazione, cache operativa e dati di disponibilità. Non contengono contenuti dei documenti dei clienti, sono depurati dai dati personali e sono soggetti a periodi di conservazione definiti.

I dati di input e gli artefatti derivati ereditano il livello della loro origine — ad esempio, il risultato OCR derivato da un PDF cliente è trattato come C3 / Sensibile. L’assegnazione dei livelli e la mappatura dello storage sono documentate nella nostra architettura di sicurezza interna e riesaminate nell’ambito del ciclo di audit ISO 27001 / SOC 2.