Vai al contenuto

> security.md

Sicurezza e trattamento dei dati

Maguyva indicizza i repository dei clienti per fornire intelligenza del codice. Questa pagina spiega come vengono archiviati questi dati, chi può accedervi, quali subresponsabili del trattamento li trattano e come segnalare problemi di sicurezza.

In vigore dal 17 luglio 2026. Solo fatti — basati sulla nostra informativa sulla privacy, su security.txt e sulle nostre dichiarazioni pubbliche sul trattamento dei dati. I permessi di crawling del sito pubblico da parte dell'IA non si applicano ai repository dei clienti.

  • Nessun addestramento di modelli sul codice dei clienti
  • Controlli di accesso limitati per tenant
  • security@maguyva.ai

Questa è una traduzione assistita da IA fornita per tua comodità. La versione ufficiale in inglese è l'unica vincolante — qualsiasi accordo tu stipuli al momento dell'iscrizione è regolato dal testo in inglese. Leggi la versione ufficiale in inglese

tl;dr — Archiviamo il codice sorgente dei clienti e gli indici da esso derivati per supportare la ricerca e il recupero dei file. I dati sono circoscritti al tenant. Frammenti di codice suddivisi tenendo conto della struttura AST, senza identificatori del cliente, vengono inviati a Voyage AI per generare embedding. Non addestriamo modelli sul codice dei clienti. Segnala le vulnerabilità a security@maguyva.ai.

1. Chi siamo

Maguyva è un servizio di intelligenza del codice gestito da UT INTERNATIONAL PTE. LTD., una società registrata a Singapore. Maguyva è un servizio cloud: i clienti si collegano tramite l'endpoint MCP e autorizzano l'accesso ai repository; gli strumenti non modificano i repository dei clienti.

2. Quali dati trattiamo

Quando usi Maguyva, trattiamo tre categorie di dati:

  • Dati dell'account: nome, indirizzo email e token OAuth di GitHub usato per accedere ai repository per i quali autorizzi l'accesso
  • Dati di codice: codice sorgente archiviato per servire il contenuto dei file e alimentare la ricerca; alberi di sintassi astratta; grafi di simboli; ed embedding semantici derivati dal tuo codice
  • Dati di utilizzo: quali strumenti richiami, timestamp e pattern aggregati delle query

I dati dei repository dei clienti sono separati dalla policy di crawling del sito pubblico. I permessi di crawling per l'IA del sito non si applicano al codice privato dei clienti.

3. Dove viene eseguito

Il codice sorgente dei clienti e i dati dell'indice da esso derivati sono archiviati nell'infrastruttura del servizio Maguyva su Supabase (PostgreSQL), nelle regioni AWS negli Stati Uniti. Il sito pubblico e la distribuzione dei contenuti all'edge vengono eseguiti su Cloudflare (CDN, elaborazione edge, DNS). Per generare embedding, frammenti semantici di codice suddivisi tenendo conto della struttura AST — non file o repository completi — vengono inviati a Voyage AI (una controllata di MongoDB). Queste richieste di embedding escludono metadati identificativi del cliente, come nomi dei repository, nomi utente, identificatori dell'organizzazione e percorsi dei file.

4. Modello di accesso e isolamento

L'accesso al prodotto è regolato da controlli circoscritti all'organizzazione e al namespace. I dati indicizzati dei repository di un cliente non sono esposti ad altri clienti. Le chiavi API vengono validate rispetto ai metadati archiviati e alle restrizioni di accesso ai repository. Gli operatori di Maguyva possono accedere ai dati dei repository solo nella misura necessaria a gestire, proteggere o supportare il servizio. I dati in transito usano HTTPS/TLS. I dati indicizzati dei repository sono archiviati su infrastruttura gestita con crittografia dei dati a riposo a livello di storage. Il codice sorgente e i dati dell'indice da esso derivati restano leggibili dal servizio quando necessario per la ricerca, il recupero dei file, il supporto e le operazioni di sicurezza.

5. Subresponsabili del trattamento

Usiamo i seguenti servizi per gestire Maguyva:

  • Supabase (hosting del database, regioni AWS negli Stati Uniti)
  • Cloudflare (CDN, elaborazione edge, DNS)
  • Voyage AI, ora parte di MongoDB (generazione di embedding — riceve frammenti di codice suddivisi tenendo conto della struttura AST, senza identificatori del cliente, non file o repository completi)
  • Stripe (elaborazione dei pagamenti)
  • GitHub (autenticazione OAuth e accesso ai repository)
  • Umami (analisi dell'utilizzo del sito senza cookie — solo metriche aggregate, nessuna informazione personale identificabile)

6. Conservazione ed eliminazione

Account attivi: i dati vengono conservati finché il tuo account è attivo. Quando scolleghi un repository o chiudi il tuo account, il codice sorgente presente nell'indice attivo e i dati derivati vengono rimossi dai sistemi del servizio entro 30 giorni, mentre le copie di backup residue scadono entro 90 giorni. I registri di fatturazione vengono conservati per 7 anni come richiesto dalla legge. Non addestriamo modelli sul codice dei clienti. Non rivendichiamo alcun diritto di proprietà intellettuale sul codice dei clienti.

7. Segnalazione delle vulnerabilità

Se pensi di aver trovato una vulnerabilità di sicurezza in Maguyva, contatta security@maguyva.ai. La lingua preferita per le segnalazioni è l'inglese. I nostri recapiti e la policy di divulgazione delle vulnerabilità sono disponibili in formato leggibile dalle macchine all'indirizzo /.well-known/security.txt (RFC 9116).

8. Documenti correlati

Per i dettagli legali e le policy complete, vedi:

  • Informativa sulla privacy — come raccogliamo e usiamo i dati personali e dei repository
  • Termini di servizio — accordo di servizio
  • security.txt — contatto canonico per le vulnerabilità (RFC 9116)

Segnala problemi di sicurezza o fai domande sul trattamento dei dati a security@maguyva.ai