app.klang.ai — 62/100 (Riesgo de privacidad medio)
Último análisis
Klang AI AB · klang.ai
Detalles del informe
Riesgo de privacidad medioKlang AI recopila contenido de audio y vídeo potencialmente sensible, lo comparte con múltiples proveedores de IA y se reserva el derecho de usar los datos cargados para mejorar sus propios algoritmos sin ofrecer una opción de exclusión, aunque mantiene la mayor parte del procesamiento en la UE y aplica retención cero de datos con sus subprocesadores de IA.
Klang AI AB, un servicio sueco de transcripción por IA y grabación de reuniones, procesa una amplia gama de datos personales, incluido contenido potencialmente sensible de archivos de audio/vídeo. La política es encomiablemente transparente sobre sus subprocesadores y tiene acuerdos de retención cero de datos con proveedores de LLM e IA de voz. Sin embargo, reclama el derecho a usar el contenido cargado para mejorar sus propios algoritmos sin una opción de exclusión clara, recopila números de tarjetas de crédito directamente (a pesar de usar Stripe) y transfiere datos a al menos un proveedor de EE. UU. (ElevenLabs) sin describir las salvaguardas de transferencia. La retención está limitada a tres meses tras la terminación de la cuenta, lo cual es relativamente sólido.
Evaluación por categoría
Desglose de la política en las principales áreas de cumplimiento. Bueno = sólido, regular = mixto, deficiente = preocupante.
Recopila números de tarjetas de crédito/débito directamente a pesar de usar Stripe como proveedor de pagos, y define de manera amplia los datos recopilables para incluir cualquier información personal en archivos de audio, vídeo o texto cargados.
Enumera claramente todos los subprocesadores por nombre, propósito y ubicación; establece explícitamente acuerdos de retención cero de datos con proveedores de IA; política estructurada con un resumen útil.
Se revela una extensa lista de subprocesadores con detalle, pero los datos fluyen a al menos un proveedor de EE. UU. (ElevenLabs) sin salvaguardas de transferencia, y los socios de integración como Slack, Dropbox y HubSpot también tienen su sede en EE. UU.
ElevenLabs (EE. UU.) recibe datos de audio para IA de voz, y múltiples socios de integración tienen su sede en EE. UU., sin embargo, la política guarda absoluto silencio sobre las CCT, decisiones de adecuación o cualquier otra salvaguarda del Capítulo V.
Los proveedores externos de LLM e IA de voz tienen prohibido contractualmente entrenar o retener datos de usuarios, pero Klang se reserva el derecho de usar el contenido cargado para mejorar sus propios algoritmos sin mecanismo de exclusión.
Se enumeran los derechos del RGPD (acceso, rectificación, supresión, limitación, portabilidad, oposición) con enlaces a la autoridad de control, pero no hay un mecanismo automatizado de autoservicio; los usuarios deben enviar un correo electrónico a support@klang.ai.
Hallazgos clave
Cláusulas destacadas, problemas o buenas prácticas detectadas (críticos primero)
Mejora de algoritmos con datos de usuario sin opción de exclusión
La Sección 2 establece: 'El contenido cargado que puede incluir información personal puede usarse para mejorar nuestros servicios y algoritmo'. Esto significa que Klang puede usar contenido de audio/vídeo potencialmente sensible para entrenar o refinar sus propios modelos. No se ofrece opción de exclusión, y la base legal para este procesamiento no está clara, ya que no se lista por separado en las bases legales de la Sección 3. Para un servicio de transcripción por IA que maneja grabaciones de reuniones, esto es una preocupación importante.
Transferencia de datos a EE. UU. sin salvaguardas documentadas
ElevenLabs, Inc. aparece como un proveedor de IA de voz con sede en EE. UU. Los datos de audio se comparten con ElevenLabs para transcripción e identificación de hablantes. La política no menciona Cláusulas Contractuales Tipo, una certificación del Marco de Privacidad de Datos UE-EE. UU., ni ningún otro mecanismo de transferencia del Capítulo V del RGPD. Esta es una laguna de cumplimiento que podría exponer a Klang a riesgos de sanción.
