La sicurezza in Pleaxy

Pleaxy funziona su Amazon Web Services nella regione US East (N. Virginia). Il backend è serverless (Amazon API Gateway, AWS Lambda e Amazon DynamoDB), e l’app e questo sito sono distribuiti da Amazon S3 tramite Amazon CloudFront.

Ogni richiesta è soggetta a un limite di frequenza valido per l’intera API, e i flussi di fatture e l’assistente integrato nell’app hanno propri limiti per chiave e giornalieri per contenere gli abusi.

• Gli account sono gestiti da Amazon Cognito. L’accesso utilizza il protocollo Secure Remote Password, per cui la password non viene mai inviata ai server di Pleaxy né conservata su di essi.
• Gli indirizzi email vengono verificati alla registrazione, e le password devono contenere almeno 8 caratteri, con lettere maiuscole, lettere minuscole e una cifra.
• Ogni utente può attivare la verifica in due passaggi con un’app di autenticazione. È facoltativa, non obbligatoria, e non offriamo codici via SMS.
• Ogni utente può aggiungere una passkey e accedere con il volto, l’impronta digitale o il PIN del dispositivo. Una passkey funziona solo sul sito di Pleaxy, quindi un sito contraffatto non può utilizzarla. La password continua a funzionare insieme alla passkey.
• Con il piano Enterprise, un’azienda può configurare il single sign-on con il proprio provider di identità: Okta, Microsoft Entra ID o qualsiasi provider SAML 2.0 o OpenID Connect. Gli amministratori verificano prima il dominio email dell’azienda, possono richiedere il single sign-on a tutti coloro che lo usano e mantengono amministratori di accesso di emergenza che possono ancora accedere con la password.
• Il token di accesso di ogni richiesta API viene verificato crittograficamente, e l’appartenenza al workspace viene ricontrollata a ogni richiesta: quando un amministratore rimuove una persona, questa perde l’accesso al workspace già alla richiesta successiva, non alla scadenza del suo token.
• Anche le chiavi API vengono revocate automaticamente: quando un amministratore rimuove una persona, o ne cambia il ruolo da Amministratore a un altro ruolo, tutte le chiavi API create da quella persona nel workspace vengono revocate nell’ambito della stessa modifica, e l’amministratore che effettua la modifica viene informato di quali chiavi sono state revocate.

Ogni società lavora nel proprio workspace. Ogni documento è archiviato sotto la chiave del proprio workspace, e ogni richiesta viene verificata lato server rispetto all’appartenenza al workspace di chi la effettua prima che qualsiasi dato venga letto o scritto. Due elementi sono condivisi per progettazione: gli ordini d’acquisto e le fatture sono visibili a entrambe le parti commerciali, e gli acquirenti che invitano fornitori possono trovare i profili dei fornitori verificati (denominazione, email di contatto e nomi dei workspace in cui il fornitore è attivo).

I workspace acquirente prevedono sei ruoli per gli acquisti (Amministratore, Sola lettura, Contratti e fornitori, Relazioni, Richieste d’acquisto e Finanza), ciascuno dei quali concede, per ogni modulo, nessun accesso oppure l’accesso in visualizzazione, creazione o modifica. Le autorizzazioni sono applicate dall’API, non semplicemente nascoste nell’interfaccia. I workspace fornitore utilizzano un modello più semplice, con amministratori e membri.

• Ogni passaggio di approvazione è assegnato a una persona specifica, e solo quella persona può approvarlo o rifiutarlo. Un passaggio senza assegnatario resta in attesa finché un amministratore non assegna qualcuno.
• Una chiave API non può mai approvare o rifiutare un passaggio di approvazione. Non può nemmeno modificare flussi di approvazione, regole di automazione, soglie di approvazione automatica o limiti di spesa: può farlo solo una persona che ha effettuato l’accesso. Un’integrazione può emettere ordini d’acquisto e fatture, ma la necessità di un approvatore umano è stabilita solo dalle regole definite dal Suo team.
• Gli ordini d’acquisto e le fatture possono comunque essere approvati automaticamente se i Suoi amministratori attivano regole di automazione, o se gli amministratori o gli utenti con il ruolo Finanza impostano una soglia di approvazione automatica. Tali approvazioni sono registrate come automatiche.
• Ogni approvazione, rifiuto, riassegnazione o salto di un passaggio viene conservato nello storico delle approvazioni del documento, con l’indicazione di chi (o di quale automazione) l’ha effettuato e quando.
• Un richiedente può approvare la propria richiesta solo se è l’unico approvatore idoneo, e ciò viene registrato come autoapprovazione. Una società non può emettere ordini d’acquisto o fatture verso sé stessa.

