Перейти к основному содержанию

Данные и международные переводы

Двадцать облачных работает на серверах AWS, расположенных во Франкфурте, Германия.
Выбор региона размещения будет доступен начиная с 2027 года, изначально для новых рабочих пространств. Пользователи смогут запросить смену региона для существующего рабочего пространства позднее. В качестве альтернативы вы можете обратиться к нашим партнерам, чтобы они помогли вам настроить ваш инстанс.
Список всех субпроцессоров доступен в нашем Центре доверия.
Стандартные договорные положения ЕС, вместе с дополнением для Великобритании и поправками для Швейцарии, применяются к международной передаче данных за пределы ЕС, включая передачи всем субпроцессорам.

Соглашение о обработке данных и правовые роли

Вы можете сгенерировать подписанный DPA по адресу https:///settings/legal/dpa (например, https://getting-started.twenty.com/settings/legal/dpa).
Да. Стандартное соглашение DPA доступно на каждом тарифе и может быть подписано в один клик в разделе «Настройки → Юридическая информация → DPA». Изменения стандартных условий, например другой заключающей договор стороны или индивидуальные сроки уведомлений, доступны на тарифе Enterprise.
В соответствии с нашей Политикой конфиденциальности двадцать выполняет функции обработчика данных для продавца и контактной информации, хранящейся в CRM, пока ваша компания остается контроллером данных.
Нет. Twenty не имеет собственной модели ИИ и не обучает никакие модели на ваших данных. Поставщики ИИ, используемые по умолчанию в Twenty Cloud (Azure OpenAI, OpenAI, Anthropic и Mistral), согласно своим условиям не обучаются на них. Некоторые дополнительные модели, такие как Google Gemini и TypeSafe (используемая действием Classify в рабочем процессе), применяются только если администратор их включит; их условия перечислены в нашем Центре доверия.
Данные не отправляются поставщику ИИ, пока кто-либо в вашем рабочем пространстве не запустит ИИ: чат с ИИ, агент ИИ или шаг ИИ в рабочем процессе. Чтобы полностью заблокировать ИИ, установите лимит использования ИИ в рабочем пространстве равным 0 в разделе «Настройки → Выставление счетов»; он применяется ко всем участникам, включая администраторов. Вы также можете удалить разрешение Ask AI из редактируемых ролей в разделе «Настройки → Роли»; встроенная роль Admin всегда сохраняет его.

Контроль безопасности и доступа

Все данные шифруются при передаче и в состоянии покоя. Данные арендаторов изолируются с помощью схемы “отдельная схема на арендатора”, а ключи шифрования периодически ротируются.
Команды инженеров и поддержки Twenty могут получать доступ к рабочим пространствам клиентов для расследования и устранения проблем. Владельцы рабочих пространств управляют этим: доступ службы поддержки можно отключить в любое время в разделе Settings → General → Security, и он останется отключённым, пока вы снова его не включите. Для доступа службы поддержки на стороне Twenty требуется двухфакторная аутентификация, а на тарифе Organization и выше каждый сеанс записывается в журналы аудита. Когда сотрудник Twenty действует от вашего имени, сеанс также отображается с меткой Impersonation в разделе «Настройки → Профиль → Устройства».
Участники, чья роль имеет разрешение Impersonate, могут просматривать рабочее пространство от имени любого другого участника, включая администраторов рабочего пространства, поэтому предоставляйте его только ролям, которым доверяете. Вы управляете тем, у кого есть это разрешение, в разделе «Настройки → Роли».
Журналы аудита доступны на тарифе Organization и выше. Вы можете указать срок их хранения в разделе «Настройки → Общие → Безопасность».
В случае подтвержденного нарушения безопасности персональных данных, затрагивающего ваши данные, мы уведомим вас без необоснованной задержки, стремясь сделать это не позднее чем через 72 часа с момента подтверждения инцидента, как указано в разделе 4.6 нашего DPA. Наше уведомление будет включать в себя, насколько известно в то время, когда речь идет о характере нарушения, категории и примерный объем данных и затронутых лиц, вероятных последствий, а также принятые или запланированные меры по восстановлению и смягчению последствий. По мере прохождения расследования мы сообщим обновленную информацию.

Сохранение и удаление данных

Когда запись удаляется, она сначала помечается как мягко удаленная (soft-delete) и все еще может быть восстановлена. Она безвозвратно удаляется и исключается из активных систем, как только истекает срок хранения или пользователь вручную уничтожает её.
По умолчанию мягко удаленные записи хранятся в течение 14 дней, после чего они безвозвратно удаляются из системы. Период хранения мягко удалённых записей можно изменить в Настройках → General → Security.
Удаленная запись остается в резервных копиях в течение 30 дней, после чего она безвозвратно удаляется.
Когда рабочее пространство удаляется, его данные удаляются из рабочих систем в течение примерно 90 дней после прекращения оказания услуг, а обычно и гораздо раньше. Резервные и архивные копии затем перезаписываются или очищаются в течение следующих 90 дней, после чего все данные безвозвратно удаляются. В течение обоих этих периодов данные изолированы от какого-либо использования в рабочих системах. По запросу мы можем предоставить письменное подтверждение после завершения очистки. Полные условия см. в пункте 4.9 вашего Соглашения об обработке данных (Data Processing Agreement).
Да, в любой период резервного копирования удалённые данные изолированы от операционного использования.
Для получения дополнительной информации о сохранении данных вы можете запросить нашу политику управления данными и их удержания в нашем Центре доверия.
Мы подтверждаем стирание запросов и предоставляем письменное подтверждение после завершения удаления.

Резервные копии и устойчивость

Резервные копии создаются непрерывно с ежедневными снапшотами, а период хранения составляет 30 дней.
RTO и RPO - это и 6 часов (по нашей DPA).
Все резервные копии зашифрованы и хранятся в географически отдельных местах в пределах одной и той же юрисдикции (например, в рамках ЕС для данных ЕС).

Соблюдение

Да, двадцать это [GDPR совместимое] (https://trust.twenty.com/?tab=securityControls&frameworks=gdpr_v1).
Да, двадцать - SOC 2 compliant.
Нет, двадцать лет находится в процессе обеспечения соблюдения требований в отношении HIPAA.

Лицензирование

Нет. Запуск модифицированной версии только для вашей собственной команды не является распространением, поэтому не возникает обязанности по публикации. Сетевое положение AGPL применяется, когда люди вне вашей организации взаимодействуют с вашим модифицированным экземпляром по сети.
Нет. Ваш фронтенд является вашим собственным, отдельным произведением, и тот факт, что он взаимодействует с Twenty через его API, не меняет этого. Поскольку Twenty само по себе не модифицировано, публиковать нечего.
Да, поскольку вы модифицируете код, чтобы распространять его другим, вы обязаны публиковать эти изменения. Если вы не хотите публиковать свои изменения, вы можете получить лицензию Organization.
Приложения, которые взаимодействуют с Twenty только через его опубликованные API/SDK, могут лицензироваться на выбранных вами условиях (см. «Исключение для приложений Twenty» в LICENSE репозитория). Сам Twenty в основном лицензируется по AGPLv3, а некоторые пакеты (включая Twenty SDK) — по лицензии MIT.
Если у вас есть дополнительные вопросы, ознакомьтесь, пожалуйста, с нашими Условиями и положениями, Политикой конфиденциальности и Центром доверия. Если на ваши вопросы все еще нет ответа, отправьте их на contact@twenty.com или через чат поддержки.