Segurança

O Proyecta é uma plataforma na qual o seu código-fonte, as suas instruções e os dados dos seus projetos passam por sistemas de IA e ambientes de execução isolados. Proteger esses dados é fundamental para a forma como construímos os Serviços. Esta página resume nossas práticas de segurança em linguagem simples; ela complementa nossa Política de Privacidade, nossos Termos de Serviço e a lista de Subprocessadores.

Para dúvidas de segurança, revisões de segurança empresarial ou para relatar uma vulnerabilidade, entre em contato com security@proyecta.dev.

1. Infraestrutura e Hospedagem

Os Serviços são executados no Google Cloud Platform, no Google Kubernetes Engine, na região us-central1 do Google, nos Estados Unidos. Um balanceador de carga de Camada 7 gerenciado pelo Google, com o Google Cloud Armor, fica à frente dos nossos endpoints públicos e oferece proteção contra DDoS, regras de firewall de aplicação web e limitação de taxa; os arquivos estáticos são servidos pelo Google Cloud CDN. A Cloudflare fornece DNS autoritativo e validação de certificados TLS, além da entrega na borda (edge) para os aplicativos publicados pelos usuários (*.proyecta.live).

Nossos bancos de dados não têm endereço IP público: só podem ser acessados pela rede privada do Google Cloud. Fazemos backup deles diariamente e podemos restaurá-los para qualquer momento dos últimos 7 dias.

A maior parte das nossas solicitações à Anthropic, nosso principal provedor de modelos de IA, passa por um servidor que o Proyecta opera fora do Google Cloud, acessado por um túnel da Cloudflare autenticado e criptografado. Esse servidor guarda cópias das solicitações e respostas que retransmite para que possamos diagnosticar problemas.

Não operamos nossos próprios centros de dados. Nossos provedores de nuvem mantêm suas próprias certificações independentes de segurança de infraestrutura, e uma lista atualizada dos provedores que tratam dados em nosso nome está publicada na nossa página de Subprocessadores.

2. Criptografia

• Em trânsito: Todo o tráfego entre você e os Serviços é criptografado com TLS 1.2 ou superior, assim como as conexões dos nossos serviços com os nossos bancos de dados.
• Em repouso: Nossos bancos de dados, o armazenamento de arquivos e os backups no Google Cloud são criptografados em repouso com chaves gerenciadas pelo Google.
• Segredos: As credenciais da plataforma ficam no Google Cloud Secret Manager. Os tokens e as credenciais dos serviços que você conecta, incluindo provedores de pagamento, são armazenados criptografados no nosso banco de dados. Nenhum deles é colocado em código do lado do cliente.

3. Controles de Acesso

• Acesso limitado. O acesso aos sistemas de produção e aos dados de clientes é limitado à equipe autorizada do Proyecta. Nossas ferramentas administrativas dão a cada membro da equipe sua própria conta e uma função que limita o que ele pode fazer.
• Registro de atividades. As ações que a equipe realiza nas nossas ferramentas administrativas são registradas, incluindo cada vez que um membro da equipe entra na conta de um cliente para ajudá-lo. Nos aplicativos criados com o Proyecta, toda abertura do prontuário de um cliente é registrada.
• Obrigações de confidencialidade. A equipe com acesso ao Conteúdo está sujeita a obrigações de confidencialidade.

Conforme descrito na nossa Política de Privacidade, o pessoal autorizado acessa o Conteúdo apenas conforme necessário para fornecer suporte, depurar problemas, manter a confiabilidade ou cumprir obrigações legais.

4. Tratamento do Seu Código e Dados de IA

Esta é a questão que mais importa para a maioria dos clientes, por isso respondemos sem rodeios:

• Não treinamos modelos de IA com o seu Conteúdo. Não usamos seu código, suas instruções ou seus dados para treinar ou ajustar modelos de IA, e não enviamos seu Conteúdo a provedores de IA com a finalidade de treinar os modelos deles.
• Como usamos o seu Conteúdo. Usamos o seu Conteúdo para fornecer os Serviços a você. Nossa equipe também lê projetos e conversas com a IA quando necessário para dar suporte a você e para encontrar e corrigir problemas.
• Provedores de IA terceiros. Para gerar respostas, as entradas são enviadas, pelas APIs deles, a provedores de IA: Anthropic e Google para modelos de linguagem, Google e OpenAI para geração de imagens, Deepgram para conversão de voz em texto, ElevenLabs para conversão de texto em voz e Tavily para pesquisa na web e leitura de páginas da web. A Anthropic, o Google e a OpenAI processam essas entradas sob termos de API que, na redação atual, não permitem que eles treinem seus modelos com as entradas dos clientes. Não controlamos esses provedores, e o tratamento de dados por eles é regido pelos seus próprios termos, que você deve revisar de forma independente (consulte os Termos §10.2).
• Análise de produto. Usamos o PostHog para entender como os Serviços são usados: páginas visitadas, ações realizadas e gravações de sessão, conforme descrito na nossa Política de Cookies. Nossa equipe analisa esses dados para melhorar os Serviços e para ajudar os clientes.