• Una fattura che un acquirente registra per un fornitore, da un PDF ricevuto via email, una scansione o una copia cartacea, contiene coordinate bancarie che non provengono dal fornitore. Resta bloccata finché il fornitore non la conferma in Pleaxy, o un utente dell’acquirente che non l’ha registrata non conferma le coordinate bancarie con il fornitore per telefono. Fino ad allora non può essere approvata, pagata né esportata per il pagamento.
• Un fornitore può segnalare che una fattura non è sua o non riporta le sue coordinate bancarie. Una fattura segnalata resta bloccata in modo definitivo.
• Quando una fattura inviata dall’account del fornitore stesso riporta coordinate bancarie diverse da quelle della sua ultima fattura a quell’acquirente, ogni amministratore del fornitore viene avvisato in Pleaxy e via email. L’email mostra solo il metodo di pagamento, la banca e gli ultimi quattro caratteri del conto, mai il numero completo.
• Da quell’avviso, un amministratore del fornitore può bloccare in un solo passaggio l’account da cui è arrivata la fattura: viene disconnesso da tutti i dispositivi, le chiavi API che ha creato vengono revocate e la fattura viene segnalata all’acquirente. Se a inviare la fattura è stata una chiave API, viene revocata solo quella chiave. Ogni blocco viene registrato.
• Le coordinate bancarie di una fattura che nessuno ha confermato non vengono mai usate come riferimento per confrontare la successiva.

• Le chiavi API sono generate a partire da 32 byte casuali e mostrate una sola volta. Conserviamo solo un hash con chiave (HMAC-SHA256), mai la chiave stessa, e lo confrontiamo in tempo costante.
• Ogni chiave appartiene a un solo workspace e a un solo ruolo (le chiavi fornitore hanno anche ambiti espliciti) e può essere revocata in qualsiasi momento. Solo un amministratore che ha effettuato l’accesso può creare o revocare chiavi; una chiave non può generarne un’altra. Le chiavi di una persona vengono revocate automaticamente quando questa viene rimossa dal workspace o cessa di essere amministratore, e aggiungerla di nuovo non ripristina una chiave revocata.
• Il server MCP di Pleaxy, che consente agli agenti IA di richiamare Pleaxy, utilizza la stessa API e la stessa chiave con ambiti limitati. Non ottiene privilegi aggiuntivi.

• In transito: solo HTTPS. Il traffico HTTP non cifrato viene reindirizzato, l’archiviazione rifiuta le connessioni non crittografate, e ai browser viene indicato di usare HTTPS per ogni visita (HSTS), insieme alle intestazioni di sicurezza standard di AWS.
• A riposo: database, archiviazione di file, code e segreti sono tutti crittografati con chiavi gestite da AWS.

I segreti dell’applicazione risiedono in AWS Secrets Manager e in Systems Manager Parameter Store, mai nel codice sorgente o nella configurazione di deployment.

Ogni connessione alla fatturazione cloud è in sola lettura, viene creata nel Suo account e può essere revocata dalla Sua console. Non chiediamo mai le password o le chiavi di accesso dei Suoi account cloud. Su AWS Lei crea un ruolo di fatturazione con un External ID univoco per la connessione, e Pleaxy lo assume. Google Cloud e Microsoft Azure utilizzano l’accesso federato, quindi non viene conservato alcun segreto. Per Oracle Cloud Infrastructure (OCI), Pleaxy genera una chiave di firma API per la connessione e Lei carica solo la relativa chiave pubblica; la chiave privata è conservata solo in forma crittografata con AWS KMS, ed eliminando la chiave in Oracle si revoca l’accesso. I dati di fatturazione già importati restano nel Suo workspace fino alla loro eliminazione.

I fornitori di IA che colleghi direttamente (OpenAI, Anthropic, Mistral, OpenRouter, Databricks, CoreWeave e Snowflake) usano una chiave che crei nella loro console. Pleaxy la verifica con una lettura prima di salvarla, la usa solo per leggere uso e costi e la conserva soltanto cifrata con AWS KMS, legata a quella sola connessione; da quel momento ne vengono mostrati solo gli ultimi quattro caratteri. Per Snowflake, Pleaxy genera una coppia di chiavi e tu assegni solo la chiave pubblica a un utente di servizio. Scollegare elimina subito la chiave, e revocarla nella console del fornitore interrompe comunque l’accesso; l’uso di IA già importato resta nello storico.

