Revolutioner din opkaldsdrift med Retell
SOC 2 Type II er en revisorrapport om, hvorvidt en leverandørs kontroller virkede over tid. Se Type 1 vs. Type 2, de 5 kriterier og hvordan du læser den.
SOC 2 Type II (også skrevet SOC 2 Type 2) er en uafhængig revisionsvirksomheds rapport om, hvorvidt en tjenesteudbyders kontroller til beskyttelse af kundedata var hensigtsmæssigt designet og faktisk fungerede effektivt i en defineret periode. Kontrollerne måles op imod AICPA's Trust Services Criteria. Det er en erklæring, ikke et certifikat: Resultatet er en revisors konklusion plus de test, der ligger bag den, ikke et bestået/dumpet-badge.
Type I kontrollerer kontrollernes design på en enkelt dato. Type II kontrollerer, at de samme kontroller blev ved med at fungere over en periode på flere måneder.
| SOC 2 Type I | SOC 2 Type II | |
|---|---|---|
| Dækket tidsrum | Én dato ("pr.") | En periode med en start- og slutdato |
| Hvad revisoren tester | Om kontrollerne er hensigtsmæssigt designet | Om kontrollerne er hensigtsmæssigt designet og har fungeret effektivt |
| Hvad den fortæller en køber | Kontrollerne findes på papiret og i opsætningen | Kontrollerne kørte, og hvor de fejlede (afvigelser) |
Virksomheder gennemfører ofte en Type I først og derefter en Type II, når de har driftshistorik, der kan testes.
Trust Services Criteria er AICPA's fem kategorier, som en SOC 2-rapport kan dække. Sikkerhed indgår i alle SOC 2-rapporter. Virksomheden vælger selv, om de øvrige fire skal med.
To leverandører kan begge sige "SOC 2 Type II" og alligevel dække forskellige kategorier. Tjek derfor omfanget, før du sammenligner.
Revisionsperioder løber typisk fra 3 til 12 måneder. Rapporten udtaler sig kun om det tidsvindue, så læs de præcise start- og slutdatoer.
Der går tid fra periodens afslutning til den næste rapport. For at dække det hul udsteder leverandører ofte et bridge letter (eller gap letter): ledelsens erklæring om, at der ikke er sket væsentlige ændringer i kontrollerne siden. Det er leverandøren, ikke revisoren, der skriver det, så det erstatter ikke rapporten.
Start med konklusionen og datoerne. Læs derefter de dele, der flytter risikoen tilbage til dig:
SOC 2-rapporter er dokumenter med begrænset anvendelse og deles normalt under NDA. En SOC 3 er en kortere version til generel brug, som en leverandør kan offentliggøre. Den udelader dog testdetaljerne ovenfor.
En platform til stemmeagenter håndterer opkaldsoptagelser, transskriptioner og de personoplysninger, som opkaldere siger højt. De data kan passere gennem udbydere af telefoni, tale og sprogmodeller. Derfor betyder underleverandører mere end normalt. Kombinér SOC 2-gennemgangen med to andre spørgsmål: hvor data opbevares (dataresidens), og om nogen udbyder beholder dem efter opkaldet (nul dataopbevaring).
SOC 2 har også begrænsninger. Den tester ikke, hvor nøjagtig en AI-agent er. Den erstatter heller ikke en HIPAA business associate agreement eller en GDPR-databehandleraftale. Det større billede finder du i compliance for AI-stemmeagenter, compliance-guiden til stemme-AI for enterprise og HIPAA-compliance for AI-telefonagenter.
Dokumentationen om sikkerhed og compliance fra Retell nævner SOC 2 Type 1 og Type 2 med uafhængigt reviderede kontroller for sikkerhed, tilgængelighed og fortrolighed. Certifikater, rapporter og den seneste revisionsstatus findes i Retell Trust Center. Bed om Type 2-rapporten, og gennemgå den med tjeklisten ovenfor.
Nogle kontroller ligger hos dig. I Retell indstiller du for eksempel dataopbevaringsperioden pr. agent, fra 1 dag til 2 år eller ingen automatisk sletning. Det valg er dit at træffe og dokumentere. Ønsker du lister over underdatabehandlere eller en tilpasset sikkerhedsgennemgang, henviser dokumentationen købere til support@retellai.com.
Gennemgår dit sikkerhedsteam leverandører af stemme-AI? Se, hvordan Retell understøtter regulerede implementeringer, på siden om enterprise-platformen til konversationel AI.