Napíšete do DeepSeek dotaz na smlouvu, kterou právě podepisujete, protože je rychlejší a zadarmo. Otevřete Kimi, protože umí přečíst dvěstěstránkový dokument najednou. Vyzkoušíte Qwen nebo Z.ai, protože model GLM vychází dobře v žebříčcích. Ve všech čtyřech případech odejde váš text na server mimo Evropu. Otázka, kterou si skoro nikdo nepoloží, zní: na jakém právním základě to poskytovatel podle vlastních slov smí udělat.
DeepSeek a Kimi přiznávají bez obalu čínské sídlo i ukládání dat v Čínské lidové republice. Qwen a Z.ai mají registrovaného provozovatele v Singapuru, což ale není totéž jako místo, kde data fyzicky leží: Qwen se navenek prezentuje jako produkt oddělený od čínského trhu, vlastní zásady ale přiznávají zpracování i v pevninské Číně. Z.ai tvrdí, že služby poskytuje „obecně” ze Singapuru. To slovo vylučuje výhradní zpracování tam.
Co podmínky opravdu říkají
GDPR (kapitola V) dovoluje přenos dat mimo Evropu jen s rozhodnutím Evropské komise o odpovídající ochraně, standardní smluvní doložkou podle článku 46, nebo úzkou výjimkou podle článku 49. Čína ani Singapur rozhodnutí o odpovídající ochraně nemají. Ze čtyř dokumentů jmenuje konkrétní mechanismus jen Qwen:
When we transfer your personal data outside of the European Union, European Economic Area, Switzerland or the United Kingdom, we ensure that it benefits from an adequate level of data protection by relying on: (a) Adequacy decisions. These are decisions from the European Commission under Article 45 GDPR (or equivalent decisions under other laws) where they recognize that a country offers an adequate level of data protection.
Když vaše osobní údaje přenášíme mimo Evropskou unii, Evropský hospodářský prostor, Švýcarsko nebo Spojené království, zajišťujeme, aby se na ně vztahovala odpovídající úroveň ochrany, a to na základě: (a) rozhodnutí o odpovídající ochraně. Jde o rozhodnutí Evropské komise podle článku 45 GDPR (nebo rovnocenná rozhodnutí podle jiných právních předpisů), kterými se uznává, že daná země nabízí odpovídající úroveň ochrany údajů.
DeepSeek slibuje jen obecnou frázi o „vhodných zárukách”, což není totéž co standardní smluvní doložky. Kimi otázku evropského práva neřeší vůbec, slovo GDPR se v dokumentu neobjevuje ani jednou. Z.ai slibuje „zákonem uznané mechanismy přenosu”, aniž by kterýkoli pojmenoval. Přenos dat probíhá u všech čtyř stejně. Rozdíl mezi Qwenem a zbylými třemi je v tom, jestli poskytovatel řekne, na základě čeho ho obhajuje.
Jak je to závažné
Pro běžného uživatele s běžnou konverzací je riziko nízké a roste se citlivostí obsahu. Pro živnostníka, který takhle zpracovává klientský dokument, jde o víc: jako správce nebo zpracovatel podle GDPR odpovídá za to, komu data dál předá, a vložení klientské smlouvy do DeepSeek nebo Kimi bez zpracovatelské smlouvy s poskytovatelem je porušení této odpovědnosti. Pro zaměstnance, který si tam zkopíruje firemní dokument, jde o stínové používání AI, které zaměstnavatel často nevidí, a firma pak odpovídá za přenos, o kterém sama nerozhodla.
Co vypnout jde a co ne
DeepSeek umožňuje odmítnout trénink modelu v nastavení účtu. Kimi nabízí podobnou cestu přes zákaznickou podporu po ověření identity. U Qwenu a Z.ai jde vypnout jen přístup ke konkrétním funkcím, samotné zpracování vypínačem v rozhraní nezastavíte u žádného ze čtyř. Přesun dat nastává v okamžiku, kdy zadání odešlete, a přepínač „zpracovávejte moje data jen v Evropě” nenabízí žádný z dokumentů.
