SOC 2 Type II 与 ISO 27001：PolyAI 的信息安全根基
为什么这些认证重要
选择对话 AI 供应商时，安全是绕不开的底线——客户数据、通话录音、交易信息都在你的智能体里流动。供应商说"自家产品很安全"不够，你需要第三方审核过的、有法律效力的认证来做背书。
PolyAI 持有多项国际安全和合规认证，覆盖了从数据中心到智能体配置的完整链路。
SOC 2 Type II
SOC 2（Service Organization Control 2）是由 AICPA 制定的服务组织报告标准，审核的是供应商的安全、可用性、处理完整性、保密性和隐私五个维度。Type II 级别意味着审核覆盖了至少 6 个月的实际运行情况（不是只审设计文档）。
PolyAI 的 SOC 2 Type II 认证覆盖：
- 对话数据的处理和存储
- Agent Studio 平台的访问控制
- ADK / API 的认证机制
- 基础设施的物理和网络安全
你可以在 PolyAI 官方渠道或通过销售获取 SOC 2 Type II 报告的摘要版本。对于银行、保险、医疗等对安全有硬性要求的行业，SOC 2 往往是采购的前置条件。
ISO 27001
ISO/IEC 27001 是国际标准化组织制定的信息安全管理体系（ISMS）标准，关注的是组织层面的信息安全管理流程——不仅仅是技术控制，还包括人员培训、流程定义、风险评估、供应商管理等。
PolyAI 的 ISO 27001 认证覆盖其核心产品开发和运营团队。这意味着 PolyAI 不仅在技术层面做了安全防护，整个组织的日常运营都遵循统一的信息安全管理规范。
两个认证的关系
| 维度 | SOC 2 Type II | ISO 27001 |
|---|---|---|
| 审核方 | AICPA 认可的独立审计师 | ISO 认可的认证机构 |
| 关注点 | 服务交付时的安全实际表现 | 组织的信息安全管理体系 |
| 周期 | 每年一次（覆盖 6-12 个月实际运行） | 每年监督审核，三年重新认证 |
| 典型用途 | 客户采购时要求看 | 组织内部安全管理 + 大型客户供应链要求 |
两者互补——SOC 2 看 PolyAI 在服务你的时候做得怎么样，ISO 27001 看 PolyAI 内部日常怎么管理信息安全。
认证不覆盖什么
PolyAI 的安全认证覆盖的是PolyAI 平台本身。它不覆盖：
- 你自己业务系统的安全（CRM、ERP 等）
- 你传给 PolyAI 的数据本身的合规性（你需要确保传给 PolyAI 的数据符合你所在行业的法规）
- 你在 ADK Python 函数里写的自定义代码（你自己负责审查和测试）
PolyAI 提供的是安全的平台，但用得好不好还在于你自己。