app.klang.ai — 62/100 (Średnie ryzyko prywatności)
Ostatnia analiza
Klang AI AB · klang.ai
Szczegóły raportu
Średnie ryzyko prywatnościKlang AI zbiera potencjalnie wrażliwe treści audio i wideo, udostępnia je wielu dostawcom AI oraz zastrzega sobie prawo do wykorzystywania przesłanych danych w celu ulepszania własnych algorytmów bez możliwości rezygnacji — chociaż większość przetwarzania odbywa się w UE, a z podwykonawcami AI obowiązują umowy o zerowym okresie przechowywania danych.
Klang AI AB, szwedzka usługa transkrypcji i nagrywania spotkań oparta na AI, przetwarza szeroki zakres danych osobowych, w tym potencjalnie wrażliwe treści z plików audio/wideo. Polityka jest godna pochwały pod względem transparentności dotyczącej podwykonawców i zawiera umowy o zerowym okresie przechowywania danych z dostawcami LLM i Speech AI. Jednak firma zastrzega sobie prawo do wykorzystywania przesłanych treści w celu ulepszania własnych algorytmów bez jasnej możliwości rezygnacji, zbiera numery kart kredytowych bezpośrednio (pomimo korzystania z Stripe) oraz przekazuje dane co najmniej jednemu dostawcy z USA (ElevenLabs) bez opisu zabezpieczeń transferu. Okres przechowywania jest ograniczony do trzech miesięcy po zakończeniu konta, co jest stosunkowo silnym zabezpieczeniem.
Ocena według kategorii
Podział polityki na kluczowe obszary zgodności. Dobry = silny, umiarkowany = mieszany, słaby = niepokojący.
Zbiera numery kart debetowych/kredytowych bezpośrednio, pomimo korzystania z Stripe jako dostawcy płatności, oraz szeroko definiuje zbierane dane, obejmując wszelkie dane osobowe w przesłanych plikach audio, wideo lub tekstowych.
Wyraźnie wymienia wszystkich podwykonawców według nazwy, celu i lokalizacji; jednoznacznie stwierdza, że z dostawcami AI obowiązują umowy o zerowym okresie przechowywania danych; polityka jest dobrze ustrukturyzowana z przydatnym podsumowaniem.
Szczegółowa lista podwykonawców jest ujawniona, ale dane trafiają co najmniej do jednego dostawcy z USA (ElevenLabs) bez zabezpieczeń transferu, a partnerzy integracyjni, tacy jak Slack, Dropbox, HubSpot, również mają siedzibę w USA.
ElevenLabs (USA) otrzymuje dane audio do celów AI mowy, a wielu partnerów integracyjnych ma siedzibę w USA, jednak polityka nie wspomina o Standardowych Klauzulach Umownych (SCCs), decyzjach o odpowiednim poziomie ochrony ani żadnych innych zabezpieczeniach z rozdziału V RODO.
Dostawcy zewnętrzni LLM i Speech AI są umownie zobowiązani do niekorzystania z danych użytkowników do trenowania ani ich przechowywania, ale Klang zastrzega sobie prawo do wykorzystywania przesłanych treści w celu ulepszania własnych algorytmów bez mechanizmu rezygnacji.
Prawa RODO (dostęp, sprostowanie, usunięcie, ograniczenie, przenoszenie, sprzeciw) są wymienione z linkami do organów nadzorczych, ale nie ma zautomatyzowanego mechanizmu samoobsługowego — użytkownicy muszą napisać na support@klang.ai.
Kluczowe ustalenia
Istotne klauzule, problemy lub dobre praktyki (krytyczne na początku)
Ulepszanie algorytmów na podstawie danych użytkowników bez możliwości rezygnacji
Sekcja 2 stwierdza: 'Przesłane treści, które mogą zawierać dane osobowe, mogą zostać wykorzystane do ulepszania naszych usług i algorytmów.' Oznacza to, że Klang może wykorzystywać potencjalnie wrażliwe treści audio/wideo do trenowania lub doskonalenia własnych modeli. Nie jest oferowana możliwość rezygnacji, a podstawa prawna tego przetwarzania nie jest wyraźnie określona — nie jest oddzielnie wymieniona w sekcji 3 dotyczącej podstaw prawnych. Dla usługi transkrypcji AI przetwarzającej nagrania spotkań jest to poważne zastrzeżenie.
Transfer danych do USA bez udokumentowanych zabezpieczeń
ElevenLabs, Inc. jest wymienione jako dostawca Speech AI z siedzibą w USA. Dane audio są udostępniane ElevenLabs w celu transkrypcji i identyfikacji mówców. Polityka nie wspomina o Standardowych Klauzulach Umownych (SCCs), certyfikacji w ramach Ram Ochrony Danych UE-USA (DPF) ani żadnym innym mechanizmie transferu z rozdziału V RODO. Jest to luka w zakresie zgodności, która może narażać Klang na ryzyko sankcji.
