Znalostní báze

25. května 2018 označuje začátek uplatňování Obecného nařízení o ochraně osobních údajů Evropské unie.

Tato nová legislativa významně zasáhla každého, jehož činnost zahrnuje nakládání s osobními údaji obyvatel EU nebo s osobními údaji v rámci EU. Osobní údaje jsou samozřejmě jádrem práce v prodeji, takže Pipedrive i naši uživatelé byli zaneprázdněni zajišťováním souladu s nařízením.

Tento článek poskytuje přehled rolí a povinností týkajících se údajů v případě, že jste si vybrali Pipedrive jako svou CRM platformu, a vysvětlí, jak se Pipedrive snaží naplnit hodnoty a požadavky GDPR.

Pipedrive jako zpracovatel údajů

Osoby, které v Pipedrive uchováváte jako kontakty, jsou vaše subjekty údajů a vy jste považováni za správce těchto osobních údajů. V našich Podmínkách služby a Prohlášení o ochraně osobních údajů tyto údaje označujeme jako klientská data (údaje, které zpracováváte v rámci Pipedrive).

Používáním aplikace Pipedrive k řízení vašich zákazníků jste Pipedrive pověřili jako zpracovatele údajů, aby za vás prováděl určité činnosti zpracování.

Podle článku 28 nařízení GDPR musí být vztah mezi správcem a zpracovatelem upraven písemně (elektronická forma je rovněž přípustná podle odstavce (9) téhož článku).

Zde přichází na řadu náš Dodatek o zpracování údajů (DPA), Podmínky služby a Prohlášení o ochraně osobních údajů. Tyto tři dokumenty slouží jako vaše smlouva o zpracování údajů, určují pokyny, které Pipedrive k zpracování osobních údajů, jimiž disponujete, poskytujete, a vymezují práva a povinnosti obou stran. Pipedrive jako zpracovatel údajů bude zpracovávat vaše klientská data pouze na základě vašich pokynů jakožto správce údajů.

Nakonec je důležité zkontrolovat oddíl 14.1 v našich Podmínkách služby, abyste zjistili, která entita Pipedrive je vaším smluvním partnerem.

Všichni zákazníci z EU mají smluvní vztah s naší evropskou entitou se sídlem v Estonsku.

Přenosy dat

Jedním z témat, které se u zákazníků často objevuje, jsou přenosy dat mimo EHP (EEA).

GDPR (Obecné nařízení o ochraně osobních údajů) stanoví přísné požadavky na přenos dat mimo jeho oblast působnosti. To je zcela přirozené – jinak by zákon nemohl naplnit svůj účel.

Kdo je odpovědný za splnění těchto požadavků na přenos dat? Protože naši zákazníci v EU mají právní vztah s naší evropskou entitou, tento přenos dat zůstává v rámci EHP. Pokud však Pipedrive následně zapojí subdodavatele zpracovávající data mimo EHP, je naší povinností zajistit, že data budou přenášena zákonně.

Na naší stránce subdodavatelů udržíme aktuální seznam subdodavatelů, abychom zajistili plnou transparentnost těchto přenosů. Tento seznam rovněž vysvětlí, o jaká data jde a jak jsme zajistili, že jsou data dostatečně chráněna i poté, co opustí EHP.

Děláme to tak, že zajistíme, aby naši poskytovatelé třetích stran byli buď certifikováni v rámci rámce EU–USA pro ochranu soukromí (EU‑US Data Privacy Framework), nebo s námi podepsali standardní smluvní doložky Evropské komise pro přenosy dat. Je však důležité poznamenat, že se na DPF nespoléháme jako na mechanismus pro přenos dat.

Při přenosu dat mezi regiony nebo zeměmi dodržujeme platné zákony a předpisy týkající se ochrany osobních údajů, včetně zavádění vhodných záruk, jako je šifrování dat a smluvní ujednání (DPA, SCC tam, kde je to použitelné), aby byla zajištěna shoda s předpisy a ochrana soukromí dat našich klientů.

Pipedrive jako správce osobních údajů

Kromě toho Pipedrive vystupuje jako správce osobních údajů, které o vás shromažďujeme, pokud jste uživatelem naší webové aplikace, mobilních aplikací a webových stránek.

