White paper de segurança

1. Escopo e modelo de serviço

A Phaseo oferece um catálogo público de modelos de IA, um painel para clientes e um gateway de API que encaminha solicitações a provedores externos de IA. Este documento abrange o aplicativo, o gateway, os armazenamentos de dados e as integrações operacionais controlados pela Phaseo. Ele não atesta os controles operados por um provedor de IA nem por um destino configurado pelo cliente.

O site público funciona como um aplicativo Next.js hospedado na Vercel e entregue por trás da Cloudflare. O gateway roda na Cloudflare Workers. A Supabase fornece autenticação e o principal banco de dados relacional. Os demais serviços estão no registro de subprocessadores.

2. Fluxo de dados do gateway

3. Opções e exceções de armazenamento de conteúdo

A Phaseo não promete retenção zero de dados em todos os casos. Além do cache de resposta de curta duração, as escolhas do cliente a seguir podem ampliar o armazenamento de conteúdo:

• Registro privado de I/O: Uma configuração do espaço de trabalho, disponível apenas quando o recurso está habilitado, pode armazenar solicitações, respostas e cargas opcionais do provedor no Cloudflare R2 privado por 90, 180 ou 365 dias. Fica desativada por padrão.
• Contribuição de dados: Uma adesão explícita pode capturar prompts e respostas bem-sucedidos sem BYOK no Cloudflare R2 privado por até 30 dias. A Phaseo aplica redação de melhor esforço, mas isso não deve ser tratado como garantia. Uma amostra configurada é enviada à OpenAI, com o armazenamento da API desativado, para classificação assíncrona de tarefas.
• Exportações de observabilidade e notificações: Destinos configurados pelo cliente podem receber prompts, saídas, metadados ou conteúdo de alertas, conforme as configurações escolhidas.
• APIs assíncronas e de mídia: Os provedores podem manter o estado de tarefas, arquivos, entradas ou recursos gerados pelos períodos que documentarem. A Phaseo armazena metadados de tarefas e cobrança necessários para reconciliar essas solicitações.

Desativar um recurso de armazenamento da Phaseo interrompe novas capturas após a propagação da alteração e a conclusão do trabalho em andamento. Isso não apaga dados já recebidos por um provedor de IA ou destino configurado pelo cliente.

4. Controles técnicos atuais

5. Software e gestão de mudanças

O repositório principal da Phaseo é público. As alterações usam controle de versão, arquivos de lock de dependências, verificações automatizadas de lint e tipos e testes automatizados direcionados. Validações de segurança cobrem limites selecionados de segredos, políticas de banco de dados, fluxos de autenticação e contratos do gateway.

Essas práticas reduzem riscos, mas não comprovam que toda alteração receba uma revisão formal de segurança nem que o serviço esteja livre de vulnerabilidades. A Phaseo não publica atualmente uma certificação de desenvolvimento seguro ou um controle de gestão de mudanças auditado de forma independente.

6. Disponibilidade e resposta a incidentes

A Phaseo usa infraestrutura gerenciada e roteamento baseado na integridade dos provedores para limitar algumas falhas. A página pública de status é hospedada pela incident.io. A Phaseo não oferece SLA contratual de disponibilidade para o serviço público e não afirma que os processos de resposta a incidentes ou continuidade de negócios tenham sido testados de forma independente.

Incidentes de segurança que envolvem dados pessoais são avaliados conforme as obrigações de notificação aplicáveis. A política pública de vulnerabilidades estabelece como meta confirmar o recebimento de relatos de boa-fé em até três dias úteis; trata-se de uma meta operacional, não de um prazo contratual para resolução.

7. Responsabilidades do cliente

• Não envie dados sensíveis ou regulamentados, a menos que a configuração escolhida da Phaseo e do provedor de IA seja adequada para esses dados.
• Revise os termos do provedor sobre retenção, treinamento, localização e uso aceitável antes de habilitar uma rota.
• Use listas de provedores permitidos e controles de roteamento privado quando a escolha da rota for importante.
• Proteja e rotacione credenciais de conta, API, gerenciamento, BYOK, webhook e OAuth.
• Limite os membros do espaço de trabalho e os escopos OAuth ao que cada pessoa ou aplicativo precisa.
• Revise as configurações de registro privado de I/O, contribuição de dados, cache de respostas, observabilidade e notificações antes de usar em produção.

8. Lacunas conhecidas de garantia

• A Phaseo não declara possuir certificações SOC 2, ISO 27001, PCI DSS, HIPAA ou equivalentes.
• A Phaseo não declara ter concluído um teste de invasão independente nem publicado um relatório de auditoria.
• Não há garantia universal de retenção zero de dados ou de ausência de treinamento para todos os provedores.
• Não há garantia de localização regional ponta a ponta aplicável a todas as rotas.
• Os períodos gerais de retenção de todas as categorias de contas, metadados, backups, suporte e logs operacionais ainda não foram reunidos em um único registro público.

9. Contato

Envie relatos de segurança para [email protected]. Envie dúvidas sobre privacidade, DPA e subprocessadores para [email protected].