BeSavvy уделяет первостепенное внимание безопасности данных на нашей платформе. Вы можете доверить нам защиту информации вашей учетной записи.
Шифрование и защита данных
●Шифрование при передаче и хранении. Все данные шифруются при передаче с использованием TLS 1.2+ и при хранении — с использованием AES-256 нашим хостинг-провайдером.
●Защита паролей. Пароли хранятся только в виде хешей bcrypt с солью, а ссылки для сброса пароля — в виде односторонних хешей.
Безопасная аутентификация и контроль доступа
●Поддержка единого входа (SSO). BeSavvy поддерживает безопасную аутентификацию через SSO с помощью Google и Microsoft Entra (Azure), снижая риск атак с использованием учетных данных и обеспечивая удобное управление доступом.
●Многофакторная аутентификация (MFA). MFA обязательна для всех учетных записей BeSavvy, имеющих доступ к нашему хостингу, базе данных и исходному коду.
●Ролевое управление доступом (RBAC). Доступ ограничивается ролью в каждой организации (администратор, менеджер, наблюдатель, участник) и в каждом курсе (автор, наставник); предоставляются права на редактирование или комментирование.
◐Безопасность сеансов. Для сеансов используются подписанные токены в защищенных cookie-файлах, недоступных для HTTP. Мы сокращаем срок действия сеансов и усиливаем защиту при их обработке.
Защита конфиденциальности и соблюдение требований
●Минимизация данных. Мы собираем и обрабатываем только данные, необходимые для работы платформы, соблюдая право пользователей на неприкосновенность частной жизни.
●Соблюдение GDPR и UK GDPR. Наши правила защиты данных соответствуют принципам GDPR, включая право пользователей на доступ к своим данным, их исправление и удаление.
●Регулярные проверки соответствия. Мы проводим внутренние проверки и анализ пробелов на соответствие требованиям UK GDPR и критериям SOC 2.
●Соглашение об обработке данных (DPA). DPA доступно всем корпоративным клиентам. Чтобы запросить копию, свяжитесь с нами по адресу security@besavvy.app.
ИИ и обработка данных третьими лицами
●Данные клиентов не используются для обучения ИИ. Ни BeSavvy, ни наши поставщики ИИ никогда не используют ваши данные для обучения или дообучения моделей ИИ. Данные клиентов используются исключительно для предоставления согласованных услуг.
●Поставщики ИИ. Мы используем OpenAI и Anthropic (Claude) через их бизнес-API, условия использования которых запрещают применять переданные данные для обучения моделей. Поставщики могут хранить запросы до 30 дней исключительно для контроля злоупотреблений.
◐Нулевое хранение данных. Мы подали запросы в OpenAI и Anthropic на применение условий нулевого хранения данных, чтобы запросы не сохранялись после обработки.
●Исходные материалы клиента. Загруженные вами для создания плейбуков документы обрабатываются в памяти и не хранятся в виде файлов. Мы сохраняем только извлеченный текст и созданные на его основе плейбуки и по запросу удаляем их по завершении сотрудничества.
●Голосовые ролевые игры. Речь в голосовых ролевых играх обрабатывается с помощью Deepgram и ElevenLabs. Транскрипты хранятся для обратной связи и аналитики, а аудиозаписи — в ЕС.
◐Управление записью аудио. Мы добавляем настройку для каждой организации, позволяющую отключить запись аудио. Ролевые игры продолжат работать, а транскрипты — сохраняться; будет отключен только анализ коммуникации на основе аудио.
●Нет доступа к внутренним системам клиента. BeSavvy не интегрируется с вашей CRM, внутренними базами данных или другими системами, в которых хранятся персональные данные сотрудников или клиентов.
Субподрядчики
Эти поставщики обрабатывают персональные данные от нашего имени. Мы уведомляем клиентов с DPA не менее чем за 14 дней до добавления нового поставщика или его замены.
●Heroku (Salesforce) на AWS. Хостинг приложения (США) и база данных (ЕС, Ирландия).
●OpenAI. Оценка ответов, обратная связь и создание контента. США.
●Anthropic. Оценка ответов, обратная связь и создание контента. США.
●Deepgram. Распознавание речи и голосовое сопровождение ролевых игр. США.
●ElevenLabs. Голосовое сопровождение ролевых игр. США.
●Bunny.net. Хранение записей голосовых ролевых игр. ЕС.
●Cloudinary. Хранение изображений, включая фотографии профиля. США.
●Postmark. Транзакционные электронные письма. США.
●Crisp. Онлайн-чат и поддержка клиентов. Франция.
●Sentry. Мониторинг ошибок приложения. ЕС (Германия).
●Google. Вход в систему (OAuth) и аналитика сайта. США / ЕС.
●Microsoft. Вход в систему (Entra ID). США / ЕС.
Мониторинг безопасности и реагирование на инциденты
●Утвержденный план реагирования на утечки данных. BeSavvy официально утвердила и внедрила план реагирования на утечки данных, в котором определены процедуры выявления инцидентов, реагирования на них и уведомления регулирующих органов, включая уведомление ICO в течение 72 часов, если этого требует UK GDPR.
●Проверка кода и установка исправлений. Изменения проверяются до выпуска, а обновления зависимостей устанавливаются без задержек после выявления уязвимостей.
●Мониторинг ошибок и доступности. Ошибки приложения и работоспособность сервиса непрерывно отслеживаются с помощью Sentry и Heroku.
Резервное копирование и восстановление данных
●Автоматическое шифрование резервных копий. Наш хостинг-провайдер автоматически создает резервные копии базы данных и шифрует их с помощью AES-256.
●План аварийного восстановления (DRP). Документированная стратегия реагирования обеспечивает быстрое восстановление данных и непрерывность деятельности в случае инцидентов.
Контроль пользователей и прозрачность
●Удаление данных по запросу. Администраторы клиента могут запросить удаление данных студентов или организации. Мы удаляем их из рабочих систем в течение 30 дней, а из резервных копий — в течение 90 дней, как предусмотрено нашим DPA.
◐Самостоятельное управление данными (в разработке). Мы разрабатываем инструменты, с помощью которых администраторы и студенты смогут самостоятельно экспортировать и удалять свои данные.
●Прозрачные правила конфиденциальности и условия использования. В нашей Политике конфиденциальности и Условиях использования четко описаны сбор и использование данных, а также применяемые меры безопасности.
Сертификация и страхование
●Сертификация UK Cyber Essentials. Вся организация BeSavvy сертифицирована по стандарту UK Cyber Essentials. Соответствие стандарту, разработанному при поддержке правительства Великобритании, подтверждено независимой оценкой; сертификат действует до февраля 2027 года. Запросите у нас копию сертификата.
●Страхование киберрисков и данных. BeSavvy застрахована в Hiscox от киберрисков и рисков, связанных с данными, на сумму £1,000,000.
◐SOC 2. Мы готовимся к получению отчета SOC 2 Type I, который планируем выпустить к концу первого квартала 2027 года, а затем — отчета SOC 2 Type II после стандартного периода наблюдения.
◐План сертификации ISO 27001. Наши меры безопасности соответствуют практикам ISO 27001 и NIST CSF; получение сертификации ISO 27001 включено в наши планы.
Постоянное совершенствование
●Адаптивные стратегии безопасности. BeSavvy совершенствует меры безопасности в ответ на новые киберугрозы и развитие отрасли.
●Постоянное повышение уровня безопасности. Мы внедряем улучшения с учетом последних исследований, лучших практик и изменений в законодательстве.