Easy Software traktuje ochronę danych osobowych bardzo poważnie. Europejskie przepisy znane jako Ogólne Rozporządzenie o Ochronie Danych (RODO) stawiają przed wszystkimi organizacjami wiele wyzwań i stały się jednym z najbardziej dyskutowanych tematów biznesowych.
Nasza misja polega na zapewnieniu klientom Easy Redmine oraz całej społeczności projektowej niezawodnego oprogramowania, które pozwala na skuteczne wypełnianie wszystkich obowiązków przetwarzania danych.
Niniejszy dokument ma na celu udzielenie odpowiedzi na następujące pytania:
- Jak mogę jako Przetwarzający Dane osiągnąć zgodność z RODO przy użyciu Easy Redmine?
- Czy usługa Easy Redmine Cloud jest zgodna z RODO?
- Potrzebuję wiedzieć, czy Easy Software posiada wszystkie niezbędne procesy zabezpieczeń.
1. Terminologia
Easy Software jest producentem Easy Redmine.
Administrator Danych - podmiot, który określa cele, warunki i sposoby przetwarzania danych osobowych. W tym dokumencie jest to Twoja organizacja.
Przetwarzający Dane - podmiot przetwarzający dane w imieniu Administratora Danych; w tym dokumencie:
- Klienci chmury Easy Redmine: Easy Software jest Przetwarzającym Danymi, a dane są przetwarzane w naszych usługach chmurowych na podstawie zasad ustalonych przez Ciebie, Przetwarzającego Dane, w Twojej aplikacji Easy Redmine Cloud.
- Użytkownicy własnych serwerów Easy Redmine: Easy Software nie jest Przetwarzającym Danymi. Jednak Easy Redmine pomoże Ci w odpowiednim zorganizowaniu Twoich danych.
Easy Redmine to aplikacja, która może lub nie może być używana do przetwarzania danych przez Administratora Danych.
2. Wprowadzenie
Easy Software jako producent Easy Redmine wprowadza aktualizacje Easy Redmine, aby pomóc Administratorom Danych w wypełnianiu ich obowiązków wynikających z przepisów RODO.
Jednocześnie dla naszych klientów chmurowych ten dokument zawiera informacje o Easy Software jako Przetwarzającym Danymi.
Ponadto, Easy Software deklaruje, że w dniu wejścia w życie RODO wszystkie procesy, umowy, dostawcy, dostęp do danych i inne będą w pełni zgodne z wymaganiami RODO.
3. Easy Redmine for all Data Controllers
Following description and features will be deployed/updated until the end of April 2018.
Easy Redmine brings following features to increase data security and specific demand of GDPR to Data Controllers.
- Extended Password policy enforcement
- Definition to use minimum length, usage of big letters, numbers and special characters in the password
- Time limit for password validity and password repetition control
- Auto sign-off user after a period of time
- Recently added a feature to re-enter your password once manipulating with user roles and privileges
- GDPR specific features:
- Right to be Forgotten: Deleting the Contact is a traditional feature but it may disturb data consistency, reports etc. as there is a possibility to have Contact linked to projects, Tasks, CRM and other entities. Also, it would corrupt data about your customer profiling. Contact Anonymization would allow deleting data from contact which would allow identifying the person, but anonymous data about client’s services, task and other will stay.
- Right to Access: A specific button which would export Contact details in automated readable format (XML) would fulfill your obligation to provide personal information what data you collect.
- Limited data visibility – it is a critical requirement of GDPR asking Data Controllers to limit access to personal data only to those people they need to have access. Easy Redmine brings couple approaches to this problem:
- A limitation to access contacts in general.
- A limitation to access Contacts only for specific Contact type. Typically, everyone can access Contacts with type Company (companies are not subject to GDPR) and limit access to Contacts with type Personal only to selected users. So the user without the permission may see that there is a contact linked (see the name alone) but cannot see any other data which may allow the personal identification.
- Custom filed visibility – certain data can be restricted to be seen only by
- a) User / list of users
- b) User group / list of user groups
- c) User type / list of user types
- User action audits
- Easy Redmine provides complete logs about user actions including View action.
- Now Easy Redmine brings a feature to manage the logs in order to fulfill your internal process.
- Limited data visibility – it is a critical requirement of GDPR asking Data Controllers to limit access to personal data only to those.
