มาตรฐานความปลอดภัย

ที่ ProcureLabs ความปลอดภัยเป็นพื้นฐานสำคัญของแพลตฟอร์มของเรา หน้านี้อธิบายมาตรการที่ใช้เพื่อปกป้องข้อมูลการจัดซื้อของคุณ รวมถึงขอบเขตที่มาตรการเหล่านั้นครอบคลุมและไม่ครอบคลุม

การรับรองและการปฏิบัติตามข้อกำหนด

การเข้ารหัสข้อมูล

ความปลอดภัยของโครงสร้างพื้นฐาน

• โครงสร้างพื้นฐานคลาวด์: โฮสต์บน AWS ซึ่งได้รับการรับรอง SOC 2, ISO 27001 และ PCI DSS การรับรองเหล่านี้เป็นของ AWS ไม่ใช่ ProcureLabs
• การแยกข้อมูล: เปิดใช้การรักษาความปลอดภัยระดับแถวในตารางฐานข้อมูลที่เก็บข้อมูลลูกค้า ดังนั้นคำค้นหาของผู้ใช้ที่ลงชื่อเข้าใช้จะแสดงเฉพาะแถวขององค์กรตนเอง งานเบื้องหลังและเส้นทางการดูแลระบบที่ทำงานด้วยสิทธิ์เข้าถึงฐานข้อมูลระดับสูงจะไม่ผ่านการรักษาความปลอดภัยระดับแถว แต่จะใช้ตัวกรองผู้เช่าในโค้ดแอปพลิเคชัน
• ความพร้อมใช้งาน: AWS region เดียว (Singapore); ไม่มีการสลับการทำงานข้ามภูมิภาค
• การกู้คืนจากภัยพิบัติ: การสำรองข้อมูลฐานข้อมูลพร้อมการกู้คืน ณ จุดเวลาที่กำหนด ซึ่งให้บริการโดยผู้ให้บริการโฮสต์ฐานข้อมูลของเรา (Supabase)

การควบคุมการเข้าถึง

การตรวจสอบและการตอบสนองด้านความปลอดภัย

• การจัดการช่องโหว่: คำขอผสานทุกคำขอจะถูกสแกนหาข้อมูลลับที่ถูก commit ไว้ (Gitleaks) และช่องโหว่ร้ายแรงใน dependency ที่แก้ไขได้ (Trivy)
• การตอบสนองต่อเหตุการณ์: ผู้ก่อตั้งของ ProcureLabs เป็นผู้จัดการเหตุการณ์โดยใช้ playbook การตอบสนองต่อเหตุการณ์ของแพลตฟอร์ม และจะแจ้งลูกค้าที่ได้รับผลกระทบทางอีเมล
• สามารถรายงานปัญหาด้านความปลอดภัยไปยังผู้ติดต่อด้านความปลอดภัยของเราด้านล่าง

ความปลอดภัยในการประมวลผลข้อมูล AI

ฟีเจอร์ AI ของเราได้รับการออกแบบโดยคำนึงถึงความปลอดภัยและความเป็นส่วนตัว:

• การประมวลผลโดย OpenAI OpenAI รองรับการสนทนา การวิเคราะห์ และการประเมินแบบจำกัดของ Decisions สำหรับการเลือกเครื่องมือและหลักฐานการจัดซื้อ ภายใต้การอนุญาตปัจจุบันของลูกค้าและการกำหนดค่าภูมิภาคที่ตกลงกัน Decisions รับบริบทและคำถามที่ลดข้อมูลให้เหลือน้อยที่สุดและปกปิดข้อมูลอ่อนไหวเพื่อวัตถุประสงค์ที่ได้รับอนุญาต ข้อมูล OpenAI API จะใช้ฝึกโมเดลต่อเมื่อเลือกเข้าร่วมอย่างชัดแจ้งเท่านั้น Decisions อาจเก็บสถานะแคชพรอมป์ต์ที่เข้ารหัสไว้ได้สูงสุด 24 ชั่วโมง และบันทึกการตรวจสอบการใช้งานในทางที่ผิดตามมาตรฐานได้สูงสุด 30 วัน โดยอยู่ภายใต้ข้อยกเว้นด้านความมั่นคงปลอดภัย ความปลอดภัย หรือกฎหมายที่ใช้บังคับ
• การอนุญาตให้ Decisions ประมวลผล การประมวลผลของ Decisions ต้องมีคำสั่งปัจจุบันจากลูกค้าและการอนุญาตสำหรับวัตถุประสงค์ บัญชี ผู้ประมวลผล และการโอนข้อมูลไปยังสหรัฐฯ ที่ระบุ การปิด AI หรือถอนอำนาจอนุญาตที่เกี่ยวข้องจะป้องกันคำขอ Decisions ใหม่ การดำเนินการที่มีผลกระทบยังคงอยู่ภายใต้มาตรการคุ้มครองที่จำเป็นและการตรวจสอบโดยอิสระ
• การเก็บรักษาเป็นไปตามประเภทข้อมูล คำสั่งของลูกค้า คำสั่งให้เก็บรักษาเพื่อกระบวนการทางกฎหมาย และเงื่อนไขของผู้ให้บริการ ประวัติการสนทนา เนื้อหาที่ได้จากการประมวลผล บันทึกการตรวจสอบ และบันทึกของผู้ให้บริการมีเงื่อนไขการเก็บรักษาแยกกัน คำขอลบข้อมูลดำเนินการตามข้อตกลงการประมวลผลข้อมูลและกฎหมายที่ใช้บังคับ
• ผู้ดูแลระบบสามารถปิดใช้ฟีเจอร์ AI ที่เป็นตัวเลือกได้
• ผู้ดูแลระบบสามารถปิดฟีเจอร์ AI สำหรับทั้งองค์กรได้ หรือผู้ใช้แต่ละรายสามารถปิดสำหรับตนเองได้
• บันทึกการตรวจสอบการตัดสินใจเกี่ยวกับการดำเนินการที่ AI เสนอ

