Podklady pro posouzení vlivu na ochranu osobních údajů

Vy jste správce a Consulaio zpracovatel. Vztah upravuje Smlouva o zpracování osobních údajů. Podle jejího čl. III odst. 5 vám Consulaio s posouzením vlivu pomůže. Napište nám na info@consulaio.cz.

• Data ukládáme šifrovaně v datových centrech v EHP. AI, která je čte, běží v EHP nebo ve Švýcarsku. Výjimky uvádí seznam dílčích zpracovatelů.
• Data se nepoužívají k trénování AI.
• Přístup k datům je řízený a omezený, administrátorské přístupy chrání vícefaktorové ověření a lidé, kteří s daty pracují, jsou vázaní mlčenlivostí.
• Data jsou uložená po dobu smlouvy a 30 dní po jejím skončení. Zálohy a záznamy mají vlastní lhůty podle čl. 5.5 obchodních podmínek.
• Každý účet vidí jen svá data. V organizaci vidí práci členů také správce.

Pseudonymizace mění, co dostávají modely AI a další dodavatelé: jména, která evidujete, a identifikátory nahradí zástupnými údaji. Příjemce ani místo zpracování nemění a i nahrazený text zůstává osobním údajem. Co přesně nahrazuje a na co se nevztahuje, popisuje článek Pseudonymizace osobních údajů.

Zpracovává se to, co do konverzace napíšete nebo přiložíte, historie konverzace, dlouhodobá paměť a údaje o subjektu projektu. Text dostávají modely AI a služba, která zaznamenává průběh dotazu. Konverzace, přílohy i odpovědi ukládáme v aplikaci Consulaio.

Zpracovávají se dokumenty a poznámky, které do znalostní báze uložíte. Jejich text dostávají:

• služba, která ho převádí pro vyhledávání
• vyhledávací databáze
• služba, která řadí výsledky
• modely AI

U subjektu se zpracovává jeho jméno nebo název, IČO a údaje, které Consulaio načte z veřejných rejstříků a z webu. Systém ARES dostává IČO nebo název. Je to veřejný rejstřík, ne dílčí zpracovatel. IČO z vašich podkladů, které nepatří evidovanému subjektu, pošle Consulaio s pseudonymizací do systému ARES až po vašem Ano.

Když odpověď potřebuje aktuální informaci, pošle Consulaio vyhledávači dotaz. Ten může obsahovat část toho, na co se ptáte. Dokumenty se vyhledávači neposílají.

Consulaio čte soubory ze složek, které k projektu připojíte, a hledá v nich přes poskytovatele disku. Obsah souborů dostávají modely AI, vyhledávací dotazy poskytovatel disku. Poskytovatele disku si vybíráte vy a obsah zpracovává podle smlouvy s vámi, ne jako dílčí zpracovatel Consulaio.

Externí MCP server připojujete vy. Jeho provozovatel není v seznamu dílčích zpracovatelů Consulaio, takže ho do posouzení zahrňte sami. Nástroj, který něco mění nebo odesílá, Consulaio zavolá až po vašem Ano.

Přes MCP server Consulaio můžete z vlastního AI nástroje hledat ve znalostní bázi Consulaio a ve svých dokumentech. Výsledky z vašich dokumentů dostává váš nástroj se skutečnými jmény. Kam jdou dál, určuje jeho poskytovatel, se kterým máte smlouvu vy.

Odpovědi, vygenerované dokumenty, e-maily a exporty obsahují skutečné údaje. Sdílenou konverzaci otevře podle vaší volby kdokoli s odkazem, jen přihlášená osoba s e-mailem, který zadáte, nebo členové vaší organizace. Sdílení platí 30 dní od vytvoření nebo obnovení, pokud ho dřív nezrušíte.

Popis a snímek obrazovky, které pošlete volbou Nahlásit chybu, ukládáme v EHP a čte je náš tým. Služba pro sledování chyb dostává jen technický záznam o chybě a odkaz na hlášení. S pseudonymizací jsou v technickém záznamu jména a identifikátory nahrazené.

Jako správce odpovídáte za to, jaké údaje do aplikace vložíte a proč.

• Posuďte, zda máte pro vložení údajů právní základ, a u zvláštních kategorií podle čl. 9 GDPR a údajů podle čl. 10 GDPR také výjimku.
• Vkládejte jen to, co dotaz potřebuje. Zvládnete-li se zeptat bez rodných čísel a adres, zeptejte se tak.
• Splňte informační povinnost vůči svým klientům a lidem, o kterých v podkladech píšete.
• Rozhodněte, zda zapnete pseudonymizaci, koho přidáte mezi chráněná jména a jaké disky a externí nástroje připojíte.
• Podle svých profesních předpisů posuďte, zda a v jakém rozsahu smíte údaje zpřístupnit.
• Zapište Consulaio jako zpracovatele do svých záznamů o činnostech zpracování.