DentroChat

app.klang.ai — 62/100 (Keskitasoinen tietosuojariski)

Viimeksi analysoitu

Aja uusi analyysi toiselle käytännölle

Klang AI AB · klang.ai

Raportin tiedot

Keskitasoinen tietosuojariski

Klang AI kerää mahdollisesti herkkiä ääni- ja videosisältöjä, jakaa niitä useiden tekoälypalveluntarjoajien kanssa ja pidättää itsellään oikeuden käyttää lähettämiäsi tietoja oman algoritminsa parantamiseen ilman mahdollisuutta kieltäytyä – vaikka se pitääkin suurimman osan tietojen käsittelystä EU:ssa ja vaatii alihankkijoiltaan nollan datan säilytyksen.

Ruotsalainen Klang AI AB, joka tarjoaa tekoälypohjaista puheentunnistusta ja kokousten tallennusta, käsittelee laajaa valikoimaa henkilötietoja, mukaan lukien mahdollisesti herkkiä tietoja ääni- ja videotiedostoista. Yrityksen tietosuojakäytäntö on kiitettävän läpinäkyvä alihankkijoiden suhteen ja sillä on nollan datan säilytyksen sopimukset LLM- ja puhetekoälypalveluntarjoajien kanssa. Kuitenkin se väittää itsellään oikeuden käyttää lähetettyjä sisältöjä oman algoritminsa parantamiseen ilman selkeää kieltäytymisvaihtoehtoa, kerää luottokorttinumeroita suoraan (vaikka käyttää Stripeä), ja siirtää tietoja ainakin yhteen Yhdysvaltoihin sijoittuvalle palveluntarjoajalle (ElevenLabs) ilman siirron suojatoimien kuvailua. Tietojen säilyttämisaika on rajoitettu kolmeen kuukauteen tilin sulkemisen jälkeen, mikä on suhteellisen tiukka.

Viimeksi analysoitu
LähdeURL

Kategoria-arviointi

Käytännön jakautuminen keskeisille vaatimustenmukaisuusalueille. Hyvä = vahva, kohtalainen = ristiriitainen, heikko = huolestuttava.

Tietojen minimointiKohtalainen

Kerää luotto-/pankkikorttinumeroita suoraan, vaikka käyttää Stripeä maksupalveluntarjoajana, ja määrittelee kerättävän datan laajasti kattamaan kaikki henkilötiedot lähetetyissä ääni-, video- tai tekstitiedostoissa.

LäpinäkyvyysHyvä

Luettelee selkeästi kaikki alihankkijat nimeltä, tarkoituksen ja sijainnin mukaan; ilmoittaa nollan datan säilytyksen sopimuksista tekoälypalveluntarjoajien kanssa; rakenteinen käytäntö hyödyllisine yhteenvetoineen.

Kolmannen osapuolen jakaminenKohtalainen

Laaja alihankkijaluettelo on ilmoitettu yksityiskohtaisesti, mutta tietoja siirtyy ainakin yhteen Yhdysvaltoihin sijoittuvalle palveluntarjoajalle (ElevenLabs) ilman siirron suojatoimia, ja integrointikumppanit kuten Slack, Dropbox ja HubSpot ovat myös Yhdysvaltoihin sijoittuvia.

Kansainvälinen tietosiirtoHeikko

ElevenLabs (Yhdysvallat) vastaanottaa äänitietoja puhetekoälyä varten, ja useat integrointikumppanit ovat Yhdysvaltoihin sijoittuvia, mutta käytäntö ei mainitse lainkaan standardisoituja sopimusehtoja, riittävyyden päätöstä tai muita V luvun suojatoimia.

Tekoäly/mallien koulutusKohtalainen

Kolmannen osapuolen LLM- ja puhetekoälypalveluntarjoajat ovat sopimuksellisesti estetty käyttämästä tai säilyttämästä käyttäjien tietoja koulutukseen, mutta Klang pidättää itsellään oikeuden käyttää lähetettyjä sisältöjä oman algoritminsa parantamiseen ilman kieltäytymismekanismia.

Käyttäjän oikeudetKohtalainen

GDPR-oikeudet (pääsy, korjaus, poisto, rajoittaminen, siirrettävyys, vastustaminen) on lueteltu valvontaviranomaisten linkkeineen, mutta ei ole automaattista itsepalvelumekanismia – käyttäjien on otettava yhteyttä osoitteeseen support@klang.ai.

