app.klang.ai — 62/100 (Risque moyen pour la vie privée)
Dernière analyse
Klang AI AB · klang.ai
Détails du rapport
Risque moyen pour la vie privéeKlang AI collecte des contenus audio et vidéo potentiellement sensibles, les partage avec plusieurs fournisseurs d'IA et se réserve le droit d'utiliser vos données téléversées pour améliorer ses propres algorithmes sans offrir de possibilité de refus — bien qu'elle maintienne la plupart des traitements dans l'UE et impose une rétention de données nulle avec ses sous-traitants IA.
Klang AI AB, un service suédois de transcription et d'enregistrement de réunions par IA, traite une large gamme de données personnelles, y compris des contenus potentiellement sensibles provenant de fichiers audio/vidéo. La politique est remarquablement transparente concernant ses sous-traitants et a des accords de rétention nulle avec les fournisseurs d'IA LLM et de reconnaissance vocale. Cependant, elle revendique le droit d'utiliser le contenu téléversé pour améliorer ses propres algorithmes sans possibilité claire de refus, collecte directement les numéros de cartes de crédit (malgré l'utilisation de Stripe) et transfère des données à au moins un fournisseur américain (ElevenLabs) sans décrire les garanties de transfert. La rétention est limitée à trois mois après la résiliation du compte, ce qui est relativement strict.
Évaluation par catégorie
Répartition de la politique selon les principaux domaines de conformité. Bon = solide, moyen = mitigé, faible = préoccupant.
Collecte directement les numéros de cartes de crédit/débit malgré l'utilisation de Stripe comme fournisseur de paiement, et définit de manière large les données collectables pour inclure toute information personnelle dans les fichiers audio, vidéo ou texte téléversés.
Liste clairement tous les sous-traitants par nom, objectif et localisation ; indique explicitement des accords de rétention nulle avec les fournisseurs d'IA ; politique structurée avec un résumé utile.
La liste détaillée des sous-traitants est divulguée, mais les données sont transférées à au moins un fournisseur américain (ElevenLabs) sans garanties de transfert, et des partenaires d'intégration comme Slack, Dropbox, HubSpot sont également basés aux États-Unis.
ElevenLabs (États-Unis) reçoit des données audio pour l'IA vocale, et plusieurs partenaires d'intégration sont basés aux États-Unis, mais la politique ne mentionne pas les Clauses Contractuelles Types, les décisions d'adéquation ou toute autre garantie du chapitre V.
Les fournisseurs tiers de LLM et d'IA vocale sont contractuellement interdits d'entraîner ou de conserver les données des utilisateurs, mais Klang se réserve le droit d'utiliser le contenu téléversé pour améliorer ses propres algorithmes sans mécanisme de refus.
Les droits du RGPD (accès, rectification, effacement, restriction, portabilité, opposition) sont listés avec des liens vers les autorités de contrôle, mais il n'existe pas de mécanisme automatisé en libre-service — les utilisateurs doivent envoyer un e-mail à support@klang.ai.
Constats clés
Clauses notables, problèmes ou bonnes pratiques identifiées (critiques en premier)
Amélioration des algorithmes avec les données des utilisateurs sans possibilité de refus
La section 2 indique : 'Le contenu téléversé, qui peut inclure des informations personnelles, peut être utilisé pour améliorer nos services et algorithmes.' Cela signifie que Klang peut utiliser des contenus audio/vidéo potentiellement sensibles pour entraîner ou affiner ses propres modèles. Aucune possibilité de refus n'est offerte, et la base légale de ce traitement n'est pas clairement indiquée — elle n'est pas séparément listée dans les bases légales de la section 3. Pour un service de transcription IA traitant des enregistrements de réunions, cela représente une préoccupation majeure.
Transfert de données vers les États-Unis sans garanties documentées
ElevenLabs, Inc. est listée comme fournisseur d'IA vocale basé aux États-Unis. Les données audio sont partagées avec ElevenLabs pour la transcription et l'identification des locuteurs. La politique ne mentionne pas les Clauses Contractuelles Types, une certification au cadre de protection des données UE-États-Unis, ou tout autre mécanisme de transfert du chapitre V du RGPD. Il s'agit d'une lacune de conformité qui pourrait exposer Klang à un risque de sanction.
