Seguridad y privacidad
Traducción que protege lo que usted dice
Cifrado del lado del cliente de forma predeterminada. Exportación y eliminación de datos conforme al RGPD. Rutas de despliegue en nube gestionada y totalmente on-premises. Los controles HIPAA —alta respaldada por un BAA, conservación de auditoría de 6 años y cero PHI en los registros de la aplicación— se aplican a las cuentas aprobadas para uso sanitario al amparo de un Acuerdo de Socio Comercial firmado.
E2E
Mensajería con Signal Protocol
BAA
Controles HIPAA con un BAA firmado
6 años
Conservación de auditoría
On-prem
Opción de despliegue
Ocho pilares
Vavus AI se construyó desde el primer día para el sector sanitario y para las empresas. Las funciones de consumo heredan la misma base de cifrado.
Cifrado del lado del cliente de forma predeterminada
El nuevo historial almacenado, los documentos y el audio se cifran en su dispositivo antes de almacenarse. La mensajería utiliza cifrado de extremo a extremo, con exactamente dos excepciones que usted debe activar: las encuestas de grupo, que el servidor debe leer para contabilizar los votos, y los mensajes de voz cuya traducción usted solicita, que requieren su consentimiento registrado. El habla en directo se procesa brevemente en memoria para la entrada de voz, la traducción y la salida hablada antes de que se apliquen las reglas de almacenamiento.
Controles HIPAA con un BAA firmado
Los clientes sanitarios se dan de alta al amparo de un Acuerdo de Socio Comercial tras una revisión. Esas cuentas obtienen caducidad de token de 8 horas, tiempo máximo de inactividad de 15 minutos, eliminación segura de los activos con PHI, cero PHI en los registros de la aplicación por diseño y conservación de auditoría de 6 años. Estas protecciones se aplican únicamente a las cuentas aprobadas para uso sanitario; una cuenta Personal no es un flujo de trabajo HIPAA y no debe utilizarse para PHI.
Preparado para el RGPD de forma predeterminada
Exportación de datos autenticada. Endpoint de eliminación de cuenta. Consentimiento granular de cookies en la web, con respeto del Global Privacy Control. Estado del consentimiento registrado por usuario. Atribución de primer contacto capturada solo después del consentimiento.
Despliegues en nube gestionada y on-premises
Además de la nube de Vavus sobre nube gestionada, los compradores de sectores regulados pueden evaluar un despliegue dedicado en nube gestionada o una instalación totalmente on-premises sin llamadas de red salientes.
Rastro de auditoría conservado 6 años
Los registros de auditoría recogen únicamente eventos de metadatos (quién hizo qué, cuándo y desde qué dispositivo) y se conservan 6 años para respaldar las revisiones de cumplimiento de la HIPAA y las empresariales. Los registros nunca contienen PHI ni contenido de traducción.
Seguridad de cuenta reforzada
Autenticación JWT con tokens rotatorios, tokens de flujo separados para las sesiones WebSocket, SSO SAML 2.0 para Enterprise, protección contra fuerza bruta con retroceso exponencial y revocación de tokens al cerrar sesión y al cambiar la contraseña.
Detección y notificación de brechas
Se señalan la actividad inusual, los cambios de ubicación y las anomalías de IP. Las sesiones sospechosas se someten a verificación o se revocan. El bloqueo de cuenta protege frente al relleno de credenciales. Si una brecha afecta a sus datos personales, se lo notificamos a usted y a las autoridades competentes sin dilación indebida y dentro de las 72 horas siguientes a su confirmación, conforme exige la ley.
Chat de soporte autoalojado
El chat de soporte en vavusai.com lo atiende nuestro propio agente Vavus Concierge y, cuando es necesario, una persona de nuestro equipo toma el relevo en nuestro servicio de asistencia autoalojado. Las transcripciones de soporte no se entregan a un proveedor externo.
Tipos de cuenta y controles
Las cuentas Personal, Healthcare y Enterprise comparten la misma base de cifrado. Healthcare y Enterprise añaden controles más estrictos por encima.
| Tipo de cuenta | Controles de sesión | Controles adicionales |
|---|---|---|
| Personal | Caducidad de token de 30 días | Funciones estándar. Mensajería cifrada de extremo a extremo. Historial y documentos cifrados del lado del cliente. No es un flujo de trabajo HIPAA: no utilice una cuenta Personal para información sanitaria protegida. |
| Healthcare | Caducidad de token de 8 horas, inactividad máxima de 15 minutos | Requiere un alta aprobada y un BAA suscrito. Reconocimiento de voz médico, opción de despliegue on-premises, registros de auditoría, sin PHI en los registros, eliminación segura de los activos con PHI y conservación de auditoría de 6 años. |
| Enterprise | Caducidad de token de 30 días (o política de la organización) | Registros de auditoría y exportación completos, SSO SAML 2.0, gestión de la organización, residencia regional de los datos, ruta de despliegue en nube gestionada y despliegues on-premises. |
Páginas de confianza de alta intención
Modo Privacidad y Conservación de Datos
Cero conservación de datos para el contenido en directo no guardado, o historial cifrado cuando decide guardarlo.
Controles de Datos
Modos de sincronización del historial, almacenamiento local, eliminación, exportaciones, tratamiento por los proveedores y controles sanitarios.
Traducción cifrada de extremo a extremo
Un desglose preciso de la mensajería Signal, el almacenamiento cifrado del lado del cliente, el procesamiento en directo y las opciones on-premises.
