Dove vengono archiviati i miei file audio durante la trascrizione?

Dalla sentenza Schrems II della CGUE (2020) e dal dibattito che ne è seguito sul EU-US Data Privacy Framework del 2023, « dove si trovano i miei dati? \" è diventata LA domanda chiave del GDPR – e molti fornitori di trascrizione vi rispondono in modo meno trasparente di quanto dovrebbero.

Le varianti consuete:

1. API cloud statunitense (OpenAI, AssemblyAI, Deepgram, Google Cloud Speech). L'audio viene elaborato in AWS, GCP o Azure negli USA. Anche quando il fornitore offre regioni UE, il US Cloud Act e la FISA 702 consentono a un servizio di intelligence statunitense di richiedere l'accesso – esattamente ciò che la CGUE ha respinto in Schrems II. Il EU-US DPF del 2023 colma in parte la lacuna, ma è attaccabile sul piano giuridico (il procedimento Schrems III è in corso).

2. Regione cloud UE di un fornitore statunitense (AWS Francoforte, Azure West Europe). I dati si trovano fisicamente nell'UE, ma il fornitore è una multinazionale statunitense. Meglio dal punto di vista del GDPR, ma ancora in una zona grigia a causa del Cloud Act.

3. Cloud europeo (OVH, Hetzner, IONOS). Fornitore e server nell'UE. Chiaramente conforme al GDPR, nessun rischio legato al Cloud Act.

4. Server propri del fornitore di trascrizione. Il fornitore gestisce la propria infrastruttura in data center di proprietà o in affitto – tipicamente nell'UE. Nessuna sub-responsabilità verso gli hyperscaler. Massima sovranità.

DeepScript rientra nella categoria 4: tutta l'elaborazione di trascrizione gira su hardware proprio, in data center a Falkenstein e Nürnberg (Hetzner). Stripe (pagamenti) e il nostro servizio di invio e-mail sono gli unici sub-responsabili – nessuno dei due vede audio o trascrizioni.

Cosa dovresti chiedere concretamente al fornitore: - Quali data center vengono usati per l'elaborazione audio? (indirizzo, Paese) - Chi gestisce questi data center? (sub-responsabili) - Qual è la persona giuridica del fornitore (sede, struttura del gruppo)? - Esistono controllate statunitensi che potrebbero avere accesso? - Per quanto tempo vengono conservati audio e trascrizione? - L'archiviazione è crittografata? Con quale gestione delle chiavi?

Se le risposte restano vaghe o si riducono a « dipende dal carico \", è un campanello d'allarme – la conformità al GDPR richiede risposte tracciabili e documentate.