Bezpieczeństwo

Point11 zobowiązuje się chronić bezpieczeństwo i prywatność danych naszych klientów. Ta strona opisuje, jak izolujemy, chronimy i monitorujemy te dane, oraz jaki jest nasz status w zakresie zgodności.

Izolacja danych klientów

• Dane każdego klienta są odseparowane w samej bazie danych. Zabezpieczenia na poziomie wierszy (row-level security) w Postgres są włączone i egzekwowane w każdej tabeli przechowującej dane klientów, a aplikacja łączy się z bazą przez rolę, która nie może ich obejść.
• Baza danych odrzuca żądanie, które nie wskazuje przestrzeni roboczej klienta, zamiast na nie odpowiedzieć.
• Automatyczne testy weryfikują te reguły izolacji.

Infrastructure

Platforma Point11 jest hostowana na Vercel, z zarządzanym Postgres (Neon) i Redis (Upstash). Gdy klient skonfiguruje własne dane uwierzytelniające, wywołania modeli AI mogą być wykonywane na koncie tego klienta w Amazon Bedrock, Microsoft Azure lub Google Vertex AI.

• Dane szyfrowane podczas przesyłania przy użyciu TLS 1.2 lub nowszego dla wszystkich połączeń
• HTTPS wymuszany przez przeglądarki za pomocą HTTP Strict Transport Security
• Połączenia z bazą danych wymagają TLS z pełną weryfikacją certyfikatu
• Dane szyfrowane w spoczynku przy użyciu AES-256 lub równoważnego rozwiązania
• Dane uwierzytelniające dostawców modeli przekazane przez klientów są dodatkowo szyfrowane przez Point11 przy użyciu AES-256-GCM i powiązane z przestrzenią roboczą klienta
• Ochrona przed DDoS na poziomie platformy na brzegu sieci

Kontrola dostępu

• Logowanie i jednokrotne logowanie obsługiwane przez naszego dostawcę tożsamości, WorkOS, z opcjonalną weryfikacją dwuetapową za pomocą klucza dostępu, aplikacji uwierzytelniającej lub SMS-a, którą organizacja może uczynić obowiązkową, i jednorazowymi kodami odzyskiwania przechowywanymi wyłącznie jako hashe
• Kontrola dostępu oparta na rolach i zasadzie najmniejszych uprawnień
• Klucze API wyświetlane tylko raz, przechowywane wyłącznie jako hash, ograniczone do jednej przestrzeni roboczej i ustawione tak, aby wygasały w ciągu roku
• Dostęp do systemów produkcyjnych ograniczony do upoważnionego personelu
• Dostęp pracowników Point11 przyznawany wyłącznie kontom firmowym, a każde przyznanie, zmiana i odebranie dostępu są rejestrowane w dzienniku audytu
• Dostęp zespołu wsparcia do przestrzeni roboczej klienta wymaga odnotowanego powodu, jest ograniczony czasowo, a jego rozpoczęcie i zakończenie są rejestrowane; każdy klient może wybrać, czy chce być powiadamiany o każdym dostępie, czy wcześniej go zatwierdzać

Monitorowanie i rejestrowanie zdarzeń

• Działania istotne dla bezpieczeństwa, w tym logowania, zmiany w weryfikacji dwuetapowej, zmiany ról, zmiany kluczy API i dostęp pracowników, rejestrowane w dzienniku audytu tylko do dopisywania, który baza danych chroni przed edycją i usuwaniem, przechowywanym przez co najmniej rok
• Automatyczne kontrole stanu, w tym testy syntetyczne krytycznych ścieżek klientów co pięć minut
• Incydenty operacyjne śledzone od wykrycia do udokumentowanego rozwiązania

Bezpieczne tworzenie oprogramowania

• Każde wydanie produkcyjne przechodzi automatyczne kontrole, w tym sprawdzanie typów, linting, testy jednostkowe i integracyjne oraz weryfikację schematu bazy danych
• Zmiany w bazie danych przeglądane przed wydaniem, z historią zastosowanych migracji, której nie można zmienić
• Automatyczne alerty o znanych lukach w zależnościach naszego oprogramowania
• Automatyczne skanowanie commitów i pushy do naszego repozytorium kodu pod kątem sekretów
• Nowe wersje pakietów zewnętrznych można zainstalować dopiero po trzech dniach, co ogranicza narażenie na skompromitowane wydania
• Zabezpieczenia po stronie serwera, które uniemożliwiają platformie pobieranie zasobów z prywatnych lub wewnętrznych adresów sieciowych

Przetwarzanie danych

Point11 nie trenuje własnych modeli AI na danych klientów. Meta może wykorzystywać dane wejściowe i wyjściowe modeli Muse Spark, na których działa wiele funkcji Point11 Analytics, do ulepszania swoich modeli na warunkach Meta; nasza Polityka prywatności wymienia funkcje i dane, których to dotyczy. W przypadku pozostałych wywołań modeli językowych i obrazowych przez Vercel AI Gateway prosimy Gateway o korzystanie wyłącznie z dostawców, którzy nie trenują na przesyłanych danych.

Dane klientów są przechowywane tak długo, jak jest to potrzebne do świadczenia usług i wypełniania obowiązków prawnych. Nasza Polityka prywatności opisuje, co jest usuwane po zamknięciu konta, a co jest zachowywane. Klienci mogą pisemnie poprosić o usunięcie danych.

Listę dostawców usług przetwarzających dane klientów wraz z informacją, co otrzymuje każdy z nich, zawiera nasza Polityka prywatności.

Point11 nie przetwarza bezpośrednio ani nie przechowuje danych kart płatniczych; płatności obsługują operatorzy posiadający certyfikat PCI DSS (Stripe). Aby omówić wymagania HIPAA lub inne potrzeby dotyczące zgodności, skontaktuj się z legal@point11.ai.

Reagowanie na incydenty i odzyskiwanie

• Potwierdzone incydenty bezpieczeństwa dotyczące danych klientów są zgłaszane e-mailem właścicielom i administratorom danej przestrzeni roboczej bez zbędnej zwłoki, w ciągu 72 godzin od chwili, gdy się o nich dowiemy
• Analiza i działania naprawcze po potwierdzonych incydentach
• Zarządzane kopie zapasowe i odzyskiwanie bazy danych do wskazanego punktu w czasie zapewniane przez naszego dostawcę bazy danych, Neon

Zgodność

Point11 nie posiada jeszcze raportu SOC 2 ani certyfikatu ISO 27001. Nasi dostawcy hostingu i bazy danych, Vercel i Neon, utrzymują raporty SOC 2 Type 2 dla infrastruktury, na której działa Point11; raporty te nie obejmują samej aplikacji Point11.

Zgłaszanie problemów z bezpieczeństwem

Aby zgłosić podejrzewany incydent bezpieczeństwa dotyczący Twojego konta lub danych w Point11, na przykład nietypową aktywność, ujawniony klucz API lub podejrzenie nieuprawnionego dostępu, napisz na security@point11.ai. Luki bezpieczeństwa w platformie Point11 zgłaszaj na ten sam adres; zakres, ochronę badaczy i wskazówki dotyczące zgłoszeń opisuje polityka ujawniania luk.

Oceny bezpieczeństwa

Oceniasz Point11 jako dostawcę? Wypełniamy kwestionariusze bezpieczeństwa i możemy szczegółowo omówić te praktyki z Twoim zespołem. Skontaktuj się z legal@point11.ai lub swoim opiekunem handlowym.

Wolisz kupować przez swojego dostawcę chmury? Point11 Analytics jest dostępny w AWS Marketplace i Microsoft Marketplace.