Sicurezza aziendale
Controlli di sicurezza per un chatbot AI su cui lavora tutta l'azienda
Decidi chi può modificare quale agente, fai accedere il tuo team con il tuo identity provider, vedi chi ha cambiato cosa e stabilisci dove risponde ogni agente e chi può parlarci. Questa pagina elenca cosa fa intoCHAT oggi e cosa no.
Un agente AI tocca i tuoi contenuti, i tuoi clienti e i tuoi sistemi
Un agente di assistenza legge i tuoi documenti, parla con i tuoi clienti, può chiamare le tue API e viene modificato da più persone. Prima che una revisione di sicurezza lo approvi, qualcuno deve rispondere: chi può cambiare le istruzioni, chi può collegare un helpdesk o creare una chiave API, cosa succede quando qualcuno se ne va e dove finiscono i messaggi dei visitatori? Un chatbot con un unico login condiviso e senza registro delle modifiche rende difficili queste risposte. intoCHAT ti dà ruoli, single sign-on, un audit log e controlli per agente, e la sua documentazione indica chiaramente i limiti, così la tua revisione può farci affidamento.
Cinque livelli di controllo
Ognuno è documentato nel dettaglio, compreso ciò che non copre.
Ruoli e accesso per agente
Assegna a ogni persona Admin, Editor o Viewer e limita editor e viewer agli agenti selezionati. Con Enterprise crei ruoli personalizzati con None, View, Edit o Manage per ogni area dell'account.
Single sign-on con SAML 2.0
Con Enterprise il tuo team accede tramite Okta, Microsoft Entra ID, Google Workspace o qualsiasi identity provider SAML 2.0, entra nel team automaticamente con il ruolo che scegli e può essere obbligato a usare l'SSO.
Un audit log delle modifiche
Vedi chi ha creato, modificato o eliminato agenti, fonti, azioni, webhook, integrazioni, chiavi API e membri del team, e chi ha scaricato esportazioni. 90 giorni con Pro, 365 giorni con Enterprise.
Controlli su ogni agente
Limita un agente ai tuoi domini, rendilo privato, blocca paesi, limita i messaggi per visitatore e al mese, metti in pausa lo spam e lascia chattare solo i visitatori che il tuo sito ha autenticato.
Onesto sui limiti
intoCHAT non ha certificazioni SOC 2, ISO 27001 o HIPAA e lo dice. La documentazione elenca cosa lascia fuori ogni funzione, come SCIM o l'accesso avviato dall'IdP, così non ci sono sorprese dopo.
Come mettere in sicurezza un account
Dai solo l’accesso che serve
In Settings, Team invita le persone come Viewer o Editor invece che come Admin e scegli Selected agents per chi lavora solo su alcuni agenti. Con Enterprise crea un ruolo personalizzato quando quelli predefiniti non bastano.
Collega il tuo identity provider
Con Enterprise apri Settings, Single sign-on, inserisci i metadati del tuo IdP, verifica i tuoi domini email con un record DNS TXT e clicca su Test sign-in. Poi attiva Require SSO for members with these domains.
Decidi dove risponde ogni agente
Nella scheda Share elenca i domini consentiti, attiva Private agent finché un agente non è pronto e imposta in Limits and access i messaggi per visitatore, un tetto mensile e i paesi bloccati.
Sappi chi sta chattando
Aggiungi la verifica dell'identità, così il tuo server firma l'id di ogni utente autenticato. Attiva Only verified visitors can chat per gli agenti che devono servire solo clienti che hanno effettuato l'accesso.
Dettagli sulla sicurezza
Ruoli personalizzati con Enterprise
Fino a 20 ruoli, ognuno con un livello per area: impostazioni degli agenti, conoscenza, azioni e procedure, lead e contatti, conversazioni e live chat, analisi, integrazioni e webhook, team, fatturazione e chiavi API. Le modifiche valgono dal clic successivo.
Domini verificati e Require SSO
L'SSO funziona solo per indirizzi su domini che hai verificato, e un dominio appartiene a un solo account. Con l'SSO obbligatorio, l'accesso con password o Google viene rifiutato per quegli indirizzi. Il proprietario dell'account non resta mai chiuso fuori.
Cosa l'audit log non registra mai
Nessuna password, chiave API, token o altro segreto, nessun contenuto dei messaggi, nessun dato dei visitatori e niente di ciò che è stato solo consultato. Gli indirizzi IP sono ridotti alla rete /24 o /48. Filtra per azione, membro, agente e data ed esporta fino a 10.000 righe in CSV.
Accesso a due fattori
Ogni persona può proteggere l'accesso con email e password con un codice a 6 cifre da un'app di autenticazione, con 10 codici di recupero monouso. Dei codici di recupero intoCHAT conserva solo gli hash.