How to become GDPR compliant step by step
- Identify what Personal Data you collect in Easy Redmine.
- Make internal regulation that all personal data needs to be filled in Custom fields, not native fields of Easy Redmine. But recommended approach is to make a decision that all personal data has to be stored on Contacts only.
- If you like to use Anonymization, Right to Forget you shall have a regulation that all personal data has to be on Contacts.
- Identify what data are subject to erasure for Anonymization – you can do it in Contact’s custom filed settings.
- Decide what users of Easy Redmine need access to Contacts and limit access by Contact type.
- If you need all users to access all contact, but some shall see limited data set, just set the custom field visibility.
- Identify what custom fields outside Contacts needs to be protected and set data visibility accordingly.
- Increase password policy enforcement of Easy Redmine.
- Right to forgot:
- We recommend defining a Project Template which would formalize all steps to delete personal data from all systems in great details. Once a request comes you can simply document that all steps were done according to your internal process.
- Create regulation for how long you need to keep user action audit data (logs) and configure accordingly in Easy Redmine.
4. Easy Redmine in cloud
Easy Software provides Easy Redmine as a service in the cloud. For cloud clients, Easy Software acts as Data Processor. As a Data Processor we fulfill GDPR requirements thanks to following:
- Easy Software implemented technical and process measures to limit potential access to data only to an exception and requested occasions.
- If you are an EU organization, it is guaranteed that your Easy Redmine instance (and so data and their backups at disaster recovery sites) are stored within the EU.
- Easy Software uses only verified Data Centers with high-end security and all relevant ISO certifications. Details can be provided upon request.
- Regular backups, https for browsers, SSH-2 encryption is used for the backup transfer. Firewall limited to HTTPS and other regular settings are meeting GDPR requirements. You may learn more about clouds here.
- Security can be further increased with Private Cloud service where individual security can be extended by an individual configuration of the dedicated server (HW).
- Easy Software Ltd. Is a UK company but the GDPR regulation was implemented in all aspects of an organization and for all products and services.
5. Łatwe Oprogramowanie i Twoje dane osobowe
Łatwe Oprogramowanie jest producentem platformy zarządzania projektami. Łatwe Oprogramowanie jest organizacją handlową typu B2B. Oznacza to, że wszystkie zebrane dane służą do wsparcia działalności i usług Łatwego Oprogramowania dla organizacji.
Zgodnie z przepisami RODO, zebrane są również dane osobowe, które są uważane za dane objęte ochroną RODO.
5.1. Zebrane dane osobowe
- Imię i nazwisko
- Telefon
- Adres e-mail
- Firma
- Pozycja w firmie
- Ukończone szkolenia i certyfikaty uzyskane dla produktów Łatwego Oprogramowania
- Historia związana z odwiedzaniem stron produktów Łatwego Oprogramowania.
- Adres IP
5.2. Cel zbierania, przetwarzania i profilowania danych
Łatwe Oprogramowanie zbiera dane w celu:
- Ustanowienia współpracy handlowej z organizacjami. W tym celu Łatwe Oprogramowanie może zbierać dane o osobach kontaktowych w takich organizacjach.
- Świadczenia usług dla istniejących klientów (organizacji) i w tym celu Łatwe Oprogramowanie może zbierać dane o osobach kontaktowych w takich organizacjach.
- Informowania klientów i potencjalnych klientów o nowych funkcjach, wydaniach i innych wiadomościach o charakterze informacyjnym i marketingowym.
Zbieranie:
- Wszystkie informacje zbierane o osobach są gromadzone za pośrednictwem formularzy kontaktowych.
- Łatwe Oprogramowanie nie posiada ani nie używa danych o osobach z zewnętrznych źródeł.
Kombinacja danych i profilowanie:
- Łatwe Oprogramowanie nie profiluje żadnych osób, wszystkie zebrane dane służą tylko jako informacje kontaktowe w ramach organizacji.
- Łatwe Oprogramowanie profiluje organizacje w celach marketingowych i biznesowych. Osoby nie są przedmiotem tych analiz.
- Łatwe Oprogramowanie łączy wszystkie dane w własnym systemie informacyjnym (Easy Redmine) na Kontakt jednostki lub CRM jednostki. Każdy inny system używa tylko fragmentów danych i dlatego nie są one uważane za dane objęte RODO.
