Trust Center
Czy Twoja firma może powierzyć SozAI swoje nagrania?
Gdzie są Twoje dane i kto je przetwarza, a także certyfikaty, których nie mamy. Każda odpowiedź prowadzi do dowodu.
Krótka odpowiedź
SozAI to aplikacja do transkrypcji na telefony, tablety, Maki i w przeglądarce. Przechowuje Twoje nagrania i transkrypcje na serwerach w Hetzner w Niemczech, a każde połączenie używa HTTPS. Audio każdego pliku lub nagrania trafia do AssemblyAI w USA w celu rozpoznawania mowy, a tekst transkrypcji przechodzi przez OpenRouter do modeli AI, które robią notatki i obsługują czat. Kod SozAI nie używa Twoich nagrań do trenowania modeli, a nagranie lub całe konto możesz usunąć samodzielnie. Nie mamy raportu SOC 2, własnego certyfikatu ISO 27001, SSO, dzienników audytu ani umowy HIPAA BAA.
Tabela poniżej pokazuje całość na jednym ekranie. Każdy wiersz prowadzi do strony, która go potwierdza, więc osoba oceniająca bezpieczeństwo może nas sprawdzić zamiast nam wierzyć.
Zabezpieczenia w skrócie
Odpowiedzi na dzień 27 października 2026. Jeśli wiersz i strona, do której prowadzi, kiedykolwiek się rozmijają, napisz do nas na [email protected], a poprawimy tę błędną.
| Zabezpieczenie | Co robi SozAI | Strona z dowodem |
|---|---|---|
| Gdzie przechowywane są dane | Baza danych (konta, transkrypcje, notatki, fiszki, quizy) i pliki audio są na naszych serwerach w Hetzner w Niemczech. Parki centrów danych Hetzner mają certyfikat ISO/IEC 27001. Ten certyfikat należy do Hetzner, a nie do nas. | Bezpieczeństwo, Podmioty przetwarzające |
| Szyfrowanie w transmisji | Każde połączenie z SozAI używa HTTPS (TLS 1.2 lub 1.3). Cloudflare odszyfrowuje ruch na swoim brzegu i szyfruje go ponownie w drodze do naszych serwerów. | Bezpieczeństwo |
| Szyfrowanie danych w spoczynku | Nie dodajemy go sami. Dysków serwerów nie szyfrujemy własnymi środkami. Nocne kopie zapasowe bazy danych są szyfrowane na serwerze, zanim go opuszczą. | Bezpieczeństwo |
| Dostęp do Twojej biblioteki | Twoje nagrania otwierają się po zalogowaniu na własne konto. Każda osoba ma własne konto i bibliotekę. W planie Team lub Education kupujący zarządza miejscami i nie może otwierać nagrań członków. | Regulamin |
| Logowanie | Google, Apple albo sześciocyfrowy kod, który wysyłamy e-mailem, ważny trzy minuty. W SozAI nie ma haseł. Nie ma własnego ustawienia uwierzytelniania dwuskładnikowego ani SSO. | Bezpieczeństwo |
| Usuwanie | Nagranie lub całe konto usuwasz samodzielnie w każdej aplikacji albo na web.sozai.app. To usuwa z naszych serwerów audio i wszystko, co z niego powstało. | Usuwanie nagrania, Usuwanie konta |
| Przechowywanie | Transkrypcje i notatki zostają, dopóki ich nie usuniesz. Audio zostaje tak długo, jak mówi Twoje ustawienie: zachowaj (domyślnie), 30 dni albo usuń zaraz po transkrypcji. Usunięta transkrypcja może zostać w zaszyfrowanej kopii zapasowej do 12 miesięcy, a AssemblyAI przechowuje przetworzoną kopię według własnych warunków. | Bezpieczeństwo |
| Kopie zapasowe | Baza danych jest kopiowana co noc do Cloudflare R2, w formie zaszyfrowanej. Trzymamy 14 kopii dziennych, 8 tygodniowych i 12 miesięcznych, a odtworzenie testujemy raz w miesiącu. Plików audio w tych kopiach nie ma. | Bezpieczeństwo |
| Podmioty przetwarzające | Każda firma, która otrzymuje Twoje dane, jest wymieniona z tym, co dostaje, i z działaniem, które tam te dane wysyła. Strona i jej data zmieniają się za każdym razem, gdy zmienia się lista. | Podmioty przetwarzające |
