1. Abordarea securității
DIRI AI folosește controale bazate pe risc, menite să protejeze confidențialitatea, integritatea și disponibilitatea. Securitatea este partajată: DIRI AI protejează serviciul și infrastructura configurată; clienții își protejează utilizatorii, dispozitivele, credențialele, alegerile privind conținutul și deciziile administratorilor.
Această prezentare descrie designul controalelor. Ea nu pretinde că DIRI AI deține certificare ISO 27001, SOC 2 sau PCI DSS, acoperire prin teste de penetrare sau un serviciu neîntrerupt. Certificările furnizorilor nu devin certificări ale DIRI AI.
2. Controale de identitate, acces și chiriași
Controalele includ:
- identități unice de utilizator și cookie-uri de sesiune de producție protejate;
- autorizare pe server, bazată pe roluri și limitată la fiecare chiriaș;
- invitații, roluri și eliminarea membrilor gestionate de administrator;
- acces cu privilegii minime la sistemele de producție și la conturile furnizorilor;
- medii și configurații de producție și de non-producție separate;
- limite de frecvență și controale împotriva abuzului; și
- jurnale de audit pentru evenimentele de administrare și de abonament relevante pentru securitate.
DIRI AI testează accesul între chiriași, revizuiește privilegiile și verifică controalele de recuperare a conturilor. Autentificarea multifactor ar trebui activată pe conturile furnizorilor și pe cele privilegiate și pusă la dispoziția clienților, atunci când este acceptată.
3. Protecția datelor
Traficul acceptat folosește TLS în tranzit. Furnizorii gestionați criptează datele stocate în repaus folosind controalele lor standard, iar informațiile despre furnizori și transferuri se găsesc în Lista persoanelor împuternicite subsecvente. Secretele trebuie păstrate în afara codului sursă și a jurnalelor obișnuite. Introducerea cardului de plată este delegată furnizorului de plăți, astfel încât DIRI AI nu are nevoie de numărul complet al cardului.
Stocarea înregistrărilor vocale este dezactivată în mod implicit. Telemetria trebuie curățată, iar Conținutul Clientului trebuie exclus din jurnalele de rutină acolo unde este posibil. Depanarea în producție trebuie să fie limitată în timp, autorizată și înregistrată.
4. Securitatea aplicațiilor
DIRI AI folosește revizuirea modificărilor, teste automate, verificări ale dependențelor și ale secretelor, controale de intrare de încredere și apeluri inverse semnate ale furnizorilor pentru a proteja modificările aplicației și integrările externe.
Accesul furnizorilor, înregistrarea și facturarea sunt protejate de controalele aplicabile de acces, juridice, de facturare și de securitate. Aceste controale nu sunt slăbite doar pentru a face o funcție disponibilă.
5. Monitorizare și răspuns la incidente
Serviciul folosește telemetrie curățată a erorilor aplicației, metrici operaționale, jurnale de audit și evenimente ale furnizorilor. DIRI AI revizuiește acoperirea monitorizării, cotele, livrarea alertelor și responsabilitatea operațională după modificări importante. Metricile interne nu sunt analiză de marketing.
Incidentele suspectate sunt triate, limitate, investigate, remediate și documentate conform Politicii de securitate și de notificare a incidentelor. Obligațiile privind încălcările securității datelor cu caracter personal sunt evaluate separat de evenimentele obișnuite de disponibilitate.
6. Disponibilitate, copii de rezervă și recuperare
Arhitectura folosește furnizori gestionați de găzduire, bază de date, cache și cozi și stocare de obiecte. DIRI AI testează configurația copiilor de rezervă, a restaurării, a reîncercării cozilor și a ciclului de viață al datelor. Niciun obiectiv privind timpul de recuperare sau punctul de recuperare nu este promis în planurile standard până când nu este măsurat formal și contractat.
Planurile standard nu au SLA procentual de disponibilitate. Acest lucru nu limitează drepturile imperative ale consumatorului privind conformitatea și remediile.
7. Riscul furnizorilor
Furnizorii sunt evaluați în privința scopului, accesului, termenilor contractuali, informațiilor de securitate, locurilor de prelucrare, mecanismului de transfer, păstrării și ștergerii. Se trimit numai datele minime necesare. Lista persoanelor împuternicite subsecvente identifică furnizorii folosiți pentru funcțiile acoperite.
8. Responsabilitățile clientului
Clienții trebuie să:
- folosească credențiale puternice și unice și autentificare multifactor, atunci când este disponibilă;
- mențină actualizate dispozitivele, browserele și integrările;
- acorde rolurile minime, verifice componența și elimine prompt persoanele care pleacă;
- evite încărcarea de date sensibile inutile sau a datelor unor clienți reali;
- verifice exporturile înainte de închiderea contului și protejeze fișierele descărcate;
- configureze păstrarea legală și informările către angajați; și
- raporteze prompt orice suspiciune de compromitere, fără a dezvălui public detalii exploatabile.
9. Raportarea vulnerabilităților
Trimiteți un raport concis la security@diriai.com, cu ruta afectată, pașii de reproducere, impactul și o dovadă sigură. Nu accesați datele altui client, nu perturbați serviciul, nu folosiți inginerie socială, nu exfiltrați date și nu cereți plată. Opriți testarea după confirmarea problemei și acordați un timp rezonabil pentru investigare.
Nu există un program public de recompense pentru erori și nici un program larg de protecție („safe harbour”), cu excepția cazului în care este publicat separat. Rapoartele făcute cu bună-credință vor fi tratate responsabil, dar această prezentare nu autorizează o conduită care ar fi altfel ilegală.
10. Contact și versiune
Raportări de securitate: security@diriai.com. Incidente privind confidențialitatea: privacy@diriai.com. Versiunea: 1.2.0. Data: 30 august 2026.