Перекладача таке питання часто застає зненацька: відповісти «не хвилюйтеся» — замало, а переказувати договір про обробку даних — довго. Гарна новина: якщо інструмент обрано правильно, відповідь займає пів хвилини. Нижче — коротка відповідь, відповіді на часті уточнення і те, чого краще не казати.
Коротка відповідь — для розмови чи листа
«Ваш документ обробляється в Європейському Союзі й шифрується окремим ключем. Він не використовується для навчання штучного інтелекту і безповоротно видаляється через 72 години або вручну в будь-який момент. Із сервісом, яким я користуюся, у мене укладено договір про обробку даних за GDPR.»
Цього вистачає в більшості випадків. Якщо клієнт хоче детальніше — переходьте до п’яти пунктів.
Якщо клієнт хоче детальніше
П’ять пунктів, які закривають майже всі питання:
- Де обробляється документ. У ЄС, за його межі він не передається.
- Хто його бачить. Документ доступний лише в обліковому записі перекладача. Сервіс не використовує його ні для чого, крім перекладу.
- Чи навчають на ньому ШІ. Ні. Переклад виконується на інфраструктурі, яка не зберігає запити й відповіді і не передає їх розробнику моделі.
- Скільки він зберігається. Оригінал і переклад видаляються через 72 години після видачі або вручну в будь-який момент. Видалення криптографічне: разом із файлом знищується ключ документа, і прочитати його після цього неможливо — навіть із резервних копій.
- Хто за це відповідає. Із сервісом укладено договір про обробку даних за ст. 28 GDPR, а всі компанії, що беруть участь в обробці, перелічено публічно.
Часті уточнення — і що на них відповісти
«А де саме — в якій країні?»
У ЄС. Компанії, що беруть участь в обробці, та їхнє місцезнаходження перелічено в публічному списку субпідрядників. Конкретне актуальне місце обробки в межах ЄС/ЄЕП сервіс повідомляє на запит.
«А якщо сервіс зламають?»
Викрадений файл, базу чи резервну копію прочитати не вдасться. Кожен документ зашифровано власним ключем, а ключі документів, своєю чергою, зашифровано головним ключем. Головний ключ зберігається не на серверах сервісу, а в окремій системі керування ключами в ЄС, і ніколи її не залишає; у резервних копіях ключів документів немає зовсім. Без головного ключа викрадені дані — набір випадкових байтів. Розшифрувати документ можна лише через саму систему керування ключами — і кожне таке звернення записується в журнал, який сервіс змінити не може. Незвичне звернення одразу піднімає тривогу.
«Можна видалити мій документ просто зараз?»
Так. Клієнт має право вимагати видалення своїх даних (ст. 17 GDPR), і зробити це можна одразу, не чекаючи автоматичного строку. Видаліть документ у своєму обліковому записі й повідомте клієнту, що це зроблено.
«Що саме ви про мене зберігаєте?»
Клієнт має право це знати (ст. 15 GDPR). Відповідь зазвичай коротка: документ — до видалення, а далі — лише те, що ви зобов’язані зберігати самі: наприклад, рахунок або запис у реєстрі перекладів, якщо його вимагає закон вашої країни.
«А ШІ потім не видасть мій паспорт комусь іншому?»
Ні. Модель не навчається на ваших документах, а інфраструктура, на якій вона працює, не зберігає ні запит, ні відповідь. Документ не стає частиною моделі й не може «спливти» в іншого користувача.
Які документи тримати під рукою
- Договір про обробку даних з вашим сервісом — підтверджує, що обробник пов’язаний зобов’язаннями за ст. 28 GDPR.
- Список субпідрядників — показує, хто ще бере участь в обробці і де.
- Ваш реєстр обробки (ст. 30 GDPR) — якщо клієнт чи перевіряльник запитає, як у вас організовано роботу з даними.
Посилання на перші два документи можна просто переслати клієнту. Реєстр клієнту надсилати не потрібно — це ваш внутрішній документ, який ви показуєте наглядовому органу на запит.
Готовий абзац для листа чи кошторису
Багато клієнтів питають про це заздалегідь — простіше відповісти до питання. Абзац можна додати в кошторис, у підпис листа чи на свій сайт:
«Ваші документи я перекладаю за допомогою сервісу, який обробляє їх у Європейському Союзі. Кожен документ шифрується окремим ключем, не використовується для навчання штучного інтелекту і видаляється не пізніше ніж через 72 години після видачі перекладу — або раніше, на ваше прохання. Із сервісом укладено договір про обробку даних за ст. 28 GDPR.»
Якщо ви контролер (клієнт прийшов до вас напряму), такий абзац — водночас частина інформації, яку ви зобов’язані надати клієнту за ст. 13 GDPR: хто і з якою допомогою обробляє його дані та скільки вони зберігаються.
Чого краще не казати
- «Це стандартний сервіс, усі так роблять» — клієнту важливі конкретні умови, а не популярність.
- «Нічого не зберігається» — якщо документ зберігається хоча б кілька годин, це неправда. Краще чесно назвати строк.
- «Зламати неможливо» — так не може обіцяти ніхто. Чесніше й сильніше: «документ зашифровано, ключ зберігається окремо, кожне звернення до нього записується».
- «Це не моя відповідальність» — за GDPR за вибір надійного обробника відповідаєте ви (ст. 28(1) GDPR). Сильніше звучить: «я користуюся сервісом, який гарантує це за договором».
Коли клієнт сам попросив не використовувати онлайн-сервіси
Таке буває — особливо з медичними чи судовими документами. Ви вправі погодитися або пояснити, чому ваш інструмент безпечний, показавши договір і список субпідрядників. Рішення — за клієнтом: це його дані. Якщо клієнт наполягає, позначте це в замовленні, щоб потім не було розбіжностей.
Якщо ви працюєте з Lingverra
Коротка відповідь вище повністю відповідає тому, як працює Lingverra: обробка в ЄС, окремий ключ на кожен документ, без навчання моделей, криптографічне видалення через 72 години або вручну в будь-який момент. Договір про обробку даних діє автоматично для кожного облікового запису, список субпідрядників опубліковано. Детально і з посиланнями на GDPR — у статті «Куди потрапляє документ вашого клієнта, коли ви перекладаєте з Lingverra». Хто з вас контролер, а хто обробник і який реєстр вам потрібен — у статті «Присяжний перекладач і GDPR: ви контролер чи обробник?».
Коротко
- Пів хвилини: ЄС, окремий ключ, без навчання ШІ, видалення через 72 години або вручну в будь-який момент, договір за GDPR.
- На уточнення відповідайте конкретно: де, хто бачить, як видалити, що буде в разі інциденту.
- Не обіцяйте «нічого не зберігається» і «зламати неможливо» — називайте строки й заходи.
- Тримайте під рукою договір про обробку даних і список субпідрядників — їх можна переслати клієнту.
Договір про обробку даних (ст. 28 GDPR)
Читайте також: Куди потрапляє документ вашого клієнта, коли ви перекладаєте з Lingverra
Читайте також: Присяжний перекладач і GDPR: ви контролер чи обробник?