Keskeiset havainnot

Huomionarvoiset ehdot, ongelmat tai hyvät käytännöt (kriittiset ensin)

Kriittinen

Algoritmin parantaminen käyttäjien tiedoilla ilman kieltäytymisvaihtoehtoa

Kohdassa 2 todetaan: 'Lähetetty sisältö, joka voi sisältää henkilötietoja, voidaan käyttää palveluidemme ja algoritmimme parantamiseen.' Tämä tarkoittaa, että Klang voi käyttää mahdollisesti herkkiä ääni-/videosisältöjä oman mallinsa kouluttamiseen tai hienosäätämiseen. Kieltäytymisvaihtoehtoa ei tarjota, ja tämän käsittelyn oikeusperusta on epäselvä – sitä ei ole erikseen lueteltu kohdan 3 oikeusperusteissa. Tekoälypohjaiselle puheentunnistuspalvelulle, joka käsittelee kokousten äänityksiä, tämä on merkittävä huolenaihe.

Kriittinen

Yhdysvaltoihin tapahtuva tietosiirto ilman dokumentoituja suojatoimia

ElevenLabs, Inc. on lueteltu puhetekoälypalveluntarjoajana, joka sijaitsee Yhdysvalloissa. Äänitietoja jaetaan ElevenLabsin kanssa puheentunnistusta ja puhujan tunnistusta varten. Käytäntö ei mainitse standardisoituja sopimusehtoja, EU-Yhdysvallat-tietosuojakehyksen sertifiointia tai muita GDPR:n V luvun siirron suojamekanismeja. Tämä on noudattamisen aukko, joka voi altistaa Klangin valvontariskille.

Varoitus

Luotto-/pankkikorttinumerot kerätään suoraan

Kohdassa 1 luetellaan 'pankki-/luottokorttinumerot' kerättävinä henkilötietoina. Koska Klang käyttää Stripeä maksupalveluntarjoajana, täydelliset korttinumerot eivät saisi koskaan päätyä Klangin palvelimille. Korttinumeroiden kerääminen ja säilyttäminen luo tarpeetonta turvallisuusriskiä ja todennäköisesti rikkoo PCI DSS:ää sekä tietojen minimointiperiaatetta.

Varoitus

Herkän datan käsittelyn suostumismekanismi on epäselvä

Kohdassa 1 myönnetään, että käsitellään 'mahdollisesti herkkiä tietoja teksti- tai tiedostoissa (kuten ääni- ja videotiedostoissa)' ja että tämä tehdään 'suostumuksellasi tai muuten sovellettavan lain sallimalla tavalla.' Käytäntö ei kuitenkaan kuvaile, miten suostumus hankitaan – tapahtuuko se lähetyshetkellä, tilin luomisen yhteydessä vai erillisen mekanismin kautta. Palvelulle, jonka ydintoiminto on ääni-/videotiedostojen käsittely kokouksista, tämän yksityiskohtien puute on huolestuttavaa.

Info

Nollan datan säilytyksen sopimukset tekoälyalihankkijoiden kanssa ovat vahva positiivinen asia

Käytäntö ilmoittaa selkeästi, että LLM-palveluntarjoajat (Scaleway, Mistral, Microsoft Irlanti, AWS Eurooppa, Berget AI) ja puhetekoälypalveluntarjoajat (ElevenLabs, Pyannote) toimivat nollan datan säilytyksen sopimusten alaisena, joissa 'Tietoja ei käytetä koulutukseen eikä niitä säilytetä käsittelyn jälkeen' ja 'Äänitietoja ei käytetä koulutukseen ja ne poistetaan välittömästi käsittelyn jälkeen.' Tämä on keskimääräistä läpinäkyvämpää tekoälypalvelulle.

Info

Lyhyt säilyttämisraja on huomionarvoinen

Kohdassa 6 todetaan: 'Yksikään tämän ilmoituksen tarkoitus ei vaadi henkilötietojesi säilyttämistä pidempään kuin kolme (3) kuukautta käyttäjän tilin sulkemisen jälkeen.' Tämä on suhteellisen lyhyt ja selkeästi määritelty säilyttämisaika, mikä on positiivista GDPR:n noudattamisen kannalta.

