Центр доверия

Можно ли вашей компании доверить SozAI свои записи?

Q: Как сообщить об уязвимости в безопасности SozAI?

Напишите на support@sozai.app, указав в теме «Security». Опишите, что вы нашли и как это воспроизвести. Проверяйте только на своём аккаунте, не проводите нагрузочные тесты и дайте нам время исправить проблему, прежде чем публиковать её. Платной программы bug bounty у нас нет.

Где живут ваши данные и кто их обрабатывает, а также сертификаты, которых у нас нет. Каждый ответ ведёт к доказательству.

Прочитать опросник по безопасности

Коротко

SozAI — приложение для расшифровки на телефонах, планшетах, Mac и в вебе. Он хранит ваши записи и расшифровки на серверах Hetzner в Германии, и каждое соединение использует HTTPS. Аудио каждого файла или записи уходит в AssemblyAI в США для распознавания речи, а текст расшифровки идёт через OpenRouter к ИИ-моделям для заметок и чата. Код SozAI не использует ваши записи для обучения моделей, а запись или весь аккаунт вы можете удалить сами. У нас нет отчёта SOC 2, собственного сертификата ISO 27001, SSO, журналов аудита и HIPAA BAA.

Таблица ниже — вся картина на одном экране. Каждая строка ведёт на страницу, которая её подтверждает, так что проверяющий по безопасности может проверить нас, а не верить на слово.

Меры контроля с первого взгляда

Ответы на 27 октября 2026 года. Если строка и страница, на которую она ведёт, когда-нибудь разойдутся, напишите нам на [email protected], и мы исправим ту, что неверна.

Мера	Что делает SozAI	Страница с доказательствами
Где хранятся данные	База данных (аккаунты, расшифровки, заметки, карточки, квизы) и аудиофайлы находятся на наших серверах у Hetzner в Германии. Парки дата-центров Hetzner сертифицированы по ISO/IEC 27001. Этот сертификат принадлежит Hetzner, а не нам.	Безопасность, Субпроцессоры
Шифрование при передаче	Каждое соединение с SozAI использует HTTPS (TLS 1.2 или 1.3). Cloudflare расшифровывает трафик на своей границе и снова шифрует на пути к нашим серверам.	Безопасность
Шифрование при хранении	Нами не добавлено. Диски серверов мы сами не шифруем. Ночные резервные копии базы данных шифруются на сервере до того, как покинут его.	Безопасность
Доступ к вашей библиотеке	Ваши записи открываются после входа в ваш собственный аккаунт. У каждого человека свой аккаунт и своя библиотека. На тарифах Team и Education покупатель управляет местами и не может открывать записи участников.	Условия
Вход	Google, Apple или шестизначный код, который мы присылаем на почту, действителен три минуты. Паролей SozAI нет. Собственной двухфакторной настройки и SSO нет.	Безопасность
Удаление	Запись или весь аккаунт вы удаляете сами в любом приложении или на web.sozai.app. Это убирает с наших серверов аудио и всё, что из него сделано.	Удаление записи, Удаление аккаунта
Срок хранения	Расшифровки и заметки хранятся, пока вы их не удалите. Аудио хранится столько, сколько указано в вашей настройке: хранить (по умолчанию), 30 дней или удалить сразу после расшифровки. Удалённая расшифровка может оставаться в зашифрованной резервной копии до 12 месяцев, а AssemblyAI хранит обработанную им копию по своим условиям.	Безопасность
Резервные копии	База данных каждую ночь копируется в Cloudflare R2 в зашифрованном виде. Мы храним 14 ежедневных, 8 еженедельных и 12 ежемесячных копий и раз в месяц проверяем восстановление. Аудиофайлов в этих копиях нет.	Безопасность
Субпроцессоры	Каждая компания, которая получает ваши данные, названа, с указанием того, что она получает и какое действие отправляет данные ей. Страница и её дата меняются вместе со списком.	Субпроцессоры
ИИ и обучение моделей	Распознавание речи выполняет AssemblyAI (США). Текстовые задачи идут через OpenRouter к моделям от Anthropic, Google или xAI. Наш код не использует ваши записи для обучения моделей. Поставщики работают по своим условиям.	Как SozAI использует ИИ
Платежи	Подписки в приложениях выставляют App Store или Google Play. Веб-тарифы продаёт Polar, наш платёжный посредник (merchant of record), который списывает деньги с карты и выдаёт квитанции и счета. Данные карты до SozAI не доходят: вы вводите их в магазине или на странице оплаты Polar.	Условия, Политика возврата
Сертификаты	Собственных нет. Нет отчёта SOC 2, сертификата ISO 27001, соответствия HIPAA и BAA.	Безопасность
Администрирование команды	Один покупатель добавляет места и рассылает приглашения. Нет SSO, автоматического создания учётных записей SCIM, журнала аудита, ролей администратора и общих командных папок.	SozAI для бизнеса
Статус сервиса	Публичной страницы статуса нет. Условия не обещают бесперебойного доступа.	Условия
Соглашение об обработке данных	Наше DPA и как его запросить.	DPA
Опросник по безопасности	80 вопросов для проверки поставщика, каждый ответ с датой и отсылкой к источнику.	Опросник по безопасности
Сообщения об уязвимостях	Напишите на [email protected], указав в теме «Security». Платной программы bug bounty нет.	Как сообщить, security.txt

