אבטחה

Proyecta היא פלטפורמה שבה קוד המקור, ההנחיות ונתוני הפרויקטים שלך זורמים דרך מערכות בינה מלאכותית וסביבות הרצה מבודדות. הגנה על נתונים אלה היא יסוד לאופן שבו אנו בונים את השירותים. עמוד זה מסכם את נהלי האבטחה שלנו בשפה פשוטה; הוא משלים את מדיניות הפרטיות, תנאי השירות ורשימת מעבדי המשנה שלנו.

לשאלות אבטחה, סקירות אבטחה לארגונים או לדיווח על פגיעות, צור קשר בכתובת security@proyecta.dev.

1. תשתית ואירוח

השירותים פועלים על Google Cloud Platform, ב-Google Kubernetes Engine, באזור us-central1 של Google בארצות הברית. מאזן עומסים בשכבה 7 המנוהל על ידי Google, יחד עם Google Cloud Armor, ממוקם לפני נקודות הקצה הציבוריות שלנו ומספק הגנה מפני DDoS, כללי חומת אש ליישומי אינטרנט והגבלת קצב; נכסים סטטיים מוגשים באמצעות Google Cloud CDN. Cloudflare מספקת DNS סמכותי ואימות אישורי TLS, וכן אספקת edge לאפליקציות שמשתמשים פרסמו (*.proyecta.live).

למסדי הנתונים שלנו אין כתובת IP ציבורית: ניתן לגשת אליהם רק דרך הרשת הפרטית של Google Cloud. הם מגובים מדי יום, ואנו יכולים לשחזר אותם לכל נקודת זמן ב-7 הימים האחרונים.

רוב הבקשות שלנו ל-Anthropic, ספק מודלי הבינה המלאכותית העיקרי שלנו, מועברות דרך שרת ש-Proyecta מפעילה מחוץ ל-Google Cloud, שאליו מגיעים דרך מנהרת Cloudflare מאומתת ומוצפנת. שרת זה שומר עותקים של הבקשות והתגובות שהוא מעביר, כדי שנוכל לאבחן תקלות.

איננו מפעילים מרכזי נתונים משלנו. ספקי הענן שלנו מחזיקים בהסמכות אבטחת תשתית עצמאיות משלהם, ורשימה עדכנית של הספקים המעבדים נתונים מטעמנו מתפרסמת בעמוד מעבדי המשנה שלנו.

2. הצפנה

• במעבר: כל התעבורה בינך לבין השירותים מוצפנת באמצעות TLS 1.2 ומעלה, וכך גם החיבורים של השירותים שלנו למסדי הנתונים שלנו.
• במנוחה: מסדי הנתונים, אחסון הקבצים והגיבויים שלנו ב-Google Cloud מוצפנים במנוחה באמצעות מפתחות המנוהלים על ידי Google.
• סודות: אישורי הגישה של הפלטפורמה נשמרים ב-Google Cloud Secret Manager. אסימונים ואישורי גישה לשירותים שאתה מחבר, כולל ספקי תשלום, מאוחסנים מוצפנים במסד הנתונים שלנו. אף אחד מהם אינו מוכנס לקוד צד-לקוח.

3. בקרות גישה

• גישה מוגבלת. הגישה למערכות הייצור ולנתוני לקוחות מוגבלת לצוות מורשה של Proyecta. כלי הניהול שלנו נותנים לכל איש צוות חשבון משלו ותפקיד שמגביל את מה שהוא יכול לעשות.
• רישום פעילות. פעולות שהצוות מבצע בכלי הניהול שלנו נרשמות, כולל כל פעם שאיש צוות נכנס לחשבון של לקוח כדי לעזור לו. באפליקציות שנבנו עם Proyecta, נרשם כל מקרה שבו מישהו פותח את התיק הקליני של לקוח.
• חובות סודיות. אנשי צוות עם גישה לתוכן מחויבים בחובות סודיות.

כפי שמתואר במדיניות הפרטיות שלנו, צוות מורשה ניגש לתוכן רק לפי הצורך כדי לספק תמיכה, לאתר באגים, לשמור על אמינות או לציית לחובות משפטיות.

4. טיפול בקוד שלך ובנתוני בינה מלאכותית

זוהי השאלה שמעניינת את רוב הלקוחות, אז נציין אותה במפורש:

• איננו מאמנים מודלי בינה מלאכותית על התוכן שלך. איננו משתמשים בקוד, בהנחיות או בנתונים שלך כדי לאמן או לכוונן מודלי בינה מלאכותית, ואיננו שולחים את התוכן שלך לספקי בינה מלאכותית לצורך אימון המודלים שלהם.
• כיצד אנו משתמשים בתוכן שלך. אנו משתמשים בתוכן שלך כדי לספק לך את השירותים. הצוות שלנו גם קורא פרויקטים ושיחות עם הבינה המלאכותית כשצריך, כדי לתמוך בך ולאתר ולתקן תקלות.
• ספקי בינה מלאכותית של צד שלישי. כדי להפיק תגובות, קלטים נשלחים דרך ממשקי ה-API של ספקי בינה מלאכותית: Anthropic ו-Google למודלי שפה, Google ו-OpenAI ליצירת תמונות, Deepgram להמרת דיבור לטקסט, ElevenLabs להמרת טקסט לדיבור, ו-Tavily לחיפוש באינטרנט ולקריאת דפי אינטרנט. Anthropic, Google ו-OpenAI מעבדות קלטים אלה לפי תנאי API שבנוסחם הנוכחי אינם מתירים להן לאמן את המודלים שלהן על קלטי לקוחות. איננו שולטים בספקים אלה, והטיפול שלהם בנתונים כפוף לתנאים שלהם, שעליך לבחון באופן עצמאי (ראה סעיף 10.2 לתנאי השירות).
• ניתוח מוצר. אנו משתמשים ב-PostHog כדי להבין כיצד נעשה שימוש בשירותים: דפים שנצפו, פעולות שבוצעו והקלטות הפעלה, כמתואר במדיניות העוגיות שלנו. הצוות שלנו בוחן נתונים אלה כדי לשפר את השירותים ולעזור ללקוחות.

