app.klang.ai — 62/100 (Közepes adatvédelmi kockázat)
Utolsó elemzés
Klang AI AB · klang.ai
Jelentés részletei
Közepes adatvédelmi kockázatA Klang AI gyűjti a potenciálisan érzékeny hang- és videotartalmakat, megosztja azokat több AI-szolgáltatóval, és fenntartja a jogot, hogy a feltöltött adataidat saját algoritmusainak fejlesztésére használja opt-out lehetőség nélkül – bár a legtöbb feldolgozást az EU-n belül végzi, és a nullás adattárolási kötelezettséget érvényesíti AI-albeszállítóival.
A Klang AI AB, egy svéd AI-átírást és találkozófelvételt biztosító szolgáltatás, széles körű személyes adatok feldolgozását végzi, beleértve a potenciálisan érzékeny tartalmakat hang- és videofájlokból. Az adatvédelmi irányelv kimagaslóan átlátszó a albeszállítóival kapcsolatban, és nullás adattárolási megállapodásai vannak az LLM- és beszéd-AI-szolgáltatókkal. Ugyanakkor jogot tart fenn a feltöltött tartalmak saját algoritmusainak fejlesztésére való használatára opt-out lehetőség nélkül, közvetlenül gyűjti a hitelkártyaszámokat (a Stripe használata ellenére), és adatot küld legalább egy amerikai szolgáltatónak (ElevenLabs) anélkül, hogy az átviteli védelmi intézkedéseket leírná. Az adattárolás maximum három hónap a fiók törlése után, ami viszonylag erős.
Kategória szerinti értékelés
A szabályzat bontása a fő megfelelőségi területekre. Jó = erős, közepes = vegyes, gyenge = aggasztó.
Közvetlenül gyűjti a hitel-/bankkártyaszámokat a Stripe fizetési szolgáltató használata ellenére, és széles körűen definiálja a gyűjthető adatokat, beleértve bármely személyes információt a feltöltött hang-, videó- vagy szöveges fájlokban.
Világosan felsorolja az összes albeszállítót név, cél és hely szerint; kifejezetten kijelenti, hogy nullás adattárolási megállapodásai vannak az AI-szolgáltatókkal; strukturált irányelv hasznos összefoglalóval.
A részletes albeszállítói lista nyílt, de az adatok legalább egy amerikai szolgáltatóhoz (ElevenLabs) áramlanak átviteli védelmi intézkedések nélkül, és az integrációs partnerek, például a Slack, Dropbox, HubSpot szintén amerikai székhelyűek.
Az ElevenLabs (USA) hangadatot kap beszéd-AI célokra, és több integrációs partner is amerikai székhelyű, de az irányelv teljesen hallgat az SCC-kről, az adequacy decisionről vagy bármely más V. fejezeti védelmi intézkedésről.
A harmadik fél LLM- és beszéd-AI-szolgáltatók szerződésesen tiltva vannak attól, hogy a felhasználói adatokon képzzenek vagy tároljanak adatot, de a Klang magának fenntartja a jogot, hogy a feltöltött tartalmakat saját algoritmusainak fejlesztésére használja opt-out mechanizmus nélkül.
A GDPR jogok (hozzáférés, javítás, törlés, korlátozás, hordozhatóság, tiltakozás) felsorolva vannak a felügyelő hatóságok linkjeivel, de nincs automatizált önkiszolgálási mechanizmus – a felhasználóknak a support@klang.ai címre kell írniuk.
Fő megállapítások
Fontos záradékok, problémák vagy jó gyakorlatok (kritikusak először)
Algoritmusfejlesztés felhasználói adatokon opt-out nélkül
A 2. szakasz szerint: 'A feltöltött tartalom, amely személyes információkat tartalmazhat, használható a szolgáltatásaink és algoritmusaink fejlesztésére.' Ez azt jelenti, hogy a Klang potenciálisan érzékeny hang-/videotartalmakat használhat a saját modellek képzésére vagy finomhangolására. Nincs opt-out lehetőség, és a feldolgozás jogi alapja nem egyértelmű – nem szerepel külön a 3. szakasz jogi alapjai között. Egy AI-átírást biztosító szolgáltatás számára, amely találkozófelvételeket kezel, ez jelentős aggodalomra okot ad.
Amerikai adattranszfer dokumentált védelmi intézkedések nélkül
Az ElevenLabs, Inc. beszéd-AI-szolgáltatóként az USA-ban van bejegyezve. Hangadatok kerülnek megosztásra az ElevenLabs-szel átírást és beszélőazonosítást célzóan. Az irányelv nem említ Szabványos Szerződéses Záradékokat, EU-USA Adatvédelmi Keretrendszer (DPF) tanúsítványt vagy bármely más GDPR V. fejezeti átviteli mechanizmust. Ez egy megfelelőségi hiány, amely kiteheti a Klangot a jogi szankciók veszélyének.
