A Lovable tanúsítványai nem teszik automatikusan szabályossá az appodat

A platform tanúsítványa nem terjed ki az alkalmazásra

A Lovable október 21-i tájékoztatója egy gyakori kérdést tisztáz: ha maga a platform SOC 2 szerint auditált, akkor az ott elkészített alkalmazás is az? A válasz szerint nem. A platform auditjai, tanúsítványai és adatvédelmi vállalásai a Lovable működéséről adnak információt, de nem jelentik a felhasználó vállalkozásának vagy alkalmazásának auditját.

A cég nyilvánosan dokumentálja a SOC 2 Type II jelentést, az ISO 27001:2022 tanúsítást, a GDPR-támogatást és az AIUC-1 tanúsítást. A SOC 2 Type II esetében független auditor vizsgálja a meghatározott rendszerek biztonsági kontrolljait, valamint azt, hogyan működtek ezek egy meghatározott időszakban. Ez a Lovable beszállítói értékelését segítheti, de nem auditálja az ügyfél appját.

Az ISO 27001:2022 a szervezet információbiztonsági irányítási rendszerére vonatkozik, vagyis arra, hogyan azonosítja, kezeli és vizsgálja a biztonsági kockázatokat a meghatározott hatókörön belül. Az AIUC-1 az AI-ügynökökhöz kapcsolódó kockázatokat kezeli, a Lovable vállalati áttekintése szerint független auditot és negyedéves külső tesztelést is magában foglal. Ez a tanúsítás sem terjed ki minden ügyfél által létrehozott appra vagy AI-munkafolyamatra.

A GDPR az alkalmazás működését is érinti

A GDPR eltérően működik, mivel jogszabályi követelményeket állapít meg a személyes adatok kezelésére. A Lovable adatfeldolgozási vállalásokat és dokumentációt biztosít, amelyek támogathatják az ügyfelek kötelezettségeit, de az alkalmazás adatkezelési folyamatait az üzemeltetőnek kell kialakítania.

A cég szerint a GDPR alkalmazhatósága attól függ, hol tartózkodnak az érintett személyek, nem attól, milyen állampolgárságúak. Az EU-ban élő emberekre a szabályok állampolgárságtól függetlenül vonatkozhatnak. Aki EU-s felhasználóknak értékesít, annak fel kell mérnie a GDPR követelményeit. Az Egyesült Királyságnak külön GDPR-rendszere van.

Az alkalmazás készítőjének fel kell térképeznie, milyen személyes adatokat gyűjt, miért van rájuk szüksége, milyen jogalapon kezeli őket, és meddig őrzi meg azokat. Ide tartozhatnak a fiókadatok, űrlapok, feltöltött fájlok és a csatlakoztatott szolgáltatások által rögzített információk.

A teljes adatáramlást is át kell tekinteni, beleértve a tárhelyet, az adatbázist, az e-mail-szolgáltatót, az analitikát, a fizetési szolgáltatásokat és az alkalmazáshoz hozzáadott AI-funkciókat. Az EU-s adatbázisrégió kiválasztása önmagában nem bizonyítja, hogy minden kapcsolódó szolgáltatás kizárólag az EU-ban kezel adatokat.

Saját kontrollok és ellenőrzések kellenek

A Lovable útmutatója szerint az adatkezelési tájékoztatónak pontosan le kell írnia, milyen adatokat gyűjt az app, miért használja azokat, kik kapják meg, meddig őrzi meg, és hogyan gyakorolhatják jogaikat az érintettek. A generált adatvédelmi tájékoztatót ezért össze kell vetni az alkalmazás tényleges beállításaival.

Az üzemeltetőnek működő folyamatot kell létrehoznia a hozzáférési, helyesbítési és adott esetben törlési kérelmek kezelésére. Fel kell tárnia az adatokat az adatbázisban és a kapcsolódó szolgáltatásokban, ki kell jelölnie a felelőst, és ellenőriznie kell a kérelmező személyazonosságát.

A hozzáféréseket különböző fiókokkal és szerepkörökkel is tesztelni kell. Ilyenkor többek között azt kell vizsgálni, hogy egy ügyfél elolvashatja-e egy másik ügyfél adatait, hozzáférhetővé válnak-e a feltöltött fájlok, illetve maradt-e hozzáférése egy korábbi munkatársnak. Az érzékeny adatokat, gyermekeket vagy magasabb kockázatú adatkezelést érintő projektek további felmérést igényelhetnek.

Ha egy ügyfél a saját szolgáltatásra vonatkozó SOC 2 jelentést kér, a vállalkozásnak külön, független CPA-céggel végzett vizsgálaton kell átesnie. A Lovable jelentése ehhez a beszállítói értékelés részeként használható fel. A Lovable jelenleg megfelelőségi automatizálási partnerekkel dolgozik, és olyan integrációkat, valamint projekten belüli képességeket fejleszt, amelyek megkönnyíthetik ezt a munkát.

A cég szerint a Lovable chatje kódmódosítás nélkül képes áttekinteni a projektet, és segítséget adhat az adatfeltérképezéshez, a hozzáférési szabályok vizsgálatához, valamint a lehetséges SOC 2 hiányosságok azonosításához. A válaszokat azonban kiindulópontként kell kezelni: a tanúsítás végső soron a vállalkozás kontrolljainak és folyamatainak auditja.