Jak chráníme osobní údaje
ObecníAI je od základu navržené tak, aby splňovalo nařízení GDPR a české zákony o ochraně osobních údajů. Zde najdete souhrn toho, co to znamená v praxi.
1. Kdo je kdo
V kontextu ObecníAI rozlišujeme tři role:
- Občan (subjekt údajů) — návštěvník webu obce, který klade AI asistentovi dotazy.
- Obec (správce) — určuje, jaká data na webu jsou a za jakým účelem se zpracovávají.
- Meedy.cz s.r.o. (zpracovatel) — provozuje technickou infrastrukturu ObecníAI.
Při provozu služby obecniai.cz ve smyslu předprodejních poptávek (kontaktní formulář) jsme však my sami správcem — podrobnosti najdete v dokumentu Ochrana osobních údajů.
2. Co GDPR znamená pro ObecníAI
Hosting v ČR
Celá aplikace, databáze i logy běží na serverech v České republice. Data neopouští Evropský hospodářský prostor.
Minimalizace dat
Ukládáme pouze to, co je nutné pro fungování služby. AI asistent nevyžaduje registraci občana, neukládá jeho IP adresu spolu s obsahem dotazu a neprovádí profilování.
Transparentnost
Při prvním použití AI asistenta na webu obce je občan informován, že komunikuje s AI a že dotazy mohou být uloženy za účelem zlepšování služby.
Šifrování
Komunikace probíhá přes HTTPS (TLS 1.2+). Hesla do administrace jsou uchována pouze jako bcrypt hash (cost 12).
Právo na výmaz
Obec i občan mohou kdykoli požádat o výmaz údajů. Výmaz provádíme do 30 dnů od doručení žádosti.
3. Jaká data zpracováváme pro obce
Pro provoz AI asistenta na webu obce zpracováváme:
- obsah dotazů občanů zadaných do chatu,
- časové razítko dotazu,
- ID konverzace (náhodně generovaný identifikátor, není vázaný na osobu),
- veřejně dostupná data obce (úřední deska, formuláře, kontakty) — pro kalibraci AI.
Dotazy a odpovědi uchováváme po dobu 12 měsíců pro účely zlepšování kvality odpovědí a řešení stížností. Po uplynutí této doby jsou automaticky mazány nebo anonymizovány.
4. Co občan nemusí sdílet
AI asistent je navržený tak, aby aktivně nevyzýval občany k poskytování osobních údajů. Pokud občan sám uvede své jméno, adresu nebo jiný osobní údaj ve zprávě, je to jeho dobrovolné rozhodnutí.
V případech, kdy je nutné předat osobní údaje pro vyřízení podání (např. přihláška do MŠ), AI nasměruje občana na oficiální formulář obce — tam už probíhá klasické zpracování podle pravidel obce.
5. Smlouva o zpracování osobních údajů
Obec a Meedy.cz s.r.o. při zahájení spolupráce uzavírají smlouvu o zpracování osobních údajů (DPA) podle čl. 28 GDPR. Smlouva upravuje:
- rozsah a účel zpracování,
- kategorie subjektů údajů,
- technická a organizační opatření,
- pravidla pro subdodavatele,
- postup při úniku údajů.
Vzor smlouvy najdete v dokumentu Zpracování dat.
6. Práva občanů
Občané mají vůči obci (správci) všechna práva podle GDPR:
- přístup k údajům (čl. 15),
- oprava nepřesných údajů (čl. 16),
- výmaz (čl. 17),
- omezení zpracování (čl. 18),
- přenositelnost (čl. 20),
- námitka proti zpracování (čl. 21).
Žádosti občanů vyřizuje primárně obec. Meedy.cz s.r.o. jako zpracovatel poskytuje obci součinnost.
7. Hlášení úniku údajů
V případě bezpečnostního incidentu, který by mohl vést k úniku osobních údajů, informujeme obec do 72 hodin od zjištění. Obec následně postupuje podle svých vnitřních pravidel a případně informuje Úřad pro ochranu osobních údajů.
8. Subdodavatelé
K poskytování služby využíváme omezený okruh subdodavatelů, všichni působí v EU:
- poskytovatel VPS hostingu (Česká republika),
- poskytovatel e-mailové služby pro notifikace (Česká republika),
- poskytovatel doménových služeb a DNS (Česká republika),
- poskytovatel certifikátu pro HTTPS (Let's Encrypt, USA — v rámci standardizované veřejné PKI).
Aktuální seznam subdodavatelů na vyžádání.
9. Kontakt
Pro dotazy ohledně GDPR pište na libor@liborpolak.cz. Odpovídáme zpravidla do 2 pracovních dnů.
← Zpět na hlavní stránku