Sécurité et confidentialité
Une traduction qui protège ce que vous dites
Chiffrement côté client par défaut. Export et suppression des données conformes au RGPD. Parcours de déploiement en cloud infogéré et entièrement sur site. Les contrôles HIPAA — intégration adossée à un BAA, conservation des journaux d'audit pendant 6 ans et aucune PHI dans les journaux applicatifs — s'appliquent aux comptes approuvés pour un usage de santé au titre d'un Business Associate Agreement signé.
E2E
Messagerie Signal Protocol
BAA
Contrôles HIPAA sous BAA signé
6 ans
Conservation des journaux d'audit
Sur site
Option de déploiement
Huit piliers
Vavus AI a été conçu dès le premier jour pour la santé et pour l'entreprise. Les fonctionnalités grand public héritent du même socle de chiffrement.
Chiffrement côté client par défaut
Le nouvel historique stocké, les documents et l'audio sont chiffrés sur votre appareil avant stockage. La messagerie utilise le chiffrement de bout en bout, avec exactement deux exceptions que vous devez activer : les sondages de groupe, que le serveur doit lire pour comptabiliser les votes, et les messages vocaux dont vous demandez la traduction, qui exigent votre consentement enregistré. La parole en direct est traitée brièvement en mémoire pour la saisie vocale, la traduction et la restitution vocale, avant application des règles de stockage.
Contrôles HIPAA sous BAA signé
Les clients du secteur de la santé sont intégrés au titre d'un Business Associate Agreement après examen. Ces comptes bénéficient d'une expiration des jetons à 8 heures, d'une déconnexion pour inactivité au bout de 15 minutes, de la suppression sécurisée des éléments contenant des PHI, d'une absence de PHI dans les journaux applicatifs par conception et d'une conservation des journaux d'audit de 6 ans. Ces protections ne s'appliquent qu'aux comptes approuvés pour un usage de santé ; un compte Personal n'est pas un flux de travail HIPAA et ne doit pas servir aux PHI.
Conforme au RGPD par défaut
Export de données authentifié. Point de terminaison de suppression de compte. Consentement granulaire aux cookies sur le web, avec respect du Global Privacy Control. État du consentement suivi par utilisateur. Attribution du premier contact enregistrée uniquement après consentement.
Déploiements en cloud infogéré et sur site
Outre le cloud Vavus en infrastructure infogérée, les acheteurs des secteurs régulés peuvent examiner un déploiement dédié en cloud infogéré ou une installation entièrement sur site, sans aucun appel réseau sortant.
Piste d'audit conservée 6 ans
Les journaux d'audit n'enregistrent que des événements de métadonnées (qui a fait quoi, quand et depuis quel appareil) et sont conservés 6 ans pour les revues de conformité HIPAA et entreprise. Les journaux ne contiennent jamais de PHI ni de contenu de traduction.
Sécurité des comptes renforcée
Authentification JWT à jetons rotatifs, jetons de flux distincts pour les sessions WebSocket, SSO SAML 2.0 pour Enterprise, protection contre la force brute avec temporisation exponentielle, révocation des jetons à la déconnexion et au changement de mot de passe.
Détection et notification des violations
L'activité inhabituelle, les changements de localisation et les anomalies d'adresse IP sont signalés. Les sessions suspectes font l'objet d'une vérification ou sont révoquées. Le verrouillage de compte protège contre le bourrage d'identifiants. Si une violation affecte vos données personnelles, nous vous en informons, ainsi que les autorités compétentes, sans retard injustifié et dans les 72 heures suivant sa confirmation, comme la loi l'exige.
Messagerie d'assistance auto-hébergée
Le chat d'assistance sur vavusai.com est pris en charge par notre propre agent Vavus Concierge ; en cas de besoin, une personne de notre équipe prend le relais dans notre service d'assistance auto-hébergé. Les transcriptions d'assistance ne sont pas confiées à un prestataire tiers.
Types de comptes et contrôles
Les comptes Personal, Healthcare et Enterprise partagent le même socle de chiffrement. Healthcare et Enterprise y ajoutent des contrôles plus stricts.
| Type de compte | Contrôles de session | Contrôles supplémentaires |
|---|---|---|
| Personal | Expiration des jetons à 30 jours | Fonctionnalités standard. Messagerie chiffrée de bout en bout. Historique et documents chiffrés côté client. Ce n'est pas un flux de travail HIPAA : n'utilisez pas un compte Personal pour des informations de santé protégées. |
| Healthcare | Expiration des jetons à 8 heures, inactivité de 15 minutes | Nécessite une intégration approuvée et un BAA signé. Reconnaissance vocale médicale, option de déploiement sur site, journalisation d'audit, aucune PHI dans les journaux, suppression sécurisée des éléments contenant des PHI, conservation des journaux d'audit de 6 ans. |
| Enterprise | Expiration des jetons à 30 jours (ou politique de l'organisation) | Journalisation d'audit et export complets, SSO SAML 2.0, gestion de l'organisation, résidence régionale des données, parcours de déploiement en cloud infogéré et déploiements sur site. |
Pages de confiance à forte intention
Mode Confidentialité et conservation des données
Aucune conservation des contenus en direct non enregistrés, ou historique chiffré lorsque vous choisissez de les enregistrer.
Contrôles des données
Modes de synchronisation de l'historique, stockage local, suppression, exports, traitement par les prestataires et contrôles santé.
Traduction chiffrée de bout en bout
Une analyse précise de la messagerie Signal, du stockage chiffré côté client, du traitement en direct et des options sur site.
