Sicurezza

Proyecta è una piattaforma in cui il tuo codice sorgente, i tuoi prompt e i dati del progetto transitano attraverso sistemi di IA e ambienti di esecuzione isolati. Proteggere tali dati è fondamentale per il modo in cui costruiamo i Servizi. Questa pagina riassume le nostre pratiche di sicurezza in un linguaggio semplice; integra la nostra Informativa sulla Privacy, i nostri Termini di Servizio e l'elenco dei Subresponsabili.

Per domande sulla sicurezza, revisioni di sicurezza per clienti aziendali o per segnalare una vulnerabilità, contatta security@proyecta.dev.

1. Infrastruttura e Hosting

I Servizi sono eseguiti su Google Cloud Platform, su Google Kubernetes Engine nella regione us-central1 di Google, negli Stati Uniti. Un bilanciatore di carico di livello 7 gestito da Google, con Google Cloud Armor, è collocato davanti ai nostri endpoint pubblici e fornisce protezione dai DDoS, regole di firewall per applicazioni web e limitazione della frequenza delle richieste; i file statici sono distribuiti tramite Google Cloud CDN. Cloudflare fornisce il DNS autoritativo e la convalida dei certificati TLS, oltre alla distribuzione edge delle app pubblicate dagli utenti (*.proyecta.live).

I nostri database non hanno un indirizzo IP pubblico: sono raggiungibili solo attraverso la rete privata di Google Cloud. Ne eseguiamo il backup ogni giorno e possiamo ripristinarli a qualsiasi momento degli ultimi 7 giorni.

La maggior parte delle nostre richieste ad Anthropic, il nostro principale fornitore di modelli di IA, passa attraverso un server che Proyecta gestisce al di fuori di Google Cloud, raggiunto tramite un tunnel Cloudflare autenticato e cifrato. Quel server conserva copie delle richieste e delle risposte che inoltra, così da permetterci di diagnosticare i problemi.

Non gestiamo data center propri. I nostri provider cloud mantengono le proprie certificazioni indipendenti di sicurezza dell'infrastruttura, e un elenco aggiornato dei provider che trattano dati per nostro conto è pubblicato nella nostra pagina dei Subresponsabili.

2. Crittografia

• In transito: Tutto il traffico tra te e i Servizi è cifrato utilizzando TLS 1.2 o superiore, così come le connessioni dei nostri servizi ai nostri database.
• A riposo: I nostri database, l'archiviazione dei file e i backup su Google Cloud sono cifrati a riposo con chiavi gestite da Google.
• Segreti: Le credenziali della piattaforma sono conservate in Google Cloud Secret Manager. I token e le credenziali dei servizi che colleghi, inclusi i fornitori di pagamento, sono memorizzati cifrati nel nostro database. Né gli uni né le altre vengono inseriti nel codice lato client.

3. Controlli di Accesso

• Accesso limitato. L'accesso ai sistemi di produzione e ai dati dei clienti è limitato al personale autorizzato di Proyecta. I nostri strumenti di amministrazione assegnano a ogni membro del personale un proprio account e un ruolo che limita ciò che può fare.
• Registrazione delle attività. Le azioni compiute dal personale nei nostri strumenti di amministrazione vengono registrate, incluse tutte le volte in cui un membro del personale accede all'account di un cliente per aiutarlo. Nelle app create con Proyecta, viene registrata ogni apertura della cartella clinica di un cliente.
• Obblighi di riservatezza. Il personale con accesso ai Contenuti è vincolato da obblighi di riservatezza.

Come descritto nella nostra Informativa sulla Privacy, il personale autorizzato accede ai Contenuti solo nella misura necessaria per fornire assistenza, risolvere problemi, mantenere l'affidabilità o conformarsi a obblighi di legge.

4. Gestione del Tuo Codice e dei Dati IA

Questa è la domanda che sta più a cuore alla maggior parte dei clienti, quindi rispondiamo senza giri di parole:

• Non addestriamo modelli di IA sui tuoi Contenuti. Non utilizziamo il tuo codice, i tuoi prompt o i tuoi dati per addestrare o perfezionare modelli di IA, e non inviamo i tuoi Contenuti ai fornitori di IA allo scopo di addestrare i loro modelli.
• Come utilizziamo i tuoi Contenuti. Utilizziamo i tuoi Contenuti per fornirti i Servizi. Il nostro team legge inoltre i progetti e le conversazioni con l'IA quando necessario per assisterti e per individuare e correggere problemi.
• Fornitori di IA di terze parti. Per produrre le risposte, gli input vengono inviati tramite le loro API a fornitori di IA: Anthropic e Google per i modelli linguistici, Google e OpenAI per la generazione di immagini, Deepgram per la trascrizione da voce a testo, ElevenLabs per la sintesi vocale e Tavily per la ricerca web e la lettura di pagine web. Anthropic, Google e OpenAI trattano questi input in base a termini API che, nella loro formulazione attuale, non consentono loro di addestrare i propri modelli sugli input dei clienti. Non controlliamo questi fornitori e il loro trattamento dei dati è disciplinato dai rispettivi termini, che dovresti esaminare in modo indipendente (vedi Termini §10.2).
• Analisi del prodotto. Utilizziamo PostHog per capire come vengono utilizzati i Servizi: pagine visitate, azioni compiute e registrazioni di sessione, come descritto nella nostra Cookie Policy. Il nostro team esamina questi dati per migliorare i Servizi e per aiutare i clienti.

