AI Voice Inspelare GDPR SOC 2 FöljsamceVilka är kompatibla och hur man kontrollerar vilken leverantör som helst

Den här sidan är allmän information, inte juridisk rådgivningceOm du vill göra en kontroll just nu, gå till checklistan i sju steg. Om du vill Comuegen position, hoppa till Comus efterlevnadce fakta.

Vad gör GDPR, SOC 2, HIPAA och CCPA-medelvärde för en AI-voice inspelare?

Det är tre olika saker. GDPR och CCPA är lagar, HIPAA är en uppsättning amerikanska federala regler, och SOC 2 är en granskning av en oberoende auktoriserad revisor som slutar i en rapport. Den typ av sak det är avgör vilka bevisce en säljare kan ge dig.

Kan en leverantör vara GDPR-skyddad? cecertifierad, eller endast kompatibel?

GDPR är en förordning, så en leverantör följer den eller inte, och en ceCertifieringen är ett separat, frivilligt steg. Förordningen föreskriver frivillig ceBekräftelse: Artikel 42 säger cecertifiering är frivillig (punkt 3), minskar intece den registeransvariges eller den ansvariges ansvarcessor för efterlevnadce (punkt 4) och utfärdas för högst tre år (punkt 7). En säljare som innehar ett sådant cecertifikatet kan visa det. En leverantör utan ett sådant certifikat kan fortfarande uppfylla kraven, och bevisar det genom sitt avtal och sin praxis.ces.

Två roller spelar roll. Artikel 4 definierar den registeransvarige som den part som bestämmer syftena och medlen för bearbetning.cessing, och proffsetcessor som det parti som procehanterar personuppgifter för den personuppgiftsansvariges räkning. När ditt företag beslutar att spela in möten och leverantören procehanterar inspelningarna för sin räkning, ditt företag är registeransvarig och leverantören är producentencessör.

Artikel 28 anger reglerna för det förhållandet:

• Styrenheten använder endast proffscegivare som ger tillräckliga garantier (artikel 28(1)).
• Proffsetcessor anlitar en annan proffsceendast med den registeransvariges skriftliga förhandsgodkännande och informerar den registeransvarige om planerade ändringar så att den registeransvarige kan invända (artikel 28(2)).
• Proceavtalet regleras av ett bindande skriftligt avtal som täcker föremålet, varaktigheten, arten och syftet med projektet.ceutlämnande, typen av personuppgifter och den registeransvariges skyldigheter och rättigheter (artikel 28(3) och (9)). Detta avtal är dataskyddetceavtal om utgivning, eller DPA.

Är min AI-inspelare GDPR-kompatibel? Ett 15-minuterstest

Öppna leverantörens förtroendesida och leta efter tre dokument. Var och en länkar till en artikel som du kan läsa själv.

1. Ett personuppgiftsavtal som du kan underteckna eller ladda ner. Artikel 28(3) kräver en för varje yrkespersoncessor-förhållande.
2. En subproffscessor-lista med ett sätt att få växelmeddelandences. Artikel 28(2) ger den registeransvarige rätt att bli informerad om tillägg och ersättningarcement.
3. En raderingsväg. Artikel 28(3)(g) kräver att proceatt radera eller återlämna alla personuppgifter i slutet av tjänstence, vid handkontrollens valceArtikel 17 ger enskilda personer rätt till radering av specifika skäl.

Om alla tre finns, gå vidare till checklistan med sju steg nedan. Om en saknas, fråga leverantören skriftligen innan du registrerar något känsligt.

Vad är en SOC 2 rapport, och vad gör en AI-anteckningsskrivare SOC 2 bevisa påståendet?

En SOC 2 rapport är det skriftliga resultatet av en undersökning utförd av enceoberoende auktoriserad auktoriserad revisor enligt AICPA:s attesteringsstandarder. Examinationen utvärderar kontroller som är relevanta för säkerhet, tillgänglighet ochcesäkerhet av integritet, konfidentialitet eller sekretess för en organisations system (AICPA, 28 oktober 2026). Rapporterna ger en leverantörs kunder oberoende garantierce att dess kontroller är lämpligt utformade och fungerar effektivt (Journal of Accountancy, februari 2026).

