Bezpečnost a ochrana vašich dat
Účetní i daňový poradce má povinnost mlčenlivosti a odpovědnost za osobní údaje svých klientů. Než do jakéhokoli AI nástroje vložíte podklady, potřebujete vědět, kam putují a kdo je uvidí. Tento článek popisuje, jak s daty nakládá Consulaio.
Kde se vaše data zpracovávají
Veškeré osobní údaje zpracovává Consulaio v rámci Evropského hospodářského prostoru. Data jsou hostovaná v certifikovaných datových centrech na území Evropské unie, v prostředí splňujícím standardy ISO 27001 a SOC 2.
Na provozu služby se podílejí tito dodavatelé:
| Dodavatel | K čemu slouží | Kde zpracovává |
|---|---|---|
| Amazon Web Services | Cloudová infrastruktura, ukládání souborů, vyhledávání ve znalostní bázi a generování odpovědí. | EU – Frankfurt |
| Google Cloud | Generování odpovědí jazykovými modely. | EU |
| Qdrant | Vyhledávání ve vašich dokumentech. | EU – Frankfurt |
| Langfuse | Provozní telemetrie a záznamy dotazů na jazykové modely. | EU – Irsko |
| Linkup | Vyhledávání na webu, když si odpověď vyžádá aktuální informaci. | EU – Francie |
| Sentry | Sledování chyb aplikace. | EU – Frankfurt |
| Clerk | Přihlašování a správa účtů. | Globální infrastruktura, subjekty údajů z EU primárně v EU |
| Stripe | Zpracování plateb a fakturace. | EU – Irsko |
Clerk a Stripe mají certifikaci Rámce ochrany soukromí mezi EU a USA a uzavřené standardní smluvní doložky EU. S každým dodavatelem má Consulaio uzavřenou smlouvu o zpracování podle čl. 28 GDPR. Aktuální seznam včetně změn najdete na stránce Dílčí zpracovatelé.
Poznámka
O plánované změně dodavatele informuje Consulaio e-mailem nejméně 30 dní předem. V této lhůtě můžete proti změně vznést námitku a smlouvu vypovědět.
Jak jsou data zabezpečená
- Přenos dat je šifrovaný protokolem TLS 1.3.
- Uložená data jsou šifrovaná algoritmem AES-256.
- Administrátorské přístupy jsou chráněné vícefaktorovým přihlášením.
- Prostředí jsou oddělená a zabezpečení se pravidelně kontroluje včetně penetračních testů.
- Osoby, které mohou s osobními údaji pracovat, jsou vázané mlčenlivostí.
Povinnost mlčenlivosti o obsahu vašich dotazů a výstupů trvá i po ukončení smlouvy. Vaše vstupní data zůstávají výhradně vaším vlastnictvím a Consulaio k nim nezískává žádná práva.
Vaše data se nepoužívají k trénování AI modelů
Dotazy, dokumenty ani odpovědi se nepoužívají k trénování ani ke zlepšování jazykových modelů. Platí to jak pro Consulaio, tak pro jeho dodavatele.
Jazykové modely běží v prostředí Amazon Bedrock a Gemini Enterprise Agent Platform. Poskytovatelé samotných modelů k vašim datům nemají přístup a nevystupují jako samostatní zpracovatelé.
Poznámka
Pokud si odpověď vyžádá aktuální informaci z webu, odešle se váš dotaz vyhledávači v reálném čase. Neposílají se přitom vaše dokumenty ani obsah znalostní báze – pouze samotný vyhledávací dotaz.
Kdo má k datům přístup a kdo za ně odpovídá
Vaše konverzace, projekty a dokumenty jsou přístupné pouze vašemu účtu. Ostatní uživatelé je nevidí a nepromítají se do odpovědí, které dostávají oni.
Z pohledu GDPR má rozdělení rolí praktický dopad na vaši práci:
| Role | Kdo ji má | Co to znamená |
|---|---|---|
| Správce | Vy | Odpovídáte za to, že jste oprávněni údaje do aplikace vložit a že máte právní základ pro jejich zpracování. |
| Zpracovatel | Consulaio | Zpracovává údaje jen podle vašich pokynů a pro poskytování služby. Vztah upravuje Smlouva o zpracování osobních údajů. |
| Samostatný správce | Consulaio | Pouze u vlastních údajů o vás – registrace, fakturace, bezpečnost a podpora. |
Jako subjekt údajů máte právo na přístup, kopii, opravu, výmaz, omezení zpracování, přenositelnost i námitku. Stížnost můžete podat u Úřadu pro ochranu osobních údajů. Podrobnosti popisuje stránka Ochrana osobních údajů.
