Centre de confianceAccès anticipé
Comment Tavix for Work protège les données de l’entreprise.
Ce que Tuti peut voir, ce qu’il peut faire, qui l’approuve et où vos données sont stockées. Tout ce qui figure sur cette page décrit le fonctionnement actuel de Tavix for Work. Ce qui n’existe pas encore est marqué Prévu.
Comment nous protégeons les données de l’entreprise.
Les contrôles ci-dessous sont inclus dans chaque offre Tavix for Work. Les admins les règlent dans la console d’administration, et chaque modification est inscrite au journal d’audit.
Qui voit quoi
- Accès à deux clés
- Tuti n’utilise un document que si les deux clés l’ouvrent : la personne peut l’ouvrir dans l’app où il se trouve, et son propriétaire l’a partagé dans un Espace dont elle fait partie. Les deux sont vérifiées à chaque recherche. Pour les documents confidentiels, l’accès est revérifié auprès de l’app source juste avant l’utilisation.
- Indications selon le besoin d’en connaître
- Si un document pourrait vous aider mais que vous ne pouvez pas l’ouvrir, Tuti vous dit à qui il appartient pour que vous puissiez demander l’accès. Il ne vous montre jamais son titre ni son contenu.
- Canaux privés
- Dans un canal Slack privé, Tuti n’utilise que les documents que tous les membres du canal peuvent ouvrir. S’il ne parvient pas à associer quelqu’un du canal à une personne de votre entreprise, il propose de continuer en message direct. Dans les canaux publics, il n’utilise que ce qui est partagé avec toute l’entreprise.
- SSO et SCIM inclus
- Connectez-vous avec n’importe quel fournisseur d’identité compatible OIDC ou SAML 2.0, et rendez-le obligatoire pour tous. SCIM 2.0 ajoute et retire automatiquement les personnes et les groupes. Les deux sont inclus dans chaque offre.
Qui fait le travail
- Une sandbox distincte pour chaque personne
- Le Tuti de chaque personne tourne dans son propre conteneur sous gVisor, une sandbox avec sa propre frontière de noyau. Un pare-feu l’empêche d’atteindre les Tuti des autres, notre réseau interne et les métadonnées cloud, et il n’accepte aucune connexion entrante. À l’intérieur, le coffre-fort et les outils de paiement ne répondent qu’au processus supervisé de Tuti lui-même, ce que vérifie le système d’exploitation : le code exécuté par le modèle ne peut donc pas les appeler.
- Les coéquipiers ont leur propre identité
- Les coéquipiers IA ont leur propre compte, avec un nom, un responsable et leurs propres autorisations. Ils publient en leur nom, ne se connectent pas en tant que quelqu’un d’autre, et le journal d’audit affiche leurs actions sous leur propre nom.
- Délégation limitée et temporaire
- Quand un coéquipier agit pour une personne, celle-ci lui accorde une délégation : des outils et des ressources précis, pour 90 jours au maximum. Elle peut la révoquer à tout moment, et le journal d’audit enregistre chaque action « pour le compte de » cette personne.
Ce qui demande une personne
- Approbations selon le risque
- Chaque action reçoit un score de risque selon qu’elle est réversible ou non, l’argent en jeu, les personnes qu’elle atteint, la sensibilité des données et le nombre d’enregistrements concernés. Les admins fixent les seuils par rôle, coéquipier et workflow, et chacun ne peut que les rendre plus stricts. Les paiements demandent une clé d’accès ou une approbation signée sur un téléphone.
- Le contenu externe rend Tuti plus prudent
- Dès qu’une exécution a lu quelque chose venant de l’extérieur de l’entreprise, comme un e-mail externe, une page web ou le fichier d’un invité, ses actions vers l’extérieur et irréversibles attendent une personne, même en mode Auto. Dans cette exécution, aucune donnée confidentielle ne peut sortir de l’entreprise sans l’accord d’une personne.