Numéros de cartes de crédit/débit collectés directement
La section 1 liste les 'numéros de cartes de crédit/débit' comme informations personnelles collectées. Comme Klang utilise Stripe comme fournisseur de paiement, les numéros complets de cartes ne devraient jamais atteindre les serveurs de Klang. La collecte et le stockage des numéros de cartes créeraient un risque de sécurité inutile et violeraient probablement la norme PCI DSS et le principe de minimisation des données.
Le mécanisme de consentement pour le traitement des données sensibles est vague
La section 1 reconnaît le traitement d''informations potentiellement sensibles contenues dans des textes ou fichiers (tels que l'audio et la vidéo)' et indique que cela est fait 'avec votre consentement ou comme autorisé par la loi applicable.' Cependant, la politique ne décrit pas comment le consentement est obtenu — qu'il s'agisse au moment du téléversement, lors de la création du compte ou via un mécanisme séparé. Pour un service dont la fonction principale implique le traitement audio/vidéo de réunions, ce manque de spécificité est préoccupant.
Les accords de rétention nulle avec les sous-traitants IA constituent un point positif fort
La politique indique explicitement que les fournisseurs de LLM (Scaleway, Mistral, Microsoft Irlande, AWS Europe, Berget AI) et les fournisseurs d'IA vocale (ElevenLabs, Pyannote) opèrent sous des accords de rétention nulle où 'les données ne sont pas utilisées pour l'entraînement et ne sont pas conservées après le traitement' et 'les données audio ne sont pas utilisées pour l'entraînement et sont supprimées immédiatement après le traitement.' Il s'agit d'une transparence au-dessus de la moyenne pour un service d'IA.
La limite de rétention courte est remarquable
La section 6 indique : 'Aucune finalité dans cet avis ne nécessitera que nous conservions vos informations personnelles pendant plus de trois (3) mois après la résiliation du compte de l'utilisateur.' Il s'agit d'une période de rétention relativement courte et clairement définie, ce qui est positif pour la conformité au RGPD.
Synthèse pour l'utilisateur
Vos enregistrements et transcriptions de réunions pourraient être utilisés pour entraîner les algorithmes de Klang, et certaines de vos données sont transférées vers une entreprise américaine d'IA vocale sans garantie juridique expliquée — mais les fournisseurs tiers d'IA ne peuvent contractuellement ni conserver ni entraîner leurs modèles avec vos données.
Posture de conformité
Klang AI montre une conformité partielle au RGPD (Règlement Général sur la Protection des Données) : elle identifie les bases légales, liste les sous-traitants avec précision et limite la rétention. Cependant, elle présente des lacunes concernant les garanties de transfert international, manque de possibilité claire de refus pour le traitement d'amélioration de ses propres algorithmes et collecte des données de cartes de paiement qu'elle ne devrait probablement pas stocker directement. Aucune référence à un contrat de traitement de données (DPA) ou à une analyse d'impact relative à la protection des données (DPIA) n'est mentionnée.
Transferts UE
La plupart des traitements restent dans l'UE/EEE (Scaleway en France, Mistral en France, Microsoft Irlande, AWS Europe, Berget AI en Suède, Pyannote en France). Cependant, ElevenLabs Inc. est basée aux États-Unis, et la politique ne mentionne pas de mécanismes de transfert tels que les Clauses Contractuelles Types ou une décision d'adéquation. Il s'agit d'une lacune de conformité au titre du chapitre V du RGPD.
Signaux détectés
Données et pratiques spécifiques identifiées dans le texte
Extraits probants
Citations directes de la politique à l'appui de ces constats
Uploaded content which may include personal information can be used to improve our services and algorithm.
LLM Model providers, we work with the following AI providers who have strong data protection policies and zero data retention agreements. Your data can be shared with these to perform LLM requests. Data is not used for training and is not retained after processing.
No purpose in this notice will require us keeping your personal information for longer than three (3) months past the termination of the user's account.
ElevenLabs, Inc., USA
debit/credit card numbers
When necessary, with your consent or as otherwise permitted by applicable law, we process the following categories of sensitive information: any potentially sensitive information contained within text or files (such as audio and video) that are submitted to the service.
