Central de confiançaAcesso antecipado
Como o Tavix for Work protege os dados da empresa.
O que o Tuti pode ver, o que pode fazer, quem aprova e onde os seus dados ficam armazenados. Tudo nesta página descreve como o Tavix for Work funciona hoje. O que ainda não foi construído está marcado como Planejado.
Como protegemos os dados da empresa.
Os controles abaixo vêm em todos os planos do Tavix for Work. Os admins os configuram no console de administração, e cada mudança fica registrada no log de auditoria.
Quem vê o quê
- Acesso com duas chaves
- O Tuti só usa um documento quando as duas chaves o abrem: a pessoa consegue abri-lo no app onde ele está, e o responsável o compartilhou num Espaço do qual ela faz parte. As duas são conferidas em toda busca. Para documentos confidenciais, o acesso é conferido de novo no app de origem logo antes do uso.
- Dicas sem revelar o conteúdo
- Se um documento ajudaria, mas você não pode abri-lo, o Tuti diz quem é o responsável para você pedir acesso. Ele nunca mostra o título nem nada do que está dentro.
- Canais privados
- Num canal privado do Slack, o Tuti só usa documentos que todos os membros do canal conseguem abrir. Se não conseguir associar alguém do canal a uma pessoa da sua empresa, ele pede para continuar numa mensagem direta. Em canais públicos, só usa o que está compartilhado com a empresa toda.
- SSO e SCIM incluídos
- Entre com qualquer provedor de identidade compatível com OIDC ou SAML 2.0 e torne isso obrigatório para todos. O SCIM 2.0 adiciona e remove pessoas e grupos automaticamente. Os dois vêm em todos os planos.
Quem faz o trabalho
- Um sandbox separado para cada pessoa
- O Tuti de cada pessoa roda no próprio contêiner sob gVisor, um sandbox com fronteira de kernel própria. Um firewall o impede de alcançar os Tutis de outras pessoas, a nossa rede interna e os metadados da nuvem, e ele não aceita conexões de entrada. Lá dentro, o cofre e as ferramentas de pagamento só respondem ao próprio processo supervisionado do Tuti, verificado pelo sistema operacional, então o código que o modelo executa não consegue chamá-los.
- Colegas têm identidade própria
- Os colegas de IA são contas próprias, com nome, responsável e permissões próprias. Eles publicam em nome próprio, não entram como uma pessoa, e o log de auditoria mostra as ações deles com o próprio nome.
- Delegação limitada e com prazo
- Quando um colega age por uma pessoa, essa pessoa concede a ele uma delegação: ferramentas e recursos específicos, por até 90 dias. Ela pode ser revogada a qualquer momento, e o log de auditoria registra cada ação como “em nome de” essa pessoa.
O que precisa de uma pessoa
- Aprovações conforme o risco
- Cada ação recebe uma nota de risco com base em quanto dá para desfazê-la, quanto dinheiro envolve, quem ela alcança, quão sensíveis são os dados e quantos registros ela afeta. Os admins definem os limites por função, colega e fluxo, e as pessoas só podem deixá-los mais rígidos. Pagamentos exigem uma chave de acesso ou uma aprovação assinada no celular.
- Conteúdo de fora aumenta o rigor
- Depois que uma execução lê algo de fora da empresa, como um e-mail externo, uma página da web ou um arquivo de um convidado, as ações de saída e as irreversíveis dessa execução esperam por uma pessoa, mesmo no modo Automático. Dados confidenciais não podem sair da empresa nessa execução sem o OK de uma pessoa.
- DLP nas ações e nos prompts do modelo
- Detectores integrados encontram segredos e chaves de API, números de cartão, IBANs, números do Social Security dos EUA e do SIN canadense, endereços de e-mail, números de telefone e termos de saúde. Para cada um, os admins escolhem permitir, mascarar, pedir aprovação ou bloquear. Os detectores verificam as ações antes de serem executadas, e os prompts e as respostas no nosso proxy de modelos.
- Política de domínios do navegador
- Os admins definem os domínios que o navegador do Tuti pode e não pode abrir. A lista própria de um colega só pode restringir a da empresa.
- Botão de parada
- Pare um colega, um fluxo, um app conectado ou a empresa inteira. Vale em segundos: o trabalho em andamento é cancelado e os dispositivos do colega são desconectados. Você pode retomar depois, e as duas coisas ficam registradas.
O que fica registrado
- Log de auditoria com evidências
- Cada chamada de ferramenta, gravação via API e aprovação fica registrada, e cada busca também: o que foi lido e com o acesso de quem. Os passos no navegador guardam uma captura de tela.
- Exporte para as suas ferramentas
- Envie o log em tempo real para um bucket compatível com S3, Splunk, Datadog ou o seu próprio webhook, com assinatura para você verificar que ele veio de nós.
- Retenção
- Você escolhe por quanto tempo o log é mantido: 90 dias por padrão, no mínimo 30. Entradas mais antigas e as capturas de tela delas são apagadas todos os dias, mas nunca antes de a sua exportação recebê-las.
- Preservação legal
- Ative a preservação legal e nada no log é apagado até você desativá-la. As duas ações ficam registradas.
Como os dados são tratados
- Sem treinamento com os seus dados
- Os modelos de IA rodam no Amazon Bedrock, e o Amazon Bedrock não treina modelos com os seus dados de entrada. A Tavix também não treina modelos com os seus dados, e o nosso proxy de modelos não guarda prompts nos logs.