5. Isolamento do Ambiente de Execução

O código gerado e executado pelos Serviços roda em pods Kubernetes dedicados, separados para cada projeto, em um namespace à parte dos nossos próprios serviços. Regras de rede impedem que um ambiente de execução alcance outro ou a nossa rede interna, e só deixam o tráfego entrar por meio dos nossos próprios serviços. Ambientes de execução ociosos são suspensos e depois arquivados, o que limita o que qualquer ambiente individual pode afetar.

6. Gestão de Vulnerabilidades

• Monitoramos nossas dependências de software em busca de vulnerabilidades conhecidas com ferramentas automatizadas e aplicamos atualizações priorizadas com base no risco.
• Divulgação responsável. Se você acredita ter encontrado uma vulnerabilidade de segurança, informe-a em security@proyecta.dev. Confirmaremos o recebimento do seu relatório, investigaremos prontamente e manteremos você informado. Pedimos que nos dê um prazo razoável para corrigi-la antes de qualquer divulgação pública.

7. Retenção e Eliminação de Dados

Retemos informações apenas pelo tempo necessário para prestar os Serviços e cumprir obrigações legais. Mantemos sua conta, seus projetos e seu histórico de conversas, incluindo instruções e resultados gerados, enquanto sua conta estiver aberta.

Você pode nos pedir para excluir sua conta a qualquer momento, no aplicativo do Proyecta, em Configurações, ou em app.proyecta.dev/delete-account. Até concluirmos o pedido, você pode continuar usando os Serviços e desistir dele. Nós o concluímos em até 30 dias: excluímos sua conta e seus dados de acesso, seus sites com todo o conteúdo deles e os dados dos seus clientes armazenados neles, e cancelamos qualquer plano ativo. Mantemos apenas os registros exigidos por lei, como faturas e comprovantes de pagamento, pelo tempo que a lei exigir. Os dados excluídos permanecem nos backups dos nossos bancos de dados até que esses backups expirem. Os detalhes completos estão na Política de Privacidade §4.

8. Resposta a Incidentes

Temos um plano documentado de resposta a incidentes de segurança. Em caso de violação envolvendo os seus dados pessoais, notificaremos os clientes afetados dentro de 72 horas após a descoberta, quando viável, ou antes, quando exigido pela lei aplicável, incluindo a natureza do incidente, os dados afetados e as ações recomendadas.

9. Subprocessadores

Utilizamos provedores de serviços terceiros para operar os Serviços. Cada um está obrigado, pelos seus termos de tratamento de dados, a proteger os dados que trata em nosso nome. A lista completa e atualizada — incluindo a finalidade de cada provedor, os dados que ele trata e a sua localização — está publicada na nossa página de Subprocessadores, que descreve como avisamos sobre alterações.

10. Conformidade e Revisões de Segurança

• Acordo de Processamento de Dados. Os clientes que atuam como controladores de dados podem solicitar um DPA que complemente nossa Política de Privacidade com compromissos adicionais de proteção de dados. Entre em contato com legal@proyecta.dev.
• Questionários de segurança. Temos prazer em preencher questionários de segurança de fornecedores e apoiar revisões de segurança empresarial — entre em contato com security@proyecta.dev.
• Transparência dos subprocessadores. Nossa lista de subprocessadores é pública e mantida atualizada.

À medida que o Proyecta cresce, continuamos a expandir nosso programa formal de segurança e conformidade. Para saber o status atual de qualquer certificação ou atestado específico, entre em contato e diremos em que ponto estamos.

11. Contato

• Relatórios de segurança e vulnerabilidades: security@proyecta.dev
• Consultas sobre privacidade: privacy@proyecta.dev
• Solicitações jurídicas e de DPA: legal@proyecta.dev