Box Cloud Storage: Recensione Privacy e Sicurezza - Pro, Contro e Guida alla Protezione Dati

Box è una piattaforma di cloud storage enterprise con solide funzionalità di collaborazione, ma la sua architettura di sicurezza solleva dubbi sulla privacy dei dati. In questa guida analizziamo crittografia, giurisdizione, policy di scansione e forniamo istruzioni pratiche per proteggere la tua privacy.

Quanto è sicuro e rispettoso della privacy Box per l'archiviazione dei tuoi file?

Box offre crittografia TLS in transito e AES-256 a riposo, ma non è zero-knowledge: Box possiede le chiavi di decrittazione. I data center sono principalmente negli USA, soggetti al CLOUD Act. La scansione dei file per AI e telemetria è attiva per impostazione predefinita. Per una privacy elevata, è necessario crittografare i file lato client con strumenti come Cryptomator.

Cosa Offre il Servizio (Punti di Forza e di Debolezza)

Punti di Forza

• Crittografia robusta: TLS 1.3 in transito, AES-256 a riposo.
• Conformità normativa: SOC 2, HIPAA, GDPR, FedRAMP.
• Integrazioni enterprise: Microsoft 365, Google Workspace, Salesforce.
• Controlli di accesso granulari: permessi a livello di cartella, scadenze condivisione, watermark.
• Versioning e recovery: cronologia versioni fino a 100 versioni, recupero file cancellati.

Punti di Debolezza

• Nessuna crittografia zero-knowledge: Box detiene le chiavi di decrittazione, può accedere ai file se richiesto.
• Data center prevalentemente USA: soggetti al CLOUD Act, rischio per utenti non americani.
• Scansione file per AI: Box analizza i contenuti per migliorare i servizi AI, opt-out non immediato.
• Telemetria e raccolta dati: dati di utilizzo condivisi con terze parti per analytics.
• Costo elevato per funzionalità privacy: piani Business partono da $20/utente/mese.

Analisi Privacy e TOS

Crittografia

Box utilizza TLS 1.3 per i dati in transito e AES-256 per i dati a riposo. Tuttavia, non offre crittografia end-to-end (E2EE) nativa: Box gestisce le chiavi di decrittazione, quindi ha accesso tecnico ai file. Non è zero-knowledge.

Data Center

I data center principali sono negli Stati Uniti (California, Virginia, Texas). Box offre data center in UE (Irlanda, Germania) per clienti enterprise, ma la sede legale è in USA. I dati sono soggetti al CLOUD Act, che consente alle autorità USA di richiedere l'accesso ai dati memorizzati all'estero se l'azienda è americana.

Scansione File per AI

Box utilizza l'intelligenza artificiale per funzionalità come Box AI (riassunti, estrazione dati). I file possono essere scansionati per addestrare modelli, ma Box afferma che i dati dei clienti enterprise non vengono utilizzati per addestrare modelli pubblici. Tuttavia, l'opt-out non è immediato e richiede contatto con il supporto.

Telemetria

Box raccoglie dati di telemetria sull'utilizzo dell'app, inclusi tipi di file, frequenza di accesso e interazioni. Questi dati possono essere condivisi con terze parti per analytics e miglioramento del servizio. È possibile disabilitare parzialmente la telemetria nelle impostazioni.

CLOUD Act

Box, in quanto azienda americana, è soggetta al CLOUD Act. Ciò significa che i dati memorizzati su Box, anche se in data center europei, possono essere richiesti dalle autorità USA. Per utenti sensibili, si consiglia crittografia lato client.

Guida Pratica - Come Proteggere la Propria Privacy su Box

1. Abilita l'autenticazione a due fattori (2FA): Vai su Impostazioni > Sicurezza > Autenticazione a due fattori e attivala con un'app authenticator.
2. Crittografa i file prima del caricamento: Usa Cryptomator (gratuito, open-source) per creare un vault crittografato sul desktop. Carica i file crittografati su Box. In alternativa, usa Rclone con crittografia client-side.
3. Disabilita la scansione AI: Contatta il supporto Box per richiedere l'opt-out dall'addestramento AI sui tuoi file. Per utenti enterprise, è possibile disabilitare Box AI dalle impostazioni admin.
4. Limita la telemetria: Su desktop, vai su Preferenze > Privacy e deseleziona "Invia dati di utilizzo anonimi". Su mobile, disabilita la condivisione dati nelle impostazioni dell'app.
5. Condividi in modo sicuro: Usa link con scadenza, password e limitazione dei download. Evita di condividere file sensibili tramite link pubblici.
6. Verifica le impostazioni di retention: Imposta politiche di conservazione automatica per eliminare i file dopo un certo periodo.

Confronto con il California CCPA / CPRA

Il California Consumer Privacy Act (CCPA) e il California Privacy Rights Act (CPRA) offrono ai residenti californiani diritti come accesso, cancellazione e opt-out dalla vendita di dati personali. Box si adegua al CCPA/CPRA per gli utenti della California, consentendo di esercitare tali diritti tramite richiesta. Tuttavia, rispetto al modello americano, la protezione è limitata: Box non è tenuta a crittografare i dati end-to-end e può condividere dati con terze parti per finalità operative. Per gli utenti europei, il GDPR offre garanzie più forti, ma il CLOUD Act può prevalere. In pratica, Box offre un buon livello di conformità, ma la privacy effettiva richiede crittografia lato client.

FAQ

Box offre crittografia end-to-end?

No, Box non offre crittografia end-to-end nativa. Le chiavi sono gestite da Box, quindi l'azienda può tecnicamente accedere ai file. Per E2EE, usa Cryptomator o Rclone.

I miei dati su Box sono al sicuro dal CLOUD Act?

No, Box è soggetta al CLOUD Act in quanto azienda USA. I dati possono essere richiesti dalle autorità americane, anche se memorizzati in Europa. Crittografa i file lato client per proteggerti.

Box scansiona i miei file per addestrare l'IA?

Box può scansionare i file per funzionalità AI, ma afferma che i dati enterprise non vengono usati per addestrare modelli pubblici. Per disattivare, contatta il supporto.