Jak požádat o vymazání dat
Každý poskytovatel uvádí vlastní kontakt: DeepSeek e-mail privacy@deepseek.com; Kimi (Moonshot) poštovní adresu v Pekingu uvedenou v oddílu 11 dokumentu, se závazkem odpovědět do patnácti pracovních dní od ověření identity; Qwen (Alibaba Cloud) e-mail DPO_qwenlm-intl@service.alibaba.com adresovaný pověřenci v Hongkongu; Z.ai e-mail user_feedback@z.ai. Bez ohledu na lhůtu, kterou si poskytovatel sám stanoví, platí podle článku 12 odstavce 3 GDPR lhůta jeden měsíc (s možným prodloužením o dva u složitých případů). Pokud vaše zadání už posloužilo k trénování, vymazání účtu naučené parametry nezmění: smazat lze účet a historii, ne to, co se stalo součástí váh modelu.
Jak se chránit
- Nevkládejte klientské smlouvy, rodná čísla, zdravotní údaje ani přihlašovací údaje.
- Jako správce nebo zpracovatel cizích údajů nepoužívejte tyto nástroje bez zpracovatelské smlouvy s poskytovatelem.
- Citlivý text nahraďte anonymizovanou verzí tam, kde to obsah dovolí.
- Pro firemní použití zvažte model s explicitně pojmenovaným přenosovým mechanismem, nebo běh na vlastní infrastruktuře.
Žádný ze čtyř dokumentů neuvádí zástupce v Evropské unii podle článku 27 GDPR, přestože je to povinnost pro firmy bez usazení v Unii, které zpracovávají údaje osob v Evropě. Vaše práva podle GDPR tím nezanikají, jen se hůř vymáhají.
Verdikt
Nejslabší je tu jednoznačně otázka jurisdikce. Tři ze čtyř poskytovatelů (DeepSeek, Kimi, Z.ai) nepojmenují mechanismus, kterým přenos dat mimo Evropu obhajují, jeden (Kimi) o evropském právu mlčí úplně. Jedinou výjimkou je Qwen, byť i ten přiznává zpracování v pevninské Číně vedle singapurského sídla. Nálepka „mezinárodní verze” popisuje jen registraci firmy. Kam vaše zadání doopravdy putuje, z ní nepoznáte.
ZDROJE A CITACE
Citace 8
The Personal Data we collect from you may be stored on a server located outside of the country where you live. To provide you with our services, we directly collect, process and store your Personal Data in People's Republic of China.
Osobní údaje, které od vás shromažďujeme, mohou být uloženy na serveru umístěném mimo zemi, ve které žijete. Abychom vám mohli poskytovat naše služby, vaše osobní údaje přímo shromažďujeme, zpracováváme a ukládáme v Čínské lidové republice.
Where required, we will use appropriate safeguards for transferring Personal Data outside of certain countries, including for one or more of the purposes as set out in this Policy, we will do so in accordance with the requirements of applicable data protection laws.
Tam, kde je to vyžadováno, použijeme při přenosu osobních údajů mimo určité země vhodné záruky, a to i pro jeden nebo více účelů uvedených v těchto zásadách, v souladu s požadavky platných zákonů na ochranu údajů.
Beijing Moonshot Technology Co., Ltd. (hereinafter "we," "us," or "our") has always attached great importance to the protection of personal information and privacy.
Beijing Moonshot Technology Co., Ltd. (dále jen „my“ nebo „naše“) vždy přikládala velký význam ochraně osobních údajů a soukromí.
We store your personal information within the territory of the People's Republic of China. Unless we obtain your separate consent and comply with relevant national laws and regulations, we will not provide any of your personal information outside China.