Números de tarjetas de crédito/débito recopilados directamente
La Sección 1 enumera los 'números de tarjetas de débito/crédito' como información personal recopilada. Dado que Klang utiliza Stripe como proveedor de pagos, los números completos de las tarjetas nunca deberían llegar a los servidores de Klang. Recopilar y almacenar números de tarjetas crearía un riesgo de seguridad innecesario y probablemente violaría el estándar PCI DSS y el principio de minimización de datos.
El mecanismo de consentimiento para el procesamiento de datos sensibles es vago
La Sección 1 reconoce el procesamiento de 'información potencialmente sensible contenida en archivos de texto o archivos (como audio y vídeo)' y dice que esto se hace 'con su consentimiento o según lo permitido de otra manera por la ley aplicable'. Sin embargo, la política no describe cómo se obtiene el consentimiento, ya sea al cargar, al crear la cuenta o a través de un mecanismo separado. Para un servicio cuya función principal implica procesar audio/vídeo de reuniones, esta falta de especificidad es preocupante.
Los acuerdos de retención cero de datos con subprocesadores de IA son un punto positivo destacado
La política establece explícitamente que los proveedores de LLM (Scaleway, Mistral, Microsoft Irlanda, AWS Europa, Berget AI) y los proveedores de IA de voz (ElevenLabs, Pyannote) operan bajo acuerdos de retención cero de datos donde 'Los datos no se utilizan para el entrenamiento y no se retienen después del procesamiento' y 'Los datos de audio no se utilizan para el entrenamiento y se eliminan inmediatamente después del procesamiento'. Esta es una transparencia superior al promedio para un servicio de IA.
El límite corto de retención es notable
La Sección 6 establece: 'Ningún propósito en este aviso requerirá que conservemos su información personal por más de tres (3) meses después de la terminación de la cuenta del usuario'. Este es un período de retención relativamente corto y claramente definido, lo cual es positivo para el cumplimiento del RGPD.
Resumen para el usuario
Sus grabaciones de reuniones y transcripciones podrían usarse para entrenar los propios algoritmos de Klang, y algunos de sus datos fluyen a una empresa de IA de voz con sede en EE. UU. sin ninguna salvaguarda legal explicada, pero los proveedores de IA externos tienen prohibido contractualmente retener o entrenar con sus datos.
Postura de cumplimiento
Klang AI demuestra un cumplimiento parcial del RGPD: identifica las bases legales, enumera los subprocesadores con especificidad y limita la retención. Sin embargo, tiene lagunas en cuanto a las salvaguardas de transferencia internacional, carece de una opción de exclusión clara para el procesamiento de mejora de sus propios algoritmos y recopila datos de tarjetas de pago que probablemente no debería almacenar directamente. No se hace referencia a ningún ATD ni se menciona ninguna EIPD.
Transferencias en la UE
La mayor parte del procesamiento permanece dentro de la UE/EEE (Scaleway en Francia, Mistral en Francia, Microsoft Irlanda, AWS Europa, Berget AI en Suecia, Pyannote en Francia). Sin embargo, ElevenLabs Inc. tiene su sede en EE. UU., y la política guarda silencio sobre los mecanismos de transferencia, como las Cláusulas Contractuales Tipo o una decisión de adecuación. Esta es una laguna de cumplimiento bajo el Capítulo V del RGPD.
Señales detectadas
Datos y prácticas específicas identificadas en el texto
Fragmentos de evidencia
Citas directas de la política que respaldan estos hallazgos
Uploaded content which may include personal information can be used to improve our services and algorithm.
LLM Model providers, we work with the following AI providers who have strong data protection policies and zero data retention agreements. Your data can be shared with these to perform LLM requests. Data is not used for training and is not retained after processing.
No purpose in this notice will require us keeping your personal information for longer than three (3) months past the termination of the user's account.