Application de traduction conforme à la loi HIPAA
Réponses aux évaluateurs sur le BAA, la journalisation des PHI, les contrôles des comptes santé, la conservation des audits et la suppression.
Application d'interprète médical
Flux de traduction clinique avec reconnaissance vocale médicale, intégration adossée à un BAA et garde-fous de relecture humaine.
Contrôles techniques concrets
Les protocoles, contrôles et primitives que Vavus AI utilise aujourd'hui. Cette liste constitue le détail citable qui étaye les affirmations générales ci-dessus. Ce que nous n'affirmons pas actuellement, et que nous ne laisserons pas entendre : nous ne détenons aucune certification SOC 2 ou ISO 27001, nous ne publions aucun rapport de test d'intrusion réalisé par un tiers, nous n'offrons aucun SLA contractuel de disponibilité sur les formules en libre-service et nous ne publions aucune attestation de cyberassurance. Les acheteurs entreprise et santé peuvent nous interroger sur l'état de chacun de ces points avant de signer.
- Chiffrement côté client pour l'historique, les documents et l'audio
- Chiffrement de bout en bout pour la messagerie
- AES-256-GCM (héritage côté serveur, en lecture seule pour les contenus anciens)
- TLS 1.2+ au niveau du répartiteur de charge
- Pare-feu applicatif Cloud Armor (500 requêtes/min, bannissement de 60 s, blocage XSS et injection SQL)
- Clé maîtresse de compte par utilisateur dans le Keychain de l'appareil, enveloppant les clés propres à chaque élément
- Authentification JWT et jetons de flux distincts pour les sessions WebSocket
- SSO SAML 2.0 (Enterprise)
- Protection contre la force brute avec temporisation exponentielle et verrouillage de compte
- Révocation des jetons à la déconnexion et au changement de mot de passe
- Détection des violations (activité inhabituelle, localisation, anomalies d'adresse IP)
- Suppression sécurisée (écrasement avant effacement) des éléments contenant des PHI
- Journaux d'audit conservés 6 ans (Cloud Logging et cycle de vie GCS)
Demander la documentation de sécurité
Les équipes santé et entreprise peuvent demander le dossier complet de documentation de sécurité : schémas d'architecture du chiffrement, gestion des clés, schéma des journaux d'audit, topologies de déploiement, modèle de BAA et modèle de DPA avec la liste nominative des sous-traitants ultérieurs.
Questions fréquentes
Vavus AI est-il chiffré de bout en bout ?+
La messagerie est chiffrée de bout en bout, avec exactement deux exceptions, toutes deux subordonnées à votre utilisation de la fonctionnalité : les sondages de groupe, parce que le serveur doit lire un sondage pour comptabiliser les votes et afficher les résultats, et les messages vocaux dont vous demandez la traduction, parce que traduire un message impose de le déchiffrer sur nos serveurs — nous vous demandons d'abord votre consentement, nous l'enregistrons et nous auditons l'accès. L'historique de traduction, les documents et les envois audio sont chiffrés côté client avant de quitter votre appareil, de sorte que le serveur ne stocke qu'un texte chiffré pour les nouveaux contenus. La traduction vocale en temps réel est brièvement en clair en mémoire pendant les étapes de saisie vocale et de restitution vocale, puis chiffrée avant stockage.
Vavus AI signe-t-il un Business Associate Agreement ?+
Oui, pour les clients du secteur de la santé approuvés après examen. Écrivez à constantine@vavusai.com ou demandez un examen depuis la page Healthcare. Une fois un BAA signé, votre compte utilise une expiration des jetons à 8 heures, une déconnexion pour inactivité au bout de 15 minutes, la suppression sécurisée des éléments contenant des PHI, la reconnaissance vocale médicale, une conservation des journaux d'audit de 6 ans et aucune PHI dans les journaux applicatifs. Tant qu'aucun BAA n'est signé, un compte n'est pas un flux de travail HIPAA et ne doit contenir aucune PHI.
Où Vavus AI héberge-t-il mes données ?+
Le cloud Vavus standard fonctionne sur les régions États-Unis (principale), Union européenne (périphérie) et Asie (périphérie), derrière un répartiteur de charge mondial. Les transferts hors de l'EEE, du Royaume-Uni ou de la Suisse reposent sur les clauses contractuelles types de la Commission européenne (décision 2021/914) ainsi que sur le chiffrement côté client et de bout en bout décrit ci-dessus. Les clients entreprise peuvent examiner un déploiement dédié en cloud infogéré ou une installation entièrement sur site dans leur propre centre de données.
Puis-je exporter mes données Vavus AI ?+
Oui. Les utilisateurs authentifiés peuvent demander un export complet de leurs données via le point de terminaison d'export. L'export comprend votre profil, votre historique, les métadonnées de messagerie, les enregistrements de facturation et l'état du consentement — chiffrés au repos avec vos propres clés de chiffrement pour les éléments qui étaient stockés chiffrés.
Combien de temps Vavus AI conserve-t-il mes données ?+
Le contenu que vous n'enregistrez pas n'est pas conservé. Le contenu enregistré demeure jusqu'à ce que vous le supprimiez ou fermiez votre compte. Les registres de facturation et fiscaux sont conservés 7 ans, les journaux de sécurité et de fraude 12 mois, les conversations d'assistance 24 mois, et les enregistrements de compte jusqu'à 30 jours après la fermeture. Les entrées de journaux d'audit santé sont conservées 6 ans pour les revues de conformité HIPAA et entreprise ; elles ne contiennent que des métadonnées — actions des utilisateurs et horodatages — et non des PHI ou du contenu de traduction. Le tableau complet figure à la section 7 de la Politique de confidentialité.