Co do aplikace nevkládat
Consulaio je stavěné na běžnou daňovou a účetní agendu. U některých kategorií údajů ale platí přísnější pravidla.
Pozor
Nevkládejte zvláštní kategorie osobních údajů podle čl. 9 GDPR (například údaje o zdravotním stavu) ani údaje o odsouzení v trestních věcech podle čl. 10 GDPR. Výjimkou je situace, kdy pro to máte zvláštní právní základ a Consulaio o tom předem písemně uvědomíte.
U ostatních podkladů se držte zásady minimalizace – vkládejte jen to, co je pro zodpovězení dotazu skutečně potřeba. Zvládnete-li dotaz položit bez rodných čísel a adres, položte ho tak.
Jak dlouho data uchováváme a jak je smažete
Vaše data jsou uložená po dobu předplatného a dalších 30 dní po jeho ukončení. Poté se nevratně mažou. Výjimkou jsou účetní doklady, které je nutné archivovat 10 let podle § 31 zákona č. 586/1992 Sb.
Data můžete odstranit sami kdykoli:
- Jednotlivou konverzaci smažete přes Smazat konverzaci.
- Dokument ze znalostní báze odstraníte tlačítkem Odstranit; deaktivací zůstane uložený, ale asistent z něj přestane čerpat.
- Soubor projektu smažete v detailu souboru tlačítkem Smazat.
- Smazáním celého účtu se trvale odstraní všechny konverzace, projekty i dokumenty.
Obsah konverzace si můžete uložit mimo aplikaci přes Exportovat konverzaci ve formátu prostého textu, Markdownu nebo JSON. O export všech svých dat můžete kdykoli požádat na adrese info@consulaio.cz; poskytuje se ve formátech CSV, JSON a PDF.
Pozor
Smazání konverzace, dokumentu i účtu je nevratné. Co si chcete uchovat, exportujte ještě předtím.
Časté dotazy
Je bezpečné nahrávat klientské podklady do aplikace Consulaio?
Ano, při dodržení běžných pravidel. Data se zpracovávají v EU, jsou šifrovaná a nepoužívají se k trénování modelů. Jako správce údajů ale odpovídáte za to, že máte právní základ podklady vložit, a měli byste se držet zásady minimalizace.
Porušuji použitím AI povinnost mlčenlivosti?
Zapojení zpracovatele samo o sobě mlčenlivost neporušuje, pokud je vztah smluvně ošetřen. Consulaio má uzavřenou smlouvu o zpracování podle čl. 28 GDPR a jeho zaměstnanci i dodavatelé jsou vázáni mlčenlivostí. Posouzení vlastní situace i informační povinnost vůči klientům zůstává na vás.
Uvidí moje dokumenty jiní uživatelé?
Ne. Vaše dokumenty jsou přístupné pouze vašemu účtu. Do odpovědí ostatních uživatelů se nepromítají. Obecná znalostní báze s legislativou je naopak společná a vaše dokumenty neobsahuje.
Odcházejí data mimo EU?
Zpracování osobních údajů probíhá v rámci Evropského hospodářského prostoru. Clerk a Stripe využívají globální infrastrukturu, u subjektů údajů z EU ale zpracovávají primárně v EU. Tento přenos kryje certifikace Rámce ochrany soukromí mezi EU a USA a standardní smluvní doložky.
Co se stane s mými daty, když přestanu platit?
Data zůstanou uložená ještě 30 dní po ukončení předplatného. V této lhůtě si je můžete vyexportovat. Po uplynutí lhůty se nevratně mažou.
Můžu dostat podepsanou smlouvu o zpracování osobních údajů?
Smlouva o zpracování je nedílnou součástí obchodních podmínek a najdete ji na stránce Smlouva o zpracování osobních údajů. Potřebujete-li ji v samostatné podepsané podobě, napište na info@consulaio.cz.
Související
Našli jste v článku chybu nebo něco nesedí? Napište nám