我們如何保護公司資料。
以下控制功能包含在每個 Tavix for Work 方案中。管理員在管理主控台設定，每次變更都會寫入稽核紀錄。
誰能看到什麼
- 雙鑰匙存取
- 只有兩把鑰匙都對上時，Tuti 才會使用一份文件：這個人能在文件所在的 App 裡打開它，而且擁有者把它分享到這個人所屬的空間。每次搜尋都會檢查這兩點。機密文件在使用前，還會向來源 App 再確認一次存取權。
- 依需知原則提示
- 如果某份文件有幫助但你打不開，Tuti 會告訴你擁有者是誰，讓你可以申請存取。它絕不會顯示標題或其中任何內容。
- 私人頻道
- 在 Slack 私人頻道中，Tuti 只使用頻道每位成員都能打開的文件。如果無法把頻道裡的某人對應到公司裡的人，它會請你改用私訊繼續。在公開頻道中，它只使用分享給全公司的內容。
- 內含 SSO 和 SCIM
- 可透過任何支援 OIDC 或 SAML 2.0 的身分提供者登入，並要求所有人都這樣登入。SCIM 2.0 會自動新增和移除使用者與群組。兩者都包含在每個方案中。
誰來做事
- 每人一個獨立沙箱
- 每個人的 Tuti 都在自己的容器中執行，並使用 gVisor，這是一種有獨立核心邊界的沙箱。防火牆阻擋它連到其他人的 Tuti、我們的內部網路和雲端中繼資料，而且它不接受任何連入連線。在沙箱內，保險庫和付款工具只回應 Tuti 自己受監督的程序，並由作業系統驗證，因此模型執行的程式碼無法呼叫它們。
- 隊友有自己的身分
- AI 隊友是獨立的帳號，有自己的名字、負責人和權限。它們以自己的身分發文，不會以某個人的身分登入，稽核紀錄也以它們自己的名字記錄其動作。
- 限定範圍與期限的委派
- 隊友代表某人行事時，由這個人授予委派：指定的工具和資源，期限最長 90 天。委派可隨時撤銷，稽核紀錄會把每個動作記為「代表」此人執行。
哪些事需要人來決定
- 依風險核准
- 每個動作都會根據能否復原、涉及金額、會觸及哪些人、資料敏感程度，以及影響多少筆記錄，得到一個風險分數。管理員依角色、隊友和工作流程設定門檻，個人只能把門檻設得更嚴。付款需要密碼金鑰，或在手機上進行簽署核准。
- 讀過外部內容，門檻就提高
- 一次執行一旦讀過公司外部的內容，例如外部郵件、網頁或訪客的檔案，之後對外傳送和無法復原的動作都會等人確認，即使在自動模式下也一樣。在這次執行中，沒有人同意，機密資料就無法離開公司。
- 對動作和模型提示套用 DLP
- 內建偵測器能找出機密資訊和 API 金鑰、卡號、IBAN、美國社會安全號碼和加拿大 SIN、電子郵件地址、電話號碼及健康相關用語。每一類都由管理員選擇允許、遮蔽、要求核准或封鎖。動作在執行前檢查，提示和回覆則在我們的模型代理檢查。
- 瀏覽器網域政策
- 管理員設定 Tuti 的瀏覽器可以開啟和不能開啟的網域。隊友自己的清單只能進一步縮小公司的清單。
- 緊急停止開關
- 停止一位隊友、一個工作流程、一個已連接的 App 或整間公司。幾秒內生效：執行中的工作會被取消，隊友的裝置會被切斷。之後可以恢復，停止和恢復都會記錄。
記錄哪些內容
- 附憑據的稽核紀錄
- 每次工具呼叫、API 寫入和核准都會記錄，每次搜尋也會記錄：讀取了什麼、用的是誰的存取權。瀏覽器步驟會保留螢幕截圖。
- 匯出到你們的工具
- 把紀錄串流到相容 S3 的儲存桶、Splunk、Datadog 或你們自己的 Webhook，並附上簽章，讓你們能驗證確實來自我們。
- 保留期限
- 紀錄保留多久由你們決定：預設 90 天，最少 30 天。較舊的項目及其螢幕截圖每天刪除，但絕不會在你們的匯出端收到之前刪除。
- 法律保存
- 開啟法律保存後，在你關閉之前，紀錄中的任何內容都不會刪除。開啟和關閉都會記錄。
資料如何處理
- 不用你們的資料訓練
- AI 模型在 Amazon Bedrock 上執行，Amazon Bedrock 不會用你們的輸入訓練模型。Tavix 也不用你們的資料訓練模型，我們的模型代理也不會在紀錄中保存提示。
- 傳輸加密
- 你們的瀏覽器、App 和裝置與 Tavix 之間的連線使用 TLS，我們與模型供應商及你們所連接 App 之間的連線也使用 TLS。
- 靜態加密
