Securitate

Proyecta este o platformă în care codul sursă, prompt-urile și datele proiectelor dumneavoastră trec prin sisteme AI și medii de execuție izolate. Protejarea acestor date este fundamentală pentru modul în care construim Serviciile. Această pagină rezumă practicile noastre de securitate într-un limbaj clar; ea completează Politica de Confidențialitate, Termenii și Condițiile de Utilizare și lista Subprocesatorilor.

Pentru întrebări legate de securitate, evaluări de securitate la nivel enterprise sau pentru a raporta o vulnerabilitate, contactați security@proyecta.dev.

1. Infrastructură și găzduire

Serviciile rulează pe Google Cloud Platform, în Google Kubernetes Engine, în regiunea us-central1 a Google din Statele Unite. În fața punctelor noastre publice de acces se află un echilibrator de sarcină (load balancer) de nivel 7 administrat de Google, cu Google Cloud Armor, care oferă protecție împotriva atacurilor DDoS, reguli de firewall pentru aplicații web și limitarea numărului de cereri; fișierele statice sunt livrate prin Google Cloud CDN. Cloudflare asigură DNS-ul autoritativ și validarea certificatelor TLS, precum și livrarea la margine (edge) pentru aplicațiile publicate de utilizatori (*.proyecta.live).

Bazele noastre de date nu au adresă IP publică: pot fi accesate doar prin rețeaua privată Google Cloud. Facem zilnic copii de rezervă ale acestora și le putem restaura la orice moment din ultimele 7 zile.

Majoritatea cererilor noastre către Anthropic, principalul nostru furnizor de modele AI, trec printr-un server pe care Proyecta îl operează în afara Google Cloud, accesat printr-un tunel Cloudflare autentificat și criptat. Acest server păstrează copii ale cererilor și răspunsurilor pe care le retransmite, pentru a putea diagnostica problemele.

Nu operăm propriile centre de date. Furnizorii noștri de cloud își mențin propriile certificări independente de securitate a infrastructurii, iar o listă actualizată a furnizorilor care procesează date în numele nostru este publicată pe pagina noastră Subprocesatori.

2. Criptare

• În tranzit: Tot traficul dintre dumneavoastră și Servicii este criptat utilizând TLS 1.2 sau superior, la fel ca și conexiunile serviciilor noastre la bazele noastre de date.
• În repaus: Bazele noastre de date, stocarea fișierelor și copiile de rezervă din Google Cloud sunt criptate în repaus cu chei gestionate de Google.
• Secrete: Credențialele platformei sunt păstrate în Google Cloud Secret Manager. Tokenurile și credențialele serviciilor pe care le conectați, inclusiv ale furnizorilor de plăți, sunt stocate criptat în baza noastră de date. Niciunele nu sunt incluse în codul de pe partea de client.

3. Controale de acces

• Acces limitat. Accesul la sistemele de producție și la datele clienților este limitat la personalul autorizat al Proyecta. Instrumentele noastre administrative oferă fiecărui membru al personalului propriul cont și un rol care limitează ce poate face.
• Jurnalizarea activității. Acțiunile efectuate de personal în instrumentele noastre administrative sunt înregistrate în jurnale, inclusiv de fiecare dată când un membru al personalului intră în contul unui client pentru a-l ajuta. În aplicațiile construite cu Proyecta, fiecare deschidere a dosarului de sănătate al unui client este înregistrată.
• Obligații de confidențialitate. Personalul cu acces la Conținut are obligații de confidențialitate.

Astfel cum este descris în Politica noastră de Confidențialitate, personalul autorizat accesează Conținutul doar în măsura necesară pentru a oferi asistență, a depana probleme, a menține fiabilitatea sau a respecta obligațiile legale.

4. Gestionarea codului dumneavoastră și a datelor AI

Aceasta este întrebarea care îi preocupă cel mai mult pe clienți, așa că o exprimăm clar:

• Nu antrenăm modele AI pe Conținutul dumneavoastră. Nu utilizăm codul, prompt-urile sau datele dumneavoastră pentru a antrena sau a ajusta fin modele AI și nu trimitem Conținutul dumneavoastră către furnizorii de AI în scopul antrenării modelelor acestora.
• Cum utilizăm Conținutul dumneavoastră. Utilizăm Conținutul dumneavoastră pentru a vă furniza Serviciile. Echipa noastră citește, de asemenea, proiectele și conversațiile cu AI atunci când este necesar pentru a vă oferi asistență și pentru a găsi și remedia probleme.
• Furnizori terți de AI. Pentru a genera răspunsuri, datele de intrare sunt trimise prin API-urile lor către furnizori de AI: Anthropic și Google pentru modele lingvistice, Google și OpenAI pentru generarea de imagini, Deepgram pentru conversia vorbirii în text, ElevenLabs pentru conversia textului în vorbire și Tavily pentru căutarea pe web și citirea paginilor web. Anthropic, Google și OpenAI procesează aceste date de intrare în baza unor termeni API care, în forma lor actuală, nu le permit să își antreneze modelele pe datele de intrare ale clienților. Nu controlăm acești furnizori, iar gestionarea datelor de către aceștia este guvernată de propriii lor termeni, pe care ar trebui să îi analizați în mod independent (a se vedea Termeni §10.2).
• Analiză de produs. Utilizăm PostHog pentru a înțelege cum sunt utilizate Serviciile: paginile vizitate, acțiunile efectuate și înregistrările sesiunilor, așa cum este descris în Politica noastră privind cookie-urile. Echipa noastră analizează aceste date pentru a îmbunătăți Serviciile și pentru a-i ajuta pe clienți.

