/securityang mga controls, isa-isa

scoped.

bawat database query ay scoped sa iyong organization at project

Encryption, access control, tenant isolation at audit trail, bawat isa ay nagngalan ng mechanism na nagpapatupad nito. Ang mga bagay na hindi pa namin nabuo ay nakasulat dito bilang mga gap.

tls 1.2 o mas mataas sa transit
hmac-signed webhooks
append-only audit rows
apat na roles, limang token abilities

ang mga controls

Pag-encrypt, access, pagkakahiwalay at audit.

ang bawat tile ay nagngalan ng mekanismo na nagpapatunay nito, at ang tile na nagngalan ng puwang ang pinakamahalaga sa pahina

AES-256

Naka-encrypt bago umalis sa host

Ang mga backup ng database ay naka-encrypt habang lumalabas. Ang repository ng file backup ay naka-password encrypt at tumatanggi tumakbo nang walang key. Ang mga credential ng connected-app at webhook secrets ay iniimbilang bilang mga encrypted column. Ang mga deploy token ay iniimbilang bilang SHA-256 hash at ipinapakita nang isang beses, sa paglikha. Ang mga live disk ay hindi naka-encrypt sa antas ng volume, dahil hindi pa namin ito binuo, at dapat mong malaman ito dito kaysa sa diligence.

Nilagdaan habang lumalabas

Ang mga outbound webhook ay nilalagdaan gamit ang HMAC-SHA256 sa timestamp at body. Ang timestamp ay ipinapadala rin, kaya maaari mong ipatupad ang sarili mong replay window.

POST /hooks/translations

X-Transglot-Timestamp: 1756...

X-Transglot-Signature: hmac-sha256

signed over (timestamp, body)

compared with hash_equals

Identity at access

Apat na workspace role sa bawat plano, kasama ang Free: admin, developer, reviewer at translator, plus ang mga account owner at billing member. Ang mga grant per-project at per-language ay nasa ibabaw, kaya ang isang freelancer ay maaaring bigyan ng isang language at makita ang wala pa. Ang SAML 2.0 sign-in na may just-in-time provisioning at SCIM 2.0 provisioning ay kasama sa Enterprise, at ang password login ay maaaring i-off para sa buong workspace.

Tenant isolation

Bawat query ay nakascope sa iyong organization at project. Ang id na pag-aari ng iba ay sumasagot ng 404 imbes na 403, kaya ang pagkakaroon ng ibang workspace ay hindi nalalantad. Ang shared exact-match memory pool ang tanging deliberate exception, at anumang project ay maaaring umalis dito gamit ang switch.

Ang audit trail

Ang mga pagbabago sa role, paglikha ng token, pagbabago sa billing, SSO configuration at SSO sign-ins ay naitatala, at ang mga row ay hindi ma-edit o ma-delete: ang model ay nagtathrow sa pareho. Ang mga password sign-in ay wala pa sa trail ngayon. Ang mga Owner at Admin sa Enterprise ay nag-eexport ng buong trail bilang CSV. Walang hash chain at walang cryptographic signature, kaya walang dito ang nagsasabing tamper-evident.

Uptime at credits

Hindi kami naglalathala ng percentage dito, dahil anumang figure na aming ita-type ay salita lamang namin para sa sarili naming availability. Ang Business at Enterprise ay may contractual monthly uptime target na may service-credit schedule, at ang schedule na iyon ang SLA.

Kung saan talaga nakatayo ang compliance

Ang apat na row na binabasa ng trust page at trust center, mula sa parehong config. Ang stamp ay maaaring magsabi lamang ng "held" kapag sinabi ng boolean, at ngayon wala sa kanila ang gumagawa nito.

SOC 2 Type II: kasalukuyang isinasagawa ang audit
ISO/IEC 42001 (AI management): pinagsusumikapan
GDPR: sumusunod, ngunit walang sertipiko
CCPA / CPRA: sumusunod, ngunit walang sertipiko

ang maikling sagot

Ano ang tinatanong ng reviewer, sinasagot muna.

