Keamanan dan Kepercayaan

Terkait: Kebijakan Privasi · Ketentuan Layanan

1. Gambaran Umum#

Clevera menangani rekaman layar, cuplikan produk, dan terkadang proses masuk ke aplikasi Anda sendiri, jadi kami memperlakukan keamanan sebagai bagian dari produk. Kami merancang untuk:

• akses hak istimewa minimum
• alur data terenkripsi
• akses media berdurasi singkat
• isolasi yang jelas untuk segala hal yang bersentuhan dengan web terbuka

2. Sekilas#

3. Infrastruktur#

• Aplikasi dan basis data. Server kami dikelola dengan Laravel Forge di Hetzner EU (Jerman). Basis data Postgres dan antrean Redis hanya menerima koneksi dari server aplikasi, bukan dari internet.
• File. Rekaman, unggahan, dan media yang dihasilkan disimpan di Amazon S3 di AS, dengan aset merek publik di EU (Swedia). Media dikirimkan melalui Amazon CloudFront.
• Rendering. Video dirender di peramban Anda sendiri secara default, sehingga penyandian akhir terjadi di perangkat Anda. Rendering server dijalankan di AWS Lambda di AS.
• Kunjungan situs web. Komponen yang mengunjungi situs web untuk Anda berjalan di dua tempat:
  • Pemindai situs kami sendiri. Berjalan sebagai pengguna sistem terpisah yang dibatasi tanpa akses ke kunci API kami. Firewall keluar memblokirnya agar tidak mencapai jaringan internal dan titik akhir metadata cloud, yang melindungi dari pemalsuan permintaan sisi server.
  • Penggunaan Peramban. Penjelajahan berbasis AI berjalan di peramban cloud terisolasi di Browser Use, di luar infrastruktur kami.
• Lokasi data. Data diproses terutama di AS dan EU. Saat ini kami tidak menawarkan residensi data yang dapat dipilih pelanggan.

4. Perlindungan data#

• Saat transit: semua lalu lintas ke Clevera menggunakan TLS.
• Saat disimpan:
  • Kami mengenkripsi hal berikut di tingkat aplikasi:
    • token OAuth integrasi
    • rahasia SSO
    • kunci API penyedia Anda sendiri
    • kredensial situs web sementara
    • tautan unduhan penyedia
  • Kata sandi hanya disimpan sebagai hash satu arah.
  • File yang disimpan mengandalkan enkripsi saat disimpan dari penyedia cloud (AWS SSE-S3).
• Akses media: media pribadi hanya disajikan melalui tautan bertanda tangan yang kedaluwarsa, biasanya dalam waktu 24 jam. Unggahan langsung masuk ke penyimpanan melalui URL pra-tanda tangan sekali pakai.
• Pembayaran: ditangani sepenuhnya oleh Lemon Squeezy. Data kartu tidak pernah mencapai sistem kami.
• Minimalisasi data: kami hanya mengirimkan apa yang dibutuhkan oleh pekerjaan tersebut ke setiap penyedia AI. Misalnya, analitik penonton pada video yang dibagikan hanya menyimpan kelas perangkat dan negara. Pencegahan penyalahgunaan menggunakan hash berkunci alih-alih alamat IP mentah.

5. Penyedia AI#

Clevera menggunakan model AI dari Google (Gemini), Anthropic (Claude), dan OpenAI. Clevera juga menggunakan HeyGen untuk avatar AI.

• Kami menggunakan penyedia ini berdasarkan ketentuan API komersial yang tidak mengizinkan pelatihan menggunakan konten Anda.
• Beberapa penyedia menyimpan data API untuk periode terbatas, biasanya hingga 30 hari, untuk pemantauan penyalahgunaan.
• File video yang kami unggah untuk dianalisis akan dihapus dari penyedia dalam beberapa jam setelah pekerjaan selesai.
• Kami tidak menggunakan konten Anda untuk melatih model AI.

6. Riset situs web AI dan kredensial#

“Rekam dengan AI” dan riset situs web menjalankan agen AI di peramban cloud di Browser Use.

• Kredensial tidak masuk ke model. Kredensial yang Anda berikan untuk suatu proses diteruskan ke peramban sebagai rahasia. Kredensial tersebut tidak pernah ditempatkan dalam prompt model AI dan disunting dari log.
• Penyimpanan berdurasi singkat. Di sisi kami, kredensial disimpan dalam keadaan terenkripsi hanya selama proses berjalan, kemudian dihapus.
• Riset terbatas. Proses riset diinstruksikan untuk tidak masuk, mengirimkan formulir, atau melakukan pembelian.
• Penyimpanan masuk bersifat opsional. Fitur ini nonaktif secara default dan diaktifkan per situs. Anda dapat menghapusnya kapan saja, dan fitur ini akan kedaluwarsa setelah 30 hari tidak digunakan. Fitur ini dihapus bersama akun Anda.
• Persetujuan. Sebelum agen menggunakan akun, orang yang menyiapkan proses harus mengonfirmasi bahwa mereka diizinkan untuk memberikan akses Clevera ke akun tersebut.
• Gunakan akun uji. Kami menyarankan akun demo atau uji coba khusus untuk perekaman.

