Politika zaštite podataka i korištenja umjetne inteligencije

Uloge i odgovornosti

Vaša organizacija je upravitelj podataka za sadržaj koji zaposlenici unose u uslugu (pitanja, dokumenti, izvornu građu). EuroWork AB obrađuje taj sadržaj kao obrađivač podataka isključivo radi pružanja usluge.

Za računske i računovodstvene podatke (ime, adresa e-pošte, podatke o organizaciji) EuroWork AB je upravitelj podataka.

Koji se podaci obrađuju

Računski podaci: ime, adresa e-pošte, radno mjesto, odjel, država, jezične postavke i opcionalna profilna slika. Unutar usluge profilna slika vidljiva je samo drugima u vašoj organizaciji. Jedini izuzetak je forum, koji je zajednički za sve organizacije: ako tamo objavite bez odabira anonimnosti, vaše ime, profilna slika, naziv organizacije i država prikazani su drugim sudionicima. Pogledajte odjeljak o forumu u nastavku.

Radni sadržaj: razgovori, učitani dokumenti, izvori projekata, materijali asistenta i spremljeni dokumenti. Sadržaj je izoliran na razini retka po organizaciji u bazi podataka, jedna organizacija nikada ne može čitati podatke druge.

Dnevnik operacija i troškova: svaki poziv umjetnoj inteligenciji evidentira se s odabirom modela, vremenskom oznakom, brojem tokena i troškom. Sadržaj upita i odgovora nije dio dnevnika odluka.

Audio snimke sastanaka učitane za transkripciju privremeno se pohranjuju u privatno pohranjivanje datoteka u Frankfurtu i brišu se nakon što su zapisnici spremni. Dokumenti učitani za prijevod obrađuju se na isti način.

Ako vaša organizacija učita predložak PowerPointa, boje i fontovi se izdvajaju i pohranjuju, ali nikada sama datoteka. Učitani logotip, međutim, pohranjuje se kao slika u bazi podataka jer se ugrađuje u vaše prezentacije.

Gdje se podaci obrađuju

Sva pohrana je unutar EU i EGP-a: baza podataka i aplikacija rade u Frankfurtu (Njemačka), u istoj regiji podatkovnog centra, tako da vaši podaci ne putuju između država pri svakom pregledavanju stranice.

Standardno, obrada umjetnom inteligencijom odvija se s Mistral AI u Europi uz nulto zadržavanje podataka: niti upiti niti odgovori nisu pohranjeni kod pružatelja usluga umjetne inteligencije, a ništa se ne koristi za obuku njihovih modela.

Vanjski modeli ChatGPT (OpenAI) i Claude (Anthropic) dostupni su kao opcija. Koriste se samo kada ih korisnik aktivno odabere za pojedinačnu poruku i uključuju obradu u Sjedinjenim Američkim Državama. Svaka takva poruka prvo prolazi kroz osjetljivi filter: osobni podaci, povjerljive informacije i poslovne tajne nikada se ne šalju vanjskim modelima i uvijek se obrađuju modelom unutar EU. Vaš administrator može isključiti tu opciju za cijelu organizaciju, a njeno uključivanje ili isključivanje evidentira se u revizijskom dnevniku.

Povezivanje s Microsoft 365

Svaki korisnik može povezati svoj vlastiti račun Microsoft 365 s uslugom. Povezivanje je dobrovoljno, osobno i samo za čitanje: usluga može čitati kalendarske događaje, predmete pristigle pošte i pregledni tekst, sadržaj pojedinačne e-pošte kada je korisnik izričito uputi na nju, te sadržaj datoteka na SharePointu i OneDriveu na koje korisnik već ima pristup. Ništa se ne zapisuje, šalje ili briše u Microsoftovu okruženju.

Materijal se dohvaća u trenutku postavljanja pitanja, kada korisnik zatraži nešto što ga zahtijeva, a zatim postaje dio razgovora s istom izolacijom i zadržavanjem kao i sav drugi radni sadržaj. Nema kontinuirane sinkronizacije. Pristupni tokeni šifrirani su u mirovanju (AES-256-GCM), svako čitanje evidentira se u revizijskom dnevniku s navedenom svrhom, a korisnik se može odjaviti u bilo kojem trenutku, što briše tokene.

Microsoftova vlastita obrada vaše e-pošte i datoteka odvija se prema vašem ugovoru s Microsoftom, a ne prema ovom. Povezivanje samo čita iz njega, na zahtjev korisnika.

