Delve anklaget for å villede kunder med «falsk samsvar»

En anonym Substack-post publisert denne uken anklager samsvarsstartupen Delve for å «falskt» ha overbevist «hundrevis av kunder om at de var i samsvar» med personvern- og sikkerhetsforskrifter, og potensielt utsette disse kundene for «strafferettslig ansvar under HIPAA og heftige bøter under GDPR».
Delve er en startup støttet av Y Combinator som i fjor kunngjorde at de hadde tatt inn 32 millioner dollar i Series A til en verdsettelse på 300 millioner dollar. (Runden ble ledet av Insight Partners.) På fredag forsøkte startupen å tilbakevise anklagene med på sin blogg, og kalte Substack-posten «misvisende» og sa at den «inneholder en rekke unøyaktige påstander».
Substack-posten er kreditert «DeepDelver», som beskrev seg selv som ansatt hos en (nå tidligere) Delve-klient.
DeepDelver fortalte om å ha mottatt en e-post i desember som hevdet at startupen hadde «lekket et regneark med konfidensielle klientrapporter». Selv om Delve-sjef Karun Kaushik tilsynelatende forsikret kundene i en påfølgende e-post om at de var i samsvar og at ingen ekstern part fikk tilgang til sensitive data, sa DeepDelver at de og andre kunder hadde blitt mistenksomme.
«Å ha den delte erfaringen med å være misfornøyd med Delve-opplevelsen, og å ha en generell følelse av at noe fishy foregikk, bestemte vi oss for å samle ressurser og undersøke sammen», skrev de.
Deres konklusjon? At Delve «oppnår sitt krav om å være den raskeste plattformen ved å produsere falske bevis, generere revisjonskonklusjoner på vegne av sertifiseringsverksteder som stempler rapporter, og hoppe over store rammeverkrav samtidig som de forteller kundene at de har oppnådd 100 % samsvar».
DeepDelver gikk inn i betydelig detalj om disse påstandene, og anklaget startupen for å gi kundene «konstruerte bevis for styremøter, tester og prosesser som aldri skjedde», og deretter tvinge disse kundene til å «velge mellom å adoptere falske bevis eller utføre mesteparten av arbeidet manuelt med lite ekte automatisering eller AI».
DeepDelver hevdet også at nesten alle Delves klienter ser ut til å ha gått gjennom to revisjonsselskaper, Accorp og Gradient, som de beskrev som «en del av samme operasjon», en som opererer hovedsakelig i India, med bare en nominell tilstedeværelse i USA.
Disse selskapene, sa de, stemple bare rapporter som ble generert av Delve. Som et resultat sa DeepDelver at startupen «inverterer» den normale samsvarsstrukturen: «Ved å generere revisjonskonklusjoner, testprosedyrer og endelige rapporter før uavhengig gjennomgang forekommer, plasserer Delve seg selv i rollen som både implementator og eksaminator. Dette er ikke en teknikalitet. Det er et strukturelt bedrageri som ugyldiggjør hele attestasjonen.»