Security

O Proyecta é uma plataforma na qual o seu código-fonte, as suas instruções e os dados de projeto fluem através de sistemas de IA e ambientes de execução isolados. Proteger esses dados é fundamental para a forma como construímos os Serviços. Esta página resume as nossas práticas de segurança em linguagem simples; complementa a nossa Política de Privacidade, os nossos Termos de Serviço e a lista de Subprocessadores.

Para questões de segurança, revisões de segurança empresarial ou para reportar uma vulnerabilidade, contacte security@proyecta.dev.

1. Infraestrutura e Hospedagem

Os Serviços são executados no Google Cloud Platform, uma infraestrutura nativa do Kubernetes operada em regiões cloud estabelecidas. O Cloudflare fica à frente dos nossos endpoints públicos para entrega de conteúdo, proteção contra DDoS e firewall de aplicação web.

Não operamos os nossos próprios centros de dados. Os nossos provedores cloud mantêm as suas próprias certificações independentes de segurança de infraestrutura, e uma lista atualizada dos provedores que tratam dados em nosso nome está publicada na nossa página de Subprocessadores.

2. Criptografia

• Em trânsito: Todo o tráfego entre você e os Serviços é criptografado utilizando TLS 1.2 ou superior.
• Em repouso: O Conteúdo do cliente, os dados de conta e os backups são criptografados em repouso.
• Segredos: As credenciais e tokens de integração são armazenados criptografados e nunca são expostos em código do lado do cliente nem em registros.

3. Controles de Acesso

• Controle de acesso baseado em funções. O acesso aos sistemas de produção e dados de clientes é restrito ao pessoal autorizado do Proyecta com base no princípio do menor privilégio.
• Registro de auditoria. As ações administrativas e de acesso a dados são registradas para fins de responsabilização.
• Credenciais com escopo limitado. As credenciais de serviço e de integração são limitadas às permissões mínimas necessárias para a sua função.
• Obrigações de confidencialidade. O pessoal com acesso ao Conteúdo está sujeito a obrigações de confidencialidade e recebe formação em segurança.

Conforme descrito na nossa Política de Privacidade, o pessoal autorizado acessa o Conteúdo apenas conforme necessário para fornecer suporte, depurar problemas, manter a confiabilidade ou cumprir obrigações legais.

4. Tratamento do Seu Código e Dados de IA

Esta é a questão que mais preocupa a maioria dos clientes, por isso respondemos sem rodeios:

• Não treinamos modelos de IA com o seu Conteúdo. Não utilizamos o seu código, instruções ou dados para treinar ou ajustar os nossos modelos de IA, e não enviamos o seu Conteúdo aos provedores de IA com a finalidade de treinar os modelos deles.
• O Conteúdo é processado para servi-lo, não para ser explorado. O seu Conteúdo é processado exclusivamente para fornecer respostas dentro das suas próprias sessões.
• Os provedores de IA terceiros processam as entradas de forma transitória. Para gerar respostas, as entradas são enviadas a provedores de modelos de IA (Anthropic, OpenAI, Google) através das suas APIs. Utilizamos níveis de API que, sob os atuais termos de API desses provedores, não são utilizados para treinar os seus modelos com as entradas dos clientes. Não controlamos esses provedores, e o tratamento de dados por eles é regido pelos seus próprios termos, que você deve rever de forma independente (consulte os Termos §10.2).
• Apenas análises agregadas. Quaisquer análises que derivamos para melhorar os Serviços utilizam dados agregados e desidentificados que não podem ser usados para identificá-lo ou reconstruir o seu Conteúdo.

5. Isolamento do Ambiente de Execução

O código gerado e executado pelos Serviços é executado dentro de ambientes de execução isolados — pods Kubernetes dedicados e em sandbox, provisionados por carga de trabalho. Os ambientes de execução são isolados uns dos outros e são desativados conforme o seu calendário de ciclo de vida, limitando o raio de impacto de qualquer execução individual.

6. Gestão de Vulnerabilidades

• Realizamos avaliações periódicas de vulnerabilidades e testes de segurança dos Serviços.
• Monitoramos as nossas dependências de software em busca de vulnerabilidades conhecidas e aplicamos atualizações priorizadas com base no risco.
• Divulgação responsável. Se você acredita ter encontrado uma vulnerabilidade de segurança, reporte-a a security@proyecta.dev. Acusaremos a recepção do seu relatório, investigaremos prontamente e o manteremos informado. Por favor, conceda-nos um prazo razoável para a corrigir antes de qualquer divulgação pública.

7. Retenção e Eliminação de Dados

Retemos informações apenas pelo tempo necessário para prestar os Serviços e cumprir obrigações legais. O histórico de conversas, incluindo instruções e resultados gerados, é retido até que você o exclua ou encerre a sua conta. Após o encerramento da conta, você tem 30 dias para exportar os seus dados, após os quais são excluídos de acordo com o nosso cronograma de retenção. Os detalhes completos estão na Política de Privacidade §4.

8. Resposta a Incidentes

Mantemos um processo de resposta a incidentes para eventos de segurança. Em caso de violação envolvendo os seus dados pessoais, notificaremos os clientes afetados dentro de 72 horas após a descoberta quando viável, ou antes quando exigido pela lei aplicável, incluindo a natureza do incidente, os dados afetados e as ações recomendadas.

9. Subprocessadores

Utilizamos um conjunto criteriosamente selecionado de provedores de serviços terceiros para operar os Serviços. Cada um está contratualmente obrigado a proteger os dados que trata em nosso nome. A lista completa e atualizada — incluindo a finalidade de cada provedor, os dados que trata e a sua localização — está publicada na nossa página de Subprocessadores, que descreve como fornecemos aviso de alterações.

10. Conformidade e Revisões de Segurança

• Acordo de Processamento de Dados. Os clientes que atuam como controladores de dados podem solicitar um DPA que complemente a nossa Política de Privacidade com compromissos adicionais de proteção de dados. Contacte legal@proyecta.dev.
• Questionários de segurança. Temos prazer em preencher questionários de segurança de fornecedores e apoiar revisões de segurança empresarial — contacte security@proyecta.dev.
• Transparência dos subprocessadores. A nossa lista de subprocessadores é pública e mantida atualizada.

À medida que o Proyecta cresce, continuamos a expandir o nosso programa formal de segurança e conformidade. Para o estado atual de qualquer certificação ou atestado específico, entre em contato e indicaremos em que ponto nos encontramos.

11. Contato

• Relatórios de segurança e vulnerabilidades: security@proyecta.dev
• Consultas de privacidade: privacy@proyecta.dev
• Solicitações jurídicas e de DPA: legal@proyecta.dev