Yhteenveto käyttäjälle

Kokouksiesi äänitallenteet ja puheentunnistukset voivat olla käytössä Klangin omien algoritmien kouluttamiseen, ja osa tietojasi siirtyy Yhdysvaltoihin sijoittuvalle puhetekoälyyritykselle ilman selitettyjä oikeudellisia suojatoimia – mutta kolmannen osapuolen tekoälypalveluntarjoajat eivät sopimuksellisesti saa säilyttää tai kouluttaa tietojasi.

Vaatimustenmukaisuusasento

Klang AI osoittaa osittaista GDPR:n (yleinen tietosuoja-asetus) noudattamista: se määrittelee oikeusperusteet, luettelee alihankkijat tarkasti ja rajoittaa säilyttämisajan. Kuitenkin siinä on puutteita kansainvälisten siirtojen suojatoimien osalta, puuttuu selkeä kieltäytymisvaihtoehto oman algoritmin parantamiseen liittyvälle käsittelylle, ja se kerää maksukorttitietoja, joita se todennäköisesti ei saisi säilyttää suoraan. Käytännössä ei mainita tietojenkäsittelyä koskevaa sopimusta (DPA) eikä tietosuojavaikutusten arviointia (DPIA).

EU-siirrot

Suurin osa käsittelystä tapahtuu EU/ETA-alueella (Scaleway Ranskassa, Mistral Ranskassa, Microsoft Irlannissa, AWS Euroopassa, Berget AI Ruotsissa, Pyannote Ranskassa). Kuitenkin ElevenLabs Inc. sijaitsee Yhdysvalloissa, ja käytäntö ei mainitse siirron mekanismeja, kuten standardisoituja sopimusehtoja tai riittävyyden päätöstä. Tämä on noudattamisen aukko GDPR:n V luvun (kansainvälisten tietosiirtojen) mukaan.

Havaitut signaalit

Tekstistä tunnistetut erityiset tiedot ja käytännöt

Kerätyt tiedot
NimetPuhelinnumerotSähköpostiosoitteetPostiosoitteetKäyttäjätunnuksetSalasanatYhteystietoasetuksetYhteys- tai tunnistustiedotLaskutusosoitteetPankki-/luottokorttinumerotTyönimikkeetHenkilötiedot lähetetyissä tekstitiedostoissaHenkilötiedot lähetetyissä äänitiedostoissaHenkilötiedot lähetetyissä videotiedostoissa
Käsittelyn tarkoitukset
Tilin luominen ja tunnistautuminenPalvelun toimittaminenKäyttäjän tuki ja tiedustelutHallinnolliset viestitTilauksen ja maksun hallintaKäyttäjien välinen viestintäElintärkeiden etujen suojaaminenPalveluiden ja algoritmien parantaminen
Jakaminen kolmansille osapuolille
Pilvipalvelut ja datan varastointi (Scaleway, Ranska)Viestintätyökalut (Mailchimp, Mailgun, Pipedrive, Slack, Intercom)Maksun käsittely (Stripe)Puhelun äänittäminen (46elks AB)Kokousten äänittäminen (Hyperdoc Inc./recall.ai)Google Calendar APIMicrosoft Calendar APILLM-palveluntarjoajat (Scaleway, Mistral AI, Microsoft Irlanti, AWS Eurooppa, Berget AI AB)Puhetekoälypalveluntarjoajat (ElevenLabs Inc. USA, Pyannote Ranska)Integraatiopalvelut (Slack, Dropbox, Microsoft Teams/OneDrive, HubSpot, Google Drive)Liiketoiminnan siirrot (fuusiot ja yrityskaupat)TytäryhtiötLiiketoimintakumppanit
Kansainväliset siirrot
ElevenLabs Inc. sijaitsee Yhdysvalloissa – siirron suojatoimia ei kuvataHyperdoc Inc. (recall.ai) todennäköisesti Yhdysvalloissa – siirron suojatoimia ei kuvataMailchimp, HubSpot, Dropbox, Slack, Google, Microsoft ovat Yhdysvaltoihin sijoittuvia yrityksiä – siirron suojatoimia ei kuvataUseimmat tekoäly/LLM-palveluntarjoajat sijaitsevat EU:ssa (Ranska, Irlanti, Ruotsi) – positiivistaStandardisoituja sopimusehtoja, EU-Yhdysvallat-tietosuojakehystä tai sitovia yrityssääntöjä ei mainita missään käytännössä
Tekoäly / Mallin koulutus
Klang käyttää itse lähetettyjä sisältöjä oman algoritminsa parantamiseen – ei kieltäytymisvaihtoehtoaKolmannen osapuolen LLM-palveluntarjoajilla on nollan datan säilytyksen sopimukset – tietoja ei käytetä koulutukseenKolmannen osapuolen puhetekoälypalveluntarjoajilla on nollan datan säilytyksen sopimukset – äänitietoja ei käytetä koulutukseenEi mainintaa siitä, sisältääkö Klangin oman algoritmin parantamisen mallien kouluttamisen vai muita tekniikoita

Todisteiden otteet

Suorat lainaukset käytännöstä näiden havaintojen tueksi

Uploaded content which may include personal information can be used to improve our services and algorithm.

