Sicurezza e conformità di Document AI

Di seguito sono riportate domande e risposte applicabili in vari ambiti.

Sicurezza

Per garantire la sicurezza del servizio in Document AI, esamina i seguenti argomenti.

In che modo Google protegge e garantisce la sicurezza dei dati che invio a Document AI?

Consulta la pagina Google Cloud Sicurezza, che descrive le misure di sicurezza in vigore per i servizi Google Cloud .

Quali funzionalità di sicurezza offre Document AI per proteggere dagli attacchi orizzontali che si spostano da un sistema all'altro?

Document AI supporta quanto segue:

• Residenza dei dati
• Policy di negazione
• Controlli di servizio VPC (VPC-SC)
  • Gruppi di identità e identità di terze parti nelle regole per il traffico in entrata e in uscita.
• Access Transparency
• Chiavi di crittografia gestite dal cliente (CMEK)
  • Utilizzo di CMEK con Document AI

Conformità ai requisiti di sicurezza

Questa sezione descrive le domande relative alla conformità.

Quale conformità offre Document AI?

Google Cloud si sottopone regolarmente a controlli indipendenti di terze parti per verificare l'allineamento ai controlli di sicurezza, privacy e conformità. Google Cloud esegue controlli regolari per standard come ISO 27001, ISO 27017, ISO 27018, SOC 2, SOC 3 e PCI DSS.

Puoi scoprire di più sulla Google Cloud conformità nel Centro risorse per la conformità.

Document AI è conforme a FedRAMP?

Document AI è conforme a FedRAMP High.

Document AI è conforme alla normativa HIPAA?

Document AI è conforme alla normativa HIPAA.

Utilizzo dei dati di sicurezza

Questa sezione descrive le richieste di dati.

Google utilizza i dati dei clienti per migliorare i modelli?

No. Google non utilizza i tuoi contenuti (come documenti e previsioni) per nessun altro scopo se non per fornirti il servizio Document AI. Consulta la sezione 17 dei Termini di servizio diGoogle Cloud .

In Google Cloud, non utilizziamo mai i dati dei clienti per addestrare i nostri modelli Document AI.

Per saperne di più, consulta la pagina Trasparenza e protezione dei dati.

In futuro, Google condividerà il documento che invio a Document AI?

Non renderemo pubblico il documento che invii né lo condivideremo con altre persone, se non per fornire il servizio Document AI. Ad esempio, a volte potremmo dover utilizzare un fornitore terzo per aiutarci a fornire alcuni aspetti dei nostri servizi, come l'archiviazione o la trasmissione dei dati. I nostri fornitori sono soggetti a obblighi contrattuali appropriati in materia di sicurezza e riservatezza. Non condividiamo i documenti che invii con altre parti né li rendiamo pubblici per altri scopi.

Per quanto tempo e dove Google memorizzerà sui suoi server i documenti che invio a Document AI, i relativi risultati o altre informazioni sulle richieste? Posso accedervi?

Quando invii un documento a Document AI utilizzando una richiesta batch, dobbiamo memorizzarlo (crittografato con una chiave effimera, il che significa che nessuna persona ha accesso) per un breve periodo di tempo per eseguire l'analisi e restituirti i risultati. Per le operazioni batch, il documento archiviato viene in genere eliminato immediatamente dopo l'elaborazione, con un time to live (TTL) di sicurezza di un giorno. Se il batch termina in modo anomalo, i dati potrebbero essere conservati con un TTL di un massimo di un giorno.

Processi sincroni

Per le operazioni online (risposta immediata), i dati del documento (inviati nella richiesta) vengono elaborati in memoria, criptati durante il trasferimento e non vengono salvati su disco. Google registra temporaneamente anche alcuni metadati relativi alle tue richieste API Document AI (ad esempio l'ora di ricezione della richiesta e le dimensioni della richiesta) per migliorare il nostro servizio e combattere gli abusi.

Per saperne di più, consulta Crittografia dei dati in transito e Regioni.

Google rivendica la proprietà dei contenuti che invio nella richiesta a Document AI

Google non rivendica la proprietà di alcun contenuto (inclusi documenti e previsioni) che trasmetti a Document AI. I documenti e i modelli personalizzati sono considerati dati dei clienti (privati). Non utilizziamo mai i dati dei clienti per migliorare i nostri modelli. Nella rara circostanza in cui entrambe le parti accettano un accordo di questo tipo, viene elaborato un accordo esplicito di condivisione dei dati.

Che cosa sono considerate informazioni che consentono l'identificazione personale (PII) che devono essere oscurate sui documenti prima di essere condivise con Google?

Ai fini della condivisione di documenti, le PII sono tutte le informazioni definite come dati che consentono l'identificazione personale ai sensi delle leggi vigenti. I clienti devono oscurare i documenti prima di condividerli con Google, ad esempio quando lo fanno volontariamente per motivi di assistenza tecnica per riprodurre un problema.

Esempi di PII includono, a titolo esemplificativo:

• Data di nascita, ad esempio: 2/10/1988
• Nomi di privati, ad esempio: Kiran Darko
• Indirizzo personale, ad esempio: Evergreen terrace 123
• Indirizzo email di privati, ad esempio: rivelro@test-mail.com
• Numero di telefono di privati, ad esempio: 636-555-3226
• Numero patente di guida
• Numero del documento di identità (Thailandia)
• Employer Identification Number
• Informazioni sul conto bancario: ID conto, codici di avviamento bancario, ID SWIFT
• Numero della carta di pagamento
• Genere, ad esempio: Female, Male, Nonbinary
• Etnia, ad esempio: Berber, Italian, Japanese, Latino, Ukrainian
• Nomi utente, numero ID di terze parti
• Numero di passaporto, ad esempio: AA1001111
• Stato civile, ad esempio: Single, Divorced
• Numero di franchigie o esenzioni
• Nomi dei dipendenti
• Identificatori del veicolo (numero di telaio, targhe ecc.)
• Qualsiasi altro numero, caratteristica o codice identificativo univoco di una persona che potrebbe identificare un singolo consumatore, una famiglia o un dispositivo nel tempo o tra servizi

Posso rivendere l'API Document AI?

No, non ti è consentito rivendere il servizio Document AI. Puoi comunque integrare Document AI in applicazioni di valore indipendente.

In che modo i clienti possono controllare Google Cloud l'accesso dell'assistenza ai loro documenti o dati?

Tutti i parser Document AI supportano Access Transparency e le approvazioni degli accessi. Per impostazione predefinita, l'assistenza Google non ha accesso a dati o applicazioni dei clienti. Nel caso in cui sia necessario l'accesso da parte del team di assistenza Google, i clienti possono utilizzare la procedura di Approvazione accesso per autorizzare l'accesso a dati o applicazioni. Questa procedura inizia con la creazione di un ticket nel portale di assistenza Google. Il cliente riceve quindi una notifica (di solito via email) e un'opzione per autorizzare o negare l'accesso.

Google offre anche un servizio chiamato Access Transparency, che consente ai clienti di visualizzare tutte le attività eseguite dall'assistenza Google durante l'accesso al sistema.