Duomenų apsaugos ir dirbtinio intelekto naudojimo politika

Vaidmenys ir atsakomybė

Jūsų organizacija yra duomenų valdytojas turinio, kurį darbuotojai įveda į paslaugą (klausimai, dokumentai, šaltiniai), atžvilgiu. EuroWork AB apdoroja šį turinį kaip duomenų apdorotojas, tik paslaugos teikimui.

Paskyros ir mokėjimų duomenų (vardas, el. pašto adresas, organizacijos duomenys) atžvilgiu EuroWork AB yra duomenų valdytojas.

Kokie duomenys apdorojami

Paskyros duomenys: vardas, el. pašto adresas, pareigos, skyrius, šalis, kalbos nustatymas ir pasirenkamas profilio paveikslėlis. Paslaugoje profilio paveikslėlis matomas tik jūsų organizacijos nariams. Vienintelė išimtis, forumas, kuris yra bendras visoms organizacijoms: jei skelbiate jame nepasirinkę anonimiškumo, rodomas jūsų vardas, profilio paveikslėlis, organizacijos pavadinimas ir šalis kitiems dalyviams. Žr. forumo skyrių toliau.

Darbo turinys: pokalbiai, įkelti dokumentai, projekto šaltiniai, asistento medžiaga ir išsaugoti dokumentai. Turinys yra eilutės lygmeniu izoliuotas kiekvienai organizacijai duomenų bazėje, viena organizacija niekada negali skaityti kitos duomenų.

Veiklos ir kainų žurnalas: kiekvienas AI kreipinys fiksuojamas su modelio pasirinkimu, laiko žyme, žetono kiekiu ir kaina. Užklausos ir atsakymo turinys nėra įtraukiamas į sprendimų žurnalą.

Įkeltas susitikimo garso įrašas transkripcijai laikinai saugomas privačioje failų saugykloje Frankfurte ir ištrinamas, kai protokolas parengtas. Įkelti dokumentai vertimui tvarkomi taip pat.

Jei jūsų organizacija įkelia PowerPoint šabloną, išgaunami ir saugomi tik spalvos ir šriftai, o ne pats failas. Įkeltas logotipas saugomas kaip vaizdas duomenų bazėje, nes jis įtraukiamas į jūsų pristatymus.

Kur apdorojami duomenys

Visa saugykla yra ES ir EEE viduje: tiek duomenų bazė, tiek programa veikia Frankfurte (Vokietija), tame pačiame duomenų centro regione, todėl jūsų duomenys nekeliauja tarp šalių kiekvieno puslapio peržiūros metu.

Pagal numatytuosius nustatymus, AI apdorojimas vyksta su Mistral AI Europoje, be duomenų saugojimo: jokie užklausos ar atsakymai nėra saugomi AI teikėjo, ir niekas nėra naudojama jų modelių mokymui.

Išoriniai modeliai ChatGPT (OpenAI) ir Claude (Anthropic) prieinami kaip pasirinkimas. Jie naudojami tik tada, kai vartotojas aktyviai pasirenka juos atskiram pranešimui, ir tai apima apdorojimą Jungtinėse Valstijose. Kiekvienas toks pranešimas pirmiausia pereina jautrumo kontrolę: asmens duomenys, konfidenciali informacija ir verslo paslaptys niekada nesiunčiami išoriniams modeliams ir visada nukreipiami į ES modelį. Jūsų administratorius gali išjungti šią galimybę visai organizacijai, o jos įjungimas ar išjungimas fiksuojamas audito žurnale.

Microsoft 365 ryšys

Kiekvienas vartotojas gali prijungti savo Microsoft 365 paskyrą prie paslaugos. Ryšys yra savanoriškas, asmeninis ir tik skaitymui: paslauga gali skaityti kalendoriaus įvykius, el. pašto dėžučių temas ir peržiūros tekstą, atskiro laiško turinį, kai vartotojas aiškiai nurodo, ir failų turinį SharePoint ir OneDrive, prie kurių vartotojas jau turi prieigą. Nieko nerašoma, nesiunčiama ar neištrinama Microsoft aplinkoje.

Medžiaga pateikiama užklausos metu, kai vartotojas užduoda klausimą, kuriam jos reikia, ir tada tampa pokalbio dalimi su tokia pačia izoliacija ir saugojimo trukme kaip ir visas kitas darbo turinys. Nėra nuolatinės sinchronizacijos. Prieigos raktai šifruojami ramybės būsenoje (AES-256-GCM), kiekvienas skaitymas fiksuojamas audito žurnale su jo tikslu, ir vartotojas gali atsijungti bet kuriuo metu, o tai ištrina raktus.

Microsoft pačios apdorojimas jūsų el. pašto ir failų vyksta pagal jūsų sutartį su Microsoft, o ne pagal šią. Ryšys tik skaito iš jos, vartotojo prašymu.