5. Izolare la nivelul mediului de execuție

Codul generat și executat de Servicii rulează în pod-uri Kubernetes dedicate, separate pentru fiecare proiect, într-un namespace distinct de propriile noastre servicii. Regulile de rețea împiedică mediile de execuție să ajungă unele la altele sau la rețeaua noastră internă și permit traficul de intrare doar prin propriile noastre servicii. Mediile de execuție inactive sunt suspendate și ulterior arhivate, ceea ce limitează ce poate afecta orice mediu individual.

6. Gestionarea vulnerabilităților

• Monitorizăm dependențele noastre software pentru vulnerabilități cunoscute cu instrumente automatizate și aplicăm actualizări în ordinea priorității riscului.
• Dezvăluire responsabilă. Dacă credeți că ați descoperit o vulnerabilitate de securitate, vă rugăm să o raportați la security@proyecta.dev. Vă vom confirma raportul, vom investiga prompt și vă vom ține la curent. Vă rugăm să ne acordați o oportunitate rezonabilă de a remedia problema înainte de orice dezvăluire publică.

7. Păstrarea și ștergerea datelor

Păstrăm informațiile doar atât timp cât este necesar pentru a furniza Serviciile și pentru a îndeplini obligațiile legale. Păstrăm contul, proiectele și istoricul conversațiilor dumneavoastră, inclusiv prompt-urile și rezultatele generate, cât timp contul este deschis.

Ne puteți cere oricând să vă ștergem contul, în aplicația Proyecta, la Setări, sau la app.proyecta.dev/delete-account. Până la finalizarea solicitării puteți continua să utilizați Serviciile și o puteți retrage. O finalizăm în termen de 30 de zile: ștergem contul și datele de autentificare, site-urile dumneavoastră cu tot conținutul lor și datele clienților dumneavoastră stocate în ele și anulăm orice plan activ. Păstrăm doar înregistrările impuse de lege, cum ar fi facturile și chitanțele de plată, atât timp cât o cere legea. Datele șterse rămân în copiile de rezervă ale bazelor noastre de date până la expirarea acestor copii. Detaliile complete se găsesc în Politica de Confidențialitate §4.

8. Răspuns la incidente

Avem un plan documentat de răspuns la incidentele de securitate. În cazul unei încălcări care implică datele dumneavoastră cu caracter personal, vom notifica clienții afectați în termen de 72 de ore de la descoperire, acolo unde este fezabil, sau mai devreme acolo unde legislația aplicabilă o impune, inclusiv natura incidentului, datele afectate și acțiunile recomandate.

9. Subprocesatori

Utilizăm furnizori terți de servicii pentru a opera Serviciile. Fiecare este obligat prin termenii săi de prelucrare a datelor să protejeze datele pe care le procesează în numele nostru. Lista completă și actualizată — inclusiv scopul fiecărui furnizor, datele pe care le procesează și locația sa — este publicată pe pagina noastră Subprocesatori, care descrie modul în care comunicăm notificarea modificărilor.

10. Conformitate și evaluări de securitate

• Acord de Procesare a Datelor. Clienții care acționează în calitate de operator de date pot solicita un DPA care completează Politica noastră de Confidențialitate cu angajamente suplimentare de protecție a datelor. Contactați legal@proyecta.dev.
• Chestionare de securitate. Completăm cu plăcere chestionarele de securitate pentru furnizori și sprijinim evaluările de securitate enterprise — contactați security@proyecta.dev.
• Transparență privind subprocesatorii. Lista noastră de subprocesatori este publică și ținută la zi.

Pe măsură ce Proyecta crește, continuăm să extindem programul nostru formal de securitate și conformitate. Pentru starea actuală a unei anumite certificări sau atestări, vă rugăm să ne contactați și vă vom împărtăși unde ne aflăm.

11. Contact

• Rapoarte de securitate și vulnerabilitate: security@proyecta.dev
• Solicitări privind confidențialitatea: privacy@proyecta.dev
• Solicitări juridice și DPA: legal@proyecta.dev