La sovranità non è una promessa di politica: è la conseguenza di decisioni architettoniche che puoi audire. Questa pagina è l’elenco di quelle decisioni, nell’ordine che un auditor controllerebbe, e finisce dove ogni pagina di privacy dovrebbe iniziare: a quello che puoi verificare senza accettare la nostra parola.
Audisci lo schema: sovranità che puoi verificare
Le tabelle della piattaforma SazAI contengono struttura, misurazioni, relazioni e lignaggio. Non contengono il contenuto dei tuoi documenti. Il testo grezzo vive nello schema proprio della tua organizzazione. L’applicazione lo raggiunge solo attraverso i ruoli di database della tua organizzazione, e il database stesso filtra ogni riga per il suo proprietario. Resta lì finché il documento esiste e non entra mai nelle tabelle della piattaforma.
Questo non è politica interna, è una proprietà del design, ed è verificabile nel modo più diretto possibile: leggi le definizioni delle tabelle della piattaforma e cerca la colonna che conterrebbe il testo del tuo documento. Non esiste. Ciò che conservano sono nomi, come struttura: il nome del file, compresi i nomi dei suoi output e il nome che dai a un documento che scrivi; i nomi dei fogli di una cartella di lavoro, perché le formule vi fanno riferimento; e le etichette che dai ai tuoi glossari e alle tue chiavi. Non devi fidarti di una pagina di privacy se puoi fare l’audit dello schema, e quella è la prova che preferiamo offrire, perché non passa attraverso di noi.
La conseguenza pratica conta per chiunque lavori sotto la LGPD: l’analisi aggregata dell’uso della piattaforma avviene senza esporre il contenuto, perché il contenuto non c’è. I glossari aziendali vivono nello schema proprio della tua organizzazione, perché la terminologia è un bene e nessun ruolo di un’altra organizzazione può leggerla.
Cosa esce dal tuo controllo
In una SazAI installata sulla tua infrastruttura, l’intero sistema gira lì dentro, e l’unico destino esterno per l’elaborazione è il modello linguistico che hai scelto e contrattato, che può stare dentro la tua zona. L’applicazione non scarica librerie di terze parti in fase di runtime, non carica font da server esterni, e non dipende dal cloud di nessun altro per funzionare. Ogni dipendenza di runtime esterna è un luogo dove una parte del tuo traffico, o l’informazione che esiste, esce dalla tua rete; un sistema senza quelle dipendenze non ha bisogno di promettere che non perderà attraverso loro.
Due confini fanno parte dell’affermazione, non note a margine.
Il primo è l’identità. L’accesso federato oggi passa attraverso un provider di identità cloud. Per un’installazione che usa quell’accesso, un secondo destino esterno esiste oltre al modello, e la frase sopra è letterale solo in due situazioni: autenticazione con chiave API, o il provider di identità dentro la tua zona. Portare il provider dentro la zona è una direzione dichiarata nella roadmap della piattaforma, non qualcosa consegnato oggi.
Il secondo è la differenza tra esecuzione e costruzione. Al runtime, il sistema è chiuso. Costruire l’immagine scarica dipendenze, come qualsiasi software costruito questo secolo. Mescolare le due domande trasformerebbe un’affermazione vera in una bugia tecnica la prima volta che un auditor aprisse il file di build.
Il core non sa chi sei
Il motore che legge e scrive documenti è cieco all’autenticazione, alla fatturazione e ai permessi: riceve identificatori già validati ed esegue. Quello che decide quello che puoi vedere è un livello sopra, attraversato ad ogni operazione. Un fallimento di permesso non può trasformarsi in una perdita tra organizzazioni attraverso un percorso interno del motore, perché il motore non sa che un’altra organizzazione esiste.
L’isolamento tra client non è assunto: è testato con sonde che provano attivamente ad attraversare il confine, incluso in produzione, con il risultato registrato. I file rimangono nello spazio della tua organizzazione, separati per tenant e per utente, con l’accesso validato ad ogni operazione. La condivisione tra utenti esiste ed è esplicita: una cassaforte condivisa è di sola lettura, con la fonte identificata sullo schermo.