Taikoma teisė ir duomenų perdavimas užsienio šalims

ES organizacijas apima Bendrasis duomenų apsaugos reglamentas (GDPR). Norvegijos, Islandijos ir Lichtenšteino organizacijas apima GDPR pagal EEE sutartį. Abiem atvejais visi apdorojimai vyksta ES ir EEE viduje pagal numatytuosius nustatymus, todėl trečiųjų šalių perdavimo nekyla. Tik jei vartotojas aktyviai pasirenka išorinį modelį atskiram pranešimui (galimybę, kurią jūsų administratorius gali išjungti), vyksta perdavimas į Jungtines Valstijas, remiantis Europos Komisijos adekvatumo sprendimu dėl ES-JAV duomenų privatumo struktūros ir po automatinės jautrumo patikros.

Jungtinės Karalystės organizacijas apima Jungtinės Karalystės GDPR kartu su 2018 m. Duomenų apsaugos įstatymu, o ne ES GDPR. Saugojimas ES ir EEE viduje yra leidžiamas, nes Jungtinė Karalystė pripažįsta EEE adekvačiu, o Europos Komisija atnaujino savo adekvatumo sprendimą Jungtinei Karalystei 2025 m. gruodžio 19 d., galiojantį iki 2031 m. gruodžio 27 d.

Šveicarijos organizacijas apima peržiūrėtas Federalinis duomenų apsaugos įstatymas (revFADP), prižiūrimas FDPIC. GDPR taikomas Šveicarijos organizacijai tik tada, kai ji kreipiasi į ES rinką. Saugojimas ES ir EEE viduje yra leidžiamas, nes Šveicarija pripažįsta EEE adekvačiu.

ES dirbtinio intelekto aktas taikomas ES organizacijoms. Jis yra svarbus EEE, bet dar neįtrauktas į EEE sutartį, o nei Jungtinė Karalystė, nei Šveicarija neturi ekvivalentiško horizontalaus dirbtinio intelekto įstatymo. Paslaugos ataskaitos ir dokumentacija prieinama visose rinkose ir yra naudingos kaip pagalbinė medžiaga, nepriklausomai nuo to, kuris teisinis aktas taikomas jums.

Forumas

Forumas yra bendras visoms paslaugos organizacijoms, todėl tai vienintelė vieta, kur duomenys palieka jūsų organizaciją. Čia EuroWork AB yra duomenų valdytojas, o ne apdorotojas, nes mes patys nustatome bendro diskusijų tikslo paskirtį.

Jei skelbiate savo vardu, jūsų vardas, profilio paveikslėlis, organizacijos pavadinimas ir šalis rodoma visiems, turintiems prieigą prie forumo. Jei pasirenkate skelbti anonimiškai, nieko iš to nerodoma: ryšys su jūsų paskyra lieka duomenų bazėje, kad galėtumėte redaguoti savo skelbimą, bet jis niekada nerodomas kitiems skaitytojams ar jūsų darbdaviui.

Skelbimai automatiškai verčiami į skaitytojų naudojamas kalbas ir automatiškai peržiūrimi prieš publikavimą. Abu žingsniai vykdomi ES modelyje be duomenų saugojimo ir apmokami EuroWork. Nerašykite asmens duomenų ar konfidencialios informacijos forumo skelbime, nesvarbu, ar esate anonimiškas.

Jūsų organizacijos savininkas nusprendžia, ar darbuotojai turi prieigą prie forumo. Jis įjungtas pagal numatytuosius nustatymus ir gali būti išjungtas visai organizacijai.

Jautrumo kontrolė

Prieš siunčiant ką nors į AI modelį, užklausa, pridėti dokumentai ir konteksto šaltiniai automatiškai tikrinami dviem lygiais: deterministiniais šablonais (asmens kodai, el. pašto adresai, telefono numeriai, IBAN ir kt.) bei kontekstine įvertinimo sistema, naudojančia ES modelį.

Jei aptinkami jautrūs duomenys, pokalbio apsaugos lygis automatiškai pakeliamas, vartotojas informuojamas, o įvykis fiksuojamas žurnale. Apsauga sukonstruota taip, kad neveikiant sistemos, turinys laikomas jautriu.

Informacijos klasės ir interneto paieška

Visi turiniai tvarkomi pagal informacijos klases: vieša, vidinė, konfidenciali ar draudžiama. Klasė lemia, kurie duomenų srautai leidžiami.

Interneto paieška niekada negali būti naudojama konfidencialiam turiniui, tai platformos taisyklė, kuri negali būti išjungta. Jūsų organizacija gali griežtinti taisykles, bet niekada jų nešvelninti.

Saugojimo trukmė ir ištrinimas

Jūsų administratorius valdo saugojimo politiką: pokalbiai automatiškai ištrinami po pasirinkto neaktyvumo dienų skaičiaus pagal informacijos klasę. Ištrinimas fiksuojamas audito žurnale.

Organizacija bet kuriuo metu gali eksportuoti visą pokalbių turinį (JSON) ir paprašyti visiško ištrynimo.

Slapukai

Paslauga naudoja tik būtinus slapukus: prisijungimo slapuką ir kalbos slapuką, kuris nustatomas tik tada, kai pats aktyviai pasirenkate kalbą. Nėra analitikos, sekimo ar trečiųjų šalių slapukų, todėl nesimatomas jokio sutikimo banerio.

