Padrões de segurança

Na ProcureLabs, a segurança é fundamental para nossa plataforma. Esta página descreve as medidas implementadas para proteger seus dados de compras e o que elas abrangem e não abrangem.

Conformidade com certificações

Criptografia de dados

Segurança da infraestrutura

• Infraestrutura de nuvem: Hospedada na AWS, que possui certificações SOC 2, ISO 27001 e PCI DSS. Essas são certificações da AWS, não da ProcureLabs.
• Isolamento de dados: A segurança em nível de linha está habilitada nas tabelas do banco de dados que armazenam dados de clientes, de modo que as consultas de um usuário conectado retornem apenas as linhas da própria organização. Tarefas em segundo plano e caminhos administrativos executados com acesso elevado ao banco de dados não passam pela segurança em nível de linha; eles aplicam o filtro do tenant no código do aplicativo.
• Disponibilidade: Região única da AWS (Singapore); sem failover entre regiões
• Recuperação de desastres: Backups do banco de dados com recuperação point-in-time, fornecidos pelo nosso provedor de banco de dados (Supabase)

Controle de acesso

Monitoramento e resposta de segurança

• Gerenciamento de vulnerabilidades: Cada solicitação de merge é verificada quanto a segredos incluídos no código (Gitleaks) e vulnerabilidades críticas corrigíveis em dependências (Trivy).
• Resposta a incidentes: Os incidentes são tratados pelo fundador da ProcureLabs usando os playbooks de resposta a incidentes da plataforma, e os clientes afetados são notificados por e-mail.
• Problemas de segurança podem ser reportados ao nosso contato de segurança abaixo.

Segurança do processamento de dados de IA

Nossos recursos de IA são desenvolvidos levando em consideração a segurança e a privacidade:

• Tratamento pela OpenAI A OpenAI oferece suporte a conversas, análises e avaliações delimitadas do Decisions para seleção de ferramentas e evidências de compras. Sujeito à permissão atual do cliente e à configuração regional acordada, o Decisions recebe contexto e perguntas minimizados e com dados sensíveis ocultados para a finalidade permitida. Os dados da API da OpenAI só são usados para treinar modelos mediante adesão explícita. O Decisions pode reter o estado criptografado do cache de prompts por até 24 horas e os registros padrão de monitoramento de abusos por até 30 dias, sujeitos às exceções de segurança, proteção ou legais aplicáveis.
• Permissão para tratamento pelo Decisions O tratamento pelo Decisions exige instruções atuais do cliente e permissão para a finalidade, a conta, o operador e a transferência aos EUA específicos. Desativar a IA ou retirar a autorização aplicável impede novas solicitações ao Decisions. Ações com consequências continuam sujeitas às salvaguardas exigidas e à revisão independente.
• A retenção segue a categoria de dados, as instruções do cliente, as obrigações de preservação legal e os termos do fornecedor. O histórico de conversas, o conteúdo derivado, os registros de auditoria e os registros do fornecedor têm condições de retenção separadas. As solicitações de exclusão são tratadas conforme o acordo de tratamento de dados e a legislação aplicável.
• Os recursos opcionais de IA podem ser desativados pelos administradores
• Os recursos de IA podem ser desativados para toda a organização por um administrador ou por cada usuário individualmente
• Log de auditoria das decisões sobre ações propostas pela IA

Residência de dados

Todos os dados dos clientes são armazenados em uma única região. Os recursos de IA processam os dados necessários com provedores de IA nos Estados Unidos. Regiões adicionais de armazenamento não estão disponíveis atualmente.

Governança

• Mantemos uma política de segurança da informação por escrito, com um índice de nossas políticas e procedimentos, revisada pelo menos uma vez por ano.
• Mantemos um código de conduta por escrito que abrange honestidade, confidencialidade e conflitos de interesse.
• A ProcureLabs tem três fundadores. David Hodge, CEO e Diretor, é responsável pela segurança e pela proteção de dados. A revisão por um cofundador e os mecanismos independentes de recuperação estão sendo documentados e verificados.
• Mantemos um registro de riscos por escrito, revisado pelo menos uma vez por ano e antes de alterações significativas.
• Mantemos um processo por escrito para verificar e revisar nossos subprocessadores. A segurança física dos servidores que executam a ProcureLabs é fornecida pela AWS e pela Supabase; não operamos data centers próprios.
• Mantemos um plano de continuidade de negócios por escrito, revisado pelo menos uma vez por ano.
• Temos um procedimento por escrito para testar a restauração do nosso banco de dados a partir de um backup. Um exercício de restauração somente do banco de dados foi concluído e a cópia temporária foi removida. A recuperação completa do aplicativo, da autenticação e do armazenamento de objetos, bem como o acesso independente de um operador alternativo, ainda precisam ser verificados.

Gerenciamento de alterações e integridade do processamento

• As alterações de código chegam à nossa branch principal por meio de solicitações de merge que devem passar pelas verificações obrigatórias do pipeline, incluindo verificação de segredos, verificações de migração do banco de dados e uma verificação de que as declarações de segurança e privacidade neste site ainda correspondem ao código. A produção é liberada somente a partir dessa branch. Um teste automatizado falha se uma verificação obrigatória for removida ou tiver sua falha permitida.
• As fragilidades conhecidas no código são registradas nas linhas de base e no nosso registro de evidências de conformidade. Uma alteração que adicione uma nova fragilidade, como um manipulador de erros que descarte silenciosamente um erro ou uma declaração publicada cujo código de suporte tenha sido alterado, é bloqueada até que seja corrigida ou registrada.
• A maioria dos endpoints de escrita da nossa API verifica cada corpo de solicitação em relação a um esquema declarado e recusa uma solicitação que não corresponda, retornando um erro 400.
• Cada execução dos nossos mecanismos de detecção registra, para cada detector, se ele foi concluído e quantos resultados retornou, ou se falhou. Uma falha é registrada como falha, nunca como “nenhuma descoberta”.