TrustcenterVroege toegang
Hoe Tavix for Work bedrijfsgegevens beschermt.
Wat Tuti kan zien, wat Tuti kan doen, wie het goedkeurt en waar je data wordt opgeslagen. Alles op deze pagina beschrijft hoe Tavix for Work nu werkt. Wat nog niet gebouwd is, staat als Gepland gemarkeerd.
Hoe we bedrijfsgegevens beschermen.
De controles hieronder zitten in elk abonnement van Tavix for Work. Beheerders stellen ze in via de beheerconsole, en elke wijziging wordt vastgelegd in het auditlog.
Wie wat ziet
- Toegang met twee sleutels
- Tuti gebruikt een document alleen als beide sleutels passen: de persoon kan het openen in de app waar het staat, en de eigenaar heeft het gedeeld in een Space waar die persoon lid van is. Beide worden bij elke zoekopdracht gecontroleerd. Bij vertrouwelijke documenten wordt de toegang vlak voor gebruik nog eens gecontroleerd bij de bron-app.
- Hints zonder inhoud
- Als een document zou helpen maar je het niet kunt openen, vertelt Tuti wie de eigenaar is, zodat je om toegang kunt vragen. Tuti laat nooit de titel of iets van de inhoud zien.
- Privékanalen
- In een privékanaal in Slack gebruikt Tuti alleen documenten die elk lid van het kanaal kan openen. Kan Tuti iemand in het kanaal niet koppelen aan een persoon in je bedrijf, dan vraagt Tuti om verder te gaan in een direct bericht. In openbare kanalen gebruikt Tuti alleen wat met het hele bedrijf is gedeeld.
- SSO en SCIM inbegrepen
- Log in met elke identiteitsprovider die OIDC of SAML 2.0 ondersteunt, en maak dat verplicht voor iedereen. SCIM 2.0 voegt mensen en groepen automatisch toe en verwijdert ze. Beide zitten in elk abonnement.
Wie het werk doet
- Een aparte sandbox per persoon
- De Tuti van elke persoon draait in een eigen container onder gVisor, een sandbox met een eigen kernelgrens. Een firewall voorkomt dat die de Tuti’s van anderen, ons interne netwerk en cloudmetadata bereikt, en er zijn geen inkomende verbindingen mogelijk. Daarbinnen reageren de kluis en de betaaltools alleen op het eigen bewaakte proces van Tuti, gecontroleerd door het besturingssysteem, zodat code die het model uitvoert ze niet kan aanroepen.
- Collega’s hebben een eigen identiteit
- AI-collega’s zijn eigen accounts, met een naam, een eigenaar en eigen rechten. Ze posten als zichzelf, loggen niet in als een persoon, en het auditlog toont hun acties onder hun eigen naam.
- Afgebakende delegatie met een termijn
- Als een collega namens iemand handelt, geeft die persoon een delegatie: specifieke tools en resources, voor maximaal 90 dagen. Die kan op elk moment worden ingetrokken, en het auditlog legt elke actie vast als “namens” die persoon.
Waar een mens voor nodig is
- Goedkeuringen op basis van risico
- Elke actie krijgt een risicoscore op basis van hoe goed die terug te draaien is, hoeveel geld erbij betrokken is, wie die bereikt, hoe gevoelig de gegevens zijn en hoeveel records die raakt. Beheerders stellen de drempels in per rol, collega en workflow, en mensen kunnen ze alleen strenger maken. Betalingen vereisen een passkey of een ondertekende goedkeuring op een telefoon.
- Externe inhoud legt de lat hoger
- Zodra een run iets van buiten het bedrijf heeft gelezen, zoals een externe e-mail, een webpagina of een bestand van een gast, wachten de uitgaande en onomkeerbare acties van die run op een mens, ook in de modus Automatisch. Vertrouwelijke gegevens kunnen het bedrijf in die run niet verlaten zonder akkoord van een mens.
