Easy Software prende seriamente la protezione dei dati personali. La regolamentazione europea nota come Regolamento Generale sulla Protezione dei Dati (GDPR) rappresenta una serie di sfide per tutte le organizzazioni ed è diventata uno dei temi di business più discussi.
La nostra missione è fornire ai clienti di Easy Redmine e, in generale, a tutta la comunità di Project, un software affidabile che consenta di adempiere efficientemente a tutti i doveri dei Processori di Dati.
Questo documento fornirà risposte a:
- Sono un Processore di Dati, come posso diventare conforme al GDPR con Easy Redmine
- Sto utilizzando Easy Redmine cloud, questo servizio è conforme al GDPR?
- Devo sapere se Easy Software ha tutti i processi di sicurezza in atto.
1. Terminologia
Easy Software è il produttore di Easy Redmine.
Data Controller - l'entità che determina le finalità, le condizioni e i mezzi del trattamento dei dati personali. Per il presente documento, si tratta della vostra organizzazione.
Data Processor - l'entità che elabora i dati per conto del Data Controller; in questo documento:
- Clienti cloud di Easy Redmine: Easy Software è il Data Processor e i dati vengono elaborati nei nostri servizi cloud in base alle regole impostate da voi, Data Processor, nella vostra applicazione cloud Easy Redmine.
- Utenti di server propri di Easy Redmine: Easy Software non è un Data Processor. Ma Easy Redmine vi aiuterà ad organizzare correttamente i vostri dati.
Easy Redmine è un'applicazione che può o non può essere utilizzata per elaborare i dati da parte del Data Controller.
2. Introduzione
Easy Software, in qualità di produttore di Easy Redmine, introduce aggiornamenti di Easy Redmine per aiutare i Data Controller ad adempiere ai loro doveri derivanti dalla regolamentazione GDPR.
Allo stesso tempo, per i nostri clienti cloud, questo documento fornisce informazioni su Easy Software come Data Processor.
Inoltre, Easy Software dichiara che alla data di entrata in vigore del GDPR tutti i processi, i contratti, i fornitori, l'accesso ai dati e altri saranno pienamente conformi ai requisiti del GDPR.
3. Easy Redmine per tutti i Data Controller
La seguente descrizione e le funzionalità saranno implementate/aggiornate entro la fine di aprile 2018.
Easy Redmine offre le seguenti funzionalità per aumentare la sicurezza dei dati e soddisfare le specifiche richieste del GDPR per i Data Controller.
- Implementazione di una politica di password estesa
- Definizione di una lunghezza minima, uso di lettere maiuscole, numeri e caratteri speciali nella password
- Limite di tempo per la validità della password e controllo della ripetizione della password
- Disconnessione automatica dell'utente dopo un periodo di tempo
- Recentemente è stata aggiunta una funzionalità per reinserire la password una volta manipolati i ruoli e i privilegi dell'utente
- Funzionalità specifiche del GDPR:
- Diritto all'oblio: l'eliminazione del Contatto è una funzionalità tradizionale ma può disturbare la coerenza dei dati, i report, ecc. poiché esiste la possibilità che il Contatto sia collegato a progetti, attività, CRM e altre entità. Inoltre, corromperebbe i dati sulla profilazione del cliente. L'anonimizzazione del Contatto consentirebbe di eliminare i dati dal contatto che consentirebbero di identificare la persona, ma i dati anonimi sui servizi del cliente, le attività e altro rimarrebbero.
- Diritto di accesso: un pulsante specifico che esporta i dettagli del Contatto in un formato leggibile automatizzato (XML) soddisferà l'obbligo di fornire informazioni personali sui dati che si raccolgono.
- Limitazione della visibilità dei dati: è una richiesta critica del GDPR che chiede ai Data Controller di limitare l'accesso ai dati personali solo alle persone che ne hanno bisogno. Easy Redmine offre alcune soluzioni a questo problema:
- Limitazione dell'accesso ai contatti in generale.
- Limitazione dell'accesso ai Contatti solo per un tipo di Contatto specifico. Tipicamente, tutti possono accedere ai Contatti con il tipo Azienda (le aziende non sono soggette al GDPR) e limitare l'accesso ai Contatti con il tipo Personale solo a utenti selezionati. Quindi, l'utente senza autorizzazione può vedere che c'è un contatto collegato (vedere solo il nome) ma non può vedere altri dati che potrebbero consentire l'identificazione personale.
- Visibilità dei campi personalizzati: alcuni dati possono essere limitati a essere visti solo da
- a) Utente / lista di utenti
- b) Gruppo utente / lista di gruppi utente
- c) Tipo di utente / lista di tipi di utente
- Audit delle azioni dell'utente
- Easy Redmine fornisce registri completi sulle azioni dell'utente, compresa l'azione di visualizzazione.
- Ora Easy Redmine offre una funzionalità per gestire i registri al fine di soddisfare il processo interno.
- Limitazione della visibilità dei dati: è una richiesta critica del GDPR che chiede ai Data Controller di limitare l'accesso ai dati personali solo alle persone che ne hanno bisogno.
