Standar Keamanan

Di ProcureLabs, keamanan merupakan hal mendasar bagi platform kami. Halaman ini menjelaskan langkah-langkah yang diterapkan untuk melindungi data pengadaan Anda, serta hal-hal yang tercakup dan tidak tercakup olehnya.

Kepatuhan Sertifikasi

Enkripsi Data

Keamanan Infrastruktur

• Infrastruktur Cloud: Di-host di AWS, yang memiliki sertifikasi SOC 2, ISO 27001, dan PCI DSS. Ini adalah sertifikasi AWS, bukan ProcureLabs.
• Isolasi Data: Keamanan tingkat baris diaktifkan pada tabel basis data yang menyimpan data pelanggan, sehingga kueri pengguna yang telah masuk hanya mengembalikan baris milik organisasinya sendiri. Pekerjaan latar belakang dan jalur administratif yang berjalan dengan akses basis data yang ditingkatkan tidak melewati keamanan tingkat baris; jalur tersebut menerapkan filter tenant dalam kode aplikasi.
• Ketersediaan: Satu region AWS (Singapura); tidak ada failover lintas region
• Pemulihan Bencana: Cadangan basis data dengan pemulihan point-in-time, yang disediakan oleh host basis data kami (Supabase)

Kontrol Akses

Pemantauan & Respons Keamanan

• Manajemen Kerentanan: Setiap merge request dipindai untuk mendeteksi rahasia yang ter-commit (Gitleaks) dan kerentanan dependensi kritis yang dapat diperbaiki (Trivy).
• Respons Insiden: Insiden ditangani oleh pendiri ProcureLabs menggunakan playbook respons insiden platform, dan pelanggan yang terdampak diberi tahu melalui email.
• Masalah keamanan dapat dilaporkan kepada kontak keamanan kami di bawah ini.

Keamanan Pemrosesan Data AI

Fitur AI kami dirancang dengan mempertimbangkan keamanan dan privasi:

• Pemrosesan OpenAI OpenAI mendukung percakapan, analisis, dan penilaian Decisions yang terbatas untuk pemilihan alat serta bukti pengadaan. Dengan tunduk pada izin pelanggan yang masih berlaku dan konfigurasi regional yang disepakati, Decisions menerima konteks dan pertanyaan yang diminimalkan dan disamarkan untuk tujuan yang diizinkan. Data API OpenAI hanya digunakan untuk pelatihan model jika ada persetujuan ikut serta secara tegas. Decisions dapat menyimpan status cache prompt terenkripsi hingga 24 jam dan log pemantauan penyalahgunaan standar hingga 30 hari, dengan pengecualian keamanan, keselamatan, atau hukum yang berlaku.
• Izin pemrosesan Decisions Pemrosesan Decisions memerlukan instruksi pelanggan yang masih berlaku dan izin untuk tujuan, akun, pemroses, serta transfer ke AS yang spesifik. Menonaktifkan AI atau mencabut kewenangan terkait mencegah permintaan Decisions baru. Tindakan yang berdampak tetap tunduk pada pengamanan yang diwajibkan dan peninjauan independen.
• Retensi mengikuti kategori data terkait, instruksi pelanggan, kewajiban penyimpanan hukum, serta ketentuan penyedia. Riwayat percakapan, konten turunan, catatan audit, dan log penyedia memiliki ketentuan retensi tersendiri. Permintaan penghapusan ditangani berdasarkan perjanjian pemrosesan data dan hukum yang berlaku.
• Fitur AI opsional dapat dinonaktifkan oleh administrator
• Fitur AI dapat dinonaktifkan untuk seluruh organisasi oleh administrator, atau oleh setiap pengguna untuk dirinya sendiri
• Log audit keputusan atas tindakan yang diusulkan AI

Lokasi Penyimpanan Data

Semua data pelanggan disimpan di satu region. Fitur AI memproses data yang diperlukan dengan penyedia AI di Amerika Serikat. Region penyimpanan tambahan belum tersedia saat ini.

Tata Kelola

• Kami menyimpan kebijakan keamanan informasi tertulis, beserta indeks kebijakan dan prosedur kami, yang ditinjau setidaknya setiap tahun.
• Kami menyimpan kode etik tertulis yang mencakup kejujuran, kerahasiaan, dan konflik kepentingan.
• ProcureLabs memiliki tiga pendiri. David Hodge, CEO dan Direktur, bertanggung jawab atas keamanan dan perlindungan data. Peninjauan oleh pendiri bersama dan pengaturan pemulihan independen sedang didokumentasikan dan diverifikasi.
• Kami menyimpan daftar risiko tertulis, yang ditinjau setidaknya setiap tahun dan sebelum perubahan signifikan.
• Kami menyimpan proses tertulis untuk memeriksa dan meninjau subprosesor kami. Keamanan fisik server yang menjalankan ProcureLabs disediakan oleh AWS dan Supabase; kami tidak mengoperasikan pusat data sendiri.
• Kami menyimpan rencana kesinambungan bisnis tertulis, yang ditinjau setidaknya setiap tahun.
• Kami memiliki prosedur tertulis untuk menguji pemulihan database dari cadangan. Latihan pemulihan khusus database telah diselesaikan dan salinan sementaranya telah dihapus. Pemulihan aplikasi, autentikasi, dan penyimpanan objek secara menyeluruh, serta akses operator alternatif yang independen, masih harus diverifikasi.

Manajemen perubahan dan integritas pemrosesan

• Perubahan kode masuk ke cabang utama kami melalui merge request yang harus melewati pemeriksaan pipeline wajib, termasuk pemindaian rahasia, pemeriksaan migrasi database, dan pemeriksaan bahwa pernyataan keamanan dan privasi di situs ini masih sesuai dengan kode. Produksi hanya dirilis dari cabang tersebut. Pengujian otomatis gagal jika pemeriksaan wajib dihapus atau diizinkan gagal.
• Kelemahan yang diketahui dalam kode dicatat dalam baseline dan register bukti kepatuhan kami. Perubahan yang menambahkan kelemahan baru, seperti penangan error yang diam-diam membuang error atau pernyataan yang dipublikasikan sementara kode pendukungnya telah berubah, diblokir hingga diperbaiki atau dicatat.
• Sebagian besar endpoint write dalam API kami memeriksa setiap body permintaan terhadap skema yang dinyatakan dan menolak permintaan yang tidak sesuai dengan error 400.
• Setiap proses yang dijalankan oleh mesin deteksi kami mencatat, untuk setiap detektor, apakah proses tersebut selesai dan berapa banyak hasil yang dikembalikan, atau bahwa proses tersebut gagal. Kegagalan dicatat sebagai kegagalan, tidak pernah sebagai “tidak ada temuan”.