Tre punkter följer av den definitionen.

• Det är en rapport. Examinationsproduktenceen skriftlig rapport, så rapporten är det dokument som ska be en leverantör om.
• En liceEn nsed CPA-byrå skriver under det. AICPA uppger att de kommer att agera mot revisorer som inte är upprättade.censed eller inte inskriven i peer review, och den hänvisar obegränsatceregistrerade företag och advokater till statliga revisionsnämnder. Företagsnamnet på rapporten är kontrollbart.
• Det är begränsad användning. SOC 2 rapporter är begränsade till specifika parter med tillräcklig kunskap om tjänstence organisationens system.

Vad är skillnadence mellan SOC 2 Typ I och typ II?

En typ I-rapport täcker kontroller från ett specifikt datum. En typ II-rapport täcker även huruvida dessa kontroller fungerade effektivt.

Läs datumet på en SOC 2 rapportera före allt annat.

AICPA ändrar också kriterierna. Dess utkast till presentation av den 28 oktober 2026 föreslår 2027 års Trust ServiceceKriterier med nya fokuspunkter för AI, inklusive hantering av träningsdata. Offentliga kommentarer är öppna till och med den 15 januari 2027, och kriterierna skulle gälla för uppdrag som börjar den 31 december 2027 eller senare om de godkänns.

Vad som gör en HIPAA kompatibel AI voice inspelare?

För en HIPAA kompatibel AI voice inspelare, det avgörande dokumentet är ett avtal om affärspartner. HHS definierar en affärspartner som en person eller organisation som utför funktioner eller aktiviteter för en täckt enhets räkning som innefattar att skapa, återskapacebevara, underhålla eller överföra skyddad hälsoinformation (PHI). HHS listar exempel som stämmer väl överens med AI-inspelare: en molntjänstce leverantör som lagrar eller säljercesses elektroniska PHI, och "leverantören av en app, som tillhandahåller transkriptionstjänstercetill en läkare."

De HIPAA Regler tillåter en omfattad enhet att avslöja PHI till en affärspartner om den omfattade enheten erhåller tillfredsställande försäkran.ceatt affärspartnern kommer att skydda informationen på lämpligt sätt.Assuranences ta formen av ett kontrakt eller annan skriftlig överenskommelse, vilket HHS kallar ett affärsavtal. Avtalet måste:

• beskriva tillåtna och obligatoriska användningar och upplysningar om PHI;
• föreskriva att affärspartnern inte kommer att använda eller vidarebefordra PHI annat än vad avtalet tillåter eller lagen kräver.

En affärspartner måste också underteckna ett BAA med sina egna underleverantörer innan de lämnar ut PHI till dem (HHS, innehåll senast granskat 21 oktober 2026). Så en HIPAA anspråk från en AI-voice leverantören av inspelaren verifieras på två sättces: du innehar ett undertecknat BAA, och säljarens underleverantörsavtalcessors täcks av sina egna.

Vad kräver CCPA?

Kaliforniens konsumentskyddslag ger invånare i Kalifornien rättigheter över sin personliga information (Kaliforniens justitieminister, uppdaterad 28 augusti 2026). De kan ta reda på vilken personlig information ett företag samlar in, radera den, välja bort försäljning eller delning av den, korrigera den och begränsa användningen av känslig personlig information. När du ber ett företag att radera dina uppgifter måste det också informera sina tjänstemän om...ce leverantörer att göra detsamma, med förbehåll för excealternativ såsom lagstadgade arkiveringsskyldigheter.

CCPA gäller för vinstdrivande företag som bedriver verksamhet i Kalifornien och uppfyller något av tre krav:

• mer än 25 miljoner dollar i bruttoårsintäkter;
• köpa, sälja eller dela personuppgifter för 100 000 eller fler invånare eller hushåll i Kalifornien;
• tjänar 50 % eller mer av sin årliga intäkt från försäljning av personuppgifter från invånare i Kalifornien.

