GDPR-kompatibilis
megbeszélés-átírás

Az európai csapatok számára a GDPR-kompatibilis átírás egyetlen architekturális kérdésen múlik: hová kerül a megbeszélés hanganyaga, miután elhagyta a mikrofont? Azok az eszközök, amelyek a megbeszélés hanganyagát vagy átiratát szerveroldalon tárolják, Adatfeldolgozási Megállapodást igényelnek, és amikor az EU-s személyes adatok elhagyják az EU-t/EGT-t, a GDPR V. fejezete szerinti érvényes adattovábbítási mechanizmust. Ez a mechanizmus lehet megfelelőségi határozat, az EU–USA Adatvédelmi Keretrendszerben való részvétel tanúsított amerikai szolgáltatóknál, általános szerződési feltételek, kötelező erejű vállalati szabályok vagy más jóváhagyott biztosíték. Azok az eszközök, amelyek valós időben dolgozzák fel a hangot anélkül, hogy megőriznék azt, kisebb tartós adat-lábnyommal járnak. A különbség nem puszta technikai részlet -- a GDPR 83. cikke szerinti AI-megbeszélés-privacy hibák akár €20 millióba vagy a globális éves árbevétel 4%-ába is kerülhetnek.

Vegyünk egy gyakori DPO-szituációt: egy részlegvezető mellékesen megemlíti, hogy az értékesítési csapat hónapok óta AI-megbeszélés-asszisztenst használ. Az ügyfélhívásokat -- beleértve azokat is, amelyeknél EU-s vevők szerepeltek, akiket erről soha nem tájékoztattak -- rögzítették és feltöltötték egy szolgáltatói platformra. Nem létezett Adatfeldolgozási Megállapodás. Nem dokumentálták a jogalap-értékelést vagy a résztvevők tájékoztatását. A helyreállítási munka csak azután kezdődik, hogy a megbeszélések már lezajlottak.

Az AI-átíró eszközök GDPR-megfelelősége nem arról szól, hogy megtaláljuk a megfelelő jelvényt viselő eszközt. Arról szól, hogy megértsük, mit tesz az eszköz a hangadatokkal, hol tárolja az átiratokat, és hogy egy bot de facto második félként csatlakozik-e a megbeszéléshez. Ez az útmutató keretrendszert ad bármely eszköz értékeléséhez -- és ezt alkalmazza hét olyan eszközre, amelyet az európai csapatok ténylegesen használnak 2026-ban.

Mit követel meg valójában a GDPR a megbeszélések átírásánál

Személyes adatnak minősül-e a megbeszélés átirata a GDPR szerint?

Igen. A GDPR 4. cikk (1) bekezdése a személyes adatot úgy határozza meg, mint „azonosított vagy azonosítható természetes személyre vonatkozó bármely információt”. Egy megbeszélés átirata megnevezi a résztvevőket, rögzíti a véleményüket, és egészségügyi, pénzügyi vagy politikai információkat is tartalmazhat. A hanganyag további kockázatot jelenthet: a hangadat biometrikus adattá válik a 9. cikk szerint, ha személy azonosítására dolgozzák fel, és a megbeszélés tartalma különleges adatkategóriába tartozó információkat is tartalmazhat, például egészségügyi, politikai vagy szakszervezeti nézeteket.

Mely GDPR-cikkek vonatkoznak a megbeszélések átírására?

A transzkripciós eszközök négy GDPR-kockázati szintje

Minden AI-átíró eszköz a négy architekturális minta egyikébe illeszkedik. A minta határozza meg az alap GDPR-kitettséget -- függetlenül attól, hogy a szolgáltató megfelelőséget állít-e.

Szükség van hozzájárulásra egy megbeszélés átírásához az EU-ban?

A GDPR 6. cikke szerint jogalapra van szükség a személyes adatok kezeléséhez. Megbeszélések átírásánál a leggyakrabban használt jogalapok a jogos érdek (6. cikk (1) bekezdés f) pont) belső megbeszéléseknél, illetve a tájékoztatáson alapuló közlés külső hívásoknál. A 6. cikk (1) bekezdés a) pontja szerinti kifejezett hozzájárulás nem mindig szükséges -- de a 13. és 14. cikk szerinti átláthatóság mindig az. A megbeszélés kezdete előtt tájékoztatni kell a résztvevőket arról, milyen adatokat gyűjtenek, milyen célból, és hol tárolják azokat.

