Kaj imamo in česa nimamo
Začnite tukaj, saj je to vprašanje, ki odloči, ali je ostalo vredno branja.
- Nimamo ISO 27001, nimamo SOC 2 in nimamo poročila o penetracijskem testu tretje osebe. Ne bomo namigovali na nasprotno in internega pregleda ne bomo imenovali revizija.
- Če vaš nabavni postopek karkoli od tega zahteva, povejte na prvem klicu. Dobili boste jasen odgovor, ali to lahko izpolnimo, namesto ponudbe, ki tega tiho ne zmore.
- Vse spodaj je praksa, ki jo izvajamo, ali ugotovitev o nečem, česar ne počnemo. Nič od tega ni s strani kogarkoli certificirano.
Kje sta vaša koda in vaši podatki
- Razvoj poteka v vaših repozitorijih, pod vašimi kontrolami dostopa. Vzporedne kopije vašega sistema pri sebi ne hranimo.
- Vaša koda, vaša infrastruktura in vaša dokumentacija so vaši od prvega dne, ne šele ob zadnjem plačilu. Ničesar ne bi mogli zadržati.
- Pri sistemih, ki jih poganjamo za vas, o regiji odločate vi. EU je naša privzeta izbira, in povemo vam, kadar kaj, kar želite, to oteži.
- Dostop do vaših okolij se izda po osebi, za delo, ki ga zahteva, in se ob predaji odvzame. Skrivnosti so zunaj repozitorija.
Upravljanje umetne inteligence
V svojem procesu dostave uporabljamo agente umetne inteligence. To je sprememba načina dela in prihaja s pravili, ki se jih držimo — ne s trditvijo o tem, kako napredno je.
- Za vsako vrstico odgovarja človek, tudi za generirane. Poimensko določen inženir prebere vsako spremembo in jo podpiše. Nič generiranega ne doseže vašega sistema neprebrano.
- Agenti ne nameščajo. Spremembe predlagajo. Človek odobri in izda, vsakič.
- Brez stalnih dostopov. Agenti tečejo pod ozko določenimi, preklicljivimi identitetami znotraj vaših kontrol, dodeljenimi kot vsaki drugi osebi na projektu.
- Seznam orodij in ponudnikov je pisno določen pred začetkom dela, skupaj z regijo, v kateri ti ponudniki tečejo. Je del projektne dokumentacije in ne nekaj, za kar morate prositi.
- Uporabljamo izključno ponudnike, katerih pogoji izključujejo učenje na poslani vsebini. Pogoji hrambe in učenja pripadajo ponudniku, zato poimenujemo ponudnika in pogoje, ki jih imamo z njim, namesto da bi obljubljali v njegovem imenu.
- Način brez kakršnegakoli zunanjega dostopa do modelov je na voljo vsakomur na zahtevo. Ni pridržan za regulirane kupce, in prošnja zanj ne spremeni cene.
- Izvor je preverljiv. Vsaka sprememba nosi podpis pregledujočega inženirja v zgodovini sprememb, tako da je naknadno mogoče odgovoriti, kdo je kaj odobril, in se ni treba zanašati na spomin.
- Testi se pišejo proti dogovorjenim prevzemnim kriterijem, nikoli izpeljani iz izvedbe, ki jih mora prestati. Generirana koda se presoja glede na to, kar je bila naročena narediti, in ne sprejme zato, ker teče.
Kadar je umetna inteligenca tisto, kar kupujete
Gradimo tudi funkcije umetne inteligence v produkte strank. Dvoje povemo, preden se to delo začne:
- Če to, kar ste naročili, sodi v kategorijo, ki jo evropska pravila obravnavajo kot visoko tvegano, ali sproža obveznosti glede preglednosti do vaših uporabnikov, to povemo, preden zgradimo — in dokumentacijo ter beleženje, ki jih ta pravila pričakujejo, vključimo v obseg, namesto da bi to prepustili vaši pravni službi.
- Kje obveznost leži, je vprašanje za vaše pravnike in ne za nas. Jasno povemo, katere dele lahko nosimo mi in kateri so vaši.
Varnost v vsakem ciklu
Skrbni pregled teče znotraj vsakega dvotedenskega cikla in ne kot vrata pred zagonom. Težava, najdena v ciklu, stane dan; ista težava v tednu pred zagonom stane rok.
- Kdo se lahko prijavi, do česa lahko dostopa in kako se ravna s podatki, se razčisti ob zasnovi sistema.
- Preverjanja odvisnosti in licenc tečejo ob vsaki spremembi, najdba pa jo blokira kot vsak drug neuspeh. Kdor je spremembo napisal, je ne more spustiti mimo.
- Vsak cikel znova pregleda celoten sistem, ne le spremenjenega dela.
- Varnostna regresija se obravnava kot napaka in se ne odloži v seznam nalog za funkcionalnostmi.
- Sprejmemo neodvisen varnostni test, ki ga naročite vi, pred zagonom, in kar najde glede na dogovorjene kriterije, odpravimo na svoje stroške.
Varstvo podatkov
- Pri delu na vaših sistemih smo vaš obdelovalec. Podpišemo vašo pogodbo o obdelavi podatkov.
- Lastne predloge te pogodbe še ne objavljamo. Ko bo obstajala, jo bodo pregledali pravniki; raje vam to povemo, kot da vam pošljemo nepregledan osnutek.
- Naši ljudje so v Ljubljani, na Dunaju in v Trstu. Pogodbena družba je registrirana v Estoniji, torej je projekt tako ali tako sklenjen znotraj EU, pravo, ki ga ureja, pa je navedeno v Statement of Work pred podpisom.
- To spletišče ne izvaja analitike, nima sledilnih piškotkov in nobenih nenujnih piškotkov. To je odločitev o tem spletišču. Ni stališče, ki bi ga vsiljevali vašemu produktu, in graditi tok privolitev, ki prestane vaš pravni pregled, je običajno naročeno delo.
- To spletišče nima kontaktnega obrazca in ne sledi obiskovalcem, zato od njih ne zbira ničesar. Kar nam pošljete po e-pošti, uporabimo, da vam odgovorimo, in za nič drugega. Merodajna je politika zasebnosti.
Kako sklepamo pogodbe
- Obseg, prevzemni kriteriji, mejniki in pravice odločanja se zapišejo pred kodo. Kar je znotraj kriterijev, je naše; kar je zunaj, je sprememba, pisno ovrednotena in z vaše strani odobrena, preden se začne.
- NDA podpišemo, preden opišete karkoli zaupnega. Za to vam projekta ni treba pojasnjevati.
- Po prevzemu nadaljnje delo teče prek mesečnega retainerja, če želite, da ostanemo. K temu niste zavezani, predaja pa se je itak že zgodila.
- Reference iz prejšnjih projektov naših ustanoviteljev so na voljo pred vašim podpisom.
Kaj je še odprto
Raje naštejemo sami, kot da to odkrijete vi.
- Pogodbena družba je BUMM Solutions OÜ, registrska številka 17278389, registrirana v Estoniji. Registrirani naslov, upravo in telefonsko številko še dodajamo v podatke o podjetju. Družba ni registrirana za DDV; če vaša nabava potrebuje identifikacijsko številko za DDV za obrnjeno davčno obveznost, to izpostavite na prvem klicu.
- Naš lastni sklop pogodb — krovna pogodba, pogodba o obdelavi podatkov, predloga Statement of Work — je pri pravnikih. Vprašajte na klicu in dobili boste pošten datum.