ترجمه شده برای راحتی شما. در صورت وجود هرگونه تعارض بین این نسخه و نسخه انگلیسی، نسخه انگلیسی معتبر است.
Proyecta پلتفرمی است که در آن کد منبع، درخواست‌ها و داده‌های پروژه شما از طریق سیستم‌های هوش مصنوعی و محیط‌های اجرای ایزوله جریان می‌یابد. حفاظت از این داده‌ها پایه و اساس شیوه ساخت خدمات ما است. این صفحه شیوه‌های امنیتی ما را به زبان ساده خلاصه می‌کند و مکمل سیاست حریم خصوصی، شرایط خدمات و فهرست پردازشگران فرعی ما است.
برای سؤالات امنیتی، بررسی‌های امنیتی سازمانی یا گزارش آسیب‌پذیری، با security@proyecta.dev تماس بگیرید.
1. زیرساخت و میزبانی
خدمات روی Google Cloud Platform، در Google Kubernetes Engine و در منطقه us-central1 گوگل در ایالات متحده اجرا می‌شوند. یک متعادل‌کننده بار لایه 7 تحت مدیریت Google همراه با Google Cloud Armor در مقابل نقاط پایانی عمومی ما قرار دارد و حفاظت در برابر DDoS، قوانین دیوار آتش برنامه وب و محدودسازی نرخ درخواست‌ها را فراهم می‌کند؛ فایل‌های ایستا از طریق Google Cloud CDN ارائه می‌شوند. Cloudflare سرویس DNS معتبر (authoritative) و اعتبارسنجی گواهی‌های TLS، و همچنین تحویل از لبه شبکه (edge) را برای برنامه‌های منتشرشده کاربران (*.proyecta.live) فراهم می‌کند.
پایگاه‌های داده ما آدرس IP عمومی ندارند: فقط از طریق شبکه خصوصی Google Cloud می‌توان به آن‌ها دسترسی داشت. از آن‌ها روزانه نسخه پشتیبان تهیه می‌شود و می‌توانیم آن‌ها را به هر لحظه‌ای در 7 روز گذشته بازگردانیم.
بیشتر درخواست‌های ما به Anthropic، ارائه‌دهنده اصلی مدل‌های هوش مصنوعی ما، از طریق سروری واسط منتقل می‌شوند که Proyecta خارج از Google Cloud اداره می‌کند و از طریق یک تونل Cloudflare احراز هویت‌شده و رمزنگاری‌شده به آن دسترسی داریم. این سرور از درخواست‌ها و پاسخ‌هایی که منتقل می‌کند نسخه‌هایی نگه می‌دارد تا بتوانیم مشکلات را عیب‌یابی کنیم.
ما مراکز داده خود را اداره نمی‌کنیم. ارائه‌دهندگان ابری ما گواهینامه‌های امنیتی زیرساختی مستقل خود را حفظ می‌کنند و فهرست به‌روزی از ارائه‌دهندگانی که داده‌ها را از طرف ما پردازش می‌کنند در صفحه پردازشگران فرعی ما منتشر شده است.
2. رمزنگاری
- در حین انتقال: تمام ترافیک بین شما و خدمات با استفاده از TLS 1.2 یا بالاتر رمزنگاری می‌شود، و اتصال‌های سرویس‌های ما به پایگاه‌های داده ما نیز همین‌طور.
- در حالت سکون: پایگاه‌های داده، فضای ذخیره‌سازی فایل‌ها و نسخه‌های پشتیبان ما در Google Cloud در حالت سکون با کلیدهای تحت مدیریت Google رمزنگاری می‌شوند.
- اسرار: اعتبارنامه‌های پلتفرم در Google Cloud Secret Manager نگهداری می‌شوند. توکن‌ها و اعتبارنامه‌های سرویس‌هایی که متصل می‌کنید، از جمله ارائه‌دهندگان پرداخت، به‌صورت رمزنگاری‌شده در پایگاه داده ما ذخیره می‌شوند. هیچ‌کدام در کد سمت کاربر (client-side) قرار داده نمی‌شوند.
3. کنترل‌های دسترسی
- دسترسی محدود. دسترسی به سیستم‌های عملیاتی (production) و داده‌های مشتری به پرسنل مجاز Proyecta محدود است. ابزارهای مدیریتی ما به هر یک از کارکنان حساب مخصوص خودش و نقشی می‌دهند که کارهایی را که می‌تواند انجام دهد محدود می‌کند.
