Geef je telefonie een nieuwe dimensie met Retell
SOC 2 Type II: auditrapport over of de beheersmaatregelen van een leverancier werkten over een periode. Type 1 vs. Type 2, de 5 criteria en hoe je het leest.
SOC 2 Type II (ook geschreven als SOC 2 Type 2) is een rapport van een onafhankelijk accountantskantoor (CPA-firma) over de vraag of de beheersmaatregelen van een dienstverlener voor de bescherming van klantgegevens passend zijn ontworpen en gedurende een vastgestelde periode daadwerkelijk effectief hebben gewerkt, getoetst aan de Trust Services Criteria van het AICPA. Het is een assurance-rapport, geen certificaat: het resultaat is het oordeel van een auditor plus de onderliggende tests, geen badge voor geslaagd of gezakt.
Type I controleert het ontwerp van de beheersmaatregelen op één datum. Type II controleert of diezelfde beheersmaatregelen gedurende een periode van maanden bleven werken.
| SOC 2 Type I | SOC 2 Type II | |
|---|---|---|
| Gedekte periode | Eén datum ("per") | Een periode met een begin- en einddatum |
| Wat de auditor test | Of de beheersmaatregelen passend zijn ontworpen | Of de beheersmaatregelen passend zijn ontworpen en effectief hebben gewerkt |
| Wat het een koper vertelt | De beheersmaatregelen bestaan op papier en in de inrichting | De beheersmaatregelen hebben gewerkt, en waar ze tekortschoten (afwijkingen) |
Bedrijven doorlopen vaak eerst een Type I en daarna een Type II, zodra ze een operationele geschiedenis hebben die getest kan worden.
De Trust Services Criteria zijn de vijf categorieën van het AICPA die een SOC 2-rapport kan omvatten. Security zit in elk SOC 2-rapport. Het bedrijf kiest zelf of het de andere vier toevoegt.
Twee leveranciers kunnen allebei "SOC 2 Type II" zeggen en toch verschillende categorieën dekken, dus controleer de scope voordat je ze vergelijkt.
Auditperiodes lopen meestal van 3 tot 12 maanden. Het rapport zegt alleen iets over dat tijdvak, dus lees de exacte begin- en einddatum.
Om de periode tussen het einde van de auditperiode en het volgende rapport te overbruggen, geven leveranciers vaak een bridge letter (of gap letter) uit: een verklaring van het management dat er sindsdien geen wezenlijke wijzigingen in de beheersmaatregelen zijn geweest. Die schrijft de leverancier zelf, niet de auditor, dus de brief vervangt het rapport niet.
Begin met het oordeel en de data, en lees daarna de onderdelen die het risico weer bij jou leggen:
SOC 2-rapporten zijn documenten met beperkt gebruik, meestal gedeeld onder een NDA. Een SOC 3 is een kortere versie voor algemeen gebruik die een leverancier kan publiceren, maar daarin ontbreken de testdetails hierboven.
Een platform voor stemagenten verwerkt gespreksopnames, transcripties en de persoonsgegevens die bellers hardop uitspreken, en die data kan via aanbieders van telefonie, spraaktechnologie en taalmodellen lopen. Daardoor zijn subserviceorganisaties hier belangrijker dan gewoonlijk. Combineer de SOC 2-beoordeling met twee andere vragen: waar de data wordt opgeslagen (dataresidentie) en of een aanbieder de data na het gesprek bewaart (zero data retention).
SOC 2 heeft ook grenzen. Het test niet hoe nauwkeurig een AI-agent is, en het vervangt geen HIPAA business associate agreement of AVG-verwerkersovereenkomst. Voor het bredere plaatje, zie compliance voor AI-stemagenten, de compliancegids voor voice-AI in enterprises en HIPAA-compliance voor AI-telefoonagenten.
De documentatie over beveiliging en compliance van Retell vermeldt SOC 2 Type 1 en Type 2, met onafhankelijk geauditeerde beheersmaatregelen voor beveiliging, beschikbaarheid en vertrouwelijkheid. Certificaten, rapporten en de actuele auditstatus vind je in het Retell Trust Center. Vraag om het Type 2-rapport en loop het na met de checklist hierboven.
Sommige beheersmaatregelen liggen aan jouw kant. In Retell stel je bijvoorbeeld de bewaartermijn van data per agent in, van 1 dag tot 2 jaar of zonder automatische verwijdering, en die keuze maak en documenteer je zelf. Voor lijsten met subverwerkers of een aangepaste security review verwijst de documentatie kopers naar support@retellai.com.
Beoordeelt je securityteam leveranciers van voice-AI? Bekijk dan hoe Retell gereguleerde implementaties ondersteunt op de pagina over het enterpriseplatform voor conversationele AI.