app.klang.ai — 62/100 (Medelhög integritetsrisk)
Senast analyserad
Klang AI AB · klang.ai
Rapportdetaljer
Medelhög integritetsriskKlang AI samlar in potentiellt känslig ljud- och videodata, delar den med flera AI-leverantörer och förbehåller sig rätten att använda din uppladdade data för att förbättra sina egna algoritmer utan att erbjuda ett avhopp — men de flesta bearbetningar sker inom EU och de har noll datalagringsavtal med sina AI-underleverantörer.
Klang AI AB, en svensk AI-transkriberings- och mötesinspelningstjänst, bearbetar en bred uppsättning personuppgifter, inklusive potentiellt känslig data från ljud-/videofiler. Policyn är föredömligt transparent gällande sina underleverantörer och har noll datalagringsavtal med LLM- och tal-AI-leverantörer. Dock hävdar de rätten att använda uppladdat innehåll för att förbättra sina egna algoritmer utan ett tydligt avhopp, samlar in kreditkortsnummer direkt (trotts användning av Stripe) och överför data till åtminstone en amerikansk leverantör (ElevenLabs) utan att beskriva överföringsskydd. Lagringstiden är begränsad till tre månader efter kontots avslutande, vilket är relativt starkt.
Bedömning per kategori
Uppdelning av policyn över viktiga efterlevnadsområden. Bra = stark, rimlig = blandad, dålig = oroande.
Samlar in kredit-/betalkortsnummer direkt trots användning av Stripe som betalningsleverantör, och definierar breda datakategorier som inkluderar all personlig information i uppladdade ljud-, video- eller textfiler.
Listar tydligt alla underleverantörer med namn, syfte och plats; anger explicit noll datalagringsavtal med AI-leverantörer; strukturerad policy med en användbar sammanfattning.
En omfattande lista över underleverantörer redovisas i detalj, men data skickas till åtminstone en amerikansk leverantör (ElevenLabs) utan överföringsskydd, och integrationspartners som Slack, Dropbox, HubSpot är också amerikanska.
ElevenLabs (USA) tar emot ljuddata för tal-AI, och flera integrationspartners är amerikanska, men policyn är helt tyst om SCC, adekvathetsbeslut eller andra skydd enligt GDPR kapitel V.
Tredjeparts LLM- och tal-AI-leverantörer är avtalsenligt förbjudna att träna på eller lagra användardata, men Klang förbehåller sig rätten att använda uppladdat innehåll för att förbättra sina egna algoritmer utan någon avhoppsmekanism.
GDPR-rättigheter (åtkomst, rättelse, radering, begränsning, portabilitet, invändning) listas med länkar till tillsynsmyndigheter, men det finns ingen automatiserad självbetjäningsmekanism — användare måste skicka e-post till support@klang.ai.
Viktiga fynd
Anmärkningsvärda klausuler, problem eller positiva rutiner (kritiska först)
Förbättring av algoritmer med användardata utan avhopp
Avsnitt 2 anger: 'Uppladdat innehåll som kan innehålla personuppgifter kan användas för att förbättra våra tjänster och algoritmer.' Detta innebär att Klang kan använda potentiellt känslig ljud-/videodata för att träna eller förfina sina egna modeller. Inget avhopp erbjuds, och den rättsliga grunden för denna bearbetning är otydlig — den listas inte separat i avsnitt 3:s rättsliga grunder. För en AI-transkriberingstjänst som hanterar mötesinspelningar är detta en betydande oro.
Dataöverföring till USA utan dokumenterade skydd
ElevenLabs, Inc. listas som en tal-AI-leverantör baserad i USA. Ljuddata delas med ElevenLabs för transkribering och talaridentifiering. Policyn nämner inte standardavtalsklausuler, EU-US Data Privacy Framework-certifiering eller någon annan GDPR kapitel V överföringsmekanism. Detta är en överensstämmelselucka som kan utsätta Klang för sanktionsrisk.
Kredit-/betalkortsnummer samlas in direkt
Avsnitt 1 listar 'kredit-/betalkortsnummer' som personuppgifter som samlas in. Då Klang använder Stripe som betalningsleverantör bör fullständiga kortnummer aldrig nå Klangs servrar. Att samla in och lagra kortnummer skulle skapa onödig säkerhetsrisk och strida mot PCI DSS och dataminimeringsprincipen.
Samtyckesmekanism för bearbetning av känslig data är vag
Avsnitt 1 erkänner bearbetning av 'potentiellt känslig information som finns i text eller filer (t.ex. ljud och video)' och säger att detta görs 'med ditt samtycke eller som annars tillåts enligt tillämplig lag.' Policyn beskriver dock inte hur samtycke inhämtas — vare sig vid uppladdning, vid konto skapande eller via en separat mekanism. För en tjänst vars kärnfunktion innebär bearbetning av ljud/video från möten är denna brist på specificitet oroande.
Noll datalagringsavtal med AI-underleverantörer är en stark positiv punkt
Policyn anger explicit att LLM-leverantörer (Scaleway, Mistral, Microsoft Irland, AWS Europa, Berget AI) och tal-AI-leverantörer (ElevenLabs, Pyannote) verkar under noll datalagringsavtal där 'Data används inte för träning och lagras inte efter bearbetning' och 'Ljuddata används inte för träning och raderas omedelbart efter bearbetning.' Detta är ovanligt transparent för en AI-tjänst.
Kort lagringsbegränsning är anmärkningsvärd
Avsnitt 6 anger: 'Ingen ändamål i denna policy kommer att kräva att vi behåller dina personuppgifter längre än tre (3) månader efter att användarens konto har avslutats.' Detta är en relativt kort och tydligt definierad lagringsperiod, vilket är positivt för GDPR-överensstämmelse.
