app.klang.ai — 62/100 (Gemiddeld privacyrisico)
Laatst geanalyseerd
Klang AI AB · klang.ai
Rapportdetails
Gemiddeld privacyrisicoKlang AI verzamelt mogelijk gevoelige audio- en videocontent, deelt deze met meerdere AI-aanbieders en behoudt zich het recht voor om uw geüploade gegevens te gebruiken om eigen algoritmes te verbeteren zonder een opt-out aan te bieden — hoewel de meeste verwerking binnen de EU plaatsvindt en er zero data retention-overeenkomsten zijn met AI-subverwerkers.
Klang AI AB, een Zweedse AI-transcriptie- en vergaderopnameservice, verwerkt een breed scala aan persoonsgegevens, waaronder mogelijk gevoelige inhoud uit audio-/videobestanden. Het beleid is lovenswaardig transparant over zijn subverwerkers en heeft zero data retention-overeenkomsten met LLM- en Speech AI-aanbieders. Het claimt echter het recht om geüploade inhoud te gebruiken om eigen algoritmes te verbeteren zonder een duidelijke opt-out, verzamelt creditcardnummers direct (ondanks het gebruik van Stripe) en verplaatst gegevens naar ten minste één Amerikaanse aanbieder (ElevenLabs) zonder de overdrachtswaarborgen te beschrijven. Bewaring is beperkt tot drie maanden na beëindiging van het account, wat relatief sterk is.
Beoordeling per categorie
Uitsplitsing van het beleid over belangrijke compliancegebieden. Goed = sterk, redelijk = gemengd, slecht = zorgwekkend.
Verzamelt creditcard-/debitcardnummers direct ondanks het gebruik van Stripe als betaalprovider, en definieert verzamelbare gegevens breed als alle persoonsgegevens in geüploade audio-, video- of tekstbestanden.
Vermeldt duidelijk alle subverwerkers met naam, doel en locatie; stelt expliciet zero data retention-overeenkomsten met AI-aanbieders; gestructureerd beleid met een nuttige samenvatting.
Uitgebreide lijst van subverwerkers wordt openbaar gemaakt met details, maar gegevens stromen naar ten minste één Amerikaanse aanbieder (ElevenLabs) zonder overdrachtswaarborgen, en integratiepartners zoals Slack, Dropbox, HubSpot zijn ook in de VS gevestigd.
ElevenLabs (VS) ontvangt audiodata voor spraak-AI, en meerdere integratiepartners zijn in de VS gevestigd, maar het beleid zwijgt volledig over SCC's, geschiktheidsbesluiten of andere Hoofdstuk V-waarborgen.
Derden LLM- en Speech AI-aanbieders zijn contractueel verboden om te trainen op of gegevens van gebruikers te bewaren, maar Klang zelf behoudt zich het recht voor om geüploade inhoud te gebruiken om eigen algoritmes te verbeteren zonder opt-out-mechanisme.
AVG-rechten (toegang, rectificatie, wissen, beperking, overdraagbaarheid, verzet) worden vermeld met links naar toezichthoudende autoriteiten, maar er is geen geautomatiseerd zelfbedieningsmechanisme — gebruikers moeten e-mailen naar support@klang.ai.
Belangrijkste bevindingen
Opvallende clausules, problemen of positieve praktijken (kritiek eerst)
Algoritmeverbetering op gebruikersgegevens zonder opt-out
Sectie 2 stelt: 'Geüploade inhoud die mogelijk persoonsgegevens bevat, kan worden gebruikt om onze diensten en algoritmes te verbeteren.' Dit betekent dat Klang mogelijk gevoelige audio-/videocontent kan gebruiken om eigen modellen te trainen of te verfijnen. Er wordt geen opt-out aangeboden, en de rechtsgrondslag voor deze verwerking is onduidelijk — deze wordt niet afzonderlijk vermeld in Sectie 3's rechtsgrondslagen. Voor een AI-transcriptiedienst die vergaderopnames verwerkt, is dit een aanzienlijke zorg.
Gegevensoverdracht naar de VS zonder gedocumenteerde waarborgen
ElevenLabs, Inc. staat vermeld als Speech AI-aanbieder gevestigd in de VS. Audiodata wordt gedeeld met ElevenLabs voor transcriptie en sprekersidentificatie. Het beleid vermeldt geen Standaardcontractuele bepalingen, een EU-VS Data Privacy Framework-certificering of een ander AVG Hoofdstuk V-overdrachtsmechanisme. Dit is een nalevingsgat dat Klang blootstelt aan handhavingsrisico.
