1. Kdo je správce a kdo zpracovatel
Tohle je základní rozdělení, ze kterého plyne všechno ostatní.
| Údaje | Správce | Zpracovatel |
|---|---|---|
| Konverzace návštěvníků vašeho webu | Vy jako provozovatel webu | Dodavatel chatbota |
| Kontakty zanechané v konverzaci | Vy jako provozovatel webu | Dodavatel chatbota |
| Váš účet, platby, bezpečnost | Dodavatel chatbota | — |
| Návštěvníci webu dodavatele | Dodavatel chatbota | — |
Prakticky to znamená: za obsah konverzací na vašem webu odpovídáte vy. Dodavatel je povinen zpracovávat je jen podle vašich pokynů.
2. Zpracovatelská smlouva
Článek 28 GDPR vyžaduje písemnou smlouvu mezi správcem a zpracovatelem. Musí obsahovat předmět a dobu zpracování, povahu a účel, typy údajů, kategorie subjektů a povinnosti obou stran. Rozdělení rolí podrobně vysvětlují také pokyny EDPB 07/2020.
Na co se dívat:
- Je smlouva veřejně dostupná? Pokud ji musíte složitě vyžadovat, je to signál.
- Je v ní seznam subprocesorů? Nebo jen obecná formulace „a další poskytovatelé"?
- Jak se oznamuje změna subprocesora? Musíte mít možnost vznést námitku.
- Co se stane s daty po ukončení? Smazání nebo vrácení, a v jaké lhůtě.
Naši smlouvu najdete na partaknaweb.cz/dpa.
3. Subprocesoři a jazykový model
Tohle je u AI chatbotů to nejpodstatnější a zároveň nejčastěji přehlížené. Text dotazu návštěvníka se posílá poskytovateli jazykového modelu — a ten je vaším dalším zpracovatelem v řadě.
Ptejte se konkrétně:
- Který poskytovatel modelu se používá a je uvedený jmenovitě?
- Ukládá poskytovatel obsah dotazů? A pokud ano, jak dlouho?
- Používá se obsah k trénování modelů? U firemního nasazení by odpověď měla znít ne.
- Existuje aktualizovaný veřejný seznam všech subprocesorů, ne jen toho hlavního?
Náš aktuální seznam včetně odkazů na smluvní dokumentaci jednotlivých dodavatelů je na partaknaweb.cz/subprocesori. Držíme ho aktuální právě proto, že se poskytovatelé v čase mění a obecná formulace ve smlouvě by vám byla k ničemu.
4. Kde data leží a přenosy mimo EU
U Parťáka na web běží hlavní databáze v Evropské unii. To ale neznamená, že žádná data EU neopustí — někteří dodavatelé, typicky poskytovatelé jazykových modelů, mohou zpracovávat data globálně.
Pro takové přenosy se podle konkrétního toku používá rozhodnutí o odpovídající ochraně pro certifikované účastníky rámce mezi EU a USA, standardní smluvní doložky a doplňková technická a organizační opatření. Detail pro každý tok je v zásadách ochrany osobních údajů.
5. Co doplnit do vlastních zásad
Jako správce musíte návštěvníkům vysvětlit vlastní účely a právní základy. Minimálně:
- Že na webu funguje AI asistent a jaké údaje se při konverzaci zpracovávají.
- Kdo je zpracovatel a odkaz na jeho zásady.
- Právní základ vašeho zpracování — u poptávek to bývá plnění smlouvy nebo oprávněný zájem, u marketingu obvykle souhlas.
- Doba uchování konverzací a kontaktů.
- Jak lze uplatnit práva subjektu údajů.
- Pokud používáte hlasový režim, informaci o zpracování zvuku a přepisů.
Nikdo za vás tenhle text nenapíše, protože se týká vašich účelů, ne našich.
6. Označení AI a předání člověku
Návštěvník má být informován, že komunikuje se systémem AI, ledaže je to z okolností a kontextu zjevné. Tuto transparentnost výslovně upravuje článek 50 evropského nařízení o umělé inteligenci. Je to i praktická věc: jasně označený asistent, který přizná, že něco neví, vzbuzuje větší důvěru než ten, který se tváří jako člověk a pak se splete.
S tím souvisí pravidlo pro předání konverzace člověku. Právní, zdravotní a finanční témata patří živému člověku, ne jazykovému modelu — a systém by měl mít nastavené, kdy sám ustoupí.
Kontrolní seznam před spuštěním
- Mám podepsanou nebo přijatou zpracovatelskou smlouvu.
- Vím, kdo jsou všichni subprocesoři, a mám jejich aktuální seznam.
- Vím, kde leží databáze a jaké záruky kryjí přenosy mimo EU.
- Doplnil jsem informaci o AI asistentovi do svých zásad ochrany osobních údajů.
- Nastavil jsem, co se ukládá v zařízení návštěvníka, a odpovídá to mé liště souhlasu.
- Vím, jak dlouho se konverzace uchovávají a jak se mažou.
- Mám nastavené, kdy asistent předá konverzaci člověku.
- Asistent je zřetelně označený jako AI.
Ověřené zdroje
- ÚOOÚ: Zpracovatel a požadavky článku 28 GDPR
- EDPB: Pokyny 07/2020 ke správci a zpracovateli
- ÚOOÚ: Standardní smluvní doložky pro přenosy do třetích zemí
- EUR-Lex: Nařízení EU 2024/1689, článek 50
Časté dotazy
Kdo je u AI chatbota správce a kdo zpracovatel?
U údajů návštěvníků vašeho webu jste zpravidla správcem vy jako provozovatel webu a dodavatel chatbota je vaším zpracovatelem. Dodavatel je správcem u vlastního účtu, plateb a bezpečnosti. Tohle rozdělení musí být písemně zachycené ve zpracovatelské smlouvě.
Potřebuji k AI chatbotu zpracovatelskou smlouvu?
Ano. Pokud dodavatel zpracovává osobní údaje návštěvníků vašeho webu, vyžaduje článek 28 GDPR uzavření zpracovatelské smlouvy. Správce odpovídá za výběr zpracovatele a platný smluvní rámec; zpracovatel dál odpovídá za své vlastní povinnosti podle GDPR.
Musí být AI chatbot označený jako AI?
Návštěvník má být informován, že komunikuje se systémem AI, ledaže je to z okolností a kontextu zjevné. Parťák na web je proto jako AI asistent označený výslovně.
Kde se zpracovávají data z AI chatbota?
U Parťáka na web běží hlavní databáze v Evropské unii. Někteří dodavatelé služeb, zejména poskytovatelé jazykových modelů, mohou zpracovávat data i mimo EU. Aktuální seznam subprocesorů a použité záruky pro přenosy najdete na stránce Subprocesory.
Potřebuji na AI chatbota souhlas návštěvníka s cookies?
Záleží na tom, co se v zařízení ukládá a proč. Uložení nezbytné pro funkci, kterou si návštěvník sám aktivně vyžádal, se posuzuje jinak než měření chování. Konkrétní nastavení musí popsat provozovatel webu ve svých zásadách a v liště souhlasu.
Jak dlouho se konverzace s chatbotem uchovávají?
U Parťáka na web se doba uchování odvíjí od tarifu a je popsaná v zásadách ochrany osobních údajů. Po uplynutí lhůty automatizovaná úloha záznamy maže nebo anonymizuje.