Primjenjivo pravo i prijenos podataka preko granica

Organizacije u EU pokrivene su Općom uredbom o zaštiti podataka (GDPR). Organizacije u Norveškoj, Islandu i Lihtenštajnu pokrivene su GDPR-om putem Sporazuma o EGP-u. U oba slučaja sva obrada odvija se unutar EU i EGP-a standardno, tako da ne dolazi do prijenosa u treće zemlje. Samo ako korisnik aktivno odabere vanjski model za pojedinačnu poruku (opcija koju vaš administrator može isključiti) dolazi do prijenosa u Sjedinjene Američke Države, temeljenog na odluci Europske komisije o adekvatnosti za Okvir privatnosti podataka EU-SAD i nakon automatske provjere osjetljivosti.

Organizacije u Ujedinjenom Kraljevstvu pokrivene su britanskim GDPR-om zajedno sa Zakonom o zaštiti podataka iz 2018., a ne EU GDPR-om. Pohrana unutar EU i EGP-a dopuštena je jer UK priznaje EGP kao adekvatan, a Europska komisija obnovila je svoju odluku o adekvatnosti za UK 19. prosinca 2025., koja vrijedi do 27. prosinca 2031.

Organizacije u Švicarskoj pokrivene su revidiranim Saveznim zakonom o zaštiti podataka (revFADP), pod nadzorom FDPIC-a. GDPR se primjenjuje na švicarsku organizaciju tek kada se ona obrati tržištu EU. Pohrana unutar EU i EGP-a dopuštena je jer Švicarska priznaje EGP kao adekvatan.

Uredba o umjetnoj inteligenciji EU-a primjenjuje se na organizacije u EU. Ona je relevantna za EGP, ali još nije uključena u Sporazum o EGP-u, a niti Ujedinjeno Kraljevstvo niti Švicarska nemaju ekvivalentan horizontalni zakon o umjetnoj inteligenciji. Izvješća i dokumentacija u usluzi dostupni su na svakom tržištu i korisni su kao podrška bez obzira na to koji okvir se primjenjuje na vas.

Forum

Forum dijele sve organizacije u usluzi i stoga je jedino mjesto gdje podaci napuštaju vašu organizaciju. Ovdje je EuroWork AB upravitelj podataka, a ne obrađivač, jer mi određujemo svrhu zajedničke rasprave.

Ako objavite pod svojim imenom, vaše ime, profilna slika, naziv organizacije i država prikazani su svima koji imaju pristup forumu. Ako odaberete objavu anonimno, ništa od toga nije prikazano: poveznica s vašim računom ostaje u bazi podataka kako biste mogli uređivati vlastitu objavu, ali nikada se ne prikazuje drugim čitateljima niti vašem poslodavcu.

Objave se automatski prevode na jezike koje čitatelji koriste i automatski pregledavaju prije objave. Oba koraka odvijaju se na EU modelu s nultim zadržavanjem podataka i plaća ih EuroWork. Ne unosite osobne podatke ili povjerljive informacije u objavu na forumu, bez obzira na to jeste li anonimni ili ne.

Vlasnik vaše organizacije odlučuje imaju li zaposlenici pristup forumu. On je standardno uključen i može se isključiti za cijelu organizaciju.

Filter osjetljivosti

Prije nego što se bilo što pošalje modelu umjetne inteligencije, upit, priloženi dokumenti i izvori konteksta automatski se provjeravaju u dva sloja: determinističkim obrascima (osobni identifikacijski brojevi, adrese e-pošte, telefonski brojevi, IBAN i slično) te kontekstualnom procjenom na EU modelu.

Ako se otkriju osjetljivi podaci, razred zaštite razgovora automatski se podiže, korisnik se obavještava, a događaj se evidentira. Zaštita je dizajnirana da bude sigurna u slučaju kvara: ako provjera ne može donijeti odluku, sadržaj se tretira kao osjetljiv.

Razredi informacija i pretraživanje weba

Sav sadržaj obrađuje se u razredima informacija: javni, interni, povjerljivi ili zabranjeni. Razred određuje koje su tokove podataka dopuštene.

Pretraživanje weba nikada se ne može koristiti za povjerljivi sadržaj, što je pravilo platforme koje se ne može isključiti. Vaša organizacija može dodatno pooštriti pravila, ali ih nikada ne može ublažiti.

Zadržavanje i brisanje

Vaš administrator kontrolira politiku zadržavanja: razgovori se automatski brišu nakon odabranog broja dana neaktivnosti po razredu informacija. Brisanje se evidentira u revizijskom dnevniku.

Organizacija može u bilo kojem trenutku izvesti sav sadržaj razgovora (JSON) i zatražiti potpuno brisanje.

