Revolutionera din samtalsverksamhet med Retell
SOC 2 Type II är en revisorsrapport om en leverantörs kontroller fungerat under en viss period. Se Type 1 vs Type 2, de 5 kriterierna och hur du läser den.
SOC 2 Type II (även skrivet SOC 2 Type 2) är en oberoende revisionsbyrås (CPA-byrå) rapport om huruvida en tjänsteleverantörs kontroller för att skydda kunddata var ändamålsenligt utformade och faktiskt fungerade effektivt under en definierad period, bedömt mot AICPA:s Trust Services Criteria. Det är en attestering, inte ett certifikat: resultatet är revisorns uttalande plus de tester som ligger bakom det, inte en godkänt/underkänt-stämpel.
Type I granskar kontrollernas utformning vid ett enskilt datum. Type II granskar att samma kontroller fortsatte att fungera under en period på flera månader.
| SOC 2 Type I | SOC 2 Type II | |
|---|---|---|
| Tidsperiod som omfattas | Ett datum ("per") | En period med start- och slutdatum |
| Vad revisorn testar | Om kontrollerna är ändamålsenligt utformade | Om kontrollerna är ändamålsenligt utformade och har fungerat effektivt |
| Vad den säger en köpare | Kontrollerna finns på papper och i konfigurationen | Kontrollerna har körts, och var de brustit (avvikelser) |
Företag genomför ofta en Type I först och sedan en Type II när de har en driftshistorik som kan testas.
Trust Services Criteria är AICPA:s fem kategorier som en SOC 2-rapport kan omfatta. Säkerhet ingår i varje SOC 2-rapport. Företaget väljer själv om de övriga fyra ska läggas till.
Två leverantörer kan båda säga "SOC 2 Type II" och ändå omfatta olika kategorier, så kontrollera omfattningen innan du jämför.
Revisionsperioder sträcker sig vanligtvis från 3 till 12 månader. Rapporten gäller bara det tidsfönstret, så läs exakt start- och slutdatum.
För att täcka glappet mellan periodens slut och nästa rapport utfärdar leverantörer ofta ett bridge letter (eller gap letter): ledningens försäkran om att inga väsentliga förändringar av kontrollerna har skett sedan dess. Det är leverantören som skriver det, inte revisorn, så det ersätter inte rapporten.
Börja med uttalandet och datumen, och läs sedan de delar som flyttar tillbaka risk till dig:
SOC 2-rapporter är dokument med begränsad spridning som oftast delas under NDA. En SOC 3 är en kortare version för allmän användning som en leverantör kan publicera, men den saknar testdetaljerna ovan.
En plattform för röstagenter hanterar samtalsinspelningar, transkriptioner och de personuppgifter som uppringare säger högt, och den datan kan passera genom leverantörer av telefoni, tal och språkmodeller. Därför spelar underleverantörer större roll än vanligt. Kombinera SOC 2-granskningen med två andra frågor: var datan lagras (dataresidens) och om någon leverantör sparar den efter samtalet (noll datalagring).
SOC 2 har också begränsningar. Den testar inte hur träffsäker en AI-agent är, och den ersätter inte ett HIPAA business associate agreement eller ett personuppgiftsbiträdesavtal enligt GDPR. För helhetsbilden, se regelefterlevnad för AI-röstagenter, guiden till regelefterlevnad för röst-AI i företag och HIPAA-efterlevnad för AI-telefonagenter.
Dokumentationen om säkerhet och regelefterlevnad från Retell listar SOC 2 Type 1 och Type 2, med oberoende granskade kontroller för säkerhet, tillgänglighet och konfidentialitet. Certifikat, rapporter och den senaste revisionsstatusen finns i Retell Trust Center. Be om Type 2-rapporten och gå igenom den med checklistan ovan.
Vissa kontroller ligger på din sida. I Retell ställer du till exempel in lagringsperioden för data per agent, från 1 dag till 2 år eller ingen automatisk radering, och det valet är ditt att göra och dokumentera. För listor över underbiträden eller en anpassad säkerhetsgranskning hänvisar dokumentationen köpare till support@retellai.com.
Om ditt säkerhetsteam utvärderar leverantörer av röst-AI kan du se hur Retell stöder reglerade driftsättningar på sidan om konversations-AI-plattform för företag.