PII-Tresor & Krypto-Vernichtung

Diese Anleitung behandelt die API- und Dashboard-Funktionen zur Verwaltung personenbezogener Daten in Audact-Anrufen durch Verschlüsselung und Löschung (Krypto-Vernichtung).

Überblick

Wenn die Verschlüsselung für Ihren Arbeitsbereich aktiviert ist, erkennt und verschlüsselt Audact personenbezogene Daten direkt in Anrufs-Transkripten und Beweisen:

• Spans werden verschlüsselt: BSN, IBAN, Kartennummern, E-Mail-Adressen, Telefonnummern, Geburtsdaten und Postanschriften werden durch Chiffretext-Token ersetzt, z. B. ⟦pii:v1:EMAIL:…⟧.
• Text drumherum bleibt lesbar: Sie können den Kontext weiterhin sehen; nur die privaten Werte werden verschlüsselt.
• Sie können es entschlüsseln: Die Schaltfläche „Personenbezogene Daten entschlüsseln" auf jeder Anrufseite zeigt den Klartext.
• Sie können es löschen: Über „Betroffene Person löschen" oder durch Aufruf der API zerstören Sie die Verschlüsselungsschlüssel und machen alle Instanzen unwiederbringlich.

1. Client-Hash-Normalisierung

Wenn Sie die Daten einer Person löschen, geben Sie nur einen Hash ihrer Kennung an, niemals den Klartextwert. Der Hash wird clientseitig in Ihrem Browser (oder Ihrem SDK) berechnet, sodass Audact den ursprünglichen Wert nie erhält.

Funktionsweise des Hashings

Jeder Kennungstyp (Name, E-Mail, Telefon) wird zunächst normalisiert und dann gehasht:

Nach der Normalisierung ist der Client-Hash SHA-256(normalized_value) als 64-stelliger Hex-String.

Worked Examples

Beispiel 1: E-Mail-Hash

Input:         Foo.Bar@Example.COM
Normalized:    foo.bar@example.com
SHA-256:       00a9fee7604744049b5f777d65021e214480af944b16c1580893c5c6eed2d45a

Kopieren Sie den SHA-256-String oben in das Formular „Betroffene Person löschen" oder übergeben Sie ihn an Ihren API-Client:

curl -X POST https://api.audact.ai/v1/pii/shred \
  -H "Authorization: Bearer ${API_KEY}" \
  -H "Content-Type: application/json" \
  -d '{
    "identifier_type": "email",
    "identifier_hash": "00a9fee7604744049b5f777d65021e214480af944b16c1580893c5c6eed2d45a"
  }'

Beispiel 2: Telefon-Hash

Input:         +31 6 1234 5678
Normalized:    +31612345678
SHA-256:       fab7be8a931d1088a82f6acf9e468aaf6a3accc07d5112ee5d6fca93281e1583

Telefonnummern müssen im E.164-Format vorliegen (+ gefolgt von nur Ziffern). Wenn Ihre Eingabe Leerzeichen, Bindestriche oder Klammern enthält, werden diese vor dem Hashing entfernt. Ungültige Formate (z. B. lokale Nummern wie 0612345678 ohne Ländervorwahl) geben einen Fehler zurück.

Beispiel 3: Name-Hash

Input:         Émile
Normalized:    émile
SHA-256:       a56b363ca23dd9db9bd117840f28aab076b474f8cbea85416f715281dc809d56

Namen sind nicht case-sensitiv und Diakritika werden beibehalten (keine Konvertierung „é" → „e"). Mehrere Leerzeichen werden auf eines reduziert. Führende und nachfolgende Leerzeichen werden entfernt.

Wichtig: Audact erkennt Namen in Anrufen nicht automatisch. Die Namenslöschung funktioniert nur für Namen, die Sie als Kennungen beim Anrufstart oder über die Identity-Link-API angegeben haben. Wenn ein Name im Gespräch erwähnt wurde, ohne registriert zu sein, ist er nicht verschlüsselt und kann durch diesen Mechanismus nicht gelöscht werden.