- ثبت فعالیت‌ها. اقداماتی که کارکنان در ابزارهای مدیریتی ما انجام می‌دهند ثبت می‌شوند، از جمله هر بار که یکی از کارکنان برای کمک به یک مشتری وارد حساب او می‌شود. در برنامه‌هایی که با Proyecta ساخته می‌شوند، هر بار که کسی پرونده بالینی یک مراجع را باز می‌کند ثبت می‌شود.
- تعهدات محرمانگی. پرسنل دارای دسترسی به محتوا ملزم به تعهدات محرمانگی هستند.
همان‌طور که در سیاست حریم خصوصی ما توضیح داده شده، پرسنل مجاز فقط در حد ضرورت برای ارائه پشتیبانی، رفع مشکلات، حفظ قابلیت اطمینان یا انطباق با تعهدات قانونی به محتوا دسترسی پیدا می‌کنند.
4. مدیریت کد شما و داده‌های هوش مصنوعی
این سؤالی است که بیشتر مشتریان به آن اهمیت می‌دهند، پس آن را به صراحت بیان می‌کنیم:
- ما مدل‌های هوش مصنوعی را با محتوای شما آموزش نمی‌دهیم. ما از کد، درخواست‌ها یا داده‌های شما برای آموزش یا تنظیم دقیق مدل‌های هوش مصنوعی استفاده نمی‌کنیم، و محتوای شما را به منظور آموزش مدل‌های ارائه‌دهندگان هوش مصنوعی برای آن‌ها ارسال نمی‌کنیم.
- نحوه استفاده ما از محتوای شما. ما از محتوای شما برای ارائه خدمات به شما استفاده می‌کنیم. تیم ما همچنین در صورت نیاز پروژه‌ها و گفتگوهای هوش مصنوعی را می‌خواند تا از شما پشتیبانی کند و مشکلات را پیدا و رفع کند.
- ارائه‌دهندگان هوش مصنوعی شخص ثالث. برای تولید پاسخ، ورودی‌ها از طریق API ارائه‌دهندگان هوش مصنوعی برای آن‌ها ارسال می‌شوند: Anthropic و Google برای مدل‌های زبانی، Google و OpenAI برای تولید تصویر، Deepgram برای تبدیل گفتار به متن، ElevenLabs برای تبدیل متن به گفتار، و Tavily برای جستجوی وب و خواندن صفحات وب. Anthropic، Google و OpenAI این ورودی‌ها را طبق شرایط API پردازش می‌کنند که، طبق متن فعلی‌شان، به آن‌ها اجازه نمی‌دهد مدل‌های خود را با ورودی‌های مشتریان آموزش دهند. ما این ارائه‌دهندگان را کنترل نمی‌کنیم، و مدیریت داده‌های آن‌ها تابع شرایط خودشان است که باید آن‌ها را به‌طور مستقل بررسی کنید (به بخش 10.2 شرایط مراجعه کنید).
- تحلیل محصول. ما از PostHog برای درک نحوه استفاده از خدمات استفاده می‌کنیم: صفحات بازدیدشده، اقدامات انجام‌شده و ضبط جلسات، همان‌طور که در سیاست کوکی ما توضیح داده شده است. تیم ما این داده‌ها را برای بهبود خدمات و کمک به مشتریان بررسی می‌کند.
5. ایزولاسیون محیط اجرا
کدی که توسط خدمات تولید و اجرا می‌شود، در پادهای اختصاصی Kubernetes، جداگانه برای هر پروژه و در فضای نامی (namespace) جدا از سرویس‌های خود ما اجرا می‌شود. قوانین شبکه مانع دسترسی محیط‌های اجرا به یکدیگر یا به شبکه داخلی ما می‌شوند و ترافیک ورودی را فقط از طریق سرویس‌های خود ما می‌پذیرند. محیط‌های اجرای غیرفعال معلق و سپس بایگانی می‌شوند، که دامنه تأثیر هر محیط اجرای منفرد را محدود می‌کند.
6. مدیریت آسیب‌پذیری‌ها
- وابستگی‌های نرم‌افزاری خود را با ابزارهای خودکار برای آسیب‌پذیری‌های شناخته‌شده پایش می‌کنیم و به‌روزرسانی‌ها را بر اساس اولویت‌بندی ریسک اعمال می‌کنیم.
