トラストセンター早期アクセス
Tavix for Workは会社のデータをこう守ります。
Tutiが何を見られるか、何をできるか、誰が承認するか、データがどこに保管されるか。このページでは、Tavix for Workが現在どう動いているかを説明します。まだ作られていないものには「予定」と表示しています。
会社のデータを守る仕組み。
これらの管理機能は標準で備わっています。管理者が管理コンソールで設定し、変更はすべて監査ログに残ります。SSO、SCIM、DLP、監査のエクスポートは、Businessから利用できます。
誰が何を見られるか
- 2つの鍵によるアクセス
- Tutiが文書を使うのは、2つの確認を両方通ったときだけです。その人が元のアプリで開けること、そして所有者がその人のいるSpaceに共有していること。どちらも検索のたびに確認します。機密文書は、使う直前に、元のアプリをもう一度確認します。
- 必要な人にだけヒント
- 役に立ちそうでも、あなたが開けない文書の場合、Tutiは所有者を伝えるので、アクセスを依頼できます。タイトルも中身も表示しません。
- プライベートチャンネル
- 非公開のSlackチャンネルでは、Tutiはメンバー全員が開ける文書だけを使います。チャンネル内の誰かを社内の人と照合できない場合は、ダイレクトメッセージでの続行を求めます。公開チャンネルでは、会社全体に共有されているものだけを使います。
- SSOとSCIMも標準
- OIDCまたはSAML 2.0に対応する、どのIDプロバイダーでもサインインでき、全員に必須にできます。SCIM 2.0が、人とグループを自動で追加・削除します。Businessから含まれます。
誰が作業するか
- 一人ひとりに別のサンドボックス
- それぞれの人のTutiは、gVisorのもとで専用のコンテナで動きます。gVisorは、独自のカーネル境界を持つサンドボックスです。ファイアウォールが、ほかの人のTuti、当社の内部ネットワーク、クラウドのメタデータへのアクセスを遮断し、外部からの接続は受け付けません。その内側では、保管庫と支払いのツールは、オペレーティングシステムが確認した、Tuti自身の監督下のプロセスにしか応答しません。モデルが実行するコードからは呼び出せません。
- チームメイトには独自のID
- AIチームメイトは、名前、担当者、専用の権限を持つ、独立したアカウントです。自分自身として投稿し、人としてサインインすることはありません。監査ログには、その操作が本人の名前で記録されます。
- 範囲と期間を限った委任
- チームメイトが人の代わりに動くときは、その人が委任を与えます。対象のツールとリソースを指定し、最長90日間です。いつでも取り消せ、監査ログには、各操作が「代理として」記録されます。
人の判断が必要なこと
- リスクに応じた承認
- すべての操作に、リスクスコアが付きます。元に戻せるか、関わるお金の額、届く相手、データの機密性、影響するレコード数から決まります。管理者は、ロール、チームメイト、ワークフローごとにしきい値を設定します。個人は、それを厳しくすることしかできません。支払いには、パスキーか、スマホでの署名つき承認が必要です。
- 外部の内容を読むと確認が厳しくなる
- 実行中に、社外のメール、Webページ、ゲストのファイルなど、社外のものを読んだ場合、その実行による社外への送信や元に戻せない操作は、自動モードでも人の確認を待ちます。その実行では、人のOKなしに、機密データが社外に出ることはありません。
- 操作とモデルへのプロンプトにDLP
- 組み込みの検出機能が、シークレットやAPIキー、カード番号、IBAN、米国の社会保障番号、カナダのSIN、メールアドレス、電話番号、健康に関する用語を見つけます。それぞれについて、管理者は、許可、伏せ字、承認を求める、ブロックから選びます。操作は実行前に、プロンプトと返信は当社のモデルプロキシで確認します。
- ブラウザーのドメインポリシー
- Tutiのブラウザーが開けるドメインと開けないドメインを、管理者が設定します。チームメイト自身のリストは、会社のリストを狭めることしかできません。
- 緊急停止
- 1人のチームメイト、1つのワークフロー、1つの連携アプリ、または会社全体を止められます。数秒で反映され、実行中の作業はキャンセルされ、チームメイトのデバイスは切り離されます。あとで再開できます。どちらも記録されます。
何が記録されるか
- 証拠つきの監査ログ
- ツールの呼び出し、APIでの書き込み、承認はすべて記録され、検索もすべて、何を読んだか、誰のアクセス権を使ったかが記録されます。ブラウザーの操作にはスクリーンショットが残ります。
- 自社のツールへエクスポート
- ログを、S3互換のバケット、Splunk、Datadog、独自のWebhookにストリーミングできます。署名されているので、当社から送られたものだと確認できます。
- 保存期間
- ログの保存期間は自社で決められます。既定は90日、最短は30日です。古いエントリとそのスクリーンショットは毎日削除されますが、エクスポート先が受け取る前に削除されることはありません。
- 訴訟ホールド
- 訴訟ホールドをオンにすると、オフにするまでログは一切削除されません。オンとオフはどちらも記録されます。
データの扱い
- データを学習に使いません
- AIモデルはAmazon Bedrockで動き、Amazon Bedrockはお客様の入力でモデルを学習しません。Tavixもお客様のデータでモデルを学習せず、当社のモデルプロキシは、プロンプトをログに残しません。
