Easy Software tar personvern på alvor. Den europeiske reguleringen kjent som General Data Protection Regulation (GDPR) bringer med seg en rekke utfordringer for alle organisasjoner og har blitt et av de mest omtalte forretningsområdene.
Vårt mål er å tilby Easy Redmine-kunder og i prinsippet hele prosjektsamfunnet en pålitelig programvare som gjør det mulig å oppfylle alle plikter som databehandlere effektivt.
Dette dokumentet skal gi svar på følgende spørsmål:
- Jeg er en databehandler, hvordan kan jeg bli GDPR-kompatibel med Easy Redmine?
- Jeg bruker Easy Redmine i skyen, er denne tjenesten i samsvar med GDPR?
- Jeg trenger å vite om Easy Software har alle sikkerhetsprosesser på plass.
1. Terminologi
Easy Software er en produsent av Easy Redmine.
Datakontroller - enheten som bestemmer formålene, betingelsene og midlene for behandlingen av personopplysninger. I dette dokumentet er det din organisasjon.
Databehandler - enheten som behandler data på vegne av datakontrolleren; i dette dokumentet:
- Skyklienter av Easy Redmine: Easy Software er databehandleren og dataene behandles i våre skytjenester basert på reglene du, databehandleren, har satt opp i din Easy Redmine-skyapplikasjon.
- Brukere av Easy Redmine på egen server: Easy Software er ikke en databehandler. Men Easy Redmine vil hjelpe deg med å organisere dataene dine på riktig måte.
Easy Redmine er en applikasjon som kan brukes til å behandle data av datakontrolleren.
2. Innledning
Easy Software, som produsent av Easy Redmine, introduserer oppdateringer av Easy Redmine for å hjelpe datakontrollører med å oppfylle sine plikter i henhold til GDPR-reguleringen.
Samtidig gir dette dokumentet informasjon om Easy Software som databehandler for våre skyklienter.
Easy Software erklærer også at innen ikrafttredelsesdatoen for GDPR vil alle prosesser, kontrakter, leverandører, dataaksess og andre forhold være fullt i samsvar med GDPR-kravene.
3. Easy Redmine for alle databehandlere
Følgende beskrivelse og funksjoner vil bli implementert/oppdatert innen utgangen av april 2018.
Easy Redmine bringer følgende funksjoner for å øke datasikkerheten og oppfylle spesifikke krav i GDPR for databehandlere.
- Utvidet passordpolicyhåndhevelse
- Definisjon for bruk av minimum lengde, bruk av store bokstaver, tall og spesialtegn i passordet
- Tidsbegrensning for passordets gyldighet og kontroll av passordgjentakelse
- Automatisk utlogging av bruker etter en periode med inaktivitet
- Nylig lagt til en funksjon for å skrive inn passordet på nytt når man endrer brukerroller og rettigheter
- GDPR-spesifikke funksjoner:
- Rett til å bli glemt: Sletting av kontakten er en tradisjonell funksjon, men det kan forstyrre datakonsistensen, rapporter osv. da det er mulighet for at kontakten er knyttet til prosjekter, oppgaver, CRM og andre enheter. I tillegg vil det ødelegge data om kundeprofileringen din. Kontakten vil bli anonymisert, noe som betyr at dataene som identifiserer personen blir slettet, men anonyme data om klientens tjenester, oppgaver og annet vil bli bevart.
- Rett til å få tilgang: En spesifikk knapp som eksporterer kontaktdetaljer i et automatisert leselig format (XML) vil oppfylle din forpliktelse til å gi personlig informasjon om hvilke data du samler inn.
- Begrenset synlighet av data - det er et kritisk krav i GDPR som krever at databehandlere begrenser tilgangen til personopplysninger kun til de personene som trenger det. Easy Redmine tilbyr flere tilnærminger til dette problemet:
- Begrensning av tilgang til kontakter generelt.
- Begrensning av tilgang til kontakter kun for spesifikke kontakttyper. Typisk kan alle få tilgang til kontakter av typen Selskap (selskaper er ikke underlagt GDPR), mens tilgangen til kontakter av typen Personlig kan begrenses til utvalgte brukere. En bruker uten tillatelse kan se at det er en kontakt knyttet (se navnet alene), men kan ikke se noen andre data som kan identifisere personen.
- Synlighet for tilpassede felt - visse data kan begrenses slik at de kun kan sees av:
- a) Bruker / liste over brukere
- b) Brukergruppe / liste over brukergrupper
- c) Brukertype / liste over brukertyper
- Loggføring av brukerhandlinger
- Easy Redmine gir fullstendige logger om brukerhandlinger, inkludert visningshandlinger.
- Nå har Easy Redmine en funksjon for å administrere loggene for å oppfylle dine interne prosesser.
- Begrenset synlighet av data - det er et kritisk krav i GDPR som krever at databehandlere begrenser tilgangen til personopplysninger kun til de.
Hvordan bli GDPR-etterlevende trinn for trinn
- Identifiser hvilke personopplysninger du samler inn i Easy Redmine.