7. Alat gratis#

Alat gratis kami di clevera.ai/tools berfungsi tanpa akun, jadi kami melindunginya, dan orang-orang yang menggunakannya, dengan cara berikut:

• Tidak ada penyimpanan konten di pihak kami. Input, unggahan, dan hasil diproses dalam memori dan dikembalikan dalam respons. Kami tidak menulisnya ke disk, basis data, atau log kami. Log kesalahan mungkin berisi pesan kesalahan penyedia AI, tetapi bukan input Anda.
• Tidak ada hasil publik. Hasil tidak mendapatkan tautan yang dapat dibagikan. Hasil tersebut hanya ada di tab peramban Anda sampai Anda menyalin atau mengunduhnya.
• Alat berbasis peramban tidak pernah mengunggah. Alat media dan kalkulator kami memproses file di perangkat Anda. Alat tersebut hanya mengirimkan catatan penggunaan, tidak pernah konten file.
• Pemeriksaan file berdasarkan konten. Kami memeriksa jenis unggahan dari kontennya, bukan hanya dari nama atau jenis yang dideklarasikan.
• Batas ukuran. Teks hingga 12.000 karakter; gambar hingga 4 MB per gambar, 1 hingga 10 per proses; video hingga 20 MB, atau 10 menit pertama dari video YouTube publik. Untuk subtitel, peramban Anda mengekstrak 3 menit pertama audio dan hanya mengirimkan bagian tersebut.
• Metadata dihapus. Peramban Anda menghapus metadata foto, seperti data EXIF dan lokasi GPS, sebelum gambar diunggah.
• Tidak ada alamat IP mentah. Batas penggunaan dan pemblokiran menggunakan hash berkunci (HMAC) dari alamat IP atau jaringan Anda.
• Pemeriksaan bot. Alat AI menggunakan Cloudflare Turnstile.
• Batas penggunaan dan pemblokiran otomatis. Batas per jam dan per hari berlaku per alamat IP dan per jaringan. Permintaan yang ditolak berulang kali akan menyebabkan pemblokiran otomatis selama 24 jam.
• Batas pengeluaran. Batas pengeluaran membatasi biaya yang harus kami tanggung untuk alat gratis, sehingga tidak dapat digunakan untuk penggunaan AI tanpa batas.
• Perlindungan injeksi prompt. Input Anda diteruskan ke model AI sebagai data, dipisahkan dari instruksi kami. Aturan model menolak permintaan yang tidak relevan atau berbahaya.
• Penyedia AI. Alat AI gratis menggunakan API Gemini Google pada tingkat berbayar, dan OpenAI untuk alat teks saat kami memilihnya. Tidak satu pun yang menggunakan input untuk melatih model mereka. Sebagaimana dijelaskan dalam bagian 5, mereka mungkin menyimpan data API untuk periode terbatas guna pemantauan penyalahgunaan.

8. Keamanan akun#

• Autentikasi dua faktor: kode aplikasi autentikator (TOTP), dengan kode pemulihan.
• Verifikasi perangkat baru: saat Anda masuk dari perangkat atau lokasi baru, kami mengirimkan kode sekali pakai melalui email. Perangkat tepercaya diverifikasi ulang secara berkala.
• Single sign-on:
  • SAML 2.0 dan OpenID Connect pada paket Kustom
  • mendukung Okta, Microsoft Entra ID, Google Workspace, OneLogin, dan penyedia identitas standar lainnya
  • rahasia SSO dienkripsi
• Google sign-in tersedia untuk semua pengguna.
• Pembatasan laju (Rate limiting) melindungi titik akhir masuk, dua faktor, verifikasi, dan API terhadap serangan brute-force dan penyalahgunaan.
• Peran tim: Pemilik, Administrator, Editor, dan Pembuat Konten. Setiap peran mengontrol apa yang dapat dilihat dan diubah oleh anggota.
• Token API untuk perekam desktop dicakup untuk perekaman dan dapat dicabut dari profil Anda.

9. Keamanan aplikasi#

• Tinjauan kode dan pengujian otomatis pada setiap perubahan.
• Perlindungan kerangka kerja terhadap risiko web umum, termasuk token CSRF, pelolosan output, kueri basis data berparameter, dan cookie bertanda.
• Sanitasi file SVG yang diunggah.
• Pembatasan Content-Security-Policy pada situs mana yang dapat disematkan di aplikasi.
• Verifikasi tanda tangan pada setiap webhook masuk (Lemon Squeezy, HeyGen, Amazon SES).
• Rahasia disimpan di luar kontrol sumber, dengan kredensial layanan hak istimewa minimum.

