Whitepaper om informationssäkerhet

Kong har åtagit sig att tillhandahålla en säker, regelefterlevande och innovativ plattform som gör det möjligt för organisationer att fånga upp, analysera och ta fram användbara insikter ur inspelade samtal. Den här whitepapern beskriver i detalj vårt heltäckande säkerhetsramverk, våra tekniska och organisatoriska åtgärder och hur vi följer globala dataskyddsregler, inklusive GDPR och EU:s nya AI-förordning (AI Act), samtidigt som vi följer branschens bästa praxis.

I dagens uppkopplade digitala miljö är säker hantering av känsliga uppgifter av yttersta vikt. Kong behandlar samtalsinspelningar, transkriberingar, metadata och analysresultat för våra kunders räkning. Som global leverantör förstår vi behovet av robust säkerhet och transparens för att hantera både operativa risker och regulatoriska krav. Det här dokumentet förklarar vårt arbetssätt och visar vårt åtagande att upprätthålla en hög säkerhetsnivå.

Syfte

Den här whitepapern syftar till att:

• Beskriva Kongs heltäckande strategi för informationssäkerhet.
• Redogöra för de tekniska och organisatoriska åtgärder som skyddar data.
• Klargöra roller och ansvar mellan kunden (personuppgiftsansvarig) och Kong (personuppgiftsbiträde).
• Visa vårt åtagande att följa internationella standarder och regelverk, inklusive GDPR och EU:s AI-förordning.

Omfattning

Det här dokumentet omfattar:

• Insamling, behandling, lagring och radering av data.
• Tekniska kontroller (kryptering, åtkomsthantering, säker infrastruktur).
• Organisatoriska åtgärder (policyer, utbildning, incidenthantering).
• Mekanismer för regelefterlevnad avseende GDPR, EU:s AI-förordning och andra globala dataskyddsregler.
• Processer för ständig förbättring och granskningsrutiner.

Kongs ramverk för informationssäkerhet bygger på ett skiktat arbetssätt som förenar policyer, rutiner och teknik för att skydda kunddata.

Styrningsstruktur

• Ledningens tillsyn: Vår högsta ledning, inklusive verkställande direktören (vd), har tillsyn över säkerhetspolicyer och strategiska initiativ.
• Säkerhetskommittéer: Regelbundna möten med tvärfunktionella team säkerställer att mål för säkerhet, regelefterlevnad och verksamhet är samordnade.
• Riskhantering: En löpande process för riskbedömning identifierar hot och säkerställer att lämpliga kontroller införs.

Säkerhetsstandarder och certifieringar

• Internationella standarder: Vi har inte certifierats enligt ISO/IEC 27001 eller SOC 2, men vi följer noga deras riktlinjer för att säkerställa robusta säkerhetskontroller.
• Ramverk för regelefterlevnad: Våra processer säkerställer efterlevnad av GDPR, EU:s AI-förordning och andra tillämpliga dataskyddsregler.

En tydlig ansvarsfördelning säkerställer att dataskyddet hanteras effektivt.

Kunden som personuppgiftsansvarig

• Beslutsbefogenhet: Kunden bestämmer ändamålen och metoderna för insamlingen av data, bland annat vilka samtal som spelas in och hur uppgifterna används.
• Ansvar för regelefterlevnad: Kunden ansvarar för att inhämta nödvändiga samtycken, informera deltagarna och säkerställa att lagkraven uppfylls.
• De registrerades rättigheter: Kunden ska hantera begäranden från registrerade om tillgång till, rättelse eller radering av deras uppgifter.

Kong som personuppgiftsbiträde

• Behandling för kundens räkning: Kong behandlar data uteslutande enligt kundens instruktioner, utan att fastställa ändamålet med eller omfattningen av insamlingen.
• Säkerhetsåtgärder: Vi vidtar tekniska och organisatoriska åtgärder för att säkerställa en säker behandling av data.
• Personuppgiftsbiträdesavtal (DPA): Vårt personuppgiftsbiträdesavtal anger att Kong uteslutande agerar som personuppgiftsbiträde.

Kong använder en rad tekniska skyddsåtgärder för att säkerställa datas konfidentialitet, riktighet och tillgänglighet.

Datakryptering

• Under överföring: Data överförs säkert med TLS/SSL-protokoll.
• I vila: Data krypteras med robusta algoritmer (t.ex. AES-256).

Åtkomstkontroller

• Autentisering: Multifaktorautentisering (MFA) krävs för åtkomst till känsliga system.
• Rollbaserad åtkomst: Behörigheter tilldelas utifrån användarroller så att endast behörig åtkomst sker.
• Granskningsloggning: Detaljerade loggar registrerar åtkomst och ändringar för löpande övervakning.

Säker infrastruktur

• Datacenter: Vår data hostas i säkra, certifierade anläggningar. Vi använder Google Cloud Platform (GCP) i Frankfurt, Europa (europe-west3), vilket säkerställer att moderna standarder för fysisk säkerhet och miljösäkerhet uppfylls.
• Molnsäkerhet: Vi samarbetar med molnleverantörer som följer globala säkerhetsstandarder och genomgår regelbundna granskningar.
• Nätverkssäkerhet: Avancerade brandväggar, system för intrångsdetektering och sårbarhetsbedömningar skyddar vårt nätverk.

