Security

Proyecta is een platform waarop uw broncode, prompts en projectgegevens door AI-systemen en geïsoleerde uitvoeringsomgevingen stromen. Het beschermen van die gegevens is fundamenteel voor de manier waarop wij de Diensten bouwen. Deze pagina vat onze beveiligingspraktijken in begrijpelijke taal samen; zij vormt een aanvulling op ons Privacybeleid, onze Servicevoorwaarden en de lijst met Subverwerkers.

Voor beveiligingsvragen, enterprise-beveiligingsbeoordelingen of om een kwetsbaarheid te melden, kunt u contact opnemen met security@proyecta.dev.

1. Infrastructuur en hosting

De Diensten draaien op Google Cloud Platform, een Kubernetes-native infrastructuur die wordt geëxploiteerd in gevestigde cloudregio's. Cloudflare staat voor onze publieke endpoints en zorgt voor content delivery, DDoS-bescherming en web application firewalling.

Wij exploiteren geen eigen datacenters. Onze cloudproviders onderhouden hun eigen onafhankelijke certificeringen voor infrastructuurbeveiliging, en een actuele lijst van de providers die namens ons gegevens verwerken is gepubliceerd op onze pagina Subverwerkers.

2. Encryptie

• Tijdens overdracht: Al het verkeer tussen u en de Diensten wordt versleuteld met TLS 1.2 of hoger.
• In rust: Klantinhoud, accountgegevens en back-ups worden in rust versleuteld.
• Geheimen: Inloggegevens en integratietokens worden versleuteld opgeslagen en worden nooit blootgesteld in client-side code of logs.

3. Toegangscontroles

• Rolgebaseerde toegangscontrole. Toegang tot productiesystemen en klantgegevens is beperkt tot geautoriseerd Proyecta-personeel op basis van het minimaal vereiste rechtenprincipe.
• Auditlogboekregistratie. Administratieve en gegevenstoegangsacties worden gelogd ten behoeve van verantwoording.
• Beperkte inloggegevens. Service- en integratiegegevens zijn beperkt tot de minimale rechten die nodig zijn voor hun functie.
• Vertrouwelijkheidsverplichtingen. Personeel met toegang tot Inhoud is gebonden aan vertrouwelijkheidsverplichtingen en ontvangt beveiligingstraining.

Zoals beschreven in ons Privacybeleid krijgt geautoriseerd personeel alleen toegang tot Inhoud voor zover noodzakelijk om ondersteuning te bieden, problemen op te lossen, betrouwbaarheid te handhaven of wettelijke verplichtingen na te leven.

4. Verwerking van uw code en AI-gegevens

Dit is de vraag waar de meeste klanten om geven, dus stellen wij het ronduit:

• Wij trainen geen AI-modellen op uw Inhoud. Wij gebruiken uw code, prompts of gegevens niet om onze AI-modellen te trainen of te verfijnen, en wij sturen uw Inhoud niet naar AI-aanbieders met het doel hun modellen te trainen.
• Inhoud wordt verwerkt om u te bedienen, niet om te ontginnen. Uw Inhoud wordt uitsluitend verwerkt om antwoorden te leveren binnen uw eigen sessies.
• AI-aanbieders van derden verwerken invoer tijdelijk. Om antwoorden te genereren wordt invoer via hun API's naar AI-modelaanbieders (Anthropic, OpenAI, Google) verzonden. Wij gebruiken API-niveaus die, onder de huidige API-voorwaarden van die aanbieders, niet worden gebruikt om hun modellen op klantinvoer te trainen. Wij hebben geen zeggenschap over deze aanbieders, en hun gegevensverwerking wordt geregeld door hun eigen voorwaarden, die u onafhankelijk dient te raadplegen (zie Voorwaarden §10.2).
• Uitsluitend geaggregeerde analyses. Eventuele analyses die wij afleiden om de Diensten te verbeteren maken gebruik van geaggregeerde, gede-identificeerde gegevens die niet kunnen worden gebruikt om u te identificeren of uw Inhoud te reconstrueren.

5. Runtime-isolatie

Code die door de Diensten wordt gegenereerd en uitgevoerd, draait binnen geïsoleerde runtime-omgevingen — toegewijde, sandboxed Kubernetes-pods die per workload worden ingericht. Runtimes zijn van elkaar geïsoleerd en worden afgebroken volgens hun levenscyclusschema, waardoor de impactradius van elke afzonderlijke uitvoering wordt beperkt.

6. Beheer van kwetsbaarheden

• Wij voeren periodieke kwetsbaarheidsbeoordelingen en beveiligingstests van de Diensten uit.
• Wij monitoren onze softwareafhankelijkheden op bekende kwetsbaarheden en passen updates toe op risico-geprioriteerde basis.
• Verantwoorde openbaarmaking. Indien u meent een beveiligingskwetsbaarheid te hebben gevonden, meld deze dan aan security@proyecta.dev. Wij bevestigen uw melding, onderzoeken deze direct en houden u op de hoogte. Geef ons alstublieft een redelijke gelegenheid om de kwetsbaarheid te verhelpen voordat u tot openbaarmaking overgaat.

7. Gegevensbewaring en -verwijdering

Wij bewaren informatie alleen zo lang als nodig is om de Diensten te leveren en aan wettelijke verplichtingen te voldoen. Conversatiegeschiedenis, waaronder prompts en gegenereerde uitvoer, wordt bewaard totdat u deze verwijdert of uw account opzegt. Bij beëindiging van het account beschikt u over een venster van 30 dagen om uw gegevens te exporteren, waarna deze worden verwijderd conform ons bewaarschema. Volledige details staan in Privacybeleid §4.

8. Incidentrespons

Wij onderhouden een incidentresponsproces voor beveiligingsgebeurtenissen. In het geval van een inbreuk waarbij uw persoonsgegevens betrokken zijn, stellen wij getroffen klanten binnen 72 uur na ontdekking op de hoogte waar haalbaar, of eerder waar vereist door toepasselijk recht, met inbegrip van de aard van het incident, de getroffen gegevens en aanbevolen acties.

9. Subverwerkers

Wij maken gebruik van een gecontroleerde set externe dienstverleners om de Diensten te leveren. Elk is contractueel verplicht om de gegevens die zij namens ons verwerken te beschermen. De volledige, actuele lijst — met inbegrip van het doel van elke aanbieder, de gegevens die hij verwerkt en de locatie ervan — is gepubliceerd op onze pagina Subverwerkers, waarin wordt beschreven hoe wij kennisgeving doen van wijzigingen.

10. Naleving en beveiligingsbeoordelingen

• Verwerkersovereenkomst. Klanten die optreden als verwerkingsverantwoordelijke kunnen een DPA aanvragen die ons Privacybeleid aanvult met aanvullende verplichtingen inzake gegevensbescherming. Neem contact op met legal@proyecta.dev.
• Beveiligingsvragenlijsten. Wij vullen graag vragenlijsten voor leveranciersbeveiliging in en ondersteunen enterprise-beveiligingsbeoordelingen — neem contact op met security@proyecta.dev.
• Transparantie over subverwerkers. Onze subverwerkerslijst is openbaar en wordt actueel gehouden.

Naarmate Proyecta groeit, blijven wij ons formele beveiligings- en compliance-programma uitbreiden. Voor de huidige status van een specifieke certificering of attestatie kunt u contact opnemen, dan delen wij waar wij staan.

11. Contact

• Beveiligings- en kwetsbaarheidsmeldingen: security@proyecta.dev
• Privacyvragen: privacy@proyecta.dev
• Juridische verzoeken en DPA-verzoeken: legal@proyecta.dev