Der Befragte bleibt Herr daruber, was gesagt wurde.

Die Mitarbeitenden, die an einem Interview teilnehmen, horen, was geschehen wird, bevor das Gesprach beginnt. Sie stimmen zu oder lehnen ab, bevor die Aufnahme beginnt. Alles, was sie zu schwarzen bitten, wird in der Schwarzungsstufe geschwart. Wenn sie nach dem Interview die Einwilligung widerrufen, wird jede aus ihrem Gesprach abgeleitete Tatsache uber den Tombstone-Mechanismus aus der Intelligence Layer zuruckgezogen.

Diese Seite beschreibt den Einwilligungsfluss am Start, die erweiterbare Schwarzungsliste, die Sie kontrollieren, den Widerrufspfad und wie ein Widerruf durch abgeleitete Tatsachen propagiert.

Der Interview-Agent eroffnet jedes Gesprach, indem er dem Befragten vier Dinge beschreibt: was erfasst wird (Audio plus ein strukturiertes Transkript), wie die Ausgabe angereichert wird (typisierte Anspruche uber Markenwahrnehmung, Schmerzpunkte, Chancen), welche Endpunkte die angereicherte Ausgabe erreichen (Ihr Dashboard, die Markenpartner-API, der Agenten-Feed) und welche Rechte der Befragte hat (Widerruf, Schwarzungsanfrage, Transparenzprotokoll).

Der Befragte bestatigt verbal. Die Bestatigung wird im Einwilligungsprotokoll gespeichert, das dem Gesprach beigefugt ist. Wenn der Befragte ablehnt, beginnt die Aufnahme nicht und es wird kein Data-Lake-Eintrag geschrieben.

Das Einwilligungsskript ist veroffentlicht. Ihr Rechtsteam kann es vor jedem Deployment prufen. Das Skript kann an Ihre Gerichtsbarkeit angepasst werden (Loi 25 Quebec, DSGVO, HIPAA-Informed-Consent-Varianten), ohne den zugrunde liegenden Fluss zu andern.

Die Schwarzungsstufe entfernt Namen, Personenidentifikatoren und Anspielungen aus dem Roh-Transkript, bevor ein Anreicherungsaufruf ausgefuhrt wird. Die Standardliste deckt Befragten-Namen und gangige Identifier-Muster ab. Uber die Standards hinaus ist die Schwarzungsliste Ihre zu erweitern. Alles, was spezifisch fur Ihr Unternehmen ist und nie in einem Transkript erscheinen sollte, fugen Sie der Liste hinzu.

Gangige Erweiterungen: Kunden-Kontonummern, interne Projektkodes, Namen internen Personals, das durch seine Rollenbeschreibung identifiziert werden konnte, Lieferantennamen, die an eine Vertraulichkeitsvereinbarung gebunden sind, Namen von Wettbewerber-Fuhrungskraften, die der Befragte erwahnen konnte. Die Liste wird in der Betreiberkonsole bearbeitet. Anderungen werden beim nachsten Gesprach wirksam.

Die Schwarzungsliste ist versioniert. Ein unter Listenversion 4 angereichertes Gesprach tragt in seinen Metadaten einen Verweis auf diese Version, sodass ein Audit feststellen kann, was zum Zeitpunkt der Verarbeitung geschwart wurde.

Ein Befragter, der die Einwilligung widerruft, kontaktiert den Betreiber (oder verwendet in einigen Deployments einen Selbstbedienungslink aus der Post-Interview-E-Mail). Der Widerruf schreibt ein Tombstone-Ereignis gegen den Gesprach-Identifier im Data-Lake-Index. Der Tombstone tragt den Widerruf-Zeitstempel und den angeforderten Umfang (das gesamte Gesprach, ein bestimmtes Thema oder ein bestimmtes Zitat).

Der Tombstone wird auf der Leseseite sofort wirksam. Der Abfrage-Worker pruft das Tombstone-Flag, bevor er Daten aus dem betroffenen Gesprach liefert. Die Entitatszeilen des Gesprachs im Fact Store werden beim nachsten Anreicherungs-Refresh zum Tombstone-Zeitstempel als ungultig markiert. Aggregate, die vor dem Tombstone berechnet wurden, werden beim nachsten vollstandigen Refresh-Zyklus neu berechnet.

Jede Faktenzeile im Korpus tragt einen Chunk-Identifier der Form transcript_id / turn_id / sentence_id, der auf den Quellsatz verweist. Der Chunk-Identifier ist der Propagierungs-Ansatzpunkt.

Wenn ein Tombstone geschrieben wird, findet der Korpus-Indexer jede Tatsache, deren Chunk-Identifier auf das tombstone-versehene Gesprach aufgelost wird, und markiert die Tatsache invalid_at = tombstone_ts. Der bi-temporale Abfragepfad filtert Tatsachen, deren Gulfigkeitsfenster den Abfragezeitpunkt einschliesst, sodass tombstone-versehene Tatsachen nicht mehr zuruckgegeben werden. Sie werden nicht geloscht; der Audit-Pfad bewahrt ihre Existenz und ihren Tombstone-Status.

Fur Aggregate, die bereits vor dem Tombstone berechnet wurden, schliesst die Neuberechnung beim nachsten Refresh die tombstone-versehenen Tatsachen aus. Das Pre-Tombstone-Aggregat wird fur Audits mit einem Verweis auf das Tombstone-Ereignis, das seine Ersetzung ausgelost hat, aufbewahrt.

Das Tombstone-Ereignis ist permanent. Jede Tatsache, deren Chunk-Identifier auf das tombstone-versehene Gesprach aufgelost wird, tragt seinen Tombstone-Verweis. Eine Abfrage wie "Zeigen Sie mir jeden Intelligence-Befund, der aus dem Gesprach mit Befragtem X abgeleitet wurde, und bestatigen Sie, dass keiner davon derzeit im Dashboard geliefert wird" ist aus dem Tombstone-Verweis und dem bi-temporalen Gultigkeitsfenster beantwortbar.

Fur Regulierungsbehorden, die Beweis fur die Einhaltung einer Loschungsanfrage verlangen, ist der Audit-Pfad der Beweis. Der Befragte erhalt eine Bestatigung, die jede aus seinem Gesprach abgeleitete Tatsache und den Zeitstempel auflistet, zu dem jede Tatsache aufgehort hat, geliefert zu werden.

Aggregate, die bereits in einem veroffentlichten Bericht geteilt wurden, konnen aus dem Bericht nicht zuruckgezogen werden; was wir tun konnen, ist den Beitrag des Befragten aus dem nachsten Aggregat auszuschliessen und den zugrunde liegenden Datensatz des Berichts zu andern. Der Tombstone ist ruckwirkend auf den Korpus; er kann kein PDF umschreiben, das die Plattform letztes Quartal verlassen hat.

Statistische Artefakte eines einzelnen Befragten in einem grossen Korpus liegen typischerweise unterhalb der Schwelle der praktischen Re-Identifizierung. Der Tombstone gilt dennoch. Der Korpus-Betreiber kann entscheiden, ob er ein Aggregat neu berechnet oder es unverandert mit einer Fussnotiz belasst, die auf den Tombstone verweist.