Güven merkeziErken erişim
Tavix for Work şirket verilerini nasıl korur.
Tuti neyi görebilir, ne yapabilir, bunu kim onaylar ve verileriniz nerede saklanır. Bu sayfadaki her şey Tavix for Work’ün bugün nasıl çalıştığını anlatır. Henüz yapılmamış her şey Planlandı olarak işaretlidir.
Şirket verilerini nasıl koruyoruz.
Aşağıdaki kontroller her Tavix for Work planında vardır. Yöneticiler bunları yönetici konsolunda ayarlar ve her değişiklik denetim kaydına yazılır.
Kim neyi görebilir
- İki anahtarlı erişim
- Tuti bir belgeyi yalnızca iki anahtar birden açıldığında kullanır: Kişi belgeyi bulunduğu uygulamada açabiliyor ve sahibi onu kişinin üyesi olduğu bir Alan’la paylaşmış. İkisi de her aramada kontrol edilir. Gizli belgelerde erişim, kullanımdan hemen önce kaynak uygulamada yeniden kontrol edilir.
- Bilmeniz gerektiği kadar
- Bir belge işinize yarayacaksa ama onu açamıyorsanız, Tuti size sahibinin kim olduğunu söyler, böylece erişim isteyebilirsiniz. Belgenin başlığını veya içindeki herhangi bir şeyi asla göstermez.
- Özel kanallar
- Tuti, özel bir Slack kanalında yalnızca kanalın her üyesinin açabildiği belgeleri kullanır. Kanaldaki birini şirketinizdeki bir kişiyle eşleştiremezse, doğrudan mesajda devam etmeyi ister. Herkese açık kanallarda yalnızca tüm şirketle paylaşılanları kullanır.
- SSO ve SCIM dahil
- OIDC veya SAML 2.0 destekleyen herhangi bir kimlik sağlayıcıyla giriş yapın ve bunu herkes için zorunlu kılın. SCIM 2.0 kişileri ve grupları otomatik olarak ekler ve kaldırır. İkisi de her planda vardır.
İşi kim yapar
- Her kişi için ayrı bir korumalı ortam
- Her kişinin Tuti’si, kendi çekirdek sınırına sahip bir korumalı ortam olan gVisor altında, kendi konteynerinde çalışır. Bir güvenlik duvarı, onun başka kişilerin Tuti’lerine, iç ağımıza ve bulut meta verilerine ulaşmasını engeller; dışarıdan gelen hiçbir bağlantıyı da kabul etmez. İçeride kasa ve ödeme araçları yalnızca Tuti’nin kendi denetlenen sürecine yanıt verir ve bunu işletim sistemi kontrol eder, böylece modelin çalıştırdığı kod onları çağıramaz.
- Ekip arkadaşlarının kendi kimliği var
- Yapay zekâ ekip arkadaşları; adı, sahibi ve kendi izinleri olan ayrı hesaplardır. Kendi adlarıyla paylaşım yaparlar, bir kişi olarak giriş yapmazlar ve denetim kaydı işlemlerini kendi adları altında gösterir.
- Kapsamı ve süresi sınırlı yetki devri
- Bir ekip arkadaşı bir kişi adına çalıştığında, o kişi ona bir yetki devri verir: belirli araçlar ve kaynaklar, en fazla 90 gün için. Yetki her an geri alınabilir ve denetim kaydı her işlemi o kişi “adına” yapılmış olarak kaydeder.
Bir kişiyi bekleyenler
- Riske göre onaylar
- Her işlem; ne kadar geri alınabilir olduğuna, ne kadar para içerdiğine, kime ulaştığına, verinin ne kadar hassas olduğuna ve kaç kaydı etkilediğine göre bir risk puanı alır. Yöneticiler eşikleri her rol, ekip arkadaşı ve iş akışı için belirler; kişiler bunları yalnızca daha sıkı yapabilir. Ödemeler için bir geçiş anahtarı veya telefonda imzalı onay gerekir.
- Dışarıdan gelen içerik çıtayı yükseltir
- Bir çalıştırma şirket dışından bir şey okuduğunda, örneğin dışarıdan gelen bir e-posta, bir web sayfası veya bir misafirin dosyası, o çalıştırmanın dışa dönük ve geri alınamaz işlemleri Otomatik modda bile bir kişiyi bekler. Gizli veriler o çalıştırmada bir kişinin onayı olmadan şirket dışına çıkamaz.