- افشای مسئولانه. اگر فکر می‌کنید آسیب‌پذیری امنیتی پیدا کرده‌اید، لطفاً آن را به security@proyecta.dev گزارش دهید. دریافت گزارش شما را تأیید خواهیم کرد، بدون تأخیر بررسی می‌کنیم و شما را در جریان قرار می‌دهیم. لطفاً قبل از هرگونه افشای عمومی، فرصت معقولی برای رفع مشکل به ما بدهید.
7. نگهداری و حذف داده‌ها
ما اطلاعات را فقط تا زمانی که برای ارائه خدمات و انطباق با تعهدات قانونی ضروری است نگهداری می‌کنیم. حساب، پروژه‌ها و تاریخچه گفتگوهای شما، از جمله درخواست‌ها و خروجی‌های تولیدشده، را تا زمانی که حساب شما باز است نگه می‌داریم.
می‌توانید در هر زمان از ما بخواهید حساب شما را حذف کنیم، در برنامه Proyecta از بخش تنظیمات یا در app.proyecta.dev/delete-account. تا زمانی که درخواست را تکمیل نکرده‌ایم، می‌توانید به استفاده از خدمات ادامه دهید و درخواست خود را پس بگیرید. ما درخواست را ظرف 30 روز تکمیل می‌کنیم: حساب و اطلاعات ورود شما، سایت‌های شما با تمام محتوایشان و داده‌های مشتریانتان را که در آن‌ها ذخیره شده است حذف می‌کنیم و هر طرح فعالی را لغو می‌کنیم. فقط سوابقی را که قانون الزام می‌کند، مانند فاکتورها و رسیدهای پرداخت، و به مدتی که قانون الزام می‌کند نگه می‌داریم. داده‌های حذف‌شده تا زمان انقضای نسخه‌های پشتیبان پایگاه داده ما در آن‌ها باقی می‌مانند. جزئیات کامل در بخش 4 سیاست حریم خصوصی آمده است.
8. واکنش به حوادث
ما یک برنامه مستند واکنش به حوادث امنیتی داریم. در صورت وقوع نقضی که داده‌های شخصی شما را در بر بگیرد، در صورت امکان ظرف 72 ساعت از کشف، یا زودتر در مواردی که قانون قابل‌اعمال الزامی کند، مشتریان متأثر را مطلع خواهیم کرد و ماهیت حادثه، داده‌های متأثر و اقدامات توصیه‌شده را اعلام می‌کنیم.
9. پردازشگران فرعی
ما برای اداره خدمات از ارائه‌دهندگان خدمات شخص ثالث استفاده می‌کنیم. هر یک از آن‌ها طبق شرایط پردازش داده خود متعهد به حفاظت از داده‌هایی است که از طرف ما پردازش می‌کند. فهرست کامل و فعلی — شامل هدف هر ارائه‌دهنده، داده‌هایی که پردازش می‌کند و مکان آن — در صفحه پردازشگران فرعی ما منتشر شده است، که نحوه اطلاع‌رسانی تغییرات را شرح می‌دهد.
10. انطباق و بررسی‌های امنیتی
- توافقنامه پردازش داده. مشتریانی که به عنوان کنترل‌کننده داده عمل می‌کنند می‌توانند توافقنامه‌ای (DPA) که سیاست حریم خصوصی ما را با تعهدات اضافی حفاظت از داده تکمیل می‌کند درخواست کنند. با legal@proyecta.dev تماس بگیرید.
- پرسش‌نامه‌های امنیتی. ما با خوشحالی پرسش‌نامه‌های امنیتی فروشنده را تکمیل می‌کنیم و از بررسی‌های امنیتی سازمانی پشتیبانی می‌کنیم — با security@proyecta.dev تماس بگیرید.
- شفافیت پردازشگران فرعی. فهرست پردازشگران فرعی ما عمومی است و به‌روز نگه داشته می‌شود.
با رشد Proyecta، ما به گسترش برنامه رسمی امنیت و انطباق خود ادامه می‌دهیم. برای وضعیت فعلی هر گواهینامه یا تأییدیه خاص، لطفاً با ما تماس بگیرید و موقعیت فعلی خود را به اشتراک خواهیم گذاشت.
11. تماس
- گزارش‌های امنیتی و آسیب‌پذیری: security@proyecta.dev
- استعلامات حریم خصوصی: privacy@proyecta.dev
- درخواست‌های حقوقی و DPA: legal@proyecta.dev