CDESK 3.x zawiera narzędzia i funkcjonalności, które znacząco pomagają w rozwiązywaniu problematyki GDPR.
Funkcje CDESK-u, które pomogą Ci z GDPR
Przetwarzanie danych osobowych w każdym ze sposobów wykorzystania CDESK-u podlega odpowiedniej podstawie prawnej. CDESK jest zaprojektowany przede wszystkim do realizacji usług umownych lub zleceń oraz związanej z nimi działalności handlowej. Dane w nim można wykorzystać nie tylko w marketingu, ale także do prowadzenia samej agendy GDPR. Przykładem jest ewidencja realizacji praw osób, których dane dotyczą w ramach funkcjonalności helpdesk lub przygotowywane zarządzanie zgodami.
CDESK 3.0 – przegląd funkcji, które przyczyniają się do spełnienia GDPR:
- Zarządzanie dostępem do danych w szczegółowej strukturze.
- Moduł audytowy, logujący aktywność użytkowników, jako prewencja wobec wycieku danych (w przypadku, gdy do wycieku dojdzie, można określić jego zakres).
- Ustrukturyzowane wykazy danych o osobie, której dane dotyczą (w powiązaniu z kontaktem), z wyszukiwaniem pełnotekstowym w całym systemie.
- Eksport danych w ustrukturyzowanej postaci dla zapewnienia przenoszalności danych.
- Rozszerzone regulowanie informacji wysyłanych z CDESK-u (blokowanie powiadomień różnego rodzaju), aby można było uwzględnić sprzeciw wobec zakresu wysyłanych maili.
- Stosowanie wyłącznie szyfrowanych transmisji do/z CDESK-u.
- Opcjonalne zablokowanie dostępu do poszczególnych modułów, w których znajdują się dane osobowe (np. Adresár, Wnioski).
Przygotowywane funkcje:
- Moduł do zarządzania zgodami, który możesz wykorzystać we współpracy z bazą kontaktów. Ewidencja zgód napływających z różnych źródeł może być trudna. Dlatego CDESK w krótkim czasie wprowadzi możliwość zapisania zgody w prosty sposób, ewidencjonowania udzielonego zakresu zgody i wykorzystania jej do zestawiania odbiorców kampanii czy innych działań. Nie będziesz mieć też problemu z udowodnieniem zgody lub przetworzeniem jej odwołania.
- Opcjonalna rotacja haseł.
- Opcjonalna podwójna autoryzacja przy wejściu do systemu.
- Archiwum usuniętych danych, z konfigurowalną retencją i możliwym natychmiastowym trwałym usunięciem (dla wykonalności „prawa do bycia zapomnianym”).
- W zależności od celu, w jakim wykorzystujesz CDESK, będzie można uzupełnić komunikaty dotyczące spełnienia obowiązku informacyjnego o przetwarzaniu danych osobowych (zazwyczaj ich nie potrzebujesz, ponieważ są to zwykle dane przetwarzane w celu realizacji umowy/zlecenia i będziesz o nich informować w odpowiednim dokumencie, np. w umowie czy w Oświadczeniu o ochronie danych osobowych).
- Środki do automatycznego usuwania (retencji) danych.
Będziemy na bieżąco reagować na sygnały z praktyki i jeśli okaże się potrzeba kolejnych funkcjonalności, rozważymy ich wdrożenie.
Odpowiedzialność i umowa powierzenia
Za ochronę danych osobowych odpowiada Administrator, czyli Ty. Wynika to z tego, że jeśli świadczysz usługi swoim klientom w swoim imieniu, jesteś z punktu widzenia ochrony danych osobowych Administratorem. Nasza firma, producent produktu CDESK, jest Twoim dostawcą, który przetwarza dane w Twoim imieniu. Dlatego z punktu widzenia terminologii GDPR jesteśmy Podmiotem przetwarzającym.
Co z tego wynika? Jeśli masz w CDESK-u zapisane dane osobowe swoich klientów, zalecamy zawarcie z nami umowy powierzenia przetwarzania. Jej projekt mamy dla Ciebie przygotowany.
CDESK a Twój projekt GDPR
CDESK przy zwykłym użyciu zawiera dane osobowe, czyli informacje, na podstawie których można jednoznacznie zidentyfikować osobę fizyczną. Chodzi na przykład o imię, nazwisko, adres, dane kontaktowe (e-mail, telefon), adres IP, ewentualnie inne. Jeśli CDESK jest używany jako helpdesk, do którego mogą wprowadzać dane także Twoi klienci, oznacza to dalsze wprowadzanie danych osobowych. Wszystkie te informacje mogą mieć poważny wpływ społeczny na osobę, której dane dotyczą.
