Де зберігаються дані ваших абонентів і хто може їх торкнутися

Чого ми не маємо — перед тим, що маємо

Ми не маємо SOC 2, не маємо ISO 27001 і не сертифіковані за HIPAA чи GDPR. «Сертифіката GDPR» узагалі не існує, а HIPAA — це американське регулювання, яке до більшості читачів тут не стосується; але вони згадуються на такій кількості сторінок про безпеку, що варто прямо сказати: на нашій їх немає. Замість того щоб натякати на акредитацію, якої ми не маємо, усе викладене нижче описує засоби контролю, що реально є в продукті, і ми радо продемонструємо кожен із них наживо на працюючій системі. Якщо стандарт, якому ви маєте відповідати, вимагає сертифікованого постачальника, ми скажемо про це вже на першій розмові, а не на етапі закупівлі.

Виявлення та маскування персональних даних

Транскрипція розмови івритом сповнена саме того, що не можна лишати відкритим: повне ім’я, номер посвідчення, продиктований цифра за цифрою, адреса, номер телефону, ім’я лікаря або назва установи. Система проганяє кожну репліку розмови через шар розпізнавання сутностей, натренований на івриті, а не через універсальний рушій, для якого іврит другорядний. Знайдене зберігається як позиції всередині тексту, тож транскрипцію можна показати замаскованою тому, хто не має бачити оригінал, не втрачаючи змоги аналізувати розмову.

• Кожен підрозділ сам визначає, які типи сутностей маскуються в нього: ім’я, номер посвідчення, телефон, адреса та інші
• Незнайомий системі тип сутності маскується за замовчуванням, а не розкривається випадково
• Після зміни налаштувань розпізнавання можна повторно запустити на давніх розмовах, щоб минуле відповідало теперішньому
• Маскування діє і для транскрипцій, і для експортів — CSV-файл може залишити організацію вже замаскованим

Запити на стирання — повний процес

Громадянин, який просить видалити свої дані, не має задовольнятися усною обіцянкою. Запит на стирання в системі — це задокументована операція, яку можна виконати для однієї розмови, для всіх розмов із певного номера телефону або для діапазону дат та ідентифікатора звернення, і ось що вона робить насправді:

• Ідентифікатори абонента — номер телефону, ідентифікатор звернення, ім’я — обнуляються в записі розмови
• Кожен фрагмент, розпізнаний у транскрипції як персональні дані, замінюється блоком і в тексті не лишається
• Самі позиції розпізнавання стираються, щоб за ними не можна було відновити приховане
• Посилання на запис очищується, тож програвач відмовляє безпечно й нічого не відтворює
• Розмова позначається як опрацьована, зі штампом того, хто виконав операцію, коли, і з номером звернення

Наприкінці процесу на записі проставляється номер звернення у сталому форматі. Саме цей номер передають громадянинові, і він же дає змогу згодом довести, що запит було опрацьовано, коли і ким. Паралельно рядок журналу аудиту пишеться для кожної зачепленої розмови — не один рядок на запит, а рядок на кожен запис, якого торкнулися.

Хто що бачить

Права надаються за ролями, а не за довірою. Записи — найгостріший випадок: в аудіо немає маскування — голос є голос, — тож доступ до них обмежено ролями, яким він потрібен, а підрозділ, який хоче відкрити прослуховування користувачам лише з правом перегляду, має ввімкнути це свідомо. Чутливі дії пишуться в журнал аудиту, доступний для перевірки.

• Окремі ролі для адміністратора, контролера якості та спостерігача — і бачать вони не одне й те саме
• Прослуховування записів відкрите адміністраторам і контролерам; відкриття його спостерігачам — окреме, свідоме налаштування на рівні підрозділу
• Чутливі дії — стирання, експорт, зміна налаштувань — записуються із зазначенням виконавця та часової позначки
• Експорти проходять ті самі перевірки прав і те саме протоколювання, що й перегляд у системі