Безопасность и конфиденциальность
Перевод, который защищает то, что Вы говорите
Шифрование на стороне клиента по умолчанию. Экспорт и удаление данных в соответствии с GDPR. Развёртывание в управляемом облаке и полностью на собственной площадке. Средства контроля HIPAA — подключение на основании BAA, шестилетнее хранение журналов аудита и полное отсутствие PHI в журналах приложения — применяются к учётным записям, одобренным для медицинского использования на основании подписанного соглашения о деловом партнёрстве.
E2E
Обмен сообщениями по Signal Protocol
BAA
Средства контроля HIPAA по подписанному BAA
6 лет
Хранение журналов аудита
На площадке
Вариант развёртывания
Восемь опор
Vavus AI с первого дня создавался для медицины и корпоративного использования. Пользовательские функции наследуют тот же базовый уровень шифрования.
Шифрование на стороне клиента по умолчанию
Новые сохраняемые записи истории, документы и аудио шифруются на Вашем устройстве до сохранения. Обмен сообщениями использует сквозное шифрование, и есть ровно два исключения, которые Вы должны выбрать сами: групповые опросы, которые сервер вынужден прочитать, чтобы подсчитать голоса, и голосовые сообщения, перевод которых Вы у нас запрашиваете и для которого требуется Ваше зафиксированное согласие. Живая речь кратковременно обрабатывается в оперативной памяти на этапах речевого ввода, перевода и озвучивания, после чего вступают в силу правила хранения.
Средства контроля HIPAA по подписанному BAA
Медицинские клиенты подключаются на основании соглашения о деловом партнёрстве после проверки. Такие учётные записи получают срок действия токена 8 часов, тайм-аут бездействия 15 минут, безопасное удаление активов с PHI, отсутствие PHI в журналах приложения по замыслу и шестилетнее хранение журналов аудита. Эта защита применяется только к учётным записям, одобренным для медицинского использования; учётная запись Personal не является рабочим процессом HIPAA и не должна использоваться для PHI.
Готовность к GDPR по умолчанию
Экспорт данных для аутентифицированных пользователей. Конечная точка удаления учётной записи. Детальное согласие на файлы cookie в вебе с соблюдением сигнала Global Privacy Control. Состояние согласия отслеживается по каждому пользователю. Атрибуция первого касания фиксируется только после получения согласия.
Развёртывание в управляемом облаке и на собственной площадке
Помимо облака Vavus, работающего в управляемом облаке, покупатели из регулируемых отраслей могут рассмотреть выделенное развёртывание в управляемом облаке либо полностью локальную установку без исходящих сетевых вызовов.
Журнал аудита хранится 6 лет
Журналы аудита фиксируют только события с метаданными (кто, что, когда и с какого устройства сделал) и хранятся 6 лет для поддержки проверок соответствия требованиям HIPAA и корпоративным требованиям. Журналы никогда не содержат PHI или переводческого содержимого.
Надёжная защита учётной записи
Аутентификация JWT с ротацией токенов, отдельные потоковые токены для сеансов WebSocket, единый вход SAML 2.0 для Enterprise, защита от подбора паролей с экспоненциальной задержкой, отзыв токенов при выходе из системы и смене пароля.
Выявление нарушений и уведомление о них
Необычная активность, изменения местоположения и аномалии IP-адресов помечаются. Подозрительные сеансы проходят дополнительную проверку либо отзываются. Блокировка учётной записи защищает от подстановки украденных учётных данных. Если нарушение затрагивает Ваши персональные данные, мы уведомляем Вас и соответствующие органы без неоправданной задержки и в течение 72 часов с момента подтверждения нарушения, как того требует закон.
Чат поддержки на собственных серверах
Чат поддержки на vavusai.com обслуживает наш собственный агент Vavus Concierge, а при необходимости разговор перенимает сотрудник нашей команды в нашей собственной службе поддержки, размещённой на наших серверах. Расшифровки обращений в поддержку не передаются стороннему поставщику.
Типы учётных записей и средства контроля
Учётные записи Personal, Healthcare и Enterprise имеют одинаковый базовый уровень шифрования. Healthcare и Enterprise добавляют к нему более строгие средства контроля.
| Тип учётной записи | Управление сеансами | Дополнительные средства контроля |
|---|---|---|
| Personal | Срок действия токена 30 дней | Стандартные функции. Обмен сообщениями со сквозным шифрованием. История и документы, зашифрованные на стороне клиента. Не является рабочим процессом HIPAA — не используйте учётную запись Personal для защищаемой медицинской информации. |
| Healthcare | Срок действия токена 8 часов, тайм-аут бездействия 15 минут | Требуются одобренная процедура подключения и заключённое BAA. Медицинское распознавание речи, вариант развёртывания на собственной площадке, ведение журналов аудита, отсутствие PHI в журналах, безопасное удаление активов с PHI, шестилетнее хранение журналов аудита. |
| Enterprise | Срок действия токена 30 дней (или согласно политике организации) | Полное ведение журналов аудита и экспорт, единый вход SAML 2.0, управление организацией, региональная локализация данных, путь развёртывания в управляемом облаке и развёртывание на собственной площадке. |
Страницы доверия для заинтересованных покупателей
Режим конфиденциальности и хранение данных
Нулевое хранение несохранённого живого содержимого либо зашифрованная история, когда Вы решаете его сохранить.
Управление данными
Режимы синхронизации истории, локальное хранение, удаление, экспорт, обращение поставщиков с данными и медицинские средства контроля.
Перевод со сквозным шифрованием
Точный разбор обмена сообщениями по Signal, зашифрованного на стороне клиента хранения, обработки в реальном времени и вариантов развёртывания на собственной площадке.
