La privacy sta nell’architettura
Ogni conversazione attraversa le stesse tre fasi, sempre in questo ordine. Ciò che vede il reparto HR è stato messo alla prova con attacchi che cercano di isolare una singola persona.
1Sul computer del dipendente
Ciao Laura, puoi mandare il file a laura.meier@example.ch prima della chiamata con Tom?
2All’arrivo, prima del salvataggio
Ciao PERSON, puoi mandare il file a EMAIL prima della chiamata con PERSON?
3Nell’UE
Il modello legge il testo all’interno del servizio. Nessuna chat viene inviata a un servizio di IA esterno.
- Il dipendenteLa propria dashboard
- Il reparto HRGruppi di 6 o più persone, in fasce
Tre fasi, sempre in questo ordine
Ogni fase toglie qualcosa prima che la successiva veda il testo.
-
Acquisizione, sotto il controllo del dipendente
Non viene registrato nulla finché il dipendente non attiva l’acquisizione. Prima che una chat venga inviata, il dipendente può leggerla, rimuoverla o escluderla. Dal computer esce solo la conversazione.
Nessun altro sito, niente codice, niente file
-
De-identificazione prima del salvataggio
Nomi, email, numeri e luoghi vengono sostituiti prima di qualsiasi salvataggio (Presidio, open source). Il nome utente diventa un ID anonimo. Un nome scritto senza maiuscola può sfuggire.
Il testo originale non viene mai salvato
-
Analisi nell’UE
Un modello basato su Apertus legge il testo de-identificato all’interno del servizio Custodian, nell’UE. Nessuna chat viene inviata a un servizio di IA esterno.
Dati nell’UE
Chi vede cosa
Ogni dipendente vede i propri risultati. Il reparto HR vede gruppi di sei o più persone, in fasce, mai una singola persona.
| Chi | Testi delle conversazioni | Risultati di una persona | Gruppi di 6 o più |
|---|---|---|---|
| Il dipendente | I propri | I propri | No |
| HR | No | No | In fasce |
| Amministratore di Custodian | No | No | Solo il numero |
| Servizi di IA esterni | No | No | No |
Nel normale funzionamento del servizio. L’amministratore vede quante persone partecipano, con ID anonimi.
Perché il reparto HR vede gruppi di almeno sei persone, e perché la dimensione del gruppo da sola non basta
Il reparto HR vede un dato solo per sei o più persone. Questa regola si chiama k-anonimato1. Da sola non basta: quando una persona entra in un team, la variazione di un dato può rivelare quella persona. Abbiamo testato questo attacco e altri due, e in base ai risultati abbiamo deciso cosa vede il reparto HR.
Medie esatte
Stress del team4146
La variazione rivela il nuovo membro: stress alto.
In uso: nessun aggiornamento prima di 5 ingressi o uscite
Stress del teamMedio
Nessuna variazione: il nuovo membro resta nascosto.
Esempio: una persona entra in un team di sei persone.
Punteggio di stress Stato di disagio
Medie esatte
Non superato con nessun kFasce, aggiornamento dopo 3 movimenti
Non superato con nessun kFasce, aggiornamento dopo 3 movimenti, stati protetti
Superato con k = 20Fasce, aggiornamento dopo 5 movimenti, stati protetti
in uso oggi
Punteggio di stress: quanto più spesso il reparto HR individua lo stress della persona rispetto a una semplice ipotesi a caso. Stato di disagio: team in cui il reparto HR può capire con certezza che la persona mostra disagio. Aggiornamento dopo 3 o 5 movimenti: un dato di gruppo cambia solo dopo che altrettante persone sono entrate o uscite. La linea tratteggiata è il limite del 5%.
Come abbiamo testato
- 142 persone di prova con una distribuzione reale dello stress, più tre dataset pubblici2,3,4.
- 2’000 team casuali per ogni k da 3 a 20, con l’ingresso di nuovi membri.
- Tre attacchi: per omogeneità5 e per differenza tra due pubblicazioni, sui punteggi e sugli stati6.
- Criterio di superamento: anche l’estremo superiore dell’intervallo di confidenza al 95%7 non supera di più di 5 su 100 una semplice ipotesi a caso. È il limite fissato dal commissario per la privacy dell’Ontario per i dati altamente sensibili8.
- Abbiamo fissato le regole prima di vedere i risultati.
Cosa abbiamo trovato
Con medie esatte, in team di sei persone:
- Il reparto HR riusciva a risalire al punteggio di stress esatto di un nuovo membro quasi ogni volta.
- In 1 team su 2, il reparto HR riusciva a capire che un nuovo membro mostrava disagio.
La sola dimensione del gruppo non basta. La vista in uso aggiunge tre protezioni: le fasce, un’attesa prima che un dato cambi e gli stati protetti.
Cosa vede il reparto HR
- Ogni punteggio è una fascia (bassa, media o alta), mai un numero.
- Un dato di gruppo cambia solo dopo che almeno 5 persone sono entrate o uscite. Fino ad allora il reparto HR vede il dato precedente.
- Uno stato compare solo se almeno 6 persone lo mostrano e almeno 2 no, come «some people» o «most people». È la l-diversità5, applicata agli stati: non compare mai uno stato che descriva tutti i membri del gruppo.
- Gruppi, team e settimane con meno di 6 persone non vengono mostrati (k = 6).
Limiti
- In team da 12 a 15 persone, il reparto HR riesce ancora a indovinare la fascia di stress di un nuovo membro da 2 a 3 volte su 100 più spesso che per caso, appena sopra il limite. Stiamo testando un’attesa più lunga per i team grandi.
