Bezpieczeństwo i prywatność
Tłumaczenie, które chroni to, co Państwo mówią
To, co Państwo zapisują, jest szyfrowane na Państwa urządzeniu, zanim do nas dotrze. Z przychodniami i szpitalami dodatkowo podpisujemy umowę wymaganą przez HIPAA i stosujemy bardziej rygorystyczne mechanizmy kontroli.
E2E
Komunikator z protokołem Signal
BAA
Mechanizmy kontroli HIPAA na podstawie podpisanej umowy BAA
6 lat
Przechowywanie rejestrów audytowych
Lokalnie
Opcja wdrożenia
Osiem filarów
Vavus AI od pierwszego dnia był tworzony z myślą o sektorze medycznym i przedsiębiorstwach. Funkcje dla klientów indywidualnych dziedziczą ten sam podstawowy poziom szyfrowania.
Domyślne szyfrowanie po stronie klienta
Nowa przechowywana historia, dokumenty i nagrania audio są szyfrowane na Państwa urządzeniu przed zapisaniem. Wiadomości osobiste są szyfrowane end-to-end. Nasze serwery mogą odczytać treść wiadomości wyłącznie w czterech przypadkach: wiadomości głosowej, którą zdecydują się Państwo przetłumaczyć, za zarejestrowaną zgodą i z zapisem audytowym; ankiety wysłanej ze starszej wersji aplikacji, dopóki tego nie wyłączymy (nowe ankiety są szyfrowane end-to-end); stałego powiadomienia o zakończeniu połączenia, które zawiera wyłącznie czas trwania połączenia; oraz zaproszenia na konferencję, które pokazuje imię i nazwisko zapraszającego i kod pokoju. Mowa na żywo jest przez krótki czas przetwarzana w pamięci na potrzeby wprowadzania mowy, tłumaczenia i odtwarzania mowy, zanim zastosowanie znajdą zasady przechowywania.
Mechanizmy kontroli HIPAA na podstawie podpisanej umowy BAA
Klienci z sektora medycznego są wdrażani na podstawie umowy Business Associate Agreement po przeprowadzeniu weryfikacji. Ich konta otrzymują 8-godzinny okres ważności tokenów, 15-minutowy limit bezczynności, bezpieczne usuwanie zasobów zawierających PHI, brak PHI w dziennikach aplikacji z założenia projektowego oraz 6-letni okres przechowywania rejestrów audytowych. Zabezpieczenia te mają zastosowanie wyłącznie do kont zatwierdzonych do zastosowań medycznych; konto Personal nie jest objęte procesem zgodnym z HIPAA i nie wolno go używać do PHI.
Domyślna gotowość na RODO
Uwierzytelniony eksport danych. Punkt końcowy do usuwania konta. Szczegółowa zgoda na pliki cookie w witrynie, z respektowaniem sygnału Global Privacy Control. Status zgody śledzony dla każdego użytkownika. Atrybucja pierwszego kontaktu rejestrowana wyłącznie po wyrażeniu zgody.
Wdrożenia w chmurze zarządzanej i lokalne
Oprócz naszej standardowej chmury firmy podlegające rygorystycznym zasadom mogą poprosić o własną dedykowaną chmurę lub o pełną instalację na własnych serwerach, która nigdy nie łączy się z internetem.
Ścieżka audytu przechowywana przez 6 lat
Rejestry audytowe zapisują zdarzenia zawierające wyłącznie metadane (kto, co i kiedy zrobił oraz z jakiego urządzenia) i są przechowywane przez 6 lat w przypadku kont medycznych i kont Enterprise. Rejestry nigdy nie zawierają PHI ani treści tłumaczeń.
Silne zabezpieczenia konta
Uwierzytelnianie JWT z rotacyjnymi tokenami, oddzielne tokeny strumieniowe dla sesji WebSocket, SAML 2.0 SSO dla kont Enterprise, ochrona przed atakami siłowymi (brute force) z wykładniczym wydłużaniem opóźnień, unieważnianie tokenów przy wylogowaniu i zmianie hasła.
Wykrywanie naruszeń i powiadamianie o nich
Nietypowa aktywność, zmiany lokalizacji i anomalie adresów IP są oznaczane. Podejrzane sesje wymagają dodatkowej weryfikacji lub są unieważniane. Blokada konta chroni przed atakami typu credential stuffing. Jeżeli naruszenie ochrony danych dotyczy Państwa danych osobowych, powiadamiamy właściwe organy bez zbędnej zwłoki, a jeżeli zastosowanie ma RODO lub brytyjskie RODO (UK GDPR) – w ciągu 72 godzin od stwierdzenia naruszenia, i powiadamiamy Państwa bez zbędnej zwłoki, zgodnie z wymogami prawa.