2. Entschlüsselungs- und Vernichtungsabläufe

Personenbezogene Daten entschlüsseln

Das Dashboard zeigt verschlüsselte Werte als Chips an (🔒 E-Mail-Symbol). So zeigen Sie den Klartext an:

1. Anruf-Detailseite öffnen.
2. Auf „Personenbezogene Daten entschlüsseln" klicken (oben rechts, neben dem Anrufstatus).
3. Einmalige Sammelanfrage: Alle verschlüsselten Werte auf der Seite werden in einer einzigen Anfrage entschlüsselt und bleiben 5 Minuten sichtbar, dann werden sie automatisch gelöscht.
4. Entschlüsselung wird protokolliert: Die Beweiskette des Anrufs erfasst, wer ihn wann entschlüsselt hat.

API:

curl -X POST https://api.audact.ai/v1/calls/${CALL_ID}/pii/decrypt \
  -H "Authorization: Bearer ${API_KEY}" \
  -H "Content-Type: application/json" \
  -d '{
    "text": "BSN: ⟦pii:v1:BSN:…⟧, Email: ⟦pii:v1:EMAIL:…⟧"
  }'

Antwort:

{
  "text": "BSN: 123-45-6789, Email: alice@example.com",
  "decrypted": 2,
  "erased": 0
}

Wenn eine Identität vor der Entschlüsselung vernichtet wurde, erhalten Sie [ERASED_EMAIL] anstelle des Klartexts. Die Antwort zählt auch, wie viele gelöscht wurden.

Personenbezogene Daten vernichten

So löschen Sie dauerhaft die Daten einer Person aus Ihrem Arbeitsbereich:

Über das Dashboard (Karte „Betroffene Person löschen")

1. Typ auswählen: Name, E-Mail oder Telefon.
2. Wert eingeben (Klartext). Er wird in Ihrem Browser gehasht; Audact sieht ihn nie.
3. Den Hash prüfen vor der Bestätigung (für Ihre Aufzeichnungen).
4. Mit ERASE bestätigen (destruktive Aktion).
5. Ergebnis: Wie viele Identitäten vernichtet wurden und wie viele Anrufe betroffen sind.

Über die API

curl -X POST https://api.audact.ai/v1/pii/shred \
  -H "Authorization: Bearer ${API_KEY}" \
  -H "Content-Type: application/json" \
  -d '{
    "identifier_type": "email",
    "identifier_hash": "00a9fee7604744049b5f777d65021e214480af944b16c1580893c5c6eed2d45a"
  }'

Antwort:

{
  "shred_id": "12345678-…",
  "identities_shredded": 1,
  "calls_affected": 7,
  "shredded_at": "2026-10-15T14:30:00Z"
}

Vernichtung pro Anruf

So vernichten Sie alle Identitäten eines einzelnen Anrufs:

1. Anruf-Detailseite öffnen.
2. Zum Tab „Personenbezogene Daten" wechseln.
3. Auf „Alle Identitäten in diesem Anruf vernichten" klicken (Owner-Rolle erforderlich).
4. Mit SHRED bestätigen.

⚠️ Warnung: Die Vernichtung einer E-Mail- oder Telefon-Identität löscht diesen Wert in jedem Anruf Ihres Arbeitsbereichs, in dem er vorkommt, nicht nur in diesem. Dies ist beabsichtigt: Die E-Mail-Adresse eines Anrufers ist in allen Anrufen identisch, und die Löschung an einer Stelle schützt alle.

3. Ein-/Ausschalter: Verschlüsselung vs. Schwärzung

Ihr Arbeitsbereich hat eine Einstellung „Verschlüsselung personenbezogener Daten" unter Einstellungen → Datenschutz & Löschung.

Was es bewirkt

• EIN (Standard): Neue Anrufe verschlüsseln erkannte Spans. Sie können sie später entschlüsseln und vernichten.
• AUS: Neue Anrufe schwärzen erkannte Spans (sie erscheinen als [REDACTED_EMAIL] und sind nicht wiederherstellbar). Dies ist das bisherige Verhalten.

