AI Asistent a GDPR: Co Musíte Vědět Před Nasazením
Nasazujete AI asistenta pro zákaznickou podporu? GDPR se vás týká — jako správce i zpracovatele dat. Zjistěte, co konkrétně AI asistent zpracovává, jak Replion chrání data a jaké kroky musíte udělat před spuštěním.
Zpracovává AI Pomocník Osobní Data?
Ano — a to je klíčový fakt, od kterého se odvíjí veškerá GDPR povinnost. Jakmile AI pomocník čte e-mail zákazníka, vidí jeho jméno, e-mailovou adresu a obsah zprávy. Všechny tři kategorie jsou osobními údaji ve smyslu GDPR. Navíc může zpráva zákazníka obsahovat další osobní informace — číslo objednávky vázané na jméno, telefonní číslo, adresu doručení nebo popis problému s citlivým kontextem.
Z pohledu GDPR platí jasné rozdělení rolí. Vaše firma je správcem dat (controller) — vy rozhodujete, proč a jak jsou data zákazníků zpracovávána a nesete za toto zpracování odpovědnost vůči zákazníkům i dozorovému úřadu (ÚOOÚ). Replion je zpracovatelem (processor) — zpracovává data vaším jménem, podle vašich pokynů a v rámci smluvně dohodnutých podmínek.
Tento vztah zakládá povinnost uzavřít Data Processing Agreement (DPA), jak výslovně vyžaduje čl. 28 GDPR. DPA definuje, jaká data jsou zpracovávána, za jakým účelem, po jakou dobu, jaká technická a organizační opatření zpracovatel přijal a za jakých podmínek může pověřit zpracováním další subjekty (tzv. sub-processors). Bez platné DPA je nasazení AI pracovníka pro zákaznickou podporu v rozporu s GDPR — bez ohledu na to, jak bezpečný systém sám o sobě je.
U Replion je DPA standardní součástí onboardingu. Podepisujete ho automaticky — není potřeba nic vyjednávat ani čekat na právní oddělení. Dokument je připraven v souladu s aktuálním výkladem GDPR a zahrnuje všechny požadované doložky včetně podmínek přeshraničního přenosu dat (které jsou bezpředmětné, protože data zůstávají v EU).
Jak Replion Chrání Vaše Data
Technická a organizační opatření, která Replion implementuje jako zpracovatel dat zákazníků.
Servery výhradně v EU
Veškerá data zpracováváme na serverech v Německu a Irsku. Data nikdy neopouštějí Evropskou unii.
Šifrování dat v přenosu i v klidu
Přenos dat je chráněn protokolem TLS 1.3, data uložená na serverech jsou šifrována standardem AES-256.
DPA součástí každé smlouvy
Data Processing Agreement podepisujeme automaticky při onboardingu — žádný extra proces ani čekání.
Data nejsou použita k trénování modelů
Data vašich zákazníků jsou izolovaná a nikdy nejsou použita ke zlepšování obecných AI modelů třetích stran.
Přístup jen pro oprávněný personál
Přístup k datům mají výhradně oprávnění pracovníci. Každý přístup je zaznamenán v auditním logu.
Právo na výmaz implementováno
Právo na výmaz dat je technicky implementováno s SLA do 30 dnů. Export dat před výmazem je na vyžádání.
Vaše Povinnosti jako Správce Dat
Replion jako zpracovatel zajišťuje technickou bezpečnost a smluvní rámec. Jako správce dat ale máte vůči svým zákazníkům a GDPR vlastní povinnosti, které nelze přenést na dodavatele.
Nestačí jen podepsat DPA. GDPR vyžaduje systémový přístup — zákazníci musí vědět, jak jsou jejich data zpracovávána, zpracování musí mít právní základ a musí být dokumentováno.
Informovat zákazníky v privacy policy
Zásady zpracování osobních údajů (privacy policy) musí výslovně zmiňovat, že zákaznická komunikace je zpracovávána pomocí AI systémů. Nestačí obecná zmínka o "třetích stranách" — zákazník musí pochopit, co konkrétně se s jeho daty děje.
Mít právní základ pro zpracování
Zpracování osobních dat zákazníků musí mít právní základ podle čl. 6 GDPR. Pro zákaznickou podporu nejčastěji platí oprávněný zájem (čl. 6 odst. 1 písm. f) nebo plnění smlouvy (čl. 6 odst. 1 písm. b). Souhlas je možný, ale pro zákaznickou podporu méně vhodný — jeho odvolání by paralyzovalo poskytování servisu.
Zaznamenat AI pomocníka v záznamu o zpracování
Každá firma zpracovávající osobní data musí vést záznamy o činnostech zpracování (čl. 30 GDPR). Nasazení AI pomocníka je nová kategorie zpracování, která do tohoto záznamu patří — s uvedením účelu, kategorie dat, doby uchovávání a informace o zpracovateli (Replion).