Jogalapok a GDPR 6. cikke szerint

A jogos érdek a legtöbb esetben lefedi a belső megbeszéléseket, feltéve hogy az adatvédelmi szabályzat vagy a munkavállalói kézikönyv közli, hogy a megbeszéléseket átírhatják, és elmagyarázza, miért. A jogos érdeket egyensúlyba kell hozni a résztvevők adatvédelmi jogaival -- a rutinszerű belső napi standupoknál ez általában egyszerű; érzékeny HR-megbeszéléseknél nem az.

A hozzájárulás akkor megfelelő, amikor külső felekkel (ügyfelekkel, érdeklődőkkel, alvállalkozókkal) folytatott hívásokat ír át, akik előzetes értesítést nem kaptak szerződéses kapcsolat révén. A hozzájárulásnak önkéntesnek, konkrétnak kell lennie, és ugyanolyan könnyen visszavonhatónak, mint amilyen könnyen megadható.

Megjegyzés: az EDPB-irányelvek és az egyes tagállami jogszabályok (Németország BDSG-je, Franciaország loi Informatique et Libertés-je, Olaszország Codice Privacy-je) további rétegeket adnak ehhez a foglalkoztatási helyzetekben. Ha a csapata több EU-s joghatóságban működik, egyeztessen helyi jogi tanácsadóval.

Gyakorlati hozzájárulási munkafolyamat külső hívásokhoz

1. Meghívó: Adjon egy mondatot a szokásos meghívóhoz: „Ezt a hívást [cél] miatt átírjuk. Az átiratot [hol] tároljuk, és [időtartam] ideig őrizzük meg.”
2. A hívás elején: Szóban erősítse meg: „Csak jelzem, hogy élő átiratot készítünk a nyilvántartásunkhoz -- jelezze, ha inkább nem szeretné.”
3. Ellenvetés esetén: Azonnal állítsa le az átírást. Dokumentálja, hogy leállította.
4. Megőrzés: Állítson be törlési ütemtervet (pl. 90 nap), és tartsa be. A GDPR 17. cikke jogot ad a résztvevőknek az adataik törlésének követelésére.

Mit érdemes keresni egy GDPR-kompatibilis átíró eszközben

Használja ezt az ellenőrzőlistát bármely átíró eszköz értékeléséhez európai csapatok számára. Egy eszköz, amely mind a hét pontot teljesíti, még nem automatikusan „megfelelő” -- a saját folyamatai is számítanak --, de eltávolítja a legnagyobb szolgáltatói oldali kockázatokat.

• Adatfeldolgozási Megállapodás (DPA) elérhető és aláírt használat előtt -- a 28. cikk szerint minden adatfeldolgozó esetében szükséges
• Alfeldolgozói lista közzétéve -- tudnia kell minden félről, amely hozzáfér az adataihoz, beleértve az átíró API-kat, AI-modelleket és felhőszolgáltatókat
• A hang nincs szerveroldalon tárolva -- vagy csak átmenetileg, valós idejű feldolgozás közben
• EU-s adattárolási opció -- vagy egyáltalán nincs tartós szervertárolás, ami csökkenti a tárolt adatok továbbítási lábnyomát
• Törléshez való jog munkafolyamata -- kérhetik-e a résztvevők a törlést? Teljesíteni tudja-e ezt a kérést 30 napon belül?
• Adatvédelmi incidens bejelentési SLA -- a 33. cikk szerint 72 órán belül értesítenie kell az adatvédelmi hatóságot egy incidensről
• Érvényes adattovábbítási mechanizmus nem EU/EGT-s alfeldolgozókhoz -- egy DPA önmagában nem elegendő, ha a személyes adatok az EU/EGT-n kívül haladnak át vagy ott tárolódnak

GDPR-átíró eszközök összehasonlítása (2026)

Az alábbi táblázat hét, az európai csapatok által gyakran használt eszközt értékel a fenti ellenőrzőlista alapján. Az architektúra fontosabb, mint a tanúsítás -- egy közzétett DPA-val rendelkező, de szerveroldali hangtárolást használó eszköz szerkezeti szempontból nagyobb kockázatot jelent, mint egy olyan, amely egyáltalán nem tárol hangot szerveren.

