Politika varstva podatkov in uporabe umetne inteligence

Vloge in odgovornosti

Vaša organizacija je upravljavec osebnih podatkov za vsebino, ki jo zaposleni vnesejo v storitev (vprašanja, dokumenti, izvorna gradiva). Podjetje EuroWork AB obdeluje to vsebino kot izvajalec obdelave izključno za zagotavljanje storitve.

Za računske in obračunske podatke (ime, elektronski naslov, podatki o organizaciji) je upravljavec osebnih podatkov podjetje EuroWork AB.

Kateri podatki se obdelujejo

Računski podatki: ime, elektronski naslov, naziv delovnega mesta, oddelek, država, jezikovne preference in izbirna profilna slika. Znotraj storitve je profilna slika vidna samo drugim v vaši organizaciji. Edina izjema je forum, ki je skupen vsem organizacijam: če objavite brez izbire anonimnosti, so drugim udeležencem prikazani vaše ime, profilna slika, ime organizacije in država. Glejte razdelek o forumu spodaj.

Delovna vsebina: pogovori, naloženi dokumenti, projektni viri, gradiva asistenta in shranjeni dokumenti. Vsebina je na ravni vrstic izolirana po organizacijah v bazi podatkov, ena organizacija nikoli ne more prebrati podatkov druge.

Dnevnik obratovanja in stroškov: vsak klic umetne inteligence je zabeležen z izbiro modela, časovnim žigom, številom žetonov in stroški. Vsebina poizvedbe in odgovora ni del dnevnika odločitev.

Zvočni posnetki sestankov, naloženi za prepis, so začasno shranjeni v zasebnem shrambišču datotek v Frankfurtu in izbrisani, ko so zapisniki pripravljeni. Dokumenti, naloženi za prevod, se obdelujejo enako.

Če vaša organizacija naloži predlogo PowerPoint, se barve in pisave izlučijo in shranijo, nikoli pa sama datoteka. Naložena logotipska slika pa je shranjena kot slika v bazi podatkov, saj se vključi v vaše predstavitve.

Kje se podatki obdelujejo

Vse shranjevanje poteka znotraj EU in EGP: tako podatkovna baza kot aplikacija delujeta v Frankfurtu (Nemčija), v isti regiji podatkovnega centra, zato vaši podatki ne potujejo med državami ob vsakem ogledu strani.

Privzeto se obdelava z umetno inteligenco izvaja z Mistral AI v Evropi brez hranjenja podatkov: nobene poizvedbe ali odgovori niso shranjeni pri ponudniku umetne inteligence in ničesar se ne uporablja za učenje njihovih modelov.

Zunanji modeli ChatGPT (OpenAI) in Claude (Anthropic) so na voljo kot možnost. Uporabljajo se samo, ko jih uporabnik aktivno izbere za posamezno sporočilo, in vključujejo obdelavo v Združenih državah Amerike. Vsako takšno sporočilo najprej preide skozi varnostni filter: osebni podatki, zaupne zadeve in poslovne skrivnosti niso nikoli poslani zunanjim modelom, ampak vedno preusmerjeni na model v EU. Vaš administrator lahko to možnost izklopi za celotno organizacijo, omogočanje ali onemogočanje pa je zabeleženo v revizijskem dnevniku.

Povezava z Microsoft 365

Vsak uporabnik lahko poveže svoj račun Microsoft 365 s storitvijo. Povezava je prostovoljna, osebna in samo za branje: storitev lahko bere dogodke v koledarju, zadeve in predoglede elektronskih sporočil, vsebino posameznega elektronskega sporočila, ko ga uporabnik izrecno izbere, ter vsebino datotek na SharePointu in OneDrive, do katerih ima uporabnik že dostop. V okolju Microsoft ničesar ni zapisano, poslano ali izbrisano.

Gradivo se pridobi v trenutku poizvedbe, ko uporabnik zastavi vprašanje, ki ga potrebuje, nato pa postane del pogovora z enako izolacijo in ohranitvijo kot vsa druga delovna vsebina. Ni stalne sinhronizacije. Žetoni za dostop so šifrirani v mirovanju (AES-256-GCM), vsako branje je zabeleženo v revizijskem dnevniku z namenom, uporabnik pa lahko kadarkoli prekine povezavo, kar izbriše žetone.

Obdelava vaših elektronskih sporočil in datotek s strani Microsoft poteka v skladu z vašo pogodbo z Microsoftom, ne s to. Povezava samo bere iz nje na zahtevo uporabnika.