Cancellazione come record, non come dimenticanza
Quando cancelli un documento, i campi sensibili vengono cancellati nel record stesso, non segnati come nascosti, e la cancellazione viene registrata come evento in sequenza. Il documento smette di esistere su ogni superficie che mostra contenuto, e la cronologia ne conserva il nome, contrassegnato come ritirato; i derivati vengono gestiti insieme all’originale anziché diventare orfani. Il sistema non cancella la memoria che ha cancellato, e è questo che rende possibile provare dopo che la cancellazione è accaduta, e quando.
Detto come forma, perché è il modello intero in una riga: la cancellazione cancella la metà funzionante e lascia una lapide nella metà permanente. Quello che sopravvive è un record senza contenuto: un identificatore, una data, un’organizzazione, il nome del documento e ciò che è stato fatto con esso, contrassegnato come ritirato. Non è una copia conservata del tuo documento, è prova che è stato rimosso. È questo che produce la frase che un acquirente può verificare da solo nello schema: sappiamo dove il tuo documento è passato e cosa gli è stato fatto, e non sappiamo cosa ha detto.
La portata odierna ha un limite, dichiarato chiaramente: le copie di backup fatte prima della cancellazione contengono ancora il contenuto, per una finestra di conservazione fino a sette giorni, e un ripristino di emergenza da una di loro reintrodurrebbe contenuto già cancellato. Il meccanismo che chiude quello è definito, poiché un ripristino può riapplicare le cancellazioni registrate dopo la data di quella copia, e non è ancora costruito. Fino a quando non è costruito e misurato, questa pagina non dirà che la cancellazione raggiunge le copie di backup.
Puoi rimuovere tutto in una volta e disattivare il tuo account da solo, dal menu della tua cassaforte, con la stessa portata descritta sopra. Il nome è quello corretto. Cancella il tuo contenuto, e il tuo nome e il tuo indirizzo email dai registri di SazAI, e disattiva l’account; ciò che resta non contiene né contenuto, né nome, né indirizzo email: che un account è esistito e quando, che questa cancellazione è avvenuta, e un registro dell’attività dell’account senza alcun nome associato, come i tipi di file, le lingue, le quantità, le azioni svolte e le date, che conserviamo per la fatturazione e l’audit. Chiude il tuo account, non la tua organizzazione: se ne sei l’ultimo membro, l’organizzazione resta, senza alcun tuo contenuto, finché non viene chiusa separatamente.
Portabilità: quello che esce con te
I tuoi file sono sempre stati tuoi, e restituirli non è credito da rivendicare per nessuno. Quello che conta è quello che è stato costruito sopra di essi: l’organizzazione, le relazioni tra originale e derivati, le misurazioni, la storia. Quel corpo di conoscenza viene materializzato come una cassaforte di file di testo semplice collegati l’uno all’altro: interrogabile da fuori, esportato su richiesta, e funzionale lontano da qui, in uno strumento ordinario di note, sul tuo computer o il tuo server.
La stessa conoscenza è raggiungibile attraverso un’interfaccia di programmazione e attraverso il protocollo che gli agenti IA usano per connettere gli strumenti, quindi i tuoi agenti possono interrogare la cassaforte senza passare attraverso la nostra interfaccia. Un prodotto utile solo da dentro se stesso ti tiene attraverso la dipendenza; questo preferisce tenerti attraverso il valore.
Due cose dichiarate prima che le scopri: il cambio di lingua appartiene al nostro livello di visualizzazione, quindi prendi la cassaforte via nella lingua in cui è stata scritta; e la portabilità non ha ancora una dimostrazione pubblicata che chiunque possa riprodurre senza parlarci. Fino ad allora, è una conversazione di due diligence: chiedi l’esportazione in una valutazione, apri il risultato nel tuo strumento, e verificalo con le tue mani.
Il confine, dichiarato da noi
La traduzione e l’esame richiedono l’invio di testo a un modello linguistico, e quello che succede dall’altro lato dipende dal provider contrattato, non dalla nostra architettura. Il regime di conservazione del provider è una questione di contratto con loro, e la risposta corretta per un’area di privacy è il contratto, non una frase nostra. In un’installazione tua, la scelta del provider è la tua.
