Povjerenje: ono što vam treba da biste odobrili EuroWork

Ova stranica nije napisana za osobu koja će koristiti EuroWork. Napisana je za onu koja treba odobriti da to netko drugi učini: službenika za zaštitu podataka, IT voditelja, nabavljača, onoga tko dobije pitanje u krilo u petak i treba odgovor prije ponedjeljka.

Pokušali smo odgovoriti na sve takvo na jednom mjestu, uključujući i ono čega nemamo.

Gdje se zapravo nalaze podaci

Baza podataka i aplikacija rade obje u Frankfurtu, u istoj regiji podatkovnog centra. Obrada pomoću AI-ja odvija se standardno kod Mistral AI u Europi, s nultim zadržavanjem podataka: vaša pitanja i odgovori ne spremaju se kod pružatelja AI usluga i ne koriste se za treniranje njihovih modela.

ChatGPT i Claude dostupni su kao opcija i podrazumijevaju obradu u SAD-u. Koriste se samo kada pojedini korisnik aktivno odabere jednu od njih za pojedinu poruku, a vaš administrator može potpuno isključiti tu opciju. Prije nego što takva poruka ode, prolazi kroz provjeru osjetljivosti, a ono što izgleda kao osobni podaci ili povjerljive informacije uvijek se šalje EU modelu.

Sve je to navedeno i u dokumentu o politici, koji je pravno obvezujući tekst. Ova stranica je sažetak.

Da jedna organizacija nikada ne vidi podatke druge

Izolacija je ugrađena u bazu podataka, a ne u kod iznad nje. Svaki upit prema bazi podataka nosi identitet organizacije, a bez te identitete ne vraća se niti jedan redak. Ako bi se dogodila greška u aplikaciji i zaboravilo se na neki uvjet, posljedica bi bila da se ništa ne vidi, a ne da se vide pogrešni podaci. To se zove fail closed, i to je jedina vrsta zaštite kojoj se može vjerovati na duge staze.

Sadržaj se nikada ne bilježi u zapisniku odluka. Ondje stoji koja je model odgovorila, kada, koliko je to koštalo i zašto je model odabran. Ne vidi se što je tko pitao.

Ugovor

Ugovor o obradi osobnih podataka uključen je u ugovor o usluzi, s vašom organizacijom kao odgovornom za zaštitu podataka i tvrtkom EuroWork AB kao izvršiteljem za sadržaj koji vaši zaposlenici unose. Ugovorni tekst možete dobiti prije nego što se registrirate, samo nas kontaktirajte.

Podizvršitelji, odnosno dobavljači koje mi angažiramo za rad i obradu pomoću AI-ja, navedeni su imenom u dokumentu o politici. Ako promijenimo nekog od njih, obavijestit ćemo vas unaprijed.

Čega nemamo

Nismo certificirani prema ISO 27001. Nemamo provedeno vanjsko penetracijsko testiranje koje bismo mogli pokazati, niti stranicu sa statusom i poviješću rada. To su stvari koje dolaze, ali nećemo davati dojam da već postoje.

Radije bismo da to otkrijete na našoj stranici nego u postupku nabave.

Dostupnost

Usluga je izrađena prema WCAG 2.2 AA. Provjereni su kontrast, navigacija tipkovnicom i podrška čitačima zaslona, ali ne tvrdimo da je svaka površina besprijekorna. Ako naiđete na nešto što ne radi, javite nam, i popravit ćemo to. To je i jedini pošten način rada na dostupnosti: usluga nikada nije gotova, ona postaje postupno manje loša.

Ako nešto pođe po zlu

Ako otkrijemo incident s osobnim podacima, obavijestit ćemo vas bez nepotrebnog odgađanja, s onim što znamo u tom trenutku i što poduzimamo. Dobit ćete sve što vam treba za vlastito prijavljivanje nadzornom tijelu, uključujući vremenske oznake i kategorije podataka koje su pogođene.

