AI Voice Recorder GDPR SOC 2 ComplianceWelke leveranciers voldoen aan de eisen en hoe kunt u dat controleren?

Deze pagina bevat algemene informatie en is geen juridisch advies.ceAls u nu een controle wilt uitvoeren, Ga direct naar de checklist met zeven stappen. Als je wilt Comueigen standpunt, overslaan naar Comu's klachtce feiten.

Wat houdt de AVG in? SOC 2, HIPAA en CCPA betekent voor een AI-stemce recorder?

Het zijn drie verschillende soorten zaken. GDPR en CCPA zijn wetten, HIPAA is een geheel van Amerikaanse federale regels, en SOC 2 Het is een onderzoek door een onafhankelijke registeraccountant dat resulteert in een rapport. Het soort onderzoek bepaalt welk bewijsmateriaal wordt geaccepteerd.ce Een verkoper kan het je overhandigen.

Kan een leverancier AVG-gecertificeerd zijn? ceGecertificeerd, of slechts conform?

GDPR is een regelgeving, dus een leverancier voldoet eraan of niet, en een ceHet behalen van een certificaat is een aparte, vrijwillige stap. De verordening voorziet in vrijwillige cecertificering: Artikel 42 zegt ceDe certificering is vrijwillig (paragraaf 3) en vermindert nietce de verantwoordelijkheid van de controller of processor voor klachtce (paragraaf 4), en wordt afgegeven voor een maximale periode van drie jaar (paragraaf 7). Een verkoper die een dergelijke vergunning bezit ceEen certificaat kan dat aantonen. Een leverancier zonder certificaat kan nog steeds aan de eisen voldoen, en bewijst dat door middel van zijn contract en werkwijze.ceS.

Twee rollen zijn van belang. Artikel 4 definieert de verwerkingsverantwoordelijke als de partij die de doeleinden en middelen van de verwerking bepaalt.cezingen, en de processor als de partij die proceverwerkt persoonsgegevens namens de verwerkingsverantwoordelijke. Wanneer uw bedrijf besluit vergaderingen op te nemen en de leverancier dit doet,ceUw bedrijf is de verwerkingsverantwoordelijke en de leverancier is de producent.cessor.

Artikel 28 stelt de regels vast voor die relatie:

• De controller gebruikt alleen processors die voldoende garanties bieden (artikel 28(1)).
• De professionalcessor schakelt een andere professional incessor alleen met de voorafgaande schriftelijke toestemming van de verwerkingsverantwoordelijke, en stelt de verwerkingsverantwoordelijke op de hoogte van de voorgenomen wijzigingen zodat de verwerkingsverantwoordelijke bezwaar kan maken (artikel 28(2)).
• ProceDe dienstverlening wordt geregeld door een bindend schriftelijk contract dat het onderwerp, de duur, de aard en het doel van de dienstverlening omvat.cessing, het type persoonsgegevens en de verplichtingen en rechten van de verwerkingsverantwoordelijke (artikel 28, lid 3 en 9). Deze overeenkomst is de gegevensbeschermingsovereenkomst.cegegevensverwerkingsovereenkomst, ofwel DPA.

Voldoet mijn AI-recorder aan de AVG? Een test van 15 minuten.

Open de pagina met informatie over de leverancier en zoek naar drie documenten. Elk document verwijst naar een artikel dat u zelf kunt lezen.

1. Een gegevensverwerkingsovereenkomst die u kunt ondertekenen of downloaden. Artikel 28(3) vereist één voor elke processor relatie.
2. Een sub-proceSsor-lijst met een manier om wijzigingsmeldingen te ontvangen.ceS. Artikel 28(2) geeft de verwerkingsverantwoordelijke het recht om op de hoogte te worden gesteld van toevoegingen en vervangingen.cements.
3. Een verwijderingsroute. Artikel 28(3)(g) vereist dat de processor om alle persoonlijke gegevens aan het einde van de dienstverlening te verwijderen of terug te sturence, naar keuze van de controllerceArtikel 17 geeft individuen het recht op verwijdering op specifieke gronden.