Utöver de tekniska kontrollerna säkerställer våra organisatoriska åtgärder en stark övergripande säkerhetsnivå.

Policyer och rutiner

• Säkerhetspolicyer: Heltäckande policyer styr datahantering, åtkomsthantering och incidenthantering.
• Utbildning av medarbetare: Löpande utbildning säkerställer att alla medarbetare förstår sitt ansvar för informationssäkerhet och integritet.
• Leverantörsstyrning: Tredjepartsleverantörer granskas noggrant och måste uppfylla våra säkerhetsstandarder.

Incidenthantering

• Incidentrapportering: Det finns en formell process för omedelbar rapportering och hantering av säkerhetsincidenter.
• Underrättelse till kunder: Vi underrättar berörda kunder utan onödigt dröjsmål, senast 24 timmar efter att vi fått kännedom om en personuppgiftsincident, i enlighet med vårt personuppgiftsbiträdesavtal.
• Incidenthanteringsplan: Vår plan för incidenthantering omfattar begränsning, rotorsaksanalys och kommunikation med berörda intressenter.
• Uppföljning efter incidenter: Lärdomar tas tillvara för att förbättra framtida säkerhetsåtgärder.

En effektiv datahantering är central för att upprätthålla regelefterlevnaden och skydda personuppgifter.

Insamling och behandling av data

• Insamlad data: Vi samlar in samtalsinspelningar, transkriberingar, metadata och analysdata, som behandlas enligt strikta riktlinjer.
• Ändamålsbegränsning: Data behandlas uteslutande för de ändamål som kunden har fastställt.
• Modellträning: Kundsamtal och annat kundinnehåll används inte för att träna stora språkmodeller. Data behandlas för att tillhandahålla tjänsten.

Lagring och radering av data

• Lagringspolicyer: Data sparas endast så länge det är nödvändigt av affärsmässiga eller regulatoriska skäl.
• Radering och anonymisering: Data raderas permanent eller anonymiseras när den inte längre behövs.

Internationella överföringar av data

• Dataresidens: Vi behandlar i första hand dina personuppgifter inom EU. Om vi någon gång överför personuppgifter utanför EU använder vi skyddsåtgärder som standardavtalsklausuler eller förlitar oss på beslut om adekvat skyddsnivå, till exempel EU-U.S. Data Privacy Framework.

Kong har ett starkt fokus på regelefterlevnad genom att följa centrala ramverk och nya regelverk.

Efterlevnad av GDPR

• Transparens och samtycke: Vår plattform meddelar tydligt användarna när samtal spelas in. Kunden ansvarar för att inhämta nödvändiga samtycken.
• De registrerades rättigheter: Vi tillhandahåller verktyg som hjälper kunden att hantera de registrerades rättigheter, bland annat rätt till tillgång, rättelse, radering och dataportabilitet.
• Personuppgiftsbiträdesavtalets tillämpning: Vårt personuppgiftsbiträdesavtal säkerställer att Kong behandlar data uteslutande för kundens räkning, i enlighet med artikel 28 i GDPR.

Överväganden kring EU:s AI-förordning

• Omfattning och påverkan: Kong har åtagit sig att säkerställa att våra AI-drivna analysverktyg följer EU:s AI-förordning och främjar transparens, ansvarsskyldighet och etisk användning av AI.
• Riskhantering: Vi bedömer AI-relaterade risker och vidtar åtgärder för att minska eventuella negativa konsekvenser för integritet och rättvisa.
• Transparens och förklarbarhet: Våra AI-system är utformade för att ge förklarbara resultat där det är möjligt, så att kunden förstår hur insikterna tas fram.
• Efterlevnadsåtgärder: Vi följer aktivt utvecklingen kring EU:s AI-förordning och uppdaterar våra rutiner och avtal för att säkerställa full efterlevnad.
• Dokumentation och styrning: Vi upprätthåller detaljerad dokumentation om våra AI-systems utformning, utveckling och driftsättning i linje med regulatoriska förväntningar.

Kong arbetar för att ständigt förbättra våra säkerhetsrutiner och säkerställa regelefterlevnad genom regelbundna granskningar och processförbättringar.

• Regelbundna granskningar: Rutinmässiga interna och externa granskningar säkerställer att våra policyer och tekniska åtgärder förblir effektiva och regelefterlevande.
• Processförbättring: Återkopplingsmekanismer och löpande övervakning gör att vi kan anpassa oss till nya hot och förändrade regelverk.
• Teknikuppgraderingar: Vi investerar kontinuerligt i de senaste säkerhetsteknikerna och bästa praxis för att stärka vårt skydd.

Kong arbetar för att skydda kunddata genom ett robust ramverk för informationssäkerhet i flera lager. Genom att tydligt definiera rollerna, där kunden är personuppgiftsansvarig och Kong är personuppgiftsbiträde, och genom att införa ledande tekniska och organisatoriska kontroller säkerställer vi en säker, transparent och regelefterlevande behandling av data i enlighet med GDPR, EU:s AI-förordning som fortfarande är under utveckling och andra tillämpliga regelverk.

Den här whitepapern speglar vårt åtagande för ständig förbättring och proaktiv riskhantering. För frågor eller fördjupade diskussioner om våra säkerhetsrutiner, kontakta team@saleskong.com.