As partes chatas, bem feitas.
Dados em repouso armazenados na UE, isolamento Firecracker por pré-visualização, TLS 1.3 + AES-256, controlos dos fornecedores quando disponíveis, opção de excluir os dados do treino de modelos nos planos Max e Business e propriedade total do código. Encontras os detalhes abaixo — escritos para responder a um questionário de segurança sem precisares de uma chamada.
Como a VULK está construída, em seis pilares.
Residência de dados
A base de dados de produção é PostgreSQL 16 alojado em AWS RDS eu-central-1 (Frankfurt). Servidores aplicacionais na UE. Ativos estáticos distribuídos por CDN. Nenhum registo de cliente sai da UE sem uma adenda explícita ao DPA.
- ▸Base de dados principal: AWS RDS eu-central-1 (Frankfurt)
- ▸Servidores aplicacionais e bases de dados das apps geradas: Hetzner, Falkenstein (Alemanha)
- ▸CDN: rede periférica global da Cloudflare (apenas HTTPS)
Isolamento de geração
Cada pré-visualização ao vivo corre em microVM Firecracker dedicada, com kernel, rootfs e namespace de rede próprios. Um projeto não pode ler ou afetar a árvore de processos, sistema de ficheiros ou rede de outro. As VMs são destruídas no fim da sessão — sem estado persistente partilhado.
- ▸MicroVM Firecracker por pré-visualização
- ▸Namespace de rede + filtro iptables de saída
- ▸Rootfs efémero, destruído ao terminar sessão
Encriptação
TLS 1.3 em trânsito em todo o lado. AES-256 em repouso no RDS e em R2 / S3. Segredos de cliente em keychain (variáveis de ambiente do lado da aplicação, nunca registados nem devolvidos em respostas API). Payloads de webhook assinados com HMAC.
- ▸TLS 1.3 (apenas HTTPS)
- ▸AES-256 em repouso (RDS, R2, S3)
- ▸Segredos nunca registados nem ecoados
Política de fornecedores de IA
Encaminhamos os pedidos através do OpenRouter para a Anthropic, a Google, a OpenAI e outros fornecedores. Damos preferência a rotas de fornecedores com controlos de exclusão do treino ou de retenção zero, quando disponíveis. A opção da VULK de excluir os dados do treino está incluída nos planos Max e Business.
- ▸Controlos de retenção do fornecedor usados quando disponíveis
- ▸Opção de excluir os dados do treino em Max e Business
Autenticação
O início de sessão por OAuth usa PKCE e transações de autorização de utilização única guardadas no servidor. Ligação ao Stripe Customer só do lado do servidor. MFA opcional, SSO via SAML / OIDC no Business, com entrega de registos de auditoria para o teu SIEM.
- ▸OAuth com PKCE e cookies seguros HttpOnly
- ▸MFA opcional via TOTP
- ▸SSO SAML / OIDC no Business
Propriedade do código
Cada projeto é teu código. Exportas para GitHub ou ZIP; corres na tua infra; cancelas amanhã e as apps que fizeste continuam a funcionar. Não temos licença sobre o teu resultado, e não há runtime dependente de subscrição SaaS.
- ▸Exportação completa do repositório (GitHub ou ZIP)
- ▸Sem runtime proprietário
- ▸Licenciável MIT à tua escolha
Como tratamos da conformidade.
O que fazemos hoje, dito com clareza.
- RGPDAlinhadoA VULK é o responsável pelo tratamento de dados. DPA disponível mediante pedido. Subprocessadores divulgados e notificados em caso de mudança.
- Acordo de tratamento de dadosDisponívelEnviado gratuitamente em Pro e Business. Termos Enterprise revistos em 5 dias úteis.
- PCI-DSSN/A — Stripe trata dos cartõesOs dados de cartão nunca tocam nos servidores VULK. Stripe Checkout / Elements trata de todo o âmbito PCI.
Quem mais toca nos teus dados.
Somos obrigados a divulgar cada serviço externo que possa processar os teus dados. Notificação em caso de mudança faz parte do DPA.
| Serviço | Finalidade | Região |
|---|---|---|
| AWS (RDS, SSM) | Base de dados + gestão de segredos | eu-central-1 (Frankfurt) |
| Hetzner | Alojamento de aplicação + pré-visualização | Falkenstein, Alemanha |
| Cloudflare | CDN, DNS, armazenamento R2, deploy | Processamento global; jurisdição R2: predefinida (sem restrição à UE) |
| Stripe | Faturação + processamento de pagamentos | UE + EUA (em conformidade com PCI) |
| Resend | Email transacional | EUA (envio de email) |
| OpenRouter | Encaminhamento de modelos de IA | Global (a retenção depende da rota) |
| Replicate | Geração de imagem e vídeo | EUA |
| Tencent Cloud | Geração de modelos 3D | Singapura |
| Sentry | Monitorização de erros | UE |
Encontraste uma vulnerabilidade? Diz-nos primeiro.
Aceitamos divulgação responsável. Email para security@vulk.dev com passos de reprodução, comportamento esperado vs. observado, e qualquer avaliação de severidade tipo CVSS. Confirmamos em 24 horas e fazemos triagem em 72. Não exigimos NDA para falar com investigadores.
Descobertas válidas recebem crédito público (ou anónimo, à tua escolha) no changelog.
Última revisão: April 30, 2026