Compliance is not fine print.
It is the standard of a serious practice.
ZvonAI was built in Poland for practices where the bar for data protection is highest. Below we describe exactly how we handle data. Point by point, with no overpromising.
GDPR Art. 28
a data processing agreement for your business from day one
AI Act Art. 50
every call starts with an AI disclosure, no exceptions
Warsaw region
servers and database on Google Cloud in the EU
The five pillars this stands on
Every point below describes how the system behaves, not a marketing claim.
Recording in the open, with the right to object
Every caller hears at the start that the call is recorded and can object: recording then stops and what was already recorded is deleted. In medical practices and law firms the assistant asks first and records only after a clear "yes".
- Where we ask for consent, no answer or an ambiguous answer counts as a refusal, in the caller's favour.
- Consent and objections are written to a consent register (GDPR Art. 7). You hold proof, not guesswork.
- Recordings keep the caller and the assistant on two separate audio channels. In a dispute you hear exactly who said what.
- You decide how long recordings are kept (1 to 365 days). After that, audio is deleted automatically. Including at the telecom provider. And you can erase recordings and caller data on demand in the dashboard.
Data stored in the European Union
ZvonAI's infrastructure runs in European Google Cloud regions.
- Application servers and database: Google Cloud, region europe-central2 (Warsaw).
- Speech recognition: EU region (europe-west4).
- Where a provider processes data outside the EEA (e.g. voice synthesis, the language model), we do so under Standard Contractual Clauses (SCC). And we publish the full sub-processor list with locations in the data processing agreement.
GDPR built in, not bolted on
Data subject rights are handled by the system, not by an inbox.
- A data processing agreement (GDPR Art. 28) generated with your company details, ready to download from the dashboard on day one.
- A public GDPR request form for callers (access, rectification, erasure, restriction, objection) with identity verification and a 30-day response deadline.
- One-step export of all company data (Art. 20) and genuine deletion after account closure.
- Your company's data works only for your company. Insights are computed from your own calls, for your own benefit. We do not train shared models on it.
Ready for the EU AI Act
The transparency requirements of Art. 50 are enforced by the system, not by the terms of service.
- Every call starts by telling the caller they are speaking with an AI assistant. The system rejects greetings without the disclosure. The rule cannot be switched off.
- Callers can always ask for a human. The assistant transfers the call to the configured number, or takes a message when none is set.
- The in-dashboard assistant performs no irreversible actions. Data deletion and export run only through the audited dashboard flows.
Polish telecom compliance
A Polish phone number comes with paperwork, we carry it for you.
- Numbers are registered in line with Polish telecommunications law. The registration documentation is our responsibility, not yours.
- We keep the registration current over time. Recurring renewals and required documents are on us.
Why don't we promise "100% in the EU"?
Because today no AI reception provider can honestly say that. Instead of round declarations, we show exactly which component processes data where, and on what legal basis. Your lawyer will find the full list in the data processing agreement, and that is the point.
Documents for review
Everything a lawyer or data protection officer will ask for, public and current.
Data Processing Agreement (DPA)
GDPR Art. 28. Sub-processors, retention, obligations
Privacy policy
Legal bases, data categories, data subject rights
Terms of service
SLA, payments, operator obligations
EU AI Act & AI reception
How we meet Art. 50, information page
GDPR request form
For callers: access, rectification, erasure of data
System status
Live platform availability and 90-day history
Questions lawyers ask
Answers you can pass straight on: to your law firm or data protection officer.
Kto jest administratorem danych rozmówców przy recepcji AI?
Administratorem danych rozmówców pozostaje firma korzystająca z ZvonAI (gabinet, kancelaria). Expathia Sp. z o.o. działa jako podmiot przetwarzający na podstawie umowy powierzenia zgodnej z art. 28 RODO. Umowa jest generowana dla każdej firmy z jej danymi i okresami retencji i jest dostępna do pobrania w panelu od pierwszego dnia.
Czy ZvonAI nagrywa rozmowy bez zgody rozmówcy?
Nie. Domyślnie asystent na początku rozmowy informuje o możliwości nagrywania i pyta o zgodę. Nagrywanie uruchamia się dopiero po wyraźnym „tak”. Brak odpowiedzi lub odpowiedź niejednoznaczna traktowane są jak odmowa. Odmowa nie przerywa rozmowy; toczy się ona dalej bez nagrania. Fakt udzielenia zgody jest zapisywany w rejestrze zgód (art. 7 RODO).
Gdzie fizycznie przetwarzane są dane rozmów?
Serwery aplikacji i baza danych działają w Google Cloud w regionie europe-central2 (Warszawa). Rozpoznawanie mowy odbywa się w regionie UE (europe-west4; od 9 listopada 2026 r. w lokalizacji wieloregionalnej UE). Tam, gdzie dostawca przetwarza dane poza EOG (np. synteza głosu, model językowy), przekazanie odbywa się na podstawie standardowych klauzul umownych (SCC), a pełna, aktualna lista podwykonawców wraz z lokalizacjami jest jawna w umowie powierzenia danych.
Czy dane rozmów służą do trenowania wspólnych modeli AI?
Nie. Dane każdej firmy są przetwarzane wyłącznie na potrzeby tej firmy. Analizy i podpowiedzi liczone są per firma, z jej własnych rozmów, dla jej własnej korzyści. ZvonAI nie buduje wspólnych, między-firmowych modeli na danych osobowych klientów.
Jak realizowane są prawa osób, których dane dotyczą (art. 15–21 RODO)?
Rozmówca może złożyć wniosek o dostęp, sprostowanie, usunięcie, ograniczenie przetwarzania lub sprzeciw przez publiczny formularz na zvonai.ai/rodo-wniosek. Tożsamość jest weryfikowana kodem SMS, a wniosek trafia do firmy i inspektora ochrony danych z terminem realizacji 30 dni (art. 12 ust. 3 RODO). Właściciel firmy może też wyeksportować lub usunąć dane bezpośrednio w panelu.
Czy recepcja AI spełnia wymogi EU AI Act?
Tak. Zgodnie z art. 50 EU AI Act każda rozmowa zaczyna się od informacji, że mówi asystent AI. System odrzuca powitania bez tego ujawnienia i nie da się go wyłączyć. Rozmówca zawsze może poprosić o kontakt z człowiekiem: asystent przekazuje rozmowę na skonfigurowany numer, a gdy go nie ma, przyjmuje wiadomość.
Hear it for yourself.
Call the demo line and listen to the assistant disclose that it is AI and ask for recording consent. Then try it on your own line, 14 days, no card.