Technická a organizační opatření (čl. 32 GDPR)

Příloha zpracovatelské smlouvy. Popisuje, jak Karel Petroš (CHIZU) chrání osobní údaje, které pro klienty zpracovává.

1. Přístup a oprávnění

• Účty zakládá jen správce aplikace. Přihlášení osobním e-mailem a heslem, sdílené účty nepoužíváme.
• Data každého klienta jsou v databázi oddělená pravidly přístupu na úrovni řádků. Vidí je jen správce a konzultanti přiřazení k zakázce.
• Po skončení spolupráce s konzultantem správce jeho účet deaktivuje.

2. Šifrování a provoz

• Veškerý přenos dat je šifrovaný (HTTPS/TLS). Data v databázi jsou šifrovaná na disku.
• Databáze běží v regionu: EU, Irsko (Supabase eu-west-1). Serverová část aplikace běží v EU (Frankfurt).
• Přístupové klíče k databázi a k AI jsou jen na serveru, nikdy v prohlížeči ani v kódu.

3. Minimalizace a pseudonymizace

• Rozhovory se zapisují pod označením bez jmen. Jména respondentů jsou jen na odděleně uložených potvrzeních o poučení.
• Klient dostává jen souhrny za skupiny aspoň 3 lidí. Ukazatele procesu s menším počtem rozhovorů se v reportu nezobrazují.
• Do AI jdou jen údaje nutné pro daný úkol, o lidech jen souhrny za role. Původní přepisy rozhovorů a soubory životopisů se po zpracování mažou.
• Zvláštní kategorie údajů (například o zdraví) záměrně nezjišťujeme.

4. Záznamy a dohledatelnost

• Každá změna dat se zaznamenává (kdo, kdy, co), bez obsahu odpovědí. Záznamy se mažou po 3 letech.
• U AI v náboru se zaznamenává každé hodnocení, oprava a rozhodnutí včetně použitého modelu.

5. Výmaz

• Po ukončení diagnostiky a uplynutí sjednané lhůty aplikace sama smaže texty z rozhovorů, citace, poznámky, role respondentů, podklady a potvrzení. Zůstanou jen číselné výsledky bez jmen.
• Mazání po lhůtách běží automaticky každý den. Na žádost klienta smažeme údaje dříve.
• Po odhlášení se z prohlížeče konzultanta smažou místní kopie dat klientů.

6. Lidé a postupy

• Konzultanti jsou vázáni mlčenlivostí a jsou proškolení v ochraně údajů a v práci s AI.
• Rozhovory se vedou v soukromí, poznámky se píší přímo do aplikace, ne na papír ani do soukromých souborů.
• Porušení zabezpečení ohlásíme klientovi bez zbytečného odkladu, nejpozději do 48 hodin od zjištění, pokud smlouva nestanoví jinak.
• Dodavatele vybíráme s ohledem na ochranu údajů a ukládáme jim stejné povinnosti, jaké máme my.

Kontakt pro ochranu osobních údajů: karel@chizu.cz.