- 密碼、API 金鑰和 App 登入權杖存放在以 AES-256-GCM 加密的保險庫中。每個人的項目都以其專屬的資料金鑰封存，而這把金鑰本身又以存放在我們伺服器機密儲存區中的主金鑰加密。資料庫備份加密後存放在 Cloudflare R2。
你們的資料目前存放在哪裡。
Tavix for Work 在德國的伺服器上執行。AI 模型在美國執行。選擇區域已在規劃中。
代管
Hetzner，德國法爾肯施泰因
我們的伺服器、資料庫，以及每個人的私人 Tuti。
AI 模型
Amazon Bedrock，美國
Claude 模型和文字嵌入。請求會送到 us-east-1 區域，並留在美國境內。
子處理者
代表我們處理客戶資料的公司。
| 公司 | 用途 | 所在地 | 狀態 |
|---|---|---|---|
| Hetzner Online | 代管：伺服器、資料庫和每個人的 Tuti。 | 德國 | 使用中 |
| Amazon Web Services (Amazon Bedrock) | 執行 AI 模型和公司搜尋所用的嵌入。只接收請求所需的那部分對話或文件。 | 美國 | 使用中 |
| Cloudflare | tavix.dev 的 DNS，以及存放加密資料庫備份的 R2 儲存空間。我們的網站流量不經過 Cloudflare。 | 全球網路 | 使用中 |
| Stripe | 付費方案的帳務。卡號由 Stripe 保管，Tavix 從不保管。 | 美國 | 待啟用 |
| Resend | 寄送電子郵件：登入驗證碼、邀請、核准和隊友郵件。 | 美國 | 待啟用 |
| Expo | 傳送推播通知到行動 App。 | 美國 | 待啟用 |
「待啟用」表示服務已設定好，但尚未處理客戶資料。
由你們公司選擇連接的 App
只有連接後，這些 App 才會收到資料。Tavix 以你們授予的存取權在其中讀寫，資料由該 App 依你們與它之間的協議處理。
- Recall.ai待啟用
派記錄機器人參加你邀請它的會議，並傳回逐字稿。它會在會議中表明自己是 AI。
- Slack連接後
在你們的 Slack 工作區中問 Tuti、使用隊友和處理核准。
- Microsoft連接後
你們連接的 Outlook、Teams 及其他 Microsoft 365 App。
- Google連接後
你們連接的 Gmail、日曆、雲端硬碟及其他 Google Workspace App。
法規遵循藍圖。
我們在認證和合約條款上的進度。標示「規劃中」的項目尚無日期。
- 可提供
子處理者清單
就是本頁上的清單。
- 草案
資料處理協議
以 GDPR 第 28 條為基礎的 DPA 草案。可向我們索取副本。
- 草案
AI 使用與資料處理政策
Tuti 如何使用 AI 模型和你們的資料。草案可依要求提供。
- 規劃中
SOC 2 Type I
針對我們控制措施設計方式的獨立稽核。
- 規劃中
SOC 2 Type II
針對這些控制措施在數個月內實際運作情形的稽核。
- 規劃中
ISO 27001
資訊安全管理認證。
- 規劃中
獨立滲透測試
由外部資安公司測試產品。
- 規劃中
自備金鑰（BYOK）
用你們在金鑰管理服務中掌控的金鑰加密保險庫和搜尋索引。
- 規劃中
選擇區域
資料存放在美國、歐盟或加拿大。
- 規劃中
HIPAA
針對健康資料的業務夥伴協議（BAA）。
供你們審閱的文件。
把你們的問卷寄給我們，或索取以下任何文件。我們會用電子郵件寄送。
- 依要求提供
資安審查資料包
把本頁內容整理成一份文件，附上架構說明和常見問卷問題的答案。
- 依要求提供
資料處理協議（DPA）
草案，以 GDPR 第 28 條為基礎。
- 依要求提供
AI 使用與資料處理政策
草案：我們使用哪些模型、模型會收到什麼、保留什麼。
將開啟一封寄給 sales@tavix.dev 的郵件。
回報漏洞。
如果你認為在 Tavix 中發現了安全性問題，請寄信至 security@tavix.dev。
- 告訴我們你發現了什麼，以及重現的步驟。
- 只使用你自己的帳號和資料。不要存取他人的資料，也不要干擾服務。
- 公開之前，請給我們合理的修正時間。
每份回報我們都會閱讀，並告訴你我們查到的結果。