Zásady ochrany dat a používání umělé inteligence

Role a odpovědnost

Vaše organizace je správcem osobních údajů pro obsah, který zaměstnanci zadávají do služby (otázky, dokumenty, zdrojové materiály). Společnost EuroWork AB zpracovává tento obsah jako zpracovatel osobních údajů výhradně za účelem poskytnutí služby.

Pro účtovací a fakturační údaje (jméno, e-mailová adresa, údaje o organizaci) je společností EuroWork AB správcem osobních údajů.

Jaké údaje jsou zpracovávány

Údaje o účtu: jméno, e-mailová adresa, pracovní pozice, oddělení, země, jazykové nastavení a volitelná profilová fotografie. V rámci služby je profilová fotografie viditelná pouze pro ostatní členy vaší organizace. Jedinou výjimkou je fórum, které je sdíleno napříč všemi organizacemi: pokud zde příspěvek zveřejníte bez volby anonymity, zobrazí se ostatním účastníkům vaše jméno, profilová fotografie, název organizace a země. Viz část věnovaná fóru níže.

Pracovní obsah: konverzace, nahrané dokumenty, projektové zdroje, materiály asistenta a uložené dokumenty. Obsah je v databázi izolován na úrovni řádků podle organizace, jedna organizace nikdy nemůže číst data jiné organizace.

Provozní a nákladový záznam: každé volání umělé inteligence je zaznamenáno s výběrem modelu, časovým razítkem, objemem tokenů a náklady. Obsah promptu a odpovědi není součástí rozhodovacího záznamu.

Audio záznamy schůzek nahrané za účelem přepisu jsou dočasně uloženy v privátním úložišti ve Frankfurtu a po vytvoření zápisu jsou smazány. Dokumenty nahrané k překladu jsou zpracovávány stejným způsobem.

Pokud vaše organizace nahraje šablonu PowerPointu, jsou extrahovány a uloženy pouze barvy a písma, nikoli samotný soubor. Nahrané logo je však uloženo jako obrázek v databázi, protože je použito ve vašich prezentacích.

Kde jsou údaje zpracovávány

Veškeré úložiště se nachází v rámci EU a EHP: jak databáze, tak aplikace běží ve Frankfurtu (Německo), ve stejné oblasti datového centra, takže vaše data při každém zobrazení stránky necestují mezi zeměmi.

Ve výchozím nastavení probíhá zpracování umělou inteligencí s využitím služby Mistral AI v Evropě s nulovým uchováváním dat: žádné prompty ani odpovědi nejsou uloženy poskytovatelem umělé inteligence a nic není použito k trénování jejich modelů.

Externí modely ChatGPT (OpenAI) a Claude (Anthropic) jsou k dispozici jako volba. Používají se pouze tehdy, když je uživatel aktivně vybere pro jednotlivou zprávu, a zahrnují zpracování ve Spojených státech. Každá taková zpráva nejprve prochází kontrolou citlivosti: osobní údaje, důvěrné informace a obchodní tajemství nejsou nikdy odesílány externím modelům a vždy jsou zpracovávány modelem v EU. Váš správce může tuto možnost pro celou organizaci vypnout a její zapnutí nebo vypnutí je zaznamenáno v auditním záznamu.

Propojení s Microsoft 365

Každý uživatel může k službě připojit svůj vlastní účet Microsoft 365. Propojení je dobrovolné, osobní a pouze pro čtení: služba může číst události kalendáře, předměty a náhledový text doručené pošty, obsah jednotlivého e-mailu, pokud na něj uživatel výslovně odkáže, a obsah souborů na SharePointu a OneDrivu, ke kterým má uživatel již přístup. V prostředí Microsoftu není nic zapisováno, odesíláno ani mazano.

Materiál je načítán v okamžiku položení otázky, když uživatel požádá o něco, co jej vyžaduje, a následně se stává součástí konverzace se stejnou izolací a uchováváním jako veškerý ostatní pracovní obsah. Nedochází k průběžné synchronizaci. Přístupové tokeny jsou šifrovány v klidovém stavu (AES-256-GCM), každé čtení je zaznamenáno v auditním záznamu spolu s jeho účelem a uživatel se může kdykoli odpojit, čímž dojde ke smazání tokenů.

Zpracování vašich e-mailů a souborů společností Microsoft probíhá na základě vaší smlouvy s Microsoftem, nikoli na základě této smlouvy. Propojení z něj pouze čte na žádost uživatele.