5. Isolamento degli Ambienti di Esecuzione

Il codice generato ed eseguito dai Servizi viene eseguito in pod Kubernetes dedicati, separati per ciascun progetto, in un namespace distinto da quello dei nostri servizi. Regole di rete impediscono agli ambienti di esecuzione di raggiungersi tra loro o di raggiungere la nostra rete interna, e consentono il traffico in ingresso solo attraverso i nostri servizi. Gli ambienti di esecuzione inattivi vengono sospesi e poi archiviati, il che limita ciò su cui un singolo ambiente di esecuzione può incidere.

6. Gestione delle Vulnerabilità

• Monitoriamo le nostre dipendenze software con strumenti automatizzati per individuare vulnerabilità note e applichiamo aggiornamenti con priorità basata sul rischio.
• Divulgazione responsabile. Se ritieni di aver individuato una vulnerabilità di sicurezza, segnalala a security@proyecta.dev. Confermeremo la ricezione della tua segnalazione, indagheremo tempestivamente e ti terremo informato. Ti chiediamo di concederci un tempo ragionevole per porvi rimedio prima di qualsiasi divulgazione pubblica.

7. Conservazione ed Eliminazione dei Dati

Conserviamo le informazioni solo per il tempo necessario a fornire i Servizi e a soddisfare gli obblighi di legge. Conserviamo il tuo account, i tuoi progetti e la cronologia delle conversazioni, inclusi i prompt e gli output generati, finché il tuo account è aperto.

Puoi chiederci di eliminare il tuo account in qualsiasi momento, nell'app di Proyecta in Impostazioni oppure su app.proyecta.dev/delete-account. Finché non completiamo la richiesta, puoi continuare a utilizzare i Servizi e ritirarla. La completiamo entro 30 giorni: eliminiamo il tuo account e i tuoi dati di accesso, i tuoi siti con tutti i loro contenuti e i dati dei tuoi clienti in essi memorizzati, e annulliamo qualsiasi piano attivo. Conserviamo solo i documenti richiesti dalla legge, come fatture e ricevute di pagamento, per il tempo previsto dalla legge. I dati eliminati restano nei backup dei nostri database fino alla scadenza di tali backup. Tutti i dettagli sono disponibili nell'Informativa sulla Privacy §4.

8. Risposta agli Incidenti

Disponiamo di un piano documentato di risposta agli incidenti di sicurezza. In caso di violazione che coinvolga i tuoi dati personali, notificheremo i clienti interessati entro 72 ore dalla scoperta ove fattibile, o prima ove richiesto dalla legge applicabile, indicando la natura dell'incidente, i dati interessati e le azioni raccomandate.

9. Subresponsabili

Ci avvaliamo di fornitori di servizi terzi per operare i Servizi. Ciascuno è vincolato dai propri termini sul trattamento dei dati a proteggere i dati che tratta per nostro conto. L'elenco completo e aggiornato — incluse la finalità di ciascun fornitore, i dati che tratta e la sua ubicazione — è pubblicato nella nostra pagina dei Subresponsabili, che descrive come forniamo notifica delle modifiche.

10. Conformità e Revisioni di Sicurezza

• Accordo sul Trattamento dei Dati. I clienti che agiscono in qualità di titolare del trattamento possono richiedere un DPA che integri la nostra Informativa sulla Privacy con impegni aggiuntivi in materia di protezione dei dati. Contatta legal@proyecta.dev.
• Questionari di sicurezza. Siamo lieti di compilare questionari di sicurezza per fornitori e di supportare revisioni di sicurezza per clienti aziendali — contatta security@proyecta.dev.
• Trasparenza dei subresponsabili. Il nostro elenco dei subresponsabili è pubblico e tenuto aggiornato.

Con la crescita di Proyecta, continuiamo ad ampliare il nostro programma formale di sicurezza e conformità. Per lo stato attuale di una specifica certificazione o attestazione, contattaci e ti indicheremo a che punto siamo.

11. Contatti

• Segnalazioni di sicurezza e vulnerabilità: security@proyecta.dev
• Richieste sulla privacy: privacy@proyecta.dev
• Richieste legali e DPA: legal@proyecta.dev