Acord de prelucrare a datelor

Tu ești operatorul. Tu decizi ce apeluri se dau, ce spune asistentul, dacă apelul se înregistrează și cât se păstrează. CallAgent e persoana împuternicită de tine și acționează după instrucțiunile tale.

Există un al doilea nivel pe care mai toate acordurile din domeniul vocal îl sar, iar el schimbă analiza, așa că îl spunem primul. Furnizorii de transcriere, model și voce se configurează cu cheile tale de API. Când asistentul tău trimite audio către ElevenLabs, îl trimite pe contul tău, sub contractul tău cu furnizorul acela — CallAgent transmite mai departe, nu subcontractează. Acolo unde se folosește cheia platformei, furnizorul e subîmputernicitul nostru în sensul obișnuit. Pagina cu subîmputerniciți marchează care e care.

Pentru datele oamenilor care lucrează la tine — nume, adrese, roluri, urme de autentificare, facturare — operatorul e CallAgent, iar politica de confidențialitate acoperă asta.

Prelucrarea e funcționarea unei platforme vocale: plasarea și preluarea apelurilor telefonice, transformarea vorbirii în text și a textului în vorbire, rularea unui model de limbaj peste conversație, înregistrarea audio dacă ai pornit înregistrarea și păstrarea evidențelor rezultate la dispoziția ta, în consolă și prin API.

Durează cât durează contul tău, plus fereastra de păstrare pe care ai configurat-o pentru fiecare categorie de evidență.

Categoriile de mai jos nu sunt o listă de șablon. Sunt ce lasă efectiv în urmă un apel în sistemul ăsta, luate din tabelele în care scrie apelul.

Datele cu caracter personal se prelucrează numai ca să funcționeze serviciul și numai după instrucțiunile tale, iar instrucțiunile tale sunt configurația: un asistent, un număr de telefon, o politică de înregistrare, una de păstrare, un set de unelte.

Trei lucruri se întâmplă fără o instrucțiune per apel și fiecare e listat fiindcă o persoană împuternicită care acționează din proprie inițiativă trebuie să o spună. O sarcină programată aplică politica ta de păstrare în fiecare noapte, la 03:15, și șterge ce a depășit-o. Mascarea datelor personale, dacă ai pornit-o, rescrie transcrierile după apel. Și se scrie o urmă de audit ori de câte ori cineva din organizația ta schimbă ceva — pe care o păstrăm fiindcă o persoană împuternicită care nu poate spune cine ce a schimbat nu e una pe care să o folosească cineva.

Conținutul apelurilor nu antrenează niciun model de-al nostru, fiindcă nu avem niciun model. Ce fac cu el furnizorii pe care îi configurezi tu ține de contractul tău cu ei, iar acela merită citit: setarea implicită a unei chei de consumator e adesea alta decât a uneia de business.

Articolul 28 cere un angajament că toți cei autorizați să prelucreze datele sunt ținuți de o obligație de confidențialitate. Iată situația reală, nu clauza.

CallAgent e scris și ținut în funcțiune de un singur om. Nu există echipă de suport, nu există un birou de operațiuni în altă țară și nu există un șir de colaboratori cu acces în producție — dar, la fel de adevărat, nu există nici separarea sarcinilor, nici o a doua pereche de ochi pe o interogare în producție, nici cineva la care să escaladezi la trei dimineața. Dacă e mai bine sau mai rău decât o tură de doisprezece oameni pe care nu i-ai văzut niciodată depinde de ce anume te îngrijorează, iar alegerea merită făcută cu faptele, nu cu o clauză care sugerează un personal.

În organizația ta, accesul se face pe roluri, dintr-un catalog de permisiuni, fiecare model care aparține unui client poartă o limitare la nivel de interogare, iar citirea unei înregistrări trece printr-o adresă semnată care expiră în cincisprezece minute.

Separarea între organizații e o limitare globală la nivel de interogare pe fiecare model al unui client, nu un filtru scris în fiecare controler, deci o interogare fără organizație legată întoarce nimic, nu tot. Rezolvarea organizației se face înaintea legării modelelor din rută, iar ordinea asta e cea care oprește o cerere cu identificatorul altei organizații să ajungă la un rând real înainte să ruleze vreo politică. Sarcinile din coadă își leagă explicit organizația, fiindcă o sarcină care rulează peste o oră nu are de la ce cerere să o moștenească.

Credențialele de stocare ale clienților și cheile de API ale furnizorilor sunt criptate cu o cheie care, intenționat, nu e cheia aplicației: rotirea uneia nu te blochează în afara propriilor înregistrări, iar scurgerea celeilalte nu predă contul S3 al fiecărui client.

Ce lipsește stă pe pagina de securitate și nu se repetă aici pe un ton mai blând: fără SOC 2, fără ISO 27001, fără test de penetrare făcut de un terț, fără atestare HIPAA sau PCI, iar comutatoarele de conformitate de pe o organizație sunt inerte.

Lista vie e publicată și e generată din același registru pe care îl citește consola, deci nu poate descrie un furnizor care nu mai e selectabil și nu poate omite unul care tocmai a devenit.