Als alle drie aanwezig zijn, ga dan verder met de zevenstappenchecklist hieronder. Als er één ontbreekt, vraag de leverancier dan schriftelijk om toestemming voordat u gevoelige informatie vastlegt.

Wat is een SOC 2 rapport, en wat doet een AI-notulist? SOC 2 bewering bewijzen?

A SOC 2 Een rapport is het schriftelijke resultaat van een onderzoek uitgevoerd door een ambtenaar.ceEen onafhankelijke registeraccountant (CPA) onder de AICPA-attestatiestandaarden. Het onderzoek evalueert de controles die relevant zijn voor de beveiliging, beschikbaarheid en betrouwbaarheid van de systemen.ceHet waarborgen van de integriteit, vertrouwelijkheid of privacy van de systemen van een organisatie (AICPA, 28 oktober 2026). De rapporten bieden de klanten van een leverancier onafhankelijke zekerheid.ce dat de controlemechanismen op passende wijze zijn ontworpen en effectief functioneren (Journal of Accountancy, februari 2026).

Uit die definitie volgen drie punten.

• Het is een rapport. Het onderzoek leverde opceeen schriftelijk rapport, dus het rapport is het document dat je bij een leverancier moet opvragen.
• Een liceHet accountantskantoor nsed ondertekent het. De AICPA verklaart dat zij zal optreden tegen accountants die zich niet aan de regels houden.ceof niet ingeschreven voor collegiale toetsing, en het verwijst naar onbeperktceDe bedrijven en accountants worden doorverwezen naar de accountantsraden van de verschillende staten. De bedrijfsnaam op het rapport is controleerbaar.
• Het gebruik ervan is beperkt. SOC 2 Rapporten zijn beperkt tot specifieke partijen met voldoende kennis van de dienstverlening.ce het systeem van de organisatie.

Wat is het verschil?ce tussen SOC 2 Type I en Type II?

Een Type I-rapport heeft betrekking op de beheersmaatregelen zoals die golden op een specifieke datum. Een Type II-rapport beschrijft daarnaast of die beheersmaatregelen effectief hebben gewerkt.

Lees de datum op een SOC 2 Rapporteer het eerst, voordat u iets anders doet.

Ook de AICPA wijzigt de criteria. In het conceptvoorstel van 28 oktober 2026 wordt Trust Servi voor 2027 voorgesteld.ceCriteria met nieuwe aandachtspunten voor AI, waaronder het beheer van trainingsdata. Er kan tot 15 januari 2027 commentaar worden geleverd en de criteria zouden, indien goedgekeurd, van toepassing zijn op projecten die starten op of na 31 december 2027.

Wat maakt een HIPAA conforme AI-stemce recorder?

Voor een HIPAA conforme AI-stemce Als recorder is het doorslaggevende document een overeenkomst met een zakelijke partner. HHS definieert een zakelijke partner als een persoon of organisatie die namens een gedekte entiteit functies of activiteiten uitvoert die betrekking hebben op het creëren, herstructureren, herstructureren, herstructureren en herstructureren van documenten.cehet opnemen, bewaren of verzenden van beschermde gezondheidsinformatie (PHI). HHS noemt voorbeelden die goed aansluiten bij AI-recorders: een cloudservicece leverancier die opslaat of processes elektronische PHI, en "de leverancier van een app die transcriptiediensten levertcenaar een arts."

