Segurança e privacidade
Tradução que protege o que você diz
Criptografia do lado do cliente por padrão. Exportação e exclusão de dados conforme o RGPD. Caminhos de implantação em nuvem gerenciada e totalmente on-premises. Os controles HIPAA — integração respaldada por um BAA, retenção de auditoria de 6 anos e zero PHI nos registros do aplicativo — aplicam-se a contas aprovadas para uso na área da saúde sob um Business Associate Agreement assinado.
E2E
Mensagens com Signal Protocol
BAA
Controles HIPAA sob BAA assinado
6 anos
Retenção de auditoria
On-prem
Opção de implantação
Oito pilares
A Vavus AI foi construída desde o primeiro dia para a área da saúde e para empresas. Os recursos de consumo herdam a mesma base de criptografia.
Criptografia do lado do cliente por padrão
O novo histórico armazenado, os documentos e o áudio são criptografados no seu dispositivo antes do armazenamento. As mensagens usam criptografia de ponta a ponta, com exatamente duas exceções que você precisa ativar: as enquetes em grupo, que o servidor precisa ler para contabilizar os votos, e as mensagens de voz cuja tradução você solicita, que exigem o seu consentimento registrado. A fala ao vivo é processada brevemente na memória para a entrada de voz, a tradução e a saída falada antes de valerem as regras de armazenamento.
Controles HIPAA sob BAA assinado
Os clientes da área da saúde são integrados sob um Business Associate Agreement após análise. Essas contas recebem expiração de token de 8 horas, tempo limite de inatividade de 15 minutos, exclusão segura de ativos com PHI, zero PHI nos registros do aplicativo por concepção e retenção de auditoria de 6 anos. Estas proteções aplicam-se apenas a contas aprovadas para uso na área da saúde; uma conta Personal não é um fluxo de trabalho HIPAA e não deve ser usada para PHI.
Pronto para o RGPD por padrão
Exportação de dados autenticada. Endpoint de exclusão de conta. Consentimento granular de cookies na web, com respeito ao Global Privacy Control. Estado do consentimento registrado por usuário. Atribuição de primeiro contato capturada somente após o consentimento.
Implantações em nuvem gerenciada e on-premises
Além da nuvem Vavus em nuvem gerenciada, compradores de setores regulados podem avaliar uma implantação dedicada em nuvem gerenciada ou uma instalação totalmente on-premises, sem chamadas de rede de saída.
Trilha de auditoria retida por 6 anos
Os registros de auditoria guardam apenas eventos de metadados (quem fez o quê, quando e a partir de qual dispositivo) e são mantidos por 6 anos para apoiar as revisões de conformidade da HIPAA e empresariais. Os registros nunca contêm PHI nem conteúdo de tradução.
Segurança de conta reforçada
Autenticação JWT com tokens rotativos, tokens de fluxo separados para sessões WebSocket, SSO SAML 2.0 para Enterprise, proteção contra força bruta com recuo exponencial, revogação de tokens ao sair e ao trocar a senha.
Detecção e notificação de violações
Atividade incomum, mudanças de localização e anomalias de IP são sinalizadas. Sessões suspeitas são desafiadas ou revogadas. O bloqueio de conta protege contra o preenchimento de credenciais. Se uma violação afetar os seus dados pessoais, notificamos você e as autoridades competentes sem demora indevida e no prazo de 72 horas após confirmá-la, conforme exige a lei.
Chat de suporte auto-hospedado
O chat de suporte em vavusai.com é atendido pelo nosso próprio agente Vavus Concierge e, quando necessário, uma pessoa da nossa equipe assume o atendimento na nossa central de suporte auto-hospedada. As transcrições de suporte não são entregues a um fornecedor terceiro.
Tipos de conta e controles
As contas Personal, Healthcare e Enterprise compartilham a mesma base de criptografia. Healthcare e Enterprise acrescentam controles mais rígidos.
| Tipo de conta | Controles de sessão | Controles adicionais |
|---|---|---|
| Personal | Expiração de token em 30 dias | Recursos padrão. Mensagens criptografadas de ponta a ponta. Histórico e documentos criptografados do lado do cliente. Não é um fluxo de trabalho HIPAA: não use uma conta Personal para informações de saúde protegidas. |
| Healthcare | Expiração de token em 8 horas, inatividade de 15 minutos | Exige integração aprovada e um BAA celebrado. Reconhecimento de voz médico, opção de implantação on-premises, registros de auditoria, sem PHI nos registros, exclusão segura de ativos com PHI, retenção de auditoria de 6 anos. |
| Enterprise | Expiração de token em 30 dias (ou política da organização) | Registros de auditoria e exportação completos, SSO SAML 2.0, gestão da organização, residência regional dos dados, caminho de implantação em nuvem gerenciada e implantações on-premises. |
Páginas de confiança de alta intenção
Modo de Privacidade e Retenção de Dados
Zero retenção de dados para o conteúdo ao vivo não salvo, ou histórico criptografado quando você escolhe salvá-lo.
Controles de Dados
Modos de sincronização do histórico, armazenamento local, exclusão, exportações, tratamento pelos fornecedores e controles da área da saúde.
Tradução criptografada de ponta a ponta
Um detalhamento preciso das mensagens Signal, do armazenamento criptografado do lado do cliente, do processamento ao vivo e das opções on-premises.