- Le persone del test provengono da conversazioni pubbliche e sintetiche, non da dipendenti.
- Un attaccante che sa di più, per esempio i messaggi di una persona, non rientra nel test.
Dove si trovano i tuoi dati
In un solo Paese, separati da tutto il resto, e solo per il tempo previsto dal contratto.
Nell’UE
Il servizio conserva e analizza le conversazioni nell’UE, su un’archiviazione cifrata. Non interviene alcun servizio di IA esterno.
Tenuti separati
Le conversazioni vengono salvate sotto un ID anonimo, mai con il nome utente. Le prove gratuite sono tenute separate da ogni organizzazione.
Mai usati per addestrare un modello
Le tue conversazioni non servono mai ad addestrare un modello. Non vendiamo dati e non ne usiamo per la pubblicità. Il contratto ne vieta qualsiasi uso per i nostri scopi.
Cancellati nei tempi previsti
Una prova gratuita viene cancellata 30 giorni dopo l’ultimo invio, i dati di un’organizzazione 30 giorni dopo la fine del contratto. Ogni dipendente può cancellare tutto in qualsiasi momento.
Sub-responsabili del trattamento
- Cloudflare, Inc.
- Stati Uniti
- Il sito web, la verifica che a registrarsi sia una persona, le connessioni cifrate tra i computer dei dipendenti e il servizio, e l’inoltro delle email inviate a info@custodian.health. Cloudflare tratta questo traffico solo per recapitarlo.
- Infomaniak Network SA
- Svizzera
- Le e-mail che il servizio invia al team di Custodian e la casella di posta di info@custodian.health.
Nessun fornitore di IA è coinvolto: la de-identificazione e l’analisi avvengono all’interno del servizio, nell’UE. In base all’Accordo sul trattamento dei dati, ti avvisiamo almeno 30 giorni prima di aggiungere o sostituire un sub-responsabile.
Controlli a ogni livello
Dal browser ai server, ciò che tiene fuori un attaccante.
Connessioni cifrate
Ogni connessione è cifrata: estensione, connettore, sito web e servizio. Ogni pagina attiva protezioni rigorose nel browser.
Nessuna password conservata
Password e token di sessione sono salvati solo come hash. L’estensione usa la password una sola volta e non la conserva mai.
Nessuna porta aperta
Nessuna porta dei server è aperta verso Internet. Il servizio risponde solo tramite il sito web, con limiti ai tentativi di accesso e alle richieste.
Versioni firmate
Ogni versione del connettore è firmata, e un aggiornamento senza una firma valida viene rifiutato. Ogni download si può verificare con il checksum pubblicato qui.
Un’estensione chiusa
L’estensione legge solo i siti dei quattro assistenti. Nessuna pagina web può leggerne la sessione, e una chat condivisa da un’altra persona non viene mai acquisita.
Notifica delle violazioni entro 48 ore
Se una violazione coinvolge i tuoi dati, ti avvisiamo entro 48 ore, con ciò che ti serve per la tua notifica.
Testato, non solo progettato
Cerchiamo noi stessi i punti deboli, prima che lo faccia qualcun altro.
Verifiche di sicurezza
Verifichiamo la sicurezza dell’intero servizio, dall’estensione del browser ai server, e correggiamo ciò che una verifica rileva, a partire dai problemi più gravi.
Segnala un problema
Hai trovato un punto debole? Scrivi a info@custodian.health. Rispondiamo a ogni segnalazione. Il nostro file security.txt indica lo stesso indirizzo.
Documenti su richiesta
L’architettura, i flussi di dati e l’Accordo sul trattamento dei dati, per i tuoi team di sicurezza e di protezione dei dati.
Pensato per aiutarti con le norme che ti riguardano
Custodian affianca la tua valutazione giuridica.
Legge federale svizzera sulla protezione dei dati
Concepito per la legge riveduta (nLPD / revDSG, in vigore da settembre 2023): diritti delle persone interessate, sicurezza dei dati e notifica delle violazioni.
Regolamento generale sulla protezione dei dati dell’UE
Ogni dipendente può esportare e cancellare i propri dati dal proprio account.
Regolamento dell’UE sull’intelligenza artificiale
Secondo l’allegato III, l’IA usata in ambito lavorativo può essere ad alto rischio. Custodian non ha ancora una valutazione della conformità. Prima dell’introduzione esaminiamo con te e con il tuo consulente per la protezione dei dati la classificazione e gli obblighi di trasparenza.
Informativa sulla privacyAccordo sul trattamento dei datiCondizioni di servizio
Ultima verifica il 4 ottobre 2026.
Riferimenti
- L. Sweeney, k-anonymity: a model for protecting privacy, 2002
- WildChat-1M, Allen Institute for AI (Zhao et al., ICLR 2024)
- OASST2, OpenAssistant
- StudyChat, UMass Amherst
- A. Machanavajjhala et al., l-diversity: privacy beyond k-anonymity, 2007
- A. Hundepool et al., Statistical Disclosure Control, 2012; I. Dinur, K. Nissim, Revealing information while preserving privacy, 2003
- Intervallo esatto di Clopper e Pearson (1934) per gli attacchi sì/no; bootstrap sulle persone, 1’000 ricampionamenti (Efron e Tibshirani, 1993), per i punteggi
- Information and Privacy Commissioner of Ontario, De-identification Guidelines for Structured Data, 2016
Domande sulla sicurezza?
Ti illustriamo l’architettura e i flussi di dati.