Bezpečnost dat a umělá inteligence v CHIZU

V databázi služby Supabase, region: EU, Irsko (Supabase eu-west-1). Aplikace běží na serverech Vercel ve Frankfurtu. Přenos dat je šifrovaný a data jsou šifrovaná i na disku.

Jen konzultanti CHIZU, kteří jsou k vaší zakázce přiřazení, a správce aplikace. Každá firma je v databázi oddělená: konzultant jiné zakázky vaše data nevidí. Účty zakládá jen správce, přihlášení je osobním e-mailem a heslem a každá změna dat se zaznamenává.

Ne. Data jednoho klienta nikdy nepoužíváme pro jiného klienta, nesdílíme je, neprodáváme a nepoužíváme je ani pro souhrnné statistiky. Ukázková čísla na našem webu jsou z modelové firmy, ne od skutečného klienta. Mlčenlivost potvrzujeme dohodou o mlčenlivosti se smluvní pokutou.

Pro vyhodnocení textů používáme model Claude od firmy Anthropic, která data zpracovává v USA. Předání je ošetřené standardními smluvními doložkami EU. Podle smluvních podmínek Anthropic se data poslaná přes jejich rozhraní nepoužívají k trénování modelů.

Do AI posíláme jen to, co je pro úkol nutné. Odpovědi z rozhovorů jdou pod označením bez jmen. Výjimkou je import přepisu rozhovoru nebo životopisu: AI dostane původní text, aby z něj jména oddělila, a původní soubor potom mažeme. AI o nikom nerozhoduje a každý její výstup kontroluje konzultant.

Ne. Rozhovory zapisujeme pod označením bez jmen, vedení dostává jen souhrny za skupiny aspoň tří lidí a citace upravujeme tak, aby nešlo poznat, kdo je řekl. Právě proto lidé mluví otevřeně a výsledky jsou pravdivé. Podepsaná potvrzení zaměstnanců ukládáme odděleně a k odpovědím je nepřiřazujeme.

Po předání reportu diagnostiku ukončíme. Po lhůtě ze zpracovatelské smlouvy (obvykle 90 dní) aplikace sama smaže texty z rozhovorů, citace, poznámky, role respondentů, nahrané podklady a podepsaná potvrzení. Zůstanou jen číselné výsledky bez jmen. Původní přepisy rozhovorů mažeme hned po zpracování, životopisy nejpozději po 180 dnech. Na vaši žádost smažeme vše dříve.

Vy jako zaměstnavatel jste správce osobních údajů svých zaměstnanců. My jsme zpracovatel a pracujeme jen podle smlouvy o zpracování osobních údajů (čl. 28 GDPR), kterou podepíšeme před začátkem. Zaměstnancům připravíme informaci o diagnostice, kterou jim rozešlete.

Ohlásíme vám ho bez zbytečného odkladu, nejpozději do 48 hodin od zjištění (lhůtu lze upravit ve zpracovatelské smlouvě), a pomůžeme vám s ohlášením Úřadu pro ochranu osobních údajů, pokud je potřeba.

Umělou inteligenci používáme na analýzu procesů a organizace, ne na hodnocení jednotlivých lidí. Nepoužíváme rozpoznávání emocí, biometrii ani sledování zaměstnanců. Podrobně to popisuje dokument Umělá inteligence v CHIZU a AI Act.