- DLP op acties en modelprompts
- Ingebouwde detectoren vinden geheimen en API-sleutels, kaartnummers, IBAN’s, Amerikaanse Social Security-nummers en Canadese SIN-nummers, e-mailadressen, telefoonnummers en gezondheidstermen. Per detector kiezen beheerders: toestaan, maskeren, om goedkeuring vragen of blokkeren. De detectoren controleren acties voordat ze worden uitgevoerd, en prompts en antwoorden bij onze modelproxy.
- Domeinbeleid voor de browser
- Beheerders bepalen welke domeinen de browser van Tuti wel en niet mag openen. De eigen lijst van een collega kan die van het bedrijf alleen inperken.
- Noodstop
- Stop één collega, één workflow, één gekoppelde app of het hele bedrijf. Het werkt binnen enkele seconden: lopend werk wordt geannuleerd en de apparaten van de collega worden afgesloten. Je kunt later weer hervatten, en beide worden gelogd.
Wat er wordt vastgelegd
- Auditlog met bewijs
- Elke toolaanroep, schrijfactie via de API en goedkeuring wordt gelogd, en elke zoekopdracht ook: wat er werd gelezen en met wiens toegang. Bij browserstappen wordt een screenshot bewaard.
- Exporteren naar je eigen tools
- Stream het log naar een S3-compatibele bucket, Splunk, Datadog of je eigen webhook, ondertekend zodat je kunt controleren dat het van ons komt.
- Bewaartermijn
- Jij kiest hoelang het log wordt bewaard: standaard 90 dagen, minimaal 30. Oudere items en hun screenshots worden dagelijks verwijderd, maar nooit voordat je export ze heeft ontvangen.
- Legal hold
- Zet legal hold aan en er wordt niets uit het log verwijderd tot je het weer uitzet. Beide worden gelogd.
Hoe gegevens worden behandeld
- Geen training op je data
- De AI-modellen draaien op Amazon Bedrock, en Amazon Bedrock traint geen modellen op je invoer. Tavix traint ook geen modellen op je data, en onze modelproxy bewaart geen prompts in de logs.
- Versleuteling tijdens transport
- Verbindingen tussen je browsers, apps en apparaten en Tavix gebruiken TLS, net als onze verbindingen met modelaanbieders en de apps die je koppelt.
- Versleuteling bij opslag
- Wachtwoorden, API-sleutels en inlogtokens van apps staan in een kluis die is versleuteld met AES-256-GCM. De items van elke persoon worden vergrendeld met een eigen datasleutel, en die sleutel is zelf versleuteld met een hoofdsleutel in de geheimenopslag van onze server. Databaseback-ups worden versleuteld opgeslagen in Cloudflare R2.
Waar je data nu staat.
Tavix for Work draait op servers in Duitsland. De AI-modellen draaien in de Verenigde Staten. Een regio kiezen staat gepland.
Hosting
Hetzner, Falkenstein, Duitsland
Onze servers, databases en de privé-Tuti van elke persoon.
AI-modellen
Amazon Bedrock, Verenigde Staten
Claude-modellen en tekstembeddings. Verzoeken gaan naar de regio us-east-1 en blijven in de Verenigde Staten.
Subverwerkers
Bedrijven die klantgegevens voor ons verwerken.
| Bedrijf | Wat het doet | Waar | Status |
|---|---|---|---|
| Hetzner Online | Hosting: servers, databases en de Tuti van elke persoon. | Duitsland | In gebruik |
| Amazon Web Services (Amazon Bedrock) | Draait de AI-modellen en de embeddings voor zoeken in bedrijfsgegevens. Krijgt alleen de delen van een gesprek of document die een verzoek nodig heeft. | Verenigde Staten | In gebruik |
| Cloudflare | DNS voor tavix.dev, en R2-opslag voor versleutelde databaseback-ups. Ons webverkeer gaat niet via Cloudflare. | Wereldwijd netwerk | In gebruik |
| Stripe | Facturatie voor betaalde abonnementen. Kaartnummers liggen bij Stripe, nooit bij Tavix. | Verenigde Staten | In afwachting |
| Resend | Verstuurt e-mail: inlogcodes, uitnodigingen, goedkeuringen en e-mail van collega’s. | Verenigde Staten | In afwachting |
| Expo | Levert pushmeldingen af bij de mobiele app. | Verenigde Staten | In afwachting |
In afwachting betekent dat de dienst is ingericht, maar nog geen klantgegevens verwerkt.