ถิ่นที่อยู่ของข้อมูล

ข้อมูลลูกค้าทั้งหมดจัดเก็บอยู่ในภูมิภาคเดียว ฟีเจอร์ AI จะประมวลผลข้อมูลที่จำเป็นกับผู้ให้บริการ AI ในสหรัฐอเมริกา ปัจจุบันยังไม่มีภูมิภาคจัดเก็บข้อมูลเพิ่มเติม

การกำกับดูแล

• เราจัดทำนโยบายความปลอดภัยของข้อมูลเป็นลายลักษณ์อักษร พร้อมดัชนีนโยบายและขั้นตอนปฏิบัติของเรา และทบทวนอย่างน้อยปีละหนึ่งครั้ง
• เราจัดทำจรรยาบรรณเป็นลายลักษณ์อักษร ซึ่งครอบคลุมความซื่อสัตย์ การรักษาความลับ และผลประโยชน์ทับซ้อน
• ProcureLabs มีผู้ก่อตั้งสามคน David Hodge ซึ่งเป็น CEO และ Director รับผิดชอบด้านความปลอดภัยและการคุ้มครองข้อมูล การทบทวนโดยผู้ร่วมก่อตั้งและการจัดเตรียมการกู้คืนโดยผู้ดำเนินการอิสระอยู่ระหว่างการจัดทำเอกสารและการตรวจสอบยืนยัน
• เราจัดทำทะเบียนความเสี่ยงเป็นลายลักษณ์อักษร และทบทวนอย่างน้อยปีละหนึ่งครั้ง รวมถึงก่อนการเปลี่ยนแปลงที่มีนัยสำคัญ
• เราจัดทำกระบวนการตรวจสอบและทบทวนผู้ประมวลผลข้อมูลช่วงต่อเป็นลายลักษณ์อักษร AWS และ Supabase เป็นผู้จัดเตรียมความปลอดภัยทางกายภาพของเซิร์ฟเวอร์ที่ใช้รัน ProcureLabs เราไม่ได้ดำเนินการศูนย์ข้อมูลของตนเอง
• เราจัดทำแผนความต่อเนื่องทางธุรกิจเป็นลายลักษณ์อักษร และทบทวนอย่างน้อยปีละหนึ่งครั้ง
• เรามีขั้นตอนปฏิบัติเป็นลายลักษณ์อักษรสำหรับการทดสอบกู้คืนฐานข้อมูลจากข้อมูลสำรอง การทดสอบกู้คืนเฉพาะฐานข้อมูลเสร็จสิ้นแล้ว และสำเนาชั่วคราวถูกลบออกแล้ว การกู้คืนแอปพลิเคชัน ระบบยืนยันตัวตน และพื้นที่จัดเก็บอ็อบเจกต์แบบเต็ม รวมถึงการเข้าถึงโดยผู้ดำเนินการสำรองอิสระ ยังคงรอการตรวจสอบยืนยัน

การจัดการการเปลี่ยนแปลงและความถูกต้องครบถ้วนของการประมวลผล

• การเปลี่ยนแปลงโค้ดจะเข้าสู่ branch หลักผ่านคำขอผสานที่ต้องผ่านการตรวจสอบของ pipeline ซึ่งกำหนดไว้ รวมถึงการสแกนข้อมูลลับ การตรวจสอบการย้ายฐานข้อมูล และการตรวจสอบว่าข้อความด้านความปลอดภัยและความเป็นส่วนตัวบนเว็บไซต์นี้ยังคงตรงกับโค้ด การเผยแพร่สู่ระบบใช้งานจริงจะดำเนินการจาก branch ดังกล่าวเท่านั้น การทดสอบอัตโนมัติจะล้มเหลวหากมีการนำการตรวจสอบที่จำเป็นออกหรืออนุญาตให้การตรวจสอบนั้นล้มเหลว
• จุดอ่อนที่ทราบในโค้ดจะถูกบันทึกไว้ใน baseline และทะเบียนหลักฐานการปฏิบัติตามข้อกำหนดของเรา การเปลี่ยนแปลงที่เพิ่มจุดอ่อนใหม่ เช่น ตัวจัดการข้อผิดพลาดที่ทิ้งข้อผิดพลาดโดยไม่แจ้งเตือน หรือข้อความที่เผยแพร่แล้วแต่โค้ดสนับสนุนมีการเปลี่ยนแปลง จะถูกระงับจนกว่าจะได้รับการแก้ไขหรือบันทึกไว้
• Endpoint สำหรับการเขียนส่วนใหญ่ใน API ของเราจะตรวจสอบ body ของแต่ละคำขอกับ schema ที่ประกาศไว้ และปฏิเสธคำขอที่ไม่ตรงกันด้วยข้อผิดพลาด 400
• การทำงานแต่ละครั้งของ engine ตรวจจับของเราจะบันทึกสำหรับ detector ทุกตัวว่าเสร็จสมบูรณ์หรือไม่และส่งคืนผลลัพธ์จำนวนเท่าใด หรือบันทึกว่าล้มเหลว การล้มเหลวจะถูกบันทึกว่าเป็นการล้มเหลว ไม่ใช่ “ไม่พบสิ่งที่ต้องรายงาน”