Aplicativo de tradução em conformidade com a HIPAA
Respostas para avaliadores sobre BAA, registro de PHI, controles das contas de saúde, retenção de auditoria e exclusão.
Aplicativo de intérprete médico
Fluxos de tradução clínica com reconhecimento de voz médico, integração respaldada por BAA e salvaguardas de revisão humana.
Controles técnicos concretos
Os protocolos, controles e primitivas que a Vavus AI usa hoje. Esta lista é o detalhe citável por trás das afirmações gerais acima. O que atualmente não afirmamos, e não vamos insinuar: não temos certificação SOC 2 nem ISO 27001, não publicamos relatório de teste de intrusão de terceiros, não oferecemos SLA contratual de disponibilidade nos planos de autoatendimento e não publicamos certificado de seguro cibernético. Compradores empresariais e da área da saúde podem nos perguntar em que ponto está cada um desses itens antes de assinar.
- Criptografia do lado do cliente para histórico, documentos e áudio
- Criptografia de ponta a ponta para as mensagens
- AES-256-GCM (legado do lado do servidor, somente leitura para conteúdo antigo)
- TLS 1.2+ no balanceador de carga
- WAF Cloud Armor (500 requisições/min, bloqueio de 60 s, bloqueio de XSS e injeção de SQL)
- Chave mestra de conta por usuário no Keychain do dispositivo, envolvendo as chaves de cada artefato
- Autenticação JWT e tokens de fluxo separados para sessões WebSocket
- SSO SAML 2.0 (Enterprise)
- Proteção contra força bruta com recuo exponencial e bloqueio de conta
- Revogação de tokens ao sair e ao trocar a senha
- Detecção de violações (atividade incomum, localização, anomalias de IP)
- Exclusão segura (sobrescrita antes da remoção) para ativos com PHI
- Registros de auditoria retidos por 6 anos (Cloud Logging e ciclo de vida do GCS)
Solicitar a documentação de segurança
Equipes da área da saúde e empresariais podem solicitar o pacote completo de documentação de segurança: diagramas da arquitetura de criptografia, gestão de chaves, esquema dos registros de auditoria, topologias de implantação, modelo de BAA e modelo de DPA com a lista nominal de suboperadores.
Perguntas frequentes
A Vavus AI é criptografada de ponta a ponta?+
As mensagens são criptografadas de ponta a ponta, com exatamente duas exceções, ambas condicionadas ao seu uso do recurso: as enquetes em grupo, porque o servidor precisa ler uma enquete para contabilizar os votos e mostrar os resultados, e as mensagens de voz cuja tradução você solicita, porque traduzir uma exige descriptografar essa mensagem nos nossos servidores — pedimos o seu consentimento antes, registramo-lo e auditamos o acesso. O histórico de tradução, os documentos e os envios de áudio são criptografados do lado do cliente antes de saírem do seu dispositivo, de modo que o servidor armazena apenas texto cifrado para o conteúdo novo. A tradução de voz em tempo real fica brevemente em texto claro na memória durante as etapas de processamento da entrada de voz e da saída falada e depois é criptografada antes do armazenamento.
A Vavus AI assina um Business Associate Agreement?+
Sim, para clientes da área da saúde aprovados após análise. Escreva para constantine@vavusai.com ou solicite a análise pela página Healthcare. Uma vez celebrado o BAA, sua conta passa a usar expiração de token de 8 horas, tempo limite de inatividade de 15 minutos, exclusão segura de ativos com PHI, reconhecimento de voz médico, retenção de auditoria de 6 anos e zero PHI nos registros do aplicativo. Enquanto não houver BAA celebrado, uma conta não é um fluxo de trabalho HIPAA e não deve conter PHI.
Onde a Vavus AI hospeda os meus dados?+
A nuvem Vavus padrão funciona nas regiões dos Estados Unidos (principal), da União Europeia (borda) e da Ásia (borda), atrás de um balanceador de carga global. As transferências para fora do EEE, do Reino Unido ou da Suíça apoiam-se nas Cláusulas Contratuais-Tipo da Comissão Europeia (Decisão 2021/914) em conjunto com a criptografia do lado do cliente e de ponta a ponta descrita acima. Clientes empresariais podem avaliar uma implantação dedicada em nuvem gerenciada ou uma instalação totalmente on-premises no próprio data center.
Posso exportar os meus dados da Vavus AI?+
Sim. Usuários autenticados podem solicitar uma exportação completa dos dados pelo endpoint de exportação. A exportação inclui o seu perfil, o seu histórico, os metadados de mensagens, os registros de cobrança e o estado do consentimento — criptografados em repouso com as suas próprias chaves de criptografia no caso dos itens que foram armazenados criptografados.
Por quanto tempo a Vavus AI mantém os meus dados?+
O conteúdo que você não salva não é retido. O conteúdo salvo permanece até você excluí-lo ou encerrar a sua conta. Os registros de cobrança e fiscais são mantidos por 7 anos, os registros de segurança e de fraude por 12 meses, as conversas de suporte por 24 meses e os registros de conta por até 30 dias após o encerramento. As entradas dos registros de auditoria de saúde são mantidas por 6 anos para apoiar as revisões de conformidade da HIPAA e empresariais; contêm apenas metadados — ações do usuário e carimbos de data e hora — e não PHI nem conteúdo de tradução. A tabela completa está na Seção 7 da Política de Privacidade.