Audit RGPD e registro degli accessi

Come betool traccia gli accessi cross-tenant ai contenuti degli utenti e supporta il diritto di accesso (art. 15) e il diritto alla cancellazione (art. 17).

betool è progettato per soddisfare i requisiti del RGPD senza soluzioni improvvisate: ogni accesso al contenuto di un utente da parte di un agent appartenente a un'altra organizzazione viene registrato, e ogni organizzazione può consultare il proprio registro.

Il registro degli accessi

Una tabella dedicata registra, per ogni accesso cross-tenant:

Il timestamp
L'org destinataria (il cui contenuto è stato letto)
L'org lettrice (tipicamente il vendor)
L'utente che ha avviato la lettura
Il tool attraverso cui è passata la lettura
Il tipo di entità (vocabolario chiuso: context per una conversazione, scenario per un benchmark)
L'ID dell'entità letta (e l'exchange preciso quando la lettura riguarda un singolo turno)

Il vocabolario delle entità è chiuso a livello di database (vincolo CHECK) e chiuso a livello di codice (whitelist applicativa). Aggiungere un tipo = nuova migrazione + aggiornamento della whitelist. Nessuna voce a sorpresa.

Diritto di accesso (Articolo 15)

Ogni organizzazione può consultare I PROPRI registri di accesso, in Impostazioni dell'organizzazione → Privacy (sezione Registro di accesso) oppure tramite:

GET /api/admin/me/supervisor-reads

La route restituisce le letture in ordine cronologico decrescente (fino a 1 000 voci per chiamata).

Nessun accesso cross-org all'audit: il vendor non vede mai i registri di audit del cliente.

Diritto alla cancellazione (Articolo 17)

L'architettura rende la cancellazione eseguibile in modo pulito: tutti i dati di un'organizzazione sono associati al suo org_id (tabelle di business, cartelle di file, segreti), il che consente una cancellazione mirata — un utente preciso, una conversazione precisa o l'intera organizzazione — senza toccare il resto.

Le richieste di cancellazione (Articolo 17) vengono gestite con il nostro supporto: scrivi a contact@betool.fr da un account amministratore dell'organizzazione interessata.

Opt-in e opt-out della lettura cross-tenant

Per impostazione predefinita, l'opt-in di lettura cross-tenant è impostato su FALSE. Un amministratore dell'organizzazione può attivarlo — e revocarlo in qualsiasi momento — in Impostazioni dell'organizzazione → Privacy.

Disattivato — predefinito. Il vendor non può accedere a nessun contenuto di questa org. Conseguenza: non è possibile alcun supporto cross-org su ciò che riguarda il contenuto (il supporto strutturale resta possibile).
Attivato — il supervisore può leggere le conversazioni dell'org per fare diagnosi, e ogni accesso è sottoposto ad audit e consultabile dall'org.

Il vendor NON PUÒ attivare questo opt-in per conto del cliente. È un test fondamentale: se il vendor può attivarlo senza un'azione del cliente, l'architettura è compromessa.

Protezione sulle operazioni distruttive

Qualsiasi operazione che distrugge o sostituisce contenuti (DELETE, REPLACE-IN-PLACE) è rifiutata dal validatore se l'org destinataria non ha attivato l'opt-in di lettura. Motivo: senza visibilità, l'operatore proporrebbe alla cieca un payload che sovrascriverebbe l'esistente.

Rifiuto a cascata se l'audit non è disponibile

Se il database di audit non è disponibile (incidente infrastrutturale), qualsiasi lettura cross-tenant è rifiutata. Politica rigorosa: nessuna lettura senza traccia.

Conseguenza lato codice: un chiamante che intercetta un'eccezione deve rilanciare l'errore di audit prima di qualsiasi elaborazione di business. È un invariante verificato dal benchmark di sicurezza.

Il sito marketing (betool.ai) misura la propria audience con Google Analytics 4, in Consent Mode v2:

Per impostazione predefinita, tutti i consensi Google (misurazione, pubblicità) sono impostati su negato: lo script di Google Analytics non viene caricato e non viene depositato alcun cookie di analytics.
Lo script viene caricato, e la misurazione attivata, solo dopo la tua accettazione esplicita della misurazione dell'audience nel banner.
Puoi revocare questo consenso in qualsiasi momento (Gestisci i cookie, nel piè di pagina): la misurazione torna allora su negato.

I consensi pubblicitari restano negati: il sito non effettua targeting pubblicitario.