Le parti noiose, fatte bene.
Dati a riposo conservati nell'UE, isolamento Firecracker per ogni anteprima, TLS 1.3 + AES-256, controlli dei provider dove disponibili, possibilità di escludere i dati dall'addestramento con Max e Business, piena proprietà del codice. Trovi i dettagli qui sotto, scritti per rispondere alle domande di un questionario sulla sicurezza senza bisogno di una telefonata.
Com'è costruita VULK, in sei pilastri.
Residenza dei dati
Il database di produzione è PostgreSQL 16 ospitato su AWS RDS in eu-central-1 (Francoforte). Server applicativi in UE. Asset statici distribuiti via CDN. Nessun record cliente lascia l'UE senza un addendum DPA esplicito.
- ▸Database principale: AWS RDS eu-central-1 (Francoforte)
- ▸Server applicativi e database delle app generate: Hetzner, Falkenstein (Germania)
- ▸CDN: Cloudflare global edge (solo HTTPS)
Isolamento di generazione
Ogni preview live gira in una microVM Firecracker dedicata, con kernel, rootfs e namespace di rete propri. Un progetto non può leggere o influenzare l'albero dei processi, il filesystem o la rete di un altro. Le VM vengono distrutte a fine sessione — nessuno stato persistente condiviso.
- ▸MicroVM Firecracker per preview
- ▸Namespace di rete + filtro iptables in uscita
- ▸Rootfs effimero, distrutto a fine sessione
Crittografia
TLS 1.3 in transito ovunque. AES-256 a riposo su RDS e R2 / S3. Segreti del cliente in keychain (env var lato applicazione, mai loggati, mai restituiti nelle risposte API). Payload webhook firmati HMAC.
- ▸TLS 1.3 (solo HTTPS)
- ▸AES-256 a riposo (RDS, R2, S3)
- ▸Segreti mai loggati né restituiti
Politica sui fornitori di IA
Instradiamo via OpenRouter verso Anthropic, Google, OpenAI e altri. Preferiamo percorsi con controlli che escludono l'addestramento o la conservazione dei dati quando disponibili. L'esclusione dei dati dall'addestramento di VULK è inclusa su Max e Business.
- ▸Controlli di conservazione del provider dove disponibili
- ▸Esclusione dei dati dall'addestramento su Max e Business
Autenticazione
L’accesso OAuth usa PKCE e transazioni di autorizzazione monouso memorizzate sul server. Collegamento al cliente Stripe solo lato server. MFA opzionale, SSO via SAML / OIDC su Business, con consegna di audit log al tuo SIEM.
- ▸OAuth con PKCE e cookie sicuri HttpOnly
- ▸MFA opzionale via TOTP
- ▸SSO SAML / OIDC su Business
Proprietà del codice
Ogni progetto è codice tuo. Esportalo su GitHub o come file zip; eseguilo sulla tua infrastruttura; disdici il tuo abbonamento a VULK domani e le app che hai creato continueranno a funzionare. Non deteniamo alcuna licenza su ciò che crei e non vincoliamo l'esecuzione a un abbonamento SaaS.
- ▸Esportazione completa del repo (GitHub o zip)
- ▸Nessun runtime proprietario
- ▸Concedibile in licenza MIT alle tue condizioni
Come gestiamo la conformità.
Ciò che facciamo oggi, detto chiaramente.
- GDPRAllineatoVULK è il titolare del trattamento. DPA disponibile su richiesta. Sub-responsabili del trattamento resi noti, con notifica in caso di modifiche.
- Accordo sul trattamento dei datiDisponibileInviato gratis su Pro e Business. Termini Enterprise rivisti in 5 giorni lavorativi.
- PCI-DSSN/A — Stripe gestisce le carteI dati delle carte non toccano mai i server VULK. Stripe Checkout / Elements gestisce l'intero ambito PCI.
Chi altro tocca i tuoi dati.
Siamo obbligati a divulgare ogni servizio esterno che possa trattare i tuoi dati. La notifica in caso di cambiamento è parte del DPA.
| Servizio | Finalità | Regione |
|---|---|---|
| AWS (RDS, SSM) | Database + gestione dei segreti | eu-central-1 (Francoforte) |
| Hetzner | Hosting applicativo + preview | Falkenstein, Germania |
| Cloudflare | CDN, DNS, archiviazione R2, deploy | Trattamento globale; giurisdizione R2: default (non limitata all’UE) |
| Stripe | Fatturazione + elaborazione pagamenti | UE + USA (conforme allo standard PCI) |
| Resend | Email transazionale | Stati Uniti (invio delle email) |
| OpenRouter | Routing di modelli AI | Globale (conservazione in base al percorso) |
| Replicate | Generazione di immagini e video | USA |
| Tencent Cloud | Generazione di modelli 3D | Singapore |
| Sentry | Monitoraggio errori | UE |
Hai trovato una vulnerabilità? Segnalala prima a noi.
Accogliamo la divulgazione responsabile. Scrivi a security@vulk.dev con passi di riproduzione, comportamento atteso vs osservato e una valutazione di severità stile CVSS. Confermiamo entro 24 ore e facciamo triage entro 72. Non richiediamo NDA per parlare con i ricercatori.
Le scoperte valide ricevono credito pubblico (o anonimo, a tua scelta) nel changelog.
Ultima revisione: April 30, 2026