Güvenlik

Point11, müşterilerimizin verilerinin güvenliğini ve gizliliğini korumayı taahhüt eder. Bu sayfa, bu verileri nasıl izole ettiğimizi, koruduğumuzu ve izlediğimizi, ayrıca uyumluluk konusunda nerede durduğumuzu açıklar.

Müşteri Verisi İzolasyonu

• Her müşterinin verileri doğrudan veritabanının içinde ayrı tutulur. Müşteri verisi tutan her tabloda Postgres satır düzeyi güvenlik etkinleştirilmiş ve zorunlu kılınmıştır; uygulama ise bunu atlayamayan bir veritabanı rolü üzerinden bağlanır.
• Müşteri çalışma alanını belirtmeyen bir istek yanıtlanmaz, veritabanı tarafından reddedilir.
• Bu izolasyon kuralları otomatik testlerle doğrulanır.

Altyapı

Point11 platformu, yönetilen Postgres (Neon) ve Redis (Upstash) ile Vercel üzerinde barındırılır. Bir müşteri kendi kimlik bilgilerini yapılandırdığında, AI model çağrıları o müşterinin Amazon Bedrock, Microsoft Azure veya Google Vertex AI hesabında çalışabilir.

• Tüm bağlantılarda aktarım halindeki veriler TLS 1.2 veya üzeriyle şifrelenir
• HTTPS, HTTP Strict Transport Security aracılığıyla tarayıcılar tarafından zorunlu kılınır
• Veritabanı bağlantıları, tam sertifika doğrulamalı TLS gerektirir
• Bekleyen veriler AES-256 veya eşdeğeri kullanılarak şifrelenir
• Müşterilerin sağladığı model sağlayıcı kimlik bilgileri, Point11 tarafından ayrıca AES-256-GCM ile şifrelenir ve müşterinin çalışma alanına bağlanır
• Ağ ucunda platform düzeyinde DDoS azaltma

Erişim Kontrolü

• Oturum açma ve tek oturum açma, geçiş anahtarı, kimlik doğrulama uygulaması veya kısa mesajla isteğe bağlı iki adımlı doğrulama (bir kuruluş bunu zorunlu kılabilir) ve yalnızca hash değeri olarak saklanan tek kullanımlık kurtarma kodlarıyla birlikte, kimlik sağlayıcımız WorkOS tarafından yönetilir
• En az ayrıcalık ilkelerine dayanan rol tabanlı erişim kontrolleri
• API anahtarları yalnızca bir kez gösterilir, yalnızca hash değeri olarak saklanır, tek bir çalışma alanıyla sınırlandırılır ve süresi bir yıl içinde dolacak şekilde ayarlanır
• Üretim sistemlerine erişim yetkili personelle sınırlıdır
• Point11 personel erişimi yalnızca şirket hesaplarına tanınır; her yetki verme, değiştirme ve kaldırma işlemi bir denetim günlüğüne kaydedilir
• Bir müşteri çalışma alanına destek erişimi kaydedilen bir gerekçe gerektirir, süreyle sınırlıdır ve başladığında ve sona erdiğinde kaydedilir; her müşteri her seferinde bildirim almayı veya erişimi önceden onaylamayı seçebilir

İzleme ve Günlük Kaydı

• Oturum açmalar, iki adımlı doğrulama değişiklikleri, rol değişiklikleri, API anahtarı değişiklikleri ve personel erişimi dahil güvenlikle ilgili işlemler, veritabanının düzenlemeye ve silmeye karşı koruduğu, yalnızca ekleme yapılabilen bir denetim günlüğüne kaydedilir ve en az bir yıl saklanır
• Kritik müşteri yollarının beş dakikada bir sentetik testlerle sınanması dahil otomatik sağlık kontrolleri
• Operasyonel olaylar, tespitten belgelenmiş bir çözüme kadar izlenir

