Segurança

O Point11 tem o compromisso de proteger a segurança e a privacidade dos dados dos nossos clientes. Esta página descreve como isolamos, protegemos e monitoramos esses dados e em que ponto estamos em relação à conformidade.

Isolamento dos dados dos clientes

• Os dados de cada cliente são mantidos separados dentro do próprio banco de dados. A segurança em nível de linha (row-level security) do Postgres está habilitada e é aplicada em todas as tabelas que armazenam dados de clientes, e o aplicativo se conecta por meio de uma função de banco de dados que não pode contorná-la.
• Uma solicitação que não identifica o espaço de trabalho do cliente é recusada pelo banco de dados em vez de ser respondida.
• Testes automatizados verificam essas regras de isolamento.

Infraestrutura

A plataforma Point11 é hospedada na Vercel, com Postgres gerenciado (Neon) e Redis (Upstash). Quando um cliente configura suas próprias credenciais, as chamadas a modelos de IA podem ser executadas na conta do Amazon Bedrock, do Microsoft Azure ou do Google Vertex AI desse cliente.

• Dados criptografados em trânsito com TLS 1.2 ou superior em todas as conexões
• HTTPS imposto pelos navegadores por meio do HTTP Strict Transport Security
• Conexões com o banco de dados exigem TLS com verificação completa do certificado
• Dados criptografados em repouso com AES-256 ou equivalente
• Credenciais de provedores de modelos fornecidas pelos clientes são criptografadas adicionalmente pelo Point11 com AES-256-GCM e vinculadas ao espaço de trabalho do cliente
• Mitigação de DDoS no nível da plataforma na borda da rede

Controle de acesso

• Login e login único gerenciados pelo nosso provedor de identidade, a WorkOS, com verificação em duas etapas opcional por chave de acesso, aplicativo autenticador ou mensagem de texto, que uma organização pode exigir, e códigos de recuperação de uso único armazenados apenas como hashes
• Controles de acesso baseados em funções com princípios de privilégio mínimo
• Chaves de API exibidas uma única vez, armazenadas apenas como hash, restritas a um único espaço de trabalho e configuradas para expirar em até um ano
• Acesso aos sistemas de produção limitado a pessoal autorizado
• Acesso da equipe do Point11 concedido apenas a contas da empresa, com cada concessão, alteração e remoção gravada em um registro de auditoria
• O acesso do suporte ao espaço de trabalho de um cliente exige um motivo registrado, tem duração limitada e é registrado no início e no fim; cada cliente pode escolher ser notificado a cada vez ou aprová-lo previamente

Monitoramento e logs

• Ações relevantes para a segurança, incluindo logins, alterações na verificação em duas etapas, alterações de funções, alterações de chaves de API e acessos da equipe, gravadas em um registro de auditoria somente de inclusão que o banco de dados protege contra edições e exclusões, mantido por pelo menos um ano
• Verificações de integridade automatizadas, incluindo testes sintéticos dos fluxos críticos dos clientes a cada cinco minutos
• Incidentes operacionais acompanhados desde a detecção até uma resolução documentada

Desenvolvimento seguro

• Cada versão publicada em produção passa por verificações automatizadas, incluindo checagem de tipos, linting, testes unitários e de integração e verificação do esquema do banco de dados
• Mudanças no banco de dados revisadas antes da publicação, com um histórico de migrações aplicadas que não pode ser modificado
• Alertas automatizados sobre vulnerabilidades conhecidas nas dependências do nosso software
• Varredura automatizada de segredos em commits e pushes para o nosso repositório de código
• Novas versões de pacotes de terceiros aguardam três dias antes de poderem ser instaladas, o que limita a exposição a versões comprometidas
• Proteções no servidor que impedem a plataforma de fazer requisições a endereços de rede privados ou internos

Tratamento de dados

A Point11 não treina seus próprios modelos de IA com dados dos clientes. A Meta pode usar as entradas e saídas dos modelos Muse Spark, que executam muitos recursos do Point11 Analytics, para aprimorar os próprios modelos nos termos da Meta; nossa Política de Privacidade lista os recursos e os dados envolvidos. Para outras chamadas a modelos de linguagem e de imagem por meio do Vercel AI Gateway, solicitamos ao Gateway que use apenas provedores que não treinam com os dados enviados.

Os dados dos clientes são retidos enquanto necessários para prestar os serviços e cumprir obrigações legais. Nossa Política de Privacidade descreve o que é excluído quando uma conta é encerrada e o que é mantido. Os clientes podem solicitar a exclusão por escrito.

Os provedores de serviços que processam dados dos clientes, e o que cada um recebe, estão listados na nossa Política de Privacidade.

O Point11 não processa nem armazena diretamente dados de cartões de pagamento; o processamento é realizado por processadores certificados PCI DSS (Stripe). Para discutir requisitos da HIPAA ou outras necessidades de conformidade, entre em contato com legal@point11.ai.

Resposta a incidentes e recuperação

• Incidentes de segurança confirmados que afetem dados de clientes são comunicados por e-mail aos proprietários e administradores do espaço de trabalho afetado sem demora indevida e em até 72 horas após tomarmos conhecimento deles
• Revisão pós-incidente e correção de incidentes confirmados
• Backup gerenciado do banco de dados e recuperação para um ponto específico no tempo por meio do nosso provedor de banco de dados, a Neon

Conformidade

O Point11 ainda não possui um relatório SOC 2 nem uma certificação ISO 27001. Nossos provedores de hospedagem e de banco de dados, a Vercel e a Neon, mantêm relatórios SOC 2 Type 2 da infraestrutura em que o Point11 é executado; esses relatórios não abrangem o aplicativo do próprio Point11.

Como reportar problemas de segurança

Para reportar um suposto incidente de segurança que afete sua conta ou seus dados na Point11, como atividade inesperada, uma chave de API exposta ou suspeita de acesso não autorizado, envie um e-mail para security@point11.ai. Reporte vulnerabilidades de segurança na plataforma Point11 para o mesmo endereço; escopo, proteção jurídica e orientações para reportar: política de divulgação de vulnerabilidades.

Avaliações de segurança

Está avaliando o Point11 como fornecedor? Respondemos a questionários de segurança e podemos apresentar essas práticas à sua equipe com mais detalhes. Entre em contato com legal@point11.ai ou com seu representante de conta.

Prefere comprar pelo seu provedor de nuvem? O Point11 Analytics está disponível no AWS Marketplace e Microsoft Marketplace.