CCPA är en lag, så det korrekta ordet är "kompatibel".

Hur man kontrollerar AI-voice inspelare för GDPR och SOC 2

Kör de sju stegen nedan på valfri leverantörs förtroendesida, säkerhetssida och integritetspolicy och skriv ner varje svar med datumet du kontrollerade.

Steg 1: Hitta rapporttyp och datum

Leta efter orden "SOC" 2" och registrera fyra fakta: Typ I eller Typ II, namnet på CPA-byrån, datumet eller datumen som rapporten täcker och förtroendetjänstencekategorier inom omfattningen. En AI-anteckningsmaskin SOC 2 Ett påstående utan datum är ett påstående du inte kan väga.

• Föredra en typ II-rapport, som även täcker driftseffektiviteten, och kontrollera att dess datum är korrekt.cent.
• Kontrollera att kategorierna inkluderar säkerhet och sekretess, eftersom inspelningar och transkriptioner är konfidentiellt material.
• Kontrollera att systemet i fråga är den produkt du använder: appen, molnet som lagrar inspelningar och AI-proffsetcessing.
• Sök upp CPA-byrån och bekräfta att det är ett licensed-företag.

Fråga: "Vilken SOC 2 Vilken rapport innehar du, vilket revisorsföretag som utfärdade den, vilka datum den täcker och vilka kategorier och system som omfattas?"

Steg 2: Skaffa dataexpertenceavtal

Hitta länken till dataskyddsförordningen (DPA) på förtroendesidan eller i sidfoten. Ladda ner den och jämför den med artikel 28(3).Avtalet ska ange att säljaren:

Fråga: "Kan ni skicka in DPA:n för underskrift, och vilken enhet skriver under den?"

Steg 3: Läs undertextencessor-lista

En AI-voice inspelaren förlitar sig vanligtvis på andra företag för molnlagring, tal-till-text och språkmodeller. Artikel 28(2) låter proceeller anlita ett annat proffsceendast med ditt tillstånd, och kräver att den informerar dig om avsedda tillägg och ersättningarcement. Artikel 28(4) kräver att samma dataskyddsskyldigheter ska gälla för varje delprocessör.

• Hitta subproffsetcelista och notera vilka företag som hanterar ljud, transkriptioner och AI-proffscessing.
• Hitta vägen att återceive förändring notices, till exempel en e-postprenumeration.
• För HIPAA, bekräfta att varje underleverantör som berör PHI omfattas av dess egen BAA.

Fråga: "Var är din nuvarande subproffs?"cessor-lista, och hur meddelar ni mig innan ni lägger till en?"

Steg 4: Bekräfta var informationen lagras och följ instruktionerna.cessed

Hitta regionen där inspelningar och transkript lagras, och regionerna där processning sker. Artikel 44 tillåter endast överföring av personuppgifter till ett tredjeland om villkoren i kapitel V i GDPR uppfylls av den personuppgiftsansvarige och den som behandlar detta.ceArtikel 28(3)(a) kopplar överföringar till dina dokumenterade instruktioner.

• Skriv ner lagringsregionen och proceregioner.
• Hitta den överföringsmekanism som anges i dataskyddsavtalet om uppgifter lämnar Europeiska ekonomiska samarbetsområdet.
• Kontrollera att säkerhetskopior följer samma regionregler.

Fråga: "I vilka regioner finns ljud, transkriptioner och AI-proffs"cevarifrån den befinner sig, och vilken rättslig mekanism täcker all överföring utanför EES?"

Steg 5: Kontrollera lagring och borttagning

Ta reda på hur länge inspelningar, transkriptioner och säkerhetskopior sparas och hur du raderar dem. Artikel 28(3)(g) omfattar radering i slutet av tjänsten.ceArtikel 17 omfattar begäranden om radering. För invånare i Kalifornien inkluderar CCPA:s rätt att radera att meddela tjänstence leverantörer att också radera.