Aplicación de traducción conforme a la HIPAA
Respuestas para evaluadores sobre el BAA, el registro de PHI, los controles de las cuentas sanitarias, la conservación de auditoría y la eliminación.
Aplicación de intérprete médico
Flujos de trabajo de traducción clínica con reconocimiento de voz médico, alta respaldada por un BAA y salvaguardas de revisión humana.
Controles técnicos concretos
Los protocolos, controles y primitivas que Vavus AI utiliza hoy. Esta lista es el detalle citable que respalda las afirmaciones generales anteriores. Lo que actualmente no afirmamos, y no vamos a insinuar: no tenemos certificación SOC 2 ni ISO 27001, no publicamos ningún informe de pruebas de penetración de terceros, no ofrecemos un SLA contractual de disponibilidad en los planes de autoservicio y no publicamos certificado de ciberseguro. Los compradores empresariales y sanitarios pueden preguntarnos en qué punto se encuentra cada uno de esos aspectos antes de firmar.
- Cifrado del lado del cliente para el historial, los documentos y el audio
- Cifrado de extremo a extremo para la mensajería
- AES-256-GCM (heredado del lado del servidor, solo lectura para el contenido antiguo)
- TLS 1.2+ en el balanceador de carga
- WAF Cloud Armor (500 solicitudes/min, bloqueo de 60 s, bloqueo de XSS y de inyección SQL)
- Clave maestra de cuenta por usuario en el Keychain del dispositivo, que envuelve las claves de cada artefacto
- Autenticación JWT y tokens de flujo separados para las sesiones WebSocket
- SSO SAML 2.0 (Enterprise)
- Protección contra fuerza bruta con retroceso exponencial y bloqueo de cuenta
- Revocación de tokens al cerrar sesión y al cambiar la contraseña
- Detección de brechas (actividad inusual, ubicación, anomalías de IP)
- Eliminación segura (sobrescritura antes del borrado) para los activos con PHI
- Registros de auditoría conservados 6 años (Cloud Logging y ciclo de vida de GCS)
Solicitar la documentación de seguridad
Los equipos sanitarios y empresariales pueden solicitar el paquete completo de documentación de seguridad: diagramas de la arquitectura de cifrado, gestión de claves, esquema de los registros de auditoría, topologías de despliegue, plantilla de BAA y plantilla de DPA con la lista nominativa de subencargados.
Preguntas frecuentes
¿Vavus AI está cifrado de extremo a extremo?+
La mensajería está cifrada de extremo a extremo, con exactamente dos excepciones, ambas condicionadas a que usted utilice la función: las encuestas de grupo, porque el servidor tiene que leer una encuesta para contabilizar los votos y mostrar los resultados, y los mensajes de voz cuya traducción usted solicita, porque traducir uno exige descifrar ese mensaje en nuestros servidores; le pedimos su consentimiento previo, lo registramos y auditamos el acceso. El historial de traducción, los documentos y las cargas de audio se cifran del lado del cliente antes de salir de su dispositivo, de modo que el servidor solo almacena texto cifrado para el contenido nuevo. La traducción de voz en tiempo real está brevemente en claro en memoria durante los pasos de procesamiento de la entrada de voz y de la salida hablada, y después se cifra antes de almacenarse.
¿Vavus AI firma un Acuerdo de Socio Comercial?+
Sí, para los clientes sanitarios aprobados tras una revisión. Escriba a constantine@vavusai.com o solicite la revisión desde la página de Healthcare. Una vez suscrito un BAA, su cuenta utiliza caducidad de token de 8 horas, inactividad máxima de 15 minutos, eliminación segura de los activos con PHI, reconocimiento de voz médico, conservación de auditoría de 6 años y cero PHI en los registros de la aplicación. Hasta que se suscriba un BAA, una cuenta no es un flujo de trabajo HIPAA y no debe contener PHI.
¿Dónde aloja Vavus AI mis datos?+
La nube estándar de Vavus funciona en las regiones de Estados Unidos (principal), la UE (perimetral) y Asia (perimetral) detrás de un balanceador de carga global. Las transferencias fuera del EEE, del Reino Unido o de Suiza se basan en las Cláusulas Contractuales Tipo de la Comisión Europea (Decisión 2021/914) junto con el cifrado del lado del cliente y de extremo a extremo descrito anteriormente. Los clientes empresariales pueden evaluar un despliegue dedicado en nube gestionada o una instalación totalmente on-premises en su propio centro de datos.
¿Puedo exportar mis datos de Vavus AI?+
Sí. Los usuarios autenticados pueden solicitar una exportación completa de datos a través del endpoint de exportación. La exportación incluye su perfil, su historial, los metadatos de mensajería, los registros de facturación y el estado del consentimiento, cifrados en reposo con sus propias claves de cifrado en el caso de los elementos que se almacenaron cifrados.
¿Cuánto tiempo conserva Vavus AI mis datos?+
El contenido que no guarda no se conserva. El contenido guardado permanece hasta que lo elimine o cierre su cuenta. Los registros de facturación y fiscales se conservan 7 años; los registros de seguridad y de fraude, 12 meses; las conversaciones de soporte, 24 meses; y los registros de cuenta, hasta 30 días después del cierre. Las entradas del registro de auditoría sanitario se conservan 6 años para respaldar las revisiones de cumplimiento de la HIPAA y las empresariales; contienen únicamente metadatos —acciones de usuario y marcas de tiempo—, no PHI ni contenido de traducción. La tabla completa está en la Sección 7 de la Política de Privacidad.