אבטחה
אבטחה ב-DueVestor
איך אנו שומרים על הנתונים שלך — ועל נתוני הנושאים — בזמן העברה, במנוחה, ומול איום פנימי.
הצפנה
TLS 1.2+ בתעבורה (סיום ב-Cloudflare, צפנים מודרניים). גיבויי מסד הנתונים מוצפנים לפני שהם עוזבים את השרת.
בקרות גישה
הגישה לסביבת הייצור מוגבלת למפעיל-מייסד יחיד. פעולות ניהול רגישות נרשמות ביומן ביקורת (ADR-058) עם שמירה של שנתיים. הגישה ל-API היא לפי מפתח אטום (מגובב HMAC-SHA256; ADR-056) — דליפת מסד נתונים אינה מאפשרת שימוש חוזר במפתח ללא סוד האפליקציה.
חומת אש לאפליקציות ומניעת DDoS
DueVestor פועל מאחורי רשת Cloudflare ברמת Pro — המספקת חומת אש לאפליקציות אינטרנט (WAF), מניעת DDoS אוטומטית וסינון בוטים בקצה הרשת. חוקי WAF מנוהלים מגנים מפני 10 האיומים המובילים של OWASP לפני שהם מגיעים לשכבת האפליקציה.
דיווח על פגיעות
שלח דוא״ל ל[email protected] עם תיאור, שלבי שחזור ו-CVSS מוצע. אנו מתחייבים לאישור תוך 72 שעות ולתיקון-או-הסבר תוך 30 ימים. ללא תגמולים כספיים ב-v1; קרדיט בפוסט-מורטם אם תרצה.
מה אנו שולחים ל-LLM
הרכבת הדוחות מתבצעת ב-Google Cloud Vertex AI (EU Multi-Region), כאשר Amazon Web Services Bedrock (eu-central-1) משמש כנתיב האירופי השני. Anthropic משמש כגיבוי בלבד: אם שני הנתיבים האירופאים אינם זמינים, הדוח מושהה ומעובד דרך Anthropic בשרתים בארצות הברית רק לאחר הסכמה מפורשת ומתועדת של הלקוח (שמירת המידע אצל הספק: 30 יום). נתוני נושא הנשלחים ל-Anthropic נשלחים במסגרת חוזה האוסר אימון מודלים — הם אינם משמשים לאימון מודלים.
מעבדי-משנה
DueVestor משתמשת במעבדי-המשנה הבאים. נודיע ללקוחות 30 ימים מראש לפני הוספת מעבד חדש המעבד נתוני EU.
| ספק | מטרה | אזור |
|---|---|---|
| RunPod | Hosting — application, database, workers | EEA |
| Cloudflare | CDN + DNS + WAF + DDoS protection + file storage (R2) | Global |
| Google Cloud (Vertex AI) | LLM inference — first European route | EU Multi-Region |
| Amazon Web Services (Bedrock) | LLM inference — second European route | EU (eu-central-1) |
| Anthropic | LLM inference — fallback only, consent-gated for reports (no-training contract) | US |
| Resend | Transactional email | US |
| Twilio | SMS / phone verification | US |
| PayPal | Credit purchases | US |
| GitHub | Source code hosting (no user data) | US |
צריכים DPA חתום?
לקוחות יכולים לבקש הסכם עיבוד נתונים (DPA) חתום.
צפה / חתום על DPA →