Börja med ändamålet och den rättsliga grunden
En inspelning eller ett transkript kan innehålla personuppgifter om identifierbara deltagare. Organisationen behöver avgöra varför behandlingen är nödvändig och fastställa en lämplig rättslig grund innan den börjar. Samtycke är en möjlig grund, inte ett generellt krav för varje inspelning. Känsliga personuppgifter kräver dessutom ett tillämpligt särskilt villkor. Se EDPB:s vägledning om rättslig grund.
Sex frågor för er bedömning
- Vilket ändamål och vilken rättslig grund gäller för inspelning, transkribering och efterföljande AI-användning?
- Vilken information får deltagarna om ändamål, mottagare, lagring och rättigheter?
- Vilka tjänster behandlar eller lagrar uppgifterna, och vem kan få åtkomst?
- Vilka säkerhetskontroller gäller för respektive datatyp och tjänst?
- Hur hanteras begäranden om tillgång, rättelse, invändning och radering?
- Vilka biträdesavtal, instruktioner och leverantörsbevis omfattar flödet?
Information och lagringstid behöver spegla den faktiska användningen. EU-kommissionens företagsvägledning beskriver vilken information organisationer ska lämna.
EU-lagring är en del av bedömningen
Kontrollera faktisk behandling, lagring och leverantörsåtkomst separat. GDPR innehåller mekanismer för överföringar utanför EU/EES; en lagringsplats inom EU avgör inte ensam överföringsbedömningen. Granska tillämplig mekanism och omständigheterna. IMY förklarar tredjelandsöverföringar.
Säkerheten kräver också en riskbedömning. Artikel 32 behandlar lämpliga åtgärder, bland annat kryptering när det är lämpligt, motståndskraft, återställning och regelbunden utvärdering. Den föreskriver inte TLS 1.3 och AES-256 som generella minimiversioner. Se GDPR artikel 32.
Rättigheter och radering behöver en fungerande process
Radering beror på tillämpliga grunder och undantag. En begäran innebär inte alltid omedelbar radering av varje post; lagstadgade lagringskrav och rättsliga anspråk kan påverka svaret. Skilj mellan aktiva uppgifter, leverantörsinspelningar och säkerhetskopior, och dokumentera faktiskt utfall. EU-kommissionens vägledning om rättighetsbegäranden beskriver dessa avgränsningar.
Att bedöma ReVoice
Granska ReVoices säkerhetskontroller, underleverantörsinformation, integritetspolicy och biträdesavtal mot ert avsedda flöde. Behandlingsregioner beror på tjänst och konfiguration; begär daterat underlag om aktuella slutpunkter, leverantörsåtkomst och accepterade villkor.
Mötesinspelning körs i Recall.ai:s EU-region i Frankfurt. Transkribering via Recall använder Deepgrams EU-endpoint. Vissa valfria funktioner och administrativa tjänster behandlar data utanför EU/EES.
Vi använder inte dina möten, ljud, transkript eller dokument för att träna, finjustera eller förbättra AI-modeller, varken våra egna eller någon annans. Leverantörernas villkor för lagring och modellförbättring behöver bedömas separat. Produktkontroller stödjer organisationens arbete; att de finns fastställer inte fullständig GDPR-efterlevnad för varje användning.