Come diventare conformi al GDPR passo dopo passo
- Identificare quali dati personali si raccolgono in Easy Redmine.
- Stabilire una regolamentazione interna che tutti i dati personali devono essere inseriti nei campi personalizzati, non nei campi nativi di Easy Redmine. Ma l'approccio consigliato è di decidere che tutti i dati personali devono essere archiviati solo sui Contatti.
- Se si desidera utilizzare l'anonimizzazione, il diritto all'oblio, si deve stabilire una regolamentazione che tutti i dati personali devono essere sui Contatti.
- Identificare quali dati sono soggetti a cancellazione per l'anonimizzazione: è possibile farlo nelle impostazioni dei campi personalizzati del Contatto.
- Decidere quali utenti di Easy Redmine hanno bisogno di accedere ai Contatti e limitare l'accesso per tipo di Contatto.
- Se tutti gli utenti devono accedere a tutti i contatti, ma alcuni devono vedere solo un insieme limitato di dati, impostare la visibilità dei campi personalizzati.
- Identificare quali campi personalizzati al di fuori dei Contatti devono essere protetti e impostare la visibilità dei dati di conseguenza.
- Aumentare l'applicazione della politica di password di Easy Redmine.
- Diritto all'oblio:
- Si consiglia di definire un modello di progetto che formalizzi tutti i passaggi per eliminare i dati personali da tutti i sistemi in modo dettagliato. Una volta ricevuta una richiesta, è possibile documentare semplicemente che tutti i passaggi sono stati eseguiti secondo il processo interno.
- Creare una regolamentazione per quanto tempo è necessario conservare i dati di audit delle azioni dell'utente (registri) e configurare di conseguenza in Easy Redmine.
4. Easy Redmine in cloud
Easy Software fornisce Easy Redmine come servizio in cloud. Per i clienti cloud, Easy Software agisce come Data Processor. Come Data Processor, soddisfiamo i requisiti del GDPR grazie a quanto segue:
- Easy Software ha implementato misure tecniche e di processo per limitare il potenziale accesso ai dati solo in casi eccezionali e richiesti.
- Se sei un'organizzazione dell'UE, è garantito che la tua istanza di Easy Redmine (e quindi i dati e i loro backup nei siti di ripristino di emergenza) siano archiviati nell'UE.
- Easy Software utilizza solo Data Center verificati con sicurezza di alto livello e tutte le certificazioni ISO pertinenti. I dettagli possono essere forniti su richiesta.
- Sono utilizzati backup regolari, https per i browser, crittografia SSH-2 per il trasferimento di backup. Il firewall limitato a HTTPS e altre impostazioni regolari soddisfano i requisiti del GDPR. Puoi saperne di più sui cloud qui.
- La sicurezza può essere ulteriormente aumentata con il servizio Private Cloud dove la sicurezza individuale può essere estesa da una configurazione individuale del server dedicato (HW).
- Easy Software Ltd. è una società britannica ma il regolamento GDPR è stato implementato in tutti gli aspetti dell'organizzazione e per tutti i prodotti e servizi.
5. Facile Software e i tuoi dati personali
Facile Software è un produttore di piattaforme di gestione progetti. Facile Software è un'organizzazione commerciale business-to-business. Ciò significa che tutti i dati raccolti servono a supportare l'attività commerciale e i servizi di Facile Software per le organizzazioni.
In conformità al regolamento GDPR, vengono raccolti anche dati personali di individui e questi sono considerati dati sotto la protezione del GDPR.
5.1. Dati personali raccolti
- Nome e cognome
- Telefono
- Azienda
- Posizione presso l'azienda
- Formazione e certificazioni ottenute per i prodotti di Facile Software
- Cronologia relativa alla visita delle pagine dei prodotti di Facile Software.
- Indirizzo IP
5.2. Scopo della raccolta, elaborazione e profilazione dei dati
Facile Software raccoglie dati per i seguenti scopi:
- Creare una collaborazione commerciale con le organizzazioni. E a tale scopo, Facile Software può raccogliere dati sui contatti di tali organizzazioni.
- Fornire servizi ai clienti esistenti (organizzazioni) e a tale scopo Facile Software può raccogliere dati sui contatti di tali organizzazioni.
- Informare i clienti e i potenziali clienti sulle nuove funzionalità, le versioni e altri messaggi di carattere informativo e di marketing.
Raccolta:
- Tutte le informazioni raccolte sugli individui sono raccolte tramite moduli di contatto.
- Facile Software non possiede o utilizza dati sugli individui provenienti da fonti esterne.
Combinazione e profilazione dei dati:
- Facile Software non profila alcun individuo, tutti i dati raccolti servono solo come informazioni di contatto all'interno di un'organizzazione.
- Facile Software profila le organizzazioni per scopi di marketing e commerciali. Non soggette a queste analisi.
- Facile Software combina tutti i dati nel proprio sistema informativo (Easy Redmine) su Entity Contact o Entity CRM. Qualsiasi altro sistema utilizza solo frammenti di dati e quindi non sono considerati dati ai sensi del GDPR.
