B3IQ의 보안. 데이터 경계를 명확하게.

저희는 추론 요청이나 응답을 스토리지에 기록하지 않습니다. 요청은 메모리에서 이를 처리할 머신으로 전달되고, 요청이 끝나면 폐기됩니다.

저희는 고객 데이터로 학습하지 않으며 판매하지도 않습니다.

저희가 요청마다 기록하는 것은 라우팅, 사용량 측정, 악용 방지에 필요한 메타데이터입니다: 요청 ID, 타임스탬프, 모델, 처리한 머신, 토큰 수, 지연 시간, 상태. 이 메타데이터에는 프롬프트나 생성 결과 텍스트가 포함되지 않으며, 90일 후 삭제됩니다.

고객이 직접 켠 기능은 더 많은 내용을 저장할 수 있으며, 켜는 곳에서 그 사실을 알려 드립니다. 예를 들어 저장한 플레이그라운드 대화는 다시 볼 수 있도록 저장되며, 해당 세션을 삭제하면 함께 삭제됩니다. 암호화된 비공개 작업은 저희가 복호화할 수 없는 암호문으로만 보관되며, 약 30일 후 삭제됩니다.

머신은 고객의 소유입니다. B3IQ가 오리건주에서 조립하고, 미국에서 호스팅하며, 고객 전용 AI 추론 엔드포인트로 운영합니다.

B3IQ는 각 고객의 요청을 해당 고객 소유 머신으로 라우팅합니다. 다른 테넌트와 추론 풀을 공유하지 않으며, 키의 범위를 특정 머신으로 더 좁힐 수 있습니다.

B3IQ로 향하는 트래픽은 전송 중 TLS로 보호됩니다. 저장 데이터는 인프라 제공업체의 암호화된 스토리지에 있습니다. 자격 증명은 저희가 다시 읽을 수 있는 형태로 저장하지 않습니다: API 키, 액세스 토큰, 복구 코드는 단방향 해시로 저장되고 딱 한 번만 표시되며, 계정 비밀번호는 bcrypt로 해시됩니다.

종단 간 암호화 추론을 사용할 수 있습니다. 이 경로에서는 고객의 클라이언트가 처리할 머신의 공개 키로 요청을 암호화하고, B3IQ는 복호화 키 없이 암호문만 중계합니다. 즉 플랫폼은 암호학적으로 고객의 콘텐츠에서 배제됩니다. 머신의 암호화 키는 단기간만 유효하며 해당 머신 자체의 신원 키로 서명되고, 고객의 클라이언트는 암호화하기 전에 이를 검증합니다.

이는 고객의 콘텐츠를 B3IQ 자체 시스템과 저희의 공개 화면으로부터 보호합니다. 실제 작업을 수행하는 머신의 운영자에게까지 콘텐츠를 숨기지는 않습니다. 그 머신이 고객의 것이라면, 그 운영자는 바로 고객입니다.

직원의 프로덕션 접근은 회사 도메인으로 제한된 싱글 사인온 게이트웨이를 거칩니다. 관리 역할은 분리되어 있어 읽기 전용, 운영, 자금 이동 작업에는 각각 다른 권한이 필요합니다.

모든 관리 요청은 수행자, 작업, 결과, 해시 처리된 출발지 주소와 함께 영구 감사 로그에 기록됩니다. 위험도가 높은 작업에는 서면 사유가 추가로 필요하며, 가장 영향이 큰 작업은 실행 전에 확인 문구를 직접 입력해야 합니다. 직원이 머신의 문제를 진단해야 할 때는 상시 로그인이 아니라, 읽기 전용 진단으로 범위가 제한되고 기한이 있으며 취소할 수 있는 자격 증명을 사용합니다.

서비스는 요청 크기 제한, 토큰 제한, 키·계정·머신별 속도 제한을 적용하며, 계정별 지출 한도와 모델 제한도 지원합니다. 멈춰야 할 것이 있으면 운영자는 소프트웨어 배포 없이 특정 유형의 트래픽, 계정, 또는 개별 머신을 즉시 일시 중지할 수 있습니다.

응답이 멈추거나, 준비 상태 점검에 실패하거나, 큐 이상을 보고한 머신은 자동으로 라우팅에서 제외됩니다.

실시간 가용성은 status.b3iq.org에 공개되어 있습니다. 추론 게이트웨이, 모델 카탈로그 API, 이 웹사이트, 문서를 여러 지역에서 점검하며, 장애 공지도 그곳에 올립니다. 이 페이지는 저희 인프라 밖에서 운영합니다.

프로덕션 변경은 리뷰를 거친 풀 리퀘스트로 진행됩니다. 각 풀 리퀘스트에서 정적 보안 분석, 의존성 스캔, 시크릿 스캔을 실행합니다. 플랫폼 변경에는 타입 검사, 테스트, 실제 데이터베이스를 대상으로 한 과금·정산 테스트 스위트도 추가로 실행합니다.

저희가 배포하는 소프트웨어에는 체크섬이 제공되고 릴리스 매니페스트는 암호학적으로 서명되어 있어, 설치한 바이너리가 저희가 공개한 것과 같은지 검증할 수 있습니다.

서비스 운영에는 소수의 공급업체를 사용합니다. 클라우드 인프라와 콘텐츠 전송, 카드 및 암호화폐 결제 처리, 트랜잭션 이메일, 분석, 코드 서명, 소스 관리 및 CI, 모델 아티팩트 저장소 제공업체입니다.

기존 고객과 평가 중인 잠재 고객은 아래 연락처로 각 공급업체와 전달되는 데이터를 명시한 하위 처리자 목록을 요청하실 수 있습니다.

• SOC 2 Type IIA-LIGN 감사 진행 중, 보고서는 2027년 발행 예상
• HECVAT(전체 버전)작성 완료
• HIPAA 비즈니스 어소시에이트 계약(BAA)체결합니다
• 문서화된 보안 정책 일체요청 시 제공
• 보안 인식 교육시스템 접근 권한이 있는 모든 인원 필수
• FedRAMP 20x 준비도 평가다음 단계, A-LIGN과 진행

정책 일체는 정보 보안, 접근 제어, 변경 및 패치 관리, 사고 대응, 업무 연속성, 데이터 취급, 키 관리, 개인정보, AI 위험을 다룹니다.

검토에 여기 없는 항목이 필요하다면 알려 주세요.

제목을 SECURITY로 하여 contact@npclabs.org 주소로 이메일을 보내 주시거나 /.well-known/security.txt에서 확인해 주세요. 신고는 영업일 기준 3일 이내에 접수 확인을 드리는 것을 목표로 합니다.

고객 데이터를 존중하고, 다른 사용자의 서비스 품질을 떨어뜨리지 않으며, 공개 전에 문제를 고칠 합리적인 기회를 주는 선의의 연구에 대해 저희는 법적 조치를 취하지 않습니다. 본인의 것이 아닌 데이터에 접근하거나 이를 수정·보관하지 마시고, 가용성에 영향을 주는 자동 스캔은 실행하지 말아 주세요.

보안 및 개인정보 관련 연락은 아래로 보내 주세요.