← Torna alla pagina iniziale Sicurezza & privacy

Trasparente. Tecnico. Verificabile.

I nostri strumenti elaborano spesso dati di engineering sensibili. Abbiamo messo per iscritto con precisione dove vivono questi dati, quanto restano e cosa facciamo tecnicamente per evitare che finiscano nelle mani sbagliate. Questa pagina fornisce informazioni di trasparenza sull'elaborazione, allineate al GDPR e all'EU AI Act — non sostituisce l'informativa formale sulla privacy, ma la integra con il contesto tecnico del flusso dati.

Aggiornato: 20 maggio 2026

La nostra infrastruttura server in Germania

La nostra infrastruttura server (sito landing, MCSA, presto riskforge) gira su un server Hetzner Cloud nel data center di Gunzenhausen, in Baviera — giurisdizione tedesca, nessun hyperscaler. Alcuni sub-processor (es. Anthropic per il futuro chatbot, Resend per l'invio email) si trovano negli USA e sono divulgati in modo trasparente nei blocchi per tool qui sotto.

Dettagli tecnici sull'infrastruttura

Hetzner Online GmbH, data center Gunzenhausen (DE).
MCSA gira come proprio Docker-Compose stack con la sua rete (`mcsa-web_default`).
Istanza Postgres dedicata per ciascuno strumento. Niente volumi condivisi, niente secret condivisi.
Reverse-proxy Nginx termina TLS per sottodominio (Let's Encrypt, rinnovo automatico).
I container si bindano solo a 127.0.0.1 — raggiungibili da Internet esclusivamente tramite Nginx.

Cosa succede ai tuoi dati — per ciascuno strumento

Ogni strumento ha i suoi flussi di dati. Li descriviamo singolarmente perché qui le affermazioni generalizzanti diventano rapidamente imprecise.

MCSA — Minimal Cut-Set Analyzer

Live

MCSA prende file di testo FtaDSL (fino a 10 MB) e ne calcola alberi dei guasti e minimal cut-set. L'intero percorso di elaborazione gira nella RAM del server — in nessun momento il tuo input viene persistito su disco.

1. Il browser invia l'upload via HTTPS a `mcsa.appliedfusa.de`.
2. Nginx bufferizza la request in RAM (buffer 12 MB, nessun disk-spill).
3. FastAPI scrive il file in una directory temporanea — collocata in un container tmpfs (RAM disk, 512 MB).
4. Il binario nativo C++17 `mcsa` parsa e analizza l'architettura.
5. Lo ZIP risultato viene costruito in-memory e fatto streaming direttamente al tuo browser.
6. La directory temporanea risiede su tmpfs (RAM). Al termine della response, un blocco `finally` la ripulisce attivamente nel caso normale; in caso di abort duro del container (es. OOM kill) il kernel scarta comunque il contenuto del tmpfs alla fine del container — nessuno spill su disco possibile.

Persistenza: Nessuna. Il database di audit memorizza solo metadati: la tua email di login, l'IP del client e un timestamp. Né nomi di file né contenuti né risultati di analisi lasciano la RAM verso il disco.
Retention: IP + timestamp vengono cancellati automaticamente dal database al massimo dopo 7 giorni (cleanup-job orario). Lo stesso intervallo si applica ai magic-link token scaduti.
Uso di AI: Nessuno. Tutti i calcoli girano nel binario nativo C++ sul nostro server. Nessun modello esterno, nessuna API LLM, nessuna analisi di terze parti.

Safety-Case Generator

Beta — lato client

Un'intervista strutturata guida attraverso i requisiti centrali della ISO 26262. La beta attuale gira interamente nel tuo browser — il tuo input non lascia il dispositivo. L'export Markdown viene consegnato direttamente come file di download. L'intervista è attualmente in tedesco.

Oggi (Beta): Wizard vanilla HTML/CSS/JS nel browser. Nessuna richiesta al server, nessun salvataggio, nessun cookie, nessun analytics. Chiudendo la tab si perde tutto lo stato.
Flusso dati oggi: Il tuo input resta nella memoria del browser (RAM). Il rapporto Markdown viene assemblato lato client e scaricato come Blob — non ci raggiunge mai.
Uso di AI oggi: Nessuno. La struttura Markdown viene assemblata in modo deterministico dal tuo input.
Pianificato (versione completa): Binario nativo sul nostro VPS, architettonicamente sullo stesso pattern di MCSA. Progetti persistibili, export multilingua, integrazione degli output di analisi MCSA (cut-set, KPI) come riferimenti di evidenza.
Struttura (versione completa): Segue la Goal Structuring Notation (GSN). Libreria di template per ciascuno standard (ISO 26262, IEC 61508, IEC 62304).
Opzionale in futuro: Una funzione opzionale di rifinitura testo (es. levigatura stilistica) potrebbe, in una versione futura, usare un servizio LLM. In tal caso, strettamente opt-in per richiesta — e mai per argomentazioni rilevanti per la sicurezza.

fmea — Supporto strumentale per FMEA

Beta in preparazione

fmea è supporto strumentale alla creazione della FMEA: da un modello architetturale con annotazioni di failure mode, la tabella FMEA viene derivata meccanicamente. Il profilo del flusso dati è molto simile a MCSA (stesso stack di default, stesso VPS, stessa logica tmpfs), con specifiche di fmea.

