Independent developers at freelancers

Security obligations na naaangkop na sa iyo

Kung ikaw ay isang freelancer o independent developer na humawak ng client data, hindi ka maaaring mag-opt out ng security regulation sa pamamagitan ng pagiging maliit. Processor obligations sa ilalim ng GDPR, deployer obligations sa ilalim ng EU AI Act, at ang security requirements ng iyong mga kliyente ay lahat ay nakakabit sa iyo nang direkta — ngayon, sa iyong kasalukuyang laki. Narito ang kung ano ang naaangkop na, pinangalan ayon sa regulation, at kung ano ang kasalukuyang exposed sa iyong sariling account.

Ang naaangkop na sa iyo

GDPR: ikaw ay isang data processor — personally

Kapag ang kliyente ay nagbigay sa iyo ng personal data — isang user database, isang production system, isang export — ikaw ay kumilos bilang isang data processor (at minsan isang controller) sa ilalim ng GDPR. Ang status na ito ay hindi nangangailangan ng kumpanya: ito ay nakakabit sa „a natural or legal person". Ito ay nag-obliga sa iyo na magproseso sa ilalim ng kontrata, upang magdala ng tamang security measures para sa data na iyong hinahawakan, at upang magsabi sa iyong kliyente nang walang undue delay kung ito ay nali-breach — at ito ay naglalantad sa iyo sa compensation claims at administrative fines.

Batayan: GDPR Article 4 (definitions), Article 28 (processing under contract), Article 32 (security of processing), Article 33 (breach notification), Articles 82–83 (liability at administrative fines na hanggang €20 million o 4% ng annual worldwide turnover, kung saan mas mataas).

EU AI Act: ang pag-deploy ng AI para sa mga kliyente ay may mga obligasyon

Kung ang iyong client work ay nagsasama ng paglalagay ng AI systems sa production — isang assistant sa product ng kliyente, isang AI agent na nag-automate ng workflow — ang EU AI Act ay nagpapatakda ng mga obligasyon sa mga deployer: ang mga taong gumagamit ng AI systems sa ilalim ng kanilang sariling awtoridad sa professional na konteksto. Aling mga obligasyon ang naaangkop ay nakadepende sa risk category ng sistema, ngunit „I only integrated it" ay eksakto ang papel na saklaw ng deployer category.

Batayan: EU AI Act Article 26 (obligations ng mga deployer ng high-risk AI systems), Article 4 (AI literacy), Article 99 (penalties).

Ang iyong enterprise clients ay dapat kumuha ng security evidence mula sa iyo

Ang mga kumpanyang gumagana sa ilalim ng SOC 2, ISO 27001, o GDPR Article 28 ay tumatakbo ng vendor-management programs na sinisuri ng mga auditor — at ang mga programang ito ay hindi nakikilala sa pagitan ng isang 500-tao vendor at isang one-tao vendor. Iyan ang dahilan kung bakit ang security questionnaire ay dumating bago ang kontrata. Ang mga freelancer na maaaring sumagot na may patunay ay nagsasara ng mas mabilis kaysa mga freelancer na nag-improvise.

Batayan: contractual — data processing agreements at vendor security requirements na obligado sa mga kliyente na ipatakda sa sinumang nagbibigay ng data, kabilang ang mga indibidwal.

Ang isang breached client project ay isang tunay na business risk

Ang isang security incident sa isang client project ay maaaring nangangahulugang direktang liability sa ilalim ng indemnification clause ng iyong kontrata, ay maaaring nangangahulugang processor liability sa ilalim ng GDPR Article 82 kung saan ang personal data ay kasangkot, at maaaring nangangahulugang pagkawala ng kliyente at ang reference na kasama nito. Para sa isang business ng isa, ang reputational asset ay ang negosyo. Ito ay risk, hindi katiyakan — ngunit ito ay ang ordinaryong chain ng consequences kapag ang isang nakalimutang credential ay naging incident.

Batayan: GDPR Article 82 (right to compensation); ang iyong sariling service contracts.

Kung ano ang kasalukuyang exposed sa iyong account

Bawat obligasyon sa itaas ay nagpapahiwatig ng parehong unang tanong: ano ang may access sa lugar kung saan nabubuhay ang iyong client work? Para sa karamihan ng independent developers ang lugar na ito ay isang personal GitHub account — at ito ay nag-accumulate ng access sa loob ng maraming taon. Lahat ng sumusunod ay machine-readable mula sa GitHub's sariling API:

Installed GitHub Apps

Deployment bots, CI tools, AI assistants — bawat hawak ang permission grant na aprubahan mo minsan. Ang ilan ay hawak na may write o admin sa lahat ng iyong pagmamay-ari; ang ilan ay nabibilang sa mga proyekto na nagtapus na mahabang panahon.

Deploy keys

Unattended SSH credentials sa mga server. Ang read-write key sa isang repository na kailangan lang ng read ay isang code-injection path kung ang server na iyon ay kailanman na-compromise.

Mga collaborator

Mga taong ditanghal sa panahon ng collaborations na nagtapus na, pinapanatili pa rin ang write access — kabilang sa mga repository na publiko.

Public repositories

Aling mga repository mo ang publiko, at sino ang maaaring mag-push sa kanila, ay isang inventory question na karamihan ng mga developer ay hindi masasagot mula sa memory.

AI vendor keys na lumalampas sa mga proyekto

Ang OpenAI, Anthropic, Mistral, o Cursor account sa likod ng iyong side projects ay nag-accumulate ng API keys at seats mahabang ang proyekto ay nagtapus. Ang AI Governance view ng 8200.dev ay nagsisilang ng stale at org-wide keys, keys na lumalampas sa isang role change, at seats na walang gumagamit — mula sa sariling admin APIs ng mga vendor, read-only.

Makita ito, pagkatapos magdesisyon

Kumonekta sa iyong personal GitHub account read-only at kunin ang inventory: bawat installed app at mga grant nito, bawat deploy key at kung ito ay read-only, bawat collaborator, bawat public repository — na may mga findings na ranked ayon sa severity. Ang free tier ay nagpapakita ng iyong top 3 findings nang buo. Walang batas na nangangailangan sa iyo na tumakbo ng scan; ang mga obligasyon sa itaas ay naaangkop sa kahit paano. Kung ano ang nagbabago ng scan ay kung maaari mong sagutin ang mga tanong na ipinahiwatig nila.

I-scan ang iyong account nang libre Basahin ang buong artikulo →

Read-only scopes. Hindi kailanman ang iyong source code. Walang credit card.

Ang pahinang ito ay pangkalahatang impormasyon tungkol sa mga regulasyon na karaniwang naaangkop sa independent developers at freelancers; ito ay hindi legal advice. Kung paano naaangkop ang bawat regulasyon sa iyong specific na sitwasyon ay nakadepende sa mga katotohanan na tiyak sa iyo — para diyan, kumuha ng payo mula sa isang abogado.