Acordul general e ce presupune documentul ăsta: autorizezi furnizorii de pe listă, iar noi îți spunem înainte să se adauge unul nou. Termenul pe care ni-l putem asuma e de treizeci de zile, iar precizarea cinstită e că mecanismul de azi e un om care trimite un e-mail proprietarului contului. Nu există notificare automată despre subîmputerniciți și nici buton de abonare. Când va exista, va fi pe pagina aia.

Golul pe care un șablon nu l-ar pomeni: între CallAgent și niciunul dintre acești furnizori nu există un acord semnat conform articolului 28 alineatul (4). Pentru cei pe care îi configurezi cu cheia ta contează mai puțin, fiindcă în vigoare e contractul tău cu ei. Pentru orice rulează pe o cheie a platformei contează, și ăsta e motivul pentru care documentul nu se oferă ca acord finalizat.

Când cineva își exercită un drept față de tine, te ajutăm să răspunzi. În ce constă ajutorul azi e detaliat pe pagina despre drepturi, iar pe scurt: căutarea apelurilor după numărul de telefon funcționează, ștergerea înregistrării funcționează, iar un export cu un singur clic al tot ce ține sistemul despre un om nu există.

Despre o încălcare a securității datelor: îți spunem fără întârziere nejustificată și în cel mult șaptezeci și două de ore de când aflăm, cu ce știm atunci, nu așteptând tabloul complet. Nu există detecție automată care să găsească o încălcare în locul nostru, deci „de când aflăm” înseamnă exact ce spune.

Îți spunem și dacă o instrucțiune de-a ta ni se pare că încalcă Regulamentul, adică exact clauza pe care nimeni nu o citește până în ziua în care contează.

Spus într-o propoziție, fiindcă un document care îl pune pe cumpărător să caute lucrul ăsta i-a pierdut deja încrederea: în configurația implicită, audio-ul fiecărui apel ajunge la un furnizor din Statele Unite, și la fel și textul fiecărei replici.

Baza de date și stocarea instalării stau în regiunea pentru care e configurată, iar aceea pornește ca Uniunea Europeană. Asta acoperă copia pe care o ținem noi. Nu acoperă furnizorii, iar la furnizori ajunge efectiv vorbirea: traseul implicit e ElevenLabs pentru transcriere și voce, Anthropic pentru model și Twilio pentru operatorul telecom, toate companii din Statele Unite.

Mecanismul de transfer e, prin urmare, ce prevede contractul tău cu fiecare furnizor — clauze contractuale standard, o decizie de adecvare sau o certificare. Nu am făcut o evaluare a impactului transferului în numele tău și nu deținem una. Dacă prelucrarea exclusiv în Uniune e o cerință, nu o preferință, răspunsul cinstit de azi e că această configurație nu ți-o dă, iar primul lucru la care să te uiți e un furnizor european de transcriere și un model găzduit într-o regiune din Uniune.

La încetare, alegi: totul șters, sau pus la dispoziția ta pentru export și șters după aceea. Calea de export e API-ul, care parcurge apelurile, transcrierile și evenimentele, și — dacă ai venit cu bucket-ul tău — chiar bucket-ul tău, care ține deja înregistrările și artefactele și nu are nevoie de permisiunea noastră.

Ștergerea care rulează e reală, nu o schimbare de stare. Conținutul mesajelor, argumentele și rezultatele uneltelor, conținutul evenimentelor, transcrierile, rezumatele și rezultatele structurate se golesc; înregistrările și artefactele se șterg din stocare, iar rândul rămâne marcat ca golit. Ce supraviețuiește e forma apelului: identificatorii, cele două numere de telefon, marcajele de timp, durata, secundele facturabile, motivul închiderii, rândurile de cost și urma de audit.

Ultima propoziție e cea de discutat cu responsabilul tău cu protecția datelor, fiindcă e o decizie deliberată de proiectare și nu e ce sună a „șters”. Numerele rămân ca să se poată răspunde la o dispută de facturare și ca o urmă de audit să nu rămână orfană. Dacă ai nevoie ca și numerele să dispară, spune înainte de semnare; azi aia e o operație manuală în baza de date, nu un buton.

Adunate într-un singur loc, nu împrăștiate prin clauzele de mai sus, fiindcă și un cititor care doar survolează trebuie să dea peste ele.

Niciun acord semnat în aval cu subîmputerniciții. Nicio evaluare a impactului transferului. Nicio certificare și niciun audit început. Nicio notificare automată despre subîmputerniciți. Niciun export autonom pentru persoana vizată. Ștergerea unui apel prin API e o ștergere logică și lasă conținutul pe loc — ștergerea reală trece prin păstrare, nu prin acel endpoint. Și nu există o interfață prin care un client să își seteze singur politica de păstrare: azi i se setează din partea platformei.

Oricare dintre ele poate fi un motiv să nu cumperi. Sunt aici ca să poată fi un motiv acum, nu în a treia săptămână a unei evaluări de achiziție.