Segurança · Confiança
Self-hosted por conceção. Os dados de governação ficam em infraestrutura sob o seu controlo.
Olivares processa prompts e saídas de sessões governadas. O gravador de E/S calcula um resumo SHA-256 de cada quadro e encadeia o resumo e o tamanho, ancorados no registo de auditoria; não armazena o conteúdo do quadro.
Tratamento de dados
Aquilo em que tocamos, e aquilo que fica consigo
As sessões processam prompts e saídas; a gravação guarda resumos como evidência, não o seu conteúdo. Os dados de governação ficam na sua infraestrutura por omissão. As ferramentas do fornecedor guardam as suas transcrições no diretório de configuração do seu servidor; libertar a sessão não as elimina. Os fornecedores alojados recebem o que a sessão envia. Mensagens de canais de comunicação são armazenadas com a proteção de conteúdo configurada para o canal.
Corre na sua infraestrutura
O autoalojamento dá controlo do servidor e do armazenamento. Chamadas a modelos alojados, fontes ligadas e exportações configuradas podem atravessar o seu perímetro de rede.
Evidência de gravação das sessões
A gravação encadeia resumos SHA-256 e tamanhos dos quadros, ancorados no registo de auditoria, sem guardar bytes de prompts ou saídas. É automática nos arranques críticos e também pode ser solicitada pela política ou pelo operador.
Ocultação de segredos
Valores secretos do cofre configurado são ocultados antes de a saída chegar ao gravador. Dados pessoais podem aparecer em prompts, saídas, transcrições do fornecedor e mensagens de comunicação armazenadas. A ferramenta do fornecedor escreve as suas transcrições fora desse caminho de ocultação.
Descoberta e ações dos agentes
A descoberta passiva lê fontes configuradas. Os agentes operados podem agir através das suas ferramentas; reveja permissões, políticas e credenciais antes do arranque.
Destinos de rede
Por exemplo, a ativação e renovação de licenças Business contactam o serviço de licenças; fornecedores alojados e integrações configuradas usam ligações de rede. O autoalojamento não torna essas operações offline.
Limites da retenção
Gravações e evidências do registo de auditoria permitem apenas acréscimos (append-only): uma configuração de retenção não as elimina. Transcrições do fornecedor no seu servidor seguem a retenção da ferramenta. Olivares não define a retenção de um serviço externo.
Divulgação de vulnerabilidades
Reportar um problema de segurança
Acolhemos a divulgação coordenada e agimos de boa-fé com os investigadores que fazem o mesmo. As descobertas no próprio modelo de segurança são explicitamente bem-vindas.
Comunique em privado para
security@olivares.aiPor favor, não abra uma issue, um pull request ou uma discussão pública para uma suspeita de vulnerabilidade. O PGP está disponível mediante pedido antes de enviar detalhes.
O que esperar
- Confirmação de receção no prazo de 3 dias úteis
- Avaliação inicial no prazo de 10 dias úteis
- Divulgação coordenada até 90 dias, mais cedo se uma correção for lançada
Por favor, não envie
Sem segredos, credenciais ou tokens reais (oculte-os), sem dados pessoais de clientes ou de terceiros nem dumps de produção, e sem exploração ativa de sistemas que não lhe pertencem. Descreva o impacto sensível em vez de o anexar — combinaremos um canal seguro.
A linha suportada é a última versão etiquetada; as correções de segurança entram em main e são publicadas na versão etiquetada seguinte.
Subcontratantes
Quem mais trata dados
Este sítio web não utiliza subcontratantes de analítica, publicidade ou rastreio. É um sítio estático com tipos de letra self-hosted, uma Content-Security-Policy estrita de mesma origem e sem cookies. É servido através de uma rede de distribuição de conteúdos, que trata apenas os metadados de ligação necessários para entregar a página — não recolhemos dados pessoais quando navega.
Olivares é software autoalojado. Escolhe os fornecedores de modelos e os destinos de saída ou telemetria. Os serviços do nosso sítio, licenciamento e comunicações estão listados separadamente no Centro de confiança.
Centro de confiançaTratamento de dados
Acordo de Tratamento de Dados (Art. 28.º do RGPD)
Um Acordo de Tratamento de Dados está disponível mediante pedido para aprovisionamento empresarial. Como a Olivares AI é self-hosted, na maioria das implementações você permanece o responsável pelo tratamento e o subcontratante dos seus próprios dados dentro da sua própria infraestrutura; ainda assim, é possível celebrar um DPA para formalizar as responsabilidades de uma relação comercial.
