Centro Fiducia

Sicurezza e Conformità

Progettato per i più vulnerabili. Protetto secondo lo standard più elevato.

careplans AI offre compagni vocali IA progettati per popolazioni vulnerabili: anziani, persone con disabilità, assistenza post-parto e oltre. La fiducia non è negoziabile. Questa pagina descrive la nostra impostazione di sicurezza, le prassi di trattamento dei dati, l'allineamento normativo e le certificazioni dei fornitori.

Valutazioni complete dei controlli

Le nostre risposte complete, controllo per controllo, a Essential Eight, ISO 27001:2022 e NIST CSF 2.0. Richieda il codice di accesso scrivendo a security@careplans.io.

Visualizzi le valutazioni (codice di accesso richiesto)

Infrastruttura dei fornitori

La nostra piattaforma si basa su fornitori di infrastruttura di livello enterprise, ciascuno certificato in modo indipendente secondo i più elevati standard di sicurezza.

Anthropic

Modello linguistico IA (Claude API) e livello di sicurezza indipendente (Claude Haiku)

SOC 2 Type II

LiveKit

Infrastruttura per chiamate vocali in tempo reale

SOC 2 Type II

Supabase

Database e autenticazione

SOC 2 Type II

Twilio

Telecomunicazioni e voce

SOC 2 Type IIISO 27001

Vercel

Hosting e distribuzione dell'applicazione

SOC 2 Type II

Trattamento dei dati

Come conserviamo, trattiamo e proteggiamo i dati su tutta la piattaforma.

Crittografia

Crittografia AES-256 dei dati inattivi. Crittografia TLS 1.2+ dei dati in transito su tutte le connessioni.

Residenza dei dati

L'infrastruttura primaria (database, hosting, telefonia) opera in regioni australiane. L'inferenza IA (Anthropic) e l'infrastruttura per chiamate vocali in tempo reale (LiveKit) possono trattare dati fuori dall'Australia secondo condizioni enterprise di conservazione zero o equivalenti; per il dettaglio per singolo fornitore si veda l'Allegato A del DPA.

Controllo degli accessi

Controlli degli accessi basati sui ruoli (RBAC) con sicurezza a livello di riga applicata a livello di database tramite Supabase. L'accesso amministrativo e infrastrutturale (database, hosting, controllo del codice, email) è protetto da autenticazione a più fattori. L'autenticazione a più fattori della piattaforma è disponibile, con l'estensione dell'obbligo a personale e utenti finali in corso.

Addestramento dei modelli IA

I dati delle conversazioni non vengono mai utilizzati per addestrare modelli IA. Tutti i fornitori IA e voce (Anthropic, LiveKit) operano secondo accordi enterprise di conservazione zero o equivalenti per il trattamento dei dati.

Registro di audit

Tutte le interazioni con i compagni vocali sono registrate con marca temporale, metadati della conversazione e indicatori di conformità. Traccia di audit completa disponibile per gli operatori del servizio.

Livello di sicurezza indipendente

Un secondo modello IA (Claude Haiku via Anthropic) funge da monitor di sicurezza IA indipendente, valutando le interazioni vocali quasi in tempo reale per individuare deviazioni dal tema, consigli medici, fughe di istruzioni (prompt leakage), contenuti inappropriati e manipolazione emotiva: un livello ridondante oltre alla persona principale.

Scansione delle dipendenze e della catena di fornitura

Le dipendenze applicative sono scansionate in continuo rispetto al GitHub Advisory Database tramite GitHub Dependabot, con pull request di correzione automatizzate. Le vulnerabilità classificate come critiche sono prioritizzate secondo una politica documentata di gestione delle patch e delle vulnerabilità.

Protezione degli endpoint

Le postazioni amministrative operano con Memory Integrity, protezione Local Security Authority, la lista di blocco di Microsoft per i driver vulnerabili e le regole di Attack Surface Reduction attive. Le macro di Office sono disabilitate per policy e le componenti obsolete sono state rimosse. Nessun dato del cliente è conservato sugli endpoint.

Quadri normativi supportati

careplans AI è progettato per operare nel rispetto dei seguenti quadri normativi e per generarne le evidenze.

Aged Care Act 2024

Strengthened Aged Care Quality Standards (ACQS 2025), gli standard di qualità rafforzati per l'assistenza agli anziani in Australia. Generazione di evidenze mappata su tutti i sette standard, con particolare attenzione all'assistenza centrata sulla persona, alla dignità e al coinvolgimento del cliente.

Attivo

NDIS Practice Standards

Supporto del compagno vocale per i partecipanti NDIS in linea con gli standard di prassi e le riforme NDIS di luglio 2026. Monitoraggio degli obiettivi e del benessere integrato.

Attivo

Australian Privacy Principles

Piena conformità al Privacy Act 1988 e agli Australian Privacy Principles (APP), i tredici principi australiani sulla protezione dei dati. Raccolta dei dati limitata a quanto necessario, con consenso trasparente e diritti di accesso.

Attivo

Protocolli di sicurezza dei compagni vocali

Protocolli progettati appositamente per disciplinare l'interazione dei nostri compagni vocali IA con popolazioni vulnerabili.

2.16Gestione di argomenti controversi

2.17Quadro di risposta empatica

2.18Identificazione delle criticità ed escalation

2.19Continuità e coerenza della persona

Test di sicurezza

Valutazioni di sicurezza indipendenti e il nostro percorso di certificazione.

