Bezpečnost dat
Jak zacházíme s vašimi daty
Do aplikace zadáváte citlivé informace o fungování a zabezpečení vaší firmy. Tato stránka shrnuje, kde data ukládáme, kdo k nim má přístup, k čemu je používáme, jak dlouho je uchováváme a jak postupujeme při bezpečnostním incidentu.
Závazné znění je v Podmínkách užívání, které přijímáte při registraci. U každého oddílu je odkaz na příslušný článek.
1
Zadávané údaje
Do průvodce zadáváte, čím se firma zabývá, na jakých systémech a dodavatelích závisí, kdo u vás za bezpečnost odpovídá a jaká opatření máte zavedená. Osobní údaje zahrnují pracovní kontakty vašich lidí a kontaktních osob dodavatelů.
Přístup do vašich systémů, hesla ani konfigurace nepotřebujeme.
Závazně: Podmínky čl. 10.1
2
Uložení a šifrování dat
- Aplikace běží v datovém centru ve Frankfurtu nad Mohanem (Vercel).
- Databáze s vašimi odpověďmi a dokumenty je v Curychu (Supabase).
- Přenos i uložená data jsou šifrované.
- Zálohy vznikají denně a uchovávají se 7 dní.
Vaše odpovědi a dokumenty zůstávají v Evropě. Mimo Evropu využíváme pouze službu pro odesílání e-mailů a model umělé inteligence, obojí v USA.
Závazně: Podmínky čl. 10.6 · 11.1 písm. a), b), d)
3
Přístup k datům
U vás: vlastník účtu a lidé, které k dokumentaci pozve. Každý vidí jen dokumentaci, ke které má přístup.
U nás: pověření lidé vázaní mlčenlivostí, a to jen v rozsahu potřebném pro provoz, podporu a zabezpečení služby.
Kromě toho s daty pracují jen další zpracovatelé uvedení níže.
Závazně: Podmínky čl. 9.4 · 10.2 · 10.4 · 10.6 · 11.1 písm. c)
4
Další zpracovatelé
K provozu služby využíváme čtyři zpracovatele. Všechny váže smlouva o zpracování, která odpovídá našim závazkům vůči vám.
Vercel
- Co dělá
- provoz aplikace
- Kde
- Frankfurt nad Mohanem
- Certifikace
- SOC 2 Type 2, ISO 27001
Supabase
- Co dělá
- databáze, přihlášení, zálohy
- Kde
- Curych
- Certifikace
- SOC 2 Type 2, ISO 27001
Anthropic
- Co dělá
- model AI (viz Umělá inteligence)
- Kde
- USA
- Certifikace
- SOC 2 Type 2, ISO 27001, ISO 42001
Resend
- Co dělá
- odesílání e-mailů
- Kde
- USA
- Certifikace
- SOC 2 Type 2
Platby zpracovává Stripe (PCI DSS Level 1, SOC 2).
Zapojení nového zpracovatele i výměnu stávajícího vám oznámíme e-mailem a můžete vznést námitku. Pokud se nedohodneme, můžete službu ukončit a nechat data vymazat.
Závazně: Podmínky čl. 10.6 · seznam dalších zpracovatelů
5
Umělá inteligence
Umělou inteligenci používáme k tomu, aby doladila místa v dokumentaci, která by jinak mohla působit příliš technicky. Vždy jen jednotlivé části, nikdy celou dokumentaci, dohromady zhruba 3 % textu. Dokumentace je díky tomu příjemnější ke čtení, ale právně i obsahově je v pořádku i bez toho. Vaše odpovědi AI nikdy nemění. Pokud chcete, můžete ji vypnout.
Asistent v průvodci odpovídá na dotazy. Vaše odpovědi vidí, jen když to sami zapnete, a jen ze stránky, na které právě jste. Konverzace můžete kdykoli smazat.
AI dostává jen anonymizované a izolované fragmenty dat, podle kterých nedokáže identifikovat vaši organizaci. Používáme model Claude od společnosti Anthropic, která naše vstupy ani výstupy neuchovává a netrénuje na nich.
Závazně: Podmínky čl. 10.1 · 10.7 · 11.1 písm. e) · seznam dalších zpracovatelů
6
Uchovávání a výmaz dat
- Odpovědi a dokumenty: uchováváme je, dokud máte k dokumentům přístup, nejdéle do zrušení účtu. Po zrušení účtu je vymažeme do 30 dnů.
- Na žádost: data vymažeme do 30 dnů a výmaz vám potvrdíme e-mailem.
- Konverzace s asistentem: můžete je kdykoli smazat sami. Jinak je smažeme nejpozději 90 dnů po poslední aktivitě.
- Export: hotové dokumenty si stáhnete kdykoli.
Závazně: Podmínky čl. 9.6 · 10.7 · 11.1 písm. d)
7
Použití dat
Data používáme k poskytování služby. Ke zlepšování služby slouží výhradně anonymizovaná data a dokumenty: testujeme na nich, jak Compligen tvoří dokumentaci. Anonymizovaná data neobsahují název firmy, IČO, jména, kontakty, názvy dodavatelů a systémů ani lokality.
Data neprodáváme, nikomu je nepředáváme k vlastnímu využití a netrénujeme na nich AI.
Závazně: Podmínky čl. 9.4 · 10.3 · 11.1 písm. e)
8
Smlouva o zpracování
Smlouva o zpracování osobních údajů podle čl. 28 GDPR je součástí Podmínek užívání (čl. 9 až 11). Přijímáte ji při registraci. Hlavní závazky ze smlouvy:
- data patří vám a zpracováváme je podle vašich pokynů,
- lidé s přístupem k datům jsou vázáni mlčenlivostí, i po skončení spolupráce,
- za další zpracovatele odpovídáme, jako bychom jejich práci dělali sami,
- změnu, která by mohla snížit ochranu dat, vám oznámíme a můžete službu ukončit,
- při podstatném porušení smlouvy, které nenapravíme, můžete službu ukončit a nechat data vymazat; právo na náhradu škody vám zůstává.
Závazně: Podmínky čl. 10.1 až 10.8 · 11.2 · 11.11
9
Bezpečnostní incidenty
Bezpečnostní incident vám oznámíme do 24 hodin od zjištění: co se stalo, kterých dat se týká a jaká opatření jsme přijali. Pomůžeme vám s oznámením Úřadu pro ochranu osobních údajů i s hlášením podle zákona o kybernetické bezpečnosti.
Zranitelnost nebo jiný bezpečnostní problém nahlaste na security@compligen.cz.
Závazně: Podmínky čl. 11.4 až 11.6
10
Prověření dodavatele
Jednou za 12 měsíců nám můžete poslat svůj bezpečnostní dotazník. Odpovíme do 30 dnů a přiložíme podklady včetně podmínek zpracování našich dodavatelů. Podmínky užívání (čl. 9 až 11) a seznam dalších zpracovatelů si přečtete bez registrace.
Spolupracujeme pouze s certifikovanými poskytovateli (Vercel (otevře se v nové kartě), Supabase (otevře se v nové kartě), Anthropic (otevře se v nové kartě), Resend (otevře se v nové kartě)). Kromě toho nás váže smlouva o zpracování v Podmínkách.
Závazně: Podmínky čl. 11.7 · 11.8
11
Dostupnost a podpora
Vzhledem k povaze služby ji poskytujeme bez smluvní garance dostupnosti.
Podpora je k dispozici e-mailem: běžně reagujeme do několika hodin, zpravidla do 2 pracovních dnů. Bezpečnostní incident vám oznámíme do 24 hodin od zjištění.
Závazně: Podmínky čl. 11.9 · 11.10