Security

Proyecta là một nền tảng nơi mã nguồn, lời nhắc và dữ liệu dự án của bạn đi qua các hệ thống AI và môi trường thực thi cách ly. Việc bảo vệ dữ liệu đó là nền tảng trong cách chúng tôi xây dựng Dịch Vụ. Trang này tóm tắt các thực hành bảo mật của chúng tôi bằng ngôn ngữ rõ ràng; nó bổ sung cho Chính Sách Bảo Mật, Điều Khoản Dịch Vụ và danh sách Nhà Xử Lý Phụ của chúng tôi.

Đối với các câu hỏi về bảo mật, đánh giá bảo mật cho doanh nghiệp, hoặc để báo cáo lỗ hổng, hãy liên hệ security@proyecta.dev.

1. Hạ Tầng và Lưu Trữ

Dịch Vụ chạy trên Google Cloud Platform, một hạ tầng native Kubernetes được vận hành tại các khu vực đám mây đã được thiết lập. Cloudflare đứng trước các điểm cuối công cộng của chúng tôi để phân phối nội dung, bảo vệ chống DDoS và tường lửa ứng dụng web.

Chúng tôi không vận hành trung tâm dữ liệu của riêng mình. Các nhà cung cấp đám mây của chúng tôi duy trì chứng nhận bảo mật hạ tầng độc lập của riêng họ, và danh sách hiện tại của các nhà cung cấp xử lý dữ liệu thay mặt cho chúng tôi được công bố trên trang Nhà Xử Lý Phụ của chúng tôi.

2. Mã Hóa

• Khi truyền: Tất cả lưu lượng giữa bạn và Dịch Vụ được mã hóa bằng TLS 1.2 trở lên.
• Khi lưu trữ: Nội Dung Khách Hàng, dữ liệu tài khoản và bản sao lưu được mã hóa khi lưu trữ.
• Bí mật: Thông tin đăng nhập và mã thông báo tích hợp được lưu trữ dưới dạng mã hóa và không bao giờ bị lộ trong mã phía máy khách hoặc nhật ký.

3. Kiểm Soát Truy Cập

• Kiểm soát truy cập dựa trên vai trò. Quyền truy cập vào các hệ thống sản xuất và dữ liệu khách hàng được giới hạn cho nhân viên Proyecta được ủy quyền trên cơ sở đặc quyền tối thiểu.
• Ghi nhật ký kiểm toán. Các hành động quản trị và truy cập dữ liệu được ghi lại để đảm bảo trách nhiệm.
• Thông tin đăng nhập có phạm vi. Thông tin đăng nhập dịch vụ và tích hợp được giới hạn ở các quyền tối thiểu cần thiết cho chức năng của chúng.
• Nghĩa vụ bảo mật. Nhân viên có quyền truy cập Nội Dung bị ràng buộc bởi các nghĩa vụ bảo mật và nhận đào tạo về an ninh.

Như được mô tả trong Chính Sách Bảo Mật của chúng tôi, nhân viên được ủy quyền chỉ truy cập Nội Dung khi cần thiết để cung cấp hỗ trợ, giải quyết sự cố, duy trì độ tin cậy hoặc tuân thủ các nghĩa vụ pháp lý.

4. Xử Lý Mã Nguồn và Dữ Liệu AI Của Bạn

Đây là câu hỏi mà hầu hết khách hàng quan tâm nhất, vì vậy chúng tôi nói thẳng:

• Chúng tôi không đào tạo các mô hình AI trên Nội Dung của bạn. Chúng tôi không sử dụng mã nguồn, lời nhắc hoặc dữ liệu của bạn để đào tạo hoặc tinh chỉnh các mô hình AI của chúng tôi, và chúng tôi không gửi Nội Dung của bạn đến các nhà cung cấp AI nhằm mục đích đào tạo các mô hình của họ.
• Nội Dung được xử lý để phục vụ bạn, không phải để khai thác. Nội Dung của bạn chỉ được xử lý để cung cấp phản hồi trong các phiên làm việc của riêng bạn.
• Các nhà cung cấp AI bên thứ ba xử lý đầu vào một cách tạm thời. Để tạo phản hồi, đầu vào được gửi đến các nhà cung cấp mô hình AI (Anthropic, OpenAI, Google) thông qua API của họ. Chúng tôi sử dụng các bậc API mà, theo các điều khoản API hiện hành của các nhà cung cấp đó, không được sử dụng để đào tạo các mô hình của họ trên đầu vào của khách hàng. Chúng tôi không kiểm soát các nhà cung cấp này, và việc xử lý dữ liệu của họ được điều chỉnh bởi các điều khoản riêng của họ, mà bạn nên xem xét một cách độc lập (xem Điều khoản §10.2).
• Chỉ phân tích tổng hợp. Bất kỳ phân tích nào chúng tôi rút ra để cải thiện Dịch Vụ đều sử dụng dữ liệu tổng hợp, đã xóa định danh và không thể được sử dụng để xác định bạn hoặc tái tạo Nội Dung của bạn.