De HIPAA Regels staan ​​een entiteit die onder de wet valt toe om beschermde gezondheidsinformatie (PHI) te delen met een zakelijke partner, mits de entiteit voldoende garanties verkrijgt.cedat de zakenpartner de informatie op passende wijze zal beschermen.De verzekeringceDeze overeenkomsten nemen de vorm aan van een contract of andere schriftelijke afspraak, die HHS een 'business associate agreement' noemt. De overeenkomst moet:

• Beschrijf het toegestane en verplichte gebruik en de openbaarmaking van persoonsgebonden gezondheidsinformatie;
• op voorwaarde dat de zakelijke partner de beschermde gezondheidsinformatie niet zal gebruiken of verder zal openbaar maken, anders dan zoals de overeenkomst toestaat of de wet vereist.

Een zakelijke partner moet ook een BAA (Business Associate Agreement) ondertekenen met zijn eigen onderaannemers voordat hij beschermde gezondheidsinformatie aan hen openbaart (HHS, inhoud laatst herzien op 21 oktober 2026). Dus een HIPAA bewering van een AI-stemce De leverancier van de recorder is geverifieerd op twee plaatsen.ces: u beschikt over een ondertekende BAA, en de onderaannemer van de leverancier...ceDe verzekeringen worden door de verzekering zelf gedekt.

Wat vereist de CCPA?

De California Consumer Privacy Act (CCPA) geeft inwoners van Californië rechten met betrekking tot hun persoonlijke gegevens (California Attorney General, bijgewerkt op 28 augustus 2026). Ze kunnen te weten komen welke persoonlijke gegevens een bedrijf verzamelt, deze verwijderen, zich afmelden voor de verkoop of het delen ervan, deze corrigeren en het gebruik van gevoelige persoonlijke gegevens beperken. Wanneer u een bedrijf vraagt ​​uw gegevens te verwijderen, moet het bedrijf zijn dienstverleners hiervan ook op de hoogte stellen.ce aanbieders moeten hetzelfde doen, onder voorbehoud van exceopties zoals wettelijke bewaarplichten.

De CCPA is van toepassing op winstgevende bedrijven die zaken doen in Californië en aan een van de volgende drie criteria voldoen:

• meer dan 25 miljoen dollar aan bruto jaarinkomsten;
• het kopen, verkopen of delen van de persoonlijke gegevens van 100.000 of meer inwoners of huishoudens van Californië;
• Het behalen van 50% of meer van de jaarlijkse omzet uit de verkoop van persoonlijke gegevens van inwoners van Californië.

CCPA is een wet, dus het juiste woord is "conform".

Hoe controleer ik de stem van een AI-systeem?ce recorder voor GDPR en SOC 2

Voer de zeven onderstaande stappen uit op de vertrouwenspagina, de beveiligingspagina en het privacybeleid van een willekeurige leverancier en noteer elk antwoord met de datum waarop u de controle hebt uitgevoerd.

Stap 1: Zoek het rapporttype en de datum op.

Zoek naar de woorden "SOC". 2" en noteer vier feiten: Type I of Type II, de naam van het accountantskantoor, de datum of data waarop het rapport betrekking heeft, en de trustservice.ces categorieën binnen het toepassingsgebied. Een AI-notitiemaker SOC 2 Een claim zonder datum is een claim die je niet kunt beoordelen.

• Geef de voorkeur aan een Type II-rapport, dat ook de operationele effectiviteit omvat, en controleer of de datum ervan correct is.cent.
• Controleer of de categorieën beveiliging en vertrouwelijkheid omvatten, aangezien opnames en transcripties vertrouwelijke informatie zijn.
• Controleer of het systeem waar het om gaat het product is dat u gebruikt: de app, de cloud waarin opnames worden opgeslagen en de AI-professional.cezingen.
• Zoek het accountantskantoor op en bevestig dat het een erkend kantoor is.censed bedrijf.

Vraag: "Welke SOC 2 Welk rapport heeft u in uw bezit, door welk accountantskantoor is het opgesteld, welke periode heeft het betrekking en welke categorieën en systemen vallen binnen de scope?

Stap 2: Verzamel de gegevenscesing overeenkomst

Zoek de link naar de DPA op de trustpagina of in de voettekst. Download het document en vergelijk het met artikel 28(3).In het contract moet worden vermeld dat de leverancier:

Vraag: "Kunt u de gegevensverwerkingsovereenkomst ter ondertekening opsturen, en welke partij ondertekent deze?"

