Seguridad

Huling Na-update April 25, 2026

'Yung detalyadong content sa page na ito ay available pa lang sa English. 'Yung site menu, footer, at home page ay nasa wika mo na — 'yung mas mahabang articles, isinasalin pa namin at ila-launch agad pag handa na.

1. Paano Namin Pinoprotektahan ang Iyong Account

1.1 Mga Password

Hindi namin kailanman iniimbak o ipinapadala ang iyong password sa plaintext, at walang sinuman sa aming team ang makakakita nito — hindi ngayon, hindi kailanman. Kapag gumawa ka ng account o nagpalit ng password, hina-hash namin ito gamit ang industry-standard na password-hashing function na naka-configure sa kasalukuyang best-practice na mga parameter. Ang hash lamang ang iniimbak. Kapag nag-sign in ka, inihahambing namin ang iyong entry sa hash na iyon. Kung sakaling ma-compromise ang aming database, makikita ng mga umaatake ang mga hash, hindi ang mga password. Ipinapatupad din namin ang industry-standard na mga kinakailangan sa pagiging kumplikado ng password kapag pumipili ka ng bago.

1.2 Mga Session

Pagkatapos mong mag-sign in, gumagamit ang app ng nilagdaang bearer session token na bine-verify ng server sa bawat kahilingan, na nangangahulugang hindi maaaring baguhin o gawa-gawa ang mga token. Kung ang token ay hindi balido, tatanggihan ang kahilingan.

1.3 Rate Limiting

Ang sign-in, sign-up, at pangkalahatang API requests ay limitado sa rate sa mga antas na alinsunod sa industry guidance upang talunin ang credential-stuffing at brute-force na pag-atake. Hindi namin ipinapahayag ang mga partikular na threshold dahil ang paggawa nito ay sasabihin lamang sa umaatake ang kanilang badyet.

1.4 Saan Naninirahan ang Sign-In

Ang lahat ng sign-in ay nangyayari sa loob ng mobile app. Ang marketing site na binabasa mo ngayon ay hindi nag-host ng login, signup, o session-bearing account surfaces — lahat ng iyon ay nasa app sa ilalim ng Settings. Gumagamit kami ng Supabase Auth bilang aming authentication processor. Email at password lamang ang sign-in method ngayon; ang multi-factor at third-party sign-in (Google, Apple, atbp.) ay nasa aming roadmap ngunit hindi pa available.

Ang nag-iisang exception ay ang password reset flow sa /forgot-password at /reset-password. Umiiral ang mga page na iyon dahil ang mga Supabase recovery email ay nangangailangan ng web landing page upang tumanggap ng recovery token. Gumagamit ang mga ito ng publishable (anon) Supabase key, hindi kailanman nag-iimbak ng session sa browser storage, at tinatawag ang signOut() sa sandaling ma-save ang iyong bagong password. Walang itinatago ang marketing site tungkol sa iyo pagkatapos ng nag-iisang tawag na iyon.

2. Paano Namin Pinoprotektahan ang Iyong Data

2.1 Transport

Ang lahat ng trapiko sa pagitan ng iyong device, ng aming marketing site, at ng aming API ay dinadala sa pamamagitan ng HTTPS gamit ang modernong TLS. Gumagamit kami ng HSTS preload upang ang mga compliant na browser ay tumangging kumonekta sa pamamagitan ng plain HTTP. Ang mga kahilingang dumarating nang walang TLS ay tinatanggihan.

2.2 Storage

Ang iyong mga record at na-upload na dokumento (PDF at imahe) ay iniimbak sa naka-encrypt na anyo ng aming database at storage providers, na may encryption sa pahinga. Ang eksaktong storage layout ay isang implementation detail na maaari naming baguhin upang mapabuti ang performance o tibay. Anumang layout ang gamitin namin, ang iyong mga dokumento ay nakatira sa loob ng parehong encryption boundary tulad ng iba pa sa iyong account data. Ang bawat dokumento ay nauugnay din sa isang content hash upang matukoy namin ang mga duplicate nang hindi ulit nag-iimbak ng magkatulad na file.

2.3 Access Controls

Tanging ang application code na kailangang magbasa o magsulat ng iyong mga record ang maaaring gawin ito, at sa konteksto lamang ng kahilingang na-authenticate bilang ikaw. Walang regular na access sa data ng customer ang mga empleyado. Ang anumang access para sa debugging o suporta ay limitado sa kung ano ang kinakailangan at hindi kailanman ginagamit para sa marketing, profiling, o model training.

2.4 Mga Panganib sa Third-Party

Umaasa ang aming Services sa mga third-party infrastructure providers (hosting, database, storage, analytics, authentication, AI). Gumagamit kami ng makatuwirang pag-iingat sa pagpili ng mga provider ngunit hindi namin kontrolado ang kanilang panloob na security practices. Ang isang security incident sa isa sa aming mga provider ay maaaring makaapekto sa data na ipinagkatiwala namin sa kanila, sa kabila ng aming mga safeguard.

2.5 Walang Garantiya

Walang paraan ng electronic transmission, storage, o processing na 100% ligtas. Habang gumagamit kami ng commercially reasonable safeguards, hindi namin magagarantiya ang ganap na seguridad at ginagamit mo ang Services sa iyong sariling panganib.