Güvenli Geliştirme

• Her üretim sürümü, tip denetimi, lint kontrolleri, birim ve entegrasyon testleri ile veritabanı şema doğrulaması dahil otomatik kontrollerden geçer
• Veritabanı değişiklikleri yayından önce incelenir ve uygulanmış migrasyon geçmişi değiştirilemez
• Yazılım bağımlılıklarımızdaki bilinen güvenlik açıkları için otomatik uyarılar
• Kod depomuza yapılan commit ve push işlemlerinde otomatik gizli bilgi taraması
• Üçüncü taraf paketlerin yeni sürümleri, kurulabilmeden önce üç gün bekletilir; bu, ele geçirilmiş sürümlere maruz kalmayı sınırlar
• Platformun özel veya dahili ağ adreslerine istek göndermesini engelleyen sunucu tarafı korumalar

Veri İşleme

Point11, kendi AI modellerini müşteri verileriyle eğitmez. Meta, birçok Point11 Analytics özelliğini çalıştıran Muse Spark modellerinin girdilerini ve çıktılarını Meta'nın koşulları kapsamında kendi modellerini iyileştirmek için kullanabilir; ilgili özellikler ve veriler Gizlilik Politikamızda listelenmiştir. Vercel AI Gateway üzerinden yapılan diğer dil ve görüntü modeli çağrılarında, Gateway'den yalnızca gönderilen verilerle eğitim yapmayan sağlayıcıları kullanmasını isteriz.

Müşteri verileri, hizmetleri sunmak ve yasal yükümlülükleri yerine getirmek için gerekli olduğu sürece saklanır. Bir hesap kapatıldığında nelerin silindiği ve nelerin saklandığı Gizlilik Politikamızda açıklanmıştır. Müşteriler yazılı olarak silme talebinde bulunabilir.

Müşteri verilerini işleyen hizmet sağlayıcıları ve her birinin hangi verileri aldığı Gizlilik Politikamızda listelenmiştir.

Point11, ödeme kartı verilerini doğrudan işlemez veya saklamaz; ödemeler PCI DSS sertifikalı işlemciler (Stripe) tarafından işlenir. HIPAA gerekliliklerini veya diğer uyumluluk ihtiyaçlarını görüşmek için legal@point11.ai ile iletişime geçin.

Olay Müdahalesi ve Kurtarma

• Müşteri verilerini etkileyen doğrulanmış güvenlik olayları, gereksiz gecikme olmaksızın ve farkına varmamızdan itibaren 72 saat içinde, etkilenen çalışma alanının sahiplerine ve yöneticilerine e-postayla bildirilir
• Doğrulanmış olayların ardından inceleme ve düzeltme
• Veritabanı sağlayıcımız Neon aracılığıyla yönetilen veritabanı yedekleme ve belirli bir zaman noktasına kurtarma

Uyumluluk

Point11 henüz bir SOC 2 raporuna veya ISO 27001 sertifikasına sahip değildir. Barındırma ve veritabanı sağlayıcılarımız Vercel ve Neon, Point11'in üzerinde çalıştığı altyapı için SOC 2 Type 2 raporlarına sahiptir; bu raporlar Point11'in kendi uygulamasını kapsamaz.

Güvenlik Sorunlarını Bildirme

Point11 hesabınızı veya verilerinizi etkileyen şüpheli bir güvenlik olayını (beklenmedik etkinlik, açığa çıkmış bir API anahtarı veya şüpheli yetkisiz erişim gibi) bildirmek için security@point11.ai adresine e-posta gönderin. Point11 platformundaki güvenlik açıklarını da aynı adrese bildirin; kapsam, hukuki güvence ve bildirim rehberi: güvenlik açığı bildirim politikası.

Güvenlik İncelemeleri

Point11'i bir tedarikçi olarak mı değerlendiriyorsunuz? Güvenlik anketlerini dolduruyor ve bu uygulamaları ekibinize daha ayrıntılı olarak anlatabiliyoruz. legal@point11.ai veya müşteri temsilcinizle iletişime geçin.

Bulut sağlayıcınız üzerinden satın almayı mı tercih edersiniz? Point11 Analytics, AWS Marketplace ve Microsoft Marketplace üzerinde kullanılabilir.