Cosa viene caricato: File di modello — architettura di sistema testuale (funzioni, ingressi/uscite, connessioni) più annotazioni di failure mode per porta e per funzione (mapping OIM e IOM). Nessun dato binario, nessun allegato di modello in v0.1/v0.2.
Durante il run: Upload e artefatti intermedi su tmpfs nel container (RAM, max 512 MiB), non persistenti.
Dopo il run: Finally-cleanup per ogni richiesta — tutti i file temporanei vengono eliminati al termine della risposta.
Persistente in Postgres: Solo metadati — dati utente (e-mail, stato del piano), token di autenticazione, log degli upload (timestamp, hash del file, identificativo utente). Il contenuto del file caricato non viene persistito.
Contenuti del modello: Non vengono salvati. Caricando lo stesso file due volte si ottengono due elaborazioni distinte e fresche.
Sub-processori: Hetzner Online GmbH (Falkenstein, DE) per hosting VPS · Resend (USA, DPA) per invio magic-link, attivo solo da v0.2 · Let's Encrypt / ISRG per certificati TLS.
Pianificato (v0.3+): Se in futuro verranno supportati modelli Simulink, l'estrazione avverrà localmente sulla macchina dell'utente — il server vedrà solo il file di modello risultante, mai il modello originale.
Uso di AI: Nessuno. Sostanza deterministica, nessun sub-processore LLM/AI.

csa26 — controllo pre-audit MISRA-C:2012

Live · v1.0.1

csa26 viene distribuito come GitHub Action e gira sul CI runner del tuo repo GitHub. Il tuo codice sorgente non lascia il tuo repository — l'analisi avviene in un container che GitHub avvia nel tuo account a ogni push. Applied FuSa non ha accesso al tuo codice, nessuna telemetria sui tuoi findings, nessun log dei tuoi build.

Stack autonomo: Completamente autonomo. csa26 non incorpora nessuno static analyser di terze parti. Lexer, preprocessor, parser, sistema di simboli/tipi e rule engine sono IP Apache-2.0 di Applied FuSa e completamente tracciabili nel repository pubblico.
Sub-processori: GitHub (Microsoft) — fornisce il CI runner e l'hosting del container registry per l'image dell'action csa26. Trattamento dati secondo i termini del tuo contratto GitHub. Nessun ulteriore sub-processore.
Memorizzazione dati: Applied FuSa non memorizza dati sui run di csa26. Tutti i dati generati (findings, report SARIF, annotazioni) restano interamente nel tuo repository GitHub sotto il tuo controllo.
Avviso pre-audit: csa26 è uno strumento pre-audit e non sostituisce la valutazione formale di compliance rispetto a MISRA-C:2012. Indica possibili violazioni delle regole; la certificazione formale di compliance resta responsabilità del tuo safety manager.
Sottoinsieme di regole: csa26 v1 copre un sottoinsieme curato di 20 regole MISRA-C:2012 prioritarie per la FuSa (vedi README nel repository). Una verifica completa di MISRA-compliance non è mai stata promessa e non è alla portata di alcun tool di questa classe.
Uso di AI: Nessuno. Lexer, parser e rule engine lavorano in modo deterministico.

riskforge chatbot — guided DSL interview

Live

The riskforge chatbot is the first platform pillar that uses an LLM. A Claude Sonnet 4.6 model runs a structured interview that builds up an FtaDSL file step by step (raw architecture → +OIM/TLE → +IOM/S/O/D). Important separation: the LLM is the interview leader and notation translator — the actual FTA/FMEA analysis substance is then computed by the deterministic engines mcsa and fmea. This separation is an architecture decision for audit-fitness.