Stap 3: Lees de sub-processorlijst

Een AI-stemce De recorder is doorgaans afhankelijk van andere bedrijven voor cloudopslag, spraak-naar-tekstconversie en taalmodellen. Artikel 28(2) laat de processor schakel een andere professional incessor alleen met uw toestemming, en vereist dat het u op de hoogte stelt van voorgenomen toevoegingen en vervangingen.ceArtikel 28(4) vereist dat dezelfde verplichtingen inzake gegevensbescherming worden doorgegeven aan elke sub-onderneming.cessor.

• Zoek de sub-proceMaak een lijst en noteer welke bedrijven audio, transcripties en AI-professionals ondersteunen.cezingen.
• Vind de manier om opnieuwceIk heb een wijzigingsmelding ontvangen.ces, zoals een e-mailabonnement.
• Voor HIPAABevestig dat elke onderaannemer die met patiëntgegevens werkt, onder een eigen BAA valt.

Vraag: "Waar bevindt zich uw huidige onderaannemer?"cessorlijst, en hoe laat je me weten voordat je er een toevoegt?

Stap 4: Bevestig waar de gegevens zijn opgeslagen en processed

Zoek de regio waar opnames en transcripties worden opgeslagen, en de regio's waar proceDat gebeurt. Artikel 44 staat de overdracht van persoonsgegevens naar een derde land alleen toe als de verwerkingsverantwoordelijke en de ontvanger voldoen aan de voorwaarden van hoofdstuk V van de AVG.cessor. Artikel 28(3)(a) koppelt overdrachten aan uw gedocumenteerde instructies.

• Noteer het opslaggebied en de procezingende regio's.
• Zoek het overdrachtsmechanisme op dat in de DPA wordt genoemd als gegevens de Europese Economische Ruimte verlaten.
• Controleer of de back-ups dezelfde regionale regels volgen.

Vraag: "In welke regio's zijn audio, transcripties en AI-professionals beschikbaar?"cessing is gevestigd, en welk juridisch mechanisme dekt een eventuele overdracht buiten de EER?

Stap 5: Controleer de bewaartermijn en verwijdering.

Zoek uit hoe lang opnames, transcripten en back-ups worden bewaard en hoe u ze verwijdert. Artikel 28(3)(g) behandelt verwijdering aan het einde van de dienst.ceArtikel 17 behandelt verzoeken om verwijdering. Voor inwoners van Californië omvat het CCPA-recht op verwijdering ook het informeren van de dienstverlener.ce Ook providers om te verwijderen.

• Kijk of je binnen het product opnames kunt verwijderen: kun je één opname verwijderen en wordt het transcript dan ook verwijderd?
• Kijk naar de optie voor het verwijderen van een account en wat er daarbij wordt verwijderd.
• Vraag hoe lang back-ups verwijderde gegevens bewaren.

Vraag: "Wat is de bewaartermijn voor audiobestanden, transcripties en back-ups, en hoe krijg ik een schriftelijke bevestiging van verwijdering?"

Stap 6: Lees het trainingsbeleid

Zoek de zince Dat geeft aan of de leverancier uw opnames of transcripties gebruikt om AI-modellen te trainen, en of hij deze doorgeeft aan een modelaanbieder die ze traint. Artikel 28(3)(a) beperkt een proceVolgens uw schriftelijke instructies is het recht om u af te melden, dus vraag waar in het contract de training over uw gegevens wordt behandeld. Het CCPA-recht om u af te melden is van toepassing op de verkoop of het delen van persoonlijke informatie.

• U vindt dit beleid in het privacybeleid en in de gegevensverwerkingsovereenkomst, aangezien deze twee overeen moeten komen.
• Controleer of de instelling standaard is in- of uitgeschakeld en wie deze mag wijzigen.
• Controleer wat de modelaanbieders van de leverancier met uw gegevens mogen doen.