Naujų lankytojų šalis ir kalba nustatoma pagal naršyklės kalbos nustatymus ir tinklo kilmės šalį kiekvieno puslapio peržiūros metu.

Viešojo tinklalapio lankytojų statistika yra be slapukų: skaičiuojame puslapių peržiūras per dieną, puslapį, šalį ir nukreipimo svetainę kaip paprastus skaičius. Norėdami skaičiuoti unikalius lankytojus per dieną, saugome tinklo adreso ir naršyklės vienakryptę maišą su kasdien besikeičiančia druska, o maišos ištrinamos po dviejų dienų. Joks lankytojas negali būti sekamas per kelias dienas, ir niekas nėra dalijamasi su trečiosiomis šalimis.

Jei pildote pasiūlymą formoje „Ne tas, kuris priima sprendimą?“, EuroWork AB saugo tai, ką užpildėte, ir parengtą projektą sekimui, bei el. pašto adresus, kai laiškas išsiunčiamas. Šių duomenų atžvilgiu EuroWork AB yra duomenų valdytojas.

Subapdorotojai

Vercel Inc. (programos talpinimas ir laikinas failų saugojimas, ES regionas Frankfurtas), Neon Inc. (duomenų bazė, ES regionas Frankfurtas), Mistral AI SAS (AI modeliai, Prancūzija, be duomenų saugojimo), Black Forest Labs GmbH (vaizdų generavimas, Vokietija, ES talpinimas) ir Sweego SAS (transakciniai el. laiškai, tokie kaip pakvietimai ir slaptažodžių atstatymai; Prancūzijos įmonė, talpinama OVHcloud ir Scaleway ES viduje).

OpenAI (Jungtinės Valstijos) ir Anthropic PBC (Jungtinės Valstijos), tik pranešimams, kuriuose vartotojas aktyviai pasirinko išorinį modelį (galimybę, kurią jūsų administratorius gali išjungti) ir automatinė jautrumo patikra patvirtino turinį.

Saugumas

Kiekvienos organizacijos duomenys izoliuoti dviem lygiais: kiekvienas duomenų bazės užklausos teiginys aiškiai nurodo organizaciją, o duomenų bazė papildomai turi eilutės lygio politikas kiekvienai organizacijai (Row-Level Security). Visas eismas šifruojamas. Administratoriaus veiksmai, politikos pakeitimai ir eksportai fiksuojami audito žurnale, kurį gali peržiūrėti organizacijos administratorius ir duomenų apsaugos pareigūnas.

Palaikoma vieno prisijungimo sistema (SSO/OIDC) ir automatinis tiekimas (SCIM 2.0), išjungtos paskyros nedelsiant užblokuojamos.

AI žymėjimas pagal AI aktą

Paslaugos sukurti turiniai žymimi kaip mašininės kilmės. Kiekvienas vaizdas gauna dvi žymas: nematomą, įmontuotą į patį vaizdą, ir pastabą failo metaduomenyse, kad jis sukurtas naudojant AI, nurodant paslaugą ir laiką. Į Word ir PDF eksportuojami dokumentai turi tą pačią pastabą failo savybėse. Žymėjimas neatskleidžia, apie ką yra turinys, kas jį užsakė ar kuriai organizacijai jis priklauso.

Žymėjimo negalima pašalinti. Jums draudžiama ir negalima leisti kitiems sąmoningai ištrinti ar pakeisti žymėjimo, kurį paslauga įdėjo į failą. Išimtys taikomos, kai pakeitimas būtinas, kad informacija liktų tiksli po tolesnio apdorojimo, bei saugumo audito ir tyrimų tikslams. Mes neprekiaujame įrankiais žymėjimams apeiti ir nepašaliname žymėjimų, kuriuos kiti įdėjo į medžiagą, kurią jūs pateikiate.

Matomas žymėjimas yra jūsų atsakomybė. Jei skelbiate gilų klastotę, t. y. vaizdą, garsą ar vaizdo įrašą, panašų į tikrą asmenį ar įvykį, kuris gali būti palaikytas tikru, jis turi būti matomas kiekvienam, kuris jį mato. Tas pats galioja AI sugeneruotam tekstui, publikuojamam informuoti visuomenę viešaisiais interesais, nebent asmuo yra peržiūrėjęs turinį ir prisiėmęs redakcinę atsakomybę. Vidinė medžiaga, el. laiškai ir visa, kas lieka organizacijos viduje, nėra apimta.

Jūsų teisės ir kontaktai

Duomenų subjektai savo teises (prieigos, taisymo, ištrynimo ir kt.) įgyvendina pirmiausia per savo organizaciją, kuri yra duomenų valdytojas darbo turinio atžvilgiu.

Klausimai apie šią politiką ar EuroWork AB vykdomą apdorojimą: kreipkitės į EuroWork AB (559474-3709), Box 260, 831 23 Östersund, Sweden.