I limiti di spesa presso un fornitore sono facoltativi e usano una credenziale separata che crei solo per questo, mai quella della connessione in sola lettura: un ruolo AWS limitato ai budget, un account di servizio Google Cloud o un’app Azure federati come la connessione, oppure un’altra chiave di amministrazione OpenAI o Anthropic, cifrata allo stesso modo. Pleaxy la verifica prima di salvarla e puoi rimuoverla in qualsiasi momento.

Moduli fiscali, certificati assicurativi e lettere bancarie sono conservati in un bucket di archiviazione privato e sono raggiungibili solo tramite link firmati di breve durata. L’eliminazione di un documento ne cancella tutte le versioni archiviate.

• L’assistente integrato nell’app si basa su Claude di Anthropic tramite Amazon Bedrock, richiamato dal nostro account AWS nella regione US East.
• Pleaxy non conserva le trascrizioni delle chat. Un’azione proposta dall’assistente viene mantenuta per breve tempo, in modo che Lei possa confermarla.
• L’assistente agisce come l’utente che ha effettuato l’accesso, con esattamente le sue autorizzazioni. Approvazioni, pagamenti registrati, risoluzioni di discrepanze e modifiche alle regole di automazione vengono solo proposte: una persona conferma ciascuna di esse con un pulsante. L’assistente può anche rifiutare un documento, creare un ordine d’acquisto, trasformarne uno in fattura, rieseguire la riconciliazione delle fatture o inviare un promemoria senza un passaggio di conferma separato; è istruito a farlo solo su Sua richiesta, quindi verifichi ciò che indica di essere in procinto di fare.

• Un audit trail AWS CloudTrail esteso all’intero account registra ogni chiamata API di gestione AWS, con convalida dell’integrità dei file di log, e viene conservato per 365 giorni in un bucket la cui policy ne vieta l’eliminazione. Le modifiche al trail o a tale policy generano un avviso.
• Allarmi automatici monitorano errori e latenza dell’API, job non riusciti e sincronizzazioni della fatturazione non riuscite, con un canale separato per gli avvisi di sicurezza.
• I database di produzione dispongono di ripristino point-in-time e di protezione dall’eliminazione, e l’archiviazione dei documenti è soggetta a versioning.
• I log di accesso all’API sono conservati per 30 giorni e i log dell’applicazione per 90 giorni.

Se ritiene di aver individuato un problema di sicurezza in Pleaxy, scriva a support@pleaxy.ai indicando i dettagli. La preghiamo di darci un’occasione ragionevole per correggerlo prima di divulgarlo pubblicamente.

Il GDPR è una legge, non una certificazione, e sviluppiamo Pleaxy per rispettarlo. Per i dati che Lei inserisce nel Suo workspace (dipendenti, fornitori, ordini d’acquisto, fatture e documenti), Lei è il titolare del trattamento e Pleaxy è il Suo responsabile del trattamento, che agisce solo su Sue istruzioni. Per i dati dell’account, di fatturazione e del sito web, Pleaxy è il titolare del trattamento.

• Accordo sul trattamento dei dati: se Le occorre, ci scriva. Comprende l’elenco dei nostri sub-responsabili del trattamento, le misure di sicurezza descritte in questa pagina e le clausole di trasferimento indicate di seguito.
• Dove risiedono i dati: negli Stati Uniti (AWS US East). I trasferimenti di dati personali dall’UE e dal Regno Unito sono coperti dalle Clausole contrattuali tipo dell’UE e dall’Addendum per il Regno Unito (UK Addendum) previsti nel nostro DPA.
• I Suoi diritti: le richieste di accesso, rettifica e cancellazione vengono gestite su richiesta; si veda la nostra Informativa sulla privacy.

Non vendiamo informazioni personali né le «condividiamo» («share») per pubblicità comportamentale cross-contestuale, secondo la definizione di tali termini nella legge della California, e il sito web di Pleaxy non utilizza strumenti di tracciamento pubblicitari o di analisi.

Pleaxy non gestisce mai i dati della Sua carta. I pagamenti degli abbonamenti sono elaborati sulle pagine ospitate da Stripe, e Stripe è un fornitore di servizi certificato PCI DSS Level 1.