- İşlemlerde ve model istemlerinde DLP
- Yerleşik algılayıcılar gizli bilgileri ve API anahtarlarını, kart numaralarını, IBAN’ları, ABD Sosyal Güvenlik ve Kanada SIN numaralarını, e-posta adreslerini, telefon numaralarını ve sağlıkla ilgili terimleri bulur. Yöneticiler her biri için izin vermeyi, gizlemeyi, onay istemeyi veya engellemeyi seçer. Algılayıcılar işlemleri çalışmadan önce, istemleri ve yanıtları da model proxy’mizde kontrol eder.
- Tarayıcı alan adı politikası
- Yöneticiler, Tuti’nin tarayıcısının hangi alan adlarını açabileceğini ve açamayacağını belirler. Bir ekip arkadaşının kendi listesi şirketinkini yalnızca daraltabilir.
- Acil durdurma
- Bir ekip arkadaşını, bir iş akışını, bağlı bir uygulamayı veya tüm şirketi durdurun. Saniyeler içinde etkili olur: Süren işler iptal edilir ve ekip arkadaşının cihazlarının bağlantısı kesilir. Daha sonra devam ettirebilirsiniz; ikisi de kaydedilir.
Neler kaydedilir
- Kanıtlı denetim kaydı
- Her araç çağrısı, API üzerinden yazma ve onay kaydedilir; her arama da: neyin okunduğu ve kimin erişimiyle okunduğu. Tarayıcı adımlarında bir ekran görüntüsü saklanır.
- Kendi araçlarınıza aktarın
- Kaydı S3 uyumlu bir bucket’a, Splunk’a, Datadog’a veya kendi webhook’unuza akış olarak gönderin. Kayıt imzalıdır, böylece bizden geldiğini doğrulayabilirsiniz.
- Saklama süresi
- Kaydın ne kadar saklanacağını siz seçersiniz: varsayılan 90 gün, en az 30 gün. Daha eski kayıtlar ve ekran görüntüleri her gün silinir, ama dışa aktarımınız onları almadan asla silinmez.
- Yasal saklama
- Yasal saklamayı açın; siz kapatana kadar kayıttaki hiçbir şey silinmez. İkisi de kaydedilir.
Veriler nasıl işlenir
- Verilerinizle model eğitilmez
- Yapay zekâ modelleri Amazon Bedrock’ta çalışır ve Amazon Bedrock girdilerinizle model eğitmez. Tavix de verilerinizle model eğitmez ve model proxy’miz istemleri kayıtlarında tutmaz.
- Aktarım sırasında şifreleme
- Tarayıcılarınız, uygulamalarınız ve cihazlarınız ile Tavix arasındaki bağlantılar TLS kullanır; model sağlayıcılarına ve bağladığınız uygulamalara olan bağlantılarımız da öyle.
- Depolamada şifreleme
- Parolalar, API anahtarları ve uygulama oturum belirteçleri AES-256-GCM ile şifrelenmiş bir kasada tutulur. Her kişinin öğeleri kendi veri anahtarıyla mühürlenir; bu anahtar da sunucumuzun gizli bilgi deposunda tutulan bir ana anahtarla şifrelenir. Veritabanı yedekleri Cloudflare R2’de şifreli olarak saklanır.
Verileriniz bugün nerede.
Tavix for Work Almanya’daki sunucularda çalışır. Yapay zekâ modelleri Amerika Birleşik Devletleri’nde çalışır. Bölge seçimi planlanıyor.
Barındırma
Hetzner, Falkenstein, Almanya
Sunucularımız, veritabanlarımız ve her kişinin özel Tuti’si.
Yapay zekâ modelleri
Amazon Bedrock, Amerika Birleşik Devletleri
Claude modelleri ve metin gömmeleri. İstekler us-east-1 bölgesine gider ve Amerika Birleşik Devletleri’nde kalır.
Alt işleyenler
Müşteri verilerini bizim adımıza işleyen şirketler.
| Şirket | Ne yapar | Nerede | Durum |
|---|---|---|---|
| Hetzner Online | Barındırma: sunucular, veritabanları ve her kişinin Tuti’si. | Almanya | Kullanımda |
| Amazon Web Services (Amazon Bedrock) | Yapay zekâ modellerini ve şirket içi arama için gömmeleri çalıştırır. Bir konuşmanın veya belgenin yalnızca isteğin ihtiyaç duyduğu kısımlarını alır. | Amerika Birleşik Devletleri | Kullanımda |
| Cloudflare | tavix.dev için DNS ve şifreli veritabanı yedekleri için R2 depolama. Web trafiğimiz Cloudflare’den geçmez. | Küresel ağ | Kullanımda |
| Stripe | Ücretli planların faturalandırması. Kart numaraları Tavix’te değil, Stripe’ta tutulur. | Amerika Birleşik Devletleri | Beklemede |
| Resend | E-posta gönderir: giriş kodları, davetler, onaylar ve ekip arkadaşı e-postaları. | Amerika Birleşik Devletleri | Beklemede |
| Expo | Mobil uygulamaya anlık bildirimleri iletir. | Amerika Birleşik Devletleri | Beklemede |
Beklemede, hizmetin kurulu olduğu ama henüz müşteri verisi işlemediği anlamına gelir.
