GDPR: jak Yasan chrání vaše data

Ochrana dat – vašich i vašich zákazníků – je pro nás na prvním místě. Připravili jsme proto lidsky srozumitelné shrnutí toho, co se s daty v Yasanu vlastně děje – v chatu, v AI vyhledávání i v e-mailové podpoře. Vychází z našich obchodních podmínek, zásad ochrany soukromí a smlouvy o zpracování osobních údajů (DPA), kterými se pevně řídíme. Vaši nakupující mají vlastní srozumitelné informace na yasan.ai/ai-assistant-privacy.

Kdo je za data zodpovědný#

Z pohledu GDPR máme role jasně rozdělené:

Vy jste správcem údajů (data controller) — vy rozhodujete o tom, jaká data se zpracovávají a za jakým účelem.
Yasan je zpracovatelem (data processor) — data zpracováváme vaším jménem a výhradně podle vašich pokynů.

Tento vztah se řídí Smlouvou o zpracování osobních údajů (DPA). Je součástí našich podmínek a platí automaticky jejich přijetím nebo instalací Yasanu přes vaši e-commerce platformu. Vychází přímo z požadavků čl. 28 GDPR.

Vaše data netrénují AI modely#

Tohle je pochopitelně ta nejčastější obava. Odpověď je ale jednoznačná: vaše data v žádném případě nepoužíváme k tréninku obecných AI modelů.

Obsah vaší komunikace (e-maily, zprávy, přepisy, koncepty) neslouží k trénování, ladění ani vylepšování univerzálních AI modelů pro třetí strany nebo širokou veřejnost.
Data smíme použít pouze ke zlepšení fungování Yasanu přímo pro vás — například k vyladění promptů a lepšímu chápání kontextu ve vašem pracovním prostoru.
Úplně stejné závazky platí i pro poskytovatele AI modelů, na kterých Yasan běží (např. Anthropic, OpenAI, Google) — data, která projdou přes jejich API, se k tréninku jejich modelů nepoužívají.

Jaká data zpracováváme a proč#

Zpracováváme jen ta data, která nezbytně potřebujeme k tomu, aby služba správně fungovala. Konkrétní rozsah najdete v příloze (Schedule 1) naší DPA:

Chat — konverzace, stránka a jazyk, na kterých začala, e-mail jen tehdy, když ho návštěvník sám uvede, údaje o objednávce dohledané po ověření jeho e-mailu a košík jako kontext.
AI vyhledávání — potvrzené dotazy a navazující zprávy, zobrazené produkty a odpovědi, použité filtry, adresa stránky bez části za otazníkem a souhrn košíku (počet položek, hodnota, měna). Se souhlasem s analytikou navíc náhodný identifikátor návštěvníka.
E-mailová podpora — e-maily (text, přílohy, hlavičky), koncepty a odpovědi a kontext z napojených systémů (objednávky, faktury, stav doručení).
Vaše e-commerce platforma — katalog produktů a objednávky včetně zákazníka na objednávce, čtené jen ve chvíli, kdy jsou potřeba k odpovědi na konkrétní dotaz. Kopii vašeho seznamu zákazníků si neuchováváme.
Autorizovaní uživatelé — jméno, e-mail, role a přihlašovací údaje vašich kolegů.

Účel je vždy jen jeden: poskytnout vám skvělý nástroj pro zákaznickou podporu, vyhledávání a komunikaci. Data nikdy neprodáváme třetím stranám.

Co vidí vaši nakupující#

Chat i AI vyhledávání nakupujícím sdělují, že odpovědi vytváří AI.
Odkaz na ochranu údajů v obou widgetech vede na informace pro nakupující na yasan.ai/ai-assistant-privacy, v jazyce nakupujícího.
Identifikátor návštěvníka vzniká jen se souhlasem s analytikou a po jeho odvolání se smaže. Jak souhlas předat: Co umístit na web.

Subdodavatelé (subprocesoři)#

Aby mohl Yasan fungovat, spolupracujeme s pečlivě vybranými dodavateli (např. pro cloudovou infrastrukturu a samotné AI modely). Každý z nich je smluvně zavázán ke stejné úrovni ochrany dat, jakou garantujeme my vám.

Aktuální seznam našich subprocesorů najdete vždy na yasan.ai/subprocessors.
Pokud bychom přidávali nového subprocesora, dáme vám o tom vědět nejméně 7 dní předem a máte právo vznést námitku.
Pokud dochází k přenosu dat mimo EU/EHP, opíráme se o EU-U.S. Data Privacy Framework nebo standardní smluvní doložky.

Bezpečnost a nezávislé audity#

Data chráníme technickými i organizačními opatřeními přesně podle čl. 32 GDPR:

Šifrování — data jsou šifrována jak při přenosu (TLS 1.2+), tak v samotném úložišti (AES-256).
Řízení přístupu — náš tým má k systémům přístup jen přes striktně vymezené role (Role-Based Access Control) a povinné dvoufaktorové ověření (MFA).
Minimalizace — k vašim datům přistupujeme jen tehdy, když je to nezbytně nutné kvůli bezpečnosti nebo pokud nás o to sami požádáte v rámci řešení technické podpory.
Nezávislé bezpečnostní audity — pro účely napojení na účty Google jsme úspěšně prošli bezpečnostním auditem Google CASA (Cloud Application Security Assessment).
Zálohy — děláme šifrované zálohy do oddělené zóny a provádíme pravidelné bezpečnostní kontroly.

Data máte vždy pod kontrolou#

Práva vašich zákazníků (přístup, oprava, výmaz, přenositelnost…) — pomáháme vám je plnit pomocí našich technických nástrojů.
Smazání dat — kdykoli nás můžete požádat o trvalé odstranění vaší organizace i všech dat. Jak na to, zjistíte v článku Data a soukromí.