Rivoluziona le tue operazioni di chiamata con Retell
SOC 2 Type II è il report di un revisore sull'efficacia dei controlli di un fornitore in un periodo. Type 1 vs Type 2, i 5 criteri e come leggerlo.
SOC 2 Type II (scritto anche SOC 2 Type 2) è il report di una società di revisione indipendente (CPA) che stabilisce se i controlli di un fornitore di servizi per la protezione dei dati dei clienti sono stati progettati in modo adeguato e hanno effettivamente funzionato in modo efficace in un periodo definito, valutati rispetto ai Trust Services Criteria dell'AICPA. È un'attestazione, non un certificato: il risultato è il parere di un revisore insieme ai test su cui si basa, non un bollino di superato o non superato.
Il Type I verifica la progettazione dei controlli in una singola data. Il Type II verifica che gli stessi controlli abbiano continuato a funzionare nell'arco di diversi mesi.
| SOC 2 Type I | SOC 2 Type II | |
|---|---|---|
| Periodo coperto | Una sola data («alla data del») | Un periodo con una data di inizio e una di fine |
| Cosa verifica il revisore | Se i controlli sono progettati in modo adeguato | Se i controlli sono progettati in modo adeguato e hanno funzionato in modo efficace |
| Cosa comunica a un acquirente | I controlli esistono sulla carta e nella configurazione | I controlli sono stati applicati, e dove hanno fallito (eccezioni) |
Spesso le aziende completano prima un Type I e poi un Type II, una volta accumulato uno storico operativo da sottoporre a verifica.
I trust services criteria sono le cinque categorie definite dall'AICPA che un report SOC 2 può coprire. La sicurezza è presente in ogni report SOC 2. L'azienda sceglie se aggiungere le altre quattro.
Due fornitori possono entrambi dichiarare «SOC 2 Type II» e coprire categorie diverse, quindi verifica l'ambito prima di confrontarli.
I periodi di audit durano in genere da 3 a 12 mesi. Il report si riferisce solo a quella finestra, quindi leggi con attenzione le date esatte di inizio e di fine.
Per coprire l'intervallo tra la fine del periodo e il report successivo, i fornitori emettono spesso una bridge letter (o gap letter): una dichiarazione del management secondo cui da allora non sono intervenute modifiche sostanziali ai controlli. La scrive il fornitore, non il revisore, quindi non sostituisce il report.
Parti dal parere e dalle date, poi leggi le sezioni che riportano il rischio su di te:
I report SOC 2 sono documenti a uso riservato, di solito condivisi sotto NDA. Un SOC 3 è una versione più breve a uso generale che un fornitore può pubblicare, ma non include il dettaglio dei test descritto sopra.
Una piattaforma di agenti vocali gestisce registrazioni delle chiamate, trascrizioni e i dati personali che i chiamanti pronunciano ad alta voce, e questi dati possono transitare attraverso provider di telefonia, di riconoscimento vocale e di modelli linguistici. Per questo le organizzazioni subfornitrici contano più del solito. Affianca alla revisione del SOC 2 altre due domande: dove sono archiviati i dati (residenza dei dati) e se qualche provider li conserva dopo la chiamata (zero data retention).
Il SOC 2 ha anche dei limiti. Non verifica l'accuratezza di un agente IA e non sostituisce un business associate agreement HIPAA né un accordo sul trattamento dei dati ai sensi del GDPR. Per un quadro più ampio, consulta la conformità per gli agenti vocali con IA, la guida alla conformità dell'IA vocale per le aziende e la conformità HIPAA per gli agenti telefonici con IA.
La documentazione di Retell su sicurezza e conformità indica SOC 2 Type 1 e Type 2, con controlli verificati in modo indipendente per sicurezza, disponibilità e riservatezza. Certificati, report e lo stato più recente degli audit sono disponibili nel Retell Trust Center. Richiedi il report Type 2 e verificalo con la checklist qui sopra.
Alcuni controlli sono a tuo carico. In Retell, per esempio, imposti il periodo di conservazione dei dati per ogni agente, da 1 giorno a 2 anni oppure senza eliminazione automatica, e spetta a te effettuare e documentare questa scelta. Per gli elenchi dei sub-responsabili del trattamento o per una revisione di sicurezza personalizzata, la documentazione indica di contattare support@retellai.com.
Se il tuo team di sicurezza sta valutando fornitori di IA vocale, scopri come Retell supporta le implementazioni in settori regolamentati nella pagina della piattaforma di IA conversazionale per le aziende.