Tłumacza takie pytanie często zaskakuje: „proszę się nie martwić” to za mało, a streszczanie umowy powierzenia trwa zbyt długo. Dobra wiadomość: jeśli narzędzie jest dobrze dobrane, odpowiedź zajmuje pół minuty. Poniżej — krótka odpowiedź, odpowiedzi na częste dopytania i to, czego lepiej nie mówić.
Krótka odpowiedź — do rozmowy lub e-maila
„Pani/Pana dokument jest przetwarzany w Unii Europejskiej i szyfrowany osobnym kluczem. Nie służy do trenowania sztucznej inteligencji i jest nieodwracalnie usuwany po 72 godzinach lub ręcznie w dowolnej chwili. Z usługą, z której korzystam, mam zawartą umowę powierzenia przetwarzania danych zgodnie z RODO.”
W większości przypadków to wystarczy. Jeśli klient chce wiedzieć więcej — przejdź do pięciu punktów.
Jeśli klient chce wiedzieć więcej
Pięć punktów, które zamykają niemal wszystkie pytania:
- Gdzie przetwarzany jest dokument. W UE; nie jest przekazywany poza nią.
- Kto go widzi. Dokument jest dostępny tylko na koncie tłumacza. Usługa nie wykorzystuje go do niczego poza tłumaczeniem.
- Czy trenuje się na nim AI. Nie. Tłumaczenie odbywa się na infrastrukturze, która nie przechowuje zapytań i odpowiedzi i nie przekazuje ich twórcy modelu.
- Jak długo jest przechowywany. Oryginał i tłumaczenie są usuwane 72 godziny po wydaniu lub ręcznie w dowolnej chwili. Usunięcie jest kryptograficzne: razem z plikiem niszczony jest klucz dokumentu, a potem nie da się go odczytać — nawet z kopii zapasowych.
- Kto za to odpowiada. Z usługą zawarta jest umowa powierzenia przetwarzania danych zgodnie z art. 28 RODO, a wszystkie firmy uczestniczące w przetwarzaniu są wymienione publicznie.
Częste dopytania — i co na nie odpowiedzieć
„A gdzie dokładnie — w jakim kraju?”
W UE. Firmy uczestniczące w przetwarzaniu i ich siedziby są wymienione w publicznej liście podmiotów podprzetwarzających. Konkretne aktualne miejsce przetwarzania na terenie UE/EOG usługa podaje na żądanie.
„A jeśli usługa zostanie zhakowana?”
Skradzionego pliku, bazy ani kopii zapasowej nie da się odczytać. Każdy dokument jest zaszyfrowany własnym kluczem, a klucze dokumentów są z kolei zaszyfrowane kluczem głównym. Klucz główny nie jest przechowywany na serwerach usługi, lecz w osobnym systemie zarządzania kluczami w UE, i nigdy go nie opuszcza; w kopiach zapasowych kluczy dokumentów nie ma w ogóle. Bez klucza głównego skradzione dane to ciąg losowych bajtów. Odszyfrować dokument można tylko przez sam system zarządzania kluczami — a każde takie odwołanie jest zapisywane w dzienniku, którego usługa nie może zmienić. Nietypowe odwołanie od razu podnosi alarm.
„Czy można usunąć mój dokument od razu?”
Tak. Klient ma prawo żądać usunięcia swoich danych (art. 17 RODO), a zrobić to można od razu, bez czekania na automatyczny termin. Usuń dokument na swoim koncie i poinformuj klienta, że zostało to zrobione.
„Co dokładnie Pan/Pani o mnie przechowuje?”
Klient ma prawo to wiedzieć (art. 15 RODO). Odpowiedź jest zwykle krótka: dokument — do usunięcia, a potem tylko to, co musisz przechowywać: na przykład fakturę lub wpis w repertorium, jeśli wymaga go prawo Twojego kraju.
„A AI nie pokaże potem mojego paszportu komuś innemu?”
Nie. Model nie uczy się na Pani/Pana dokumentach, a infrastruktura, na której działa, nie przechowuje ani zapytania, ani odpowiedzi. Dokument nie staje się częścią modelu i nie może „wypłynąć” u innego użytkownika.
Jakie dokumenty mieć pod ręką
- Umowa powierzenia przetwarzania danych z Twoją usługą — potwierdza, że podmiot przetwarzający jest związany obowiązkami z art. 28 RODO.
- Lista podmiotów podprzetwarzających — pokazuje, kto jeszcze uczestniczy w przetwarzaniu i gdzie.