Posoudit, zda je nutná DPIA
Hodnocení dopadu na ochranu osobních údajů (DPIA) je povinné při zpracování, které může představovat vysoké riziko. U standardní zákaznické podpory s AI pomocníkem DPIA typicky není nutná. Pokud ale zpracováváte citlivé kategorie dat nebo provádíte automatizovaná rozhodnutí s právními dopady, DPIA provést musíte.
GDPR Checklist Před Nasazením AI Pomocníka
Pět kroků, které byste měli splnit před spuštěním AI pomocníka do ostrého provozu.
Tento checklist je orientační. Pro závazné právní poradenství konzultujte svého DPO nebo právníka specialistu na GDPR.
GDPR a AI: Odpovědi na Vaše Otázky
Máte specifickou otázku, kterou zde nenajdete? Napište nám — odpovíme do 24 hodin.
Relevantní články
Je AI pomocník od Replion v souladu s GDPR?
Ano. AI pomocník od Replion je plně v souladu s nařízením GDPR. Veškerá data jsou zpracovávána výhradně na serverech v EU (Německo, Irsko), přenosy jsou šifrovány pomocí TLS 1.3 a data v klidu jsou chráněna šifrováním AES-256. Součástí každé smlouvy je Data Processing Agreement (DPA), které definuje podmínky zpracování osobních údajů.
Kde jsou uložena data zpracovávaná AI pomocníkem?
Veškerá data zpracovávaná AI pomocníkem Replion jsou uložena výhradně na serverech v Evropské unii — konkrétně v Německu a Irsku. Data nikdy neopouštějí evropský prostor. Tím je splněn jeden z klíčových požadavků GDPR týkající se přenosů osobních údajů do třetích zemí.
Jsou zákaznická data použita k trénování AI modelů?
Ne. Data vašich zákazníků nejsou nikdy použita k trénování obecných AI modelů ani ke zlepšování systémů třetích stran. Každý AI pracovník Replion pracuje pouze s daty konkrétní firmy v rámci jejího izolovaného prostředí. Toto pravidlo je smluvně zakotveno v DPA.
Co je DPA a musím ho podepsat?
DPA (Data Processing Agreement, česky Smlouva o zpracování osobních údajů) je dokument vyžadovaný GDPR vždy, když předáváte osobní data externímu zpracovateli. Pokud AI pomocník zpracovává jméno, e-mail nebo obsah zpráv vašich zákazníků, jste povinni mít s Replion platnou DPA. U Replion je DPA automaticky součástí onboardingu — žádný extra papírový proces.
Jak zákazníci zjistí, že jim odpovídá AI?
GDPR přímo nevyžaduje, aby byl každý e-mail označen jako odpověď AI. Povinností firmy (správce) je informovat zákazníky v rámci zásad zpracování osobních údajů (privacy policy), že jejich data jsou zpracovávána pomocí automatizovaných systémů. Doporučujeme tuto informaci do privacy policy zahrnout jednoznačně a srozumitelně.
Jak zajistit právo zákazníka na výmaz?
Právo zákazníka na výmaz (právo být zapomenut) technicky zajišťuje Replion v rámci dohodnuté SLA do 30 dnů od přijetí žádosti. Firma jako správce dat zodpovídá za přijetí žádosti od zákazníka a její předání Replion. Doporučujeme definovat interní proces pro evidenci a předávání těchto žádostí.
Potřebuji před nasazením AI pomocníka DPIA?
DPIA (hodnocení dopadu na ochranu osobních údajů) je povinné, pokud zpracování dat představuje vysoké riziko pro práva a svobody fyzických osob. U standardního AI pomocníka pro zákaznickou podporu DPIA typicky není povinné — zpracování jmen a e-mailů za účelem odpovídání na dotazy nepředstavuje vysoké riziko. Pokud však plánujete zpracovávat citlivé kategorie dat nebo automatizovaná rozhodnutí s právními účinky, DPIA provést musíte. Konzultujte se svým DPO.
Co se stane s daty, pokud smlouvu zruším?
Po ukončení smluvního vztahu s Replion jsou veškerá vaše data a data vašich zákazníků bezpečně smazána do 30 dnů. Na vyžádání je možné data před smazáním exportovat ve standardním formátu. Podmínky výmazu dat jsou součástí DPA a smlouvy.
Zajímá Vás Více o AI Pomocníkovi?
AI Pomocník
Přehled funkcí, možností nasazení a technické architektury AI pomocníka od Replion.
AI pomocník →📧E-mailový AI Pracovník
Specializovaný pracovník pro automatické zpracování a odpovídání na zákaznické e-maily.
E-mailový pomocník →💬Konzultace
Probereme vaše konkrétní požadavky, GDPR otázky i technické detaily nasazení. Zdarma.
Nezávazná konzultace →Mám Otázky k GDPR a AI — Chci se Poradit
Proberte s námi vaši konkrétní situaci — zpracování dat, DPA, nastavení doby uchování nebo právní základ zpracování. Konzultace je bezplatná a bez závazku.
Odpovíme do 24 hodin.