Allineamento SOC 2 dei fornitori

Tutti i fornitori di infrastruttura certificati in modo indipendente SOC 2 Type II

Completato

Suite di protocolli di sicurezza (2.16 - 2.19)

Protocolli di interazione con popolazioni vulnerabili sviluppati e approvati

Completato

Autovalutazione Essential Eight

Autovalutazione controllo per controllo rispetto all'Essential Eight dell'ACSC su tutte le otto strategie di mitigazione

Completato

Autovalutazione NIST CSF 2.0

Autovalutazione su tutte le sei funzioni del NIST Cybersecurity Framework 2.0

Completato

Mappatura dei controlli ISO 27001:2022

Controlli mappati e autovalutati rispetto all'Allegato A della ISO 27001:2022

Completato

Valutazione Bitsight Trust Hub

Questionario Essential Eight completato controllo per controllo (tutti i 149 controlli) in Bitsight Trust Hub per la verifica dei fornitori da parte di clienti enterprise

Completato

Penetration testing

Valutazione grey box su applicazione web, API e infrastruttura vocale; selezione del fornitore in corso

Previsto: terzo trimestre 2026

SOC 2 Type II (indipendente)

Certificazione SOC 2 Type II a livello di piattaforma

Previsto: secondo semestre 2026

ISO 27001

Certificazione di gestione della sicurezza delle informazioni per l'espansione internazionale

Previsto: 2027

Domande frequenti

Risposte rapide alle domande più frequenti da parte di chi verifica sicurezza e conformità.

I dati di residenti, familiari o caregiver saranno utilizzati per addestrare modelli IA?+

No. Tutti i fornitori IA della nostra infrastruttura di produzione operano secondo condizioni enterprise senza addestramento per impostazione predefinita. Non addestriamo modelli propri sui dati dei clienti; il nostro fornitore IA (Anthropic) e il fornitore dell'infrastruttura vocale in tempo reale (LiveKit) si impegnano contrattualmente a non utilizzare i dati inseriti dai clienti per addestrare i modelli IA sottostanti senza nostra esplicita autorizzazione.

Dove sono conservati e trattati i dati?+

L'infrastruttura primaria, inclusi database (Supabase), hosting (Vercel) e telefonia (Twilio), opera in regioni australiane. Il nostro fornitore IA (Anthropic) e il fornitore dell'infrastruttura vocale in tempo reale (LiveKit) possono trattare dati fuori dall'Australia secondo condizioni enterprise di conservazione zero o equivalenti. Le regioni di trattamento per singolo fornitore sono descritte nel nostro Elenco dei Subincaricati, disponibile su richiesta.

Chi può accedere ai dati della nostra organizzazione?+

L'accesso è applicato a livello di database tramite politiche di sicurezza a livello di riga (RLS) delimitate per struttura, organizzazione e tenant. L'accesso del personale interno di careplans AI è limitato secondo flussi documentati di assistenza e risposta agli incidenti. Gli amministratori del cliente sono abilitati da careplans AI secondo l'elenco utenti indicato dal cliente.

Come gestite un errore di sicurezza dell'IA durante una chiamata?+

Ogni turno del compagno vocale è valutato da un secondo modello (Claude Haiku via Anthropic) che funge da monitor di sicurezza IA indipendente, secondo regole che riguardano consigli medici, fughe di istruzioni, contenuti inappropriati, deviazioni dal tema e manipolazione emotiva. I turni segnalati generano un avviso clinico instradato al flusso di guardia dell'organizzazione. Le protezioni a livello di persona nel prompt principale sono la prima difesa; il monitor di sicurezza indipendente è la seconda.

Potete firmare un Accordo sul Trattamento dei Dati (DPA)?+

Sì. Un DPA allineato agli Australian Privacy Principles e al vostro quadro di approvvigionamento è disponibile nella sezione Documentazione di Sicurezza Dettagliata più sotto. Il nostro modello di DPA è attualmente in revisione legale con lo studio Hall & Wilcox.

Qual è il vostro impegno sui tempi di notifica degli incidenti (SLA)?+

Notifichiamo il referente per la sicurezza indicato dall'organizzazione entro 24 ore e notifichiamo le persone interessate e l'OAIC entro 72 ore, quando richiesto dallo schema Notifiable Data Breaches. Segnaliamo inoltre volontariamente gli incidenti di sicurezza informatica significativi all'Australian Signals Directorate tramite ReportCyber. Il nostro Piano di Risposta alle Violazioni di Dati Notificabili, completo di contenimento, conservazione delle evidenze e revisione post-incidente, è disponibile in regime di riservatezza (NDA).

Le conversazioni vocali vengono registrate? Per quanto tempo si conservano le registrazioni?+

Sì. Le interazioni vocali sono registrate per finalità di sicurezza clinica, miglioramento della qualità e audit, con consenso raccolto durante l'onboarding del cliente. Le registrazioni delle chiamate sono conservate per 90 giorni per impostazione predefinita, salvo un periodo diverso concordato con l'organizzazione o richiesto dalla legge. I clienti possono richiedere la cancellazione di registrazioni specifiche o di tutte le registrazioni al termine del rapporto.

Documentazione di sicurezza dettagliata

I seguenti documenti di livello audit sono disponibili per i clienti qualificati e per chi verifica la sicurezza, in regime di reciproca riservatezza (NDA).

Politica di sicurezza delle informazioni

Controllo degli accessi, crittografia, sicurezza di rete, sicurezza IA, gestione dei fornitori, registrazione degli eventi e governance delle politiche.