Použitelné právo a přeshraniční přenosy

Organizace v EU se řídí GDPR. Organizace v Norsku, Islandu a Lichtenštejnsku se řídí GDPR prostřednictvím Dohody o EHP. V obou případech probíhá veškeré zpracování ve výchozím nastavení v rámci EU a EHP, takže nedochází k přenosu do třetí země. K přenosu do Spojených států dochází pouze tehdy, pokud uživatel aktivně vybere externí model pro jednotlivou zprávu (tuto možnost může váš správce vypnout), a to na základě rozhodnutí Evropské komise o přiměřenosti ochrany v rámci EU-US Data Privacy Framework a po automatickém prověření citlivosti.

Organizace ve Spojeném království se řídí UK GDPR spolu se zákonem o ochraně osobních údajů z roku 2018, nikoli GDPR EU. Uchovávání dat v rámci EU a EHP je povoleno, protože Spojené království uznává EHP za přiměřené a Evropská komise obnovila své rozhodnutí o přiměřenosti ochrany pro Spojené království dne 19. prosince 2025, platné do 27. prosince 2031.

Organizace ve Švýcarsku se řídí revidovaným spolkovým zákonem o ochraně dat (revFADP), který dohlíží Spolkový komisař pro ochranu dat a informace (FDPIC). GDPR se vztahuje na švýcarskou organizaci až tehdy, pokud oslovuje trh EU. Uchovávání dat v rámci EU a EHP je povoleno, protože Švýcarsko uznává EHP za přiměřené.

Nařízení EU o umělé inteligenci (AI Act) se vztahuje na organizace v EU. Je relevantní pro EHP, ale dosud nebylo začleněno do Dohody o EHP, a ani Spojené království, ani Švýcarsko nemají ekvivalentní horizontální zákon o umělé inteligenci. Zprávy a dokumentace ve službě jsou dostupné na všech trzích a jsou užitečné jako podpůrný materiál bez ohledu na to, který rámec se na vás vztahuje.

Fórum

Fórum je sdíleno všemi organizacemi ve službě, a proto je jediným místem, kde data opouštějí vaši organizaci. Zde je společností EuroWork AB správcem osobních údajů, nikoli zpracovatelem, protože účel sdílené diskuse určujeme sami.

Pokud příspěvek zveřejníte pod svým jménem, zobrazí se všem s přístupem do fóra vaše jméno, profilová fotografie, název organizace a země. Pokud se rozhodnete příspěvek zveřejnit anonymně, nic z toho se nezobrazí: vazba na váš účet zůstává v databázi, abyste mohli upravit svůj příspěvek, ale ostatním čtenářům ani vašemu zaměstnavateli není nikdy zobrazena.

Příspěvky jsou automaticky překládány do jazyků, které čtenáři používají, a před zveřejněním automaticky kontrolovány. Oba kroky probíhají na modelu EU s nulovým uchováváním dat a jsou hrazeny společností EuroWork. Do příspěvku ve fóru nezapisujte osobní údaje ani důvěrné informace, a to bez ohledu na to, zda jste anonymní.

Přístup zaměstnanců k fóru rozhoduje vlastník organizace. Ve výchozím nastavení je zapnutý a lze jej pro celou organizaci vypnout.

Kontrola citlivosti

Než je cokoli odesláno modelu umělé inteligence, jsou prompt, připojené dokumenty a kontextové zdroje automaticky prověřovány ve dvou vrstvách: deterministickými vzory (rodná čísla, e-mailové adresy, telefonní čísla, IBAN a další) a kontextovým hodnocením na modelu EU.

Pokud jsou zjištěny citlivé údaje, je automaticky zvýšena třída ochrany konverzace, uživatel je informován a událost je zaznamenána. Ochrana je navržena tak, aby selhala uzavřeně: pokud kontrola nemůže rozhodnout, je obsah považován za citlivý.

Třídy informací a vyhledávání na webu

Veškerý obsah je zpracováván v rámci tříd informací: veřejné, interní, důvěrné nebo zakázané. Třída určuje, které toky dat jsou povoleny.

Vyhledávání na webu nelze nikdy použít pro důvěrný obsah, což je pravidlo platformy, které nelze vypnout. Vaše organizace může pravidla dále zpřísnit, nikoli však uvolnit.

Uchovávání a mazání

Správce organizace řídí zásady uchovávání: konverzace jsou automaticky mazeny po zvoleném počtu dní nečinnosti podle třídy informací. Mazání je zaznamenáno v auditním záznamu.

Organizace může kdykoli exportovat veškerý obsah konverzací (JSON) a požádat o úplné smazání.

Cookies

Služba používá pouze nezbytné cookies: session cookie pro přihlášení a jazykovou cookie, která je nastavena pouze tehdy, když si jazyk aktivně zvolíte sami. Nejsou používány žádné analytické, sledovací ani cookies třetích stran, a proto se nezobrazuje žádný souhlasový banner.

Země a jazyk pro nové návštěvníky jsou odvozeny z jazykového nastavení prohlížeče a země původu sítě při každém zobrazení stránky.

Statistiky návštěvnosti veřejných webových stránek jsou bez cookies: počítáme zobrazení stránek za den, stránku, zemi a odkazující web jako prostá čísla. Pro počítání jedinečných návštěvníků za den je uloženo jednosměrné hešování síťové adresy a prohlížeče se solí, která se denně mění, a heše jsou smazány po dvou dnech. Žádného návštěvníka nelze sledovat napříč dny a nic není sdíleno se třetími stranami.

Pokud vyplníte návrh ve formuláři Nejste tím, kdo rozhoduje?, společnost EuroWork AB uloží, co jste vyplnili, a hotový návrh pro následné zpracování, a e-mailové adresy, když je e-mail odeslán. Pro tyto údaje je společností EuroWork AB správcem osobních údajů.

Subzpracovatelé

Vercel Inc. (hosting aplikací a dočasné úložiště souborů, oblast EU Frankfurt), Neon Inc. (databáze, oblast EU Frankfurt), Mistral AI SAS (modely umělé inteligence, Francie, nulové uchovávání dat), Black Forest Labs GmbH (generování obrázků, Německo, hosting v EU) a Sweego SAS (transakční e-maily, jako jsou pozvánky a obnovení hesla; francouzská společnost hostovaná u OVHcloud a Scaleway v rámci EU).

OpenAI (Spojené státy) a Anthropic PBC (Spojené státy), výhradně pro zprávy, kde uživatel aktivně vybral externí model (tuto možnost může váš správce vypnout) a automatická kontrola citlivosti schválila obsah.

Zabezpečení

Data každé organizace jsou izolována ve dvou vrstvách: každý dotaz do databáze explicitně uvádí organizaci a databáze navíc obsahuje zásady izolace na úrovni řádků pro každou organizaci (Row-Level Security). Veškerý provoz je šifrován. Události správců, změny zásad a exporty jsou zaznamenávány v auditním záznamu, který může správce organizace a pověřenec pro ochranu osobních údajů prohlížet.

Je podporováno jednotné přihlašování (SSO/OIDC) a automatické zřizování (SCIM 2.0), deaktivované účty jsou okamžitě vyloučeny.

Označování obsahu vytvořeného umělou inteligencí podle AI Act

To, co služba vytvoří, je označeno jako strojově vytvořené. Každý obrázek má dvě označení: neviditelné, které je součástí samotného obrázku, a poznámku v metadatech souboru, že byl vytvořen umělou inteligencí, kterou službou a kdy. Dokumenty exportované do Wordu a PDF obsahují stejnou poznámku ve vlastnostech souboru. Označení neříká nic o obsahu, kdo jej objednal nebo které organizaci patří.

Označení nesmí být odstraněno. Nesmíte a nesmíte umožnit nikomu jinému úmyslně mazat nebo přepisovat označení, které služba umístila do souboru. Výjimky platí tam, kde je změna nezbytná k zachování přesnosti informací po následném zpracování, a pro bezpečnostní audity a výzkum. Nástroje pro obcházení označení nenabízíme ani neodstraňujeme označení, která někdo jiný umístil do materiálu, který do služby nahrajete.

Viditelné označení je vaší odpovědností. Pokud zveřejníte deep fake, tedy obrázek, audio nebo video připomínající skutečnou osobu nebo událost, které by mohly být považovány za pravé, musí být viditelné pro každého, kdo je vidí. Totéž platí pro text vytvořený umělou inteligencí zveřejněný za účelem informování veřejnosti o záležitostech veřejného zájmu, pokud osoba nezkontrolovala obsah a nepřevzala za něj redakční odpovědnost. Interní materiály, e-maily a vše, co zůstává uvnitř organizace, nejsou tímto dotčeny.

Vaše práva a kontakt

Subjekty údajů uplatňují svá práva (přístup, opravu, výmaz a další) primárně prostřednictvím své organizace, která je správcem osobních údajů pro pracovní obsah.

Dotazy týkající se této zásady nebo vlastního zpracování společnosti EuroWork AB: kontaktujte společnost EuroWork AB (559474-3709), Box 260, 831 23 Östersund, Švédsko.