Säkerhet

Proyecta är en plattform där din källkod, dina promptar och dina projektdata flödar genom AI-system och isolerade körningsmiljöer. Att skydda dessa data är grundläggande för hur vi bygger Tjänsterna. Den här sidan sammanfattar våra säkerhetsrutiner i klarspråk; den kompletterar vår Integritetspolicy, våra Användarvillkor och listan över Underbiträden.

För säkerhetsfrågor, säkerhetsgranskningar för företagskunder eller för att rapportera en sårbarhet, kontakta security@proyecta.dev.

1. Infrastruktur och hosting

Tjänsterna körs på Google Cloud Platform, i Google Kubernetes Engine i Googles region us-central1 i USA. En Google-hanterad lastbalanserare på lager 7 med Google Cloud Armor står framför våra publika ändpunkter och ger DDoS-skydd, brandväggsregler för webbapplikationer och hastighetsbegränsning; statiska filer levereras via Google Cloud CDN. Cloudflare tillhandahåller auktoritativ DNS och validering av TLS-certifikat, samt edge-leverans av appar som användare publicerar (*.proyecta.live).

Våra databaser har ingen publik IP-adress: de kan bara nås via Google Clouds privata nätverk. De säkerhetskopieras dagligen, och vi kan återställa dem till valfri tidpunkt under de senaste 7 dagarna.

De flesta av våra förfrågningar till Anthropic, vår huvudsakliga leverantör av AI-modeller, går via en server som Proyecta driver utanför Google Cloud och som nås genom en autentiserad, krypterad Cloudflare-tunnel. Servern sparar kopior av de förfrågningar och svar den vidarebefordrar så att vi kan felsöka problem.

Vi driver inga egna datacenter. Våra molnleverantörer upprätthåller sina egna oberoende certifieringar för infrastruktursäkerhet, och en aktuell lista över de leverantörer som behandlar data för vår räkning publiceras på vår sida för Underbiträden.

2. Kryptering

• Under överföring: All trafik mellan dig och Tjänsterna krypteras med TLS 1.2 eller högre, och det gör även våra tjänsters anslutningar till våra databaser.
• Vid vila: Våra databaser, vår fillagring och våra säkerhetskopior i Google Cloud är krypterade i vila med nycklar som hanteras av Google.
• Hemligheter: Plattformens inloggningsuppgifter förvaras i Google Cloud Secret Manager. Tokens och inloggningsuppgifter för de tjänster du ansluter, inklusive betalningsleverantörer, lagras krypterade i vår databas. Ingen av dem hamnar i kod på klientsidan.

3. Åtkomstkontroller

• Begränsad åtkomst. Åtkomst till produktionssystem och kunddata är begränsad till auktoriserad Proyecta-personal. Våra administrationsverktyg ger varje medarbetare ett eget konto och en roll som begränsar vad hen kan göra.
• Aktivitetsloggning. Åtgärder som personalen utför i våra administrationsverktyg loggas, inklusive varje gång en medarbetare loggar in på en kunds konto för att hjälpa kunden. I appar som byggts med Proyecta loggas varje gång någon öppnar en klients journal.
• Sekretessåtaganden. Personal med åtkomst till Innehåll är bunden av sekretessåtaganden.

Som beskrivs i vår Integritetspolicy får auktoriserad personal endast åtkomst till Innehåll när det behövs för att tillhandahålla support, felsöka problem, upprätthålla tillförlitlighet eller uppfylla rättsliga skyldigheter.

4. Hantering av din kod och AI-data

Detta är den fråga som de flesta kunder bryr sig om, så vi säger det rakt ut:

• Vi tränar inte AI-modeller på ditt Innehåll. Vi använder inte din kod, dina promptar eller dina data för att träna eller finjustera AI-modeller, och vi skickar inte ditt Innehåll till AI-leverantörer i syfte att träna deras modeller.
• Hur vi använder ditt Innehåll. Vi använder ditt Innehåll för att tillhandahålla Tjänsterna till dig. Vårt team läser också projekt och AI-konversationer när det behövs för att ge dig support och för att hitta och åtgärda problem.
• AI-leverantörer från tredje part. För att ta fram svar skickas indata via deras API:er till AI-leverantörer: Anthropic och Google för språkmodeller, Google och OpenAI för bildgenerering, Deepgram för tal till text, ElevenLabs för text till tal och Tavily för webbsökning och läsning av webbsidor. Anthropic, Google och OpenAI behandlar dessa indata enligt API-villkor som, i sin nuvarande lydelse, inte tillåter dem att träna sina modeller på kunders indata. Vi kontrollerar inte dessa leverantörer, och deras datahantering regleras av deras egna villkor, som du bör granska på egen hand (se Villkoren §10.2).
• Produktanalys. Vi använder PostHog för att förstå hur Tjänsterna används: besökta sidor, utförda åtgärder och sessionsinspelningar, enligt beskrivningen i vår Cookiepolicy. Vårt team går igenom dessa data för att förbättra Tjänsterna och för att hjälpa kunder.

