Segurança de Dados na REDA AI

A segurança de dados é um princípio central de design da REDA AI. Este artigo explica exatamente como a REDA AI trata seus dados do Salesforce, o que é enviado ao serviço de IA, o que é armazenado e onde, e os controles disponíveis para manter seus dados protegidos.

Quais Dados a REDA AI Envia ao Serviço de IA?

Nos dois modelos, as solicitações saem do Salesforce para processamento no provedor de IA. Podem incluir mensagens, prompts, contexto selecionado, resultados de ferramentas e documentos necessários. Os dados enviados para processamento saem do Salesforce. A governança de acesso no Salesforce não substitui as condições de processamento, retenção ou contrato do provedor.

Com sua própria IA, revise as condições de cada provedor e modelo conectado. As chaves ficam no armazenamento de credenciais da sua organização Salesforce, não em prompts nem em um armazenamento hospedado pela REDA. As configurações de chamada de Named Credential e External Credential Principal Access determinam quem pode usar a conexão. Agentes podem usar a conexão selecionada; recursos administrativos e processamento de documentos usam o padrão da organização. Revise as duas rotas ao aprovar provedores.

Com IA incluída, o nível de processamento e o acordo REDA regem o processamento. Economy tem seus próprios requisitos de consentimento e endpoint. Essas regras não descrevem o modelo de conta própria. Veja a configuração e os acessos.

Onde seus dados são armazenados

Conversas, mensagens, registros de uso e logs ficam na sua organização Salesforce sob seus controles de acesso e retenção. As solicitações vão diretamente ao provedor; a REDA não mantém um armazenamento intermediário para elas. Retenção, uso para treinamento e residência do provedor dependem do contrato e da configuração aplicáveis. Com sua própria IA, valem seus termos diretos; não presuma que os acordos de IA incluída da REDA se estendem a essa conta.

O Que é Armazenado na Sua Organização Salesforce?

Os seguintes registros são criados dentro da sua organização Salesforce e permanecem sob seu controle total:

Retenção e Arquivamento de Dados

Os registros de conversa e mensagem se acumulam ao longo do tempo. A A REDA AI inclui um processo automatizado de arquivamento, executado às 2h do dia 1º de cada mês, que exclui conversas, mensagens e transações de créditos depois que passam da janela de retenção. A retenção é definida globalmente nas Configurações da plataforma e pode ser sobreposta por agente, com um mínimo de 60 dias; um agente com Ignorar arquivamento marcado nunca é arquivado. Definir o valor global como 0 desativa o arquivamento por completo.

A atividade de arquivamento é registrada em registros de arquivamento de IA para que você tenha uma que trazem as contagens e os totais da execução mais anexos CSV listando as conversas, as mensagens e as transações de créditos excluídas. Leia-os junto com o campo Detalhes do erro do log, onde a REDA AI anota qualquer CSV que tenha atingido o limite de 50.000 linhas. Consulte Registros de arquivamento de IA.

Modelo de Segurança do Salesforce

A REDA AI opera inteiramente dentro do modelo de segurança do Salesforce. Isso significa que:

• A Segurança em Nível de Campo (FLS) é respeitada — se um usuário não tiver acesso de leitura a um campo do Salesforce, o agente não pode ver o valor desse campo. Todas as consultas das ferramentas do pacote são executadas no modo de usuário do Salesforce, e uma chamada que chega sem nível de aplicação é tratada como modo de usuário, nunca como elevada.
• As regras de compartilhamento de registros se aplicam — se um usuário não conseguir ver um registro no Salesforce, o agente não pode recuperá-lo nem referenciá-lo para esse usuário.
• Os conjuntos de permissões controlam quem pode usar o agente — somente usuários com o conjunto de permissões da REDA AI apropriado atribuído podem interagir com a IA.

A única exceção: o contexto de execução

Uma Definição de Agente tem um campo Contexto de execução. Definido como Sistema, as ferramentas daquele agente leem campos que o usuário em execução não pode. Chegar lá é deliberadamente difícil:

• As duas condições são exigidas: o Contexto de execução precisa ser Sistema e o Canal do agente precisa ser API. Um agente interno, de comunidade ou de widget externo não pode ser elevado. O Contexto de execução é uma lista de opções restrita e dependente, então o próprio Salesforce rejeita a combinação ilegal ao salvar o registro — e a REDA AI se recusa a elevar de qualquer forma.
• O compartilhamento nunca é ampliado. A elevação cobre apenas permissões de objeto e de campo. A visibilidade dos registros é aplicada no nível da classe, de modo que um agente elevado lê mais campos em registros que já podia ver — ele nunca alcança um registro que o usuário em execução não pudesse ver.
• Um prompt nunca pode causá-la. O nível de aplicação vem exclusivamente da configuração salva pelo administrador. Ele nunca é derivado dos argumentos de ferramenta do modelo, da mensagem do usuário, do conteúdo de um registro, de um arquivo enviado ou de um e-mail recebido — portanto nenhuma instrução injetada consegue convencer um agente a se elevar.

Se você não definiu o Contexto de execução como Sistema em um agente de API, tudo o que está acima vale sem ressalvas.

Segurança do Widget Externo e da Chave de API

Se você implantar o canal Widget Externo em um site público, o widget é protegido por uma chave de API exclusiva de cada agente. Essa chave:

• É gerada pelo administrador dentro do app REDA AI.
• É exibida apenas uma vez no momento da geração — ela não pode ser recuperada novamente. Armazene-a com segurança imediatamente.
• Não é armazenada de nenhuma forma recuperável. A Definição de Agente guarda um hash SHA-256 unidirecional com um sal aleatório por registro; a chave em si nunca é gravada na sua organização. É por isso que ninguém consegue recuperar uma chave perdida, nem a REDA: ela não está oculta, ela não está lá.
• Pode ser revogada a qualquer momento — se uma chave for comprometida, você pode revogá-la imediatamente e gerar uma nova.

Você também pode configurar uma lista de Origens Permitidas na definição do agente, para que o widget aceite solicitações somente de domínios de site específicos que você controla.

Para orientações completas sobre gestão de chaves de API, consulte Gestão de chaves de API.

Conectar agentes por MCP

MCP conecta um assistente aprovado aos agentes ativos selecionados do canal Interno. Cada pessoa entra com sua identidade Salesforce. O cliente recebe pontos de entrada de agentes; ferramentas e prompts individuais não são publicados como ferramentas MCP. Configure um Site, aplicativo cliente externo, as atribuições REDA AI User e REDA AI MCP User e a habilitação do agente. Consulte o guia administrativo e o guia de uso. Os dados podem chegar ao assistente e aos provedores configurados além do Salesforce. Revise dados e contratos: isso não garante que os dados nunca saiam do Salesforce.

Entender a mudança de créditos Econômico

O uso comum do nível Econômico agora aplica multiplicador de 0,40 à taxa base de créditos. Com os mesmos tokens e taxas, um exemplo de 100 créditos base consome 40 no Econômico. Com o multiplicador anterior de 0,10 consumia 10: o débito é quatro vezes o anterior e 60% inferior ao base. Muda o consumo, não o preço da assinatura. A pré-extração de arquivos é cobrada separadamente à taxa integral. Um fallback de provedor pode usar outro nível efetivo; confira a transação real em vez de aplicar 0,40 à operação mista inteira. Novas transações registram Nível de processamento; o histórico não é preenchido retroativamente. Econômico exige consentimento e licença/configuração compatível. Sem consentimento, a solicitação é recusada, não processada silenciosamente em outro nível.

Perguntas frequentes