Megjegyzés: az árak és a DPA elérhetősége változhat. Beszerzési döntés előtt ellenőrizze az aktuális részleteket az egyes szolgáltatók weboldalán. A feltüntetett árak 2026 közepe körüli becsült értékek.

Azoknál a csapatoknál, ahol az adatoknak egyáltalán nem szabad elhagyniuk az EU-s infrastruktúrát, részesítsék előnyben azokat a szolgáltatókat, amelyek szerződésben vállalják az EU-s adattárolást, és közzéteszik az aktuális DPA- és alfeldolgozói feltételeket. A kompromisszum gyakran a munkafolyamat: sok EU-ban tárolt átíró termék utólag dolgozza fel a hangot, nem pedig élőben fordít a megbeszélés alatt. Tekintse meg a többnyelvű átírási útmutatónkat a többnyelvű csapatok számára készült utólagos és valós idejű eszközök részletes összehasonlításához.

Azoknak a csapatoknak, amelyeknek élő nyelvi fordításra van szükségük a megbeszélés alatt, és minimalizálni szeretnék a szerveroldali hang-lábnyomot, a MirrorCaption az egyetlen eszköz ebben a táblázatban, amely mindkettőt ötvözi -- nincs bot, nincs hangtárolás, és valós idejű átírás 50+ választható nyelvre történő fordítással. Nézze meg, hogyan hasonlít a MirrorCaption a Fireflies-hoz, ha a csapata jelenleg ezt az eszközt értékeli.

Hogyan kezeli a MirrorCaption a GDPR-t

Itt konkrétak leszünk -- nem azért, mert megfelelőségi marketingállítást akarunk tenni, hanem mert az architektúra valóban eltér a kategória legtöbb eszközétől, és az európai csapatok megérdemlik, hogy közérthetően elmagyarázzuk, mi történik valójában az adataikkal.

Nincs szerveroldali hangtárolás

A MirrorCaption nem őrzi meg a megbeszélés hanganyagát. Az Ön mikrofonjának vagy megbeszélésfülének hangját a MirrorCaption élő átíró motorja valós időben dolgozza fel: a hangcsomagokat szegmensenként szöveggé alakítja, majd az átírás után azonnal eldobja. A MirrorCaption szerverein semmi nem halmozódik fel azon túl, ami a számlázáshoz szükséges (használati percek, nem tartalom). Ez közvetlenül megfelel a GDPR 5. cikk (1) bekezdés c) pontjában szereplő adattakarékossági elvnek: csak azt gyűjtse, amire szüksége van.

Az átiratok a böngészőjében maradnak

Amikor a MirrorCaption egy átiratszegmenst ír, azt a böngésző helyi tárhelyére (IndexedDB) írja -- nem egy MirrorCaption-szerverre. Felügyelt módban az élő hang továbbra is átmegy az átíró és fordító alfeldolgozókon a valós idejű feldolgozás során, de a MirrorCaption infrastruktúrája nem halmoz fel szerveroldali átiratkönyvtárat. Ön továbbra is felelős a saját átirathasználatáért, megőrzéséért és a résztvevők tájékoztatásáért.

Nincs megbeszélési bot

A MirrorCaption soha nem csatlakozik résztvevőként a megbeszéléshez. Nincs bot, nincs hívatlan jelenlévő, nincs botrésztvevő által kiváltott rögzítési értesítés. Ez megszünteti azt a bot-specifikus adatfolyam-problémát, amelyet sok európai IT- és adatvédelmi csapat alaposan felülvizsgál. A megbeszélés résztvevői tudják, ki van a teremben -- mert a MirrorCaption nincs a teremben.

Ez a gyakorlatban is fontos a szigorú IT-biztonsági szabályokkal rendelkező távoli csapatok számára: mivel a MirrorCaption a böngészőfülön keresztül rögzíti a hangot -- nem telepített kliensen vagy botmeghívón keresztül --, jellemzően nem vált ki botblokkoló szabályzatokat, és nem igényel IT-jóváhagyást új megbeszélési résztvevő hozzáadásához.

BYOK mód vállalati kontrollhoz

A MirrorCaption támogatja a Bring Your Own Key (BYOK) módot: a vállalati felhasználók megadhatják saját API-hitelesítő adataikat az élő átírási és AI-fordítási rétegekhez. BYOK módban az Ön szervezete közvetlen szerződéses kapcsolatban áll ezekkel a szolgáltatókkal, és csökkenti a MirrorCaption által kezelt feldolgozási szolgáltatóktól való függést. Ez tisztább szolgáltatói láncot ad a megfelelőségre figyelő csapatoknak az ellenőrzéshez.

