セキュリティと信頼

既定でクライアント側暗号化。エンドツーエンドで暗号化されるメッセージング。BAA に基づく医療向け提供。6 年間の監査ログ保持。マネージドクラウド、オンプレミス、エアギャップという導入経路。設計上、アプリケーションログに保護対象保健情報を一切残しません。カタログのすべてのシステムは、Vavus AI と同じセキュリティ構成の上に構築されています。審査でほかに必要なものがあれば、お問い合わせください。

保存される履歴、ドキュメント、音声は、保存前にユーザーの端末上で暗号化されます。端末のキーチェーンに保持されるユーザーごとのアカウントマスターキーが、データごとの鍵をラップします。メッセージングは Signal Protocol によるエンドツーエンド暗号化を用いるため、システムの運用者がメッセージの内容を読むことはできません。通信経路はロードバランサーで TLS 1.2 以上を用い、従来のサーバー側の保存データは AES-256-GCM で、読み取り専用です。

一部の工程はエンドツーエンドで暗号化できませんが、プロジェクトに合った構成を一緒に見つけます。ライブ音声は、認識し、翻訳し、読み上げるために、保存の規則が適用される前にメモリ上で短時間処理される必要があります。また、グループ投票の集計のようにサーバーが計算しなければならない機能は、エンドツーエンドで暗号化することができません。医療向けの導入では、そうした機能を無効にします。ユーザーが特定の項目についてサーバー側の処理に明示的に同意した場合、その同意は記録され、監査されます。

• オーナー、管理者、メンバー、閲覧者の各ロールと、チーム単位の管理。
• エンタープライズアカウント向けの、主要な ID プロバイダーとの SAML 2.0 シングルサインオン。
• 指数バックオフとアカウントロックアウトによる、総当たり攻撃への対策。
• ログアウト時とパスワード変更時のトークン失効。ライブセッションには別のストリームトークン。
• 通常と異なる操作、所在地の変更、IP の異常に対する侵害検知。
• すべてのマネージド環境の前段に置かれる、レート制限とインジェクション遮断を備えた Web アプリケーションファイアウォール。
• 保護対象保健情報を含みうるあらゆる資産に対する、リンク解除の前に上書きを行う安全な削除。

監査ログはメタデータのみのイベントを記録します。誰が、何を、いつ、どの端末から行ったか。保護対象保健情報、メッセージの内容、翻訳の内容を含むことはありません。6 年間保持され、エンタープライズ環境では JSON として書き出すか、お客様が管理する SIEM に配信できます。

医療案件は署名済みの事業提携者契約のもとで導入し、患者のデータがシステムに入る前に、各ワークフローをお客様とともに確認します。提供される体制は HIPAA に沿ったもので、セッショントークンの有効期限 8 時間、アイドルタイムアウト 15 分、PHI を含む資産の安全な削除、アプリケーションログに PHI を一切残さないこと、6 年間の監査ログ保持を備えます。

当社が提供するものは医療機器ではありません。患者の治療に関わる出力は、資格を有する臨床従事者による確認が必要です。また、連邦法または州法が専門の医療通訳を求める場合、当社のいかなるシステムもそれに代わるものではありません。

認証を経たデータのエクスポートと、アカウント削除の手段は、提供するすべてのシステムに含まれます。当社がユーザーデータを販売することはなく、顧客のコンテンツをモデルの学習に用いることもありません。同意の状態はユーザーごとに記録され、Web の Cookie 同意は項目ごとに選択でき、マネージド環境の背後にある副処理者は、コンテンツをモデルの学習に使わないよう構成され、ユーザーのアカウント上の身元情報を受け取ることはありません。名称を明記した副処理者の一覧は、データ処理契約のもとでご提供します。

マネージドクラウドは、グローバルロードバランサーの背後で、米国の主要リージョンと、欧州およびアジアのエッジにまたがって稼働します。地域ごとのデータ所在地は、見積の中で定めます。カタログのすべてのシステムは、お客様自身のクラウドやサーバーでも動かせます。外部の事業者に依存しないシステムは、完全にオフラインで動作します。

サポートのやり取りは当社が自ら運用する基盤の上で動くため、サポートの記録が第三者ベンダーに渡ることはありません。サポートのやり取りに患者データのスクリーンショットが含まれる場合、これは重要な違いになります。

ご要望に応じて、セキュリティ文書パックをご提供します。暗号化アーキテクチャの図、鍵の管理、監査ログのスキーマ、導入構成、事業提携者契約のひな形、そしてデータ処理契約のひな形が含まれます。 文書パックを請求する。セキュリティに関する連絡は constantine@vavusai.com までお送りください。