• Leta efter borttagning i produkten: kan man ta bort en inspelning, och följer transkriptionen med?
• Leta efter borttagning av konto och vad det tar bort.
• Fråga hur länge säkerhetskopior lagrar raderad data.

Fråga: "Vad är lagringsperioden för ljud, transkriptioner och säkerhetskopior, och hur får jag en skriftlig bekräftelse på radering?"

Steg 6: Läs utbildningspolicyn

Hitta meningence som anger om leverantören använder dina inspelningar eller transkript för att träna AI-modeller, och om den skickar dem till en modellleverantör som tränar på dem. Artikel 28(3)(a) begränsar en procei enlighet med dina dokumenterade instruktioner, så fråga var kontraktet tar upp utbildning om dina uppgifter. CCPA:s rätt att välja bort omfattar försäljning eller delning av personuppgifter.

• Hitta policyn i integritetspolicyn och i dataskyddsavtalet, eftersom de två borde vara överens.
• Kontrollera om inställningen är aktiverad eller avaktiverad som standard och vem som kan ändra den.
• Kontrollera vad leverantörens modellleverantörer har tillstånd att göra med dina data.

Fråga: "Gör du eller någon subproceeller använda mitt ljud eller mina transkriptioner för att träna eller förbättra AI-modeller, och var står det skrivet i kontraktet?"

Steg 7: Begär rapporten och dokumenten

SOC 2 Rapporter är begränsade till specifika parter, så begär rapporten istället för att leta efter en nedladdningsknapp.

1. Skicka e-post till leverantörens säkerhets- eller säljkontakt med frågorna från steg 1 till 6.
2. Be om SOC 2 rapport, DPA, subprocessor-listan och, för hälsodata, BAA.
3. När den SOC 2 När rapporten anländer, läs revisorns utlåtande och omfattningen. Matcha dess datum med det datum du antecknade i steg 1.
4. Arkivera dokumenten med det datum du ansökerceivaretog dem och ställde in en påminnelse om att begära nästa rapport.

Fråga: "Vänligen skicka din senaste SOC 2 rapport under sekretessvillkor, plus dataskyddsförordningen, underleverantörsavtaletcessor-listan och BAA."

Sjustegspoängkort

Vad är Comus GDPR, HIPAA, SOC 2 och CCPA-fakta?

Comu har antagit GDPR, HIPAA och SOC 2och Comu är CCPA-kompatibel (kontrollerad 9 november 2026).

Samtycke är en separat skyldighet från datasäkerhet. Berätta för den andra personen att du spelar in. Lagar om inspelning av samtal varierar mellan länder, och du är ansvarig för att följa dem.

Comu Action Pro kostnader €179.99 i EU-butiken (kontrollerad 6 november 2026), och den kostnadsfria Starter planen kommer med enhetence.

Vanliga frågor

Är GDPR-kompatibelce samma som GDPR cecertifiering?

Nej. Uppfyller GDPRce innebär att en säljare följer förordningen i hur den producerarcesses personuppgifter, och du verifierar dem genom dataskyddsförordningen, subprocessor-listan och raderingsvillkoren. CeBekräftelse är en separat, frivillig väg enligt artikel 42, utfärdad för högst tre år av en cecertifieringsorgan eller en tillsynsmyndighet. En leverantör kan vara kompatibel med eller utan en cecertifiera.

Gör en SOC 2 Betyder rapporten att en AI-anteckningsskrivare aldrig tränar på mina inspelningar?

Läs leverantörens utbildningspolicy i integritetspolicyn och dataskyddsavtalet, eftersom en SOC 2 rapporten är en granskning av kontroller relevanta för säkerhet, tillgänglighet,ceintegritet, sekretess eller integritet. Comu använder inte dina data för att träna AI.

Vad är skillnadence mellan SOC 2 Typ I och typ II?

