app.klang.ai — 62/100 (Rischio privacy medio)
Ultima analisi
Klang AI AB · klang.ai
Dettagli del report
Rischio privacy medioKlang AI raccoglie contenuti audio e video potenzialmente sensibili, li condivide con più fornitori di AI e si riserva il diritto di utilizzare i dati caricati per migliorare i propri algoritmi senza offrire la possibilità di opposizione, anche se mantiene la maggior parte dell'elaborazione nell'UE e applica accordi di conservazione zero con i sub-fornitori di AI.
Klang AI AB, un servizio svedese di trascrizione AI e registrazione di riunioni, elabora un'ampia gamma di dati personali, inclusi contenuti potenzialmente sensibili provenienti da file audio/video. La policy è lodevolmente trasparente sui sub-fornitori e ha accordi di conservazione zero con i fornitori di LLM e Speech AI. Tuttavia, afferma di avere il diritto di utilizzare i contenuti caricati per migliorare i propri algoritmi senza un chiaro meccanismo di opposizione, raccoglie direttamente i numeri delle carte di credito (nonostante l'uso di Stripe) e trasferisce dati a almeno un fornitore statunitense (ElevenLabs) senza descrivere le misure di salvaguardia del trasferimento. La conservazione è limitata a tre mesi dopo la chiusura dell'account, il che è relativamente robusto.
Valutazione per categoria
Suddivisione dell'informativa nelle principali aree di conformità. Buono = solido, discreto = misto, scarso = preoccupante.
Raccoglie direttamente i numeri delle carte di credito/debito nonostante l'uso di Stripe come fornitore di pagamenti, e definisce in modo ampio i dati raccoglibili per includere qualsiasi informazione personale nei file audio, video o di testo caricati.
Elenca chiaramente tutti i sub-fornitori per nome, scopo e posizione; afferma esplicitamente gli accordi di conservazione zero con i fornitori di AI; policy strutturata con un riassunto utile.
L'elenco dettagliato dei sub-fornitori è divulgato, ma i dati vengono trasferiti a almeno un fornitore statunitense (ElevenLabs) senza salvaguardie di trasferimento, e partner di integrazione come Slack, Dropbox, HubSpot sono anch'essi con sede negli USA.
ElevenLabs (USA) riceve dati audio per l'AI vocale, e diversi partner di integrazione hanno sede negli USA, ma la policy non menziona affatto le Clausole Contrattuali Standard, le decisioni di adeguatezza o altre salvaguardie del Capitolo V.
I fornitori di LLM e Speech AI terzi sono contrattualmente vietati dall'addestrare o conservare i dati degli utenti, ma Klang stessa si riserva il diritto di utilizzare i contenuti caricati per migliorare i propri algoritmi senza un meccanismo di opposizione.
I diritti GDPR (accesso, rettifica, cancellazione, limitazione, portabilità, opposizione) sono elencati con link all'autorità di vigilanza, ma non esiste un meccanismo self-service automatizzato: gli utenti devono inviare un'email a support@klang.ai.
Risultati chiave
Clausole rilevanti, problemi o buone pratiche individuate (critici per primi)
Miglioramento degli algoritmi sui dati degli utenti senza possibilità di opposizione
La Sezione 2 afferma: 'I contenuti caricati che possono includere informazioni personali possono essere utilizzati per migliorare i nostri servizi e algoritmi.' Questo significa che Klang può utilizzare contenuti audio/video potenzialmente sensibili per addestrare o perfezionare i propri modelli. Non viene offerta alcuna possibilità di opposizione e la base giuridica per questa elaborazione non è chiara: non è elencata separatamente nella Sezione 3 sulle basi giuridiche. Per un servizio di trascrizione AI che gestisce registrazioni di riunioni, questo è un problema significativo.
Trasferimento di dati negli USA senza salvaguardie documentate
ElevenLabs, Inc. è elencata come fornitore di Speech AI con sede negli USA. I dati audio vengono condivisi con ElevenLabs per la trascrizione e l'identificazione dei relatori. La policy non menziona le Clausole Contrattuali Standard, una certificazione EU-US Data Privacy Framework o qualsiasi altro meccanismo di trasferimento del Capitolo V del GDPR. Questa è una lacuna di conformità che potrebbe esporre Klang a rischi di sanzioni.
