Regcall
EN IT
AccediRichiedi un invito

Sicurezza

Come proteggiamo le tue riunioni

Nelle call si parla di clienti e di prezzi. Questa pagina descrive le misure che Regcall applica oggi per proteggere quello che registri, una per una. Per sapere quali dati trattiamo e perché, leggi l'informativa privacy.

Ultimo aggiornamento:

  • Dati archiviati nell'UE
  • Accesso con password e codice, per ogni account
  • Modelli AI a conservazione zero, di serie
  • Un archivio separato per ogni persona
  • Link condivisi con password e scadenza
  • Connessioni sempre cifrate, con HTTPS e HSTS

Dove sono i tuoi dati#

  • Registrazioni, trascrizioni e riepiloghi sono archiviati sui server di Regcall nell'Unione europea, in Germania e Finlandia, presso Hetzner Online GmbH.
  • Il traffico passa dalla rete di Cloudflare, con connessioni cifrate tra il tuo browser e Cloudflare e tra Cloudflare e i nostri server. Cloudflare trasporta il traffico senza conservarne il contenuto.
  • L'estensione per Chrome invia dati solo a dashboard.regcall.app e registra solo la scheda della call, mai altre schede o il resto dello schermo.

Modelli AI a conservazione zero#

Se non scegli altro, trascrizione e riepilogo passano da OpenRouter e da fornitori di modelli negli Stati Uniti, solo su endpoint con conservazione dei dati pari a zero: elaborano la call per restituire il risultato, poi non conservano nulla e non usano i dati per l'addestramento.

  • Regcall lo chiede su ogni richiesta, con le condizioni zdr: true e data_collection: deny.
  • Se il modello scelto non ha un endpoint a conservazione zero, la richiesta si ferma con un errore. Non viene mai ripetuta senza queste condizioni.
  • Se colleghi un tuo fornitore per i riepiloghi, la conservazione dei dati segue il tuo accordo con quel fornitore. La trascrizione resta sempre su endpoint a conservazione zero.

Accesso all'account#

  • Ogni account entra con una password di almeno 12 caratteri e un codice a 6 cifre dell'app di autenticazione. Il codice è obbligatorio per tutti, amministratori compresi.
  • Gli account si creano solo su invito. Non esiste una registrazione pubblica.
  • Dopo 5 tentativi sbagliati l'account si blocca per 15 minuti. Dopo 20 tentativi falliti dalla stessa rete, si blocca per 15 minuti anche quella rete.
  • Le password sono conservate con scrypt, una funzione di hash lenta. Sessioni, inviti e chiavi dell'estensione sono conservati solo come hash.
  • Il cookie di sessione dura 14 giorni ed è HttpOnly, Secure e SameSite=Strict: gli script della pagina non lo leggono e gli altri siti non lo inviano.

Un archivio per ogni persona#

  • Ogni persona ha sul server una cartella tutta sua, con il proprio database, le proprie registrazioni e le proprie impostazioni.
  • Nella dashboard l'amministratore gestisce inviti e piani e vede solo conteggi: numero di riunioni, minuti, spazio occupato. Non vede titoli, trascrizioni o riepiloghi degli altri.
  • Accediamo al contenuto delle tue riunioni solo se ce lo chiedi, per esempio per risolvere un problema, o se la legge lo impone.

Link condivisi#

  • Ogni link condiviso ha una password di almeno 8 caratteri, conservata con scrypt, e può avere una scadenza. Lo revochi quando vuoi.
  • Dopo 5 password sbagliate il link si blocca per 15 minuti.
  • Chi apre il link vede solo quella riunione, in sola lettura. Video, audio e download ci sono solo se li hai permessi tu.
  • Dopo la password, il link resta aperto per 12 ore su quel browser, solo per quella riunione.

Connessioni e pagine web#

  • Il sito e la dashboard usano HTTPS, con HSTS: dopo la prima visita, per un anno il browser non apre più connessioni in chiaro.
  • Una Content-Security-Policy rigorosa permette solo script e stili serviti da Regcall, più il controllo anti robot di Cloudflare Turnstile sul modulo di invito e sulla pagina di accesso. Niente script inline, e le pagine non si possono incorporare in altri siti.
  • Nessun servizio di analisi, nessuna rete pubblicitaria, nessun sistema di tracciamento di terze parti.

Agenti AI e integrazioni#

  • I token per agenti AI e API sono personali: in sola lettura o in lettura e scrittura, con scadenza a scelta, conservati solo come hash e revocabili quando vuoi. Per crearne uno serve di nuovo il codice dell'app di autenticazione.
  • Gli indirizzi che scegli tu, come il calendario iCal o un tuo fornitore per i riepiloghi, devono essere in HTTPS e vengono controllati a ogni connessione, così non possono puntare alla rete interna del server.
  • Il calendario viene letto in un processo isolato, con limiti di tempo, memoria e dimensione, e Regcall ne tiene solo titolo, invitati, aziende e agenda della riunione registrata.

Cosa puoi fare tu#

  • Eliminare qualsiasi riunione, con registrazione, trascrizione e riepilogo.
  • Revocare link condivisi, chiavi dell'estensione e token degli agenti.
  • Scaricare riepiloghi, trascrizioni, audio e video.
  • Scegliere chi scrive i tuoi riepiloghi, o tornare all'impostazione predefinita a conservazione zero.
  • Chiedere un accordo sul trattamento dei dati (art. 28 GDPR), se usi Regcall per un'organizzazione.

Incidenti e segnalazioni#

Nessun sistema è privo di rischi. Se si verifica una violazione dei dati personali, la notifichiamo al Garante per la protezione dei dati personali entro 72 ore, nei casi previsti dalla legge, e te la comunichiamo senza ingiustificato ritardo se può comportare un rischio elevato per i tuoi diritti.

Hai trovato un problema di sicurezza? Scrivi a [email protected]: rispondiamo e ti teniamo aggiornato.