Wichtige Hinweise

• Der Schalter wirkt nur für neue Anrufe: Bestehende Anrufe behalten ihren Modus (EIN oder AUS) von ihrer Entstehungszeit. Das Umschalten betrifft nur neue Anrufe.
• Kein Klartextmodus: Der Schalter hat nur zwei Zustände: verschlüsselt oder geschwärzt. Es gibt keinen Klartextmodus, bei dem Daten unverschlüsselt gespeichert werden.
• Neu versiegelte Konfigurationen: Das Aktivieren oder Deaktivieren des Schalters löst eine erneute Versiegelung aller Konfigurationen in Ihrem Arbeitsbereich aus (in der Änderungshistorie als „N Konfigurationen neu versiegelt" sichtbar).
• Verschlüsselung erfordert Schlüssel: Wenn Audact keine Verschlüsselungsschlüssel vorbereiten kann, wenn Sie auf EIN umschalten, wird der Fehler „Verschlüsselungsschlüssel konnten nicht vorbereitet werden" angezeigt, und die Einstellung bleibt AUS. Wenden Sie sich an den Support, wenn dieses Problem anhält.

4. Rollen und Berechtigungen

Der Zugriff auf PII-Funktionen wird durch Arbeitsbereich-Rollen gesteuert:

Sitzungen im Auftrag (Org-Mitarbeiter, die als Mandant agieren) übernehmen die Rolle des Tokens und werden als Org-Benutzer protokolliert.

5. Überlöschung: Namen und Subjekte

Warum die Namenslöschung schwächer ist

Audact verfügt über sieben Span-Detektoren: BSN, IBAN, Karte, E-Mail, Telefon, Geburtsdatum und Postanschrift. Davon:

• E-Mail, Telefon, Postanschrift, Geburtsdatum, BSN, IBAN, Karte werden in Anrufstranskripten automatisch erkannt.
• Namen werden NICHT automatisch erkannt. Namen existieren nur, wenn Sie sie beim Anrufstart oder über die Identity-Link-API angeben.

Konsequenz: Eine Namenslöschung betrifft nur die Identitäten, die Sie registriert haben, nicht jede Erwähnung dieses Namens in einem Anruf.

Beispiel

Call 123 subject identities:
  - Phone: +31612345678 (auto-detected at call start)
  - Name: "Alice Smith" (supplied at call init)
  - Email: alice@example.com (detected in conversation)

Evidence:
  "Caller information:
   BSN: [Encrypted]
   Phone: +31612345678
   Name: Alice Smith
   Email: [Encrypted]"

Wenn Sie alice@example.com vernichten:

• Diese E-Mail wird in jedem Anruf Ihres Arbeitsbereichs gelöscht, in dem sie vorkommt.
• Das Transkript zeigt nun: Email: [ERASED_EMAIL]
• BSN und Adresse bleiben verschlüsselt (weiterhin entschlüsselbar).

Wenn Sie alice smith (den Namens-Hash) vernichten:

• Nur die registrierte Namens-Identität wird gelöscht.
• Das Transkript zeigt nun: Name: [ERASED_NAME]
• Wenn der Anrufer jedoch anderswo im Anruf namentlich erwähnt wird (z. B. „Alice hat um 14 Uhr angerufen"), ist diese Erwähnung NICHT verschlüsselt und wird NICHT gelöscht.

Empfehlung

Für einen starken Datenschutz registrieren Sie beim Anrufstart alle Ihnen bekannten Kennungen:

{
  "call_type": "inbound",
  "identifiers": [
    {"type": "email", "hash": "<client-hash-of-email>"},
    {"type": "phone", "hash": "<client-hash-of-phone>"},
    {"type": "name", "hash": "<client-hash-of-name>"}
  ]
}

Dadurch wird sichergestellt, dass jeder erkannte Span in Bezug auf dieses Subjekt unter einem Schlüsselsatz versiegelt wird, der die Namens-Identität einschließt, sodass eine einzige Vernichtung des Namens alles löscht.

Siehe auch

• Datenhaltung — Löschlaufzeit, nur vorwärts wirkende Umstellung und Aufzeichnungen.
• Python SDK — audact.pii.client_hash(type, value) / audact.pii.normalize_identifier(type, value)
• TypeScript SDK — import { clientHash, normalizeIdentifier } from "@audactcore/sdk"; verwenden Sie await clientHash(type, value) und normalizeIdentifier(type, value)
• Go SDK — audact.ClientHash / audact.NormalizeIdentifier