Ang mga tanong na binubuksan ng security review, at ang mga sagot, sa order kung paano karaniwan dumating. Bawat linya ay control sa codebase kaysa claim tungkol sa isa. Ang huling linya ay puwang, at nananatili ito dito hanggang sa hindi na ito totoo.

walang quoted findings, dahil wala pang third-party report
walang implied certification: ang compliance table sa /trust ay bumabasa mula sa config
ang good-faith research ay hindi kailanman hinaharap ng mga lawyer

I-email ang security@transglot.ai Ang trust center

illustrative output. ang pahinang ito ay walang ginaganap na scan, sa iyo o sa amin

posture notes, illustrative

# ang unang hinihingi ng security review

tls 1.2 or better, refused below at the edge

webhooks hmac-sha256 sa timestamp at body

tokens iniimbak bilang sha-256 hash, ipinapakita nang isang beses

tenancy bawat query ay naka-scope ayon sa org at project

abilities lima sa project token, tatlo sa deploy

roles apat, sa bawat plano kabilang ang libre

audit append-only sa model layer, walang chain

memory isang shared exact-match pool, off kada project

at rest ang mga live volume ay hindi naka-disk-encrypt. ang mga backup ay aes-256.

FAQs

Ang listahan na karaniwang dumarating kasama ng security review.

Naka-encrypt ba ang aking data?

Sa transit, oo: TLS 1.2 o mas mataas, at anumang lumang bersyon ay tinatanggi sa edge. Sa rest, ang mga database backup ay naka-encrypt gamit ang AES-256 habang lumalabas at ang file backup repository ay naka-password-encrypt. Ang mga live database volume ay hindi pa naka-disk-encrypt ngayon.

Sertipikado ba kayo sa SOC 2?

Hindi pa. Isang SOC 2 Type II audit ay kasalukuyang isinasagawa: readiness muna, pagkatapos ay ang observation window. Wala kaming third-party security certification ngayon, at ang mga chips sa itaas ay galing sa config boolean na hindi makakasabing "held" hangga't wala pa isa.

Gumagamit ba kayo ng aking content para mag-train ng AI models?

Hindi, sa anumang plano. Ang iyong mga string ay ipinapadala sa mga provider na nakalista sa trust center upang isalin lamang at wala nang iba, sa ilalim ng komersyal na termino. Ang metering ay nagre-record ng token counts, hindi ang teksto mismo.

Paano niyo pinipigilan ang isang customer na makita ang isa pa?

Bawat query ay naka-scope sa iyong organization at project, at ang id na hindi sa iyo ay nagbabalik ng 404 imbes na 403, kaya hindi nalalantad ang pagkakaroon ng ibang workspace. Ang shared exact-match translation memory pool ang tanging deliberate exception; wala itong owner, at maaari itong iwanan ng anumang project sa pamamagitan ng isang switch.

Sinusuportahan ba ninyo ang SAML SSO, SCIM at enforced sign-in?

Oo, sa Enterprise: SAML 2.0 na may just-in-time provisioning, SCIM 2.0 provisioning, at opsyon na i-off ang password login para sa buong workspace. Apat na workspace roles plus per-project at per-language grants ay nasa bawat plano, kabilang ang Libre.

Mayroon ba kayong audit log, at ma-export ko ba ito?

Ang mga pagbabago sa role, paglikha ng token, pagbabago sa billing, configuration ng SSO at mga SSO sign-in ay lahat naka-record, at hindi ma-edit o ma-delete ang mga row. Ang mga password sign-in ay wala pa sa trail ngayon. Ang mga Owner at Admin sa Enterprise ay maaaring i-export ang buong trail bilang CSV. Walang hash chain at walang signature, kaya hindi namin ito tinatawag na tamper-evident.

Nagsagawa ba kayo ng penetration test?

Wala kaming third-party report na ma-quote. Kapag mayroon na, ito ay pangalan dito kasama ang petsa at scope nito imbes na buodin bilang bilang ng mga findings.

Paano ko ire-report ang isang kahinaan, at nagbibigay ba kayo ng bounty?

I-email ang security@transglot.ai. Ang pananaliksik na may mabuting hangarin ay sakop ng nakasulat na safe harbour, kinikilala sa loob ng tatlong araw ng negosyo, at sinusuri nang paunahan sa loob ng sampung araw ng negosyo. Walang bayad na bounty sa kasalukuyan.

Paano iniimbak at nililimitahan ang mga API token?

Ang project token ay iniimbak bilang SHA-256 hash at ipinapakita lamang nang isang beses, sa pagkakagawa nito. May limang kakayahan ang mga project token at tatlo naman ang mga deploy token, kaya mas limitado ang token na ibinigay sa CI kaysa sa taong gumawa nito. Ang mga token ay feature ng paid plan: hindi makakagawa ang Free plan ng isa.