| AI i trenowanie modeli | Rozpoznawanie mowy działa w AssemblyAI (USA). Zadania tekstowe idą przez OpenRouter do modeli firm Anthropic, Google lub xAI. Nasz kod nie używa Twoich nagrań do trenowania modeli. Dostawcy działają według własnych warunków. | Jak SozAI korzysta z AI |
| Płatności | Subskrypcje w aplikacjach rozlicza App Store lub Google Play. Plany webowe sprzedaje Polar, nasz merchant of record, który pobiera płatność z karty i wystawia potwierdzenia oraz faktury. Dane karty nigdy nie trafiają do SozAI: wpisujesz je w sklepie lub w kasie Polar. | Regulamin, Zasady zwrotów |
| Certyfikaty | Żadnych własnych. Brak raportu SOC 2, brak certyfikatu ISO 27001, brak zgodności z HIPAA, brak BAA. | Bezpieczeństwo |
| Administrowanie zespołem | Jeden kupujący dodaje miejsca i wysyła zaproszenia. Bez SSO, bez provisioningu SCIM, bez dziennika audytu, bez ról administracyjnych, bez wspólnych folderów zespołu. | SozAI dla firm |
| Status usługi | Brak publicznej strony ze statusem. Regulamin nie obiecuje nieprzerwanego dostępu. | Regulamin |
| Umowa powierzenia przetwarzania danych | Nasza umowa DPA i sposób jej zamówienia. | DPA |
| Kwestionariusz bezpieczeństwa | 80 pytań z oceny dostawcy, każda odpowiedź z datą i wskazanym źródłem. | Kwestionariusz bezpieczeństwa |
| Zgłaszanie podatności | Napisz na [email protected], z „Security” w temacie. Bez płatnego programu bug bounty. | Jak zgłosić, security.txt |
Którędy podróżuje jedno nagranie
Weźmy godzinny wywiad, który wgrywasz na web.sozai.app. Plik trafia na nasze serwery w Niemczech przez HTTPS i tam jest przechowywany. Jego audio idzie jednorazowo do AssemblyAI w Stanach Zjednoczonych, które odsyła tekst z etykietami mówców i znacznikami czasu. Od tej chwili funkcje AI pracują na tym tekście: gdy prosisz o notatki lub quiz, transkrypcja idzie przez OpenRouter do modelu przypisanego do tego zadania. Żaden model AI poza rozpoznawaniem mowy nie dostaje audio.
Dwie ścieżki są inne. Link do YouTube trafia do Google Gemini API, które dostaje link i nasze instrukcje, ale żadnego Twojego audio. Spotkanie nagrane w aplikacji na Maca jest transkrybowane na samym Macu: audio nie jest wysyłane, a na konto zapisywany jest tylko gotowy tekst. Szczegóły, w tym zgody, o które pytają aplikacje, są na stronie Jak SozAI korzysta z AI.
Darmowe narzędzia na sozai.app podlegają innym zasadom
Darmowe narzędzia do nauki i streszczeń na sozai.app/tools/ działają bez konta. Wysyłają wklejony przez Ciebie tekst do darmowych modeli AI przez OpenRouter, a dostawcy darmowych modeli mogą przechowywać lub wykorzystywać to, co dostają. Nie wklejaj tam poufnego tekstu, tylko użyj aplikacji, do której odnosi się tabela powyżej.
Kiedy SozAI się nie sprawdzi
Wybierz coś innego, jeśli dotyczy Cię którakolwiek z tych rzeczy:
- pracujesz z informacjami o pacjentach i potrzebujesz umowy HIPAA BAA. Do notatek klinicznych nasza siostrzana aplikacja notavik trzyma nagranie i notatki na urządzeniu;
- Twoja polityka bezpieczeństwa wymaga od każdego dostawcy raportu SOC 2 lub SSO;
- audio nigdy nie może opuścić UE. Rozpoznawanie mowy działa w USA;
- administrator musi widzieć lub zarządzać nagraniami każdego członka. Biblioteka każdej osoby jest jej własna.
Jeśli nic z tego Cię nie dotyczy, SozAI pasuje do wywiadów i wewnętrznych spotkań, o ile osoby, które nagrywasz, o tym wiedzą.
Gdy coś pójdzie nie tak
- Powstrzymanie: odcinamy dotknięty dostęp, rotujemy klucze, w razie potrzeby zatrzymujemy dotkniętą usługę.
- Ocena: jakie dane, które konta, od kiedy, na podstawie logów serwera.
- Powiadomienie: klientów, których dane dotyczą, e-mailem, bez zbędnej zwłoki; dążymy do 72 godzin po potwierdzeniu naruszenia (DPA, sekcja 10).