En typ I-rapport täcker huruvida kontrollerna är lämpligt utformade per ett visst datum. En typ II-rapport täcker också huruvida de fungerade effektivt. Läs datumet på rapporten först.

Behöver jag ett affärsavtal för att använda en AI-voi?ce inspelare för patientbesök?

Om du är en HIPAA den berörda enheten och säljaren skapar, återcebevarar, underhåller eller överför PHI för din räkning, HIPAA kräver tillfredsställande försäkringcei ett kontrakt eller annat skriftligt arrangemang, vilket HHS kallar ett affärsavtal. HHS listar en molntjänstce leverantören och leverantören av en app som tillhandahåller transkriptionstjänsterces till en läkare som exempel på affärskollegor.

Är CCPA en cecertifiering?

Nej. CCPA är en kalifornisk lag, så ett företag följer reglerna eller så gör det inte det. Kaliforniens justitieminister beskriver de rättigheter som ger invånarna: att få veta, radera, välja bort försäljning eller delning, korrigera och begränsa användningen av känslig personlig information. Comu är CCPA-kompatibel.

Var hittar jag en leverantörs underleverantörsavtal?cessor-lista?

Titta på förtroendesidan, sidfotslänkarna, integritetspolicyn och bilagorna till dataskyddsavtalet. Artikel 28(2) kräver en professionellcessor att informera den registeransvarige om planerade ändringar av underleverantörercessors, så en leverantör bör också erbjuda ett sätt att återanvändacejag har noteratces. Fråga supporten om den aktuella listan om du inte hittar den.

Är Comu GDPR, HIPAA och SOC 2 kompatibel?

Ja. Comu har antagit GDPR, HIPAA och SOC 2 (kontrollerad 9 november 2026). Comu är också CCPA-kompatibel.

Kan jag radera mina inspelningar från Comu?

Ja. I Comu app kan du ta bort en enskild ljudfil, och dess länkade text tas bort tillsammans med den. Du kan också ta bort kontakter eller ta bort hela kontot, vilket rensar all din data.

Gör Comu använda mina inspelningar för att träna AI eller sälja mina data?

Inga. Comu säljer inte data till tredje part och använder inte dina data för att träna AI. Filerna är krypterade.

Relaterad läsning

• Comu AI-transkription, sammanfattningar & Funktionsguide

Surces

Kontrollerad den 9 november 2026.

1. Europeiska unionen, förordning (EU) 2016/679 (GDPR), artiklarna 4, 17, 28, 42 och 44, EUR-Lex: https://eur-lex.europa.eu/legal-content/EN/TXT/HTML/?uri=CELEX:32016R0679
2. AICPA & CIMA, system- och organisationskontroller: SOC-svit av tjänsterces: https://www.aicpa-cima.com/resources/landing/system-and-organization-controls-soc-suite-of-services
3. AICPA & CIMA, "AICPA föreslår uppdatering av SOC 2 Förtroendetjänstces Kriterier" (28 oktober 2026): https://www.aicpa-cima.com/news/article/aicpa-proposes-update-of-soc-2-r-trust-services-criteria-to-enhance-the-relevance-usability-and-value-of-cpas-reports
4. Journal of Accountancy, "Löften om 'snabbt och enkelt' hotar SOC:s trovärdighet" (feb 2026): https://www.journalofaccountancy.com/issues/2026/feb/promises-of-fast-and-easy-threaten-soc-credibility/
5. AICPA & CIMA, "Upprätthålla höga standarder för SOC-engagemang": https://www.aicpa-cima.com/professional-insights/video/maintaining-high-standards-for-soc-engagements
6. U.S. Departementet för hälsa och mänskliga tjänsterces, Vanliga frågor om affärspartners (innehåll senast granskat 21 oktober 2026): https://www.hhs.gov/hipaa/for-professionals/privacy/guidance/business-associates/index.html
7. Kaliforniens justitieminister, Kaliforniens konsumentskyddslag (uppdaterad 28 augusti 2026): https://oag.ca.gov/privacy/ccpa