3. Document Extraction at Google Gemini

Plain-English na pagsisiwalat: Kapag nag-upload ka ng dokumento sa MyPetVault, ang mga nilalaman nito ay ipinapadala sa Google's Gemini API upang mabasa ng Google ang dokumento at magbalik ng structured data (halimbawa, ang pagkuha ng pangalan ng bakuna at petsa mula sa vet receipt). Ang structured prompt na ipinapadala namin kasama ng dokumento ay hindi nagsasama ng anumang impormasyon mula sa iyong MyPetVault account — hindi namin ipinapasa ang iyong email, ang iyong account ID, ang iyong pangalan, ang iyong address, ang iyong subscription tier, o anumang iba pang account-derived identifier sa kahilingan. Hindi namin, gayunpaman, binabago, ginugupit, o tinatanggal ang dokumento mismo bago ipadala. Ang vet receipts, prescriptions, vaccination cards, at mga katulad na dokumento ay karaniwang may personal at contact information na nakalimbag — halimbawa, ang pangalan at address ng pet owner, ang pangalan at klinika ng beterinaryo, mga numero ng telepono, at mga email address. Anuman ang nakalimbag sa dokumento ay parte ng natatanggap ng Google. Kung ayaw mong umalis ng aming sistema ang isang partikular na piraso ng impormasyon, maaari mong itago ito sa dokumento bago mag-upload, laktawan ang upload nang buo at i-enter ang record nang manu-mano, o makipag-ugnayan sa amin upang talakayin ang mga alternatibo. Pinoproseso ng Google ang kahilingan sa ilalim ng kanilang sariling API terms at privacy practices.

Sa sandaling ibinalik ng Google ang mga extracted field, ipinapakita ng MyPetVault sa iyo ang mga ito bilang candidate records, card by card, at sinusuri at kinukumpirma mo ang bawat isa bago ang anumang bagay ay i-save sa profile ng iyong alaga. Walang awtomatikong idinaragdag sa iyong mga record.

Kung mas gugustuhin mong huwag iproseso ng Google Gemini ang isang dokumento, hindi mo kailangang i-upload ito. Maaari kang palaging mag-enter ng mga record (visits, medications, vaccinations, weights, allergies) nang manu-mano sa app. Ang manual entry ay hindi kailanman nagsasangkot ng anumang third-party processor.

Para sa kumpletong listahan kung anong data ang hinahawakan at kanino, tingnan ang aming Privacy Policy.

4. Ano ang Hindi Namin Ginagawa

Ang ilang seguridad na proteksyon ay nagmumula sa mga bagay na istrukturalmente hindi namin ginagawa. Ang MyPetVault ay hindi:

Ang maaari naming gawin — kabilang ang paggamit ng analytics sa loob ng app, pakikipagtulungan sa mga advertising partner, pagbabahagi o pag-license ng data sa mga third party, o paggamit ng na-upload na nilalaman upang sanayin ang mga modelo — ay inilarawan sa aming Privacy Policy. Ang Privacy Policy ang awtoritatibong paglalarawan ng aming mga data practice at maaaring i-update paminsan-minsan habang umuunlad ang Services. Kung saan nagbibigay sa iyo ng karapatan ang naaangkop na batas na mag-opt out sa alinman sa mga praktis na ito, inilalarawan ng Cookie Settings page at ng Data Rights page kung paano gamitin ang karapatang iyon.

Kumukuha kami ng anonymous web analytics sa marketing site para sa mga bisita mula sa Estados Unidos at Canada, awtomatiko, alinsunod sa opt-out privacy frameworks na ginagamit ng mga hurisdiksyong iyon. Ang analytics ay pinoproseso sa US region ng PostHog. Hindi namin ino-load ang analytics para sa mga bisita na may Do Not Track o Global Privacy Control na naka-enable. Tingnan ang Privacy Policy Section 11 para sa kung ano ang kinokolekta at ang Cookie Settings page upang mag-opt out anumang oras.

5. Pag-uulat ng Isyu sa Seguridad

Kung naniniwala kang nakakita ka ng security vulnerability sa MyPetVault, gusto naming malaman. Sinusuportahan namin ang responsableng pagsisiwalat at hindi kami magsasagawa ng legal na aksyon laban sa mga researcher na kumikilos nang may mabuting intensyon, iniiwasan ang mga paglabag sa privacy, at nagbibigay sa amin ng makatuwirang window upang magsiyasat at ayusin ang isyu bago ang pampublikong pagsisiwalat.

Mangyaring mag-email sa support@mypetvault.org na may subject line na Security disclosure at isama ang:

Layunin naming tumugon sa mga ulat ng seguridad sa lalong madaling panahon at panatilihin kang nakapagpapaalam sa buong pagsisiyasat namin.

Naglalathala rin kami ng security contact sa /.well-known/security.txt ayon sa RFC 9116.

6. Mga Tanong

Kung mayroon kang pangkalahatang mga tanong tungkol sa kung paano hinahawakan ng MyPetVault ang iyong data, ang Privacy Policy at Data Rights na mga page ang pinakamagandang panimulang punto. Maaari mo rin kaming abutin sa:

Iterrum LLC
Email: support@mypetvault.org
Mailing address: TODO: add Iterrum LLC mailing address before publishing legal pages