Dlatego zalecamy rozważenie włączenia CDESK-u do Twojego projektu GDPR:
- Opisać zakres przetwarzanych danych osobowych.
- Opisać, które dane przetwarzasz ręcznie, a które automatycznie.
- Rozważyć, czy wszystkie dane są potrzebne i czy są adekwatne do celu (tzw. „minimalizacja zakresu przetwarzanych danych”).
- Określić podstawę prawną przetwarzania (do realizacji umowy, uzasadniony interes, wymagana zgoda osoby, której dane dotyczą, przetwarzanie ustawowe itd.).
- Określić osoby upoważnione, tj. pracowników, którzy mają dostęp do danych.
- Przeszkolić osoby upoważnione i pisemnie udokumentować przeniesienie odpowiedzialności (pouczenie).
- Rozważyć, kto potrzebuje dostępu do aktualnego zakresu danych (tzw. „minimalizacja dostępu”).
- Określić czas potrzebny do przechowywania danych – określenie czasu retencji (usunięcia).
- Prawnie uregulować przejęcie odpowiedzialności z dostawcą i podmiotem świadczącym wsparcie, który przetwarza dane osobowe w Twoim imieniu. W przypadku CDESK-u chodzi o wspomnianą wyżej umowę powierzenia przetwarzania z naszą firmą.
- Jeśli świadczysz usługi za pośrednictwem CDESK-u dla klientów, zalecamy rozszerzenie Twoich umów i formularzy zleceń o zgodę na przetwarzanie danych, która obejmie także CDESK (może to być część Twojego „Oświadczenia o ochronie DO”).
- Opisać, jak dane są chronione od strony technicznej (zwłaszcza jeśli świadczysz rozwiązania typu „on premises”).
- Przygotować procedurę realizacji praw osób, których dane dotyczą.
Bonus: Wskazówka dotycząca wykorzystania CDESK-u do obsługi żądań osób, których dane dotyczą
CDESK możesz efektywnie wykorzystać do obsługi żądań dotyczących praw osób, których dane dotyczą. Mogą one zostać dostarczone na Twój e-mail lub uzyskane przez import z formularza, który masz na swojej stronie. Z punktu widzenia przestrzegania przepisów GDPR krytycznie ważne jest dotrzymywanie limitów czasowych i właśnie w tym CDESK, dzięki systemowi ticketowemu, pomoże Ci przy obsłudze żądań. Zalecamy Ci:
- wprowadzić do CDESK-u nowy obszar usługi (ewentualnie typ wniosku)
- ustawić dla tego obszaru/wniosku SLA
- określić domyślnego rozwiązującego
- zapewnić skierowanie e-maila do CDESK-u i ustawić nową regułę przetwarzania wiadomości e-mail.
Dla uproszczenia zalecamy przetwarzanie tej agendy pod jedną doraźnie utworzoną firmą, np. o nazwie „Żądania GDPR”. Podział na poszczególne kontakty będzie efektywny dopiero w przypadku znacznego rozrostu agendy.
Prosto i niezawodnie.
Kompatybilność starszej wersji CDESK 2.9 z GDPR
Obecnie (maj 2018) wspieramy dwie wersje systemu CDESK: CDESK 2.9 i CDESK nowej generacji 3.x.
Przy starszej wersji 2.9 nie stosujemy już nowych środków dla GDPR, mimo to do przetwarzania danych osobowych o niskiej wrażliwości nadal jest użyteczna. Chodzi na przykład o dane osobowe przetwarzane na podstawie realizacji umowy z osobą, której dane dotyczą (§ 13 ust. 1 lit. b) ustawy nr 18/2018 Z.z.).
Jeśli system CDESK wykorzystujesz także do prowadzenia danych, które wymagają zgody osoby, której dane dotyczą (§ 13 ust. 1 lit. a) ustawy nr 18/2018 Z.z.), na przykład baza klientów do dalszego przetwarzania, potrzebujesz większej kontroli nad danymi osobowymi i zalecamy przejście na CDESK 3.0 – technologicznie nowszy produkt, umożliwiający w odniesieniu do GDPR realizację pełnowartościowych środków.