Creditcard-/debitcardnummers direct verzameld
Sectie 1 noemt 'debit-/creditcardnummers' als verzamelde persoonsgegevens. Omdat Klang Stripe als betaalprovider gebruikt, zouden volledige kaartnummers nooit de servers van Klang moeten bereiken. Het verzamelen en opslaan van kaartnummers zou onnodige beveiligingsrisico's creëren en waarschijnlijk in strijd zijn met PCI DSS en het beginsel van gegevensminimalisatie.
Vage toestemmingsmechanisme voor verwerking van gevoelige gegevens
Sectie 1 erkent de verwerking van 'mogelijk gevoelige informatie in tekst of bestanden (zoals audio en video)' en stelt dat dit gebeurt 'met uw toestemming of zoals anders toegestaan door toepasselijke wetgeving.' Het beleid beschrijft echter niet hoe toestemming wordt verkregen — of dit bij het uploaden, bij het aanmaken van het account of via een apart mechanisme gebeurt. Voor een dienst waarvan de kernfunctie het verwerken van audio/video van vergaderingen inhoudt, is dit gebrek aan specificiteit zorgwekkend.
Zero data retention-overeenkomsten met AI-subverwerkers zijn een sterk positief punt
Het beleid stelt expliciet dat LLM-aanbieders (Scaleway, Mistral, Microsoft Ierland, AWS Europa, Berget AI) en Speech AI-aanbieders (ElevenLabs, Pyannote) opereren onder zero data retention-overeenkomsten waarbij 'Gegevens niet worden gebruikt voor training en niet worden bewaard na verwerking' en 'Audiodata niet wordt gebruikt voor training en direct na verwerking wordt gewist.' Dit is een bovengemiddelde transparantie voor een AI-service.
Korte bewaartermijn is opmerkelijk
Sectie 6 stelt: 'Geen doel in deze kennisgeving vereist dat wij uw persoonsgegevens langer dan drie (3) maanden na beëindiging van het account van de gebruiker bewaren.' Dit is een relatief korte en duidelijk gedefinieerde bewaartermijn, wat positief is voor AVG-naleving.
Samenvatting voor de gebruiker
Uw vergaderopnames en transcripties kunnen worden gebruikt om de eigen algoritmes van Klang te trainen, en een deel van uw gegevens stroomt naar een in de VS gevestigd spraak-AI-bedrijf zonder uitgelegde juridische waarborgen — maar derden-AI-aanbieders mogen contractueel geen gegevens bewaren of trainen op uw gegevens.
Nalevingshouding
Klang AI toont gedeeltelijke AVG (Algemene verordening gegevensbescherming)-naleving: het identificeert rechtsgrondslagen, noemt subverwerkers met specificiteit en beperkt de bewaartermijn. Er zijn echter hiaten rond internationale overdrachtswaarborgen, ontbreekt een duidelijke opt-out voor de eigen algoritmeverbeteringsverwerking en verzamelt het betalingskaartgegevens die het waarschijnlijk niet zelf zou moeten opslaan. Er is geen verwijzing naar een DPA (Data Processing Agreement) of DPIA (Data Protection Impact Assessment).
EU-overdrachten
De meeste verwerking blijft binnen de EU/EER (Scaleway in Frankrijk, Mistral in Frankrijk, Microsoft Ierland, AWS Europa, Berget AI in Zweden, Pyannote in Frankrijk). ElevenLabs Inc. is echter in de VS gevestigd, en het beleid zwijgt over overdrachtsmechanismen zoals Standaardcontractuele bepalingen of een geschiktheidsbesluit. Dit is een nalevingsgat onder AVG Hoofdstuk V.
Gedetecteerde signalen
Specifieke gegevens en praktijken geïdentificeerd in de tekst
Bewijsfragmenten
Directe citaten uit het beleid ter ondersteuning van deze bevindingen
Uploaded content which may include personal information can be used to improve our services and algorithm.
LLM Model providers, we work with the following AI providers who have strong data protection policies and zero data retention agreements. Your data can be shared with these to perform LLM requests. Data is not used for training and is not retained after processing.
No purpose in this notice will require us keeping your personal information for longer than three (3) months past the termination of the user's account.
