Segurança e dados
Onde ficam os dados de quem liga para você e quem pode acessá-los
Uma ligação telefônica está entre os dados mais sensíveis que uma organização guarda: um nome, um número de identidade, uma situação médica, um litígio — ditos em voz alta e armazenados. Esta página expõe o que o sistema realmente faz com isso, inclusive o que não temos.
Resposta rápida
O que acontece com os dados pessoais ditos durante uma ligação com um agente de IA?
Cada transcrição passa por uma camada que leva em conta o idioma e que detecta e mascara detalhes identificadores, e cada departamento decide por conta própria quais tipos de entidade são mascarados nele. O acesso a gravações e transcrições é limitado por papel, e as ações sensíveis são gravadas em um log de auditoria. O pedido de exclusão de quem ligou tem um fluxo dedicado que zera os identificadores dessa pessoa, apaga os trechos de dados pessoais na transcrição, desvincula a gravação e carimba um número de referência que você pode informar a ela. Órgãos regulados podem executar todo o sistema dentro do próprio perímetro, incluindo os pesos dos modelos, de modo que nenhum dado da ligação sai da rede. Não possuímos nenhuma certificação de auditoria em padrão de segurança, e não afirmamos o contrário.
O que não temos — antes do que temos
Não temos SOC 2, não temos ISO 27001 e não somos certificados em HIPAA nem em GDPR. Para começar, não existe algo como um «certificado de GDPR», e a HIPAA é uma regulamentação norte-americana que não se aplica à maioria de quem lê esta página — mas ambas aparecem em tantas páginas de segurança que vale dizer com todas as letras que na nossa não aparecem. Em vez de sugerir uma acreditação que não possuímos, tudo o que vem a seguir descreve controles que existem no produto, e teremos prazer em demonstrar cada um deles ao vivo em um sistema em funcionamento. Se o padrão que você precisa cumprir exige um fornecedor certificado, diremos isso já na primeira conversa, e não na fase de compras.
Detecção e mascaramento de dados pessoais
A transcrição de uma ligação é cheia exatamente daquilo que não se pode deixar em claro: um nome completo, um número de identidade ditado dígito a dígito, um endereço, um número de telefone, o nome de um médico ou de uma instituição. O sistema aplica a cada turno da conversa uma camada treinada de detecção de entidades, com modelos dedicados de reconhecimento de entidades — e não um motor genérico ajustado apenas para o inglês. O que é encontrado fica guardado como posições dentro do texto, de modo que a transcrição pode ser exibida mascarada a quem não deve ver o original, sem perder a capacidade de analisar a ligação.
- Cada departamento define quais tipos de entidade são mascarados nele — nome, número de identidade, telefone, endereço e outros
- Um tipo de entidade que o sistema não reconhece é mascarado por padrão, em vez de ser exposto por acidente
- A detecção pode ser executada novamente sobre conversas antigas após uma mudança de configuração, para que o passado corresponda ao presente
- O mascaramento vale igualmente para transcrições e exportações — um CSV que sai da organização pode sair mascarado
Pedidos de exclusão — o fluxo completo
Um cidadão que pede a exclusão dos seus dados não deveria se contentar com uma promessa verbal. Um pedido de exclusão no sistema é uma operação registrada que pode ser executada sobre uma única conversa, sobre todas as conversas de um determinado número de telefone ou sobre um intervalo de datas e um identificador de atendimento — e é isto o que ela de fato faz:
- Os identificadores de quem ligou — número de telefone, identificador de atendimento, nome — são zerados no registro da conversa
- Cada trecho identificado como dado pessoal na transcrição é substituído por um bloco e não permanece no texto
- As próprias posições de detecção são apagadas, para que o que foi ocultado não possa ser reconstruído a partir delas
- A referência à gravação é esvaziada, de modo que a reprodução falha de forma segura e não toca nada
- A conversa é marcada como processada, com o carimbo de quem executou, quando, e o número de referência
Ao final do processo, um número de referência em formato fixo é carimbado no registro. É esse o número entregue ao cidadão e é ele também que permite comprovar depois que o pedido foi tratado, quando e por quem. Em paralelo, uma linha de log de auditoria é escrita para cada conversa afetada — não uma linha por pedido, mas uma linha por registro tocado.