10. Akses internal#

• Akses produksi terbatas pada staf resmi yang membutuhkannya.
• Alat administratif dalam aplikasi memerlukan peran admin terpisah.
• Staf melihat konten pelanggan hanya untuk memberikan dukungan yang Anda minta, untuk menyelidiki penyalahgunaan atau insiden, atau jika hukum mengharuskannya.

11. Pencatatan dan pemantauan#

• Log aplikasi dan keamanan disimpan selama sekitar 14–30 hari untuk pemecahan masalah dan tinjauan keamanan.
• Kami memberikan peringatan jika terjadi tingkat kesalahan yang tinggi, pekerjaan yang gagal, dan penggunaan yang tidak biasa. Perlindungan biaya harian membatasi penggunaan berlebih pada akun gratis.
• Pengukuran penggunaan dan kredit dibangun ke dalam Clevera; tidak ada layanan pengukuran pihak ketiga yang digunakan.

12. Penanganan insiden#

Kami mengikuti proses yang ditentukan untuk melakukan triase, menahan, dan memperbaiki insiden keamanan.

Jika terjadi pelanggaran data pribadi yang memengaruhi Anda, kami akan memberi tahu pelanggan yang terdampak tanpa penundaan yang tidak semestinya, sebagaimana diwajibkan oleh hukum. Berdasarkan GDPR, kami memberi tahu otoritas pengawas dalam waktu 72 jam jika diperlukan.

13. Cadangan dan kelangsungan#

• Basis data Postgres dicadangkan setiap hari oleh Laravel Forge. Setiap cadangan adalah dump terkompresi yang disimpan di penyimpanan objek cloud, dienkripsi saat tidak aktif oleh penyedia penyimpanan, dan disimpan selama 7 hari. Cadangan lama dihapus secara otomatis.
• Layanan kami dapat diterapkan kembali dari kontrol sumber.
• Pekerjaan yang berjalan lama, seperti rendering, riset, dan pembuatan, diantrekan dan dicoba kembali jika gagal.

14. Retensi dan penghapusan data#

• Konten Anda: disimpan selama akun Anda aktif.
• Sampah: item di sampah dihapus secara permanen setelah 7 hari.
• Rekaman yang tidak digunakan: rekaman yang tidak digunakan dalam video apa pun dihapus setelah 15 hari.
• Penghapusan akun dimulai segera. Ini:
  • membatalkan langganan
  • mencabut token dan login yang disimpan
  • menghapus secara permanen rekaman, video, dan file tim yang dimiliki tak lama kemudian
• Cadangan kedaluwarsa sesuai jadwal retensinya.

Detail lengkap ada dalam Kebijakan Privasi kami.

15. Kepatuhan#

• GDPR, UK GDPR, dan KVKK. Kami adalah pengendali untuk data akun, penagihan, dan situs web. Untuk konten Anda, kami bertindak sebagai pemroses berdasarkan Adendum Pemrosesan Data kami. Transfer internasional menggunakan Klausul Kontraktual Standar, Adendum Inggris, atau kontrak standar KVKK sebagaimana diperlukan.
• CPRA. Kami tidak menjual atau membagikan informasi pribadi, dan kami tidak terlibat dalam iklan perilaku lintas konteks.
• SOC 2 / ISO 27001. Audit SOC 2 kami sedang berlangsung, diharapkan pada tahun 2027. Kami berencana untuk mendapatkan sertifikasi ISO 27001 pada tahun 2027.
• DPA: tersedia berdasarkan permintaan di team@clevera.ai.

16. Sub-pemroses#

Daftar lengkap, beserta kategori data dan lokasinya, ada di Kebijakan Privasi kami. Kami memberi tahu pelanggan tentang perubahan material sebagaimana dijelaskan dalam DPA kami.

17. Pengungkapan kerentanan#

Jika Anda merasa telah menemukan masalah keamanan, kirim email ke team@clevera.ai dengan detail dan langkah-langkah untuk mereproduksinya.

Mohon untuk:

• melakukan pengujian hanya pada akun Anda sendiri
• menghindari akses atau perubahan data orang lain
• menghindari penurunan kualitas layanan
• menghindari pemindaian otomatis bervolume tinggi
• memberi kami waktu yang wajar untuk memperbaiki masalah sebelum mengungkapkannya ke publik

Kami akan mengakui laporan Anda, terus memberi Anda informasi terbaru, dan memberikan kredit kepada Anda jika Anda menginginkannya. Kami tidak akan menempuh jalur hukum terhadap penelitian dengan itikad baik yang mengikuti pedoman ini.

18. Kontak#

Keamanan dan kepercayaan: team@clevera.ai
Clevera Teknoloji AŞ, Yenişehir Mah. Kardeşler Cad. 7/2, Sivas, Türkiye