Uporabna zakonodaja in prenos podatkov čez meje

Organizacije v EU so zajete s GDPR. Organizacije na Norveškem, Islandiji in Lihtenštajnu so zajete z GDPR prek Sporazuma o EGP. V obeh primerih poteka vsa obdelava privzeto znotraj EU in EGP, zato ne pride do prenosa v tretjo državo. Le če uporabnik aktivno izbere zunanji model za posamezno sporočilo (možnost, ki jo lahko vaš administrator izklopi), pride do prenosa v Združene države Amerike na podlagi odločbe Evropske komisije o ustreznosti okvira EU-US Data Privacy Framework in po avtomatskem preverjanju občutljivosti.

Organizacije v Združenem kraljestvu so zajete z UK GDPR skupaj z Zakonom o varstvu podatkov iz leta 2018, ne z EU GDPR. Shranjevanje znotraj EU in EGP je dovoljeno, ker Združeno kraljestvo priznava EGP kot ustrezno, Evropska komisija pa je 19. decembra 2025 obnovila odločbo o ustreznosti za Združeno kraljestvo, veljavno do 27. decembra 2031.

Organizacije v Švici so zajete z revidiranim Zveznim zakonom o varstvu podatkov (revFADP), nadzorovanem s strani FDPIC. GDPR se nanaša na švicarsko organizacijo šele, ko ta naslavlja trg EU. Shranjevanje znotraj EU in EGP je dovoljeno, ker Švica priznava EGP kot ustrezno.

Uredba EU o umetni inteligenci velja za organizacije v EU. Je relevantna za EGP, vendar še ni vključena v Sporazum o EGP, niti Združeno kraljestvo niti Švica pa nista sprejela enakovredne horizontalne zakonodaje o umetni inteligenci. Poročila in dokumentacija v storitvi so na voljo na vseh trgih in so uporabna kot podporni material ne glede na to, kateri okvir velja zanje.

Forum

Forum je skupen vsem organizacijam v storitvi in je zato edino mesto, kjer podatki zapustijo vašo organizacijo. Tu je EuroWork AB upravljavec osebnih podatkov in ne izvajalec obdelave, saj sami določamo namen skupne razprave.

Če objavite pod lastnim imenom, so drugim z dostopom do foruma prikazani vaše ime, profilna slika, ime organizacije in država. Če se odločite za anonimno objavo, ničesar od tega ni prikazano: povezava z vašim računom ostane v bazi podatkov, da lahko uredite lastno objavo, vendar ni nikoli prikazana drugim bralcem niti vašemu delodajalcu.

Objave se samodejno prevedejo v jezike, ki jih uporabljajo bralci, in samodejno pregledajo pred objavo. Oba koraka potekata na modelu v EU brez hranjenja podatkov in ju plača EuroWork. Ne pišite osebnih podatkov ali zaupnih informacij v objavo na forumu, ne glede na to, ali ste anonimni ali ne.

Lastnik vaše organizacije odloča, ali imajo zaposleni dostop do foruma. Privzeto je vklopljen in ga je mogoče izklopiti za celotno organizacijo.

Varnostni filter občutljivosti

Preden se karkoli pošlje modelu umetne inteligence, se poizvedba, priloženi dokumenti in viri konteksta samodejno preverijo v dveh plasteh: determinističnih vzorcih (osebne identifikacijske številke, elektronski naslovi, telefonske številke, IBAN in drugo) ter kontekstni oceni na modelu v EU.

Če so zaznani občutljivi podatki, se stopnja zaščite pogovora samodejno dvigne, uporabnik je obveščen, dogodek pa je zabeležen. Zaščita je zasnovana kot neuspešno zaprta: če preverjanje ne more sprejeti odločitve, se vsebina obravnava kot občutljiva.

Razredi informacij in spletno iskanje

Vsa vsebina se obdeluje v razredih informacij: javne, interne, zaupne ali prepovedane. Razred določa, kateri tokovi podatkov so dovoljeni.

Spletno iskanje ni mogoče uporabljati za zaupno vsebino, kar je pravilo platforme, ki ga ni mogoče izklopiti. Vaša organizacija lahko pravila dodatno zaostri, nikoli pa jih ne more omiliti.

Ohranitev in izbris

Vaš administrator nadzira politiko ohranitve: pogovori se samodejno izbrišejo po izbranem številu dni neaktivnosti glede na razred informacij. Izbris je zabeležen v revizijskem dnevniku.

Organizacija lahko kadarkoli izvozi vsebino pogovorov (JSON) in zahteva popoln izbris.

Piškotki

Storitev uporablja samo nujne piškotke: piškotek seje za prijavo in jezikovni piškotek, ki se nastavi samo, ko sami aktivno izberete jezik. Ni analitičnih, sledilnih ali piškotkov tretjih oseb, zato se ne prikazuje nobenega paska za soglasje.