Manquant ou flou
- Aucune description des garanties de transfert international (Clauses Contractuelles Types, cadre de protection des données UE-États-Unis, Règles d'Entreprise Contraignantes) pour les sous-traitants basés aux États-Unis
- Aucun mécanisme de refus pour l'amélioration des algorithmes de Klang utilisant le contenu téléversé
- Aucune explication sur la manière dont le consentement pour le traitement des données sensibles est obtenu en pratique
- Aucune référence à un Contrat de Traitement de Données (DPA) pour les clients B2B
- Aucune mention d'une Analyse d'Impact relative à la Protection des Données (DPIA) malgré le traitement à grande échelle de données audio/vidéo sensibles
- Aucun portail en libre-service automatisé pour exercer les droits du RGPD
- Aucun détail sur les catégories de cookies ou les technologies de suivi (renvoyé à une Notice sur les Cookies séparée)
Questions à poser
- Quel mécanisme de transfert spécifique (Clauses Contractuelles Types, certification cadre de protection des données UE-États-Unis, etc.) utilisez-vous lorsque vous partagez des données audio avec ElevenLabs aux États-Unis ?
- Comment exactement le consentement pour le traitement des contenus audio/vidéo sensibles est-il obtenu — est-ce au moment du téléversement, dans le flux d'inscription, ou ailleurs ?
- Les utilisateurs peuvent-ils refuser que leur contenu téléversé soit utilisé pour améliorer les algorithmes de Klang, et si non, quelle est la base légale de ce traitement au regard du RGPD ?
- Collectez-vous et stockez-vous réellement les numéros complets de cartes de crédit/débit sur vos propres serveurs, ou Stripe gère-t-il toutes les données de cartes via la tokenisation ?
- Que signifie 'améliorer nos services et algorithmes' — cela implique-t-il l'entraînement de modèles de machine learning sur le contenu audio/vidéo téléversé par les utilisateurs ?
- Une Analyse d'Impact relative à la Protection des Données est-elle disponible pour le traitement à grande échelle de contenus audio/vidéo sensibles ?
Partager cette analyse
Toute personne disposant de ce lien peut consulter le résultat ci-dessus.
Conçu par DentroChat
Chat IA 100 % européen pour tous
Discutez avec l'IA, travaillez avec des fichiers, générez des images et cherchez sur le web. Les données restent en Europe.
Autres politiques de confidentialité analysées
Tout affichercursor.com
62/100
Risque moyen pour la vie privéeCursor (Anysphere) promet de ne pas utiliser vos entrées de code pour l'entraînement de l'IA par défaut et ne vend pas vos données, mais il collecte une large gamme de données personnelles et d'utilisation, les envoie aux États-Unis avec des garanties de transfert floues, et laisse des détails clés comme les périodes de conservation et les bases légales non spécifiés.
Voir le rapport →eustella.com
62/100
Risque moyen pour la vie privéeeustella fait de fortes promesses en matière de confidentialité — aucune vente de données, aucun partage avec des tiers, aucun entraînement d'IA sur vos données, et tout le traitement reste dans l'UE — mais il s'agit d'un texte marketing, et non d'une politique de confidentialité contraignante, et des détails cruciaux sur la collecte des données, la conservation, les sous-traitants et les droits des utilisateurs sont absents du texte fourni.
Voir le rapport →lhv.com
62/100
Risque moyen pour la vie privéeLHV Bank collecte une vaste gamme de données personnelles et financières, les partage largement avec des agences de prévention de la fraude et des intermédiaires de paiement, et s'appuie fortement sur l'intérêt légitime pour le marketing et l'analyse — mais elle couvre les droits du RGPD et utilise un examen manuel pour les décisions de profilage.
Voir le rapport →cake.com
62/100
Risque moyen pour la vie privéeCAKE.com fournit des droits sur les données standard pour l'UE et des garanties de transfert, mais collecte des données de surveillance sur le lieu de travail très intrusives — comme des captures d'écran, la localisation en arrière-plan et l'utilisation des applications — au nom des employeurs, qui agissent en tant que responsables du traitement pour leurs employés.
Voir le rapport →