Şirketinizin bağlamayı seçtiği uygulamalar
Bunlar yalnızca onları bağlarsanız veri alır. Tavix bu uygulamalarda verdiğiniz erişimle okur ve yazar; uygulama da verileri onunla yaptığınız kendi sözleşmeniz kapsamında işler.
- Recall.aiBeklemede
Davet ettiğiniz toplantılara bir not botu gönderir ve bir döküm döndürür. Toplantıda kendini yapay zekâ olarak tanıtır.
- SlackBağlarsanız
Slack çalışma alanınızda Tuti’ye sorular, ekip arkadaşları ve onaylar.
- MicrosoftBağlarsanız
Outlook, Teams ve bağladığınız diğer Microsoft 365 uygulamaları.
- GoogleBağlarsanız
Gmail, Calendar, Drive ve bağladığınız diğer Google Workspace uygulamaları.
Uyumluluk yol haritası.
Sertifikalarda ve sözleşme koşullarında nerede olduğumuz. Planlanan maddelerin henüz bir tarihi yok.
- Mevcut
Alt işleyenler listesi
Bu sayfadaki liste.
- Taslak
Veri işleme sözleşmesi
GDPR Madde 28’e dayalı taslak bir DPA. Bir kopyasını bizden isteyin.
- Taslak
Yapay zekâ kullanımı ve veri işleme politikası
Tuti’nin yapay zekâ modellerini ve verilerinizi nasıl kullandığı. Taslak, istek üzerine sunulur.
- Planlandı
SOC 2 Type I
Kontrollerimizin nasıl tasarlandığına dair bağımsız bir denetim.
- Planlandı
SOC 2 Type II
Bu kontrollerin birkaç ay boyunca nasıl çalıştığına dair bir denetim.
- Planlandı
ISO 27001
Bilgi güvenliği yönetimimizin sertifikasyonu.
- Planlandı
Bağımsız sızma testi
Ürünün dışarıdan bir güvenlik firması tarafından test edilmesi.
- Planlandı
Kendi anahtarlarınız (BYOK)
Kasayı ve arama dizinini, bir anahtar yönetim hizmetinde kontrolünüzdeki anahtarlarla şifreleyin.
- Planlandı
Bölge seçimi
Verilerinizi ABD’de, AB’de veya Kanada’da tutun.
- Planlandı
HIPAA
Sağlık verileri için bir iş ortağı sözleşmesi.
İncelemeniz için belgeler.
Anketinizi bize gönderin veya bunlardan herhangi birini isteyin. Size e-postayla göndeririz.
- İstek üzerine
Güvenlik inceleme paketi
Bu sayfa tek bir belgede; mimari notları ve sık sorulan anket sorularının yanıtlarıyla birlikte.
- İstek üzerine
Veri işleme sözleşmesi (DPA)
Taslak, GDPR Madde 28’e dayalı.
- İstek üzerine
Yapay zekâ kullanımı ve veri işleme politikası
Taslak: hangi modelleri kullandığımız, modellerin ne aldığı ve ne sakladığı.
sales@tavix.dev adresine bir e-posta açar.
Güvenlik açığı bildirin.
Tavix’te bir güvenlik sorunu bulduğunuzu düşünüyorsanız security@tavix.dev adresine e-posta gönderin.
- Ne bulduğunuzu ve sorunu yeniden oluşturma adımlarını bize anlatın.
- Yalnızca kendi hesaplarınızı ve verilerinizi kullanın. Başkalarının verilerine erişmeyin ve hizmeti aksatmayın.
- Herkese açık paylaşmadan önce düzeltmemiz için bize makul bir süre tanıyın.
Her bildirimi okuyoruz ve ne bulduğumuzu size söyleyeceğiz.
Güvenlik ekibinizin soruları mı var?
Güvenlik anketinizi bize gönderin, biz dolduralım ya da inceleme paketini isteyin.