Piawaian Keselamatan

Di ProcureLabs, keselamatan ialah asas platform kami. Halaman ini menerangkan langkah-langkah yang tersedia untuk melindungi data perolehan anda serta perkara yang dilindungi dan tidak dilindunginya.

Pematuhan Pensijilan

Penyulitan Data

Keselamatan Infrastruktur

• Infrastruktur Awan: Dihoskan pada AWS, yang memegang pensijilan SOC 2, ISO 27001 dan PCI DSS. Ini ialah pensijilan AWS, bukan ProcureLabs.
• Pengasingan Data: Keselamatan peringkat baris didayakan pada jadual pangkalan data yang menyimpan data pelanggan, supaya pertanyaan pengguna yang telah log masuk hanya mengembalikan baris organisasi mereka sendiri. Tugas latar belakang dan laluan pentadbiran yang berjalan dengan akses pangkalan data dipertingkat tidak melalui keselamatan peringkat baris; sebaliknya, laluan tersebut menggunakan penapis penyewa dalam kod aplikasi.
• Ketersediaan: Satu rantau AWS (Singapura); tiada pemulihan automatik merentas rantau
• Pemulihan Bencana: Sandaran pangkalan data dengan pemulihan titik masa, yang disediakan oleh hos pangkalan data kami (Supabase)

Kawalan Akses

Pemantauan & Tindak Balas Keselamatan

• Pengurusan Kerentanan: Setiap permintaan gabungan diimbas untuk mengesan rahsia yang dihantar naik turun (Gitleaks) dan kerentanan kritikal kebergantungan yang boleh dibaiki (Trivy).
• Tindak Balas Insiden: Insiden dikendalikan oleh pengasas ProcureLabs menggunakan buku panduan tindak balas insiden platform, dan pelanggan yang terjejas dimaklumkan melalui e-mel.
• Isu keselamatan boleh dilaporkan kepada kenalan keselamatan kami di bawah.

Keselamatan Pemprosesan Data AI

Ciri AI kami direka bentuk dengan mengambil kira keselamatan dan privasi:

• Pemprosesan OpenAI OpenAI menyokong sembang, analisis dan penilaian Decisions yang terhad untuk pemilihan alat serta bukti perolehan. Tertakluk pada kebenaran pelanggan yang masih sah dan konfigurasi wilayah yang dipersetujui, Decisions menerima konteks dan soalan yang diminimumkan serta maklumat sensitifnya disamarkan untuk tujuan yang dibenarkan. Data API OpenAI hanya digunakan untuk latihan model apabila penyertaan dipilih secara nyata. Decisions boleh menyimpan keadaan cache prom terenkripsi sehingga 24 jam dan log pemantauan penyalahgunaan standard sehingga 30 hari, tertakluk pada pengecualian keselamatan, perlindungan atau undang-undang yang berkenaan.
• Kebenaran pemprosesan Decisions Pemprosesan Decisions memerlukan arahan pelanggan yang masih sah dan kebenaran untuk tujuan, akaun, pemproses serta pemindahan ke AS yang tertentu. Menyahaktifkan AI atau menarik balik kuasa yang berkenaan menghalang permintaan Decisions baharu. Tindakan yang membawa kesan kekal tertakluk pada perlindungan yang diperlukan dan semakan bebas.
• Penyimpanan mengikut kategori data yang berkenaan, arahan pelanggan, kewajipan pemeliharaan undang-undang serta terma penyedia. Sejarah sembang, kandungan terbitan, rekod audit dan log penyedia mempunyai syarat penyimpanan berasingan. Permintaan pemadaman dikendalikan menurut perjanjian pemprosesan data dan undang-undang yang berkenaan.
• Ciri AI pilihan boleh dilumpuhkan oleh pentadbir
• Ciri AI boleh dimatikan untuk seluruh organisasi oleh pentadbir, atau oleh setiap pengguna untuk diri mereka sendiri
• Log audit keputusan tentang tindakan yang dicadangkan oleh AI

Kediaman Data

Semua data pelanggan disimpan dalam satu rantau. Ciri AI memproses data yang diperlukan dengan penyedia AI di Amerika Syarikat. Rantau storan tambahan tidak tersedia pada masa ini.

Tadbir Urus

• Kami mengekalkan dasar keselamatan maklumat bertulis, dengan indeks dasar dan prosedur kami, yang disemak sekurang-kurangnya setiap tahun.
• Kami mengekalkan tatakelakuan bertulis yang meliputi kejujuran, kerahsiaan dan konflik kepentingan.
• ProcureLabs mempunyai tiga pengasas. David Hodge, CEO dan Pengarah, bertanggungjawab terhadap keselamatan dan perlindungan data. Semakan pengasas bersama dan pengaturan pemulihan bebas sedang didokumenkan dan disahkan.
• Kami mengekalkan daftar risiko bertulis, yang disemak sekurang-kurangnya setiap tahun dan sebelum perubahan ketara.
• Kami mengekalkan proses bertulis untuk menyemak dan menilai subpemproses kami. Keselamatan fizikal pelayan yang menjalankan ProcureLabs disediakan oleh AWS dan Supabase; kami tidak mengendalikan pusat data sendiri.
• Kami mengekalkan pelan kesinambungan perniagaan bertulis, yang disemak sekurang-kurangnya setiap tahun.
• Kami mempunyai prosedur bertulis untuk menguji pemulihan pangkalan data daripada sandaran. Latihan pemulihan pangkalan data sahaja telah selesai dan salinan sementara telah dipadamkan. Pemulihan aplikasi penuh, pengesahan dan storan objek, serta akses pengendali alternatif yang bebas, masih perlu disahkan.

Pengurusan perubahan dan integriti pemprosesan

• Perubahan kod sampai ke cawangan utama melalui permintaan gabungan yang mesti lulus pemeriksaan saluran paip yang diperlukan, termasuk pengimbasan rahsia, pemeriksaan migrasi pangkalan data dan pemeriksaan bahawa pernyataan keselamatan dan privasi di laman ini masih sepadan dengan kod. Pengeluaran hanya dilakukan daripada cawangan tersebut. Ujian automatik gagal jika pemeriksaan yang diperlukan dibuang atau dibenarkan gagal.
• Kelemahan yang diketahui dalam kod direkodkan dalam garis dasar dan daftar bukti pematuhan kami. Perubahan yang menambah kelemahan baharu, seperti pengendali ralat yang membuang ralat secara senyap atau pernyataan diterbitkan yang kod sokongannya telah berubah, disekat sehingga ia dibaiki atau direkodkan.
• Kebanyakan titik akhir tulis dalam API kami menyemak setiap badan permintaan terhadap skema yang diisytiharkan dan menolak permintaan yang tidak sepadan dengan ralat 400.
• Setiap pelaksanaan enjin pengesanan kami merekodkan, bagi setiap pengesan, sama ada ia selesai dan jumlah hasil yang dikembalikan, atau bahawa ia gagal. Kegagalan direkodkan sebagai kegagalan, bukan sebagai “tiada penemuan”.