Seguridad y protección de datos: visión general

Las conversaciones de sus clientes contienen la información que más confían a su empresa: números de identidad, datos de pago, siniestros, reservas y reclamaciones. Antes de que nada de ello llegue a Telonic, su equipo de seguridad necesita saber adónde va, quién puede acceder a ello, qué lo protege y qué ocurre si algo falla. Esta página resume el modelo de seguridad y remite a la página que expone cada control en detalle. Cada página enlazada ofrece primero la explicación sencilla y, después, los detalles técnicos.

Cómo encajan los controles

El modelo de seguridad funciona por capas, de fuera hacia dentro. Su despliegue se ejecuta en la región que usted elija y, dentro de él, sus datos se mantienen separados de los de cualquier otro cliente, cifrados y accesibles solo para las personas y los agentes cuya función lo requiera. Los datos personales se enmascaran antes de que ningún dato salga hacia un destino distinto de sus propios sistemas y sus propios clientes. Alrededor de cada capa se sitúan los procesos que mantienen los controles en funcionamiento: desarrollo seguro, pruebas antes de cada versión, supervisión y respuesta a incidentes.

Los controles de un vistazo

Dónde se procesan y almacenan sus datos

Usted elige una de cuatro opciones de alojamiento: una región de los Emiratos Árabes Unidos, una región de Arabia Saudí, su propia cuenta en la nube o sus propias instalaciones. El alojamiento regional utiliza centros de datos de los principales proveedores de nube en los Emiratos Árabes Unidos y en Arabia Saudí, y el proveedor y la región se especifican en su contrato. Para su propia cuenta en la nube, se admiten Microsoft Azure, AWS, Google Cloud y Core42.

Todo el procesamiento de su despliegue se realiza en la región que usted elija, salvo que elija expresamente un proveedor de modelo de lenguaje de fuera de ella. El reconocimiento del habla (la conversión de la voz en texto) y la síntesis de voz (la locución de la respuesta) se ejecutan siempre en la región elegida, y las imágenes y los documentos que envían sus clientes también los lee un modelo que se ejecuta allí. Las copias de seguridad y las copias de recuperación ante desastres están cifradas y permanecen en el mismo país que su despliegue.

Sus clientes se comunican con usted a través de las redes que usted ya utiliza. Su operador transporta las llamadas en virtud del contrato que usted tiene con él, y Meta recibe, procesa y almacena brevemente los mensajes de WhatsApp en su propia infraestructura antes de que lleguen a su despliegue. El recorrido completo figura en Cómo fluyen los datos en una conversación.

Qué sale de su despliegue y de qué forma

Sus propios sistemas y sus propios clientes reciben lo que necesitan: una consulta incluye la referencia de la reserva y una respuesta incluye el nombre del cliente. Para cualquier otro destino, los datos personales se enmascaran primero. El enmascaramiento abarca los nombres en escritura árabe y latina, los números de teléfono, las direcciones de correo electrónico, los números de identidad nacional (incluidos los números de Emirates ID y de Iqama), los números de pasaporte, los números de tarjeta de pago, los números de cuenta bancaria y los IBAN (números internacionales de cuenta bancaria), las fechas de nacimiento y las direcciones postales.

Si elige un modelo de lenguaje de fuera de su región, este recibe un texto en el que cada dato personal se ha sustituido por un marcador. Los valores reales se restituyen en la respuesta dentro de su despliegue. Los informes y las exportaciones se enmascaran de forma predeterminada.

Quién puede acceder a sus datos

Su equipo inicia sesión mediante inicio de sesión único (una sola cuenta de trabajo para todos sus sistemas) con su propio proveedor de identidad y autenticación multifactor. Cada persona y cada agente tiene solo el acceso que requiere su función, y cada acceso y cada cambio quedan registrados.

El acceso del personal de Telonic se limita a ingenieros designados, que trabajan desde los Emiratos Árabes Unidos o desde el país que usted elija, durante un tiempo limitado, y cada acceso queda registrado. Si el despliegue está en su propia cuenta en la nube o en sus propias instalaciones, cada acceso requiere la aprobación de usted.

Durante cuánto tiempo se conservan los datos y cómo se eliminan

No se almacena nada sin su permiso, y usted decide durante cuánto tiempo se conserva cada tipo de contenido. Cuando su política no permite conservar el contenido de las conversaciones, se configura la conservación cero de contenido durante la implementación, y se sigue conservando, durante el periodo que usted fije, un registro de auditoría sin contenido de las acciones, las fuentes, los desencadenantes y los resultados. Cuando finaliza su contrato, sus datos se le devuelven en un formato estándar y después se eliminan, o se eliminan sin devolución si lo prefiere, y usted recibe una confirmación por escrito. Consulte Almacenamiento, conservación y eliminación de datos.

