Beveiliging

Proyecta is een platform waarop uw broncode, prompts en projectgegevens door AI-systemen en geïsoleerde uitvoeringsomgevingen stromen. Het beschermen van die gegevens is fundamenteel voor de manier waarop wij de Diensten bouwen. Deze pagina vat onze beveiligingspraktijken in begrijpelijke taal samen; zij vormt een aanvulling op ons Privacybeleid, onze Servicevoorwaarden en de lijst met Subverwerkers.

Voor beveiligingsvragen, enterprise-beveiligingsbeoordelingen of om een kwetsbaarheid te melden, kunt u contact opnemen met security@proyecta.dev.

1. Infrastructuur en hosting

De Diensten draaien op Google Cloud Platform, op Google Kubernetes Engine in de regio us-central1 van Google in de Verenigde Staten. Een door Google beheerde layer-7-loadbalancer met Google Cloud Armor staat vóór onze publieke endpoints en zorgt voor DDoS-bescherming, regels voor de web application firewall en snelheidsbeperking; statische bestanden worden geleverd via Google Cloud CDN. Cloudflare verzorgt de gezaghebbende DNS en de validatie van TLS-certificaten, en de edge-levering van door gebruikers gepubliceerde apps (*.proyecta.live).

Onze databases hebben geen openbaar IP-adres: ze zijn alleen bereikbaar via het privénetwerk van Google Cloud. Er wordt dagelijks een back-up van gemaakt, en wij kunnen ze herstellen naar elk moment in de afgelopen 7 dagen.

De meeste van onze verzoeken aan Anthropic, onze belangrijkste aanbieder van AI-modellen, lopen via een relayserver die Proyecta buiten Google Cloud beheert en die bereikbaar is via een geauthenticeerde, versleutelde Cloudflare-tunnel. Die server bewaart kopieën van de verzoeken en antwoorden die hij doorstuurt, zodat wij problemen kunnen diagnosticeren.

Wij exploiteren geen eigen datacenters. Onze cloudproviders onderhouden hun eigen onafhankelijke certificeringen voor infrastructuurbeveiliging, en een actuele lijst van de providers die namens ons gegevens verwerken is gepubliceerd op onze pagina Subverwerkers.

2. Encryptie

• Tijdens overdracht: Al het verkeer tussen u en de Diensten wordt versleuteld met TLS 1.2 of hoger, net als de verbindingen van onze diensten met onze databases.
• In rust: Onze databases, bestandsopslag en back-ups op Google Cloud worden in rust versleuteld met door Google beheerde sleutels.
• Geheimen: Inloggegevens van het platform worden bewaard in Google Cloud Secret Manager. Tokens en inloggegevens van de diensten die u koppelt, waaronder betalingsaanbieders, worden versleuteld opgeslagen in onze database. Geen van beide komt in client-side code terecht.

3. Toegangscontroles

• Beperkte toegang. Toegang tot productiesystemen en klantgegevens is beperkt tot geautoriseerd Proyecta-personeel. Onze beheertools geven elke medewerker een eigen account en een rol die beperkt wat hij of zij kan doen.
• Registratie van activiteiten. Handelingen die medewerkers in onze beheertools verrichten, worden geregistreerd, waaronder elke keer dat een medewerker inlogt op het account van een klant om die klant te helpen. In apps die met Proyecta zijn gebouwd, wordt elke keer geregistreerd dat iemand het gezondheidsdossier van een klant opent.
• Vertrouwelijkheidsverplichtingen. Personeel met toegang tot Inhoud is gebonden aan vertrouwelijkheidsverplichtingen.

Zoals beschreven in ons Privacybeleid krijgt geautoriseerd personeel alleen toegang tot Inhoud voor zover noodzakelijk om ondersteuning te bieden, problemen op te lossen, betrouwbaarheid te handhaven of wettelijke verplichtingen na te leven.

4. Verwerking van uw code en AI-gegevens

Dit is de vraag waar de meeste klanten om geven, dus stellen wij het ronduit:

• Wij trainen geen AI-modellen op uw Inhoud. Wij gebruiken uw code, prompts of gegevens niet om AI-modellen te trainen of te verfijnen, en wij sturen uw Inhoud niet naar AI-aanbieders met het doel hun modellen te trainen.
• Hoe wij uw Inhoud gebruiken. Wij gebruiken uw Inhoud om u de Diensten te leveren. Ons team leest ook projecten en AI-gesprekken wanneer dat nodig is om u te ondersteunen en om problemen op te sporen en te verhelpen.
• AI-aanbieders van derden. Om antwoorden te genereren wordt invoer via hun API's naar AI-aanbieders verzonden: Anthropic en Google voor taalmodellen, Google en OpenAI voor beeldgeneratie, Deepgram voor spraak-naar-tekst, ElevenLabs voor tekst-naar-spraak en Tavily voor zoeken op het web en het lezen van webpagina's. Anthropic, Google en OpenAI verwerken deze invoer onder API-voorwaarden die hun, zoals die nu luiden, niet toestaan hun modellen op klantinvoer te trainen. Wij hebben geen zeggenschap over deze aanbieders, en hun gegevensverwerking wordt geregeld door hun eigen voorwaarden, die u zelf dient te raadplegen (zie Voorwaarden §10.2).
• Productanalyse. Wij gebruiken PostHog om te begrijpen hoe de Diensten worden gebruikt: bezochte pagina's, uitgevoerde acties en sessieopnamen, zoals beschreven in ons Cookiebeleid. Ons team bekijkt deze gegevens om de Diensten te verbeteren en klanten te helpen.