Путь одной записи

Возьмём часовое интервью, которое вы загружаете на web.sozai.app. Файл по HTTPS попадает на наши серверы в Германии и хранится там. Его аудио один раз уходит в AssemblyAI в Соединённые Штаты, который присылает обратно текст с метками спикеров и таймкодами. С этого момента ИИ-функции работают с этим текстом: когда вы просите заметки или квиз, расшифровка идёт через OpenRouter к модели, назначенной для этой задачи. Ни одна ИИ-модель, кроме распознавания речи, аудио не получает.

Два пути отличаются. Ссылка на YouTube идёт в Google Gemini API, который получает ссылку и наши инструкции и ничего из вашего аудио. Встреча, записанная в приложении для Mac, расшифровывается на самом Mac: аудио не загружается, в ваш аккаунт сохраняется только готовый текст. Подробности, включая то, какое согласие запрашивают приложения, — на странице Как SozAI использует ИИ.

Бесплатные инструменты на sozai.app подчиняются другим правилам

Бесплатные инструменты для учёбы и краткого содержания на sozai.app/tools/ работают без аккаунта. Они отправляют вставленный вами текст бесплатным ИИ-моделям через OpenRouter, а поставщики бесплатных моделей могут хранить или использовать то, что получают. Не вставляйте туда конфиденциальный текст и пользуйтесь приложением, где действует таблица выше.

Когда SozAI не подходит

Выбирайте другое, если верно что-то из этого:

вы работаете с информацией о пациентах и вам нужен HIPAA BAA. Для клинических заметок наше родственное приложение notavik хранит запись и заметки на устройстве;
ваша политика безопасности требует от каждого поставщика отчёт SOC 2 или SSO;
аудио ни при каких обстоятельствах не должно покидать ЕС. Распознавание речи работает в США;
администратору нужно видеть записи каждого участника или управлять ими. Библиотека каждого человека принадлежит только ему.

Если ничего из этого к вам не относится, SozAI подходит для интервью и внутренних встреч, пока люди, которых вы записываете, об этом знают.

Если что-то пошло не так

Локализовать: закрыть затронутый доступ, сменить ключи, при необходимости остановить затронутый сервис.
Оценить: какие данные, какие аккаунты, с какого времени, по журналам серверов.
Уведомить: клиентов, чьи данные затронуты, по почте, без неоправданной задержки; мы стремимся уложиться в 72 часа после подтверждения утечки (DPA, раздел 10).
Исправить и проверить: устранить причину, убедиться, что исправление держится, и обновить эту страницу и опросник по безопасности, если что-то в них изменилось.