Postura de conformidade
Honestos sobre onde estamos
A Olivares AI não está certificada ao abrigo da SOC 2, da ISO/IEC 27001, do Regulamento da IA da UE ou de qualquer outro referencial, e nenhuma auditoria está em curso. Concebemos o produto para mapear os controlos que esses referenciais examinam — registo de auditoria, controlo de acesso, integridade, cifragem e gestão de alterações — para que esteja pronto a ser auditado quando chegar a altura. A certificação formal (por exemplo, SOC 2 Type 2) é um passo posterior que a arquitetura foi construída para permitir; não condiciona o primeiro lançamento.
Referenciais para os quais concebemos
-
SOC 2 / ISO 27001
Objetivos de controlo para os quais concebemos — não certificados, no roteiro.
-
Regulamento da IA da UE
Concebido para apoiar as suas expectativas de controlo e documentação.
-
CSA MAESTRO
Uma metodologia de modelação de ameaças com a qual comparamos — não uma norma certificável.
-
Ameaças agênticas OWASP
Mapeado face à lista de ameaças agênticas e de mitigação.
-
Orientações CISA / NIST
Orientações, não uma norma certificável — conceção-orientada, sem alegação de conformidade.
Sempre que descrevemos alinhamento com referenciais externos, trata-se de um mapeamento técnico, não de uma certificação — e, para normas que ainda não são finais, é um sinal de conceção-orientada sem qualquer alegação de conformidade.
Integridade do build
- Os lançamentos são assinados criptograficamente, incluem um inventário de componentes de software (SBOM) e transportam a proveniência do build.
- Um único binário estático, seguro em termos de memória, em imagens de contentor mínimas e endurecidas.
- Dependências mínimas e fixadas — sem scripts de instalação que executem código não verificado.
- A análise de dependências e de segredos valida cada alteração na CI.
Estas garantias aplicam-se a todas as versões etiquetadas.
Objetivos de remediação
- Crítica 7 dias
- Alta 14 dias
- Média 30 dias
- Baixa próximo lançamento agendado
A nossa cadência de remediação comprometida, em vigor no primeiro lançamento etiquetado. As vulnerabilidades ativamente exploradas são tratadas como críticas.
Business: segurança em tempo de execução e as suas próprias chaves
O Community inclui guardrails, DLP de saída e as verificações deny-closed. O Business acrescenta um firewall de conteúdo, verificações de saída de ferramentas de servidor e de uso do computador, um circuit breaker, fixação de ferramentas MCP, inteligência de ameaças e chaves no seu próprio serviço de chaves.
Questões de confiança
Para onde vão os meus dados?
As sessões processam prompts e saídas; a gravação guarda resumos como evidência, não o seu conteúdo. Os dados de governação ficam na sua infraestrutura por omissão. As ferramentas do fornecedor guardam as suas transcrições no diretório de configuração do seu servidor; libertar a sessão não as elimina. Os fornecedores alojados recebem o que a sessão envia. Mensagens de canais de comunicação são armazenadas com a proteção de conteúdo configurada para o canal.
Estão certificados pela SOC 2 ou pela ISO 27001?
Ainda não. O produto foi concebido para mapear os objetivos de controlo da SOC 2 e da ISO 27001, de modo a estar pronto a ser auditado, mas a certificação formal está no roteiro e não foi obtida. Não alegaremos uma certificação que não detemos.
Como comunico uma vulnerabilidade de segurança?
Envie um e-mail em privado para security@olivares.ai — por favor, não abra uma issue pública. A nossa política completa, incluindo os prazos de resposta, está nesta página e é referenciada a partir de /.well-known/security.txt (RFC 9116). Reconhecemos a receção no prazo de três dias úteis.
Oferecem um DPA?
Sim, um Acordo de Tratamento de Dados ao abrigo do Artigo 28.º do RGPD está disponível mediante pedido para aprovisionamento empresarial. Contacte enterprise@olivares.ai.
Questões da sua equipa de segurança ou de aprovisionamento?
Comunique uma vulnerabilidade ao nosso contacto de segurança, ou entre em contacto para aprovisionamento, um DPA ou uma revisão de segurança.