Bezpieczeństwo · Zaufanie

Samodzielnie hostowany z założenia. Dane governance pozostają w infrastrukturze pod Państwa kontrolą.

Olivares przetwarza prompty i wyniki zarządzanych sesji. Rejestrator wejścia/wyjścia oblicza SHA-256 każdej ramki i włącza skrót oraz długość do łańcucha zakotwiczonego w dzienniku audytu; nie przechowuje treści ramki.

Postępowanie z danymi

Czego dotykamy i co pozostaje u Państwa

Sesje przetwarzają prompty i wyniki; nagrywanie zachowuje skróty jako dowody, nie ich treść. Dane governance domyślnie pozostają w Państwa infrastrukturze. Narzędzia dostawcy zapisują własne transkrypcje w katalogu konfiguracji na hoście; zwolnienie sesji ich nie usuwa. Dostawcy hostowani otrzymują dane wysyłane przez sesję. Wiadomości kanałów komunikacji są przechowywane z ochroną treści skonfigurowaną dla kanału.

Działa w Państwa infrastrukturze

Samodzielny hosting daje kontrolę nad serwerem i pamięcią. Wywołania hostowanych modeli, połączone źródła i skonfigurowane eksporty mogą przekraczać granicę sieci.

Dowody nagrywania sesji

Nagrywanie włącza skróty SHA-256 i długości ramek do łańcucha wykrywającego zmiany, zakotwiczonego w dzienniku audytu, bez zapisywania bajtów promptów lub wyników. Jest automatyczne przy krytycznych uruchomieniach; może go też zażądać polityka lub operator.

Maskowanie sekretów

Wartości tajne ze skonfigurowanego sejfu są maskowane, zanim wynik dotrze do rejestratora. Dane osobowe mogą występować w promptach, wynikach, transkrypcjach dostawcy i zapisanych wiadomościach komunikacyjnych. Narzędzie dostawcy zapisuje własne transkrypcje poza tą ścieżką maskowania.

Wykrywanie i działania agentów

Pasywne wykrywanie czyta skonfigurowane źródła. Zarządzane agenty mogą działać przez swoje narzędzia; przed uruchomieniem należy sprawdzić uprawnienia, polityki i dane uwierzytelniające.

Miejsca docelowe w sieci

Na przykład aktywacja i odnowienie licencji Business kontaktują się z usługą licencji; hostowani dostawcy i skonfigurowane integracje korzystają z sieci. Własna infrastruktura nie sprawia, że te operacje działają offline.

Granice retencji

Nagrania i dowody dziennika audytu pozwalają tylko na dopisywanie (append-only): ustawienie retencji ich nie usuwa. Transkrypcje dostawcy na hoście podlegają zasadom jego narzędzia. Olivares nie określa retencji zewnętrznej usługi.

Zgłaszanie podatności

Zgłoś problem z bezpieczeństwem

Z zadowoleniem przyjmujemy skoordynowane zgłaszanie podatności i działamy w dobrej wierze wobec badaczy, którzy postępują tak samo. Szczególnie mile widziane są ustalenia dotyczące samego modelu bezpieczeństwa.

Zgłoś prywatnie na

security@olivares.ai

Prosimy nie otwierać publicznego zgłoszenia, pull requestu (żądania pobrania) ani dyskusji w sprawie podejrzewanej podatności. Na życzenie udostępniamy PGP, zanim prześlą Państwo szczegóły.

Pełna polityka Polityka zgłaszania podatności (SECURITY.md) Kontakt w formie odczytywalnej maszynowo /.well-known/security.txt (RFC 9116)

Czego można się spodziewać

Potwierdzenie odbioru w ciągu 3 dni roboczych
Wstępna ocena w ciągu 10 dni roboczych
Skoordynowane ujawnienie do 90 dni, wcześniej jeśli poprawka zostanie wdrożona

Prosimy nie przesyłać

Żadnych prawdziwych sekretów, poświadczeń ani tokenów (prosimy je zredagować), żadnych danych osobowych klientów lub osób trzecich ani zrzutów produkcyjnych, ani żadnej aktywnej eksploatacji systemów, których nie są Państwo właścicielami. Prosimy opisać wrażliwy wpływ zamiast go załączać — zorganizujemy bezpieczny kanał.

Wspierana jest najnowsza wersja oznaczona tagiem; poprawki bezpieczeństwa trafiają do gałęzi main i są publikowane w kolejnym wydaniu oznaczonym tagiem.

Podprocesorzy

Kto jeszcze przetwarza dane

Ta witryna nie korzysta z żadnych podprocesorów analitycznych, reklamowych ani śledzących. Jest to statyczna strona z samodzielnie hostowanymi czcionkami, ścisłą polityką Content-Security-Policy w obrębie tej samej domeny (same-origin) i bez plików cookie. Jest serwowana przez sieć dostarczania treści (CDN), która obsługuje wyłącznie metadane połączenia niezbędne do dostarczenia strony — podczas przeglądania nie zbieramy żadnych danych osobowych.

Olivares to oprogramowanie do samodzielnego hostingu. Wybierają Państwo dostawców modeli oraz miejsca wyjścia lub telemetrii. Usługi naszej witryny, licencjonowania i komunikacji wymieniono osobno w Centrum zaufania.