Quem vê o quê
As permissões são por papel, não por confiança. As gravações são o caso mais evidente: no áudio não há mascaramento — voz é voz —, então o acesso a elas fica restrito aos papéis que precisam dele, e um departamento que queira abrir a escuta para usuários apenas de visualização precisa habilitar isso deliberadamente. As ações sensíveis são escritas em um log de auditoria passível de revisão.
- Papéis separados para administrador, revisor de qualidade e visualizador — e eles não veem a mesma coisa
- A escuta das gravações é aberta a administradores e revisores; abri-la aos visualizadores é uma configuração separada e deliberada, por departamento
- Ações sensíveis — exclusão, exportação, mudança de configurações — são registradas com o autor e um carimbo de data e hora
- As exportações passam pelas mesmas verificações de permissão e pelo mesmo registro que a visualização dentro do sistema
Três modelos de implantação
O mesmo sistema e três respostas diferentes para a pergunta «quanto o mundo externo toca esses dados». A escolha é sua, não nossa.
Nuvem multi-inquilino
O caminho rápido. Nós operamos o sistema, e os dados de cada organização ficam isolados dos das demais. Adequado para empresas que não estão sujeitas a regulamentação que imponha controle de infraestrutura. Alguns serviços de modelo nesse formato são serviços externos — e dizemos isso abertamente, porque é exatamente o que um órgão regulado não pode aceitar.
Implantação híbrida
O plano de dados — banco de dados, gravações, camada de mascaramento e as barreiras de segurança — fica em infraestrutura sob seu controle, enquanto os modelos rodam em hardware dedicado separado, acordado com você. Um meio-termo deliberado: mais barato que uma implantação local completa, mas não apropriado para toda classificação de dados, e diremos quando não for.
Implantação local completa na sua infraestrutura
Todo o sistema roda dentro do seu perímetro, incluindo os pesos dos modelos — reconhecimento de fala, modelo de linguagem e síntese de voz. Na prática: nenhum trecho de áudio e nenhuma transcrição saem da sua rede para qualquer provedor externo, nem para nós. É o formato construído para órgãos públicos e organizações reguladas, e há suporte também para ambiente isolado da rede externa.
Trabalho de alinhamento com a הנחיה 5.43 (diretriz israelense de segurança da informação)
Para órgãos públicos israelenses, a diretriz de segurança da informação הנחיה 5.43 é o quadro de referência que de fato importa — não o SOC 2. Conduzimos um trabalho de alinhamento com os requisitos dela: controle de acesso baseado em papéis, registro de ações em uma trilha de auditoria, minimização de dados pessoais por meio da camada de mascaramento e a possibilidade de executar todos os componentes dentro da própria rede da organização. Sendo preciso: trabalho de alinhamento não é aprovação nem acreditação, e não apresentamos aprovação de autoridade alguma. Teremos prazer em percorrer a distância entre as duas coisas, cláusula por cláusula, com o seu responsável pela segurança da informação.
O que você deveria nos perguntar
Se você está avaliando fornecedores nessa área, estas são as perguntas que separam uma página de segurança de um produto. Faça-as a nós também.
- O mascaramento de dados pessoais funciona de verdade nos idiomas falados por quem liga para você, ou é um motor só para inglês apontado para todo o resto?
- O que exatamente acontece com um registro depois de um pedido de exclusão — e o que resta para provar que a exclusão ocorreu?
- A gravação é acessível às mesmas pessoas que acessam a transcrição, ou as duas coisas são separadas?
- Se exigirmos que os dados nunca saiam da nossa rede, os modelos rodam do nosso lado ou apenas o banco de dados?
- Quais certificações formais vocês de fato possuem, e qual delas é relevante para o padrão a que eu respondo?
Ligue agora para o agente de IA
Uma ligação real, não uma gravação. Exatamente o que quem liga para você vai ouvir.
Peça uma ligação do agente de IA
Deixe seu número — o agente liga em menos de um minuto.
Atualizado: