GDPR और AI मीटिंग सारांश: कौन-सा endpoint चुनें

Autorec में ट्रांसक्रिप्शन आपकी मशीन पर होता है। AI सारांश ही वह एक कदम है जो बाहर जा सकता है। इसे चालू करते ही ट्रांसक्रिप्ट आपके चुने हुए LLM प्रदाता के पास जाता है, और उसी पल से वह प्रदाता मीटिंग में आए हर निजी डेटा का processor बन जाता है।

यह लेख उसी प्रदाता को चुनने के बारे में है। यह कानूनी सलाह नहीं है; आपका legal basis और आप कितना जोखिम उठा सकते हैं, यह आपके data protection officer या वकील तय करते हैं। अगर आप भारत से काम करते हैं, तो यही सवाल DPDP Act के नज़रिए से भी उनसे पूछिए; यह लेख सिर्फ़ GDPR की बात करता है। नीचे प्रदाताओं के बारे में जो तथ्य हैं, वे उनके अपने दस्तावेज़ों से हैं और अक्टूबर 2026 में जाँचे गए। नीतियाँ बदलती रहती हैं, इसलिए किसी पंक्ति पर भरोसा करने से पहले दिए गए लिंक देख लें।

Autorec असल में क्या भेजता है

जब तक आप सेटिंग्स → AI सारांश में कोई प्रदाता नहीं जोड़ते, Autorec का AI सारांश बंद रहता है। जब यह चलता है, तो एक HTTPS request सीधे आपके कंप्यूटर से आपके सेट किए API बेस URL पर जाती है। बीच में Autorec का कोई सर्वर नहीं है।

request body में होता है:

• आपका सारांश प्रॉम्प्ट, system message के रूप में
• ट्रांसक्रिप्ट का टेक्स्ट, user message के रूप में
• मॉडल का नाम और सारांश की अधिकतम लंबाई

इसके साथ वे extra request fields भी जाते हैं जो आप ख़ुद Extra request fields (JSON) में जोड़ते हैं, जैसे provider routing के विकल्प। ये सेटिंग्स हैं, मीटिंग का डेटा नहीं। इसके अलावा कुछ नहीं जाता। यानी ऑडियो, वीडियो, स्क्रीनशॉट, फ़ाइलों के नाम या प्रतिभागियों की सूची नहीं। पूरा ट्रांसक्रिप्ट भेजा जाता है, इसलिए लंबी मीटिंग का मतलब है बहुत सारा टेक्स्ट।

जो शीर्षक और सारांश वापस आता है, वह आपकी डिस्क पर रिकॉर्डिंग के साथ सेव होता है। आपकी API कुंजी Autorec के लोकल config में रहती है, और लोकल सर्वर के लिए उसकी ज़रूरत भी नहीं।

ऑडियो और वीडियो, जिनमें आवाज़ें और चेहरे होते हैं, कभी मशीन से बाहर नहीं जाते। टेक्स्ट जाता है, और जब लोग नाम, सेहत की बातें या सैलरी ज़ोर से बोलते हैं, तो टेक्स्ट भी निजी डेटा ही है। ट्रांसक्रिप्ट सिर्फ़ टेक्स्ट होने से गुमनाम नहीं हो जाता।

हमारा GDPR और HIPAA वाला लेख रिकॉर्डिंग वाला पक्ष कवर करता है: legal basis, सहमति, retention। वहाँ की हर बात अब भी लागू है। यह लेख उसमें vendor वाला कदम जोड़ता है।

प्रदाता चुनने से पहले क्या जाँचें

ज़्यादातर फ़ैसला चार सवालों से हो जाता है।

डेटा प्रोसेस कहाँ होता है? “EU” कोई जादुई शब्द नहीं है, पर इससे transfer वाला ज़्यादातर सवाल हट जाता है। अमेरिका में प्रोसेसिंग के लिए transfer mechanism और transfer assessment चाहिए।

क्या data processing agreement है? अगर प्रदाता आपकी ओर से निजी डेटा संभालता है, तो Article 28 के तहत अनुबंध ज़रूरी है। देख लें कि आप उसे बिना sales call के स्वीकार कर सकते हैं।

कंटेंट कितने समय तक रखा जाता है? कई API प्रदाता प्रॉम्प्ट पर training नहीं करते, फिर भी abuse monitoring के लिए उन्हें कुछ समय तक रखते हैं। “Zero retention” आम तौर पर डिफ़ॉल्ट नहीं होता, एक समझौता होता है जिसे माँगना पड़ता है।

क्या कंटेंट training में इस्तेमाल होता है? बड़े नामों में API ट्रैफ़िक के लिए अब यह शायद ही डिफ़ॉल्ट है, पर हर जगह एक जैसा नहीं, और free व paid tier में फ़र्क हो सकता है।

EU में होस्ट किए गए प्रदाता

Mistral

Autorec की प्रदाता सूची में Mistral पहला EU विकल्प है (प्रदाता → Mistral, बेस URL https://api.mistral.ai/v1, डिफ़ॉल्ट मॉडल mistral-small-latest)।

