データレジデンシーとは、組織のデータが保存・処理される地理的な場所のことで、通常は法律、契約、または組織独自のポリシーによって定められます。AI音声エージェントの場合、通話音声、録音、文字起こし、通話ログ、そして通話から抽出されたあらゆる情報が対象となります。
レジデンシーは、データがどこにあるかに関する概念です。主権は、どの国の法律がデータに及ぶかに関する概念です。ローカライゼーションは、データを特定の国内にとどめることを義務付ける法的ルールです。
| 用語 | 意味 | 例 |
|---|---|---|
| データレジデンシー | データが保存・処理される地域または国 | 顧客の録音データをEUリージョンに保存することが契約で定められている |
| データ主権 | データは、それを保有する国の法律に加え、プロバイダーに法的効力が及ぶあらゆる国の法律の対象となる | 米国のCLOUD法は、米国のプロバイダーに対し、自社が所有・保管・管理するデータについて、米国の内外どちらに所在するか「を問わず」開示することを義務付けている |
| データローカライゼーション | 特定のデータを国内に保存することを義務付ける法律 | 中国の個人情報保護法(第40条)は、重要情報インフラ運営者および国が定める量を超える個人情報を取り扱う事業者に対し、中国国内で収集した個人情報を国内に保存することを義務付けている |
つまり、米国を拠点とするプロバイダーが欧州のデータセンターに保存したデータは、EUのレジデンシーを持ちますが、依然として米国の法的手続きの対象となる可能性があります。
GDPRはしばしばローカライゼーション法と誤解されますが、そうではありません。十分性認定や標準契約条項(SCC)など、保護措置が「データとともに移転される」限り、個人データを欧州経済領域(EEA)の外へ移転することを認めています。購入者がリージョン内での保存を求める場合は、その要件の根拠を確認してください。GDPRだけではそのような要件は課されないためです。
発信者は、生年月日、診断内容、読み上げられたカード番号など、誰も尋ねていない情報まで話すことがあり、そのすべてが録音と文字起こしに残ります。また、1件の通話は複数のシステムを経由します。
各ステップは異なるリージョンの異なるプロバイダーで実行される可能性があるため、データベースだけを対象としたレジデンシーの回答では不十分です。
以下の回答を書面で入手してください。理想的には、データ処理契約(DPA)またはその添付別紙に記載してもらいましょう。
最初の回答が要件を満たさない場合、通常の選択肢は、自社リージョン内のベンダーを利用する、オンプレミス導入を選ぶ、またはベンダーに保存するデータを減らす、のいずれかです。EUの調達チームがこれらをどのように比較検討しているかは、エンタープライズ向け音声AIコンプライアンスガイドで解説しています。
Retellのドキュメントには、主要なインフラストラクチャは米国にあり、Retellは現在EU域内でサービスを運用していないと記載されています。GDPRについては、RetellはAWSおよびそのGDPR準拠のDPAに依拠しており、さらにEU標準契約条項を含む独自のDPAを自己署名用に提供しています。ドキュメントによると、このDPAはEUまたは英国の居住者の個人データを処理する場合に必要です。EUの通話データを決してEU外に出してはならない場合は、導入を計画する前にRetellにご相談ください。最新の記載内容はRetellのセキュリティおよびコンプライアンスページでご確認いただけます。
Retellが保持するデータは、エージェントごとに管理できます。
これらの設定で変わるのは、保存される内容とその期間であり、ライブ通話が処理される場所ではありません。
国境を越える通話については、国別AI通話法規ガイドをご覧ください。特定のデータ要件を伴う大規模な導入を計画している場合は、Retellのエンタープライズ向け会話型AIプラットフォームをご覧のうえ、最初の打ち合わせでレジデンシーに関するご質問をお寄せください。