Beveiliging

Point11 zet zich in voor de beveiliging en privacy van klantgegevens. Deze pagina beschrijft hoe we die gegevens isoleren, beschermen en monitoren, en waar we staan op het gebied van compliance.

Isolatie van klantgegevens

• De gegevens van elke klant worden binnen de database zelf gescheiden gehouden. Row-level security van Postgres is ingeschakeld en wordt afgedwongen op elke tabel met klantgegevens, en de applicatie maakt verbinding via een databaserol die deze niet kan omzeilen.
• Een verzoek dat niet aangeeft bij welke klantwerkruimte het hoort, wordt door de database geweigerd in plaats van beantwoord.
• Geautomatiseerde tests controleren deze isolatieregels.

Infrastructure

Het Point11-platform wordt gehost op Vercel, met beheerde Postgres (Neon) en Redis (Upstash). Wanneer een klant eigen inloggegevens configureert, kunnen aanroepen van AI-modellen worden uitgevoerd in het Amazon Bedrock-, Microsoft Azure- of Google Vertex AI-account van die klant.

• Gegevens tijdens transport versleuteld met TLS 1.2 of hoger voor alle verbindingen
• HTTPS door browsers afgedwongen via HTTP Strict Transport Security
• Databaseverbindingen vereisen TLS met volledige certificaatverificatie
• Opgeslagen gegevens versleuteld met AES-256 of gelijkwaardig
• Door klanten verstrekte inloggegevens voor modelproviders worden daarnaast door Point11 versleuteld met AES-256-GCM en gekoppeld aan de werkruimte van de klant
• DDoS-bescherming op platformniveau aan de netwerkrand

Toegangscontrole

• Aanmelden en eenmalige aanmelding verzorgd door onze identiteitsprovider, WorkOS, met optionele tweestapsverificatie via een passkey, een authenticator-app of sms, die een organisatie verplicht kan stellen, en herstelcodes voor eenmalig gebruik die alleen als hashes zijn opgeslagen
• Rolgebaseerde toegangscontrole volgens het principe van minimale rechten
• API-sleutels eenmalig getoond, alleen als hash opgeslagen, beperkt tot één werkruimte en ingesteld om binnen een jaar te verlopen
• Toegang tot productiesystemen beperkt tot bevoegd personeel
• Toegang voor Point11-medewerkers alleen verleend aan bedrijfsaccounts, waarbij elke toekenning, wijziging en intrekking in een auditlog wordt vastgelegd
• Supporttoegang tot de werkruimte van een klant vereist een geregistreerde reden, is tijdsgebonden en wordt bij begin en einde vastgelegd; elke klant kan ervoor kiezen elke keer een melding te ontvangen of de toegang vooraf goed te keuren

Monitoring en logging

• Beveiligingsrelevante acties, waaronder aanmeldingen, wijzigingen in de tweestapsverificatie, rolwijzigingen, wijzigingen van API-sleutels en toegang door medewerkers, vastgelegd in een auditlog waaraan alleen kan worden toegevoegd, dat de database beschermt tegen wijzigingen en verwijderingen en dat minstens een jaar wordt bewaard
• Geautomatiseerde health checks, waaronder elke vijf minuten synthetische tests van kritieke klantpaden
• Operationele incidenten gevolgd van detectie tot een gedocumenteerde oplossing

Veilige ontwikkeling

• Elke productierelease doorstaat geautomatiseerde controles, waaronder typecontrole, linting, unit- en integratietests en verificatie van het databaseschema
• Databasewijzigingen beoordeeld vóór release, met een onveranderbare geschiedenis van toegepaste migraties
• Geautomatiseerde meldingen over bekende kwetsbaarheden in onze softwareafhankelijkheden
• Geautomatiseerde secret scanning bij commits en pushes naar onze coderepository
• Nieuwe versies van pakketten van derden moeten drie dagen wachten voordat ze kunnen worden geïnstalleerd, wat de blootstelling aan gecompromitteerde releases beperkt
• Serverzijdige beveiligingen die voorkomen dat het platform privé- of interne netwerkadressen opvraagt

Omgang met gegevens

Point11 traint zijn eigen AI-modellen niet met klantgegevens. Meta kan de invoer en uitvoer van de Muse Spark-modellen, waarop veel functies van Point11 Analytics draaien, gebruiken om zijn modellen te verbeteren op grond van de voorwaarden van Meta; ons Privacybeleid vermeldt de betrokken functies en gegevens. Voor andere aanroepen van taal- en beeldmodellen via Vercel AI Gateway vragen we de Gateway alleen providers te gebruiken die niet trainen op de verzonden gegevens.

Klantgegevens worden bewaard zolang dat nodig is om de diensten te leveren en aan wettelijke verplichtingen te voldoen. Ons Privacybeleid beschrijft wat er wordt verwijderd wanneer een account wordt gesloten en wat er wordt bewaard. Klanten kunnen schriftelijk om verwijdering verzoeken.

De dienstverleners die klantgegevens verwerken, en wat elk van hen ontvangt, staan vermeld in ons Privacybeleid.

Point11 verwerkt of bewaart betaalkaartgegevens niet rechtstreeks; de verwerking van betalingen wordt uitgevoerd door PCI DSS-gecertificeerde verwerkers (Stripe). Neem voor HIPAA-vereisten of andere nalevingsbehoeften contact op via legal@point11.ai.

Incidentrespons en herstel

• Bevestigde beveiligingsincidenten die klantgegevens raken, worden per e-mail gemeld aan de eigenaren en beheerders van de getroffen werkruimte, zonder onnodige vertraging en binnen 72 uur nadat we ervan op de hoogte zijn
• Evaluatie en herstel na bevestigde incidenten
• Beheerde databaseback-up en point-in-time-herstel via onze databaseprovider, Neon

Compliance

Point11 beschikt nog niet over een SOC 2-rapport of een ISO 27001-certificering. Onze hosting- en databaseproviders, Vercel en Neon, beschikken over SOC 2 Type 2-rapporten voor de infrastructuur waarop Point11 draait; die rapporten hebben geen betrekking op de eigen applicatie van Point11.

Beveiligingsproblemen melden

Meld een vermoed beveiligingsincident dat je Point11-account of -gegevens raakt, zoals onverwachte activiteit, een gelekte API-sleutel of vermoedelijke onbevoegde toegang, via security@point11.ai. Meld een beveiligingskwetsbaarheid in het Point11-platform via hetzelfde adres; scope, juridische bescherming en meldingsrichtlijnen: beleid voor het melden van kwetsbaarheden.

Beveiligingsbeoordelingen

Evalueer je Point11 als leverancier? We vullen beveiligingsvragenlijsten in en kunnen je team deze werkwijzen uitgebreider toelichten. Neem contact op via legal@point11.ai of met je accountvertegenwoordiger.

Koop je liever via je cloudprovider? Point11 Analytics is beschikbaar op AWS Marketplace en Microsoft Marketplace.