Приложение для перевода, соответствующее HIPAA
Ответы для проверяющих о BAA, ведении журналов PHI, средствах контроля медицинских учётных записей, хранении журналов аудита и удалении.
Приложение медицинского переводчика
Клинические переводческие процессы с медицинским распознаванием речи, подключением на основании BAA и обязательной проверкой человеком.
Конкретные технические средства контроля
Протоколы, средства контроля и примитивы, которые Vavus AI использует сегодня. Этот перечень — те подробности, на которые можно ссылаться, стоящие за приведёнными выше общими утверждениями. Чего мы в настоящее время не утверждаем и не будем подразумевать: у нас нет сертификации SOC 2 или ISO 27001, мы не публикуем отчёт о тестировании на проникновение, проведённом третьей стороной, мы не предлагаем договорного соглашения об уровне доступности для тарифных планов с самостоятельным подключением и не публикуем полис киберстрахования. Корпоративные и медицинские покупатели могут до подписания договора уточнить у нас положение дел по каждому из этих пунктов.
- Шифрование на стороне клиента для истории, документов и аудио
- Сквозное шифрование для обмена сообщениями
- AES-256-GCM (устаревшее серверное шифрование, только для чтения более старого содержимого)
- TLS 1.2 и выше на балансировщике нагрузки
- Cloud Armor WAF (500 запросов в минуту, блокировка на 60 секунд, защита от XSS и SQL-инъекций)
- Персональный мастер-ключ учётной записи в хранилище ключей устройства, оборачивающий ключи отдельных объектов
- Аутентификация JWT и отдельные потоковые токены для сеансов WebSocket
- Единый вход SAML 2.0 (Enterprise)
- Защита от подбора паролей с экспоненциальной задержкой и блокировкой учётной записи
- Отзыв токенов при выходе из системы и смене пароля
- Выявление нарушений (необычная активность, местоположение, аномалии IP-адресов)
- Безопасное удаление (перезапись перед удалением ссылки) для активов с PHI
- Журналы аудита хранятся 6 лет (Cloud Logging и жизненный цикл GCS)
Запросить документацию по безопасности
Медицинские и корпоративные команды могут запросить полный пакет документации по безопасности — схемы архитектуры шифрования, управление ключами, структуру журналов аудита, топологии развёртывания, шаблон BAA и шаблон соглашения об обработке данных с поимённым перечнем субобработчиков.
Часто задаваемые вопросы
Защищён ли Vavus AI сквозным шифрованием?+
Обмен сообщениями защищён сквозным шифрованием, и есть ровно два исключения, для каждого из которых требуется, чтобы Вы воспользовались соответствующей функцией: групповые опросы, поскольку сервер вынужден прочитать опрос, чтобы подсчитать голоса и показать результаты, и голосовые сообщения, перевод которых Вы у нас запрашиваете, поскольку для перевода требуется расшифровать это сообщение на наших серверах — мы сначала запрашиваем Ваше согласие, фиксируем его и проводим аудит такого доступа. История переводов, документы и загружаемое аудио шифруются на стороне клиента до того, как покидают Ваше устройство, поэтому для нового содержимого сервер хранит только шифротекст. Речевой перевод в реальном времени кратковременно находится в оперативной памяти в открытом виде на этапах речевого ввода и озвучивания, после чего шифруется перед сохранением.
Подписывает ли Vavus AI соглашение о деловом партнёрстве?+
Да, для одобренных после проверки медицинских клиентов. Напишите на constantine@vavusai.com или запросите проверку со страницы для медицинских организаций. После заключения BAA Ваша учётная запись использует срок действия токена 8 часов, тайм-аут бездействия 15 минут, безопасное удаление активов с PHI, медицинское распознавание речи, шестилетнее хранение журналов аудита и полное отсутствие PHI в журналах приложения. До заключения BAA учётная запись не является рабочим процессом HIPAA и не должна содержать PHI.
Где Vavus AI размещает мои данные?+
Стандартное облако Vavus работает в регионах США (основной), Европейского союза (пограничный) и Азии (пограничный) за глобальным балансировщиком нагрузки. Передачи за пределы Европейской экономической зоны, Соединённого Королевства или Швейцарии опираются на стандартные договорные условия Европейской комиссии (Решение 2021/914) вместе с описанными выше шифрованием на стороне клиента и сквозным шифрованием. Корпоративные клиенты могут рассмотреть выделенное развёртывание в управляемом облаке либо полностью локальную установку в собственном центре обработки данных.
Могу ли я экспортировать свои данные из Vavus AI?+
Да. Аутентифицированные пользователи могут запросить полный экспорт данных через конечную точку экспорта. Экспорт включает Ваш профиль, историю, метаданные обмена сообщениями, платёжные записи и состояние согласия, при этом объекты, которые хранились в зашифрованном виде, остаются зашифрованными Вашими собственными ключами.
Как долго Vavus AI хранит мои данные?+
Содержимое, которое Вы не сохраняете, не хранится. Сохранённое содержимое остаётся до тех пор, пока Вы его не удалите или не закроете учётную запись. Платёжные и налоговые записи хранятся 7 лет, журналы безопасности и мошенничества — 12 месяцев, переписка со службой поддержки — 24 месяца, а записи учётной записи — до 30 дней после её закрытия. Записи медицинских журналов аудита хранятся 6 лет для поддержки проверок соответствия требованиям HIPAA и корпоративным требованиям; они содержат только метаданные — действия пользователей и отметки времени — а не PHI или переводческое содержимое. Полная таблица приведена в разделе 7 Политики конфиденциальности.