Hvor lagres samtaleopptak?

En region i et leverandørpanel sier hvor tjenesten kjører hoveddelen av arbeidet. Den sier ikke nødvendigvis at ingen kopi, logg eller metadata forlater området. Forskjellen ligger i ordlyden, og den står som regel i dokumentasjonen framfor på prissiden.

Det er en ærlig setning fra Twilio, og den er verdt å lese to ganger. Du kan velge Irland som region og likevel ikke ha en garanti for at alle data blir der. For en norsk virksomhet med taushetsplikt eller offentlig eierskap er nettopp den garantien ofte hele poenget.

Spørsmålet du skal stille er derfor «hva skriver dere om data som forlater regionen». Svaret står som regel i dokumentasjonen, og selgeren kjenner det sjelden utenat.

Det finnes gode grunner til at leverandører tar slike forbehold. Støttesystemer, feilsøking, sikkerhetslogger og større driftshendelser kan trekke data ut av en region uten at kjernetjenesten flyttes. Forbeholdet er derfor ofte ærlighet, framfor et forsøk på å skjule noe.

For deg som kjøper endrer det likevel ingenting på arbeidet. Skal du svare en kunde eller et tilsyn på hvor lyden ligger, må du kunne gjengi leverandørens egen ordlyd. Ta derfor vare på skjermbildet eller lenken, og noter datoen du leste den.

Tabellen gjengir hva hver leverandør selv skriver på sine offentlige sider. Der vi ikke fant noe, står det at vi ikke fant det, med lenken vi sjekket. Vi kan dokumentere hva en side sa på en dato; vi kan ikke bevise hva et produkt ikke gjør.

Legg merke til hvor mange rader som mangler et svar. Tomme rader er en opplysning i seg selv. Skal lagringssted stå i en avtale, må noen ha skrevet det ned, og flere har ikke gjort det på sine offentlige sider.

Det betyr ikke at de mangler et svar. Mange leverandører oppgir lagringssted i avtaledokumenter som ligger bak innlogging eller kommer i en salgsprosess. Poenget er at du må be om det, og at du bør be om det skriftlig før kontrakten signeres.

Les også hva slags svar du faktisk får. En sertifisering forteller at noen har vurdert rutinene, men den sier ingenting om geografi. «GDPR-etterlevelse» er heller ikke et sted på kartet. Land, region og underleverandør er det som svarer på spørsmålet.

Transkripsjon flytter lyden en gang til. Selv om opptaket ligger i EØS, går lyden til en tale-til-tekst-tjeneste for å bli tekst, og den tjenesten har sitt eget lagringssted og sine egne rutiner.

Her varierer dokumentasjonen mye. Noen leverandører oppgir eget EU-endepunkt, andre oppgir bare sertifiseringer, og noen sier ingenting om region på de sidene vi leste. Radene for Deepgram, Speechmatics, OpenAI og Berget AI i tabellen over viser spennet.

Tre spørsmål avgjør som regel saken: hvilket endepunkt går lyden til, brukes lyden til å trene modeller, og hvor lenge ligger den før den slettes. Svarene skal stå skriftlig, og de bør stå i avtalen framfor i et supportsvar.

Husk at kjeden ofte har flere ledd enn du tror. En telefonileverandør kan bruke en tale-til-tekst-leverandør, som igjen kjører på en skyplattform i et tredje selskap. Hvert ledd har sitt eget lagringssted, og det er det svakeste leddet som avgjør hva du kan love videre.

Spør derfor om listen over underleverandører, og om hvordan dere blir varslet når den endrer seg. En leverandør som bytter transkripsjonsmotor uten å si fra, kan flytte lyden din til et annet land mellom to fakturaer. Be om varsling med frist, slik at dere rekker å vurdere endringen før den er i drift.

Nei, og forskjellen er verdt å være presis om. EØS omfatter EU-landene pluss Norge, Island og Liechtenstein. Data som ligger i Tyskland ligger i EØS, men ikke i Norge.

Vi er tydelige på hva det betyr for oss: telkits lagring skjer hos Hetzner, som ikke har noen norsk region. Påstanden vår er derfor EØS, ikke Norge. Trenger virksomheten din lagring fysisk i Norge, skal du vite det før du signerer, ikke etter.

Krav om lagring i Norge finnes i enkelte sektorer, og de er strengere enn et generelt EØS-krav. Er du underlagt et slikt krav, hjelper det ikke at leverandøren er europeisk.

En tredje variant dukker opp i anbud: krav om at dataene ikke skal være tilgjengelige for myndigheter utenfor EØS. Det handler om eierskap og jurisdiksjon framfor om hvor serveren står, og det er et strengere spørsmål enn geografi alene. Sjekk hvem som eier leverandøren, og hvem som kan pålegge selskapet å utlevere.

Vær derfor presis i egne formuleringer også. «Data lagres i Europa», «data lagres i EØS» og «data lagres i Norge» er tre forskjellige løfter, og de tre er verdt å holde fra hverandre i både tilbud og dokumentasjon. Et løfte du ikke kan belegge, blir stående lenge etter at den som skrev det har glemt hvorfor.

Be om skriftlige svar. Et lagringssted som bare finnes i en e-post fra en selger, er vanskelig å vise til når noen spør deg om det samme.

Spørsmålene passer også godt i en anskaffelse. Still dem tidlig, still dem likt til alle, og sammenlign svarene side om side. Forskjellen mellom leverandører viser seg raskere i hvordan de svarer på dette enn i prislisten. En leverandør som svarer presist på hvor dataene ligger, pleier også å ha orden på resten.

Til slutt: skriv ned svarene sammen med datoen. Leverandørsider endrer seg, avtaler fornyes og underleverandører byttes ut. En datert notis om hva som gjaldt da dere valgte, er den enkleste måten å følge med på om noe har flyttet seg siden. Sett en påminnelse om å lese sidene på nytt en gang i året, gjerne samtidig med at avtalen fornyes.