- DLP sur les actions et les prompts
- Des détecteurs intégrés repèrent les secrets et clés d’API, les numéros de carte, les IBAN, les numéros de sécurité sociale américains et les SIN canadiens, les adresses e-mail, les numéros de téléphone et les termes médicaux. Pour chacun, les admins choisissent d’autoriser, de masquer, de demander une approbation ou de bloquer. Les contrôles s’appliquent aux actions avant leur exécution, et aux prompts et réponses dans notre proxy de modèles.
- Règles de domaines du navigateur
- Les admins définissent les domaines que le navigateur de Tuti peut ouvrir ou non. La liste propre à un coéquipier peut seulement restreindre celle de l’entreprise.
- Arrêt d’urgence
- Arrêtez un coéquipier, un workflow, une app connectée ou toute l’entreprise. L’arrêt prend effet en quelques secondes : le travail en cours est annulé et les appareils du coéquipier sont déconnectés. Vous pouvez reprendre plus tard, et les deux sont journalisés.
Ce qui est enregistré
- Journal d’audit avec preuves
- Chaque appel d’outil, écriture via l’API et approbation est journalisé, de même que chaque recherche : ce qui a été lu et avec les accès de qui. Les étapes dans le navigateur conservent une capture d’écran.
- Export vers vos outils
- Envoyez le journal en continu vers un bucket compatible S3, Splunk, Datadog ou votre propre webhook, avec une signature qui vous permet de vérifier qu’il vient bien de nous.
- Conservation
- Vous choisissez combien de temps le journal est conservé : 90 jours par défaut, 30 au minimum. Les entrées plus anciennes et leurs captures d’écran sont supprimées chaque jour, mais jamais avant que votre export les ait reçues.
- Conservation légale
- Activez la conservation légale et rien n’est supprimé du journal jusqu’à ce que vous la désactiviez. Les deux sont journalisés.
Comment les données sont traitées
- Pas d’entraînement sur vos données
- Les modèles d’IA tournent sur Amazon Bedrock, et Amazon Bedrock n’entraîne pas de modèles sur vos entrées. Tavix n’entraîne pas non plus de modèles sur vos données, et notre proxy de modèles ne conserve pas les prompts dans ses logs.
- Chiffrement en transit
- Les connexions entre vos navigateurs, apps et appareils et Tavix utilisent TLS, tout comme nos connexions aux fournisseurs de modèles et aux apps que vous connectez.
- Chiffrement au repos
- Les mots de passe, clés d’API et jetons de connexion aux apps sont conservés dans un coffre-fort chiffré en AES-256-GCM. Les éléments de chaque personne sont scellés avec sa propre clé de données, elle-même chiffrée avec une clé maîtresse conservée dans le coffre de secrets de notre serveur. Les sauvegardes de la base de données sont stockées chiffrées dans Cloudflare R2.
Où sont vos données aujourd’hui.
Tavix for Work tourne sur des serveurs en Allemagne. Les modèles d’IA tournent aux États-Unis. Le choix de la région est prévu.
Hébergement
Hetzner, Falkenstein, Allemagne
Nos serveurs, nos bases de données et le Tuti privé de chaque personne.
Modèles d’IA
Amazon Bedrock, États-Unis
Les modèles Claude et les embeddings de texte. Les requêtes vont à la région us-east-1 et restent aux États-Unis.
