安全与信任

默认在客户端加密。端到端加密的消息。以 BAA 为依托的医疗交付。审计日志留存六年。托管云、本地部署和物理隔离三条部署路径。在设计上，应用日志中不含任何受保护健康信息。目录里的每一套系统，都构建在与 Vavus AI 相同的安全架构之上。如果您的审查还需要其他材料，请告诉我们。

存储的历史记录、文档和音频，在用户设备上加密之后才存储，每位用户的账户主密钥保存在设备的钥匙串中，用于封装每一份内容各自的密钥。消息采用基于 Signal Protocol 的端到端加密，因此系统的运营方无法读取消息内容。传输在负载均衡处使用 TLS 1.2 或更高版本；服务端遗留的静态数据采用 AES-256-GCM，只读。

有些环节无法做到端到端加密，但我们会找到适合您项目的方案。实时语音必须在内存中被短暂处理，才能完成识别、翻译和播报，之后存储规则才开始适用；而必须由服务器计算的功能，比如统计一次群组投票，无法做到端到端加密，在医疗部署中这类功能会被停用。当用户就某一条内容明确同意服务端处理时，这一同意会被记录并纳入审计。

• 所有者、管理员、成员和查看者四种角色，并带团队级控制。
• 面向企业账户的 SAML 2.0 单点登录，支持主流身份提供方。
• 带指数退避和账户锁定的暴力破解防护。
• 退出登录和修改密码时吊销令牌；实时会话使用独立的流令牌。
• 针对异常活动、位置变化和 IP 异常的入侵检测。
• 每一套托管部署前面都有一道 Web 应用防火墙，带限流和注入拦截。
• 对任何可能包含受保护健康信息的资产，采用先覆写再删除的安全删除方式。

审计日志只记录元数据事件：谁、在什么时候、用哪台设备做了什么。它们绝不包含受保护健康信息、消息内容或翻译内容。日志留存六年；对于企业部署，还可以导出为 JSON 或推送到客户自己控制的安全信息与事件管理系统。

医疗项目在签署业务伙伴协议（BAA）之后开通，并且在任何患者数据进入系统之前，我们会与您一起评审每一个工作流。交付的安全配置与 HIPAA 要求保持一致：会话令牌 8 小时过期、15 分钟无操作超时、PHI 资产安全删除、应用日志中零 PHI，以及审计日志留存六年。

我们交付的任何东西都不是医疗器械。涉及患者诊疗的输出必须由具备资质的临床人员复核；在联邦或州法律要求配备专业医疗口译员的场合，我们的任何系统都不能取代口译员。

每一套交付系统都包含经过身份验证的数据导出功能和账户删除途径。我们绝不出售用户数据，也绝不用客户内容训练模型。同意状态按用户逐一记录，网页端的 Cookie 同意可分项选择；托管部署背后的次级处理方经过配置，不会把内容用于模型训练，也绝不接收用户的账户身份信息。我们根据数据处理协议提供列明名称的次级处理方清单。

托管云以美国的主区域为核心，配有欧洲和亚洲的边缘节点，并通过全球负载均衡器接入。区域数据驻留在报价中界定。目录里的每一套系统也都可以运行在您自己的云或服务器上，不依赖外部服务商的系统可以完全离线运行。

支持对话运行在我们自己托管的基础设施上，因此支持记录绝不会交到第三方厂商手里。当一条支持会话里包含患者数据的截图时，这一点很重要。

应要求，我们提供安全文档包：加密架构图、密钥管理、审计日志的结构、部署拓扑、业务伙伴协议模板，以及数据处理协议模板。 索取文档包。如需协调安全事务，请发邮件至 constantine@vavusai.com。