Chiavi API con scope e connettori
Da Starter le chiavi API possono essere limitate agli scope necessari, fino a 20 chiavi attive per account. Ai connettori MCP come Claude.ai o ChatGPT puoi dare accesso in sola lettura, e il ruolo e gli agenti della persona continuano a valere.
Approvazione prima delle azioni delicate
Con Pro ed Enterprise un'azione API o un passaggio di una procedura può richiedere l'approvazione del team: la chiamata aspetta finché qualcuno la approva o la rifiuta, e l'approvazione la esegue una volta con esattamente i dati in attesa.
Regole integrate contro la prompt injection
L'agente tratta i tuoi documenti, i testi citati e i risultati degli strumenti come materiale di riferimento non affidabile, non come istruzioni. Questo lo aiuta a resistere ai tentativi di cambiare il suo ruolo, rivelare segreti o usare strumenti che non dovrebbe.
Credenziali cifrate, webhook firmati
Chiavi e token dei servizi collegati sono cifrati con AES-256-GCM e non vengono mai più mostrati, solo gli ultimi quattro caratteri. I webhook hanno un'intestazione X-IntoChat-Signature, così il tuo server può verificare che arrivano da intoCHAT.
Domande frequenti
intoCHAT supporta il single sign-on SAML?
Sì, nel piano Enterprise. Funziona con Okta, Microsoft Entra ID, Google Workspace e qualsiasi identity provider che supporti SAML 2.0, e richiede asserzioni firmate. L'accesso parte da intoCHAT; l'accesso avviato dall'IdP, OpenID Connect, il single logout e le asserzioni cifrate non sono supportati, e c'è un identity provider per account.
Esiste il provisioning SCIM?
No. Le persone entrano nel team al primo accesso con SSO, con il ruolo che hai scelto per i nuovi membri, e i ruoli non arrivano dai gruppi dell'IdP. Rimuovere qualcuno nel tuo IdP non lo rimuove dal team intoCHAT: rimuovilo anche in Settings, Team.
intoCHAT è certificato SOC 2 o ISO 27001?
No. intoCHAT non ha certificazioni di sicurezza o protezione dei dati, come SOC 2, ISO 27001 o HIPAA. Se la tua policy ne richiede una, oggi intoCHAT non la soddisfa. Ciò che offre è descritto in questa pagina e nella documentazione.
intoCHAT è conforme al GDPR?
Non dichiariamo alcuna certificazione. Per i dati dei tuoi visitatori intoCHAT agisce come responsabile del trattamento per tuo conto, e puoi richiedere un accordo sul trattamento dei dati a privacy@intochat.ai. Secondo l'informativa sulla privacy, il database è ospitato in Svizzera, e alcuni fornitori trattano dati negli Stati Uniti e in altri paesi, con clausole contrattuali standard dove la legge lo richiede. Puoi eliminare conversazioni e lead in qualsiasi momento.
Dove finiscono i messaggi dei visitatori, e vengono usati per addestrare l'AI?
Per scrivere una risposta, il messaggio del visitatore, la cronologia recente e le parti pertinenti della tua conoscenza vanno al fornitore del modello che hai scelto: OpenAI di default, oppure Anthropic o Google. OpenAI è usato anche per indicizzare la conoscenza e per funzioni in background. intoCHAT non addestra modelli AI con i tuoi dati o con quelli dei tuoi visitatori.
Per quanto tempo vengono conservate le conversazioni?
Finché non le elimini tu, o elimini l'agente o l'account. Non c'è una scadenza automatica. Puoi eliminare una conversazione con i suoi file, permettere ai visitatori di eliminare la propria chat e offrire chat temporanee che non vengono mai salvate. Chiudere le conversazioni inattive le termina, ma non le elimina.
Posso imporre l'autenticazione a due fattori al mio team?
Non ancora. Ogni persona attiva l'autenticazione a due fattori per il proprio login, e l'elenco Members mostra un badge 2FA accanto a chi l'ha fatto. Con l'SSO l'autenticazione a più fattori spetta al tuo identity provider, quindi puoi imporla lì.
Di quale piano ho bisogno?
Ruoli e accesso agli agenti selezionati arrivano con i posti del team da Starter (2 posti; Pro ne ha 5). Chiavi API e connettori partono da Starter. La pagina Audit log e l'approvazione del team partono da Pro. Single sign-on, ruoli personalizzati, posti illimitati, 365 giorni di audit log, uno SLA e supporto dedicato sono in Enterprise.
Fai passare il tuo agente AI dalla tua revisione di sicurezza
Leggi la documentazione su ruoli, single sign-on e audit log, oppure crea un account gratuito per provare i controlli. Per Enterprise, contattaci.
Crea il tuo agente gratisPiano gratuito, nessuna carta di credito.