Důvěra: co potřebujete k tomu, abyste schválili EuroWork

Tato stránka není určena pro toho, kdo bude EuroWork používat. Je určena pro toho, kdo musí schválit, aby ho někdo jiný používal: pověřence pro ochranu osobních údajů, IT ředitele, nákupčího, nebo toho, komu se otázka objeví v pátek na stole a potřebuje odpověď do pondělí.

Snažili jsme se odpovědět na všechno důležité na jednom místě, včetně toho, co nemáme.

Kde data skutečně leží

Databáze i aplikace běží ve Frankfurtu, ve stejné oblasti datacentra. Zpracování pomocí AI probíhá standardně u Mistral AI v Evropě s nulovým uchováváním dat: vaše otázky a odpovědi se u poskytovatele AI neukládají a nepoužívají se k trénování jejich modelů.

ChatGPT a Claude jsou k dispozici jako volitelné možnosti a zahrnují zpracování v USA. Používají se pouze tehdy, když je konkrétní uživatel aktivně vybere pro konkrétní zprávu, a váš správce může tuto možnost zcela vypnout. Před odesláním takové zprávy projde kontrolou citlivosti a vše, co vypadá jako osobní údaje nebo citlivé informace, je vždy odesláno evropskému modelu.

To vše je také uvedeno v dokumentu s politikou, který je právně závazným textem. Tato stránka je jen shrnutím.

Jak jedna organizace nikdy neuvidí data jiné

Izolace je zajištěna na úrovni databáze, ne v kódu nad ní. Každý dotaz do databáze nese identitu organizace a bez této identity se nevrátí žádné řádky. Pokud by aplikace zapomněla na nějakou podmínku, výsledkem by bylo, že se nic nezobrazí, nikoli že by se zobrazily nesprávné údaje. Tomu se říká „fail closed“ a je to jediný typ ochrany, kterému se dá dlouhodobě věřit.

Obsah se nikdy neeviduje v rozhodovacím protokolu. Ten obsahuje pouze informace o tom, který model odpověděl, kdy, kolik to stálo a proč byl model vybrán. Ne co se někdo ptal.

Smlouva

Smlouva o zpracování osobních údajů je součástí smlouvy o poskytování služeb, kde vaše organizace vystupuje jako správce osobních údajů a společnost EuroWork AB jako zpracovatel pro obsah, který vaši zaměstnanci zadávají. Text smlouvy vám můžeme poskytnout ještě před registrací, stačí se ozvat.

Podzpracovatelé, tedy dodavatelé, které my sami využíváme pro provoz a zpracování pomocí AI, jsou uvedeni jmenovitě v dokumentu s politikou. Pokud některého z nich změníme, dáme vám vědět předem.

Co nemáme

Nemáme certifikaci ISO 27001. Nemáme k dispozici žádný externí penetrační test, který bychom mohli ukázat, ani stavovou stránku s historií provozu. To vše ještě přijde, ale nechceme naznačovat, že už to máme.

Raději bychom, abyste to zjistili tady na našich stránkách, než při veřejné zakázce.

Dostupnost

Služba je vyvíjena podle standardu WCAG 2.2 AA. Úrovně kontrastu, navigace pomocí klávesnice a podpora čteček obrazovky jsou prověřené, ale netvrdíme, že je každý povrch bezchybný. Pokud narazíte na něco, co nefunguje, dejte nám vědět a opravíme to. To je také jediný poctivý způsob práce s dostupností: služba nikdy není hotová, jen se postupně zlepšuje.

Když se něco pokazí

Pokud zjistíme incident týkající se osobních údajů, ozveme se vám bez zbytečného odkladu s tím, co víme v danou chvíli a co děláme pro nápravu. Dostanete vše, co potřebujete pro vlastní oznámení dozorovému orgánu, včetně časových údajů a kategorií dotčených údajů.

Jak si odnést svá data

Dokumenty si můžete stáhnout přímo ve službě ve formátech Word, Excel nebo PowerPoint. Pokud byste chtěli všechno najednou, například při ukončení spolupráce, zařídíme to. Nepovažujeme za vyjednávací pozici, aby bylo ukončení smlouvy komplikované.

Nařízení o umělé inteligenci

Vše, co služba vygeneruje, je označeno. Obrázky nesou označení přímo v souboru, takže zůstává i po stažení a dalším sdílení. Odpovědi od AI jsou označeny v rozhraní. Tím je splněn článek 50 o transparentnosti a reporty ve službě můžete použít jako podklad pro vaši vlastní dokumentaci.

Hotová šablona pro posouzení dopadů

Pokud má veřejný sektor zavést AI, obvykle je vyžadováno posouzení dopadů na ochranu osobních údajů. Psát ho od nuly zabere odpoledne, které nikdo nemá. Tady je šablona, ve které jsme vyplnili vše, co se týká nás. Zbývá jen to, co se týká vás, a to můžete zodpovědět jen vy.

1. Popis zpracování. EuroWork používají zaměstnanci k pokládání otázek, sumarizaci a vytváření dokumentů, přepisu schůzek, překladu souborů a spouštění opakujících se úkolů. Zpracovávají se přihlašovací údaje a pracovní obsah, který zaměstnanci sami zadávají.

2. Účel a právní základ. Vyplňte svůj účel. Právním základem je typicky veřejný zájem nebo výkon veřejné moci pro veřejný sektor, oprávněný zájem pro soukromý sektor.

3. Kategorie subjektů údajů. Zaměstnanci používající službu a osoby, které se objevují v materiálu, který zaměstnanci zadávají. Upřesněte, o koho se jedná u vás.

4. Nutnost a přiměřenost. Služba nezískává více, než co zaměstnanec sám napíše nebo nahraje. Propojení s Microsoft 365 je osobní a dobrovolné: každý uživatel připojuje svůj vlastní účet, propojení je pouze čtecí (kalendář, záhlaví e-mailů, jednotlivé dopisy a soubory na výslovnou žádost uživatele), podklady se stahují v okamžiku dotazu bez průběžné synchronizace, každé čtení se eviduje a uživatel může svůj účet kdykoli odpojit.

5. Kde zpracování probíhá. Ukládání v EU a EHP: databáze a aplikace ve Frankfurtu, ve stejné oblasti datacentra. Zpracování pomocí AI u evropského poskytovatele s nulovým uchováváním dat. Předání do třetí země probíhá pouze tehdy, pokud uživatel aktivně vybere externí model, což je volba, kterou lze pro celou organizaci vypnout.

6. Rizika a ochranná opatření. Izolace na úrovni řádků podle organizace s mechanismem „fail closed“, automatická kontrola citlivosti, která může úroveň ochrany pouze zvýšit, nikoli snížit, klasifikace informací pro každou otázku, revizní protokol akcí, lidské schválení před tím, než se návrh AI stane platným dokumentem, a měsíční limit nákladů.

7. Zbytkové riziko. Hlavním zbytkovým rizikem je, že zaměstnanec zadá citlivější materiál, než vyžaduje účel. Opatření: klasifikace informací, kontrola citlivosti a to, že vestavěný kurz se právě tímto zabývá. Posuďte úroveň podle své činnosti.

8. Konzultace s pověřencem pro ochranu osobních údajů. Vyplňte datum a připomínky.

Pokud byste chtěli tuto šablonu jako dokument Word, dejte nám vědět a pošleme vám ji.

Zeptejte se nás, místo abyste hádali

Pokud tady nenajdete odpověď, napište nám. Dostanete odpověď od člověka, a pokud bude odpověď, že to, co potřebujete, nemáme, řekneme vám to.