• क्षेत्र: Mistral के help center के मुताबिक़ डेटा डिफ़ॉल्ट रूप से European Union में होस्ट होता है, और अमेरिका में सिर्फ़ तब जब आप जानबूझकर उसका US API endpoint इस्तेमाल करें। Mistral अपने Trust Center में subprocessors की सूची भी देता है, जिनमें कुछ EU से बाहर हैं।
• DPA: Mistral अपनी commercial terms के तहत एक Data Processing Addendum प्रकाशित करता है।
• Training: यह पंक्ति ध्यान से पढ़ें। Mistral का help center कहता है कि pay-as-you-go पर आप कभी भी training से opt out कर सकते हैं, और स्विच भी बताता है: Mistral Studio में Privacy → Anonymous improvement data। free Studio मोड में साफ़ लिखा है कि Mistral आपके डेटा से अपने मॉडल train कर सकता है। consumer chat प्रोडक्ट और API के toggle अलग-अलग हैं। इसलिए मानकर न चलें; जिस अकाउंट की कुंजी आपने Autorec में डाली है, उसी का Privacy पेज खोलकर देखें।
• Retention: Mistral paid plans पर, chat completions समेत, समर्थित API calls के लिए Zero Data Retention का विकल्प देता है। इसे support से माँगना पड़ता है, और Mistral मंज़ूर या नामंज़ूर कर सकता है। Mistral के जो help पेज मैं देख पाया, उनमें API कंटेंट की डिफ़ॉल्ट retention अवधि नहीं लिखी, इसलिए मैं कोई संख्या नहीं दूँगा। पूछ लें या DPA पढ़ें।

Scaleway

Scaleway के Generative APIs पेरिस में होस्ट हैं और OpenAI compatibility का दावा करते हैं, chat completions endpoint समेत। Autorec में इसका प्रीसेट नहीं है, इसलिए Custom… चुनें और Scaleway के console से बेस URL डालें।

Scaleway के data privacy पेज के मुताबिक़ वह प्रॉम्प्ट या आउटपुट को न इकट्ठा करता है, न पढ़ता है, न दोबारा इस्तेमाल करता है, न उनका विश्लेषण करता है, और न ही उनसे मॉडल train करता है। अपवाद है misuse या fault की जाँच, जिसमें डेटा दो हफ़्ते तक रखा जा सकता है। पेज Scaleway को processor बताता है और अनुबंध वाले पक्ष के लिए उसकी privacy policy और AI service conditions की ओर इशारा करता है।

IONOS

IONOS AI Model Hub अपने endpoints को OpenAI-compatible बताता है और कहता है कि सारी प्रोसेसिंग उसके जर्मन डेटा सेंटरों (बर्लिन) में होती है और ग्राहकों का डेटा कभी model training में इस्तेमाल नहीं होता। मुझे retention की कोई अवधि लिखी नहीं मिली, इसलिए मीटिंग का कंटेंट भेजने से पहले उनसे पूछ लें। यहाँ भी Custom… इस्तेमाल करें।

बाक़ी

OVHcloud AI Endpoints और Aleph Alpha भी यूरोपीय हैं। यह लेख लिखते समय मैं उनकी मौजूदा शर्तें और API compatibility मूल पेजों से पक्की नहीं कर पाया, इसलिए वे तालिका में नहीं हैं।

अमेरिकी प्रदाता

Autorec में OpenAI और Anthropic दोनों के प्रीसेट हैं। उनके API डिफ़ॉल्ट लोगों की सोच से बेहतर हैं। खुला सवाल अमेरिका में transfer का है, training का नहीं।

• OpenAI: इसके दस्तावेज़ कहते हैं कि जब तक आप opt in न करें, API डेटा से इसके मॉडल train नहीं होते, और abuse monitoring logs डिफ़ॉल्ट रूप से 30 दिन तक रखे जाते हैं। Zero Data Retention के लिए पहले से मंज़ूरी चाहिए। EU data residency (eu.api.openai.com prefix) एक project setting है, और इसके साथ शर्तें जुड़ी हैं, जैसे Zero Data Retention या बदला हुआ abuse monitoring, और हर मॉडल इसमें समर्थित नहीं है।
• Anthropic: इसका privacy centre कहता है कि API users के inputs और outputs 30 दिनों के भीतर backend से मिटा दिए जाते हैं, और commercial products के inputs और outputs डिफ़ॉल्ट रूप से training में इस्तेमाल नहीं होते। Standard Contractual Clauses वाला इसका DPA अपने आप Commercial Terms में शामिल है। मैं सिर्फ़-EU प्रोसेसिंग का कोई विकल्प पक्का नहीं कर पाया, इसलिए उसका दावा नहीं कर रहा।