5. Runtime-isolatie

Code die door de Diensten wordt gegenereerd en uitgevoerd, draait in dedicated Kubernetes-pods, gescheiden per project, in een namespace los van onze eigen diensten. Netwerkregels voorkomen dat runtimes elkaar of ons interne netwerk kunnen bereiken, en laten inkomend verkeer alleen toe via onze eigen diensten. Inactieve runtimes worden opgeschort en later gearchiveerd, wat beperkt waarop één afzonderlijke runtime invloed kan hebben.

6. Beheer van kwetsbaarheden

• Wij controleren onze softwareafhankelijkheden met geautomatiseerde tools op bekende kwetsbaarheden en passen updates toe op basis van risicoprioriteit.
• Verantwoorde openbaarmaking. Indien u meent een beveiligingskwetsbaarheid te hebben gevonden, meld deze dan aan security@proyecta.dev. Wij bevestigen uw melding, onderzoeken deze direct en houden u op de hoogte. Geef ons alstublieft een redelijke gelegenheid om de kwetsbaarheid te verhelpen voordat u tot openbaarmaking overgaat.

7. Gegevensbewaring en -verwijdering

Wij bewaren informatie alleen zo lang als nodig is om de Diensten te leveren en aan wettelijke verplichtingen te voldoen. Uw account, uw projecten en uw gespreksgeschiedenis, waaronder prompts en gegenereerde uitvoer, bewaren wij zolang uw account open is.

U kunt ons op elk moment vragen uw account te verwijderen, in de Proyecta-app onder Instellingen of op app.proyecta.dev/delete-account. Totdat wij het verzoek hebben afgerond, kunt u de Diensten blijven gebruiken en het verzoek intrekken. Wij ronden het binnen 30 dagen af: wij verwijderen uw account en aanmeldgegevens, uw sites met al hun inhoud en de gegevens van uw klanten die daarin zijn opgeslagen, en wij zeggen elk actief abonnement op. Wij bewaren alleen de gegevens die de wet voorschrijft, zoals facturen en betalingsbewijzen, zo lang als de wet dat voorschrijft. Verwijderde gegevens blijven in onze databaseback-ups staan totdat die back-ups verlopen. Volledige details staan in Privacybeleid §4.

8. Incidentrespons

Wij hebben een gedocumenteerd incidentresponsplan voor beveiligingsgebeurtenissen. In het geval van een inbreuk waarbij uw persoonsgegevens betrokken zijn, stellen wij getroffen klanten binnen 72 uur na ontdekking op de hoogte waar haalbaar, of eerder waar vereist door toepasselijk recht, met inbegrip van de aard van het incident, de getroffen gegevens en aanbevolen acties.

9. Subverwerkers

Wij maken gebruik van externe dienstverleners voor de werking van de Diensten. Elk van hen is door zijn voorwaarden voor gegevensverwerking verplicht de gegevens te beschermen die hij namens ons verwerkt. De volledige, actuele lijst — met inbegrip van het doel van elke aanbieder, de gegevens die hij verwerkt en de locatie ervan — is gepubliceerd op onze pagina Subverwerkers, waarin wordt beschreven hoe wij kennisgeving doen van wijzigingen.

10. Naleving en beveiligingsbeoordelingen

• Verwerkersovereenkomst. Klanten die optreden als verwerkingsverantwoordelijke kunnen een DPA aanvragen die ons Privacybeleid aanvult met extra verplichtingen inzake gegevensbescherming. Neem contact op met legal@proyecta.dev.
• Beveiligingsvragenlijsten. Wij vullen graag vragenlijsten voor leveranciersbeveiliging in en ondersteunen enterprise-beveiligingsbeoordelingen — neem contact op met security@proyecta.dev.
• Transparantie over subverwerkers. Onze subverwerkerslijst is openbaar en wordt actueel gehouden.

Naarmate Proyecta groeit, blijven wij ons formele beveiligings- en compliance-programma uitbreiden. Voor de huidige status van een specifieke certificering of attestatie kunt u contact opnemen, dan delen wij waar wij staan.

11. Contact

• Beveiligings- en kwetsbaarheidsmeldingen: security@proyecta.dev
• Privacyvragen: privacy@proyecta.dev
• Juridische verzoeken en DPA-verzoeken: legal@proyecta.dev