Revolucione sua operação de chamadas com a Retell
SOC 2 Type II: relatório do auditor que mostra se os controles do fornecedor funcionaram em um período. Type 1 vs Type 2, os 5 critérios e como ler.
O SOC 2 Type II (também escrito SOC 2 Type 2) é o relatório de uma firma independente de auditoria (CPA) que avalia se os controles de um prestador de serviços para proteger os dados dos clientes foram adequadamente projetados e se de fato operaram de forma eficaz durante um período definido, com base nos Trust Services Criteria do AICPA. Trata-se de uma atestação, não de um certificado: o resultado é a opinião de um auditor mais os testes que a sustentam, e não um selo de aprovado ou reprovado.
O Type I verifica o desenho dos controles em uma única data. O Type II verifica se esses mesmos controles continuaram funcionando ao longo de um período de meses.
| SOC 2 Type I | SOC 2 Type II | |
|---|---|---|
| Período coberto | Uma data ("na data de") | Um período com data de início e de término |
| O que o auditor testa | Se os controles foram adequadamente projetados | Se os controles foram adequadamente projetados e operaram de forma eficaz |
| O que isso diz ao comprador | Os controles existem no papel e na configuração | Os controles funcionaram, e onde falharam (exceções) |
Muitas empresas fazem primeiro um Type I e depois um Type II, quando já têm histórico operacional para ser testado.
Os trust services criteria são as cinco categorias do AICPA que um relatório SOC 2 pode abranger. Segurança está presente em todo relatório SOC 2. A empresa escolhe se inclui as outras quatro.
Dois fornecedores podem afirmar ter "SOC 2 Type II" e abranger categorias diferentes, então verifique o escopo antes de comparar.
Os períodos de auditoria costumam variar de 3 a 12 meses. O relatório só se refere a essa janela, então confira as datas exatas de início e de término.
Para cobrir o intervalo entre o fim do período e o próximo relatório, os fornecedores costumam emitir uma bridge letter (ou gap letter): uma declaração da gestão de que não houve mudanças relevantes nos controles desde então. Quem a escreve é o fornecedor, não o auditor, por isso ela não substitui o relatório.
Comece pela opinião e pelas datas e, depois, leia as partes que transferem o risco de volta para você:
Os relatórios SOC 2 são documentos de uso restrito, normalmente compartilhados mediante NDA. O SOC 3 é uma versão mais curta, de uso geral, que o fornecedor pode publicar, mas que não inclui os detalhes dos testes descritos acima.
Uma plataforma de agentes de voz lida com gravações de chamadas, transcrições e os dados pessoais que as pessoas dizem em voz alta, e esses dados podem passar por provedores de telefonia, de fala e de modelos de linguagem. Por isso, as organizações subprestadoras de serviços importam mais do que o normal. Combine a análise do SOC 2 com duas outras perguntas: onde os dados ficam armazenados (residência de dados) e se algum provedor os mantém após a chamada (retenção zero de dados).
O SOC 2 também tem limites. Ele não testa a precisão de um agente de IA e não substitui um business associate agreement (BAA) da HIPAA nem um acordo de processamento de dados (DPA) do GDPR. Para uma visão mais ampla, veja compliance para agentes de voz com IA, o guia de compliance de IA de voz para empresas e compliance com a HIPAA para agentes de voz por telefone.
A documentação de segurança e compliance da Retell lista SOC 2 Type 1 e Type 2, com controles auditados de forma independente para segurança, disponibilidade e confidencialidade. Certificados, relatórios e o status mais recente das auditorias estão no Retell Trust Center. Peça o relatório Type 2 e passe-o pelo checklist acima.
Alguns controles ficam do seu lado. Na Retell, por exemplo, você define o período de retenção de dados por agente, de 1 dia a 2 anos ou sem exclusão automática, e cabe a você fazer e documentar essa escolha. Para listas de subprocessadores ou uma análise de segurança personalizada, a documentação orienta os compradores a entrar em contato pelo support@retellai.com.
Se a sua equipe de segurança está avaliando fornecedores de IA de voz, veja como a Retell oferece suporte a implantações regulamentadas na página da plataforma de IA conversacional para empresas.