Czat wsparcia na własnej infrastrukturze
Na czacie wsparcia w witrynie vavusai.com odpowiada nasz własny agent Vavus Concierge, a w razie potrzeby rozmowę przejmuje członek naszego zespołu w naszym helpdesku działającym na własnej infrastrukturze. Zapisy rozmów ze wsparciem nie są przekazywane zewnętrznemu dostawcy.
Typy kont i mechanizmy kontroli
Konta Personal, medyczne (Healthcare) i Enterprise mają ten sam podstawowy poziom szyfrowania. Konta medyczne i Enterprise dodają do niego bardziej rygorystyczne mechanizmy kontroli.
| Typ konta | Kontrola sesji | Dodatkowe mechanizmy kontroli |
|---|---|---|
| Personal | 30-dniowy okres ważności tokenów | Funkcje standardowe. Komunikator szyfrowany end-to-end. Historia i dokumenty szyfrowane po stronie klienta. Nie jest objęte procesem zgodnym z HIPAA – nie należy używać konta Personal do chronionych informacji zdrowotnych. |
| Medyczne (Healthcare) | 8-godzinny okres ważności tokenów, 15-minutowy limit bezczynności | Wymaga zatwierdzonego procesu wdrożenia i zawartej umowy BAA. Rozpoznawanie mowy medycznej, opcja wdrożenia lokalnego, rejestrowanie zdarzeń na potrzeby audytu, brak PHI w dziennikach, bezpieczne usuwanie zasobów zawierających PHI, 6-letni okres przechowywania rejestrów audytowych. |
| Enterprise | Domyślnie zalogowanie na 24 godziny; administratorzy mogą wybrać od 8 godzin do 7 dni | Pełne rejestrowanie zdarzeń na potrzeby audytu i ich eksport, SAML 2.0 SSO, zarządzanie organizacją, lokalizacja danych w określonym regionie, ścieżka wdrożenia w chmurze zarządzanej oraz wdrożenia lokalne. |
Wszystko, o co zapyta Państwa zespół ds. bezpieczeństwa.
Tryb prywatności i przechowywanie danych
Zerowe przechowywanie danych w przypadku niezapisanych treści na żywo lub zaszyfrowana historia, gdy zdecydują się Państwo je zapisać.
Zarządzanie danymi
Tryby synchronizacji historii, pamięć lokalna, usuwanie, eksport, postępowanie dostawców z danymi oraz mechanizmy kontroli dla kont medycznych.
Tłumaczenie szyfrowane end-to-end
Precyzyjne omówienie komunikatora opartego na protokole Signal, pamięci szyfrowanej po stronie klienta, przetwarzania na żywo i opcji wdrożenia lokalnego.
Aplikacja do tłumaczenia zgodna z HIPAA
Odpowiedzi dla osób oceniających rozwiązanie w zakresie umowy BAA, rejestrowania PHI, mechanizmów kontroli kont medycznych, przechowywania rejestrów audytowych i usuwania danych.
Aplikacja do tłumaczenia medycznego
Przepływy pracy tłumaczenia klinicznego z rozpoznawaniem mowy medycznej, wdrażaniem w oparciu o umowę BAA i zabezpieczeniami w postaci weryfikacji przez człowieka.
Konkretne techniczne mechanizmy kontroli
Protokoły, mechanizmy kontroli i prymitywy kryptograficzne, z których Vavus AI korzysta obecnie. Czego obecnie nie deklarujemy i czego nie będziemy sugerować: nie posiadamy certyfikacji SOC 2 ani ISO 27001, nie publikujemy raportu z testów penetracyjnych przeprowadzonych przez podmiot zewnętrzny, nie oferujemy umownej gwarancji dostępności (SLA) w planach samoobsługowych i nie publikujemy certyfikatu ubezpieczenia od ryzyk cybernetycznych. Klienci z sektora medycznego i korporacyjnego mogą przed podpisaniem umowy zapytać nas, jak wygląda sytuacja w każdym z tych zakresów.
- Szyfrowanie po stronie klienta dla historii, dokumentów i nagrań audio
- Szyfrowanie end-to-end dla komunikatora
- AES-256-GCM (starsze szyfrowanie po stronie serwera, tylko do odczytu w przypadku starszych treści)
- TLS 1.2+ na poziomie modułu równoważenia obciążenia
- Cloud Armor WAF (500 żądań/min, blokada na 60 s, blokowanie ataków XSS i SQL injection)
- Główny klucz konta (Account Master Key) dla każdego użytkownika w pęku kluczy urządzenia, opakowujący klucze poszczególnych artefaktów
- Uwierzytelnianie JWT + oddzielne tokeny strumieniowe dla sesji WebSocket
- SAML 2.0 SSO (Enterprise)
- Ochrona przed atakami siłowymi (brute force) z wykładniczym wydłużaniem opóźnień i blokadą konta
- Unieważnianie tokenów przy wylogowaniu i zmianie hasła
- Wykrywanie naruszeń (nietypowa aktywność, lokalizacja, anomalie adresów IP)
- Bezpieczne usuwanie (nadpisanie przed usunięciem) zasobów zawierających PHI
- Rejestry audytowe przechowywane przez 6 lat w przypadku kont medycznych i kont Enterprise
Wniosek o dokumentację bezpieczeństwa
Zespoły z sektora medycznego i przedsiębiorstw mogą zamówić pełny pakiet dokumentacji bezpieczeństwa – diagramy architektury szyfrowania, zarządzanie kluczami, schemat rejestrów audytowych, topologie wdrożeń, wzór umowy BAA oraz wzór umowy powierzenia przetwarzania danych z imienną listą dalszych podmiotów przetwarzających.