- Lag interne regler om at all personlig informasjon må fylles ut i tilpassede felt, ikke i standardfeltene til Easy Redmine. Men anbefalt tilnærming er å bestemme at all personlig informasjon må lagres på kontakter.
- Hvis du ønsker å bruke anonymisering eller retten til å bli glemt, må du ha regler om at all personlig informasjon må være på kontakter.
- Identifiser hvilke data som kan slettes for anonymisering - dette kan gjøres i innstillingene for tilpassede felt for kontakter.
- Bestem hvilke brukere av Easy Redmine som trenger tilgang til kontakter, og begrens tilgangen etter kontakttype.
- Hvis du trenger at alle brukere skal ha tilgang til alle kontakter, men noen bare skal se begrenset datamengde, kan du bare angi synlighet for tilpassede felt.
- Identifiser hvilke tilpassede felt utenfor kontakter som trenger beskyttelse, og sett synlighet for dataene deretter.
- Øk håndhevelsen av passordpolicyen i Easy Redmine.
- Rett til å bli glemt:
- Vi anbefaler å definere en prosjektsmal som formaliserer alle trinnene for å slette personopplysninger fra alle systemer i stor detalj. Når en forespørsel kommer, kan du enkelt dokumentere at alle trinnene ble utført i samsvar med dine interne prosesser.
- Lag regler for hvor lenge du trenger å beholde dataene for loggføring av brukerhandlinger (logger), og konfigurer dette i Easy Redmine.
4. Easy Redmine i skyen
Easy Software tilbyr Easy Redmine som en tjeneste i skyen. For skykunder fungerer Easy Software som databehandler. Som databehandler oppfyller vi GDPR-kravene takket være følgende:
- Easy Software har implementert tekniske og prosessmessige tiltak for å begrense potensiell tilgang til data kun til unntak og på forespurte anledninger.
- Hvis du er en EU-organisasjon, er det garantert at Easy Redmine-instansen din (og dermed dataene og sikkerhetskopiene deres på katastrofeområder) lagres innenfor EU.
- Easy Software bruker kun verifiserte datasentre med høy sikkerhet og alle relevante ISO-sertifiseringer. Detaljer kan gis på forespørsel.
- Regelmessige sikkerhetskopier, HTTPS for nettlesere, SSH-2-kryptering brukes for sikkerhetskopioverføringen. Brannmuren er begrenset til HTTPS og andre vanlige innstillinger som oppfyller GDPR-kravene. Du kan lære mer om skyer her.
- Sikkerheten kan ytterligere økes med Privat sky-tjenesten der individuell sikkerhet kan utvides ved en individuell konfigurasjon av dedikert server (HW).
- Easy Software Ltd. er et britisk selskap, men GDPR-reguleringen er implementert i alle aspekter av organisasjonen og for alle produkter og tjenester.
5. Enkel programvare og dine personlige data
Enkel programvare er en produsent av prosjektstyringsplattform. Enkel programvare er en bedrift til bedriftsorganisasjon. Det betyr at all data som samles inn, brukes til å støtte Enkel programvares forretningsvirksomhet og tjenester for organisasjoner.
I henhold til GDPR-reguleringen samles det også inn data om enkeltpersoner, og disse betraktes som data under beskyttelse av GDPR.
5.1. Innsamling av personlige data
- Navn og etternavn
- Telefon
- E-post
- Bedrift
- Stilling i bedriften
- Gjennomførte opplæringer og sertifiseringer for produkter fra Enkel programvare
- Historikk knyttet til besøk på Enkel programvares produktsider.
- IP-adresse
5.2. Formål med datainnsamling, -behandling og -profiler
Enkel programvare samler inn data for følgende formål:
- Opprette et kommersielt samarbeid med organisasjoner. For dette formålet kan Enkel programvare samle inn data om kontaktpersoner i slike organisasjoner.
- Tilby tjenester til eksisterende kunder (organisasjon), og for dette formålet kan Enkel programvare samle inn data om kontaktpersoner i slike organisasjoner.
- Informere kunder og potensielle kunder om nye funksjoner, utgivelser og andre meldinger av både informasjons- og markedsføringskarakter.
Innsamling:
- All informasjon som samles inn om enkeltpersoner, samles gjennom kontaktskjemaer.
- Enkel programvare har ikke tilgang til eller bruker data om enkeltpersoner fra eksterne kilder.
Datakombinasjon og profilering:
- Enkel programvare profilerer ikke enkeltpersoner, all data som samles inn, brukes bare som kontaktopplysninger innenfor en organisasjon.
- Enkel programvare profilerer organisasjoner for markedsførings- og forretningsformål. Enkeltpersoner er ikke gjenstand for disse analysene.
- Enkel programvare kombinerer all data i sitt eget informasjonssystem (Easy Redmine) på Entity Contact eller Entity CRM. Andre systemer bruker bare datafragmenter og betraktes derfor ikke som data under GDPR.
