Kde leží data vašich volajících a kdo se jich může dotknout

Co nemáme — dřív než to, co máme

Nemáme SOC 2, nemáme ISO 27001 a nejsme certifikováni podle HIPAA ani GDPR. Nic takového jako «certifikát GDPR» ostatně vůbec neexistuje a HIPAA je americká regulace, která se většiny zdejších čtenářů netýká — objevují se ale na tolika bezpečnostních stránkách, že stojí za to říct natvrdo, že na té naší nejsou. Místo abychom naznačovali akreditaci, kterou nemáme, popisuje vše níže opatření, která v produktu skutečně existují, a každé z nich vám rádi předvedeme naživo na běžícím systému. Pokud standard, který musíte splnit, vyžaduje certifikovaného dodavatele, řekneme vám to hned při prvním hovoru, a ne až ve fázi nákupu.

Rozpoznávání a maskování osobních údajů

Přepis hebrejského hovoru je plný přesně toho, co nelze nechat čitelné: celé jméno, číslo dokladu diktované číslici po číslici, adresa, telefonní číslo, jméno lékaře nebo název instituce. Systém spouští na každém příspěvku konverzace vrstvu rozpoznávání entit natrénovanou na hebrejštině — nikoli obecný engine, pro který je hebrejština až druhořadá. Nalezené se ukládá jako pozice v textu, takže přepis lze zobrazit maskovaně tomu, kdo nemá vidět originál, aniž by se ztratila možnost hovor analyzovat.

• Každé oddělení si určuje, které typy entit se u něj maskují — jméno, číslo dokladu, telefon, adresa a další
• Typ entity, který systém nezná, se ve výchozím nastavení maskuje, místo aby byl omylem odhalen
• Po změně nastavení lze rozpoznávání znovu spustit nad staršími hovory, aby minulost odpovídala přítomnosti
• Maskování platí pro přepisy i exporty — soubor CSV opouštějící organizaci může odejít maskovaný

Žádosti o výmaz — celý postup

Občan, který žádá o smazání svých údajů, by se neměl spokojit s ústním slibem. Žádost o výmaz je v systému zaznamenaná operace, kterou lze provést nad jedním hovorem, nad všemi hovory z určitého telefonního čísla, nebo nad rozsahem dat a identifikátorem případu — a toto skutečně dělá:

• Identifikátory volajícího — telefonní číslo, identifikátor případu, jméno — se v záznamu hovoru vynulují
• Každý úsek označený v přepisu jako osobní údaj je nahrazen blokem a v textu nezůstává
• Samotné pozice rozpoznání se mažou, aby z nich nešlo zrekonstruovat, co bylo skryto
• Odkaz na nahrávku se vyprázdní, takže přehrávání bezpečně selže a nic nepřehraje
• Hovor se označí jako zpracovaný, s razítkem, kdo operaci provedl, kdy, a s referenčním číslem

Na konci procesu se do záznamu vtiskne referenční číslo v pevném formátu. To je číslo, které se předá občanovi, a je to zároveň to, čím lze později doložit, že žádost byla vyřízena, kdy a kým. Souběžně se pro každý dotčený hovor zapíše řádek auditního záznamu — ne jeden řádek na žádost, ale řádek na každý dotčený záznam.

Kdo co vidí

Oprávnění se udělují podle role, ne podle důvěry. Nahrávky jsou nejostřejší případ: ve zvuku maskování neexistuje — hlas je hlas — proto je přístup k nim omezen na role, které jej potřebují, a oddělení, které chce poslech otevřít i uživatelům s právem pouhého náhledu, to musí vědomě zapnout. Citlivé úkony se zapisují do auditního záznamu, který lze prověřit.

• Oddělené role pro správce, kontrolora kvality a náhled — a nevidí všichni totéž
• Poslech nahrávek je otevřený správcům a kontrolorům; otevřít jej i uživatelům s náhledem je samostatné, vědomé nastavení na úrovni oddělení
• Citlivé úkony — výmaz, export, změna nastavení — se zaznamenávají s vykonavatelem a časovým razítkem
• Exporty procházejí stejnými kontrolami oprávnění a stejným zaznamenáváním jako prohlížení uvnitř systému