Vraag: "Heeft u of een onderaannemer..."ceMogen we mijn audio of transcripties gebruiken om AI-modellen te trainen of te verbeteren? Waar staat dat in het contract?

Stap 7: Vraag het rapport en de bijbehorende documenten aan.

SOC 2 Rapporten zijn alleen beschikbaar voor specifieke partijen, dus vraag het rapport aan in plaats van te zoeken naar een downloadknop.

1. Stuur de vragen uit stap 1 tot en met 6 per e-mail naar de beveiligings- of verkoopcontactpersoon van de leverancier.
2. Vraag naar de SOC 2 rapport, de DPA, de sub-processor-lijst en, voor gezondheidsgegevens, de BAA.
3. Wanneer de SOC 2 Zodra het rapport binnen is, lees je de conclusie van de accountant en de reikwijdte van de controle. Vergelijk de datums met de datums die je in stap 1 hebt genoteerd.
4. Bewaar de documenten met de datum waarop u ze heeft ontvangen.ceIk heb ze ontvangen en een herinnering ingesteld om het volgende rapport aan te vragen.

Vraag: "Stuur alstublieft uw meest recente SOC 2 rapport onder geheimhoudingsvoorwaarden, plus de DPA, de sub-processorlijst en de BAA."

Scorekaart in zeven stappen

Wat zijn Comu's AVG, HIPAA, SOC 2 En feiten over de CCPA?

Comu heeft de AVG aangenomen, HIPAA En SOC 2, En Comu Voldoet aan de CCPA-regelgeving (gecontroleerd op 9 november 2026).

Toestemming is een aparte verplichting, los van gegevensbeveiliging. Vertel de andere persoon dat je opneemt. De wetgeving rondom het opnemen van gesprekken verschilt per land en het is jouw verantwoordelijkheid om je daaraan te houden.

Comu Action Pro kosten €179.99 in de EU-winkel (gecontroleerd op 6 november 2026), en de gratis Starter Het plan wordt geleverd met de devi.ce.

Veelgestelde vragen

Voldoet aan de AVG?ce hetzelfde als GDPR certificatie?

Nee. GDPR-conformce Dit betekent dat een leverancier de regelgeving naleeft in de manier waarop hij te werk gaat.cesses persoonsgegevens, en u verifieert dit via de DPA, de sub-processorlijst en de verwijderingsvoorwaarden. Cecertificering is een aparte, vrijwillige route onder artikel 42, die voor maximaal drie jaar wordt afgegeven door een ceeen certificeringsinstantie of een toezichthoudende autoriteit. Een leverancier kan voldoen aan de eisen, al dan niet met een certificeringsinstantie. cecertificaat.

Doet een SOC 2 Betekent dit dat een AI-notitieprogramma nooit traint op mijn opnames?

Lees het trainingsbeleid van de leverancier in het privacybeleid en de gegevensverwerkingsovereenkomst, want een SOC 2 Het rapport is een onderzoek naar controles die relevant zijn voor beveiliging, beschikbaarheid en prestaties.ceintegriteit, vertrouwelijkheid of privacy in gevaar brengen. Comu gebruikt uw gegevens niet om AI te trainen.

Wat is het verschil?ce tussen SOC 2 Type I en Type II?

Een Type I-rapport beoordeelt of de beheersmaatregelen op een bepaalde datum adequaat zijn ontworpen. Een Type II-rapport beoordeelt daarnaast ook of ze effectief functioneerden. Lees eerst de datum op het rapport.

Heb ik een overeenkomst met een zakelijke partner nodig om een ​​AI-spraakdienst te gebruiken?ce recorder voor patiëntbezoeken?