Sous-traitants
Les entreprises qui traitent des données clients pour nous.
| Entreprise | Rôle | Lieu | Statut |
|---|---|---|---|
| Hetzner Online | Hébergement : serveurs, bases de données et le Tuti de chaque personne. | Allemagne | Utilisé |
| Amazon Web Services (Amazon Bedrock) | Exécute les modèles d’IA et les embeddings de la recherche d’entreprise. Ne reçoit que les parties d’une conversation ou d’un document dont une requête a besoin. | États-Unis | Utilisé |
| Cloudflare | DNS de tavix.dev, et stockage R2 pour les sauvegardes chiffrées de la base de données. Notre trafic web ne passe pas par Cloudflare. | Réseau mondial | Utilisé |
| Stripe | Facturation des offres payantes. Les numéros de carte sont conservés par Stripe, jamais par Tavix. | États-Unis | En attente |
| Resend | Envoie les e-mails : codes de connexion, invitations, approbations et e-mails des coéquipiers. | États-Unis | En attente |
| Expo | Envoie les notifications push à l’app mobile. | États-Unis | En attente |
En attente signifie que le service est configuré mais ne traite pas encore de données clients.
Les apps que votre entreprise choisit de connecter
Elles ne reçoivent des données que si vous les connectez. Tavix y lit et y écrit avec les accès que vous accordez, et l’app traite les données dans le cadre de votre propre contrat avec elle.
- Recall.aiEn attente
Envoie un bot de prise de notes aux réunions où vous l’invitez et renvoie une transcription. Il se présente comme une IA pendant la réunion.
- SlackSi vous le connectez
Questions à Tuti, coéquipiers et approbations dans votre espace de travail Slack.
- MicrosoftSi vous le connectez
Outlook, Teams et les autres apps Microsoft 365 que vous connectez.
- GoogleSi vous le connectez
Gmail, Calendar, Drive et les autres apps Google Workspace que vous connectez.
Feuille de route conformité.
Où nous en sommes des certifications et des clauses contractuelles. Les éléments prévus n’ont pas encore de date.
- Disponible
Liste des sous-traitants
La liste sur cette page.
- Brouillon
Accord de traitement des données
Un projet de DPA fondé sur l’article 28 du GDPR. Demandez-nous un exemplaire.
- Brouillon
Politique d’usage de l’IA et de traitement des données
Comment Tuti utilise les modèles d’IA et vos données. Un brouillon est disponible sur demande.
- Prévu
SOC 2 Type I
Un audit indépendant de la conception de nos contrôles.
- Prévu
SOC 2 Type II
Un audit du fonctionnement de ces contrôles sur plusieurs mois.
- Prévu
ISO 27001
La certification de notre management de la sécurité de l’information.
- Prévu
Test d’intrusion indépendant
Un test du produit par une société de sécurité externe.
- Prévu
Vos propres clés (BYOK)
Chiffrez le coffre-fort et l’index de recherche avec des clés que vous contrôlez dans un service de gestion de clés.
- Prévu
Choix de la région
Gardez vos données aux États-Unis, dans l’UE ou au Canada.
- Prévu
HIPAA
Un business associate agreement pour les données de santé.
Documents à examiner.
Envoyez-nous votre questionnaire, ou demandez l’un de ces documents. Nous vous les envoyons par e-mail.
- Sur demande
Dossier de sécurité
Cette page en un seul document, avec des notes d’architecture et les réponses aux questions courantes des questionnaires.
- Sur demande
Accord de traitement des données (DPA)
Brouillon, fondé sur l’article 28 du GDPR.
- Sur demande
Politique d’usage de l’IA et de traitement des données
Brouillon : les modèles que nous utilisons, ce qu’ils reçoivent et ce qu’ils conservent.
Ouvre un e-mail à sales@tavix.dev.
Signaler une vulnérabilité.
Si vous pensez avoir trouvé un problème de sécurité dans Tavix, écrivez à security@tavix.dev.
- Dites-nous ce que vous avez trouvé et comment le reproduire.
- N’utilisez que vos propres comptes et données. N’accédez pas aux données d’autres personnes et ne perturbez pas le service.
- Laissez-nous un délai raisonnable pour corriger le problème avant d’en parler publiquement.
Nous lisons chaque signalement et nous vous dirons ce que nous avons trouvé.
Votre équipe sécurité a des questions ?
Envoyez-nous votre questionnaire de sécurité et nous le remplirons, ou demandez le dossier de sécurité.