सुरक्षा

Proyecta एक ऐसा प्लेटफ़ॉर्म है जहाँ आपका स्रोत कोड, प्रॉम्प्ट और प्रोजेक्ट डेटा AI सिस्टम और पृथक निष्पादन वातावरण से होकर प्रवाहित होता है। उस डेटा की सुरक्षा इस बात की बुनियाद है कि हम सेवाएँ कैसे बनाते हैं। यह पृष्ठ हमारी सुरक्षा प्रथाओं का सरल भाषा में सारांश प्रस्तुत करता है; यह हमारी गोपनीयता नीति, सेवा की शर्तों, और सबप्रोसेसर सूची का पूरक है।

सुरक्षा संबंधी प्रश्नों, एंटरप्राइज़ सुरक्षा समीक्षा, या किसी भेद्यता की रिपोर्ट करने के लिए, security@proyecta.dev से संपर्क करें।

1. अवसंरचना और होस्टिंग

सेवाएँ Google Cloud Platform पर, संयुक्त राज्य अमेरिका में Google के us-central1 क्षेत्र में Google Kubernetes Engine पर चलती हैं। हमारे सार्वजनिक एंडपॉइंट के सामने Google Cloud Armor के साथ Google द्वारा प्रबंधित एक लेयर-7 लोड बैलेंसर है, जो DDoS सुरक्षा, वेब एप्लिकेशन फ़ायरवॉल नियम और रेट लिमिटिंग प्रदान करता है; स्टैटिक एसेट Google Cloud CDN के माध्यम से दिए जाते हैं। Cloudflare आधिकारिक (authoritative) DNS और TLS-प्रमाणपत्र सत्यापन प्रदान करता है, और उपयोगकर्ताओं द्वारा प्रकाशित ऐप्स (*.proyecta.live) के लिए एज डिलीवरी भी।

हमारे डेटाबेस का कोई सार्वजनिक IP पता नहीं है: उन तक केवल Google Cloud के निजी नेटवर्क से ही पहुँचा जा सकता है। उनका रोज़ाना बैकअप लिया जाता है, और हम उन्हें पिछले 7 दिनों के किसी भी समय की स्थिति में बहाल कर सकते हैं।

हमारे मुख्य AI मॉडल प्रदाता Anthropic को भेजे जाने वाले हमारे अधिकांश अनुरोध एक ऐसे सर्वर से होकर जाते हैं जिसे Proyecta Google Cloud के बाहर चलाता है, और जिस तक एक प्रमाणीकृत, एन्क्रिप्टेड Cloudflare टनल के माध्यम से पहुँचा जाता है। वह सर्वर अपने से होकर जाने वाले अनुरोधों और प्रतिक्रियाओं की प्रतियाँ रखता है ताकि हम समस्याओं का निदान कर सकें।

हम अपने स्वयं के डेटा सेंटर नहीं चलाते। हमारे क्लाउड प्रदाता अपने स्वतंत्र अवसंरचना सुरक्षा प्रमाणपत्र बनाए रखते हैं, और हमारी ओर से डेटा संसाधित करने वाले प्रदाताओं की वर्तमान सूची हमारे सबप्रोसेसर पृष्ठ पर प्रकाशित है।

2. एन्क्रिप्शन

• पारगमन में: आपके और सेवाओं के बीच का सारा ट्रैफ़िक TLS 1.2 या उससे ऊपर के संस्करण से एन्क्रिप्ट किया जाता है, और हमारे डेटाबेस से हमारी सेवाओं के कनेक्शन भी।
• संग्रहीत अवस्था में: Google Cloud पर हमारे डेटाबेस, फ़ाइल स्टोरेज और बैकअप संग्रहीत अवस्था में Google द्वारा प्रबंधित कुंजियों से एन्क्रिप्ट किए जाते हैं।
• गोपनीय जानकारी: प्लेटफ़ॉर्म के क्रेडेंशियल Google Cloud Secret Manager में रखे जाते हैं। आपके द्वारा कनेक्ट की गई सेवाओं के टोकन और क्रेडेंशियल, जिनमें भुगतान प्रदाता भी शामिल हैं, हमारे डेटाबेस में एन्क्रिप्ट करके संग्रहीत किए जाते हैं। इनमें से कोई भी क्लाइंट-साइड कोड में नहीं रखा जाता।