Kako ponijeti svoje materijale sa sobom

Dokumente možete preuzeti kao Word, Excel ili PowerPoint izravno u usluzi. Ako želite sve izvesti na jedno mjesto, primjerice zato što odlučite prestati koristiti uslugu, to ćemo vam omogućiti. Ne smatramo da je otežavanje otkazivanja pregovaračka pozicija.

Uredba o umjetnoj inteligenciji

Sve što usluga generira označeno je. Slike sadrže oznaku unutar same datoteke, tako da ona ostaje i kada se slika preuzme i proslijedi. AI odgovori označeni su u sučelju. To ispunjava članak 50 o transparentnosti, a izvještaji u usluzi mogu se koristiti kao podloga za vašu dokumentaciju.

Gotov predložak za procjenu utjecaja

Ako javna ustanova želi uvesti AI, obično je potrebna procjena utjecaja na zaštitu podataka, a pisanje od nule oduzme popodne koje nitko nema. Evo predloška u kojem smo odgovorili na sve što se odnosi na nas. Ono što preostaje odnosi se na vas, a na to možete odgovoriti samo vi.

1. Opis obrade. EuroWork koriste zaposlenici za postavljanje pitanja, sažimanje i izradu dokumenata, transkripciju sastanaka, prevođenje datoteka i izvođenje ponavljajućih zadataka. Podaci koji se obrađuju su podaci o računu te radni sadržaj koji zaposlenici sami unose.

2. Svrha i pravna osnova. Ispunite svoju svrhu. Pravna osnova tipično je javni interes ili izvršavanje ovlasti za javne ustanove, legitimni interes za privatne tvrtke.

3. Kategorije registriranih. Zaposlenici koji koriste uslugu, te osobe koje se pojavljuju u materijalu koji zaposlenici odluče unijeti. Navedite točnije tko su oni kod vas.

4. Nužnost i proporcionalnost. Usluga ne prikuplja više od onoga što zaposlenik sam napiše ili učita. Povezivanje s Microsoft 365 osobno je i dobrovoljno: svaki korisnik povezuje vlastiti račun, veza je samo za čitanje (kalendar, zaglavlja e-pošte, pojedinačna pisma i datoteke na izričit zahtjev korisnika), podaci se dohvaćaju u trenutku upita bez stalne sinkronizacije, svako čitanje se bilježi u revizijskom zapisu, a korisnik može u bilo kojem trenutku odspojiti svoj račun.

5. Gdje se obrada odvija. Pohrana unutar EU i EGP: baza podataka i aplikacija u Frankfurtu, u istoj regiji podatkovnog centra. Obrada pomoću AI-ja kod europskog pružatelja s nultim zadržavanjem podataka. Prijenos u treće zemlje događa se samo ako korisnik aktivno odabere vanjski model, opciju koju je moguće isključiti za cijelu organizaciju.

6. Rizici i mjere zaštite. Izolacija na razini redaka po organizaciji koja pada zatvoreno, automatska provjera osjetljivosti koja može povisiti, ali nikada sniziti razinu zaštite, razvrstavanje informacija po pitanju, revizijski zapis o radnjama, ljudsko odobrenje prije nego AI nacrt postane valjani dokument, te mjesečni limit troškova.

7. Preostali rizik. Glavni preostali rizik je da zaposlenik unese osjetljiviji materijal nego što to zahtijeva svrha. Protumjere: razvrstavanje informacija, provjera osjetljivosti, te činjenica da ugrađeni tečaj upravo to obrađuje. Procijenite razinu prema svojoj djelatnosti.

8. Savjetovanje s službenikom za zaštitu podataka. Ispunite datum i primjedbe.

Ako želite ovaj predložak kao Word dokument, javite nam i poslat ćemo vam ga.

Pitajte nas umjesto da nagađate

Ako ovdje ne pronađete odgovor, pišite nam. Dobit ćete odgovor od čovjeka, a ako je odgovor da nemamo ono što vam treba, reći ćemo vam to.