Sent to Anthropic: Full system prompt (~1500 tokens of methodology context, FtaDSL syntax reference, phase workflow); the complete running conversation history; the current DSL state as a code block in bot answers; validator output as a tag in the following user turn.
Not sent to Anthropic: User email address, IP address, cookie values, quota counters, logout events.
Sub-processors (Art. 28 GDPR): Anthropic PBC (USA) — LLM provider, DPA · Hetzner Online GmbH (Falkenstein, DE) · Resend (USA) — magic-link mail, DPA · Let's Encrypt / ISRG.
Third-country transfer (Chapter V GDPR): Anthropic (USA) and Resend (USA) process data outside the EU. Legal basis: EU Standard Contractual Clauses under Art. 46(2)(c) GDPR (2021/914), with Transfer Impact Assessment per EDPB Recommendation 01/2020.
Inference region (beta): API routing uses inference_geo: "global". No guaranteed EU region during beta. Migration to AWS Bedrock eu-central-1 (Frankfurt) is planned for the commercial launch (phase 3).
Data retention at Anthropic: Anthropic stores API inputs/outputs for up to 30 days for abuse monitoring (see Anthropic retention policy). Model training on user data is disabled (opt-out by default).
Data retention at Applied FuSa: Email addresses are persisted in a SQLite database (beta marketing list). Conversation history stays in browser state; the chatbot server is stateless. Magic-link tokens expire after 15 minutes.
Model and caching: Default model is Claude Sonnet 4.6, switchable via configuration. Prompt caching is enabled for the system prompt.
AI use and audit separation: The LLM only produces the DSL file. The FTA and FMEA analysis is computed by the deterministic engines mcsa and fmea.
Status: Code-complete, live activation pending.

Trasparenza AI (EU AI Act)

L'EU AI Act ci obbliga a comunicare in modo chiaro dove e come l'AI è coinvolta. Ecco lo stato onesto.

Oggi deterministico

I nostri strumenti in produzione (MCSA live, csa26 live, Safety-Case Generator Beta) operano senza AI. Il wizard Safety-Case gira lato client nel browser; MCSA e csa26 sono programmi nativi — riproducibili e auditable. Il chatbot riskforge (in preparazione) è il primo strumento con componente LLM.

Ruolo ai sensi dell'EU AI Act (Art. 3)

Per i nostri strumenti deterministici (MCSA, csa26, fmea, Safety-Case) Applied FuSa è il fornitore (Art. 3(3)). Per il chatbot riskforge si combinano due ruoli: fornitore del prodotto chatbot e deployer (Art. 3(4)) dell'LLM fornito da Anthropic che integriamo nel nostro sistema.

Classificazione del rischio

Tutti gli strumenti attualmente live sono a rischio minimo. Secondo l'attuale finalità d'uso, il chatbot riskforge rientra nel rischio limitato (Art. 50 AI Act). Secondo la classificazione attuale, nessuno dei nostri strumenti rientra nell'alto rischio ai sensi dell'Allegato III o Art. 6 — vedi analisi di esclusione. Per ogni strumento pianificato viene effettuata una ri-classificazione prima dell'attivazione live.

Analisi di esclusione (Allegato III)

L'Allegato III elenca come AI ad alto rischio p.es. identificazione biometrica, gestione di infrastrutture critiche, decisioni in ambito istruzione/lavoro, applicazione della legge, migrazione. I nostri strumenti sono strumenti di engineering per sviluppatori umani; lo strumento stesso non prende decisioni rilevanti per la sicurezza e non è componente di sicurezza ai sensi dell'Allegato I.

Obbligo di trasparenza Art. 50 (chatbot)

Il chatbot riskforge segnala esplicitamente l'interazione AI al primo contatto: la pagina di login menziona „chatbot" nel titolo, l'UI di chat usa un avatar bot visivamente separato, il flusso dati verso l'API di Anthropic è documentato in modo trasparente nel blocco per tool qui sopra.

Alfabetizzazione AI (Art. 4, dal 02/02/2025)

Applied FuSa è una micro-impresa individuale. Lo sviluppatore responsabile detiene competenze in metodologia (FTA/FMEA), API LLM utilizzate (Anthropic), protezione dati (GDPR Art. 28, Art. 46, Raccomandazione EDPB 01/2020) ed EU AI Act; ciò è documentato internamente tramite progetti, documentazione metodologica e pubblicazioni. Gli utenti esterni utilizzano gli strumenti sotto propria responsabilità.

Logging e supervisione umana

Per il chatbot registriamo solo contatori di quota e login magic-link — l'intero contenuto della conversazione resta nello stato del browser, non sui nostri server. L'utente decide quale DSL produrre e rilasciare; i motori di analisi (mcsa, fmea) sono deterministici e verificabili.

Matrice GDPR per tool

Panoramica compatta del trattamento dei dati per tool secondo i campi standard del GDPR. Descrizione dettagliata nei blocchi per tool qui sopra.