3. एक्सेस नियंत्रण

• सीमित पहुँच। उत्पादन प्रणालियों और ग्राहक डेटा तक पहुँच अधिकृत Proyecta कर्मचारियों तक सीमित है। हमारे एडमिन टूल हर कर्मचारी को उसका अपना खाता और एक भूमिका देते हैं, जो यह सीमित करती है कि वह क्या कर सकता है।
• गतिविधि लॉगिंग। हमारे एडमिन टूल में कर्मचारियों द्वारा की गई कार्रवाइयाँ लॉग की जाती हैं, जिनमें हर वह बार भी शामिल है जब कोई कर्मचारी किसी ग्राहक की मदद के लिए उसके खाते में साइन इन करता है। Proyecta से बनाए गए ऐप्स में, जब भी कोई किसी क्लाइंट का क्लिनिकल रिकॉर्ड खोलता है, तो वह हर बार लॉग किया जाता है।
• गोपनीयता दायित्व। सामग्री तक पहुँच रखने वाले कर्मचारी गोपनीयता दायित्वों से बंधे हैं।

जैसा कि हमारी गोपनीयता नीति में वर्णित है, अधिकृत कर्मी सामग्री तक केवल समर्थन प्रदान करने, समस्याओं को डीबग करने, विश्वसनीयता बनाए रखने, या कानूनी दायित्वों का पालन करने के लिए आवश्यकता अनुसार ही पहुँचते हैं।

4. आपके कोड और AI डेटा का प्रबंधन

यह वह प्रश्न है जिसकी अधिकांश ग्राहकों को सबसे अधिक चिंता रहती है, इसलिए हम इसे स्पष्ट रूप से बताते हैं:

• हम आपकी सामग्री पर AI मॉडल प्रशिक्षित नहीं करते। हम आपके कोड, प्रॉम्प्ट या डेटा का उपयोग AI मॉडल को प्रशिक्षित या फ़ाइन-ट्यून करने के लिए नहीं करते, और हम आपकी सामग्री AI प्रदाताओं को उनके मॉडल प्रशिक्षित करने के उद्देश्य से नहीं भेजते।
• हम आपकी सामग्री का उपयोग कैसे करते हैं। हम आपकी सामग्री का उपयोग आपको सेवाएँ प्रदान करने के लिए करते हैं। ज़रूरत पड़ने पर हमारी टीम आपकी सहायता करने और समस्याओं को ढूँढ़ने और ठीक करने के लिए प्रोजेक्ट और AI बातचीत भी पढ़ती है।
• तृतीय-पक्ष AI प्रदाता। प्रतिक्रियाएँ तैयार करने के लिए, इनपुट उनके API के माध्यम से AI प्रदाताओं को भेजे जाते हैं: भाषा मॉडल के लिए Anthropic और Google, छवि निर्माण के लिए Google और OpenAI, स्पीच-टू-टेक्स्ट के लिए Deepgram, टेक्स्ट-टू-स्पीच के लिए ElevenLabs, और वेब खोज तथा वेब पेज पढ़ने के लिए Tavily। Anthropic, Google और OpenAI इन इनपुट को ऐसी API शर्तों के तहत संसाधित करते हैं जो, जैसी वे अभी लिखी हैं, उन्हें ग्राहक इनपुट पर अपने मॉडल प्रशिक्षित करने की अनुमति नहीं देतीं। हम इन प्रदाताओं को नियंत्रित नहीं करते, और उनके डेटा प्रबंधन पर उनकी अपनी शर्तें लागू होती हैं, जिनकी आपको स्वतंत्र रूप से समीक्षा करनी चाहिए (शर्तें §10.2 देखें)।
• उत्पाद विश्लेषण। सेवाओं का उपयोग कैसे होता है, यह समझने के लिए हम PostHog का उपयोग करते हैं: देखे गए पेज, की गई कार्रवाइयाँ और सत्र रिकॉर्डिंग, जैसा कि हमारी कुकी नीति में बताया गया है। हमारी टीम सेवाओं को बेहतर बनाने और ग्राहकों की मदद करने के लिए इस डेटा की समीक्षा करती है।

5. रनटाइम पृथक्करण

सेवाओं द्वारा उत्पन्न और चलाया गया कोड समर्पित Kubernetes pods में चलता है, जो हर प्रोजेक्ट के लिए अलग होते हैं और हमारी अपनी सेवाओं से अलग एक namespace में रहते हैं। नेटवर्क नियम रनटाइम को एक-दूसरे तक या हमारे आंतरिक नेटवर्क तक पहुँचने से रोकते हैं, और ट्रैफ़िक को केवल हमारी अपनी सेवाओं के माध्यम से ही अंदर आने देते हैं। निष्क्रिय रनटाइम निलंबित किए जाते हैं और बाद में आर्काइव किए जाते हैं, जिससे यह सीमित होता है कि कोई एक रनटाइम कितना प्रभावित कर सकता है।

6. भेद्यता प्रबंधन

• हम स्वचालित टूल से अपनी सॉफ़्टवेयर निर्भरताओं में ज्ञात भेद्यताओं पर नज़र रखते हैं और जोखिम-प्राथमिकता के आधार पर अपडेट लागू करते हैं।
• जिम्मेदार प्रकटीकरण। यदि आपको लगता है कि आपने कोई सुरक्षा भेद्यता पाई है, तो कृपया इसे security@proyecta.dev को रिपोर्ट करें। हम आपकी रिपोर्ट स्वीकार करेंगे, तुरंत जाँच करेंगे, और आपको सूचित रखेंगे। कृपया किसी भी सार्वजनिक प्रकटीकरण से पहले हमें सुधार का उचित अवसर दें।

