Nic wrażliwego nie wychodzi bez nazwiska obok.
Keelra nie przenosi środków i nie przejmuje obowiązków AML. Odpowiedzialność regulacyjna pozostaje po Waszej stronie.
Sześć rzeczy, o które i tak zapyta Wasz prawnik albo informatyk.
Odpowiadamy z góry, żeby ankieta bezpieczeństwa była formalnością, a nie ustalaniem faktów od zera.
01
Gdzie leżą dane
Aplikacja, baza danych i silnik automatyzacji działają w Warszawie, na infrastrukturze OVH w UE. Wywołania modelu trafiają do własnego API Anthropica i są przetwarzane poza EOG, na standardowych klauzulach umownych: identyfikatory są maskowane przed wywołaniem, a dostawca nie trenuje na treści. Na życzenie kierujemy wywołania na punkt końcowy w UE (AWS Bedrock, Frankfurt).
02
DPA gotowa do podpisu
Umowa powierzenia ze standardowymi klauzulami umownymi dla każdego przekazania danych poza EOG, utrzymywany rejestr podprocesorów ze zmianami zgłaszanymi z 30-dniowym wyprzedzeniem, obsługa żądań osób, których dane dotyczą, i zobowiązanie do zgłoszenia naruszenia w terminie 72 godzin.
03
Tokenizacja identyfikatorów
Numery rachunków, identyfikatory krajowe i numery kart są tokenizowane przed każdym wywołaniem modelu i przywracane po nim. Model nie dostaje ich w postaci jawnej.
04
Dziennik, którego nikt nie poprawi
Logowania, zmiany ról oraz wszystkie przebiegi, zatwierdzenia i eksporty trafiają do dziennika tylko do dopisywania, przypisanego do Waszej przestrzeni i przechowywanego co najmniej dwanaście miesięcy.
05
Dla podmiotów nadzorowanych
Jesteśmy przygotowani do umowy w reżimie outsourcingu MiFID II (rozp. delegowane (UE) 2017/565) oraz do dostarczenia danych do rejestru DORA, terminów zgłaszania incydentów, prawa audytu i zdefiniowanego wyjścia – dalsze powierzenie wymaga Waszej zgody. Certyfikatów w tym zakresie nie mamy i ich nie deklarujemy.
06
Izolacja i szyfrowanie
Izolacja danych między klientami wymuszona przez row-level security w PostgreSQL, a nie wyłącznie przez kod aplikacji. Sesje związane z Waszą subdomeną, TLS 1.2+ w transmisji, AES-256 dla przechowywanych poświadczeń.
Pełne opracowanie bezpieczeństwa i rejestr podprocesorów udostępniamy na życzenie i przed podpisaniem umowy.
Pytania, które padają na pierwszej rozmowie.
Gdzie przetwarzane są dane?
Przestrzeń robocza, baza danych i silnik automatyzacji działają w Warszawie, na infrastrukturze europejskiej. Kopie zapasowe są szyfrowane i przechowywane w magazynie o jurysdykcji unijnej. Wywołania modelu trafiają do własnego API Anthropica i są przetwarzane poza EOG, na standardowych klauzulach umownych; identyfikatory są maskowane przed wywołaniem, a dostawca nie trenuje na treści. Jeżeli polityka bezpieczeństwa wymaga wnioskowania w UE, kierujemy wywołania na AWS Bedrock we Frankfurcie na podstawie odrębnego uzgodnienia.
Czy model trenuje na naszych danych?
Nie. Identyfikatory są maskowane przed wywołaniem, a dostawcę modelu wiąże zakaz trenowania. Zapisujemy liczbę tokenów, koszt i model, nigdy treść zapytania ani odpowiedzi.
Podlegamy nadzorowi KNF. Czy to outsourcing?
Może nim być i jesteśmy na to przygotowani. Możemy zawrzeć umowę w reżimie outsourcingu MiFID II (rozp. delegowane (UE) 2017/565) z prawem audytu i zdefiniowanym wyjściem; dalsze powierzenie wymaga Waszej zgody. Kwalifikacja należy do Was i Waszego zespołu prawnego – my dostarczamy to, czego ta ocena wymaga.
Czy dziennik zastępuje obowiązkową ewidencję?
Nie. To ślad operacyjny tego, co zrobiła Keelra i kto to zatwierdził. Ustawowe obowiązki ewidencyjne zostają po Waszej stronie; ślad ma je zasilać, nie zastępować.
Dwadzieścia minut i jeden proces do wskazania.
Bez prezentacji. Z rozmowy wychodzicie ze wskazanym procesem, oszacowaniem korzyści i wyceną pilotażu.