Als u een HIPAA de betrokken entiteit en de leverancier creëert, hercebewaart, beheert of verzendt namens u persoonsgebonden gezondheidsinformatie (PHI). HIPAA vereist een bevredigende garantiecein een contract of andere schriftelijke overeenkomst, die HHS een zakelijke partnerovereenkomst noemt. HHS noemt een cloudservicece provider en de leverancier van een app die transcriptiediensten levertceeen arts als voorbeeld van een zakenpartner.

Is CCPA een certificatie?

Nee. De CCPA is een wet van Californië, dus een bedrijf voldoet eraan of niet. De procureur-generaal van Californië beschrijft de rechten die de wet aan inwoners geeft: inzage in, verwijdering van, bezwaar tegen verkoop of delen van gevoelige persoonsgegevens, correctie en beperking van het gebruik ervan. Comu voldoet aan de CCPA-richtlijnen.

Waar vind ik de onderaannemer van een leverancier?cessorlijst?

Kijk op de pagina over vertrouwen, de links in de voettekst, het privacybeleid en de bijlagen van de DPA. Artikel 28(2) vereist een processor om de controller te informeren over voorgenomen wijzigingen in sub-processors, dus een leverancier moet ook een manier bieden om opnieuwceik heb het opgemerktceAls u de actuele lijst niet kunt vinden, kunt u contact opnemen met de supportafdeling.

Is Comu AVG, HIPAA En SOC 2 meewerkend?

Ja. Comu heeft de AVG aangenomen, HIPAA En SOC 2 (gecontroleerd op 9 november 2026). Comu voldoet ook aan de CCPA-richtlijnen.

Kan ik mijn opnames verwijderen van Comu?

Ja. In de Comu Met deze app kun je een enkel audiobestand verwijderen, waarbij de bijbehorende tekst ook wordt verwijderd. Je kunt ook contacten verwijderen of je hele account wissen, waardoor al je gegevens worden verwijderd.

Doet Comu Mijn opnames gebruiken om AI te trainen of mijn gegevens verkopen?

Nee. Comu Verkoopt geen gegevens aan derden en gebruikt uw gegevens niet om AI te trainen. Bestanden zijn volledig versleuteld.

Gerelateerde artikelen

• Comu AI-transcriptie, samenvattingen & Functiegids

ZuurceS

Gecontroleerd op 9 november 2026.

1. Europese Unie, Verordening (EU) 2016/679 (AVG), Artikelen 4, 17, 28, 42 en 44, EUR-Lex: https://eur-lex.europa.eu/legal-content/EN/TXT/HTML/?uri=CELEX:32016R0679
2. AICPA & CIMA, Systeem- en Organisatiecontrole: SOC Suite of ServicesceS: https://www.aicpa-cima.com/resources/landing/system-and-organization-controls-soc-suite-of-services
3. AICPA & CIMA, "AICPA stelt een update voor van SOC 2 VertrouwensserviceceCriteria" (28 oktober 2026): https://www.aicpa-cima.com/news/article/aicpa-proposes-update-of-soc-2-r-trust-services-criteria-to-enhance-the-relevance-usability-and-value-of-cpas-reports
4. Tijdschrift voor Accountancy, "Belofte van 'snel en gemakkelijk' bedreigt de geloofwaardigheid van de SOC" (februari 2026): https://www.journalofaccountancy.com/issues/2026/feb/promises-of-fast-and-easy-threaten-soc-credibility/
5. AICPA & CIMA, "Het handhaven van hoge normen voor SOC-opdrachten": https://www.aicpa-cima.com/professional-insights/video/maintaining-high-standards-for-soc-engagements
6. U.S. Ministerie van Volksgezondheid en Sociale Zakences, Veelgestelde vragen van zakelijke partners (inhoud laatst herzien op 21 oktober 2026): https://www.hhs.gov/hipaa/for-professionals/privacy/guidance/business-associates/index.html
7. Procureur-generaal van Californië, California Consumer Privacy Act (bijgewerkt op 28 augustus 2026): https://oag.ca.gov/privacy/ccpa