- 通信の暗号化
- お客様のブラウザー、アプリ、デバイスとTavixの間の接続には、TLSを使います。モデル提供元や、お客様がつないだアプリとの接続も同様です。
- 保存データの暗号化
- パスワード、APIキー、アプリのサインイン用トークンは、AES-256-GCMで暗号化された保管庫に保存されます。各人の項目はその人専用のデータキーで封印され、そのキーは、当社のサーバーのシークレットストアにあるマスターキーで暗号化されます。データベースのバックアップは、Cloudflare R2に暗号化して保存されます。
現在のデータの保管場所。
Tavix for Workはドイツのサーバーで動いています。AIモデルは米国で動いています。リージョンの選択は予定です。
ホスティング
Hetzner、ドイツ・ファルケンシュタイン
当社のサーバー、データベース、それぞれの人専用のTuti。
AIモデル
Amazon Bedrock、米国
Claudeモデルとテキスト埋め込み。リクエストはus-east-1リージョンに送られ、米国内にとどまります。
サブプロセッサー
当社に代わって顧客データを処理する企業。
| 企業 | 役割 | 所在地 | 状況 |
|---|---|---|---|
| Hetzner Online | ホスティング：サーバー、データベース、それぞれの人のTuti。 | ドイツ | 使用中 |
| Amazon Web Services (Amazon Bedrock) | AIモデルと、会社内検索のための埋め込みを実行します。受け取るのは、リクエストに必要な会話や文書の一部だけです。 | 米国 | 使用中 |
| Cloudflare | tavix.devのDNSと、暗号化したデータベースのバックアップ用のR2ストレージ。当社のWebトラフィックは、Cloudflareを経由しません。 | グローバルネットワーク | 使用中 |
| Stripe | 有料プランの請求。カード番号はStripeが保管し、Tavixは保管しません。 | 米国 | 準備中 |
| Resend | メールの送信：サインインコード、招待、承認、チームメイトのメール。 | 米国 | 準備中 |
| Expo | モバイルアプリにプッシュ通知を送信します。 | 米国 | 準備中 |
「準備中」は、サービスは設定済みですが、まだお客様のデータを処理していないことを意味します。
会社が接続を選ぶアプリ
これらがデータを受け取るのは、お客様が連携したときだけです。Tavixは、お客様が与えたアクセス権で読み書きし、データはそのアプリとお客様自身の契約のもとで扱われます。
- Recall.ai準備中
招待した会議にメモ用のボットを送り、文字起こしを返します。会議ではAIであることを名乗ります。
- Slack接続した場合
SlackワークスペースでTutiに質問、チームメイト、承認。
- Microsoft接続した場合
Outlook、Teams、そのほか接続したMicrosoft 365アプリ。
- Google接続した場合
Gmail、カレンダー、ドライブ、そのほか接続したGoogle Workspaceアプリ。
コンプライアンスのロードマップ。
認証と契約条件の現状です。「予定」の項目にはまだ日付がありません。
- 提供中
サブプロセッサーの一覧
このページにある一覧です。
- 草案
データ処理契約
GDPR第28条に基づくDPAの草案。写しはお問い合わせください。
- 草案
AIの利用とデータ処理に関するポリシー
TutiがAIモデルとお客様のデータをどう使うか。草案はご依頼に応じて提供します。
- 予定
SOC 2 Type I
当社の管理策の設計についての独立監査。
- 予定
SOC 2 Type II
それらの管理策が数か月にわたってどう機能するかの監査。
- 予定
ISO 27001
情報セキュリティマネジメントの認証。
- 予定
第三者によるペネトレーションテスト
外部のセキュリティ企業による製品のテスト。
- 予定
自社管理の鍵（BYOK）
保管庫と検索インデックスを、キー管理サービスでお客様が管理するキーで暗号化します。
- 予定
リージョンの選択
データを米国、EU、カナダのいずれかに保管。
- 予定
HIPAA
医療データのための事業提携契約（BAA）。
審査用の資料。
セキュリティアンケートをお送りいただくか、以下のいずれかをご依頼ください。メールでお送りします。
- ご依頼に応じて
セキュリティ審査資料
このページの内容を1つの資料にまとめ、アーキテクチャの説明と、質問票でよくある質問への回答を加えたもの。
- ご依頼に応じて
データ処理契約（DPA）
草案。GDPR第28条に基づきます。
- ご依頼に応じて
AIの利用とデータ処理に関するポリシー
草案：使用するモデル、モデルが受け取るもの、保持するもの。
sales@tavix.dev宛てのメールが開きます。
脆弱性の報告。
Tavixにセキュリティ上の問題を見つけましたか？ security@tavix.devまでメールをお送りください。
- 見つけた内容と、再現方法をお知らせください。
- ご自身のアカウントとデータだけを使ってください。ほかの人のデータへのアクセスや、サービスの妨害はしないでください。
- 公表する前に、修正のための妥当な時間をください。
すべての報告を読み、見つかった内容をお伝えします。