Numeri delle carte di credito/debito raccolti direttamente
La Sezione 1 elenca 'numeri delle carte di credito/debito' tra le informazioni personali raccolte. Poiché Klang utilizza Stripe come fornitore di pagamenti, i numeri completi delle carte non dovrebbero mai raggiungere i server di Klang. La raccolta e la conservazione dei numeri delle carte creerebbero un rischio di sicurezza non necessario e probabilmente violerebbero lo standard PCI DSS e il principio di minimizzazione dei dati.
Il meccanismo di consenso per l'elaborazione di dati sensibili è vago
La Sezione 1 riconosce l'elaborazione di 'informazioni potenzialmente sensibili contenute in file di testo o audio/video' e afferma che ciò viene fatto 'con il tuo consenso o come altrimenti consentito dalla legge applicabile.' Tuttavia, la policy non descrive come viene ottenuto il consenso: se al momento del caricamento, della creazione dell'account o tramite un altro meccanismo. Per un servizio la cui funzione principale prevede l'elaborazione di audio/video di riunioni, questa mancanza di specificità è preoccupante.
Gli accordi di conservazione zero con i sub-fornitori di AI sono un punto positivo notevole
La policy afferma esplicitamente che i fornitori di LLM (Scaleway, Mistral, Microsoft Irlanda, AWS Europa, Berget AI) e i fornitori di Speech AI (ElevenLabs, Pyannote) operano con accordi di conservazione zero in cui 'I dati non vengono utilizzati per l'addestramento e non vengono conservati dopo l'elaborazione' e 'I dati audio non vengono utilizzati per l'addestramento e vengono eliminati immediatamente dopo l'elaborazione.' Questo è un livello di trasparenza superiore alla media per un servizio di AI.
Il limite di conservazione breve è degno di nota
La Sezione 6 afferma: 'Nessuno scopo in questo avviso richiederà che conserviamo le tue informazioni personali per più di tre (3) mesi dopo la chiusura dell'account dell'utente.' Questo è un periodo di conservazione relativamente breve e chiaramente definito, che è positivo per la conformità al GDPR.
Sintesi per l'utente
Le registrazioni e le trascrizioni delle tue riunioni potrebbero essere utilizzate per addestrare gli algoritmi di Klang, e alcuni dei tuoi dati vengono trasferiti a un'azienda statunitense di AI vocale senza spiegare le salvaguardie legali, ma i fornitori di AI terzi sono contrattualmente vincolati a non conservare o addestrare i tuoi dati.
Postura di conformità
Klang AI dimostra una parziale conformità al Regolamento Generale sulla Protezione dei Dati (GDPR): identifica le basi giuridiche, elenca i sub-fornitori con specificità e limita la conservazione. Tuttavia, presenta lacune riguardo alle salvaguardie per i trasferimenti internazionali, manca di un chiaro meccanismo di opposizione per l'elaborazione volta al miglioramento dei propri algoritmi e raccoglie dati delle carte di pagamento che probabilmente non dovrebbe conservare direttamente. Non viene fatto riferimento a un Data Processing Agreement (DPA) né a una Valutazione d'Impatto sulla Protezione dei Dati (DPIA).
Trasferimenti UE
La maggior parte dell'elaborazione avviene all'interno dell'UE/SEE (Scaleway in Francia, Mistral in Francia, Microsoft Irlanda, AWS Europa, Berget AI in Svezia, Pyannote in Francia). Tuttavia, ElevenLabs Inc. ha sede negli Stati Uniti e la policy non menziona meccanismi di trasferimento come le Clausole Contrattuali Standard o una decisione di adeguatezza. Questo rappresenta una lacuna di conformità ai sensi del Capitolo V del GDPR.
Segnali rilevati
Dati e pratiche specifiche identificate nel testo
Estratti probatori
Citazioni dirette dall'informativa a supporto di questi risultati
Uploaded content which may include personal information can be used to improve our services and algorithm.
LLM Model providers, we work with the following AI providers who have strong data protection policies and zero data retention agreements. Your data can be shared with these to perform LLM requests. Data is not used for training and is not retained after processing.
No purpose in this notice will require us keeping your personal information for longer than three (3) months past the termination of the user's account.