- Criptografia em trânsito
- As conexões entre os seus navegadores, apps e dispositivos e a Tavix usam TLS, assim como as nossas conexões com os provedores de modelos e com os apps que você conecta.
- Criptografia em repouso
- Senhas, chaves de API e tokens de login de apps ficam num cofre criptografado com AES-256-GCM. Os itens de cada pessoa são selados com uma chave de dados própria, e essa chave também é criptografada, com uma chave mestra guardada no repositório de segredos do nosso servidor. Os backups do banco de dados ficam armazenados criptografados no Cloudflare R2.
Onde os seus dados ficam hoje.
O Tavix for Work roda em servidores na Alemanha. Os modelos de IA rodam nos Estados Unidos. A escolha de região está planejada.
Hospedagem
Hetzner, Falkenstein, Alemanha
Nossos servidores, bancos de dados e o Tuti privado de cada pessoa.
Modelos de IA
Amazon Bedrock, Estados Unidos
Modelos Claude e embeddings de texto. As requisições vão para a região us-east-1 e ficam nos Estados Unidos.
Subprocessadores
Empresas que processam dados de clientes para nós.
| Empresa | O que faz | Onde | Status |
|---|---|---|---|
| Hetzner Online | Hospedagem: servidores, bancos de dados e o Tuti de cada pessoa. | Alemanha | Em uso |
| Amazon Web Services (Amazon Bedrock) | Roda os modelos de IA e os embeddings da busca na empresa. Recebe só as partes de uma conversa ou documento de que uma requisição precisa. | Estados Unidos | Em uso |
| Cloudflare | DNS do tavix.dev e armazenamento R2 para os backups criptografados do banco de dados. O nosso tráfego web não passa pela Cloudflare. | Rede global | Em uso |
| Stripe | Cobrança dos planos pagos. Os números de cartão ficam com a Stripe, nunca com a Tavix. | Estados Unidos | Pendente |
| Resend | Envia e-mails: códigos de login, convites, aprovações e e-mails dos colegas. | Estados Unidos | Pendente |
| Expo | Entrega notificações push no app para celular. | Estados Unidos | Pendente |
Pendente significa que o serviço está configurado, mas ainda não processa dados de clientes.
Apps que a sua empresa escolhe conectar
Eles só recebem dados se você os conectar. A Tavix lê e grava neles com o acesso que você concede, e o app processa os dados conforme o seu próprio contrato com ele.
- Recall.aiPendente
Envia um bot de anotações às reuniões para as quais você o convida e devolve uma transcrição. Na reunião, ele se identifica como uma IA.
- SlackSe você conectar
Perguntas ao Tuti, colegas e aprovações no seu workspace do Slack.
- MicrosoftSe você conectar
Outlook, Teams e outros apps do Microsoft 365 que você conectar.
- GoogleSe você conectar
Gmail, Calendar, Drive e outros apps do Google Workspace que você conectar.
Roteiro de conformidade.
Em que ponto estamos em certificações e termos contratuais. Os itens planejados ainda não têm data.
- Disponível
Lista de subprocessadores
A lista desta página.
- Rascunho
Acordo de processamento de dados
Um rascunho de DPA baseado no Artigo 28 do GDPR. Peça uma cópia.
- Rascunho
Política de uso de IA e tratamento de dados
Como o Tuti usa modelos de IA e os seus dados. Um rascunho está disponível sob pedido.
- Planejado
SOC 2 Type I
Uma auditoria independente de como os nossos controles foram desenhados.
- Planejado
SOC 2 Type II
Uma auditoria de como esses controles funcionam ao longo de vários meses.
- Planejado
ISO 27001
Certificação da nossa gestão de segurança da informação.
- Planejado
Teste de invasão independente
Um teste do produto feito por uma empresa de segurança externa.
- Planejado
Suas próprias chaves (BYOK)
Criptografe o cofre e o índice de busca com chaves que você controla num serviço de gerenciamento de chaves.
- Planejado
Escolha de região
Mantenha os seus dados nos EUA, na UE ou no Canadá.
- Planejado
HIPAA
Um business associate agreement para dados de saúde.
Documentos para a sua análise.
Envie o seu questionário ou peça qualquer um destes. Enviamos por e-mail.
- Sob pedido
Pacote de revisão de segurança
Esta página num único documento, com notas de arquitetura e respostas às perguntas mais comuns de questionários.
- Sob pedido
Acordo de processamento de dados (DPA)
Rascunho, baseado no Artigo 28 do GDPR.
- Sob pedido
Política de uso de IA e tratamento de dados
Rascunho: quais modelos usamos, o que eles recebem e o que guardam.
Abre um e-mail para sales@tavix.dev.
Relatar uma vulnerabilidade.
Se você acha que encontrou um problema de segurança na Tavix, escreva para security@tavix.dev.
- Conte o que você encontrou e os passos para reproduzir.
- Use só as suas próprias contas e dados. Não acesse dados de outras pessoas nem atrapalhe o serviço.
- Dê um prazo razoável para corrigirmos antes de divulgar publicamente.
Lemos todos os relatos e vamos contar o que descobrirmos.
Perguntas da sua equipe de segurança?
Envie o seu questionário de segurança que nós o preenchemos, ou peça o pacote de revisão.