- Naprawa i przegląd: usuwamy przyczynę, sprawdzamy, czy poprawka działa, i aktualizujemy tę stronę oraz kwestionariusz bezpieczeństwa, jeśli cokolwiek w nich się zmieniło.
Baza danych jest kopiowana co noc, a odtworzenie testujemy co miesiąc. Naszym celem jest utrata danych z najwyżej 24 godzin i powrót usługi w ciągu 24 godzin.
Zgłaszanie podatności
Napisz na [email protected], z „Security” w temacie. Opisz, co znalazłeś i jak to odtworzyć, oraz podaj, której części SozAI dotyczy. Czytamy zgłoszenia po angielsku i po rosyjsku, a odpowiadamy zwykle w ciągu dnia roboczego.
Na czas testów prosimy o trzy rzeczy:
- Używaj tylko własnego konta. Nie otwieraj ani nie zmieniaj danych należących do kogoś innego i przerwij, gdy tylko zobaczysz cudze dane.
- Nie przeprowadzaj ataków typu odmowa usługi ani testów obciążeniowych i nie wysyłaj automatycznych lawin zapytań.
- Daj nam czas na naprawę problemu, zanim go opublikujesz, i powiedz, kiedy to planujesz.
Nie prowadzimy płatnego programu bug bounty. Ten sam kontakt jest opublikowany w formie czytelnej maszynowo pod adresem /.well-known/security.txt.
Odpowiedzi
Najczęściej zadawane pytania
Czy SozAI jest bezpieczny w poufnych spotkaniach firmowych?
Jest, jeśli Twoje zasady dopuszczają amerykański podmiot rozpoznający mowę i dostawców modeli AI działających według własnych warunków. Pliki są przechowywane w Niemczech, każdy podmiot przetwarzający jest wymieniony na /subprocessors/, a nagranie możesz usunąć samodzielnie. Jeśli audio ma zostać na Twoim komputerze, nagraj spotkanie w aplikacji na Maca, która transkrybuje na Macu.
Czy SozAI trenuje modele AI na moich danych?
SozAI nie: nic w naszym kodzie nie wysyła Twoich nagrań ani transkrypcji do trenowania modeli. Firmy, które je przetwarzają (AssemblyAI i dostawcy modeli stojący za OpenRouter), obchodzą się z danymi według własnych warunków, podlinkowanych z /subprocessors/. Szczegóły są na /trust/ai/.
Gdzie SozAI przechowuje moje dane?
Na naszych serwerach w Hetzner w Niemczech: bazę danych i pliki audio. Zaszyfrowane nocne kopie zapasowe bazy są w Cloudflare R2. Przetwarzanie nie ogranicza się do UE: rozpoznawanie mowy działa w AssemblyAI w Stanach Zjednoczonych.
Czy SozAI ma certyfikat SOC 2 lub ISO 27001?
Nie. Nie mamy raportu SOC 2 ani własnego certyfikatu ISO 27001. Parki centrów danych Hetzner, w których stoją nasze serwery, mają certyfikat ISO/IEC 27001, ale ten certyfikat należy do Hetzner.
Czy SozAI obsługuje SSO lub SCIM dla mojej organizacji?
Nie. Nie ma SSO (SAML ani OIDC), provisioningu SCIM ani dziennika audytu. Ludzie logują się przez Google, Apple albo jednorazowy kod z e-maila, a kupujący dla zespołu zaprasza członków e-mailem lub jednorazowym linkiem.
Czy SozAI jest zgodny z HIPAA i czy podpiszecie BAA?
Nie. SozAI nie jest zgodny z HIPAA i nie podpisujemy umowy Business Associate Agreement, więc nie używaj go do informacji o pacjentach. Nasza siostrzana aplikacja notavik trzyma nagrania i notatki kliniczne na urządzeniu.
Czy SozAI ma umowę powierzenia przetwarzania danych?
Nasza umowa powierzenia przetwarzania danych i sposób jej zamówienia są na /dpa/. W sprawie, na którą ona nie odpowiada, napisz do [email protected].
Jak zgłosić lukę bezpieczeństwa w SozAI?
Napisz na [email protected], z „Security” w temacie. Opisz, co znalazłeś i jak to odtworzyć. Testuj tylko na własnym koncie, nie rób testów obciążeniowych i daj nam czas na naprawę, zanim opublikujesz. Nie prowadzimy płatnego programu bug bounty.
Zamień swoje kolejne nagranie na tekst
Nagraj coś, prześlij plik lub wklej link. Otrzymasz transkrypcję, oznaczenia mówców i podsumowanie.
Bezpłatnie na iOS i Androidzie. Do transkrypcji z YouTube nie potrzebujesz konta.