Apps die je bedrijf zelf koppelt
Deze krijgen alleen data als je ze koppelt. Tavix leest en schrijft daar met de toegang die jij geeft, en de app verwerkt de data onder je eigen overeenkomst met die app.
- Recall.aiIn afwachting
Stuurt een notulenbot naar vergaderingen waarvoor je hem uitnodigt, en levert een transcript. In de vergadering maakt de bot zich bekend als AI.
- SlackAls je het koppelt
Tuti vragen stellen, collega’s en goedkeuringen in je Slack-werkruimte.
- MicrosoftAls je het koppelt
Outlook, Teams en andere Microsoft 365-apps die je koppelt.
- GoogleAls je het koppelt
Gmail, Calendar, Drive en andere Google Workspace-apps die je koppelt.
Compliance-roadmap.
Waar we staan met certificeringen en contractvoorwaarden. Geplande onderdelen hebben nog geen datum.
- Beschikbaar
Lijst met subverwerkers
De lijst op deze pagina.
- Concept
Verwerkersovereenkomst
Een concept-DPA op basis van artikel 28 van de GDPR. Vraag ons om een exemplaar.
- Concept
Beleid voor AI-gebruik en gegevensverwerking
Hoe Tuti AI-modellen en je data gebruikt. Een concept is op aanvraag beschikbaar.
- Gepland
SOC 2 Type I
Een onafhankelijke audit van hoe onze controles zijn ontworpen.
- Gepland
SOC 2 Type II
Een audit van hoe die controles over meerdere maanden werken.
- Gepland
ISO 27001
Certificering van ons informatiebeveiligingsbeheer.
- Gepland
Onafhankelijke pentest
Een test van het product door een extern securitybedrijf.
- Gepland
Je eigen sleutels (BYOK)
Versleutel de kluis en de zoekindex met sleutels die jij beheert in een sleutelbeheerdienst.
- Gepland
Keuze van regio
Bewaar je data in de VS, de EU of Canada.
- Gepland
HIPAA
Een business associate agreement voor gezondheidsgegevens.
Documenten voor je beoordeling.
Stuur ons je vragenlijst, of vraag een van deze documenten aan. We sturen ze per e-mail.
- Op aanvraag
Securityreviewpakket
Deze pagina in één document, met notities over de architectuur en antwoorden op veelgestelde vragen uit vragenlijsten.
- Op aanvraag
Verwerkersovereenkomst (DPA)
Concept, op basis van artikel 28 van de GDPR.
- Op aanvraag
Beleid voor AI-gebruik en gegevensverwerking
Concept: welke modellen we gebruiken, wat ze ontvangen en wat ze bewaren.
Opent een e-mail aan sales@tavix.dev.
Een kwetsbaarheid melden.
Denk je dat je een beveiligingsprobleem in Tavix hebt gevonden? Mail naar security@tavix.dev.
- Vertel wat je hebt gevonden en hoe we het kunnen reproduceren.
- Gebruik alleen je eigen accounts en data. Open geen gegevens van anderen en verstoor de dienst niet.
- Geef ons redelijk de tijd om het op te lossen voordat je het openbaar maakt.
We lezen elke melding en laten je weten wat we vinden.
Vragen van je securityteam?
Stuur ons je securityvragenlijst en wij vullen hem in, of vraag het reviewpakket aan.