Il GDPR è la nostra base, non un optional
Loomira tratta chiamate, trascrizioni e dati dei clienti secondo le regole europee, sul piano tecnico e su quello contrattuale. Ecco come.
Una catena di fornitori trasparente
Per ogni componente AI utilizziamo endpoint nell’UE ovunque il fornitore ce li metta a disposizione, e indichiamo apertamente dove non è ancora così:
- Riconoscimento vocale — Soniox (trattamento nell’UE)
- Sintesi vocale — ElevenLabs (per ora endpoint globale, clausole contrattuali tipo; è previsto il passaggio alla residenza dei dati nell’UE — viene trasmesso soltanto il testo della risposta)
- Modello linguistico — Google Vertex AI (regione UE)
Ospitato a Francoforte
L’applicazione e i suoi dati sono ospitati nella regione AWS eu-central-1, a Francoforte sul Meno. Trascrizioni, messaggi e dati dei clienti sono archiviati a Francoforte; l’audio delle chiamate non viene conservato.
Accordo sul trattamento dei dati (DPA)
Il DPA ai sensi dell’art. 28 GDPR fa parte delle condizioni generali e viene accettato elettronicamente al momento della registrazione, con allegati su categorie di dati, sub-responsabili e misure tecniche e organizzative. È consultabile pubblicamente in qualsiasi momento.
Trasparenza ai sensi dell’art. 50 dell’AI Act
All’inizio della conversazione Loomira si presenta a chi chiama come un’AI, come richiede il regolamento europeo sull’intelligenza artificiale (art. 50). Questo annuncio fa parte del flusso della chiamata, non è facoltativo.
Hash con salt dei numeri di chi chiama
I numeri di telefono non vengono conservati in chiaro a fini di analisi: quando dobbiamo riconoscere chi richiama, usiamo hash con salt invece del numero vero e proprio.
Sub-responsabili
Pubblichiamo l’elenco dei nostri sub-responsabili del trattamento, con finalità, ubicazione e base giuridica per i trasferimenti verso paesi terzi, e annunciamo in anticipo ogni modifica, come previsto dal DPA.