Security

Proyecta è una piattaforma in cui il tuo codice sorgente, i tuoi prompt e i dati del progetto transitano attraverso sistemi di IA e ambienti di esecuzione isolati. Proteggere tali dati è fondamentale per il modo in cui costruiamo i Servizi. Questa pagina riassume le nostre pratiche di sicurezza in un linguaggio semplice; integra la nostra Informativa sulla Privacy, i nostri Termini di Servizio e l'elenco dei Subresponsabili.

Per domande sulla sicurezza, revisioni di sicurezza per clienti aziendali o per segnalare una vulnerabilità, contatta security@proyecta.dev.

1. Infrastruttura e Hosting

I Servizi sono eseguiti su Google Cloud Platform, un'infrastruttura nativa Kubernetes operata in regioni cloud consolidate. Cloudflare è collocato davanti ai nostri endpoint pubblici per la distribuzione dei contenuti, la protezione dai DDoS e il firewall per applicazioni web.

Non gestiamo data center propri. I nostri provider cloud mantengono le proprie certificazioni indipendenti di sicurezza dell'infrastruttura, e un elenco aggiornato dei provider che trattano dati per nostro conto è pubblicato nella nostra pagina dei Subresponsabili.

2. Crittografia

• In transito: Tutto il traffico tra te e i Servizi è cifrato utilizzando TLS 1.2 o superiore.
• A riposo: I Contenuti del cliente, i dati dell'account e i backup sono cifrati a riposo.
• Segreti: Le credenziali e i token di integrazione sono memorizzati cifrati e non vengono mai esposti nel codice lato client né nei log.

3. Controlli di Accesso

• Controllo degli accessi basato sui ruoli. L'accesso ai sistemi di produzione e ai dati dei clienti è limitato al personale autorizzato di Proyecta sulla base del principio del minimo privilegio.
• Registrazione di audit. Le azioni amministrative e gli accessi ai dati sono registrati per finalità di responsabilità.
• Credenziali a perimetro limitato. Le credenziali di servizio e di integrazione sono limitate alle autorizzazioni minime necessarie per la loro funzione.
• Obblighi di riservatezza. Il personale con accesso ai Contenuti è vincolato da obblighi di riservatezza e riceve formazione sulla sicurezza.

Come descritto nella nostra Informativa sulla Privacy, il personale autorizzato accede ai Contenuti solo nella misura necessaria per fornire assistenza, risolvere problemi, mantenere l'affidabilità o conformarsi a obblighi di legge.

4. Gestione del Tuo Codice e dei Dati IA

Questa è la domanda che sta più a cuore alla maggior parte dei clienti, quindi rispondiamo senza giri di parole:

• Non addestriamo modelli di IA sui tuoi Contenuti. Non utilizziamo il tuo codice, i tuoi prompt o i tuoi dati per addestrare o perfezionare i nostri modelli di IA, e non inviamo i tuoi Contenuti ai fornitori di IA allo scopo di addestrare i loro modelli.
• I Contenuti sono trattati per servirti, non per essere sfruttati. I tuoi Contenuti sono trattati esclusivamente per fornire risposte all'interno delle tue stesse sessioni.
• I fornitori di IA di terze parti trattano gli input in modo transitorio. Per generare risposte, gli input vengono inviati ai fornitori di modelli di IA (Anthropic, OpenAI, Google) tramite le loro API. Utilizziamo livelli (tier) di API che, secondo i termini API attuali di tali fornitori, non vengono utilizzati per addestrare i loro modelli con gli input dei clienti. Non controlliamo questi fornitori e il loro trattamento dei dati è disciplinato dai rispettivi termini, che dovresti esaminare in modo indipendente (vedi Termini §10.2).
• Solo analisi aggregate. Qualsiasi analisi che ricaviamo per migliorare i Servizi utilizza dati aggregati e anonimizzati che non possono essere utilizzati per identificarti né per ricostruire i tuoi Contenuti.

5. Isolamento degli Ambienti di Esecuzione

Il codice generato ed eseguito dai Servizi viene eseguito all'interno di ambienti di esecuzione isolati — pod Kubernetes dedicati e in sandbox, forniti per ciascun workload. Gli ambienti di esecuzione sono isolati l'uno dall'altro e vengono smantellati secondo il loro calendario di ciclo di vita, limitando il raggio d'impatto di qualsiasi singola esecuzione.

6. Gestione delle Vulnerabilità

• Effettuiamo valutazioni periodiche delle vulnerabilità e test di sicurezza dei Servizi.
• Monitoriamo le nostre dipendenze software per individuare vulnerabilità note e applichiamo aggiornamenti con priorità basata sul rischio.
• Divulgazione responsabile. Se ritieni di aver individuato una vulnerabilità di sicurezza, segnalala a security@proyecta.dev. Confermeremo la ricezione della tua segnalazione, indagheremo tempestivamente e ti terremo informato. Ti chiediamo di concederci un tempo ragionevole per porvi rimedio prima di qualsiasi divulgazione pubblica.

7. Conservazione ed Eliminazione dei Dati

Conserviamo le informazioni solo per il tempo necessario a fornire i Servizi e a soddisfare gli obblighi di legge. La cronologia delle conversazioni, inclusi i prompt e gli output generati, viene conservata finché non la elimini o non chiudi il tuo account. Alla cessazione dell'account hai 30 giorni per esportare i tuoi dati, dopo i quali vengono eliminati in conformità con il nostro programma di conservazione. Tutti i dettagli sono disponibili nell'Informativa sulla Privacy §4.

8. Risposta agli Incidenti

Manteniamo un processo di risposta agli incidenti di sicurezza. In caso di violazione che coinvolga i tuoi dati personali, notificheremo i clienti interessati entro 72 ore dalla scoperta ove fattibile, o prima ove richiesto dalla legge applicabile, indicando la natura dell'incidente, i dati interessati e le azioni raccomandate.

9. Subresponsabili

Utilizziamo un insieme accuratamente selezionato di fornitori di servizi terzi per operare i Servizi. Ciascuno è contrattualmente obbligato a proteggere i dati che tratta per nostro conto. L'elenco completo e aggiornato — incluse la finalità di ciascun fornitore, i dati che tratta e la sua ubicazione — è pubblicato nella nostra pagina dei Subresponsabili, che descrive come forniamo notifica delle modifiche.

10. Conformità e Revisioni di Sicurezza

• Accordo sul Trattamento dei Dati. I clienti che agiscono in qualità di titolare del trattamento possono richiedere un DPA che integri la nostra Informativa sulla Privacy con impegni aggiuntivi in materia di protezione dei dati. Contatta legal@proyecta.dev.
• Questionari di sicurezza. Siamo lieti di compilare questionari di sicurezza per fornitori e di supportare revisioni di sicurezza per clienti aziendali — contatta security@proyecta.dev.
• Trasparenza dei subresponsabili. Il nostro elenco dei subresponsabili è pubblico e tenuto aggiornato.

Con la crescita di Proyecta, continuiamo ad ampliare il nostro programma formale di sicurezza e conformità. Per lo stato attuale di una specifica certificazione o attestazione, contattaci e ti indicheremo a che punto siamo.

11. Contatti

• Segnalazioni di sicurezza e vulnerabilità: security@proyecta.dev
• Richieste sulla privacy: privacy@proyecta.dev
• Richieste legali e DPA: legal@proyecta.dev