أحدِث نقلة نوعية في عمليات مكالماتك مع Retell
SOC 2 Type II تقرير مدقّق يقيّم فعالية ضوابط المورّد خلال فترة محددة. تعرّف على الفرق بين Type 1 وType 2 والمعايير الخمسة وكيفية قراءته.
SOC 2 Type II (ويُكتب أيضًا SOC 2 Type 2) هو تقرير صادر عن شركة محاسبة قانونية مستقلة (CPA)، يقيّم ما إذا كانت ضوابط مزوّد الخدمة لحماية بيانات العملاء مصمَّمة بشكل مناسب وتعمل فعليًا بفعالية خلال فترة محددة، وفقًا لمعايير خدمات الثقة (Trust Services Criteria) الصادرة عن AICPA. وهو تقرير تصديق وليس شهادة: إذ يتمثّل مخرجه في رأي المدقّق إلى جانب الاختبارات التي يستند إليها، لا في شارة نجاح أو رسوب.
يتحقق Type I من تصميم الضوابط في تاريخ واحد. أما Type II فيتحقق من استمرار عمل الضوابط نفسها على مدى عدة أشهر.
| SOC 2 Type I | SOC 2 Type II | |
|---|---|---|
| الفترة المشمولة | تاريخ واحد («اعتبارًا من») | فترة لها تاريخ بداية وتاريخ نهاية |
| ما يختبره المدقّق | مدى تصميم الضوابط بشكل مناسب | مدى تصميم الضوابط بشكل مناسب وتشغيلها بفعالية |
| ما يكشفه للمشتري | أن الضوابط موجودة على الورق وفي الإعداد | أن الضوابط عملت فعلًا، ومواضع إخفاقها (الاستثناءات) |
غالبًا ما تُكمل الشركات تقرير Type I أولًا، ثم Type II بعد أن يتوفر لديها سجل تشغيلي يمكن اختباره.
معايير خدمات الثقة هي الفئات الخمس التي حددتها AICPA ويمكن أن يغطيها تقرير SOC 2. الأمان مشمول في كل تقرير SOC 2، بينما تختار الشركة ما إذا كانت ستضيف الفئات الأربع الأخرى.
قد يعلن مورّدان كلاهما امتلاك «SOC 2 Type II» مع تغطية فئات مختلفة، لذا تحقّق من النطاق قبل المقارنة.
تتراوح فترات التدقيق عادةً بين 3 و12 شهرًا. ولا يتناول التقرير سوى هذه الفترة، لذا اقرأ تاريخَي البداية والنهاية بدقة.
لتغطية الفجوة بين نهاية الفترة والتقرير التالي، غالبًا ما يُصدر المورّدون خطاب جسر (bridge letter أو gap letter): وهو بيان من الإدارة يفيد بعدم حدوث أي تغييرات جوهرية في الضوابط منذ ذلك الحين. ويكتبه المورّد لا المدقّق، لذا فهو لا يحل محل التقرير.
ابدأ بالرأي والتواريخ، ثم اقرأ الأجزاء التي تعيد المخاطر إليك:
تقارير SOC 2 وثائق مقيّدة الاستخدام، وعادةً ما تُشارك بموجب اتفاقية عدم إفصاح (NDA). أما SOC 3 فهو نسخة مختصرة للاستخدام العام يمكن للمورّد نشرها، لكنها تخلو من تفاصيل الاختبارات المذكورة أعلاه.
تتعامل منصّة الوكلاء الصوتيين مع تسجيلات المكالمات ونصوصها المكتوبة والبيانات الشخصية التي ينطقها المتصلون بصوت عالٍ، وقد تمر هذه البيانات عبر مزوّدي خدمات الاتصالات الهاتفية والكلام والنماذج اللغوية. وهذا ما يجعل المؤسسات الخدمية الفرعية أكثر أهمية من المعتاد. اقرن مراجعة SOC 2 بسؤالين آخرين: أين تُخزَّن البيانات (إقامة البيانات)، وهل يحتفظ أي مزوّد بها بعد المكالمة (عدم الاحتفاظ بالبيانات).
ولـ SOC 2 حدود أيضًا. فهو لا يختبر مدى دقة وكيل الذكاء الاصطناعي، ولا يحل محل اتفاقية شريك الأعمال بموجب HIPAA أو اتفاقية معالجة البيانات بموجب GDPR. وللاطلاع على الصورة الأشمل، راجع الامتثال للوكلاء الصوتيين بالذكاء الاصطناعي، ودليل الامتثال للذكاء الاصطناعي الصوتي في المؤسسات، والامتثال لـ HIPAA للوكلاء الهاتفيين بالذكاء الاصطناعي.
تُدرج وثائق الأمان والامتثال الخاصة بمنصّة Retell تقريرَي SOC 2 Type 1 وType 2، مع ضوابط خاضعة لتدقيق مستقل للأمان والتوافر والسرية. وتتوفر الشهادات والتقارير وأحدث حالة للتدقيق في Retell Trust Center. اطلب تقرير Type 2 وطبّق عليه قائمة التحقق أعلاه.
بعض الضوابط تقع على عاتقك. ففي Retell، على سبيل المثال، تحدّد فترة الاحتفاظ بالبيانات لكل وكيل، من يوم واحد إلى سنتين أو دون حذف تلقائي، وهذا خيار يعود إليك اتخاذه وتوثيقه. وللحصول على قوائم المعالجين الفرعيين أو مراجعة أمنية مخصّصة، توجّه الوثائق المشترين إلى support@retellai.com.
إذا كان فريق الأمان لديك يراجع مورّدي الذكاء الاصطناعي الصوتي، فاطّلع على كيفية دعم منصّة Retell لعمليات النشر في القطاعات الخاضعة للتنظيم عبر صفحة منصّة الذكاء الاصطناعي الحواري للمؤسسات.