Kam putuje dokument vášho klienta, keď prekladáte s Lingverra

Prečo je to vaša otázka, a nie len naša

Podľa GDPR zodpovedá za údaje klienta v prvom rade ten, kto rozhoduje, prečo a ako sa spracúvajú — teda vy. Ak na to využijete službu, zákon vyžaduje vybrať sprostredkovateľa, ktorý poskytuje dostatočné záruky ochrany údajov, a uzavrieť s ním zmluvu o spracúvaní (čl. 28 GDPR). Jednoducho povedané: máte právo — aj povinnosť — vedieť, čo sa s dokumentom po nahratí deje.

Cesta dokumentu krok za krokom

1. Nahratie. Dokument sa dostane do vášho osobného konta a je prístupný len vám. Hneď sa zašifruje — vlastným kľúčom, samostatným pre každý dokument.
2. Preklad. Dokument sa spracúva v Európskej únii a mimo nej sa neprenáša. Preklad vykonáva model AI na infraštruktúre, ktorá neuchováva požiadavky a odpovede a neodovzdáva ich vývojárovi modelu. Na vašich dokumentoch sa modely netrénujú.
3. Výsledok. Preklad dostanete v rozložení originálu: tabuľky, bloky a pečiatky na svojich miestach. Miesta, ktoré model prečítal neisto, sú zvýraznené — tie kontrolujete ako prvé. Úpravy, podpis a pečiatka zostávajú na vás.
4. Vymazanie. Originál aj preklad sa automaticky vymažú 72 hodín po vydaní alebo ručne kedykoľvek, ak chcete skôr. Vymazanie je kryptografické — podrobnosti nižšie.

Ako chránime vaše dokumenty — a na čom to stojí

• Samostatný kľúč pre každý dokument (čl. 32 ods. 1 písm. a) GDPR — šifrovanie). Každý dokument — originál aj preklad — sa šifruje vlastným kľúčom, nie kľúčom spoločným pre konto ani spoločným pre všetkých.
• Hlavný kľúč — v EÚ a mimo našich serverov (čl. 32 ods. 1 písm. b), čl. 44 GDPR). Kľúče dokumentov chráni hlavný kľúč uložený v službe správy kľúčov AWS KMS vo Frankfurte. Nikdy túto službu neopúšťa a nie je uložený na našich serveroch: server môže iba požiadať o dešifrovanie. Práca s kľúčmi mimo EÚ je v kóde zablokovaná.
• Každé použitie kľúča sa zaznamenáva (čl. 5 ods. 2, čl. 32 ods. 1 písm. d) GDPR). Každá požiadavka na hlavný kľúč sa zapisuje do protokolu AWS, ktorý nemôžeme zmeniť. Každých 10 minút systém tento protokol porovnáva s činnosťou samotnej aplikácie. Ak kľúč použila iná služba ako naša, ak požiadavka neprišla z našich serverov alebo ak dešifrovanie nezodpovedá žiadnej akcii v aplikácii, okamžite dostaneme poplach.
• Evidencia incidentov a vyšetrenie (čl. 33 ods. 5 GDPR). Každý podozrivý prípad sa zapíše do evidencie incidentov. Záznamy nemožno spätne zmeniť — iba doplniť. Pri každom prípade sa zistí a zaznamená príčina.
• 72 hodín na oznámenie dozornému orgánu (čl. 33 ods. 1, čl. 34 GDPR). Ak incident zasiahne osobné údaje, zákon dáva 72 hodín na jeho oznámenie dozornému orgánu. Lehotu stráži automatika: pripomienky silnejú, ako sa blíži. Rozhodnutie o oznámení dotknutým osobám sa prijíma a dokumentuje v tej istej evidencii.
• Vymazanie kryptografické, nie obyčajné zmazanie (čl. 5 ods. 1 písm. e), čl. 17 GDPR). Originál aj preklad sa automaticky vymažú 72 hodín po vydaní alebo ručne kedykoľvek. Súbor sa na disku prepíše, ale tým nekončíme: bežné mazanie nedosiahne na kópie — v zálohách, vo vnútorných bunkách úložiska. Preto sa spolu s dokumentom zničí aj jeho kľúč. Bez kľúča sa všetky kópie zašifrovaných dát, nech zostali kdekoľvek, menia na rad náhodných bajtov, ktorý nemožno prečítať.
• Žiadne kľúče v zálohách (čl. 32 ods. 1 písm. c), čl. 25 GDPR). Kľúče dokumentov sú zo záloh databázy zámerne vylúčené. Záloha slúži na obnovenie služby — dokument z nej však dešifrovať nemožno.
• Dokumenty sa nepoužívajú na trénovanie (čl. 5 ods. 1 písm. b) GDPR — obmedzenie účelu). Preklad prebieha v EÚ na infraštruktúre, ktorá neuchováva požiadavky a odpovede a neodovzdáva ich vývojárovi modelu.

Kto v Lingverra zodpovedá za údaje

Za spracúvanie osobných údajov v Lingverra zodpovedáme my. S každým používateľom automaticky platí zmluva o spracúvaní osobných údajov podľa čl. 28 GDPR — netreba o ňu žiadať ani ju osobitne podpisovať. Všetky spoločnosti, ktoré sa na spracúvaní podieľajú, sú verejne uvedené: čo ktorá robí, kde sídli a na akom základe (čl. 28 ods. 2 a 4 GDPR).

A ešte: neprijímame zákazky od vašich klientov a nekonkurujeme vám — klient, podpis aj honorár zostávajú vaše.

Päť otázok pre akýkoľvek nástroj

Nech používate čokoľvek, tieto otázky pomôžu posúdiť, či možno službe zveriť dokumenty klienta:

1. Existuje zmluva o spracúvaní osobných údajov podľa čl. 28 GDPR?
2. Kde sa údaje spracúvajú — v EÚ, alebo mimo nej?
3. Používajú sa dokumenty na trénovanie modelov?
4. Ako dlho sa dokumenty uchovávajú a môžete ich vymazať sami?
5. Je zoznam ďalších sprostredkovateľov zverejnený?

Ak dokumenty služby na niektorú z týchto otázok jasne neodpovedajú, je to dôvod na ostražitosť.

Čo povedať klientovi

Ak sa klient spýta, čo sa deje s jeho dokumentmi, stačí krátka odpoveď: „Dokument sa spracúva v EÚ, šifruje sa samostatným kľúčom, nepoužíva sa na trénovanie AI a po 72 hodinách alebo ručne kedykoľvek sa nenávratne vymaže. So službou mám uzavretú zmluvu o spracúvaní osobných údajov podľa GDPR.“ Do dokumentácie môžete priložiť odkazy na zmluvu a na zoznam ďalších sprostredkovateľov.

Časté otázky

Zmluva o spracúvaní osobných údajov (čl. 28 GDPR)

Zoznam ďalších sprostredkovateľov

Prečítajte si aj: AI preklad a GDPR — ako spoznať bezpečnú službu

Prečítajte si aj: „Sú moje údaje v bezpečí?“ — čo odpovedať klientovi

Normostrana: koľko znakov, koľko slov a ako ju spočítať