Sammanfattning för användaren
Dina mötesinspelningar och transkriptioner kan användas för att träna Klangs egna algoritmer, och en del av din data skickas till ett amerikanskt tal-AI-företag utan förklarade juridiska skydd — men tredjeparts AI-leverantörer har avtalsenligt förbud mot att lagra eller träna på din data.
Efterlevnadsställning
Klang AI visar delvis överensstämmelse med GDPR (Dataskyddsförordningen): de identifierar rättsliga grunder, listar underleverantörer med specificitet och begränsar lagringstiden. Dock finns luckor kring skydd för internationella överföringar, saknas ett tydligt avhopp för bearbetning för förbättring av egna algoritmer och de samlar in betalkortsuppgifter som de troligen inte bör lagra själva. Inga referenser till personuppgiftsbiträdesavtal (DPA) eller konsekvensbedömning (DPIA) görs.
EU-överföringar
De flesta bearbetningar sker inom EU/EES (Scaleway i Frankrike, Mistral i Frankrike, Microsoft Irland, AWS Europa, Berget AI i Sverige, Pyannote i Frankrike). ElevenLabs Inc. är dock amerikanskt, och policyn är tyst om överföringsmekanismer som standardavtalsklausuler (SCC) eller adekvathetsbeslut. Detta är en överensstämmelselucka enligt GDPR kapitel V.
Upptäckta signaler
Specifika datapunkter och rutiner identifierade i texten
Bevisutdrag
Direkta citat från policyn som stödjer dessa fynd
Uploaded content which may include personal information can be used to improve our services and algorithm.
LLM Model providers, we work with the following AI providers who have strong data protection policies and zero data retention agreements. Your data can be shared with these to perform LLM requests. Data is not used for training and is not retained after processing.
No purpose in this notice will require us keeping your personal information for longer than three (3) months past the termination of the user's account.
ElevenLabs, Inc., USA
debit/credit card numbers
When necessary, with your consent or as otherwise permitted by applicable law, we process the following categories of sensitive information: any potentially sensitive information contained within text or files (such as audio and video) that are submitted to the service.
Saknas eller otydligt
- Ingen beskrivning av skydd för internationella överföringar (SCC, DPF, BCR) för amerikanska underleverantörer
- Ingen avhoppsmekanism för Klangs egna algoritmförbättringar med uppladdat innehåll
- Ingen förklaring av hur samtycke för bearbetning av känslig data inhämtas i praktiken
- Ingen referens till personuppgiftsbiträdesavtal (DPA) för B2B-kunder
- Ingen nämnd om konsekvensbedömning (DPIA) trots bearbetning av känslig ljud-/videodata i stor skala
- Ingen automatiserad självbetjäningsportal för utövande av GDPR-rättigheter
- Inga detaljer om kakor eller spårningstekniker (refereras till separat Cookie-notis)
Frågor att ställa
- Vilken specifik överföringsmekanism (SCC, EU-US DPF-certifiering, etc.) förlitar ni er på när ni delar ljuddata med ElevenLabs i USA?
- Hur inhämtas exakt samtycke för bearbetning av känslig ljud-/videodata — vid uppladdning, i registreringsflödet eller någon annanstans?
- Kan användare avstå från att deras uppladdade innehåll används för att förbättra Klangs egna algoritmer, och om inte, vad är den rättsliga grunden för denna bearbetning enligt GDPR?
- Samlar ni verkligen in och lagrar fullständiga kredit-/betalkortsnummer på era egna servrar, eller hanterar Stripe all kortdata via tokenisering?
- Vad innebär 'förbättra våra tjänster och algoritmer' — innebär detta träning av maskininlärningsmodeller på användares uppladdade ljud-/videodata?
- Finns en konsekvensbedömning (DPIA) tillgänglig för bearbetning av känslig ljud-/videodata i stor skala?
Dela den här analysen
Alla med den här länken kan se resultatet ovan.
Byggd av DentroChat
100 % europeisk AI-chatt för alla
Chatta med AI, arbeta med filer, generera bilder och sök på webben. Data stannar i Europa.
Andra analyserade integritetspolicyer
Visa allacursor.com
62/100
Medelhög integritetsriskCursor (Anysphere) lovar att inte använda dina kodinmatningar för AI-träning som standard och säljer inte din data, men de samlar in ett brett spektrum av personlig och användningsrelaterad data, skickar den till USA med vaga överföringsgarantier och lämnar nyckeldetaljer som lagringstider och rättsliga grunder ospecificerade.
Visa rapport →eustella.com
62/100
Medelhög integritetsriskeustella gör starka integritetslöften — ingen försäljning av data, ingen delning med tredje part, ingen AI-träning på din data, och all bearbetning sker inom EU — men detta är marknadsföringstext, inte en bindande integritetspolicy, och kritiska detaljer om datainsamling, lagring, underbiträden och användarrättigheter saknas i den tillhandahållna texten.
Visa rapport →lhv.com
62/100
Medelhög integritetsriskLHV Bank samlar in en omfattande mängd personuppgifter och finansiell data, delar den i stor utsträckning med bedrägeriförebyggande byråer och betalningsförmedlare, och förlitar sig tungt på berättigat intresse för marknadsföring och analys — men de täcker GDPR-rättigheter och använder manuell granskning för profilbeslut.
Visa rapport →cake.com
62/100
Medelhög integritetsriskCAKE.com tillhandahåller standardiserade EU-dataskyddsrättigheter och överföringssäkerheter men samlar in mycket intrusiv arbetsplatsövervakningsdata – som skärmdumpar, bakgrundsplats och appanvändning – för arbetsgivarens räkning, vilka fungerar som personuppgiftsansvariga för sina anställda.
Visa rapport →