Transporte criptografado
O serviço público da Phaseo é fornecido por HTTPS. As solicitações são encaminhadas aos provedores de modelos por conexões HTTPS criptografadas.
Declarado pela Phaseo
Central de confiança da Phaseo
Segurança e confiança na Phaseo
Proteções atuais do produto, práticas de dados e status de garantias. As afirmações desta página se limitam ao que a Phaseo consegue sustentar hoje.
- Garantias
- Declarado pela Phaseo
- Garantias
- Última revisão: 30 de agosto de 2026
Documentos de confiança
Use o material detalhado para análises de segurança, avaliações de fornecedores ou discussões de DPA.
Documento técnico de segurança
Arquitetura, fluxos de dados, proteções atuais, limitações e responsabilidades dos clientes.
Declaração própria
Subprocessadores
Infraestrutura principal, subprocessadores condicionais e terceiros escolhidos pelo cliente.
Lista pública
Aditivo de processamento de dados
Primeiro rascunho não vinculante para análise de relações controlador-operador no Reino Unido e na União Europeia.
Revisão jurídica necessária
Segurança
Proteções do produto e operacionais respaldadas pelo código e pela documentação atuais.
Proteção de chaves de provedores
As credenciais de provedores fornecidas pelo cliente são criptografadas com AES-256-GCM antes do armazenamento. Segredos de API, administração e OAuth passam por derivação unidirecional antes de serem armazenados.
Declarado pela Phaseo
Acesso limitado e OAuth
Funções do espaço de trabalho e permissões restritas de API ou OAuth limitam o acesso. As conexões OAuth exibem as permissões solicitadas antes do consentimento e podem ser revogadas.
Disponível
Identidade empresarial
O login único SAML e o provisionamento de usuários e grupos SCIM dependem de permissões do espaço de trabalho e recursos habilitados; não estão disponíveis para todas as contas.
Restrito
Relato privado de vulnerabilidades
Os relatos podem ser enviados pelo GitHub Security Advisories ou por security@phaseo.app. A Phaseo busca confirmar o recebimento em até três dias úteis.
Disponível
Tratamento de dados
Como o conteúdo do gateway é tratado por padrão, quando há exceções e o que continua dependendo do provedor.
Conteúdo do gateway por padrão
Prompts brutos e respostas completas não entram no banco de dados principal de solicitações nem nas análises da Phaseo. Respostas elegíveis sem streaming podem ficar em cache no Upstash por cinco minutos por padrão ou até 24 horas com uma política configurada.
Declarado pela Phaseo
Registro privado de entrada/saída
Uma configuração habilitada para certos espaços de trabalho pode armazenar solicitações, respostas e cargas opcionais do provedor no Cloudflare R2 privado por 90, 180 ou 365 dias. Ela vem desativada por padrão.
Restrito
Contribuição opcional de dados
A adesão é opcional. Prompts e conclusões elegíveis podem ser ocultados e mantidos por até 30 dias. Revogar o consentimento impede novas capturas e coloca as anteriores na fila de exclusão.
Disponível
Retenção e treinamento pelos provedores
A Phaseo não pode prometer retenção zero de dados em todos os provedores de modelos. O tratamento posterior segue o provedor e a rota usados; consulte a política do provedor antes de enviar dados sensíveis.
Declarado pela Phaseo
Roteamento regional
Controles de provedor e região podem limitar as rotas elegíveis, mas a Phaseo não garante hoje residência de dados de ponta a ponta para todas as solicitações.
Restrito
Provedores de serviço
Categorias divulgadas na política de privacidade atual da Phaseo.
| Provedor | Finalidade | Dados envolvidos |
|---|---|---|
| Cloudflare e Vercel | Hospedar, proteger e entregar o serviço | Tráfego do serviço, conteúdo das solicitações em trânsito e metadados operacionais necessários para executar a Phaseo |
| Supabase | Banco de dados e infraestrutura de contas | Metadados de conta, espaço de trabalho, configuração e solicitação |
| Upstash | Cache temporário de respostas | Respostas de modelos em cache, chaves de cache por espaço de trabalho e metadados de resposta |
| Stripe | Pagamentos e cobrança | Identidade de cobrança e registros de transações; a Phaseo não armazena dados completos do cartão |
| Provedores de análise e recursos | Análise do produto, entrega de recursos e diagnóstico de erros | Telemetria de páginas, dispositivos, identidade e uso; prompts e respostas brutos do gateway são excluídos |
| Provedores de e-mail e suporte | Comunicações do serviço e suporte ao cliente | Dados de contato, conteúdo de mensagens ou chamados e contexto de conta relacionado |
| Provedores de modelos | Processar a solicitação de inferência encaminhada | Entradas, saídas e metadados necessários; aplicam-se os termos e a retenção do provedor |
| Provedores de assistentes conectados | Retornar resultados autorizados de ferramentas OAuth | Somente o resultado de leitura e os escopos aprovados no fluxo de consentimento |
Consulte a lista datada de subprocessadores para ver fornecedores, condições, lacunas de localização e o tratamento separado dos provedores de IA escolhidos pelo cliente.
Disponibilidade e incidentes
Status do serviço
A disponibilidade atual e os incidentes são publicados em status.phaseo.app. A Phaseo não oferece SLA contratual de disponibilidade pública.
Resposta a incidentes
O código operacional inclui caminhos para notificação e contato sobre incidentes. Os procedimentos internos não são públicos e o processo não foi testado de forma independente.
Conformidade
A Phaseo não possui atualmente uma certificação de segurança independente. O DPA público é um primeiro rascunho não vinculante e o documento técnico de segurança é uma declaração própria. Um programa formal de garantia poderá ser considerado quando a necessidade dos clientes e o orçamento justificarem; nenhum padrão ou prazo está definido.
- Certificação independente da Phaseo em SOC 2, ISO 27001, PCI DSS, HIPAA ou equivalente
- Teste de invasão independente concluído ou relatório de auditoria publicado
- SLA contratual de disponibilidade para o serviço público
- Retenção zero universal ou garantia de que provedores não treinam com dados de solicitações
- Residência regional de dados garantida para todos os provedores e rotas
- Parecer jurídico ou DPA automaticamente firmado com base no rascunho público
Divulgação responsável
Relate problemas de segurança em particular. Não acesse dados de outras pessoas, não execute testes de negação de serviço e não divulgue uma vulnerabilidade antes que haja uma correção disponível.