एक नज़र में

प्रदाता	प्रोसेसिंग क्षेत्र	Retention	Training	DPA
Mistral	डिफ़ॉल्ट रूप से EU; US endpoint सिर्फ़ चुनने पर	paid plans पर माँगने पर ZDR; जाँचे गए पेजों पर डिफ़ॉल्ट अवधि नहीं लिखी	Studio में opt-out toggle; free tier का डेटा इस्तेमाल हो सकता है	प्रकाशित addendum
Scaleway	पेरिस, फ़्रांस	प्रॉम्प्ट सेव नहीं होते; fault की जाँच के लिए दो हफ़्ते तक	इस्तेमाल नहीं होता	privacy policy और AI conditions में processor की शर्तें
IONOS	जर्मनी (बर्लिन)	नहीं लिखा	IONOS के मुताबिक़ कभी नहीं	जाँचा नहीं
OpenAI	US; शर्तों के साथ EU residency वैकल्पिक	30 दिन तक (abuse logs); ZDR मंज़ूरी से	opt in किए बिना नहीं	जाँचा नहीं
Anthropic	सिर्फ़-EU होने का उल्लेख नहीं	30 दिनों में मिटाया जाता है	डिफ़ॉल्ट रूप से नहीं	Commercial Terms में शामिल

“जाँचा नहीं” का मतलब है कि मैंने उसे नहीं पढ़ा, यह नहीं कि वह मौजूद नहीं है।

Gateway एक और पक्ष जोड़ता है

अगर मॉडल के आगे OpenRouter जैसा कोई aggregator है, तो वह aggregator भी processor बन जाता है, और साथ में वह कंपनी भी जो मॉडल चलाती है। इसे सीमित किया जा सकता है, जिसमें request के स्तर के विकल्प भी शामिल हैं, जैसे OpenRouter का zero-data-retention flag, जिसे आप Extra request fields (JSON) में सेट कर सकते हैं। हमारा OpenRouter privacy वाला लेख इन सेटिंग्स को एक-एक करके समझाता है। अगर आपको साफ़-सुथरा paper trail चाहिए, तो एक EU प्रदाता के साथ एक सीधा अनुबंध, routing layer की तुलना में दस्तावेज़ों में दर्ज करना आसान है।

कब लोकल बेहतर जवाब है

EU endpoint जोखिम घटाता है। अपनी मशीन पर चलता मॉडल processor को ही हटा देता है: न vendor, न DPA, न transfer, न retention का सवाल। सेहत से जुड़े डेटा, legal privilege, HR मामलों या सख़्त client NDA वाली मीटिंग में अक्सर यही फ़ैसला बचाव करने में सबसे आसान होता है।

इसकी क़ीमत है हार्डवेयर और क्वालिटी। लैपटॉप पर छोटा मॉडल बड़े होस्टेड मॉडल से कच्चा सारांश लिखता है, और लंबे ट्रांसक्रिप्ट धीमे चलते हैं। हमारी लोकल LLM गाइड बताती है कि Autorec को Ollama या LM Studio से कैसे जोड़ें।

एक समझदारी भरा बँटवारा:

• रोज़मर्रा की अंदरूनी मीटिंग: EU में होस्ट किया endpoint, training बंद और DPA पर हस्ताक्षर
• संवेदनशील मीटिंग: लोकल मॉडल, या सारांश बिल्कुल नहीं, सिर्फ़ सादा ट्रांसक्रिप्ट

आप सेटिंग्स में कभी भी प्रदाता बदल सकते हैं, और सारांश हर रिकॉर्डिंग के लिए अलग बनता है, इसलिए यह बँटवारा सब-या-कुछ-नहीं वाला नहीं है।

छोटी-सी चेकलिस्ट

1. प्रदाता चुनें और जिस अकाउंट की कुंजी इस्तेमाल करेंगे, उस पर उसका DPA स्वीकार करें।
2. training वाली सेटिंग उसी अकाउंट पर पक्की करें, आम तौर पर नहीं।
3. अगर प्रदाता Zero Data Retention देता है और आपके जोखिम के हिसाब से ज़रूरी है, तो उसका अनुरोध करें।
4. प्रतिभागियों को बताएँ कि ट्रांसक्रिप्ट को एक AI प्रदाता प्रोसेस करता है। आपकी रिकॉर्डिंग सूचना में processor की श्रेणी का नाम होना चाहिए।
5. प्रदाता को अपने record of processing activities में दर्ज करें।
6. जिन मीटिंग को आप पहले ख़ुद देखना चाहते हैं, उनके लिए ट्रांसक्रिप्शन के बाद ऑटो-सारांश बनाएं बंद रखें।

Autorec ऑडियो को आपकी मशीन पर रखता है और ठीक-ठीक दिखाता है कि कौन-सा टेक्स्ट बाहर जाता है। अनुबंध और नीति सँभालना आपका काम है। रिकॉर्डिंग वाले पक्ष के लिए GDPR और HIPAA गाइड देखें, और हम मीटिंग बॉट से क्यों बचते हैं, इसके लिए बिना बॉट वाले रिकॉर्डर पर लेख।

स्रोत

अक्टूबर 2026 में जाँचे गए:

• Mistral: डेटा कहाँ रखा जाता है, training से opt-out, Zero Data Retention, legal center
• Scaleway: Generative APIs data privacy
• IONOS: AI Model Hub overview
• OpenAI: Data controls
• Anthropic: data retention, training, DPA