Kolačići

Usluga koristi samo nužne kolačiće: kolačić za prijavu i kolačić za jezik koji se postavlja samo kada sami aktivno odaberete jezik. Nema analitičkih, praćenja ili kolačića trećih strana, zbog čega se ne prikazuje traka za pristanak.

Država i jezik za nove posjetitelje izvode se iz jezičnih postavki preglednika i mrežne lokacije podrijetla pri svakom pregledavanju stranice.

Statistika posjetitelja na javnoj web stranici ne koristi kolačiće: brojimo pregledavanja stranica po danu, stranici, državi i referentnoj stranici kao obične brojeve. Za brojanje jedinstvenih posjetitelja po danu pohranjuje se jednosmjerna hash vrijednost mrežne adrese i preglednika sa solju koja se mijenja svakodnevno, a hash vrijednosti brišu se nakon dva dana. Nijedan posjetitelj ne može se pratiti kroz više dana, a ništa se ne dijeli s trećim stranama.

Ako napišete prijedlog u obrascu Niste li vi onaj koji odlučuje?, EuroWork AB pohranjuje ono što ste unijeli i gotov nacrt za praćenje, te adrese e-pošte kada se e-pošta pošalje. EuroWork AB je upravitelj podataka za te podatke.

Podizvođači

Vercel Inc. (hosting aplikacija i privremeno pohranjivanje datoteka, regija EU Frankfurt), Neon Inc. (baza podataka, regija EU Frankfurt), Mistral AI SAS (modeli umjetne inteligencije, Francuska, nulto zadržavanje podataka), Black Forest Labs GmbH (generiranje slika, Njemačka, hosting u EU) i Sweego SAS (transakcijska e-pošta poput pozivnica i resetiranja lozinke; francuska tvrtka hostana kod OVHclouda i Scalewaya unutar EU).

OpenAI (Sjedinjene Američke Države) i Anthropic PBC (Sjedinjene Američke Države), isključivo za poruke gdje je korisnik aktivno odabrao vanjski model (opcija koju vaš administrator može isključiti) i gdje je automatski filter osjetljivosti odobrio sadržaj.

Sigurnost

Podaci svake organizacije izolirani su u dva sloja: svaki upit baze podataka eksplicitno navodi organizaciju, a baza podataka dodatno ima politike na razini retka po organizaciji (Row-Level Security). Sav promet je šifriran. Administratorski događaji, promjene politika i izvozi evidentiraju se u revizijskom dnevniku koji administrator organizacije i službenik za zaštitu podataka mogu pregledati.

Podržana je jedinstvena prijava (SSO/OIDC) i automatska opskrba (SCIM 2.0), deaktivirani računi isključuju se odmah.

Označavanje umjetne inteligencije prema Uredbi o umjetnoj inteligenciji

Ono što usluga stvara označeno je kao strojno generirano. Svaka slika dobiva dvije oznake: nevidljivu, ugrađenu u samu sliku, i bilješku u metapodacima datoteke koja navodi da je stvorena umjetnom inteligencijom, kojom uslugom i kada. Dokumenti izvezeni u Word i PDF sadrže istu bilješku u svojstvima datoteke. Oznaka ne govori ništa o sadržaju, tko ga je naručio ili kojoj organizaciji pripada.

Oznaku nije dopušteno uklanjati. Ne smijete, niti smijete dopustiti drugima, namjerno brisati ili mijenjati oznaku koju je usluga postavila u datoteku. Iznimke se primjenjuju kada je promjena nužna kako bi se informacije održale točnima nakon naknadne obrade te za sigurnosne revizije i istraživanja. Mi ne prodajemo alate za zaobilaženje oznaka niti uklanjamo oznake koje je netko drugi postavio u materijal koji unosite.

Vidljivo označavanje je vaša odgovornost. Ako objavite duboku laž, odnosno sliku, audio ili video koji nalikuje stvarnoj osobi ili događaju i koji bi se mogao smatrati autentičnim, to mora biti vidljivo svakome tko ga vidi. Isto vrijedi i za tekst stvoren umjetnom inteligencijom objavljen radi informiranja javnosti o pitanjima od javnog interesa, osim ako osoba nije pregledala sadržaj i preuzela uredničku odgovornost. Interni materijali, e-pošta i sve što ostaje unutar organizacije nisu obuhvaćeni.

Vaša prava i kontakt

Subjekti podataka ostvaruju svoja prava (pristup, ispravak, brisanje i drugo) prvenstveno putem svoje organizacije, koja je upravitelj podataka za radni sadržaj.

Pitanja o ovoj politici ili vlastitoj obradi podataka EuroWork AB-a: obratite se EuroWork AB (559474-3709), Box 260, 831 23 Östersund, Sweden.