Gdzie są przechowywane moje pliki audio podczas transkrypcji?

Od wyroku Schrems II wydanego przez TSUE (2020) i toczącej się dyskusji wokół EU-US Data Privacy Framework z 2023 r. pytanie „gdzie znajdują się moje dane?\" stało się kluczowym pytaniem RODO – a wielu dostawców transkrypcji odpowiada na nie mniej przejrzyście, niż powinno.

Typowe warianty:

1. Amerykańskie API w chmurze (OpenAI, AssemblyAI, Deepgram, Google Cloud Speech). Nagranie jest przetwarzane w AWS, GCP lub Azure w USA. Nawet gdy dostawca oferuje regiony UE, US Cloud Act i FISA 702 pozwalają amerykańskim służbom wywiadowczym zażądać dostępu – dokładnie to, co TSUE odrzucił w Schrems II. EU-US DPF z 2023 r. częściowo wypełnia lukę, ale jest podważalny prawnie (postępowanie Schrems III jest w toku).

2. Unijny region chmury amerykańskiego dostawcy (AWS Frankfurt, Azure West Europe). Dane znajdują się fizycznie w UE, ale dostawca to amerykański koncern. Lepiej z punktu widzenia RODO, ale wciąż w szarej strefie z powodu Cloud Act.

3. Europejska chmura (OVH, Hetzner, IONOS). Dostawca i serwery w UE. Wyraźnie zgodne z RODO, brak ryzyka związanego z Cloud Act.

4. Własne serwery dostawcy transkrypcji. Dostawca prowadzi własną infrastrukturę we własnych lub wynajmowanych centrach danych – zwykle w UE. Brak dalszego powierzania hiperskalerom. Najwyższa suwerenność.

DeepScript należy do kategorii 4: całe przetwarzanie transkrypcji odbywa się na własnym sprzęcie, w centrach danych w Falkenstein i Nürnberg (Hetzner). Stripe (płatności) i nasz dostawca wysyłki e-maili to jedyne podmioty przetwarzające dalej – żaden z nich nie widzi nagrań ani transkrypcji.

O co konkretnie powinieneś zapytać dostawcę: - Które centra danych są używane do przetwarzania audio? (adres, kraj) - Kto prowadzi te centra danych? (podmioty przetwarzające dalej) - Jaki jest podmiot prawny dostawcy (siedziba, struktura grupy)? - Czy istnieją amerykańskie spółki zależne, które mogłyby uzyskać dostęp? - Jak długo przechowywane są nagranie i transkrypcja? - Czy pamięć jest szyfrowana? Z jakim zarządzaniem kluczami?

Jeśli odpowiedzi pozostają niejasne lub brzmią „w zależności od obciążenia\", to sygnał ostrzegawczy – zgodność z RODO wymaga możliwych do prześledzenia, udokumentowanych odpowiedzi.