5. בידוד סביבת הרצה

קוד שהשירותים יוצרים ומריצים רץ בפודים ייעודיים של Kubernetes, נפרדים לכל פרויקט, במרחב שמות (namespace) נפרד מזה של השירותים שלנו. כללי רשת מונעים מסביבות ההרצה להגיע זו לזו או לרשת הפנימית שלנו, ומאפשרים תעבורה נכנסת רק דרך השירותים שלנו. סביבות הרצה שאינן פעילות מושהות ובהמשך מועברות לארכיון, וכך מוגבלת ההשפעה האפשרית של כל סביבת הרצה בודדת.

6. ניהול פגיעויות

• אנו עוקבים בכלים אוטומטיים אחר פגיעויות ידועות בתלויות התוכנה שלנו, ומיישמים עדכונים לפי תעדוף סיכונים.
• גילוי אחראי. אם אתה סבור שמצאת פגיעות אבטחה, אנא דווח עליה לכתובת security@proyecta.dev. נאשר את קבלת הדיווח, נבדוק אותו בהקדם ונעדכן אותך. אנא תן לנו הזדמנות סבירה לתקן לפני כל גילוי פומבי.

7. שמירת נתונים ומחיקתם

אנו שומרים מידע רק כל עוד הדבר נדרש כדי לספק את השירותים ולעמוד בחובות משפטיות. אנו שומרים את החשבון שלך, את הפרויקטים שלך ואת היסטוריית השיחות שלך, כולל הנחיות ופלטים שנוצרו, כל עוד החשבון שלך פתוח.

אתה יכול לבקש מאיתנו למחוק את החשבון שלך בכל עת, באפליקציית Proyecta תחת "הגדרות" או בכתובת app.proyecta.dev/delete-account. עד שנשלים את הבקשה, תוכל להמשיך להשתמש בשירותים ולחזור בך ממנה. אנו משלימים אותה תוך 30 יום: אנו מוחקים את החשבון שלך ואת פרטי ההתחברות שלך, את האתרים שלך עם כל התוכן שלהם ואת נתוני הלקוחות שלך המאוחסנים בהם, ומבטלים כל תוכנית פעילה. אנו שומרים רק את הרשומות שהחוק מחייב, כגון חשבוניות וקבלות תשלום, למשך הזמן שהחוק מחייב. נתונים שנמחקו נשארים בגיבויי מסדי הנתונים שלנו עד שתוקף הגיבויים האלה פג. פרטים מלאים נמצאים בסעיף 4 של מדיניות הפרטיות.

8. תגובה לאירועים

יש לנו תוכנית מתועדת לתגובה לאירועי אבטחה. במקרה של הפרה הכוללת את הנתונים האישיים שלך, נודיע ללקוחות המושפעים תוך 72 שעות מהגילוי ככל שהדבר אפשרי, או מוקדם יותר כאשר החוק החל מחייב זאת, ונפרט את אופי האירוע, הנתונים שנפגעו והפעולות המומלצות.

9. מעבדי משנה

אנו משתמשים בספקי שירות של צד שלישי להפעלת השירותים. כל אחד מהם מחויב, לפי תנאי עיבוד הנתונים שלו, להגן על הנתונים שהוא מעבד מטעמנו. הרשימה המלאה והעדכנית — כולל מטרת כל ספק, הנתונים שהוא מעבד ומיקומו — מתפרסמת בעמוד מעבדי המשנה שלנו, המתאר כיצד אנו מודיעים על שינויים.

10. ציות וסקירות אבטחה

• הסכם עיבוד נתונים. לקוחות הפועלים כבקר נתונים רשאים לבקש DPA המשלים את מדיניות הפרטיות שלנו בהתחייבויות נוספות להגנה על נתונים. צור קשר בכתובת legal@proyecta.dev.
• שאלוני אבטחה. נשמח להשלים שאלוני אבטחה של ספקים ולתמוך בסקירות אבטחה ארגוניות — צור קשר בכתובת security@proyecta.dev.
• שקיפות מעבדי משנה. רשימת מעבדי המשנה שלנו פומבית ומתעדכנת באופן שוטף.

ככל ש-Proyecta צומחת, אנו ממשיכים להרחיב את תוכנית האבטחה והציות הפורמלית שלנו. לסטטוס הנוכחי של כל הסמכה או אישור ספציפיים, אנא צור קשר ונשתף היכן אנו עומדים.

11. יצירת קשר

• דיווחי אבטחה ופגיעויות: security@proyecta.dev
• פניות פרטיות: privacy@proyecta.dev
• בקשות משפטיות ובקשות DPA: legal@proyecta.dev