Sicurezza di SOWA Privacy

A short, honest summary of where data goes, what the extension can and can’t see, and where the trust boundaries are. The detection core is open source – every claim below is verifiable in the repo.

Flusso dei dati in sintesi

SOWA Privacy è un'estensione Chrome. Il percorso che il tuo testo compie quando usi un chatbot AI supportato:

  1. Digiti nel campo di input del chatbot.Il testo non lascia mai il browser in questa fase.
  2. Il content script dell'estensione legge l'input ed esegue il rilevamento localmente.Regex + un modello NER locale eseguito nel tuo browser via WebAssembly / WebGPU.
  3. Le entità rilevate vengono sostituite con segnaposto neutri (es. [PERSON_1]).La corrispondenza originale-segnaposto viene memorizzata in chrome.storage.local sul tuo dispositivo.
  4. Il prompt con i segnaposto viene inviato all'endpoint normale del chatbot.Il provider AI vede solo il testo anonimizzato. SOWA Privacy non si interpone tra te e il provider come proxy di rete.
  5. Quando arriva la risposta dell'AI, l'estensione ripristina i segnaposto nel tuo browser usando la corrispondenza locale.Leggi la risposta con i nomi reali; il provider AI non li ha mai visti.

Per la registrazione di controllo opzionale nei piani Business ed Enterprise, i record delle azioni vengono sottoposti a hash localmente e inviati solo a un server da te nominato (la tua infrastruttura o un tenant che ospitiamo per te contrattualmente). Non vengono inviati a un registro centrale gestito da SOWA.

Permessi del browser e motivo di ciascuno

Permessi dell'estensione Chrome Manifest V3, con la motivazione per ciascun permesso:

Il content script dichiara <all_urls> affinché il rilevamento sia disponibile su qualsiasi chatbot AI utilizzato, inclusi quelli futuri che supporteremo. I permessi sono statici, dichiarati nel Manifest pubblico e osservabili in chrome://extensions/?id=….

Registrazione di controllo opzionale controllata dal cliente

La registrazione di controllo è opt-in nei piani Business ed Enterprise e tiene traccia delle azioni, non del contenuto delle chat. Esempi di cosa finisce in un record:

Cosa non contiene: testo del prompt, testo della risposta AI, valori sensibili originali o corrispondenze dei segnaposto.

I record vengono sottoposti a hash localmente prima della trasmissione al server da te nominato. I clienti Enterprise possono ospitare l'endpoint del registro di controllo all'interno del proprio perimetro di conformità, così SOWA Privacy non tocca mai il percorso dei dati.

Limitazioni note

We’d rather be specific than confident. Things SOWA Privacy does not do or cannot guarantee:

Open source e verificabilità

Il nucleo di rilevamento è pubblicato su github.com/Sowa-Privacy. Chiunque può leggere il codice che elabora i prompt, confermare che non scrive su disco tranne che negli store locali documentati e verificare che non venga raccolta telemetria. Consideriamo il repository come il riferimento autorevole per le affermazioni in questa pagina.

Segnalazione di una vulnerabilità

If you believe you’ve found a security issue, please contact us before disclosing publicly. We aim to acknowledge within two business days and provide an initial assessment within five.

Email: security@sowaprivacy.ai (casella monitorata; pubblicazione chiave PGP in attesa – da aggiungere prima del lancio pubblico)

Al momento non gestiamo un programma di bug bounty a pagamento. Accreditiamo pubblicamente i segnalatori nelle note di rilascio su richiesta.

Pacchetto documentazione conformità

Per revisioni degli acquisti e del DPO, i seguenti documenti sono disponibili su richiesta tramite il modulo di contatto:

Al momento non possediamo certificazioni SOC 2, ISO 27001 o altre certificazioni formali e non le rivendicheremo fino a quando non saranno rilasciate.