5. Cách Ly Runtime

Mã được tạo và thực thi bởi Dịch Vụ chạy bên trong các môi trường runtime cách ly — các pod Kubernetes chuyên dụng, được sandbox và được cấp phát cho từng khối lượng công việc. Các runtime được cách ly với nhau và được hủy bỏ theo lịch trình vòng đời của chúng, hạn chế phạm vi ảnh hưởng của bất kỳ lần thực thi đơn lẻ nào.

6. Quản Lý Lỗ Hổng

• Chúng tôi thực hiện các đánh giá lỗ hổng và kiểm tra bảo mật Dịch Vụ định kỳ.
• Chúng tôi giám sát các phụ thuộc phần mềm của mình để phát hiện các lỗ hổng đã biết và áp dụng các bản cập nhật trên cơ sở ưu tiên rủi ro.
• Tiết lộ có trách nhiệm. Nếu bạn tin rằng bạn đã tìm thấy một lỗ hổng bảo mật, vui lòng báo cáo cho security@proyecta.dev. Chúng tôi sẽ xác nhận báo cáo của bạn, điều tra kịp thời và thông báo cho bạn. Vui lòng cho chúng tôi cơ hội hợp lý để khắc phục trước khi tiết lộ công khai.

7. Lưu Giữ và Xóa Dữ Liệu

Chúng tôi chỉ giữ thông tin trong thời gian cần thiết để cung cấp Dịch Vụ và đáp ứng các nghĩa vụ pháp lý. Lịch sử hội thoại, bao gồm lời nhắc và kết quả đầu ra đã tạo, được lưu giữ cho đến khi bạn xóa hoặc chấm dứt tài khoản. Khi chấm dứt tài khoản, bạn có khoảng thời gian 30 ngày để xuất dữ liệu của mình, sau đó dữ liệu sẽ bị xóa theo lịch lưu giữ của chúng tôi. Chi tiết đầy đủ có trong Chính Sách Bảo Mật §4.

8. Ứng Phó Sự Cố

Chúng tôi duy trì một quy trình ứng phó sự cố cho các sự kiện bảo mật. Trong trường hợp vi phạm liên quan đến dữ liệu cá nhân của bạn, chúng tôi sẽ thông báo cho khách hàng bị ảnh hưởng trong vòng 72 giờ kể từ khi phát hiện khi khả thi, hoặc sớm hơn khi luật áp dụng yêu cầu, bao gồm bản chất của sự cố, dữ liệu bị ảnh hưởng và các hành động được khuyến nghị.

9. Nhà Xử Lý Phụ

Chúng tôi sử dụng một bộ nhà cung cấp dịch vụ bên thứ ba đã được kiểm tra để vận hành Dịch Vụ. Mỗi nhà cung cấp có nghĩa vụ hợp đồng bảo vệ dữ liệu mà họ xử lý thay mặt cho chúng tôi. Danh sách hoàn chỉnh, cập nhật — bao gồm mục đích, dữ liệu mà mỗi nhà cung cấp xử lý và vị trí của họ — được công bố trên trang Nhà Xử Lý Phụ của chúng tôi, trang này mô tả cách chúng tôi thông báo về các thay đổi.

10. Tuân Thủ và Đánh Giá Bảo Mật

• Thỏa Thuận Xử Lý Dữ Liệu. Khách hàng đóng vai trò là đơn vị kiểm soát dữ liệu có thể yêu cầu một DPA bổ sung cho Chính Sách Bảo Mật của chúng tôi với các cam kết bảo vệ dữ liệu bổ sung. Liên hệ legal@proyecta.dev.
• Bảng câu hỏi bảo mật. Chúng tôi sẵn lòng hoàn thành các bảng câu hỏi bảo mật của nhà cung cấp và hỗ trợ các đánh giá bảo mật cho doanh nghiệp — liên hệ security@proyecta.dev.
• Minh bạch về nhà xử lý phụ. Danh sách nhà xử lý phụ của chúng tôi là công khai và được giữ cập nhật.

Khi Proyecta phát triển, chúng tôi tiếp tục mở rộng chương trình bảo mật và tuân thủ chính thức của mình. Đối với trạng thái hiện tại của bất kỳ chứng nhận hay xác nhận cụ thể nào, vui lòng liên hệ và chúng tôi sẽ chia sẻ hiện trạng của mình.

11. Liên Hệ

• Báo cáo về bảo mật và lỗ hổng: security@proyecta.dev
• Thắc mắc về quyền riêng tư: privacy@proyecta.dev
• Yêu cầu pháp lý và DPA: legal@proyecta.dev