उबाऊ हिस्से, सही ढंग से।
संग्रहीत डेटा EU में रहता है, हर प्रीव्यू के लिए Firecracker आइसोलेशन, TLS 1.3 + AES-256, जहाँ उपलब्ध हों वहाँ प्रदाता के नियंत्रण विकल्प, Max और Business पर AI प्रशिक्षण में डेटा के इस्तेमाल से बाहर रहने का विकल्प, और कोड का पूरा मालिकाना हक़। नीचे सारी जानकारी इस तरह दी गई है कि सुरक्षा प्रश्नावली के जवाब पाने के लिए फ़ोन करने की ज़रूरत न पड़े।
VULK कैसे बना है, छह स्तंभों में।
डेटा निवास
उत्पादन डेटाबेस AWS RDS eu-central-1 (फ्रैंकफर्ट) पर PostgreSQL 16। ऐप्लिकेशन सर्वर EU। स्थैतिक एसेट CDN-वितरित। बिना स्पष्ट DPA परिशिष्ट के कोई ग्राहक रिकॉर्ड EU से बाहर नहीं जाता।
- ▸मुख्य डेटाबेस: AWS RDS eu-central-1 (फ्रैंकफर्ट)
- ▸ऐप्लिकेशन सर्वर और जनरेट किए गए ऐप्स के डेटाबेस: Hetzner, Falkenstein (जर्मनी)
- ▸CDN: Cloudflare वैश्विक edge (केवल HTTPS)
जनरेशन आइसोलेशन
हर लाइव प्रीव्यू अपने ही kernel, rootfs और नेटवर्क namespace के साथ समर्पित Firecracker microVM में चलता है। एक प्रोजेक्ट दूसरे का प्रोसेस ट्री, फ़ाइलसिस्टम या नेटवर्क पढ़ या प्रभावित नहीं कर सकता। सत्र के बाद VMs खत्म — कोई साझा persistent स्थिति नहीं।
- ▸प्रति-प्रीव्यू Firecracker microVM
- ▸नेटवर्क namespace + iptables egress फ़िल्टर
- ▸सत्र समाप्त होने पर मिटने वाला अल्पकालिक rootfs
एन्क्रिप्शन
हर जगह transit में TLS 1.3। RDS और R2 / S3 पर rest में AES-256। ग्राहक रहस्य keychain में (ऐप-साइड env vars, कभी log नहीं, API प्रतिक्रियाओं में कभी वापस नहीं)। Webhook payload HMAC-साइन्ड।
- ▸TLS 1.3 (केवल HTTPS)
- ▸rest में AES-256 (RDS, R2, S3)
- ▸रहस्य कभी log या प्रतिध्वनित नहीं
AI प्रदाता नीति
हम OpenRouter के माध्यम से Anthropic, Google, OpenAI और अन्य को रूट करते हैं। जहाँ उपलब्ध हो, हम no-training या zero-retention नियंत्रण वाले provider routes को प्राथमिकता देते हैं। VULK में AI प्रशिक्षण में डेटा के इस्तेमाल से बाहर रहने का विकल्प Max और Business में शामिल है।
- ▸जहाँ उपलब्ध हो, प्रदाता के रिटेंशन नियंत्रण
- ▸Max और Business पर AI प्रशिक्षण में डेटा के इस्तेमाल से बाहर रहने का विकल्प
प्रमाणीकरण
OAuth साइन-इन में PKCE और सर्वर पर संग्रहीत एक बार उपयोग होने वाले प्राधिकरण लेन-देन का इस्तेमाल होता है। Stripe Customer linking केवल server-side। वैकल्पिक MFA, Business पर SAML / OIDC SSO, आपके SIEM को audit log डिलीवरी।
- ▸PKCE और सुरक्षित HttpOnly कुकी के साथ OAuth
- ▸TOTP के माध्यम से वैकल्पिक MFA
- ▸Business में SAML / OIDC SSO
कोड स्वामित्व
हर प्रोजेक्ट आपका कोड। GitHub या zip में निर्यात; अपनी infra पर चलाएँ; कल अपनी सदस्यता रद्द करें — आपके बनाए ऐप्स चलते रहेंगे। आपके आउटपुट पर हमारा लाइसेंस नहीं, और हम रनटाइम के लिए SaaS सदस्यता अनिवार्य नहीं करते।
- ▸पूर्ण रिपॉज़िटरी निर्यात (GitHub या zip)
- ▸कोई मालिकाना रनटाइम नहीं
- ▸अपनी शर्तों पर MIT लाइसेंस के तहत उपलब्ध कराने योग्य
हम अनुपालन कैसे संभालते हैं।
आज हम क्या कर रहे हैं — सीधा, बिना उन प्रमाणपत्रों के जो हमारे पास नहीं हैं।
- GDPRसंरेखितVULK डेटा नियंत्रक है। अनुरोध पर DPA उपलब्ध है। उप-प्रोसेसरों का विवरण साझा किया जाता है और उनमें बदलाव होने पर सूचना दी जाती है।
- डेटा प्रसंस्करण समझौताउपलब्धPro और Business योजनाओं के लिए मुफ्त भेजा जाता है। Enterprise शर्तें 5 कार्यदिवसों में समीक्षित।
- PCI-DSSलागू नहीं — कार्ड Stripe संभालता हैकार्ड डेटा कभी VULK सर्वरों को नहीं छूता। Stripe Checkout / Elements पूरे PCI scope को संभालता है।
और कौन आपके डेटा को छूता है।
हम हर बाहरी सेवा का खुलासा करने को बाध्य हैं जो आपके डेटा को संसाधित कर सकती है। बदलाव पर सूचना DPA का हिस्सा है।
| सेवा | उद्देश्य | क्षेत्र |
|---|---|---|
| AWS (RDS, S3) | डेटाबेस + भंडारण | eu-central-1 (फ्रैंकफर्ट) |
| Hetzner | ऐप्लिकेशन + प्रीव्यू होस्टिंग | Falkenstein, जर्मनी |
| Cloudflare | CDN, DNS, R2 भंडारण, डिप्लॉय | वैश्विक प्रोसेसिंग; R2 क्षेत्राधिकार: डिफ़ॉल्ट (केवल यूरोपीय संघ तक सीमित नहीं) |
| Stripe | बिलिंग + भुगतान प्रसंस्करण | EU + USA (PCI-अनुपालक) |
| Resend | लेन-देन ईमेल | अमेरिका (ईमेल भेजना) |
| OpenRouter | AI मॉडल रूटिंग | वैश्विक (डेटा रखने की अवधि रूट पर निर्भर है) |
| Sentry | त्रुटि निगरानी | EU |
भेद्यता मिली? हमें पहले बताएँ।
हम जिम्मेदार प्रकटीकरण का स्वागत करते हैं। ईमेल security@vulk.dev रेप्रोडक्शन चरण, अपेक्षित बनाम देखे गए व्यवहार, और CVSS-शैली के गंभीरता मूल्यांकन के साथ भेजें। हम 24 घंटे में पुष्टि करते हैं और 72 घंटे में ट्रायेज। शोधकर्ताओं से बात करने के लिए NDA की ज़रूरत नहीं।
VULK कोई सशुल्क बग बाउंटी कार्यक्रम नहीं चलाता और भेद्यता रिपोर्ट के लिए भुगतान नहीं करता। मान्य निष्कर्षों को Changelog में सार्वजनिक श्रेय (या गुमनाम, आपकी पसंद) मिलता है।
अंतिम समीक्षा: April 30, 2026