¿Dónde se almacenan mis archivos de audio durante la transcripción?

Desde la sentencia Schrems II del TJUE (2020) y el debate posterior en torno al EU-US Data Privacy Framework de 2023, « ¿dónde residen mis datos? \" se ha convertido en LA pregunta del RGPD – y muchos proveedores de transcripción la responden con menos transparencia de la que deberían.

Las variantes habituales:

1. API en la nube estadounidense (OpenAI, AssemblyAI, Deepgram, Google Cloud Speech). El audio se procesa en AWS, GCP o Azure en EE. UU. Aunque el proveedor ofrezca regiones de la UE, el US Cloud Act y la FISA 702 permiten que un servicio de inteligencia estadounidense exija el acceso – exactamente lo que el TJUE rechazó en Schrems II. El EU-US DPF de 2023 cierra parte de la brecha, pero es jurídicamente impugnable (el procedimiento Schrems III está en curso).

2. Región en la nube de la UE de un proveedor estadounidense (AWS Fráncfort, Azure West Europe). Los datos se encuentran físicamente en la UE, pero el proveedor es una corporación estadounidense. Mejor desde el punto de vista del RGPD, pero todavía en una zona gris a causa del Cloud Act.

3. Nube europea (OVH, Hetzner, IONOS). Proveedor y servidores en la UE. Claramente conforme al RGPD, sin riesgo de Cloud Act.

4. Servidores propios del proveedor de transcripción. El proveedor opera su propia infraestructura en centros de datos propios o alquilados – normalmente en la UE. Sin subencargo a hiperescaladores. Máxima soberanía.

DeepScript se sitúa en la categoría 4: todo el procesamiento de transcripción se ejecuta en hardware propio, en centros de datos en Falkenstein y Nürnberg (Hetzner). Stripe (pagos) y nuestro servicio de envío de correo son los únicos subencargados del tratamiento – ninguno de ellos ve el audio ni las transcripciones.

Lo que deberías preguntar concretamente al proveedor: - ¿Qué centros de datos se usan para el procesamiento de audio? (dirección, país) - ¿Quién opera esos centros de datos? (subencargados del tratamiento) - ¿Cuál es la persona jurídica del proveedor (domicilio social, estructura del grupo)? - ¿Existen filiales estadounidenses que pudieran exigir acceso? - ¿Cuánto tiempo se conservan el audio y la transcripción? - ¿Está cifrado el almacenamiento? ¿Con qué gestión de claves?

Si las respuestas siguen siendo vagas o son « según la carga \", es una señal de alarma – la conformidad con el RGPD exige respuestas trazables y documentadas.