5. Körningsisolering

Kod som genereras och körs av Tjänsterna exekveras i dedikerade Kubernetes-poddar, separata för varje projekt, i ett namnområde (namespace) skilt från våra egna tjänster. Nätverksregler hindrar körningsmiljöer från att nå varandra eller vårt interna nätverk, och släpper bara in trafik via våra egna tjänster. Inaktiva körningsmiljöer pausas och arkiveras senare, vilket begränsar vad en enskild körningsmiljö kan påverka.

6. Sårbarhetshantering

• Vi bevakar våra programvaruberoenden med avseende på kända sårbarheter med automatiserade verktyg och tillämpar uppdateringar på riskprioriterad basis.
• Ansvarsfullt avslöjande. Om du tror att du har hittat en säkerhetssårbarhet, rapportera den till security@proyecta.dev. Vi bekräftar din rapport, utreder skyndsamt och håller dig informerad. Vänligen ge oss en rimlig möjlighet att åtgärda innan eventuellt offentligt avslöjande.

7. Datalagring och radering

Vi behåller information endast så länge som det är nödvändigt för att tillhandahålla Tjänsterna och uppfylla rättsliga skyldigheter. Vi behåller ditt konto, dina projekt och din konversationshistorik, inklusive promptar och genererade utdata, så länge ditt konto är öppet.

Du kan när som helst be oss radera ditt konto, i Proyecta-appen under Inställningar eller på app.proyecta.dev/delete-account. Tills vi har slutfört begäran kan du fortsätta använda Tjänsterna och dra tillbaka den. Vi slutför den inom 30 dagar: vi raderar ditt konto och dina inloggningsuppgifter, dina webbplatser med allt deras innehåll och dina kunders data som lagras i dem, och vi avslutar eventuell aktiv plan. Vi behåller bara de uppgifter som lagen kräver, till exempel fakturor och betalningskvitton, så länge lagen kräver. Raderade data finns kvar i våra databassäkerhetskopior tills dessa säkerhetskopior löper ut. Fullständiga detaljer finns i Integritetspolicyn §4.

8. Incidenthantering

Vi har en dokumenterad incidenthanteringsplan för säkerhetshändelser. I händelse av ett intrång som involverar dina personuppgifter meddelar vi berörda kunder inom 72 timmar från upptäckt där det är möjligt, eller tidigare där så krävs enligt tillämplig lag, inklusive incidentens art, de data som påverkats och rekommenderade åtgärder.

9. Underbiträden

Vi anlitar tredjepartsleverantörer för att driva Tjänsterna. Var och en är genom sina databehandlingsvillkor skyldig att skydda de data den behandlar för vår räkning. Den fullständiga, aktuella listan — inklusive varje leverantörs syfte, de data den behandlar och dess plats — publiceras på vår sida för Underbiträden, som beskriver hur vi meddelar ändringar.

10. Efterlevnad och säkerhetsgranskningar

• Databehandlingsavtal. Kunder som agerar som personuppgiftsansvariga kan begära ett DPA som kompletterar vår Integritetspolicy med ytterligare dataskyddsåtaganden. Kontakta legal@proyecta.dev.
• Säkerhetsfrågeformulär. Vi fyller gärna i frågeformulär för leverantörssäkerhet och stöder säkerhetsgranskningar för företagskunder — kontakta security@proyecta.dev.
• Transparens kring underbiträden. Vår lista över underbiträden är offentlig och hålls aktuell.

I takt med att Proyecta växer fortsätter vi att utöka vårt formella säkerhets- och efterlevnadsprogram. För den aktuella statusen för en specifik certifiering eller attestering, hör av dig så berättar vi var vi står.

11. Kontakt

• Säkerhets- och sårbarhetsrapporter: security@proyecta.dev
• Integritetsförfrågningar: privacy@proyecta.dev
• Juridiska och DPA-förfrågningar: legal@proyecta.dev