ElevenLabs, Inc., USA
debit/credit card numbers
When necessary, with your consent or as otherwise permitted by applicable law, we process the following categories of sensitive information: any potentially sensitive information contained within text or files (such as audio and video) that are submitted to the service.
Ausente o poco claro
- No hay descripción de las salvaguardas de transferencia internacional (CCT, DPF, NCV) para los subprocesadores con sede en EE. UU.
- No hay mecanismo de exclusión para la mejora del propio algoritmo de Klang usando el contenido cargado
- No hay explicación de cómo se obtiene en la práctica el consentimiento para el procesamiento de datos sensibles
- No hay referencia a un Acuerdo de Tratamiento de Datos (ATD) para clientes B2B
- No se menciona la Evaluación de Impacto en la Protección de Datos (EIPD) a pesar de procesar audio/vídeo sensible a gran escala
- No hay portal automatizado de autoservicio para ejercer los derechos del RGPD
- No hay detalles sobre las categorías de cookies o tecnologías de seguimiento (se remite a un Aviso de Cookies separado)
Preguntas que hacer
- ¿Qué mecanismo de transferencia específico (CCT, certificación DPF UE-EE. UU., etc.) utilizan cuando comparten datos de audio con ElevenLabs en los Estados Unidos?
- ¿Cómo se obtiene exactamente el consentimiento para procesar contenido de audio/vídeo sensible: es al momento de la carga, en el proceso de registro o en otro lugar?
- ¿Pueden los usuarios excluirse de que su contenido cargado se utilice para mejorar los propios algoritmos de Klang, y si no, cuál es la base legal para este procesamiento según el RGPD?
- ¿Realmente recopilan y almacenan números completos de tarjetas de débito/crédito en sus propios servidores, o Stripe maneja todos los datos de la tarjeta mediante tokenización?
- ¿Qué implica 'mejorar nuestros servicios y algoritmo': incluye esto el entrenamiento de modelos de aprendizaje automático con contenido de audio/vídeo cargado por los usuarios?
- ¿Existe una Evaluación de Impacto en la Protección de Datos disponible para el procesamiento de contenido de audio/vídeo sensible a gran escala?
Compartir este análisis
Cualquiera con este enlace puede ver el resultado anterior.
Creado por DentroChat
Chat de IA 100 % europeo para todos
Chatea con la IA, trabaja con archivos, genera imágenes y busca en la web. Los datos permanecen en Europa.
Otras políticas de privacidad analizadas
Ver todascursor.com
62/100
Riesgo de privacidad medioCursor (Anysphere) promete no usar sus entradas de código para el entrenamiento de IA por defecto y no vende sus datos, pero recopila una amplia gama de datos personales y de uso, los envía a EE. UU. con salvaguardas de transferencia vagas, y deja sin especificar detalles clave como los períodos de retención y las bases legales.
Ver informe →eustella.com
62/100
Riesgo de privacidad medioeustella hace fuertes promesas de privacidad — no vende datos, no los comparte con terceros, no entrena IA con tus datos y todo el procesamiento permanece en la UE —, pero esto es texto de marketing, no una política de privacidad vinculante, y los detalles críticos sobre la recopilación, retención, subprocesadores y derechos de los usuarios están ausentes en el texto proporcionado.
Ver informe →lhv.com
62/100
Riesgo de privacidad medioLHV Bank recopila una amplia gama de datos personales y financieros, los comparte ampliamente con agencias de prevención de fraude e intermediarios de pago, y se basa fuertemente en el interés legítimo para marketing y análisis, pero sí cubre los derechos del RGPD (GDPR) y utiliza revisión manual para las decisiones de elaboración de perfiles.
Ver informe →cake.com
62/100
Riesgo de privacidad medioCAKE.com proporciona derechos de datos estándar de la UE y salvaguardas de transferencia, pero recopila datos de vigilancia laboral altamente intrusivos, como capturas de pantalla, ubicación en segundo plano y uso de aplicaciones, en nombre de los empleadores, quienes actúan como los responsables del tratamiento de los datos de sus empleados.
Ver informe →