トラストセンター早期アクセス
Tavix for Workは会社のデータをこう守ります。
Tutiに何が見えるか、何ができるか、誰が承認するか、データはどこに保管されるか。このページの内容はすべて、現在のTavix for Workの仕組みです。まだできていないものには「予定」と表示しています。
会社のデータを守る仕組み。
以下の管理機能は、Tavix for Workのすべてのプランに含まれています。管理者が管理コンソールで設定し、変更はすべて監査ログに記録されます。
誰が何を見られるか
- 2つの鍵によるアクセス
- Tutiがドキュメントを使うのは、2つの鍵がそろったときだけです。その人が元のアプリでドキュメントを開けること、そして所有者がその人の所属するスペースに共有していること。この2つを検索のたびに確認します。機密のドキュメントは、使う直前に元のアプリでもう一度アクセス権を確認します。
- 必要な人にだけヒント
- 役に立つドキュメントがあってもあなたが開けない場合、Tutiは所有者を教えるので、アクセスを依頼できます。タイトルや中身は一切表示しません。
- プライベートチャンネル
- Slackのプライベートチャンネルでは、Tutiはチャンネルのメンバー全員が開けるドキュメントだけを使います。チャンネル内の誰かを社内の人と照合できない場合は、ダイレクトメッセージで続けるよう求めます。パブリックチャンネルでは、全社に共有されているものだけを使います。
- SSOとSCIMも標準
- OIDCまたはSAML 2.0に対応したIDプロバイダーでサインインでき、全員に必須にできます。SCIM 2.0でユーザーとグループの追加・削除を自動化します。どちらもすべてのプランに含まれます。
誰が作業するか
- 一人ひとりに別のサンドボックス
- 各自のTutiは、独自のカーネル境界を持つサンドボックスであるgVisorのもと、専用のコンテナで動きます。ファイアウォールにより、ほかの人のTuti、当社の内部ネットワーク、クラウドのメタデータには届かず、外部からの接続も受け付けません。その中で、保管庫と支払いのツールはオペレーティングシステムが確認したTutiの監視下のプロセスにだけ応答するため、モデルが実行するコードからは呼び出せません。
- チームメイトには独自のID
- AIチームメイトは、名前、所有者、権限を持つ独立したアカウントです。自分の名前で投稿し、人としてサインインすることはなく、監査ログにも自分の名前で操作が記録されます。
- 範囲と期間を限った委任
- チームメイトが誰かの代わりに動くときは、その人が委任を与えます。対象のツールとリソースを指定し、期間は最長90日です。いつでも取り消せ、監査ログには各操作がその人の「代理」として記録されます。
人の判断が必要なこと
- リスクに応じた承認
- すべての操作に、元に戻せるか、関わる金額、届く相手、データの機密度、影響するレコード数からリスクスコアが付きます。管理者が役割、チームメイト、ワークフローごとにしきい値を決め、各自はそれを厳しくすることしかできません。支払いには、パスキーかスマートフォンでの署名付き承認が必要です。
- 外部の内容を読むと確認が厳しくなる
- 社外のメール、Webページ、ゲストのファイルなど、社外のものを一度読んだ実行では、外部への送信や元に戻せない操作は、自動モードでも人の確認を待ちます。その実行では、人のOKなしに機密データを社外に出せません。
- 操作とモデルへのプロンプトにDLP
- 組み込みの検出機能が、シークレットとAPIキー、カード番号、IBAN、米国の社会保障番号とカナダのSIN、メールアドレス、電話番号、健康に関する用語を見つけます。それぞれについて、管理者が許可、マスク、承認を求める、ブロックのいずれかを選びます。操作は実行前に、プロンプトと応答は当社のモデルプロキシで確認します。
- ブラウザーのドメインポリシー
- Tutiのブラウザーが開いてよいドメインと開いてはいけないドメインを管理者が設定します。チームメイト個別のリストは、会社のリストをさらに絞ることしかできません。
- 緊急停止
- チームメイト1人、ワークフロー1つ、接続したアプリ1つ、または会社全体を停止します。数秒で反映され、実行中の作業は取り消され、チームメイトのデバイスは切断されます。あとで再開でき、停止と再開はどちらも記録されます。
何が記録されるか
- 証拠つきの監査ログ
- ツールの呼び出し、APIでの書き込み、承認はすべて記録され、検索もすべて、何を読んだか、誰のアクセス権を使ったかが記録されます。ブラウザーの操作にはスクリーンショットが残ります。
- 自社のツールへエクスポート
- ログをS3互換のバケット、Splunk、Datadog、または自社のWebhookに送れます。署名つきなので、当社から送られたものか確認できます。
- 保存期間
- ログの保存期間は自社で決められます。既定は90日、最短は30日です。古いエントリとそのスクリーンショットは毎日削除されますが、エクスポート先が受け取る前に削除されることはありません。
- 訴訟ホールド
- 訴訟ホールドをオンにすると、オフにするまでログは一切削除されません。オンとオフはどちらも記録されます。
データの扱い
- データを学習に使いません
- AIモデルはAmazon Bedrockで動いており、Amazon Bedrockは入力をモデルの学習に使いません。Tavixもお客様のデータでモデルを学習させず、当社のモデルプロキシはプロンプトをログに残しません。