Numery kart debetowych/kredytowych zbierane bezpośrednio
Sekcja 1 wymienia 'numery kart debetowych/kredytowych' jako zbierane dane osobowe. Ponieważ Klang korzysta z Stripe jako dostawcy płatności, pełne numery kart nie powinny nigdy docierać do serwerów Klang. Zbieranie i przechowywanie numerów kart stwarzałoby niepotrzebne ryzyko bezpieczeństwa i prawdopodobnie naruszałoby standard PCI DSS oraz zasadę minimalizacji danych.
Mechanizm uzyskiwania zgody na przetwarzanie wrażliwych danych jest niejasny
Sekcja 1 przyznaje, że przetwarza 'potencjalnie wrażliwe informacje zawarte w plikach tekstowych lub audio/wideo' i stwierdza, że odbywa się to 'z Twoją zgodą lub w inny sposób dozwolony przez obowiązujące prawo.' Polityka nie opisuje jednak, w jaki sposób uzyskiwana jest zgoda — czy podczas przesyłania, zakładania konta, czy za pośrednictwem oddzielnego mechanizmu. Dla usługi, której główną funkcją jest przetwarzanie audio/wideo spotkań, brak szczegółowości jest niepokojący.
Umowy o zerowym okresie przechowywania danych z podwykonawcami AI to mocna zaleta
Polityka jednoznacznie stwierdza, że dostawcy LLM (Scaleway, Mistral, Microsoft Irlandia, AWS Europa, Berget AI) i dostawcy Speech AI (ElevenLabs, Pyannote) działają na podstawie umów o zerowym okresie przechowywania danych, w ramach których 'Dane nie są wykorzystywane do trenowania i nie są przechowywane po przetworzeniu' oraz 'Dane audio nie są wykorzystywane do trenowania i są usuwane natychmiast po przetworzeniu.' Jest to powyżej przeciętna transparentność dla usługi AI.
Krótki limit przechowywania danych jest godny uwagi
Sekcja 6 stwierdza: 'Żaden cel wymieniony w niniejszym powiadomieniu nie będzie wymagał od nas przechowywania Twoich danych osobowych przez okres dłuższy niż trzy (3) miesiące po zakończeniu konta użytkownika.' Jest to stosunkowo krótki i jasno zdefiniowany okres przechowywania, co jest pozytywne dla zgodności z RODO.
Podsumowanie dla użytkownika
Twoje nagrania spotkań i transkrypcje mogą zostać wykorzystane do trenowania własnych algorytmów Klang, a część Twoich danych trafia do amerykańskiej firmy zajmującej się AI mowy bez wyjaśnionych zabezpieczeń prawnych — jednak dostawcy AI zewnętrzni na mocy umów nie mogą przechowywać ani trenować na Twoich danych.
Postawa zgodności
Klang AI wykazuje częściową zgodność z RODO (Ogólnym Rozporządzeniem o Ochronie Danych Osobowych): identyfikuje podstawy prawne, wymienia podwykonawców z precyzją i ogranicza okres przechowywania. Istnieją jednak luki dotyczące zabezpieczeń międzynarodowych transferów, braku jasnej możliwości rezygnacji z przetwarzania w celu ulepszania własnych algorytmów oraz zbierania danych kart płatniczych, których prawdopodobnie nie powinno się przechowywać bezpośrednio. Nie ma odniesień do umowy powierzenia przetwarzania danych (DPA) ani oceny wpływu na ochronę danych (DPIA).
Transfery UE
Większość przetwarzania odbywa się w UE/EOG (Scaleway we Francji, Mistral we Francji, Microsoft Irlandia, AWS Europa, Berget AI w Szwecji, Pyannote we Francji). Jednak ElevenLabs Inc. ma siedzibę w USA, a polityka nie wspomina o mechanizmach transferu, takich jak Standardowe Klauzule Umowne (SCCs) czy decyzja o odpowiednim poziomie ochrony. Jest to luka w zakresie zgodności z rozdziałem V RODO.
Wykryte sygnały
Konkretne dane i praktyki zidentyfikowane w tekście
Fragmenty dowodowe
Bezpośrednie cytaty z polityki potwierdzające te ustalenia
Uploaded content which may include personal information can be used to improve our services and algorithm.
LLM Model providers, we work with the following AI providers who have strong data protection policies and zero data retention agreements. Your data can be shared with these to perform LLM requests. Data is not used for training and is not retained after processing.