L’assistente di IA che colleghi a SazAI, come ChatGPT o Claude, può anche mostrare, quando li chiede, i nomi che i tuoi documenti registrano sulle persone, e sulle macchine, che ci hanno lavorato:
- chi ha creato ogni file, chi l’ha salvato per ultimo, il responsabile e l’azienda che indica, e l’autore di un PDF;
- chi ha fatto ogni revisione in un documento Word, chi ha scritto ogni commento in un file Word, Excel o PowerPoint, e chi ha scritto ogni annotazione in un PDF;
- chi ha firmato un PDF, e i recapiti che la firma riporta;
- le persone che un file Word, Excel o PowerPoint elenca come coautori, con l’account che registra per ciascuna, per esempio un indirizzo email;
- la stampante indicata in un file Word, Excel o PowerPoint, e il software che ogni passaggio della cronologia di modifica di un PDF indica;
- il valore di qualsiasi proprietà personalizzata aggiunta a un file, perché può contenere un nome.
È attivo. Quando l’assistente recupera uno di questi dati, gli viene inviato, che la sua risposta lo ripeta o no. Sono ciò che il file dichiara, non identità che qualcuno ha verificato. Questo paragrafo è in attesa di revisione legale.
E quello che questa pagina non afferma, di proposito: non siamo certificati rispetto a nessuno standard, e la nostra storia di decisioni e record serve come prova di controllo senza che affermiamo che chiude un requisito formale specifico nel tuo settore. Porta il requisito e la risposta arriva elemento per elemento, caso per caso. La ricevuta per ogni consegna, e dove finisce, è in fiducia.
Cosa misuriamo sulle pagine pubbliche
I siti pubblici (sazai.app e ui.sazai.app) usano Google Analytics 4 per capire quali pagine vengono visitate, quali aree attirano interesse, e da dove vengono i visitatori: visualizzazioni di pagina, clic su sezioni di prodotto, lingua e tipo di dispositivo. La misurazione è disattivata per impostazione predefinita e si attiva solo dopo che accetti l’avviso di consenso. Tutte le richieste scorrono attraverso il nostro dominio; gli indirizzi IP sono anonimizzati; non usiamo funzioni pubblicitarie o tracciamento tra siti.
Se rifiuti, o semplicemente ignori l’avviso, nulla viene misurato. Le pagine funzionano identicamente in entrambi i modi.
Quello che non facciamo mai nella cassaforte
Il prodotto autenticato, la tua cassaforte, porta zero analytics. Nessuno script di tracciamento, nessun beacon, nessuna richiesta di terze parti. Gli unici cookie presenti sono i cookie di sessione che ti mantengono connesso. Su sazai.app, l’uso del prodotto è contabilizzato dalla nostra misurazione interna, che esiste per la fatturazione e la capacità: registra azioni, mai contenuto, e non lascia mai la nostra infrastruttura.
Il tuo account e identità
L’accesso viene eseguito attraverso il nostro provider di identità (Zitadel), facoltativamente attraverso l’account Microsoft della tua organizzazione. Manteniamo il minimo: il tuo nome, email, e il tenant a cui il tuo invito ti lega. L’accesso a una cassaforte è concesso solo su invito.
Cookie
| Cookie | Scopo | Superficie |
|---|---|---|
| Scelta di consenso | Ricorda se hai accettato o rifiutato la misurazione | Pagine pubbliche |
| Sessione | Ti mantiene connesso | Cassaforte |
| Preferenze | Scelta di lingua e tema | Tutte le superfici |
Nessun cookie pubblicitario. Nessun identificatore tra siti.
Infrastruttura
SazAI funziona su Amazon Web Services (Stati Uniti). Tutto il traffico è crittografato in transito; gli spazi di lavoro dei tenant sono isolati l’uno dall’altro. Per le organizzazioni che lo richiedono, SazAI è offerto anche come installazione dedicata e autonoma sull’infrastruttura propria del cliente.
I tuoi diritti secondo la LGPD
La Lei Geral de Proteção de Dados (Legge 13.709/2018) ti concede il diritto di accedere ai dati che teniamo su di te, correggerli, cancellarli, riceverli in forma portabile, e revocare il consenso in qualsiasi momento. Revocare il consenso alla misurazione è immediato: declina su qualsiasi pagina pubblica. Per qualsiasi altro aspetto, scrivi a contatti.
Richieste di privacy: ask@sazai.app. Ultimo aggiornamento: 2026-10-16.