Hitel-/bankkártyaszámok közvetlen gyűjtése
Az 1. szakaszban a 'bank-/hitelkártyaszámok' szerepelnek a gyűjtött személyes információk között. Mivel a Klang a Stripe-ot használja fizetési szolgáltatóként, a teljes kártyaszámok soha nem kerülhetnek a Klang szervereire. A kártyaszámok gyűjtése és tárolása felesleges biztonsági kockázatot jelentene, és valószínűleg megsérti a PCI DSS-t és az adatminimalizáció elvét.
Az érzékeny adatok feldolgozásához való hozzájárulás mechanizmusa homályos
Az 1. szakasz elismeri, hogy 'potenciálisan érzékeny információkat dolgoz fel szöveges vagy fájlformátumban (például hang- és videóban)', és azt állítja, hogy ez 'a hozzájárulásoddal vagy az alkalmazandó törvény más módon engedélyezett feltételei alapján' történik. Azonban az irányelv nem írja le, hogyan szerezik be a hozzájárulást – feltöltéskor, fióklétrehozáskor vagy más módon. Egy olyan szolgáltatás számára, amelynek fő funkciója a találkozók hang- és videóanyagainak feldolgozása, ez a hiányosság aggodalomra okot ad.
Nullás adattárolási megállapodások az AI-albeszállítókkal pozitívum
Az irányelv kifejezetten kijelenti, hogy az LLM-szolgáltatók (Scaleway, Mistral, Microsoft Írország, AWS Európa, Berget AI) és a beszéd-AI-szolgáltatók (ElevenLabs, Pyannote) nullás adattárolási megállapodások alatt működnek, ahol 'Az adatok nem használhatók képzésre, és nem tárolhatók a feldolgozás után' és 'A hangadatok nem használhatók képzésre, és azonnal törlendők a feldolgozás után.' Ez átlag feletti átláthatóság egy AI-szolgáltatás számára.
Rövid adattárolási korlát figyelemre méltó
A 6. szakasz szerint: 'Ezen irányelv egyik célja sem igényli, hogy a személyes adataidat három (3) hónapnál tovább tároljuk a felhasználói fiók törlése után.' Ez egy viszonylag rövid és világosan meghatározott adattárolási időszak, ami pozitív a GDPR megfelelőség szempontjából.
Összefoglaló a felhasználónak
A találkozófelvételeid és átírásaid a Klang saját algoritmusainak fejlesztésére használhatók, és adataid egy részének egy amerikai beszéd-AI-céghez való áramlása nincs jogi védelemmel ellátva – de a harmadik fél AI-szolgáltatói szerződésesen nem tárolhatják vagy nem képzhetik ki az adataidat.
Megfelelőségi helyzet
A Klang AI részleges GDPR (Általános Adatvédelmi Rendelet) megfelelőséget mutat: azonosítja a jogi alapokat, részletesen felsorolja az albeszállítókat, és korlátozza az adattárolást. Ugyanakkor hiányosságok vannak a nemzetközi átviteli védelmi intézkedések terén, hiányzik a világos opt-out lehetőség a saját algoritmusfejlesztési feldolgozáshoz, és gyűjti a fizetőkártya-adatokat, amiket valószínűleg nem kellene közvetlenül tárolnia. Nincs utalás Adatfeldolgozási Megállapodásra (DPA) vagy Adatvédelmi Hatásvizsgálatra (DPIA).
EU-s átvitelek
A feldolgozás nagy része az EU/EGT területén marad (Scaleway Franciaországban, Mistral Franciaországban, Microsoft Írországban, AWS Európa, Berget AI Svédországban, Pyannote Franciaországban). Azonban az ElevenLabs Inc. amerikai székhelyű, és az irányelv hallgat az átviteli mechanizmusokról, például a Szabványos Szerződéses Záradékokról (SCC) vagy az adequacy decisionről. Ez egy megfelelőségi hiány a GDPR V. fejezet szerint.
Észlelt jelek
A szövegben azonosított konkrét adatok és gyakorlatok
Bizonyító részletek
Közvetlen idézetek a szabályzatból e megállapítások alátámasztására
Uploaded content which may include personal information can be used to improve our services and algorithm.
LLM Model providers, we work with the following AI providers who have strong data protection policies and zero data retention agreements. Your data can be shared with these to perform LLM requests. Data is not used for training and is not retained after processing.
No purpose in this notice will require us keeping your personal information for longer than three (3) months past the termination of the user's account.
