Standardy bezpieczeństwa

W ProcureLabs bezpieczeństwo jest podstawą naszej platformy. Ta strona opisuje środki stosowane w celu ochrony Twoich danych dotyczących zakupów oraz zakres ich zastosowania i ograniczenia.

Zgodność z certyfikacjami

Szyfrowanie danych

Bezpieczeństwo infrastruktury

• Infrastruktura chmurowa: Hostowana w AWS, który posiada certyfikaty SOC 2, ISO 27001 i PCI DSS. Są to certyfikaty AWS, a nie ProcureLabs.
• Izolacja danych: W tabelach bazy danych zawierających dane klientów włączono zabezpieczenia na poziomie wierszy, dzięki czemu zapytania zalogowanego użytkownika zwracają wyłącznie wiersze jego organizacji. Zadania działające w tle i ścieżki administracyjne korzystające z podwyższonego dostępu do bazy danych nie przechodzą przez zabezpieczenia na poziomie wierszy; stosują filtr dzierżawy w kodzie aplikacji.
• Dostępność: Pojedynczy region AWS (Singapur); brak przełączania awaryjnego między regionami
• Odzyskiwanie po awarii: Kopie zapasowe bazy danych z odzyskiwaniem do określonego momentu, zapewniane przez naszego dostawcę baz danych (Supabase)

Kontrola dostępu

Monitorowanie bezpieczeństwa i reagowanie

• Zarządzanie podatnościami: Każdy merge request jest skanowany pod kątem zapisanych sekretów (Gitleaks) oraz możliwych do naprawienia krytycznych podatności zależności (Trivy).
• Reagowanie na incydenty: Incydentami zajmuje się założyciel ProcureLabs, korzystając z podręczników reagowania na incydenty dostępnych na platformie, a poszkodowani klienci są powiadamiani pocztą elektroniczną.
• Problemy z bezpieczeństwem można zgłaszać na podany poniżej kontakt ds. bezpieczeństwa.

Bezpieczeństwo przetwarzania danych AI

Nasze funkcje AI projektujemy z uwzględnieniem bezpieczeństwa i prywatności:

• Przetwarzanie przez OpenAI OpenAI obsługuje czat, analizy oraz ograniczone oceny Decisions dotyczące wyboru narzędzi i dowodów zakupowych. Z zastrzeżeniem aktualnego zezwolenia klienta i uzgodnionej konfiguracji regionalnej Decisions otrzymuje zminimalizowany kontekst z ukrytymi danymi wrażliwymi oraz pytania dla dozwolonego celu. Dane API OpenAI są używane do trenowania modeli tylko po wyraźnym przystąpieniu. Decisions może przechowywać zaszyfrowany stan pamięci podręcznej promptów do 24 godzin oraz standardowe dzienniki monitorowania nadużyć do 30 dni, z zastrzeżeniem obowiązujących wyjątków związanych z bezpieczeństwem, ochroną lub prawem.
• Zezwolenie na przetwarzanie przez Decisions Przetwarzanie przez Decisions wymaga aktualnych instrukcji klienta i zezwolenia dla konkretnego celu, konta, podmiotu przetwarzającego oraz przekazania do USA. Wyłączenie AI lub wycofanie właściwego upoważnienia zapobiega nowym żądaniom Decisions. Działania o istotnych skutkach nadal podlegają wymaganym zabezpieczeniom i niezależnej ocenie.
• Przechowywanie zależy od kategorii danych, instrukcji klienta, prawnych obowiązków zachowania danych i warunków dostawcy. Historia czatu, treści pochodne, zapisy audytowe i dzienniki dostawcy mają odrębne warunki przechowywania. Wnioski o usunięcie są realizowane zgodnie z umową powierzenia przetwarzania danych i obowiązującym prawem.
• Opcjonalne funkcje AI mogą zostać wyłączone przez administratorów
• Administrator może wyłączyć funkcje AI dla całej organizacji, a każdy użytkownik może wyłączyć je dla siebie
• Dziennik audytowy decyzji dotyczących działań proponowanych przez AI

Lokalizacja danych

Wszystkie dane klientów są przechowywane w jednym regionie. Funkcje AI przetwarzają potrzebne dane u dostawców AI w Stanach Zjednoczonych. Dodatkowe regiony przechowywania nie są obecnie dostępne.

Zarządzanie

• Prowadzimy pisemną politykę bezpieczeństwa informacji wraz z indeksem naszych polityk i procedur, przeglądanym co najmniej raz w roku.
• Prowadzimy pisemny kodeks postępowania obejmujący uczciwość, poufność i konflikty interesów.
• ProcureLabs ma trzech założycieli. David Hodge, CEO i dyrektor, odpowiada za bezpieczeństwo i ochronę danych. Przegląd przez współzałożycieli oraz niezależne ustalenia dotyczące odtwarzania są dokumentowane i weryfikowane.
• Prowadzimy pisemny rejestr ryzyk, przeglądany co najmniej raz w roku oraz przed istotnymi zmianami.
• Prowadzimy pisemną procedurę weryfikacji i przeglądu naszych podmiotów przetwarzających. Bezpieczeństwo fizyczne serwerów obsługujących ProcureLabs zapewniają AWS i Supabase; nie prowadzimy własnych centrów danych.
• Prowadzimy pisemny plan ciągłości działania, przeglądany co najmniej raz w roku.
• Mamy pisemną procedurę testowego odtwarzania bazy danych z kopii zapasowej. Wykonano ćwiczenie obejmujące wyłącznie odtworzenie bazy danych, a tymczasową kopię usunięto. Pełne odtworzenie aplikacji, uwierzytelniania i pamięci obiektowej oraz niezależny dostęp alternatywnego operatora pozostają do zweryfikowania.

Zarządzanie zmianami i integralność przetwarzania

• Zmiany kodu trafiają do naszej głównej gałęzi za pośrednictwem merge requestów, które muszą przejść wymagane kontrole potoku, w tym skanowanie sekretów, kontrole migracji bazy danych oraz sprawdzenie, czy oświadczenia dotyczące bezpieczeństwa i prywatności na tej stronie nadal odpowiadają kodowi. Wdrożenia produkcyjne są wykonywane wyłącznie z tej gałęzi. Automatyczny test kończy się niepowodzeniem, jeśli wymagana kontrola zostanie usunięta lub dopuszczona do niepowodzenia.
• Znane słabości kodu są rejestrowane w bazach oraz w naszym rejestrze dowodów zgodności. Zmiana, która dodaje nową słabość, taką jak moduł obsługi błędów po cichu pomijający błąd lub opublikowane oświadczenie, którego kod źródłowy uległ zmianie, jest blokowana do czasu jej naprawienia lub zarejestrowania.
• Większość endpointów zapisu w naszym API sprawdza każde body żądania względem zadeklarowanego schematu i odrzuca żądanie, które nie jest z nim zgodne, zwracając błąd 400.
• Każde uruchomienie naszych silników wykrywania rejestruje dla każdego detektora, czy zakończyło się ono powodzeniem i ile wyników zwróciło, albo że zakończyło się niepowodzeniem. Niepowodzenie jest rejestrowane jako niepowodzenie, nigdy jako „brak ustaleń”.