- Twój rejestr czynności przetwarzania (art. 30 RODO) — gdyby klient lub kontrolujący zapytał, jak zorganizowana jest u Ciebie praca z danymi.
Linki do pierwszych dwóch dokumentów można po prostu przesłać klientowi. Rejestru klientowi wysyłać nie trzeba — to Twój wewnętrzny dokument, który pokazujesz organowi nadzorczemu na żądanie.
Gotowy akapit do e-maila lub kosztorysu
Wielu klientów pyta o to z góry — łatwiej odpowiedzieć, zanim padnie pytanie. Akapit można dodać do kosztorysu, do podpisu e-maila lub na swoją stronę:
„Pani/Pana dokumenty tłumaczę przy pomocy usługi, która przetwarza je w Unii Europejskiej. Każdy dokument jest szyfrowany osobnym kluczem, nie służy do trenowania sztucznej inteligencji i jest usuwany najpóźniej 72 godziny po wydaniu tłumaczenia — lub wcześniej, na Pani/Pana prośbę. Z usługą zawarta jest umowa powierzenia przetwarzania danych zgodnie z art. 28 RODO.”
Jeśli jesteś administratorem (klient przyszedł do Ciebie bezpośrednio), taki akapit jest zarazem częścią informacji, które musisz przekazać klientowi na podstawie art. 13 RODO: kto i przy czyjej pomocy przetwarza jego dane oraz jak długo są przechowywane.
Czego lepiej nie mówić
- „To standardowa usługa, wszyscy tak robią” — klientowi zależy na konkretnych warunkach, a nie na popularności.
- „Nic nie jest przechowywane” — jeśli dokument jest przechowywany choćby kilka godzin, to nieprawda. Lepiej uczciwie podać termin.
- „Nie da się tego zhakować” — nikt nie może tego obiecać. Uczciwiej i mocniej: „dokument jest zaszyfrowany, klucz przechowywany osobno, każde odwołanie do niego jest rejestrowane”.
- „To nie moja odpowiedzialność” — zgodnie z RODO za wybór rzetelnego podmiotu przetwarzającego odpowiadasz Ty (art. 28 ust. 1 RODO). Mocniej brzmi: „korzystam z usługi, która gwarantuje to umownie”.
Gdy klient sam poprosił, by nie korzystać z usług online
Zdarza się — zwłaszcza przy dokumentach medycznych lub sądowych. Możesz się zgodzić albo wyjaśnić, dlaczego Twoje narzędzie jest bezpieczne, pokazując umowę i listę podmiotów podprzetwarzających. Decyzja należy do klienta: to jego dane. Jeśli klient nalega, odnotuj to w zleceniu, by później nie było nieporozumień.
Jeśli pracujesz z Lingverra
Krótka odpowiedź powyżej w pełni odpowiada temu, jak działa Lingverra: przetwarzanie w UE, osobny klucz dla każdego dokumentu, bez trenowania modeli, kryptograficzne usunięcie po 72 godzinach lub ręcznie w dowolnej chwili. Umowa powierzenia przetwarzania danych obowiązuje automatycznie dla każdego konta, lista podmiotów podprzetwarzających jest opublikowana. Szczegółowo i z odwołaniami do RODO — w artykule „Dokąd trafia dokument Twojego klienta, gdy tłumaczysz w Lingverra”. Kto z was jest administratorem, a kto podmiotem przetwarzającym i jakiego rejestru potrzebujesz — w artykule „Tłumacz przysięgły a RODO: jesteś administratorem czy podmiotem przetwarzającym?”.
W skrócie
- Pół minuty: UE, osobny klucz, bez trenowania AI, usunięcie po 72 godzinach lub ręcznie w dowolnej chwili, umowa zgodna z RODO.
- Na dopytania odpowiadaj konkretnie: gdzie, kto widzi, jak usunąć, co będzie przy incydencie.
- Nie obiecuj „nic nie jest przechowywane” ani „nie da się zhakować” — podawaj terminy i środki.
- Miej pod ręką umowę powierzenia i listę podmiotów podprzetwarzających — można je przesłać klientowi.
Umowa powierzenia przetwarzania danych (art. 28 RODO)
Lista podmiotów podprzetwarzających
Przeczytaj też: Dokąd trafia dokument Twojego klienta, gdy tłumaczysz w Lingverra
Przeczytaj też: Tłumacz przysięgły a RODO: jesteś administratorem czy podmiotem przetwarzającym?