ElevenLabs, Inc., USA
debit/credit card numbers
When necessary, with your consent or as otherwise permitted by applicable law, we process the following categories of sensitive information: any potentially sensitive information contained within text or files (such as audio and video) that are submitted to the service.
Hiányzó vagy nem egyértelmű
- Nincs leírás a nemzetközi átviteli védelmi intézkedésekről (SCC, DPF, BCR) az amerikai albeszállítókkal kapcsolatban
- Nincs opt-out mechanizmus a Klang saját algoritmusfejlesztéséhez a feltöltött tartalmak használatával
- Nincs magyarázat arra, hogyan szerezik be a hozzájárulást az érzékeny adatok feldolgozásához a gyakorlatban
- Nincs utalás Adatfeldolgozási Megállapodásra (DPA) B2B ügyfelek számára
- Nincs említés Adatvédelmi Hatásvizsgálatra (DPIA) az érzékeny hang-/videóadatok nagy volumenű feldolgozása ellenére
- Nincs automatizált önkiszolgálási portál a GDPR jogok gyakorlására
- Nincsenek részletek a sütik kategóriáiról vagy követési technológiákról (lásd a külön Sütipolitika)
Felteendő kérdések
- Milyen konkrét átviteli mechanizmusra (SCC, EU-USA DPF tanúsítvány stb.) támaszkodik, amikor hangadatok megosztása történik az Egyesült Államokban lévő ElevenLabs-szel?
- Pontosan hogyan szerezik be a hozzájárulást az érzékeny hang-/videotartalom feldolgozásához – feltöltéskor, regisztrációkor vagy máshol?
- Lehet-e a felhasználók számára opt-out a feltöltött tartalmak Klang saját algoritmusainak fejlesztésére való használatából, és ha nem, mi a jogi alapja ennek a feldolgozásnak a GDPR szerint?
- Valóban gyűjti és tárolja a teljes bank-/hitelkártyaszámokat a saját szerverein, vagy a Stripe kezel minden kártyaadatot tokenizációval?
- Mit jelent a 'szolgáltatásaink és algoritmusaink fejlesztése' – ez magában foglalja-e a gépi tanulási modellek képzését a felhasználók által feltöltött hang-/videotartalmakon?
- Elérhető-e egy Adatvédelmi Hatásvizsgálat (DPIA) az érzékeny hang-/videóadatok nagy volumenű feldolgozásához?
Elemzés megosztása
Bárki, aki rendelkezik ezzel a linkkel, megtekintheti a fenti eredményt.
A DentroChat készítette
100%-ban európai AI chat mindenkinek
Csevegj AI-val, dolgozz fájlokkal, generálj képeket és keress a weben. Az adatok Európában maradnak.
További elemzett adatvédelmi irányelvek
Összes megtekintésecursor.com
62/100
Közepes adatvédelmi kockázatA Cursor (Anysphere) ígéretet tesz arra, hogy alapértelmezés szerint nem használja a kódbeviteli adataidat AI-képzésre, és nem adja el az adataidat, de széles körű személyes és használati adatokat gyűjt, azokat az Egyesült Államokba küldi homályos átviteli garanciákkal, és nem tisztázza kulcsfontosságú részleteket, mint a tárolási időtartamok vagy a jogi alapok.
Jelentés megtekintése →eustella.com
62/100
Közepes adatvédelmi kockázateustella erős adatvédelmi ígéreteket tesz — nem adnak el adatokat, nem osztanak meg harmadik féllel, nem képeznek AI-t az adataidból, és minden feldolgozás az EU-ban marad — de ez marketing szöveg, nem kötelező érvényű adatvédelmi szabályzat, és a kritikus részletek az adatgyűjtésről, adatmegőrzésről, al-feldolgozókról és felhasználói jogokról hiányoznak a megadott szövegből.
Jelentés megtekintése →lhv.com
62/100
Közepes adatvédelmi kockázatAz LHV Bank széles körű személyes és pénzügyi adatokat gyűjt, széles körben megosztja azokat csalásmegelőző ügynökségekkel és fizetési közvetítőkkel, valamint nagy mértékben támaszkodik a jogos érdekre marketing és elemzés céljából — de betartja a GDPR-jogokat, és kézi felülvizsgálatot alkalmaz a profilozási döntések esetén.
Jelentés megtekintése →cake.com
62/100
Közepes adatvédelmi kockázatA CAKE.com az EU standard adatok jogait és az adatok átvitelének védelmét biztosítja, de nagyon invazív munkahelyi megfigyelési adatokat gyűjt – például képernyőképeket, háttérben történő helymeghatározást és alkalmazások használatát – a munkaadók megbízásából, akik az alkalmazottaik adatait kezelik.
Jelentés megtekintése →