Cuando algo falla

Telonic aplica un proceso definido de respuesta a incidentes: detectar, clasificar por gravedad, contener, notificar, corregir y revisar. Las violaciones de la seguridad de los datos personales se notifican a sus contactos designados sin dilación indebida y en un plazo máximo de 24 horas desde que se tiene conocimiento de una violación que afecte a sus datos, con actualizaciones a medida que avanza la investigación.

Los incidentes críticos se atienden las 24 horas del día, los siete días de la semana. La conmutación por error entre proveedores, que cambia a otro proveedor aprobado en su región si uno sufre una interrupción, se configura durante la implementación. Consulte Respuesta a incidentes.

Cómo se desarrolla y se modifica el producto

Cada cambio se revisa y se prueba antes de cada versión, en un entorno de pruebas separado de su entorno de producción. Los cambios en el agente se prueban con conversaciones extraídas de su sector, y ningún cambio de modelo o de proveedor llega a sus clientes sin su aprobación. Evaluadores independientes realizan pruebas de penetración (un ataque simulado y autorizado para detectar puntos débiles) al menos una vez al año y después de cambios importantes. Consulte Desarrollo y pruebas seguros.

Cómo se comporta el agente con sus clientes

El agente de IA informa a los clientes de que es un agente de IA y les ofrece hablar con una persona. Responde a partir de las fuentes que usted ha aprobado, y las decisiones que corresponden a personas, como aprobar un siniestro o acordar un reembolso fuera de la política, siguen en manos de su equipo. Consulte Uso responsable de la IA.

Cómo puede su equipo de seguridad revisar Telonic

Solicite el paquete de seguridad a su contacto en Telonic. Se comparte en virtud de un acuerdo de confidencialidad (NDA) e incluye una descripción de la arquitectura y diagramas de flujo de datos para su opción de alojamiento, la lista de subencargados del tratamiento y las condiciones de tratamiento de datos. Completamos su cuestionario de seguridad en el formato que usted utilice, y nuestros ingenieros se reúnen con su equipo de seguridad para repasar cada control.

Iniciar la revisión pronto, en paralelo a la conversación comercial, evita que esta retrase una decisión más adelante. Si su proceso de compras exige certificaciones o acreditaciones concretas, plantéelas en la primera conversación, para que ambos equipos sepan desde el principio cómo se abordarán.

En la práctica

Wadi Assurance, una aseguradora de los Emiratos Árabes Unidos, revisa Telonic antes de desplegarlo en su línea de siniestros.

1. En la segunda semana de conversaciones, Hamza, su responsable de seguridad de la información, solicita el paquete de seguridad. Telonic lo envía una vez que ambas partes han firmado un NDA.
2. El equipo de Hamza envía su cuestionario estándar. Los ingenieros de Telonic lo completan y lo devuelven junto con la arquitectura de la opción de región de los Emiratos Árabes Unidos.
3. En la sesión de revisión, el equipo pregunta qué sale de la región. No sale nada hacia ningún proveedor de modelos, porque Wadi Assurance mantiene a todos sus proveedores dentro de la región. Las exportaciones mensuales para su equipo de analítica se enmascaran de forma predeterminada.
4. La delegada de protección de datos fija la conservación: las grabaciones de llamadas, durante el periodo que exige la política de siniestros, y las transcripciones y los resúmenes, durante la vigencia de la póliza más el periodo que ella especifique.
5. El personal inicia sesión a través del propio proveedor de identidad de la aseguradora. Los tramitadores de siniestros ven las conversaciones, y solo el equipo de cumplimiento ve el registro de auditoría.
6. La opción de alojamiento, los proveedores y los contactos designados para la notificación de incidentes quedan recogidos en el contrato.

Lo que controla su equipo

• La opción de alojamiento y la región.
• Si se puede utilizar o no un modelo de lenguaje de fuera de su región.
• Si se almacena cada tipo de contenido y durante cuánto tiempo.
• Quién puede ver qué en su organización, mediante funciones.
• La aprobación de cada acceso de un ingeniero de Telonic en su propia cuenta en la nube o en sus propias instalaciones.
• La aprobación de cualquier cambio de modelo o de proveedor antes de que entre en producción.
• En su propia cuenta en la nube, las claves de cifrado.
• Los contactos designados que reciben las notificaciones de incidentes.

Relacionado

• Alojamiento y residencia de los datosSeguridad y protección de datos
• Cómo fluyen los datos en una conversaciónSeguridad y protección de datos
• Enmascaramiento de datos personalesSeguridad y protección de datos
• Control de acceso e inicio de sesión únicoSeguridad y protección de datos
• Contratos y condiciones de tratamiento de datosLegal y cumplimiento

Los nombres y logotipos de productos son marcas comerciales de sus respectivos titulares. Su mención indica sistemas con los que Telonic se conecta y no implica asociación ni respaldo.