7. डेटा प्रतिधारण और विलोपन

हम जानकारी को केवल तब तक रखते हैं जब तक सेवाएँ प्रदान करने और कानूनी दायित्वों को पूरा करने के लिए आवश्यक हो। जब तक आपका खाता खुला है, हम आपका खाता, आपके प्रोजेक्ट और आपका बातचीत इतिहास, जिसमें प्रॉम्प्ट और उत्पन्न आउटपुट शामिल हैं, रखते हैं।

आप किसी भी समय हमसे अपना खाता हटाने के लिए कह सकते हैं, Proyecta ऐप में सेटिंग्स के अंतर्गत या app.proyecta.dev/delete-account पर। जब तक हम अनुरोध पूरा नहीं कर लेते, आप सेवाओं का उपयोग जारी रख सकते हैं और अनुरोध वापस ले सकते हैं। हम इसे 30 दिनों के भीतर पूरा करते हैं: हम आपका खाता और साइन-इन विवरण, आपकी साइटें उनकी पूरी सामग्री सहित, और उनमें संग्रहीत आपके ग्राहकों का डेटा हटा देते हैं, और कोई भी सक्रिय प्लान रद्द कर देते हैं। हम केवल वही रिकॉर्ड रखते हैं जो कानून के अनुसार ज़रूरी हैं, जैसे इनवॉइस और भुगतान रसीदें, और केवल उतने समय तक जितना कानून ज़रूरी बताता है। हटाया गया डेटा हमारे डेटाबेस बैकअप में तब तक बना रहता है जब तक वे बैकअप समाप्त नहीं हो जाते। पूर्ण विवरण गोपनीयता नीति §4 में है।

8. घटना प्रतिक्रिया

सुरक्षा घटनाओं के लिए हमारे पास एक प्रलेखित घटना प्रतिक्रिया योजना है। आपके व्यक्तिगत डेटा से जुड़े उल्लंघन की स्थिति में, हम प्रभावित ग्राहकों को, जहाँ संभव हो, पता चलने के 72 घंटों के भीतर, या जहाँ लागू कानून इससे पहले की माँग करता है वहाँ उससे पहले, सूचित करेंगे, जिसमें घटना की प्रकृति, प्रभावित डेटा और अनुशंसित कार्रवाइयाँ शामिल होंगी।

9. सबप्रोसेसर

सेवाओं का संचालन करने के लिए हम तृतीय-पक्ष सेवा प्रदाताओं का उपयोग करते हैं। हर प्रदाता अपनी डेटा-प्रसंस्करण शर्तों के तहत हमारी ओर से संसाधित डेटा की सुरक्षा करने के लिए बाध्य है। प्रत्येक प्रदाता के उद्देश्य, उसके द्वारा संसाधित डेटा और उसके स्थान सहित पूर्ण, वर्तमान सूची हमारे सबप्रोसेसर पृष्ठ पर प्रकाशित है, जो बताता है कि हम परिवर्तनों की सूचना कैसे देते हैं।

10. अनुपालन और सुरक्षा समीक्षा

• डेटा प्रसंस्करण समझौता। जो ग्राहक डेटा नियंत्रक के रूप में कार्य करते हैं, वे एक DPA का अनुरोध कर सकते हैं जो हमारी गोपनीयता नीति को अतिरिक्त डेटा संरक्षण प्रतिबद्धताओं के साथ पूरक करता है। legal@proyecta.dev से संपर्क करें।
• सुरक्षा प्रश्नावली। हम विक्रेता सुरक्षा प्रश्नावली पूरी करने और एंटरप्राइज़ सुरक्षा समीक्षाओं का समर्थन करने में प्रसन्न हैं — security@proyecta.dev से संपर्क करें।
• सबप्रोसेसर पारदर्शिता। हमारी सबप्रोसेसर सूची सार्वजनिक है और अद्यतित रखी जाती है।

जैसे-जैसे Proyecta बढ़ता है, हम अपने औपचारिक सुरक्षा और अनुपालन कार्यक्रम का विस्तार करते रहते हैं। किसी विशिष्ट प्रमाणन या प्रमाणीकरण की वर्तमान स्थिति के लिए, कृपया संपर्क करें और हम आपको अवगत कराएँगे कि हम कहाँ हैं।

11. संपर्क

• सुरक्षा और भेद्यता रिपोर्ट: security@proyecta.dev
• गोपनीयता पूछताछ: privacy@proyecta.dev
• कानूनी और DPA अनुरोध: legal@proyecta.dev