Gdzie znajdują się dane osób dzwoniących i kto może ich dotknąć

Czego nie mamy — zanim powiemy, co mamy

Nie mamy SOC 2, nie mamy ISO 27001 i nie posiadamy certyfikacji HIPAA ani RODO. Coś takiego jak «certyfikat RODO» w ogóle nie istnieje, a HIPAA to regulacja amerykańska, która większości czytelników tej strony nie dotyczy — ale pojawiają się na tylu stronach o bezpieczeństwie, że warto powiedzieć wprost: na naszej ich nie ma. Zamiast sugerować akredytację, której nie posiadamy, wszystko poniżej opisuje mechanizmy kontroli faktycznie istniejące w produkcie, a każdy z nich chętnie pokażemy na żywo na działającym systemie. Jeśli standard, który musicie spełnić, wymaga certyfikowanego dostawcy, powiemy o tym już przy pierwszej rozmowie, a nie na etapie zakupu.

Wykrywanie i maskowanie danych osobowych

Transkrypcja rozmowy po hebrajsku jest pełna dokładnie tego, czego nie wolno zostawiać jawnie: pełne imię i nazwisko, numer dokumentu podyktowany cyfra po cyfrze, adres, numer telefonu, nazwisko lekarza lub nazwa instytucji. System uruchamia na każdej turze rozmowy warstwę wykrywania encji wytrenowaną na hebrajskim — a nie ogólny silnik traktujący hebrajski jako sprawę drugorzędną. To, co zostanie znalezione, zapisywane jest jako pozycje w tekście, więc transkrypcję można pokazać zamaskowaną komuś, kto nie powinien widzieć oryginału, nie tracąc możliwości analizy rozmowy.

• Każdy dział sam określa, które typy encji są u niego maskowane — imię i nazwisko, numer dokumentu, telefon, adres i inne
• Typ encji nierozpoznany przez system jest domyślnie maskowany, zamiast zostać przypadkiem ujawniony
• Po zmianie ustawień wykrywanie można uruchomić ponownie na dawnych rozmowach, aby przeszłość odpowiadała teraźniejszości
• Maskowanie obejmuje zarówno transkrypcje, jak i eksporty — plik CSV opuszczający organizację może wyjść zamaskowany

Wnioski o usunięcie — pełny proces

Obywatel, który prosi o usunięcie swoich danych, nie powinien musieć zadowalać się ustną obietnicą. Wniosek o usunięcie jest w systemie rejestrowaną operacją, którą można wykonać dla pojedynczej rozmowy, dla wszystkich rozmów z danego numeru telefonu albo dla zakresu dat i identyfikatora sprawy — a oto co robi w rzeczywistości:

• Identyfikatory dzwoniącego — numer telefonu, identyfikator sprawy, imię i nazwisko — są zerowane w rekordzie rozmowy
• Każdy fragment rozpoznany w transkrypcji jako dane osobowe zostaje zastąpiony blokiem i nie pozostaje w tekście
• Same pozycje wykrycia są kasowane, aby na ich podstawie nie dało się odtworzyć tego, co ukryto
• Odwołanie do nagrania jest czyszczone, więc odtwarzanie kończy się bezpiecznym niepowodzeniem i nic nie odtwarza
• Rozmowa zostaje oznaczona jako przetworzona, ze stemplem, kto wykonał operację, kiedy, oraz z numerem referencyjnym

Na końcu procesu na rekordzie odciskany jest numer referencyjny w stałym formacie. To ten numer przekazuje się obywatelowi i to on pozwala później wykazać, że wniosek został obsłużony, kiedy i przez kogo. Równolegle dla każdej objętej rozmowy zapisywany jest wiersz dziennika audytu — nie jeden wiersz na wniosek, lecz wiersz na każdy tknięty rekord.

Kto co widzi

Uprawnienia przydzielane są według roli, a nie według zaufania. Nagrania to przypadek najostrzejszy: w dźwięku nie ma maskowania — głos to głos — więc dostęp do nich mają wyłącznie role, które go potrzebują, a dział, który chce udostępnić odsłuch także użytkownikom z prawem samego podglądu, musi włączyć to świadomie. Działania wrażliwe zapisywane są w dzienniku audytu, który można przejrzeć.

• Osobne role dla administratora, kontrolera jakości i obserwatora — i nie widzą tego samego
• Odsłuch nagrań jest otwarty dla administratorów i kontrolerów; otwarcie go dla obserwatorów to osobne, świadome ustawienie na poziomie działu
• Działania wrażliwe — usunięcie, eksport, zmiana ustawień — są rejestrowane wraz z wykonawcą i znacznikiem czasu
• Eksporty przechodzą te same kontrole uprawnień i to samo rejestrowanie co przeglądanie wewnątrz systemu