База данных копируется каждую ночь, а восстановление проверяется ежемесячно. Наши цели — потеря данных не более чем за 24 часа и возобновление работы сервиса в течение 24 часов.

Как сообщить об уязвимости

Напишите на [email protected], указав в теме «Security». Расскажите, что вы нашли и как это воспроизвести, и назовите часть SozAI, которой это касается. Мы читаем сообщения на английском и русском и обычно отвечаем в течение рабочего дня.

Пока вы проверяете, мы просим о трёх вещах:

Используйте только свой аккаунт. Не открывайте и не меняйте данные, принадлежащие кому-либо ещё, и остановитесь, как только увидите чужие данные.
Не проводите атаки на отказ в обслуживании и нагрузочные тесты и не отправляйте автоматические потоки запросов.
Дайте нам время исправить проблему, прежде чем публиковать её, и сообщите, когда планируете это сделать.

Платной программы bug bounty у нас нет. Тот же контакт опубликован в машиночитаемом виде по адресу /.well-known/security.txt.

Обновлено: 27 октября 2026 г.Автор Merey Tleugazin

Безопасно ли использовать SozAI для конфиденциальных деловых встреч?

Да, если ваши правила допускают обработчика распознавания речи в США и поставщиков ИИ-моделей, работающих по своим условиям. Файлы хранятся в Германии, каждый обработчик назван на /subprocessors/, а запись вы можете удалить сами. Если аудио должно остаться на вашем компьютере, записывайте встречу в приложении для Mac, которое расшифровывает на Mac.

Обучает ли SozAI ИИ-модели на моих данных?

SozAI — нет: ничто в нашем коде не отправляет ваши записи или расшифровки на обучение моделей. Компании, которые их обрабатывают (AssemblyAI и поставщики моделей за OpenRouter), обращаются с данными по своим условиям, ссылки на которые есть на /subprocessors/. Подробности — на /trust/ai/.

Где SozAI хранит мои данные?

На наших серверах у Hetzner в Германии: базу данных и аудиофайлы. Зашифрованные ночные резервные копии базы данных лежат в Cloudflare R2. Обработка не ограничена ЕС: распознавание речи выполняет AssemblyAI в Соединённых Штатах.

Есть ли у SozAI сертификация SOC 2 или ISO 27001?

Нет. У нас нет ни отчёта SOC 2, ни собственного сертификата ISO 27001. Парки дата-центров Hetzner, где размещены наши серверы, сертифицированы по ISO/IEC 27001, но этот сертификат принадлежит Hetzner.

Поддерживает ли SozAI SSO или SCIM для моей организации?

Нет. Нет ни SSO (SAML или OIDC), ни автоматического создания учётных записей SCIM, ни журнала аудита. Люди входят через Google, Apple или одноразовый код по почте, а покупатель команды приглашает участников по почте или по одноразовой ссылке.

Соответствует ли SozAI требованиям HIPAA и подпишете ли вы BAA?

Нет. SozAI не соответствует требованиям HIPAA, и мы не подписываем Business Associate Agreement, поэтому не используйте его для информации о пациентах. Наше родственное приложение notavik хранит клинические записи и заметки на устройстве.

Есть ли у SozAI соглашение об обработке данных?

Наше соглашение об обработке данных и способ его запросить описаны на /dpa/. Если у вас вопрос, на который оно не отвечает, напишите на [email protected].

Как сообщить об уязвимости в безопасности SozAI?

Напишите на [email protected], указав в теме «Security». Опишите, что вы нашли и как это воспроизвести. Проверяйте только на своём аккаунте, не проводите нагрузочные тесты и дайте нам время исправить проблему, прежде чем публиковать её. Платной программы bug bounty у нас нет.

Превратите следующую запись в текст

Запишите аудио, загрузите файл или вставьте ссылку. Вы получите расшифровку, обозначения говорящих и краткое содержание.