LLM Model providers, we work with the following AI providers who have strong data protection policies and zero data retention agreements. Your data can be shared with these to perform LLM requests. Data is not used for training and is not retained after processing.

No purpose in this notice will require us keeping your personal information for longer than three (3) months past the termination of the user's account.

ElevenLabs, Inc., USA

debit/credit card numbers

When necessary, with your consent or as otherwise permitted by applicable law, we process the following categories of sensitive information: any potentially sensitive information contained within text or files (such as audio and video) that are submitted to the service.

Puuttuu tai epäselvä

  • Ei kuvailua kansainvälisten siirtojen suojatoimista (standardisoidut sopimusehdot, DPF, sitovat yrityssäännöt) Yhdysvaltoihin sijoittuville alihankkijoille
  • Ei kieltäytymismekanismia Klangin oman algoritmin parantamiseen liittyvälle käsittelylle käyttäjien lähettämillä sisällöillä
  • Ei selitystä siitä, miten herkän datan käsittelyn suostumus hankitaan käytännössä
  • Ei viittausta tietojenkäsittelyä koskevaan sopimukseen (DPA) B2B-asiakkaiden osalta
  • Ei mainintaa tietosuojavaikutusten arvioinnista (DPIA) huolimatta herkän ääni-/videodatan laajamittaisesta käsittelystä
  • Ei automaattista itsepalveluportaalia GDPR-oikeuksien käyttämiseen
  • Ei yksityiskohtia evästeiden luokista tai seurantatekniikoista (viitataan erilliseen Evästeilmoitukseen)

Kysyttävät kysymykset

  • Mitä erityistä siirron mekanismia (standardisoidut sopimusehdot, EU-Yhdysvallat-tietosuojakehyksen sertifiointi jne.) käytätte, kun jaatte äänitietoja ElevenLabsin kanssa Yhdysvalloissa?
  • Miten herkän ääni-/videosisällön käsittelyn suostumus hankitaan tarkalleen – tapahtuuko se lähetyshetkellä, rekisteröitymisprosessin aikana vai muualla?
  • Voivatko käyttäjät kieltäytyä siitä, että heidän lähettämänsä sisältöä käytetään Klangin omien algoritmien parantamiseen, ja jos ei, mikä on tämän käsittelyn oikeusperusta GDPR:n mukaan?
  • Keräättekö ja säilytättekö todella täydellisiä pankki-/luottokorttinumeroita omilla palvelimillanne, vai hoitaako Stripe kaikki korttitiedot tokenisoinnin avulla?
  • Mitä 'palveluidemme ja algoritmimme parantaminen' tarkalleen ottaen tarkoittaa – sisältääkö se mallien kouluttamisen käyttäjien lähettämällä ääni-/videosisällöllä?
  • Onko tietosuojavaikutusten arviointi (DPIA) saatavilla herkän ääni-/videodatan laajamittaisesta käsittelystä?
Tämän analyysin tuottaa tekoäly, eikä se ole oikeudellista neuvontaa. Kysy aina pätevältä juristilta vaatimustenmukaisuuspäätöksiin.

Jaa tämä analyysi

Kuka tahansa, jolla on tämä linkki, voi nähdä yllä olevan tuloksen.

DentroChatin rakentama

100 % eurooppalainen tekoälychat kaikille

Keskustele tekoälyn kanssa, käsittele tiedostoja, luo kuvia ja hae verkosta. Tiedot pysyvät Euroopassa.

EU:ssa isännöity infrastruktuuriTeksti, tiedostot, kuvat ja verkkohakuNopea-, Ajattelu- ja Luova-tilatTietosuoja ensin oletuksenaTiedot eivät poistu Euroopasta
Kokeile ilmaiseksi →

Muut analysoidut tietosuojakäytännöt

Näytä kaikki