Právní dokumenty
GDPR & Bezpečnost
Jak InternaAI zpracovává data, chrání vaše informace a splňuje požadavky GDPR.
Poslední aktualizace: 21. 5. 2026
Správce dat
Správcem osobních údajů je klientská společnost, která implementaci InternaAI objednala. InternaAI (provozovatel platformy Robin) vystupuje v roli zpracovatele dle čl. 28 GDPR a jedná výhradně na základě pokynů správce.
Pro dotazy ohledně zpracování dat pište na: adam.bezdekovsky@seznam.cz
Jaká data zpracováváme
- Jméno a e-mailová adresa
- Heslo (uloženo jako bcrypt hash — nikdy jako čistý text)
- Role v systému (admin / manažer / zaměstnanec)
- Přiřazené oddělení / sekce
- Profilový avatar (volitelné)
- Dotazy kladené chatbotu
- Zdrojové dokumenty použité při odpovědi
- Historie konverzací
- Audit log: kdo, kdy a co hledal
- Zpětná vazba (hodnocení odpovědí)
Firemní dokumenty (PDF, DOCX, XLSX, PPTX, TXT, URL) jsou nahrány správcem systému a slouží výhradně jako znalostní báze. Nejsou sdíleny se třetími stranami.
Právní základ zpracování
Zpracování probíhá na základě oprávněného zájmu správce (čl. 6 odst. 1 písm. f GDPR) — zajištění bezpečného a efektivního přístupu zaměstnanců k interním firemním informacím. Audit log slouží k ochraně práv a majetku správce.
V případě uložení osobních údajů zaměstnanců je právním základem rovněž plnění pracovní smlouvy (čl. 6 odst. 1 písm. b GDPR).
Doba uchovávání
Záznamy o dotazech jsou automaticky mazány po 90 dnech. Purge probíhá při každém startu serveru.
Účty jsou uchovány po dobu trvání smluvního vztahu. Správce je může kdykoli smazat přes administrátorský panel.
Historie konverzací je uložena do odvolání. Uživatel může svou historii smazat kdykoli sám.
Dokumenty jsou uchovány, dokud je správce nesmaže. Vektory v ChromaDB jsou odstraněny zároveň s dokumentem.
Bezpečnostní opatření Technická
JWT tokeny (algoritmus HS256) s platností 24 hodin. Každý token obsahuje unikátní identifikátor (JTI) a může být okamžitě odvolán (blacklist). Po odhlášení je token invalidován.
Hesla jsou ukládána výhradně jako bcrypt hash se solí. Čistý text hesla se nikde neukládá ani neloguje.
Tříúrovňový RBAC model: admin / manažer / zaměstnanec. Každý uživatel vidí pouze dokumenty přidělených oddělení. Admin má přístup k celé znalostní bázi a audit logu.
Každý dotaz je logován: uživatel, e-mail, role, timestamp, použité zdroje. Záznamy jsou dostupné jen administrátorovi a automaticky se mažou po 90 dnech.
Při nahrávání dokumentů systém automaticky detekuje vzory prompt injection (EN + CZ). Podezřelé soubory jsou odmítnuty nebo označeny ještě před vložením do znalostní báze.
Embeddingy dokumentů jsou uloženy v ChromaDB lokálně na serveru klienta. Data neopouštějí infrastrukturu klienta. Model pro embedding: paraphrase-multilingual-MiniLM-L12-v2.
AI model a třetí strany
Pro generování odpovědí využívá Robin Anthropic Claude API. Do API jsou odesílány pouze relevantní úryvky z firemních dokumentů a dotaz uživatele — nikdy celé dokumenty ani osobní údaje jiných zaměstnanců.
Anthropic zpracovává data v souladu s vlastními podmínkami ochrany soukromí. Data nejsou použita k trénování modelů (API usage). Více na anthropic.com/privacy.
Vaše práva dle GDPR
- Právo na přístup — kdykoli si můžete vyžádat, jaké údaje o vás zpracováváme.
- Právo na opravu — nesprávné nebo neúplné údaje opravíme na základě vaší žádosti.
- Právo na výmaz — za podmínek čl. 17 GDPR máte právo na smazání svých dat.
- Právo na omezení zpracování — můžete požádat o pozastavení zpracování svých dat.
- Právo na přenositelnost — poskytneme vám vaše data ve strojově čitelném formátu.
- Právo vznést námitku — vůči zpracování na základě oprávněného zájmu.
- Právo podat stížnost — u Úřadu pro ochranu osobních údajů (uoou.cz).
Žádosti zasílejte na: adam.bezdekovsky@seznam.cz. Odpovíme do 30 dnů.