ElevenLabs, Inc., USA
debit/credit card numbers
When necessary, with your consent or as otherwise permitted by applicable law, we process the following categories of sensitive information: any potentially sensitive information contained within text or files (such as audio and video) that are submitted to the service.
Mancante o poco chiaro
- Nessuna descrizione delle salvaguardie per i trasferimenti internazionali (Clausole Contrattuali Standard, Quadro di Privacy UE-USA, Regole Aziendali Vincolanti) per i sub-fornitori con sede negli USA
- Nessun meccanismo di opposizione per il miglioramento degli algoritmi di Klang utilizzando i contenuti caricati
- Nessuna spiegazione su come viene ottenuto il consenso per l'elaborazione di dati sensibili nella pratica
- Nessun riferimento a un Data Processing Agreement (DPA) per i clienti B2B
- Nessun riferimento a una Valutazione d'Impatto sulla Protezione dei Dati (DPIA) nonostante l'elaborazione su larga scala di audio/video sensibili
- Nessun portale self-service automatizzato per l'esercizio dei diritti GDPR
- Nessun dettaglio sulle categorie di cookie o sulle tecnologie di tracciamento (rimandato all'Informativa sui Cookie separata)
Domande da porre
- Quale meccanismo di trasferimento specifico (Clausole Contrattuali Standard, certificazione Quadro di Privacy UE-USA, ecc.) utilizzate quando condividete i dati audio con ElevenLabs negli Stati Uniti?
- In che modo esattamente viene ottenuto il consenso per l'elaborazione di contenuti audio/video sensibili: al momento del caricamento, durante la procedura di registrazione o altrove?
- Gli utenti possono opporsi all'utilizzo dei contenuti caricati per migliorare gli algoritmi di Klang e, in caso contrario, qual è la base giuridica per questa elaborazione ai sensi del GDPR?
- Raccogliete e conservate effettivamente i numeri completi delle carte di credito/debito sui vostri server, o Stripe gestisce tutti i dati delle carte tramite tokenizzazione?
- Cosa comporta esattamente 'migliorare i nostri servizi e algoritmi': questo prevede l'addestramento di modelli di machine learning sui contenuti audio/video caricati dagli utenti?
- È disponibile una Valutazione d'Impatto sulla Protezione dei Dati per l'elaborazione su larga scala di contenuti audio/video sensibili?
Condividi questa analisi
Chiunque abbia questo link può visualizzare il risultato sopra.
Realizzato da DentroChat
Chat IA 100% europea per tutti
Chatta con l'IA, lavora con file, genera immagini e cerca sul web. I dati restano in Europa.
Altre policy privacy analizzate
Vedi tuttecursor.com
62/100
Rischio privacy medioCursor (Anysphere) promette di non utilizzare gli input del codice per l'addestramento dell'IA per impostazione predefinita e non vende i tuoi dati, ma raccoglie una vasta gamma di dati personali e di utilizzo, li trasferisce negli Stati Uniti con vaghe garanzie di trasferimento e lascia dettagli chiave come i periodi di conservazione e le basi giuridiche non specificati.
Visualizza report →eustella.com
62/100
Rischio privacy medioeustella fa forti promesse sulla privacy — nessuna vendita di dati, nessuna condivisione con terze parti, nessun addestramento dell'IA sui tuoi dati e tutta l'elaborazione rimane nell'UE — ma questo è materiale marketing, non un'informativa sulla privacy vincolante, e i dettagli critici su raccolta dei dati, conservazione, sub-responsabili e diritti degli utenti sono assenti dal testo fornito.
Visualizza report →lhv.com
62/100
Rischio privacy medioLHV Bank raccoglie una vasta gamma di dati personali e finanziari, li condivide ampiamente con agenzie di prevenzione delle frodi e intermediari di pagamento, e si affida pesantemente all'interesse legittimo per il marketing e l'analisi, ma copre i diritti RGPD (GDPR) e utilizza la revisione manuale per le decisioni di profilazione.
Visualizza report →cake.com
62/100
Rischio privacy medioCAKE.com fornisce diritti sui dati standard dell'UE e misure di salvaguardia per i trasferimenti, ma raccoglie dati di sorveglianza sul posto di lavoro altamente invasivi—come screenshot, posizione in background e utilizzo delle app—per conto dei datori di lavoro, che agiscono come titolari del trattamento per i propri dipendenti.
Visualizza report →