Najczęściej zadawane pytania
Czy Vavus AI stosuje szyfrowanie end-to-end?+
Wiadomości osobiste są szyfrowane end-to-end. Nasze serwery mogą odczytać treść wiadomości wyłącznie w czterech przypadkach: wiadomości głosowej, którą zdecydują się Państwo przetłumaczyć, za zarejestrowaną zgodą i z zapisem audytowym; ankiety wysłanej ze starszej wersji aplikacji, dopóki tego nie wyłączymy (nowe ankiety są szyfrowane end-to-end); stałego powiadomienia o zakończeniu połączenia, które zawiera wyłącznie czas trwania połączenia; oraz zaproszenia na konferencję, które pokazuje imię i nazwisko zapraszającego i kod pokoju. Historia tłumaczeń, dokumenty i przesyłane nagrania audio są szyfrowane po stronie klienta, zanim opuszczą Państwa urządzenie, więc w przypadku nowych treści serwer przechowuje wyłącznie szyfrogram. Tłumaczenie mowy w czasie rzeczywistym przez krótki czas występuje w pamięci w postaci tekstu jawnego na etapach przetwarzania wprowadzania i odtwarzania mowy, a następnie jest szyfrowane przed zapisaniem.
Czy Vavus AI podpisuje umowę Business Associate Agreement?+
Tak, z zatwierdzonymi klientami z sektora medycznego po przeprowadzeniu weryfikacji. Prosimy o kontakt pod adresem support@vavusai.com lub złożenie wniosku o weryfikację na stronie dla sektora medycznego. Po zawarciu umowy BAA Państwa konto korzysta z 8-godzinnego okresu ważności tokenów, 15-minutowego limitu bezczynności, bezpiecznego usuwania zasobów zawierających PHI, rozpoznawania mowy medycznej, 6-letniego okresu przechowywania rejestrów audytowych i braku PHI w dziennikach aplikacji. Do czasu zawarcia umowy BAA konto nie jest objęte procesem zgodnym z HIPAA i nie wolno w nim umieszczać PHI.
Gdzie Vavus AI przechowuje moje dane?+
Standardowa chmura Vavus działa w Stanach Zjednoczonych (lokalizacja główna) z węzłem brzegowym w Unii Europejskiej (Frankfurt), za globalnym modułem równoważenia obciążenia. Przekazywanie danych poza EOG, Zjednoczone Królestwo lub Szwajcarię opiera się na standardowych klauzulach umownych Komisji Europejskiej (decyzja 2021/914), wraz z brytyjskim aneksem w sprawie międzynarodowego przekazywania danych (UK International Data Transfer Addendum) i dostosowaniami szwajcarskimi, jeżeli mają zastosowanie, łącznie z opisanym powyżej szyfrowaniem po stronie klienta i szyfrowaniem end-to-end. Klienci Enterprise mogą rozważyć wdrożenie w dedykowanej chmurze zarządzanej lub w pełni lokalną instalację we własnym centrum danych.
Czy mogę wyeksportować swoje dane z Vavus AI?+
Tak. Uwierzytelnieni użytkownicy mogą zażądać pełnego eksportu danych za pośrednictwem punktu końcowego eksportu danych. Eksport obejmuje Państwa profil, historię, metadane komunikatora, dokumentację rozliczeniową i status zgód – w przypadku elementów przechowywanych w postaci zaszyfrowanej są one zaszyfrowane w spoczynku Państwa własnymi kluczami szyfrującymi.
Jak długo Vavus AI przechowuje moje dane?+
Treści, których Państwo nie zapisują, nie są przechowywane. Zapisane treści pozostają do czasu ich usunięcia lub zamknięcia konta. Dokumentacja rozliczeniowa i podatkowa jest przechowywana przez 7 lat, rejestry dotyczące bezpieczeństwa i oszustw przez 12 miesięcy, rozmowy ze wsparciem przez 24 miesiące, a dane konta do 30 dni po jego zamknięciu. Wpisy w rejestrach audytowych kont medycznych są przechowywane przez 6 lat na potrzeby przeglądów zgodności z HIPAA i wymogami korporacyjnymi; zawierają wyłącznie metadane – działania użytkowników i znaczniki czasu – a nie PHI ani treści tłumaczeń. Pełna tabela znajduje się w sekcji 7 Polityki prywatności.