Mit kell ellenőrizni vállalati bevezetés előtt

Őszinték szeretnénk lenni abban, hogy a BYOK mód és a hangtárolás nélküli architektúra mit nem old meg teljesen. Felügyelt módban (BYOK nélkül) a hangot a MirrorCaption átíró motorja és AI-fordítási rétege valós időben dolgozza fel -- mindkettő külső szolgáltatás. A hangot nem őrzik meg, de átmegy rajtuk. Azoknak az európai csapatoknak, amelyek szigorú adattárolási követelményekkel dolgoznak, a MirrorCaption nagy léptékű bevezetése előtt a következőket kell tenniük:

• Kérje el a MirrorCaption aktuális Adatfeldolgozási Megállapodását az info@mirrorcaption.com címre írva, és tekintse át a alfeldolgozói listát az aktuális szolgáltatói entitások, szerepek, régiók és adattovábbítási feltételek miatt
• Tekintse át az alfeldolgozói listát, hogy megértse, mely harmadik fél szolgáltatások érintik a hangot a feldolgozás során
• Fontolja meg a BYOK módot, ha a szervezete közvetlen DPA-t igényel minden olyan féllel, amely feldolgozza az Ön hangját

Azoknál a csapatoknál, ahol az EU-s infrastruktúrán kívüli hangátvitel zéró toleranciás követelmény, egy teljesen helyi vagy EU-ban tárolt megoldás (például az EU-s adatközpontokkal rendelkező Amberscript) erősebb választás az adott dimenzióban -- még akkor is, ha ez az élő fordítás feladását jelenti.

Gyakran ismételt kérdések

GDPR-kompatibilis az AI-megbeszélés-átírás?

Az AI-megbeszélés-átírás lehet GDPR-kompatibilis, ha az eszköznek van jogalapja a feldolgozásra (6. cikk), tájékoztatja a résztvevőket (13-14. cikk), Adatfeldolgozási Megállapodást köt az érintett feldolgozókkal (28. cikk), és érvényes adattovábbítási mechanizmust használ, amikor a személyes adatok elhagyják az EU-t/EGT-t. Ez a mechanizmus lehet megfelelőségi határozat, az EU–USA Adatvédelmi Keretrendszerben való részvétel tanúsított amerikai szolgáltatóknál, általános szerződési feltételek, kötelező erejű vállalati szabályok vagy más, a GDPR által jóváhagyott biztosíték. A megfelelőség az architektúrától és a folyamattól függ, nem a marketingjelvényektől. Egy olyan eszköz, amely „GDPR-kompatibilis” címkét jelenít meg anélkül, hogy közzétenné az alfeldolgozói listáját vagy a DPA feltételeit, nem bizonyítja a megfelelőséget -- csak állítja azt.

Szükség van hozzájárulásra egy megbeszélés átírásához az EU-ban?

A GDPR 6. cikke szerinti jogalapra van szükség. Belső megbeszéléseknél gyakran a jogos érdek (6. cikk (1) bekezdés f) pont) alkalmazható, ha ezt az adatvédelmi szabályzatban közlik. Külső felekkel folytatott hívásoknál tájékoztassa a résztvevőket a megbeszélés kezdete előtt, és adjon lehetőséget az ellenvetésre. A kifejezett hozzájárulás nem mindig szükséges, de az átláthatóság mindig az. Szinte minden helyzetben a minimumkövetelmény egy szóbeli vagy írásbeli értesítés az átírás megkezdése előtt.

Használhatok amerikai átíró eszközöket, például az Otter.ai-t Európában?

Igen, de feltételekkel. Ellenőrizze, hogy a szolgáltató aláír-e DPA-t, felsorolja-e az alfeldolgozókat, és megjelöli-e az EU-s személyes adatok adattovábbítási mechanizmusát. Mivel az EU–USA Adatvédelmi Keretrendszer megfelelőségi határozata csak a részt vevő, tanúsított amerikai vállalatokra vonatkozik, más amerikai adattovábbításokhoz általában SCC-kre, kötelező erejű vállalati szabályokra vagy más érvényes GDPR V. fejezet szerinti mechanizmusra van szükség.

