Bảo mật và tin cậy

Mã hóa phía máy khách theo mặc định. Nhắn tin mã hóa đầu cuối. Bàn giao cho ngành y tế có ký BAA. Lưu nhật ký kiểm toán sáu năm. Các phương án triển khai trên đám mây có quản lý, tại chỗ và cách ly mạng. Nhật ký ứng dụng được thiết kế để không chứa bất kỳ thông tin sức khỏe được bảo vệ nào. Mọi hệ thống trong danh mục đều được xây dựng trên cùng nền tảng bảo mật với Vavus AI. Hãy hỏi chúng tôi nếu quá trình thẩm định của quý vị cần thêm điều gì.

Lịch sử, tài liệu và âm thanh được lưu trữ đều được mã hóa ngay trên thiết bị của người dùng trước khi lưu, với một khóa chủ tài khoản riêng cho từng người dùng giữ trong kho khóa của thiết bị, dùng để bọc các khóa riêng của từng dữ liệu. Nhắn tin dùng mã hóa đầu cuối trên Signal Protocol, nên bên vận hành hệ thống không thể đọc nội dung tin nhắn. Đường truyền dùng TLS 1.2 trở lên tại bộ cân bằng tải; dữ liệu cũ lưu tại máy chủ dùng AES-256-GCM, chỉ đọc.

Một số bước không thể mã hóa đầu cuối, nhưng chúng tôi sẽ tìm ra cách thiết lập phù hợp với dự án của quý vị. Giọng nói trực tiếp buộc phải được xử lý ngắn trong bộ nhớ để nhận dạng, dịch và đọc thành tiếng trước khi các quy tắc lưu trữ có hiệu lực, và một tính năng mà máy chủ buộc phải tính toán, chẳng hạn tổng hợp kết quả một cuộc bình chọn nhóm, thì không thể mã hóa đầu cuối; trong các triển khai y tế, những tính năng như vậy bị tắt. Khi người dùng đồng ý rõ ràng cho một thao tác phía máy chủ trên một mục cụ thể, sự đồng ý đó được ghi nhận và đưa vào nhật ký kiểm toán.

• Các vai trò chủ sở hữu, quản trị viên, thành viên và người xem, có kiểm soát ở cấp đội nhóm.
• Đăng nhập một lần SAML 2.0 với các nhà cung cấp định danh lớn cho tài khoản doanh nghiệp.
• Chống dò mật khẩu bằng thời gian chờ tăng dần và khóa tài khoản.
• Thu hồi mã thông báo khi đăng xuất và khi đổi mật khẩu; mã thông báo riêng cho các phiên trực tiếp.
• Phát hiện xâm phạm dựa trên hoạt động bất thường, thay đổi vị trí và dấu hiệu bất thường về địa chỉ mạng.
• Một tường lửa ứng dụng web với giới hạn tần suất và chặn tấn công tiêm mã đặt trước mọi triển khai có quản lý.
• Xóa an toàn, ghi đè trước khi gỡ liên kết, cho mọi dữ liệu có thể chứa thông tin sức khỏe được bảo vệ.

Nhật ký kiểm toán chỉ ghi các sự kiện ở mức siêu dữ liệu: ai làm gì, khi nào và từ thiết bị nào. Chúng không bao giờ chứa thông tin sức khỏe được bảo vệ, nội dung tin nhắn hay nội dung bản dịch. Chúng được lưu trong sáu năm, và với các triển khai cho tập đoàn, chúng có thể được xuất ra dạng JSON hoặc truyền sang một hệ thống SIEM do khách hàng kiểm soát.

Các dự án y tế được tiếp nhận theo một Thỏa thuận Đối tác Kinh doanh đã ký, và chúng tôi rà soát từng quy trình cùng quý vị trước khi bất kỳ dữ liệu bệnh nhân nào đi vào hệ thống. Các biện pháp được bàn giao phù hợp với HIPAA: mã phiên hết hạn sau 8 giờ, tự ngắt sau 15 phút không hoạt động, xóa an toàn các tài sản dữ liệu PHI, không có PHI trong nhật ký ứng dụng, và lưu nhật ký kiểm toán sáu năm.

Không sản phẩm nào chúng tôi bàn giao là thiết bị y tế. Kết quả có liên quan đến chăm sóc người bệnh phải được một chuyên gia lâm sàng đủ năng lực rà soát, và không hệ thống nào của chúng tôi thay thế một phiên dịch viên y tế chuyên nghiệp ở nơi luật liên bang hoặc luật bang yêu cầu.

Xuất dữ liệu có xác thực và một cách xóa tài khoản là một phần của mọi hệ thống được bàn giao. Chúng tôi không bao giờ bán dữ liệu người dùng và không bao giờ dùng nội dung của khách hàng để huấn luyện mô hình. Trạng thái đồng ý được theo dõi theo từng người dùng, việc đồng ý cookie trên web được chia nhỏ theo mục đích, và các bên xử lý dữ liệu phụ đứng sau một triển khai có quản lý đều được cấu hình để nội dung không đi vào huấn luyện mô hình và không bao giờ nhận được danh tính tài khoản của người dùng. Danh sách các bên xử lý phụ được nêu tên sẽ được cung cấp theo thỏa thuận xử lý dữ liệu.

Đám mây có quản lý chạy trên một khu vực chính tại Hoa Kỳ cùng các điểm biên ở châu Âu và châu Á, phía sau một bộ cân bằng tải toàn cầu. Yêu cầu về nơi lưu trữ dữ liệu theo khu vực được xác định trong báo giá. Mọi hệ thống trong danh mục cũng có thể chạy trên đám mây hoặc máy chủ của chính quý vị, và những hệ thống không phụ thuộc nhà cung cấp bên ngoài có thể chạy hoàn toàn ngoại tuyến.

Các cuộc trao đổi hỗ trợ chạy trên hạ tầng do chính chúng tôi tự vận hành, nên bản ghi hỗ trợ không bao giờ được trao cho một nhà cung cấp bên thứ ba. Điều đó quan trọng khi một cuộc trao đổi hỗ trợ có chứa ảnh chụp màn hình dữ liệu bệnh nhân.

Theo yêu cầu, chúng tôi cung cấp bộ tài liệu bảo mật: sơ đồ kiến trúc mã hóa, quản lý khóa, lược đồ nhật ký kiểm toán, các mô hình triển khai, mẫu Thỏa thuận Đối tác Kinh doanh và mẫu thỏa thuận xử lý dữ liệu. Yêu cầu bộ tài liệu. Để phối hợp về bảo mật, hãy viết thư tới constantine@vavusai.com.