Tool	Finalità	Base giuridica	Dati personali	Destinatari	Paese terzo	Conservazione	Stato
Sito landing	Erogazione contenuti statici	Art. 6(1)(f)	Solo log server	Hetzner DE	—	14 giorni log	Live
MCSA	Calcolo FTA da FtaDSL	Art. 6(1)(b)	Email, IP, timestamp	Hetzner DE · Resend USA	USA (SCC Art. 46)	7 giorni audit	Live
Safety-Case Generator	Wizard Safety-Case	Art. 6(1)(b) + (f)	Nessun dato di contenuto; log server tecnico (IP, UA, URL)	Hetzner DE	—	Log server 14 giorni; nessun trattamento di contenuto	Beta
csa26	Pre-audit MISRA-C in CI	Art. 6(1)(b)	Nessuno	GitHub	USA (contratto utente)	n/d	Live
fmea (in preparazione)	Derivazione FMEA da DSL	Art. 6(1)(b)	come MCSA	come MCSA	come MCSA	come MCSA	Beta in preparazione
riskforge chatbot (in preparazione)	DSL guidata tramite intervista LLM	Art. 6(1)(b)	Email, nota use-case opzionale	Hetzner DE · Anthropic USA · Resend USA	USA (SCC Art. 46 + TIA)	Email DB a tempo indeterminato · Anthropic 30g abuse log	Beta in preparazione

Matrice EU AI Act per tool

Panoramica su uso AI, ruolo e classificazione per tool ai sensi dell'EU AI Act.

Tool	AI	Ruolo	Classe rischio	Art. 50	Supervisione umana	Logging	Stato
MCSA	No	Fornitore	n/d	n/d	L'utente esamina il risultato	Audit log 7 giorni	Live
Safety-Case Generator	No	Fornitore	n/d	n/d	L'utente modifica l'output	Solo log server tecnico (14 giorni)	Beta
csa26	No	Fornitore	n/d	n/d	L'utente esamina i findings	Nessun logging	Live
fmea	No	Fornitore	n/d	n/d	L'utente esamina la tabella	come MCSA	Beta in preparazione
riskforge chatbot	Sì (Claude Sonnet 4.6)	Fornitore + deployer	Rischio limitato (Art. 50)	Adempiuto (etichettatura UI)	L'utente decide il rilascio della DSL	Solo quota + magic-link	Beta in preparazione

Cosa facciamo tecnicamente

Misure tecniche a livello di infrastruttura — poco appariscenti, ma importanti.

TLS 1.2+

Certificati Let's Encrypt, rinnovo automatico, HSTS attivo.

Niente swap

Il VPS non ha spazio swap — la RAM non può essere paginata su disco.

Core dump disattivati

Disabilitati a livello di sistema (`kernel.core_pattern=|/bin/false`). Nessuna fuga RAM-to-disk in caso di crash.

tmpfs nei container

Le directory temporanee dei tool vivono in RAM disk (`noexec`), nessun file persistente.

Cookie di sessione

`httpOnly` + `Secure` + `SameSite=Lax`, firmati con `itsdangerous` (secret a 32 byte).

Rate limit

Sugli endpoint di autenticazione (5 richieste per IP all'ora in MCSA).

Rotazione log

Log Docker: 10 MB × 3 file. Log di accesso Nginx: 14 giorni, poi cancellati.

Backup automatici

Snapshot giornalieri del server tramite Hetzner Cloud, retention 7 giorni. Snapshot manuali golden-state per disaster recovery oltre tale finestra.

Niente APM

Niente Sentry, niente Datadog, niente stack trace esterni. Gli errori restano sul nostro server.

Auth via magic-link

Nessun archivio password. Token validi 15 minuti, monouso.

Versionato

Configurazioni Nginx e file Compose vivono in repo git — auditable, riproducibili.

I tuoi diritti

Hai pieno diritto in base al Regolamento Generale UE sulla Protezione dei Dati — accesso, rettifica, cancellazione, limitazione, portabilità, opposizione. Per la versione legalmente completa vedi la nostra informativa privacy (in tedesco).

Art. 15 Diritto di accesso
Art. 16 Diritto di rettifica
Art. 17 Diritto di cancellazione
Art. 18 Diritto di limitazione
Art. 20 Diritto alla portabilità dei dati
Art. 21 Diritto di opposizione

Domande? Trovata una vulnerabilità?

Scrivici direttamente. Per segnalazioni relative alla sicurezza (es. presunte vulnerabilità, reclami sulla privacy) siamo grati per una breve email — di solito rispondiamo entro un giorno lavorativo.

info@appliedfusa.de

Questa pagina viene aggiornata quando i fatti cambiano (nuovi strumenti, modifiche infrastrutturali, integrazione AI). Il timestamp dell'ultimo aggiornamento è in alto.