Bezpieczeństwo i dane
Zbudowane tak, jakby miało przejść audyt.
JDAI.Solutions buduje każdy system AI w kontach, które należą do Ciebie, więc przegląd bezpieczeństwa naszej pracy to w większości przegląd infrastruktury, którą już kontrolujesz. Poniżej pytania z kwestionariusza bezpieczeństwa dla dostawcy AI, z odpowiedziami w prostym języku. Jeśli Twojego pytania tu nie ma, napisz na contact@jdai.solutions, a odpowiemy na piśmie.
Własność
- Każdy system powstaje w kontach chmurowych, repozytoriach i kontach u dostawców, które należą do Ciebie. Jesteśmy dodawani jako współpracownicy i usuwani na życzenie.
- Sekrety żyją w konfiguracji Twojego środowiska, nigdy w kodzie, nigdy na czacie.
- Dokumentacja przekazania wymienia każde konto, klucz i integrację.
Dostęp
- Dostęp do Twoich systemów mają wyłącznie dwaj założyciele, Jeremi Jarosz i Dominik Macioszek. Żaden podwykonawca, zespół offshore ani opiekun klienta nigdy go nie otrzymuje.
- Każdy z nas loguje się osobistym loginem z uwierzytelnianiem dwuskładnikowym na każdym koncie. Nic nie działa na wspólnym haśle.
- O dostęp prosimy do jednego systemu naraz i tylko do tych systemów, których wymaga bieżący etap pracy.
Przepływ danych
- Dane osobowe przepływają tak: dzwoniący → platforma głosowa → Twoja baza danych → Twój CRM → alert do Ciebie. Nie przechodzą przez infrastrukturę należącą do JDAI.
- Dostawcy modeli są używani wyłącznie do inferencji; rezygnujemy z zatrzymywania danych do trenowania wszędzie, gdzie dostawca to umożliwia.
- Zabezpieczenia na poziomie wierszy (RLS) są włączone domyślnie. Polityki publiczne: żadne. Klucze serwisowe zostają po stronie serwera.
- Między platformami dane podróżują szyfrowanymi połączeniami (TLS), a Twoja baza danych szyfruje to, co przechowuje (AES-256).
Co może agent
- Agent sięga tylko do systemów, które zatwierdzisz, a tam, gdzie system na to pozwala, jego dostęp jest ograniczony do działań, które faktycznie wykonuje.
- To, co może powiedzieć, jest spisane i zatwierdzone przez Ciebie, zanim odbierze pierwszą rozmowę: co może obiecać, czego nigdy nie może wycenić i kiedy przejmuje człowiek.
- Model, który za nim stoi, widzi tylko to, czego wymaga jedna odpowiedź: trwającą rozmowę i dokumenty, które zatwierdzisz.
Rozmowy AI i nagrania
- Agenci przedstawiają się jako AI. Zgoda na nagrywanie jest ogłaszana tam, gdzie jest wymagana (stany USA z zasadą zgody obu stron, UE).
- Nagrania i transkrypcje są przechowywane w Twoich kontach, z okresem retencji, który ustalasz Ty. Domyślnie: 90 dni.
- Dzwoniący może w każdej chwili poprosić o człowieka; agent przekazuje rozmowę razem z transkrypcją.
- Połączenia wychodzące i SMS-y trafiają tylko do osób, które zgodziły się je otrzymywać. FCC orzekła w 2024 roku, że głosy AI podlegają ustawie TCPA, a firmowe SMS-y w USA wychodzą z zarejestrowanej linii A2P 10DLC.
Ochrona zdrowia i HIPAA
- Recepcjonistka AI zgodna z HIPAA wymaga objęcia umową każdej platformy, która dotyka danych pacjentów. Retell, Twilio, OpenAI, Anthropic, Supabase i Vercel oferują umowę business associate agreement w swoich kwalifikujących się planach.
- Telegram nie oferuje żadnej, więc wdrożenie dla ochrony zdrowia wysyła alerty inną drogą.