Vaše osobní údaje ukládáme na území Čínské lidové republiky. Pokud nezískáme váš zvláštní souhlas a nedodržíme příslušné vnitrostátní zákony a předpisy, žádné vaše osobní údaje mimo Čínu neposkytneme.
When we transfer your personal data outside of the European Union, European Economic Area, Switzerland or the United Kingdom, we ensure that it benefits from an adequate level of data protection by relying on: (a) Adequacy decisions. These are decisions from the European Commission under Article 45 GDPR (or equivalent decisions under other laws) where they recognize that a country offers an adequate level of data protection.
Když vaše osobní údaje přenášíme mimo Evropskou unii, Evropský hospodářský prostor, Švýcarsko nebo Spojené království, zajišťujeme, aby se na ně vztahovala odpovídající úroveň ochrany, a to na základě: (a) rozhodnutí o odpovídající ochraně. Jde o rozhodnutí Evropské komise podle článku 45 GDPR (nebo rovnocenná rozhodnutí podle jiných právních předpisů), kterými se uznává, že daná země nabízí odpovídající úroveň ochrany údajů.
We store or process personal data described in section I. How We Collect Your Personal Data in Singapore and Mainland China.
Osobní údaje popsané v části I. Jak shromažďujeme vaše osobní údaje ukládáme nebo zpracováváme v Singapuru a v pevninské Číně.
The Services are provided and controlled by JINGSHENG HENGXING TECHNOLOGY PTE.LTD with its registered address in 10 ANSON ROAD, #26-03, INTERNATIONAL PLAZA, SINGAPORE 0759903.
Služby poskytuje a řídí společnost JINGSHENG HENGXING TECHNOLOGY PTE.LTD se sídlem na adrese 10 Anson Road, #26 03, International Plaza, Singapur 079903.
We generally provide the Services from Singapore, and our group companies and their designated service providers are typically located in Singapore. As a result, your personal data is generally processed in Singapore.
Služby obecně poskytujeme ze Singapuru a naše skupinové společnosti i jimi určení poskytovatelé služeb obvykle sídlí v Singapuru. V důsledku toho se vaše osobní údaje obecně zpracovávají v Singapuru.
Časté dotazy
Znamená označení „mezinárodní verze“ u čínského modelu, že vaše data zůstanou v Evropě?
Ne. Qwen se navenek prezentuje jako produkt singapurské firmy, ale vlastní zásady ochrany údajů přiznávají, že data zpracovávají i entity v pevninské Číně. Sídlo firmy a místo skutečného zpracování jsou dvě různé věci, a podmínky je nikde neslučují do jednoho tvrzení.
Má aspoň jeden z těchto čtyř poskytovatelů uzavřenou standardní smluvní doložku schválenou Evropskou komisí?
Podle vlastního znění dokumentů to výslovně přiznává jen Qwen, který se odvolává na článek 45 a 46 GDPR. DeepSeek, Kimi a Z.ai buď mechanismus přenosu vůbec nejmenují, nebo ho popisují jen obecnou frází o „vhodných zárukách“.
Co přesně znamená věta, že Kimi neposkytne vaše údaje mimo Čínu bez zvláštního souhlasu?
Řeší to, komu Kimi vaše data dál pošle z Číny, ne to, že by vaše zadání zůstalo v Evropě. Jakmile s Kimi začnete komunikovat, vaše data už do Číny odešla, a tahle věta o dalším vývozu z Číny na tom nic nemění.
Jakou lhůtu má poskytovatel na vyřízení žádosti o vymazání dat podle evropského práva?
Jeden měsíc podle článku 12 odstavce 3 obecného nařízení o ochraně osobních údajů, bez ohledu na to, jakou lhůtu si sám poskytovatel uvádí ve vlastních podmínkách. Kimi ve svém dokumentu slibuje patnáct pracovních dní na stížnosti, což je kratší doba, ale netýká se to výslovně žádosti o vymazání dat podle GDPR.