Država in jezik za nove obiskovalce se določita iz jezikovnih nastavitev brskalnika in izvorne države omrežja ob vsakem ogledu strani.

Statistika obiskovalcev na javni spletni strani je brez piškotkov: štejemo oglede strani na dan, stran, državo in sklicni spletni kraj kot navadne številke. Za štetje edinstvenih obiskovalcev na dan se shrani enosmerna zgoščena vrednost omrežnega naslova in brskalnika s soljo, ki se dnevno spreminja, zgoščene vrednosti pa se izbrišejo po dveh dneh. Nobenega obiskovalca ni mogoče slediti čez več dni, nobeno informacijo pa ne delimo s tretjimi osebami.

Če v obrazcu Niste tisti, ki odloča? napišete predlog, EuroWork AB shrani, kar ste izpolnili, in končno osnutek za nadaljnje ravnanje ter elektronske naslove, ko se pošlje elektronsko sporočilo. Za te podatke je EuroWork AB upravljavec osebnih podatkov.

Podizvajalci

Vercel Inc. (gostovanje aplikacije in začasno shranjevanje datotek, regija EU Frankfurt), Neon Inc. (podatkovna baza, regija EU Frankfurt), Mistral AI SAS (modeli umetne inteligence, Francija, brez hranjenja podatkov), Black Forest Labs GmbH (generiranje slik, Nemčija, gostovanje v EU) in Sweego SAS (transakcijska elektronska pošta, kot so vabila in ponastavitve gesla; francosko podjetje, gostovano pri OVHcloud in Scaleway znotraj EU).

OpenAI (Združene države Amerike) in Anthropic PBC (Združene države Amerike), izključno za sporočila, kjer je uporabnik aktivno izbral zunanji model (možnost, ki jo lahko vaš administrator izklopi) in je avtomatski varnostni filter odobril vsebino.

Varnost

Podatki vsake organizacije so izolirani v dveh plasteh: vsak poizvedbi v bazi podatkov je izrecno navedena organizacija, poleg tega pa baza podatkov vsebuje politike izolacije na ravni vrstic za vsako organizacijo (Row-Level Security). Ves promet je šifriran. Dogodki administratorjev, spremembe politik in izvozi so zabeleženi v revizijskem dnevniku, ki ga lahko pregledujeta administrator in pooblaščeni za varstvo podatkov organizacije.

Podprta sta enotna prijava (SSO/OIDC) in samodejno zagotavljanje (SCIM 2.0), onemogočeni računi so takoj izključeni.

Označbe umetne inteligence po Uredbi o umetni inteligenci

Kar ustvari storitev, je označeno kot strojno ustvarjeno. Vsaka slika dobi dve označbi: nevidno, vgrajeno v samo sliko, in opombo v metapodatkih datoteke, da je ustvarjena z umetno inteligenco, s katero storitvijo in kdaj. Dokumenti, izvoženi v Word in PDF, vsebujejo enako opombo v lastnostih datoteke. Označba ne pove ničesar o vsebini, kdo jo je naročil ali kateri organizaciji pripada.

Označbe se ne sme odstranjevati. Ne smete in ne smete dopustiti, da bi kdo namerno izbrisal ali spremenil označbo, ki jo je v datoteko vstavila storitev. Izjeme veljajo, če je sprememba potrebna za ohranitev točnosti informacij po nadaljnji obdelavi ter za varnostne preglede in raziskave. Niti ne prodajamo orodij za obhod označb niti ne odstranjujemo označb, ki jih je nekdo drug vstavil v gradivo, ki ga naložite.

Vidna označba je vaša odgovornost. Če objavite globoko ponareditev, kar pomeni sliko, zvok ali video, ki spominja na resnično osebo ali dogodek in bi ga lahko jemali za pristnega, mora biti vidna vsem, ki jo vidijo. Enako velja za besedilo, ustvarjeno z umetno inteligenco, objavljeno za obveščanje javnosti o zadevah javnega interesa, razen če je vsebino pregledala oseba in prevzela uredniško odgovornost. Notranja gradiva, elektronska pošta in vse, kar ostane znotraj organizacije, niso zajeta.

Vaše pravice in stik

Posamezniki, katerih podatke obdelujemo, uveljavljajo svoje pravice (dostop, popravek, izbris in druge) predvsem prek svoje organizacije, ki je upravljavec osebnih podatkov za delovno vsebino.

Vprašanja o tej politiki ali lastni obdelavi podatkov s strani EuroWork AB: obrnite se na EuroWork AB (559474-3709), Box 260, 831 23 Östersund, Švedska.