- Agent nigdy nie udziela porad klinicznych. Umawia i przekłada wizyty, wszystko kliniczne przekazuje Twojemu personelowi, a dzwoniącemu w nagłym przypadku każe się rozłączyć i zadzwonić pod 911.
Podwykonawcy
- Głos: Retell, ElevenLabs, Twilio · Modele: OpenAI, Anthropic · Dane: Supabase, Vercel · Komunikacja: Telegram, Resend.
- Region wybieramy dla każdego klienta (USA lub UE) tam, gdzie dostawca to umożliwia.
- Pełna lista z celami i regionami jest opublikowana pod /pl/prawne/podwykonawcy i aktualizowana przed każdą zmianą.
Umowy
- Na życzenie podpisujemy umowę powierzenia przetwarzania danych (na warunkach art. 28 GDPR dla klientów z UE).
- NDA przed każdym audytem, który dotyka danych produkcyjnych.
- Jeśli Twój dział zakupów lub IT ma kwestionariusz bezpieczeństwa, odpowiadamy na niego na piśmie i możemy dostarczyć diagramy architektury.
FAQ
Pytania, które zadaje dział zakupów
01Czy modele AI uczą się na naszych danych?
Nie. Korzystamy z biznesowych API OpenAI i Anthropic, a obie firmy deklarują, że dane przesyłane przez te API nie są domyślnie używane do trenowania ich modeli. OpenAI przechowuje logi żądań API do monitorowania nadużyć przez maksymalnie 30 dni, chyba że prawo lub kwestia bezpieczeństwa wymaga dłużej.
02Czy macie certyfikat SOC 2 lub ISO 27001?
JDAI.Solutions nie przeszło własnego audytu SOC 2 ani ISO 27001. Przeszły go główne platformy, które przechowują i przetwarzają Twoje dane: Supabase, Vercel i Retell mają raporty SOC 2 Type 2, Twilio i Vercel mają certyfikat ISO 27001, a odpowiadając na Twój kwestionariusz, wskazujemy, gdzie poprosić o każdy raport.
03Co się dzieje w razie incydentu bezpieczeństwa?
Informujemy Cię na piśmie bez zbędnej zwłoki i nie później niż 48 godzin od momentu, w którym się o nim dowiemy, tak jak przewiduje umowa powierzenia: co się stało, których danych to dotyczy i co do tej pory zrobiliśmy. Jeśli platforma na trasie danych zgłosi naruszenie albo hasło lub klucz mógł zobaczyć ktoś, dla kogo nie był przeznaczony, zmieniamy go tego samego dnia.
04Co się dzieje z naszymi danymi po zakończeniu współpracy?
Nic się nie przenosi, bo dane zawsze były w Twoich kontach. Ty odbierasz nam dostęp, my potwierdzamy na piśmie, że nie mamy żadnych kopii Twoich danych ani kluczy, a jeśli chcesz usunąć też nagrania i transkrypcje, usuwamy je na każdej platformie na trasie danych i potwierdzamy, kiedy to zrobione.
05Czy nasze dane mogą zostać w UE?
Twoja baza danych i hosting mogą działać w regionach UE. Platforma głosowa i modele językowe przetwarzają dane w USA, a te transfery opierają się na EU-US Data Privacy Framework lub standardowych klauzulach umownych, tak jak przewiduje umowa powierzenia. Region każdego elementu jest spisany dla każdego wdrożenia.
06Czy używacie naszych danych do czegoś innego?
Nie. Twoje dane napędzają Twój system i nic więcej. Nigdy nie służą do budowania ani trenowania czegokolwiek dla innego klienta i nic z nich nie jest publikowane bez Twojej pisemnej zgody.
Zobacz też: Prywatność · Umowa powierzenia · Podwykonawcy
Następny krok
Twój następny system zaczyna się od dwudziestu minut.
Bezpłatny audyt prowadzony przez inżyniera. Stała wycena, zanim cokolwiek powstanie. Audyt zostaje u Ciebie, niezależnie od decyzji.
- Odpowiedź w jeden dzień roboczy
- Rozmawiasz z inżynierem, nie z handlowcem
- Kod i konta należą do Ciebie