Vonatkozik a GDPR a belső megbeszélésekre?

Igen. A GDPR az EU-ban tartózkodó bármely természetes személy személyes adataira vonatkozik, beleértve a munkavállalókat is. A belső megbeszélések átiratai személyes adatokat tartalmaznak (nevek, vélemények, néha egészségügyi vagy pénzügyi részletek), és jogalap, megfelelő megőrzési korlátok és biztonsági intézkedések mellett kell kezelni őket. Az, hogy egy megbeszélés „belső”, nem csökkenti a kötelezettségeit; ez általában azt jelenti, hogy a jogalap a jogos érdek, nem pedig a hozzájárulás.

Mi a GDPR-kockázata egy megbeszélési botnak?

A megbeszélési botok egy további résztvevőt és feldolgozási folyamatot hoznak létre: a SaaS-szolgáltató az Ön nevében rögzíti a hangot, gyakran a saját szerverein tárolva azt. Ez hozzáadja a 28. cikk szerinti kötelezettségeket (DPA szükséges a szolgáltatóval), az adattovábbítás-felülvizsgálati követelményeket, ha a szerverek az EU/EGT-n kívül vannak, valamint a résztvevői átláthatósági követelményeket az Ön saját kötelezettségei mellé. Amikor egy bot csatlakozik egy megbeszéléshez, nem passzív helyi eszközként működik -- hanem aktív adatfeldolgozóként, saját jogi kapcsolattal a megbeszélési adataihoz. Sok európai IT-részleg pontosan ezért blokkolja a botok csatlakozását a megbeszélésekhez.

Hogyan csökkenti a GDPR-kockázatot a szerveroldali hangtárolás hiánya?

A GDPR 5. cikk (1) bekezdés c) pontja szerint csak a szükséges adatokat szabad gyűjteni (adattakarékosság). Ha a hangot valós időben dolgozzák fel, és nem őrzik meg, nincs tartós hangtár, amelyet védeni, keresni vagy törölni kellene. A maradék lábnyom az átiratokra és az átmeneti feldolgozási metaadatokra tolódik -- és ha az átiratok a felhasználó böngészőjében maradnak, a tartós szerveroldali kitettség tovább csökken. Ez nem teljes megfelelőségi válasz: továbbra is szükség van jogalapra, résztvevői átláthatóságra, alfeldolgozói felülvizsgálatra és adott esetben érvényes adattovábbítási mechanizmusra.

A lényeg

Képzeljen el egy megfelelőségi vezetőt egy barcelonai fintech cégnél, akinek jogi csapata egy korábbi átíró eszközben hangmegőrzési kockázatokat jelöl meg. A szolgáltatói áttekintés során a MirrorCaption azért tűnik ki, mert valós idejű többnyelvű lefedettséget kombinál szerveroldali hangtárolás nélküli és böngészőben maradó átiratokkal. Ez az architektúra megkönnyítheti az adatvédelmi felülvizsgálatot, de nem helyettesíti a beszerzési átvilágítást: a következő lépés továbbra is a DPA, az alfeldolgozók és a vállalati bevezetéshez szükséges adattovábbítási feltételek megerősítése.

Egyetlen eszköz sem „teljesen GDPR-kompatibilis” önmagában -- a megfelelőség az eszközarchitektúra, az Ön hozzájárulási folyamatai és a belső adatirányítás kombinációja. De az eszközarchitektúra az, ahol el kell kezdeni. Egy olyan eszköz, amely soha nem tárol hangot, kisebb kockázatot hordoz, mint egy olyan, amely tárolja, függetlenül attól, hogy bármelyik szolgáltató marketingoldala mit állít. Használja az ebben a cikkben szereplő négy szintű kockázati keretrendszert a rövidlista szűrésére, majd a szerződés aláírása előtt ellenőrizze a DPA-kat, az alfeldolgozókat, a megőrzési feltételeket és az adattovábbítási mechanizmusokat.

Az AI-megbeszélési eszközök adatvédelmi szempontjainak mélyebb áttekintéséhez tekintse meg az AI-megbeszélés-összefoglalók adatvédelméről szóló elemzésünket -- ez bemutatja, hogy a különböző eszközök mit tesznek a megbeszélés tartalmával a hívás vége után.