ElevenLabs, Inc., USA
debit/credit card numbers
When necessary, with your consent or as otherwise permitted by applicable law, we process the following categories of sensitive information: any potentially sensitive information contained within text or files (such as audio and video) that are submitted to the service.
Ontbreekt of onduidelijk
- Geen beschrijving van internationale overdrachtswaarborgen (SCB's, DPF, BCR's) voor in de VS gevestigde subverwerkers
- Geen opt-out-mechanisme voor de eigen algoritmeverbetering van Klang met gebruikersinhoud
- Geen uitleg over hoe toestemming voor verwerking van gevoelige gegevens in de praktijk wordt verkregen
- Geen verwijzing naar een Data Processing Agreement (DPA) voor B2B-klanten
- Geen vermelding van een Data Protection Impact Assessment (DPIA) ondanks verwerking van gevoelige audio/video op grote schaal
- Geen geautomatiseerd zelfbedieningsportaal voor het uitoefenen van AVG-rechten
- Geen details over cookiecategorieën of trackingtechnologieën (verwijzing naar afzonderlijke Cookie Notice)
Vragen om te stellen
- Welk specifiek overdrachtsmechanisme (SCB's, EU-VS DPF-certificering, etc.) gebruikt u bij het delen van audiodata met ElevenLabs in de Verenigde Staten?
- Hoe wordt precies toestemming voor de verwerking van gevoelige audio-/videocontent verkregen — is dit bij het uploaden, in het aanmeldproces of elders?
- Kunnen gebruikers ervoor kiezen om hun geüploade inhoud niet te laten gebruiken voor het verbeteren van de eigen algoritmes van Klang, en zo niet, wat is de rechtsgrondslag voor deze verwerking onder de AVG?
- Verzamelt en slaat u daadwerkelijk volledige debit-/creditcardnummers op uw eigen servers op, of verwerkt Stripe alle kaartgegevens via tokenisatie?
- Wat houdt 'verbeteren van onze diensten en algoritmes' precies in — omvat dit het trainen van machine learning-modellen op door gebruikers geüploade audio-/videocontent?
- Is een Data Protection Impact Assessment beschikbaar voor de verwerking van gevoelige audio-/videocontent op grote schaal?
Deel deze analyse
Iedereen met deze link kan het resultaat hierboven bekijken.
Gebouwd door DentroChat
100% Europese AI-chat voor iedereen
Chat met AI, werk met bestanden, genereer afbeeldingen en zoek op het web. Gegevens blijven in Europa.
Andere geanalyseerde privacyverklaringen
Alles bekijkencursor.com
62/100
Gemiddeld privacyrisicoCursor (Anysphere) belooft je code-invoer standaard niet te gebruiken voor AI-training en verkoopt je gegevens niet, maar het verzamelt een breed scala aan persoonlijke en gebruiksgegevens, stuurt deze naar de VS met vage overdrachtswaarborgen, en laat belangrijke details zoals bewaartermijnen en rechtsgronden ongespecificeerd.
Bekijk rapport →eustella.com
62/100
Gemiddeld privacyrisicoeustella doet sterke privacybeloften — geen verkoop van gegevens, geen delen met derden, geen AI-training op jouw gegevens, en alle verwerking blijft binnen de EU — maar dit is marketingtekst, geen bindend privacybeleid, en cruciale details over gegevensverzameling, bewaartermijnen, sub-verwerkers en gebruikersrechten ontbreken in de verstrekte tekst.
Bekijk rapport →lhv.com
62/100
Gemiddeld privacyrisicoLHV Bank verzamelt een uitgebreid scala aan persoonlijke en financiële gegevens, deelt deze breed met fraudepreventiebureaus en betalingsintermediairs, en leunt zwaar op gerechtvaardigd belang voor marketing en analyses — maar het behandelt wel AVG-rechten en gebruikt handmatige beoordeling voor profileringbeslissingen.
Bekijk rapport →cake.com
62/100
Gemiddeld privacyrisicoCAKE.com biedt standaard EU-gegevensrechten en overdrachtswaarborgen, maar verzamelt namens werkgevers, die optreden als de verwerkingsverantwoordelijken voor hun werknemers, zeer inbreukmakende werkpleksurveillancedata — zoals schermafbeeldingen, achtergrondlocatie en app-gebruik.
Bekijk rapport →