Aufbewahrung und Löschung
Welche Fristen gelten, wie die tägliche Löschroutine arbeitet, was sie schwärzt und wo der Betrieb die Fristen sieht.
Die Fristen
| Was | Frist | Gerechnet ab |
|---|---|---|
| Wortlaut der Gespräche | 12 Monate | Ende des Gesprächs, ohne Ende ab seinem Beginn |
| Kundengedächtnis | 3 Jahre | letzter Änderung des Gedächtnisses |
Die Fristen liest die Löschroutine aus der Datenbank, nicht aus dem Code. So ist je Betrieb nachweisbar, welche Frist für ihn gilt. Ohne eigene Vorgabe gelten die Werte oben.
Die tägliche Löschroutine
Eine Löschroutine in der Datenbank läuft jede Nacht, eingeplant über
pg_cron (02:17 UTC). Sie tut Folgendes:
- Wortlaut der Gespräche: Jeder Gesprächsabschnitt nach Ablauf der Frist wird geleert und als geschwärzt markiert. Auf dem Gespräch selbst werden Zusammenfassung, Mitschrift des Anrufers, Mitschrift des Agenten und die Prüfnotizen zum Gesagten geleert. Von einer Bewertung des Gesprächs bleiben nur Zeitpunkt und Note, ihre Zitate gehen.
- Gespräche ohne Ende: Bricht ein Anruf ab, ohne ein Ende zu erhalten, rechnet die Frist ab seinem Beginn. Kein Wortlaut bleibt unbefristet liegen, weil ein Gespräch hängen blieb.
- Kundengedächtnis: Abgelaufene Einträge werden geleert, der Kunde selbst bleibt.
Was bleibt: Zeitpunkte, Zustand und Kosten der Gespräche sowie Angaben zur Herkunft einer Zusammenfassung (welches Modell, wann). Sie enthalten keinen Wortlaut.
Nachweis, dass sie läuft
Jeder erfolgreiche Lauf wird mit Zeitpunkt und Anzahl der geschwärzten Einträge protokolliert. Der Zeitpunkt des letzten erfolgreichen Laufs ist in der Datenbank abfragbar. Überwacht wird das Fehlen eines Erfolgs, nicht das Vorhandensein eines Fehlers: Ein fehlgeschlagener Lauf hinterlässt keinen Erfolgseintrag, und genau das fällt auf. Den Fehler selbst protokolliert der Scheduler.
Wo der Betrieb die Fristen sieht
Im Dashboard unter Einstellungen › Datenschutz, Karte «Aufbewahrung». Dort stehen die Fristen, die der Löschjob ohne eigene Vorgabe verwendet. Einzelne Einträge im Kundengedächtnis löschen Sie jederzeit im Kundenprofil. Ganze Kunden löschen Sie ebenfalls dort, siehe Auskunft und Löschung.
Tonaufnahmen
Die Datenbank kennt eine Frist von 30 Tagen für Tonaufnahmen, und das Dashboard zeigt sie an. Der Sprach-Dienst legt heute keine Tondateien der Gespräche in der Datenbank ab. Der Pop-up-Agent speichert den Wortlaut nur als Text.
Was die Frist heute nicht erfasst
Noch offen
- Aufgaben und Schritte des Agenten: Das Dashboard nennt dafür 10 Jahre (Art. 958f OR). Eine automatische Löschung nach dieser Frist gibt es noch nicht; Aufgaben und das Aktionsprotokoll bleiben bis dahin unbefristet stehen.
- Offene Fragen an den Betrieb: Fragen, die der Agent nicht beantworten konnte, enthalten den Wortlaut des Anrufers. Ob sie unter die Frist für den Wortlaut fallen, ist noch nicht entschieden; heute löscht die Routine sie nicht.
- Ältere Einträge im Aktionsprotokoll: Einträge, die entstanden, bevor das Aktionsprotokoll den Wortlaut des Anrufers schwärzte, können Wortlaut enthalten. Das Protokoll ist nur ergänzbar, die Routine ändert es nicht. Bei der Löschung eines Kunden werden auch diese Einträge geleert.
- Persönliche Ansage: Die Tondatei mit dem Vornamen eines bekannten Anrufers liegt im Zwischenspeicher des Sprach-Dienstes und ist nicht Teil der Fristen.
Datenhaltung und Subprozessoren
Das Subprozessorverzeichnis von Tanevo. Wer welche Daten zu welchem Zweck wo verarbeitet, und wo der Beleg dafür noch fehlt.
Auskunft und Löschung je Kunde
Wie ein Betrieb im Kundenprofil eine Auskunft herunterlädt oder einen Kunden löscht, was dabei enthalten ist und was bewusst bestehen bleibt.