- 通信の暗号化
- ブラウザー、アプリ、デバイスとTavixの間の通信にはTLSを使い、モデル提供元や接続したアプリとの通信にもTLSを使います。
- 保存データの暗号化
- パスワード、APIキー、アプリのサインイントークンは、AES-256-GCMで暗号化された保管庫に保存されます。各自の項目はその人専用のデータキーで封印され、そのキー自体も当社サーバーのシークレットストアにあるマスターキーで暗号化されます。データベースのバックアップは暗号化してCloudflare R2に保存します。
現在のデータの保管場所。
Tavix for Workはドイツのサーバーで動いています。AIモデルは米国で動いています。リージョンの選択は予定です。
ホスティング
Hetzner、ドイツ・ファルケンシュタイン
当社のサーバー、データベース、そして各自のプライベートなTuti。
AIモデル
Amazon Bedrock、米国
Claudeモデルとテキスト埋め込み。リクエストはus-east-1リージョンに送られ、米国内にとどまります。
サブプロセッサー
当社に代わって顧客データを処理する企業。
| 企業 | 役割 | 所在地 | 状況 |
|---|---|---|---|
| Hetzner Online | ホスティング：サーバー、データベース、各自のTuti。 | ドイツ | 使用中 |
| Amazon Web Services (Amazon Bedrock) | AIモデルと社内検索用の埋め込みを実行します。受け取るのは、リクエストに必要な会話やドキュメントの部分だけです。 | 米国 | 使用中 |
| Cloudflare | tavix.devのDNSと、暗号化したデータベースバックアップを保存するR2ストレージ。当社のWebトラフィックはCloudflareを経由しません。 | グローバルネットワーク | 使用中 |
| Stripe | 有料プランの請求。カード番号を保持するのはStripeで、Tavixが保持することはありません。 | 米国 | 準備中 |
| Resend | メールの送信：サインインコード、招待、承認、チームメイトのメール。 | 米国 | 準備中 |
| Expo | モバイルアプリにプッシュ通知を届けます。 | 米国 | 準備中 |
「準備中」は、サービスの設定は済んでいるものの、まだ顧客データを処理していないことを示します。
会社が接続を選ぶアプリ
これらは接続した場合にのみデータを受け取ります。Tavixは許可されたアクセス権でそこを読み書きし、データはお客様とそのアプリとの契約のもとで処理されます。
- Recall.ai準備中
招待した会議にメモ用のボットを送り、文字起こしを返します。会議ではAIであることを名乗ります。
- Slack接続した場合
SlackワークスペースでTutiに質問、チームメイト、承認。
- Microsoft接続した場合
Outlook、Teams、そのほか接続したMicrosoft 365アプリ。
- Google接続した場合
Gmail、カレンダー、ドライブ、そのほか接続したGoogle Workspaceアプリ。
コンプライアンスのロードマップ。
認証と契約条件の現状です。「予定」の項目にはまだ日付がありません。
- 提供中
サブプロセッサーの一覧
このページにある一覧です。
- 草案
データ処理契約
GDPR第28条に基づくDPAの草案。写しはお問い合わせください。
- 草案
AIの利用とデータ処理に関するポリシー
TutiがAIモデルとお客様のデータをどう使うか。草案をご依頼に応じてお送りします。
- 予定
SOC 2 Type I
当社の管理策の設計についての独立監査。
- 予定
SOC 2 Type II
それらの管理策が数か月にわたってどう機能するかの監査。
- 予定
ISO 27001
情報セキュリティマネジメントの認証。
- 予定
第三者によるペネトレーションテスト
外部のセキュリティ企業による製品のテスト。
- 予定
自社管理の鍵（BYOK）
保管庫と検索インデックスを、鍵管理サービスで自社が管理する鍵で暗号化。
- 予定
リージョンの選択
データを米国、EU、カナダのいずれかに保管。
- 予定
HIPAA
医療データのための事業提携契約（BAA）。
審査用の資料。
質問票をお送りいただくか、以下の資料をご依頼ください。メールでお送りします。
- ご依頼に応じて
セキュリティ審査資料
このページの内容を1つの資料にまとめ、アーキテクチャの説明と、質問票でよくある質問への回答を加えたもの。
- ご依頼に応じて
データ処理契約（DPA）
草案。GDPR第28条に基づきます。
- ご依頼に応じて
AIの利用とデータ処理に関するポリシー
草案：使用するモデル、モデルが受け取るもの、保持するもの。
sales@tavix.dev宛てのメールが開きます。
脆弱性の報告。
Tavixにセキュリティ上の問題を見つけたと思ったら、security@tavix.devまでメールしてください。
- 見つけた内容と、再現する手順を教えてください。
- 自分のアカウントとデータだけを使ってください。ほかの人のデータにアクセスしたり、サービスを妨害したりしないでください。
- 公表する前に、修正のための妥当な時間をください。
報告はすべて読み、確認した結果をお知らせします。