Centrum zaufania

Przetwarzanie danych

Umowa powierzenia przetwarzania danych (art. 28 RODO)

Umowa powierzenia przetwarzania danych jest dostępna na życzenie na potrzeby zakupów korporacyjnych. Ponieważ Olivares AI jest hostowany samodzielnie, w większości wdrożeń pozostają Państwo administratorem i podmiotem przetwarzającym własne dane w obrębie własnej infrastruktury; umowę powierzenia można jednak zawrzeć, aby sformalizować obowiązki w ramach relacji handlowej.

Poproś o umowę powierzenia

Postawa wobec zgodności

Uczciwie o tym, na jakim jesteśmy etapie

Olivares AI nie posiada certyfikatów SOC 2, ISO/IEC 27001, unijnego aktu o sztucznej inteligencji (EU AI Act) ani żadnego innego standardu, a żaden audyt nie jest w toku. Projektujemy produkt tak, aby odpowiadał kontrolom badanym przez te standardy — rejestrowaniu w dzienniku audytu, kontroli dostępu, integralności, szyfrowaniu i zarządzaniu zmianami — aby był gotowy do audytu, gdy nadejdzie odpowiedni moment. Formalna certyfikacja (na przykład SOC 2 Type 2) to późniejszy krok, który architektura ma umożliwiać; nie warunkuje ona pierwszego wydania.

Standardy, do których projektujemy

SOC 2 / ISO 27001

Cele kontrolne, do których projektujemy — niecertyfikowane, w planie rozwoju.
EU AI Act

Zaprojektowany tak, aby wspierać oczekiwania w zakresie kontroli i dokumentacji.
CSA MAESTRO

Metodyka modelowania zagrożeń, do której się odnosimy — nie jest to standard podlegający certyfikacji.
Zagrożenia agentowe OWASP

Zmapowane na liście zagrożeń agentowych i sposobów ich łagodzenia.
Wytyczne CISA / NIST

Wytyczne, a nie standard podlegający certyfikacji — projektowanie w ich kierunku, bez deklaracji zgodności.

Tam, gdzie opisujemy zgodność z zewnętrznymi standardami, jest to mapowanie techniczne, a nie certyfikacja — a w przypadku standardów, które nie są jeszcze ostateczne, jest to sygnał projektowania w ich kierunku, bez deklaracji zgodności.

Integralność kompilacji

Wydania są kryptograficznie podpisane, dostarczane z wykazem składników oprogramowania (SBOM) i opatrzone informacją o pochodzeniu kompilacji (build provenance).
Pojedynczy, bezpieczny pamięciowo statyczny plik binarny w minimalnych, utwardzonych obrazach kontenerów.
Minimalne, przypięte zależności — żadnych skryptów instalacyjnych uruchamiających niezweryfikowany kod.
Skanowanie zależności i sekretów blokuje każdą zmianę w CI.

Te gwarancje obowiązują dla każdego wydania oznaczonego tagiem.

Cele naprawcze

Krytyczna 7 dni
Wysoka 14 dni
Średnia 30 dni
Niska następne zaplanowane wydanie

Nasz zadeklarowany rytm naprawiania, obowiązujący od pierwszego wydania oznaczonego tagiem. Aktywnie wykorzystywane podatności są traktowane jako krytyczne.

Business: bezpieczeństwo w czasie działania i własne klucze

Community obejmuje zabezpieczenia, DLP na wyjściu i sprawdzenia deny-closed. Business dodaje zaporę treści, sprawdzanie wyjścia narzędzi serwerowych i użycia komputera, circuit breaker, przypinanie narzędzi MCP, analizę zagrożeń i klucze we własnej usłudze kluczy.

Co dodaje Business

Pytania o zaufanie

Dokąd trafiają moje dane?

Czy posiadają Państwo certyfikat SOC 2 lub ISO 27001?

Jeszcze nie. Produkt zaprojektowano tak, aby odpowiadał celom kontrolnym SOC 2 i ISO 27001, dzięki czemu jest gotowy do audytu, ale formalna certyfikacja jest w planie rozwoju i nie została jeszcze uzyskana. Nie będziemy deklarować certyfikatu, którego nie posiadamy.

Jak zgłosić podatność bezpieczeństwa?

Prosimy o prywatną wiadomość e-mail na security@olivares.ai — prosimy nie otwierać publicznego zgłoszenia. Nasza pełna polityka, wraz z terminami odpowiedzi, znajduje się na tej stronie, a odnośnik do niej prowadzi z /.well-known/security.txt (RFC 9116). Potwierdzamy odbiór w ciągu trzech dni roboczych.

Czy oferują Państwo umowę powierzenia przetwarzania danych?

Tak, umowa powierzenia przetwarzania danych zgodna z art. 28 RODO jest dostępna na życzenie na potrzeby zakupów korporacyjnych. Prosimy o kontakt: enterprise@olivares.ai.

Pytania od Państwa zespołu ds. bezpieczeństwa lub zakupów?

Zgłoś podatność do naszego kontaktu ds. bezpieczeństwa lub skontaktuj się w sprawie zakupów, umowy powierzenia przetwarzania danych albo przeglądu bezpieczeństwa.

Zgłoś podatność Skontaktuj się z działem zakupów