No purpose in this notice will require us keeping your personal information for longer than three (3) months past the termination of the user's account.
ElevenLabs, Inc., USA
debit/credit card numbers
When necessary, with your consent or as otherwise permitted by applicable law, we process the following categories of sensitive information: any potentially sensitive information contained within text or files (such as audio and video) that are submitted to the service.
Brakujące lub niejasne
- Brak opisu międzynarodowych zabezpieczeń transferu (SCCs, DPF, BCRs) dla podwykonawców z USA
- Brak mechanizmu rezygnacji z ulepszania algorytmów przez Klang na podstawie przesłanych treści
- Brak wyjaśnienia, w jaki sposób uzyskiwana jest zgoda na przetwarzanie wrażliwych danych w praktyce
- Brak odniesienia do Umowy Powierzenia Przetwarzania Danych (DPA) dla klientów B2B
- Brak wzmianki o Ocenie Wpływu na Ochronę Danych (DPIA) pomimo przetwarzania wrażliwych danych audio/wideo na dużą skalę
- Brak zautomatyzowanego portalu samoobsługowego do wykonywania praw RODO
- Brak szczegółów na temat kategorii ciasteczek lub technologii śledzących (odniesienie do osobnej Polityki Ciasteczek)
Pytania do zadania
- Jakiego konkretnego mechanizmu transferu (SCCs, certyfikacja w ramach Ram Ochrony Danych UE-USA itp.) używacie, udostępniając dane audio firmie ElevenLabs w Stanach Zjednoczonych?
- W jaki dokładnie sposób uzyskiwana jest zgoda na przetwarzanie wrażliwych treści audio/wideo — czy podczas przesyłania, w procesie rejestracji, czy gdzie indziej?
- Czy użytkownicy mogą zrezygnować z wykorzystywania przesłanych treści do ulepszania własnych algorytmów Klang, a jeśli nie, jaka jest podstawa prawna tego przetwarzania zgodnie z RODO?
- Czy rzeczywiście zbieracie i przechowujecie pełne numery kart debetowych/kredytowych na własnych serwerach, czy Stripe obsługuje wszystkie dane kart za pomocą tokenizacji?
- Co oznacza 'ulepszanie naszych usług i algorytmów' — czy obejmuje to trenowanie modeli uczenia maszynowego na przesłanych przez użytkowników treściach audio/wideo?
- Czy dostępna jest Ocena Wpływu na Ochronę Danych (DPIA) dotycząca przetwarzania wrażliwych treści audio/wideo na dużą skalę?
Udostępnij tę analizę
Każda osoba z tym linkiem może zobaczyć wynik powyżej.
Stworzone przez DentroChat
100% europejski czat AI dla wszystkich
Rozmawiaj z AI, pracuj z plikami, generuj obrazy i przeszukuj sieć. Dane pozostają w Europie.
Inne analizowane polityki prywatności
Zobacz wszystkiecursor.com
62/100
Średnie ryzyko prywatnościCursor (Anysphere) obiecuje, że domyślnie nie będzie używał Twoich wprowadzonych kodów do trenowania AI i nie sprzedaje Twoich danych, ale zbiera szeroki zakres danych osobowych i dotyczących użytkowania, przesyła je do USA z niejasnymi zabezpieczeniami transferu oraz pomija kluczowe szczegóły, takie jak okresy przechowywania i podstawy prawne.
Zobacz raport →eustella.com
62/100
Średnie ryzyko prywatnościeustella składa mocne obietnice dotyczące prywatności — nie sprzedaje danych, nie udostępnia ich stronom trzecim, nie trenuje na nich AI i przetwarza wszystkie dane w UE — ale to jest tekst marketingowy, a nie wiążąca polityka prywatności, a kluczowe szczegóły dotyczące zbierania danych, ich przechowywania, podwykonawców i praw użytkowników nie zostały podane.
Zobacz raport →lhv.com
62/100
Średnie ryzyko prywatnościLHV Bank zbiera szeroki zakres danych osobowych i finansowych, szeroko je udostępnia agencjom zapobiegającym oszustwom i pośrednikom płatniczym oraz mocno opiera się na uzasadnionym interesie w marketingu i analizach — ale uwzględnia prawa RODO i stosuje ręczną weryfikację w przypadku decyzji profilujących.
Zobacz raport →cake.com
62/100
Średnie ryzyko prywatnościCAKE.com zapewnia standardowe prawa do danych w UE i zabezpieczenia transferu, ale w imieniu pracodawców, którzy pełnią rolę administratorów danych wobec swoich pracowników, gromadzi wysoce inwazyjne dane z nadzoru w miejscu pracy — takie jak zrzuty ekranu, lokalizacja w tle i użycie aplikacji.
Zobacz raport →