Především zpracováváme údaje, které jsou nezbytné pro plnění naší smlouvy s vámi (čl. 6 odst. 1 písm. b) GDPR).

Za druhé zpracováváme údaje, abychom splnili naše zákonné povinnosti (čl. 6 odst. 1 písm. c) GDPR). To se týká především finančních údajů a informací, které potřebujeme k plnění našich povinností vyplývajících z GDPR.

Za třetí zpracováváme vaše osobní údaje pro naše oprávněné zájmy v souladu s čl. 6 odst. 1 písm. f) GDPR.

Co se rozumí těmito „oprávněnými zájmy“, o kterých mluvíme?

• Vylepšování aplikace, aby vám pomohla dosáhnout nových úrovní produktivity
• Zajištění bezpečnosti vašich údajů a systémů Pipedrive
• Zodpovědný marketing našeho produktu a jeho funkcí

Doufáme, že vám to pomůže lépe se orientovat v požadavcích EU týkajících se ochrany osobních údajů.

Co Pipedrive dělá, aby vyhověl požadavkům GDPR?

Jako společnost s kořeny v Evropě má Pipedrive dobrou pozici pro pochopení důsledků obecného nařízení EU o ochraně osobních údajů (GDPR) pro firmy.

Respektujeme potřebu soukromí uživatelů Pipedrive i jejich zákazníků a proto jsme zavedli – a budeme i nadále zlepšovat – technická a organizační opatření v souladu s GDPR za účelem ochrany osobních údajů zpracovávaných společností Pipedrive.

Interní procesy, bezpečnost a přenosy dat

Významná část souladu s GDPR spočívá v zajištění, že jsou zavedeny postupy a že jsou procesy práce s údaji zdokumentované a auditovatelné. Proto jsme do našeho cyklu vývoje aplikací začlenili prvky, které umožňují vytvářet funkce v souladu se zásadami Privacy by Design a Security by Design.

Jakýkoli přístup k údajům klienta, které zpracováváme vaším jménem, je přísně omezen. Naše interní postupy a záznamy zajišťují, že v tomto ohledu splňujeme požadavky GDPR týkající se odpovědnosti.

Zavedli jsme proces pro začleňování poskytovatelů služeb třetích stran a přijímání nástrojů, které zajišťují, že tito třetí poskytovatelé splňují vysoká očekávání, která ohledně soukromí a bezpečnosti mají Pipedrive a jeho zákazníci.

Připravenost vyhovět žádostem subjektů údajů o přístup

Právo subjektů údajů na jejich osobní údaje je jádrem GDPR. Proto jsme připraveni reagovat na žádosti subjektů údajů o vymazání, úpravu nebo přenos jejich údajů.

To znamená, že naši specialisté zákaznické podpory a inženýři, kteří jim pomáhají, jsou dobře připraveni vám pomoci ve všech záležitostech týkajících se vašich osobních údajů, a to vedle poskytování skvělé zákaznické podpory, na kterou jste zvyklí.

Dokumentace

Naše Podmínky služby a Zásady ochrany osobních údajů jsou pravidelně aktualizovány, aby zvýšily transparentnost a zajistily soulad s požadavky GDPR.

Jelikož tyto dokumenty tvoří základ našeho vztahu s vámi, musíme poskytnout komplexní a transparentní vysvětlení našich závazků a vašich práv.

Navíc neustále mapujeme všechny naše činnosti zpracování osobních údajů, abychom zajistili splnění požadavků na odpovědnost podle GDPR.

Školení

Vše výše uvedené je podporováno rozsáhlými školícími aktivitami ve společnosti, které zajišťují dodržování procesů v souladu s GDPR, které jsme zavedli.

Naši zaměstnanci absolvují pravidelná školení a osvětové programy o ochraně soukromí a bezpečnosti, aby byli obeznámeni s osvědčenými postupy, současnými hrozbami a s tím, jak chránit osobní údaje. Například školení o ochraně osobních údajů a bezpečnosti jsou nedílnou součástí našeho procesu nástupu do zaměstnání a každé oddělení dostává školení přizpůsobené jeho práci s osobními údaji.

Pipedrive je pevně přesvědčen, že splnění požadavků GDPR je mnohem víc než pouhé odškrtávání položek na seznamu. Pro nás GDPR představuje závazek respektovat soukromí jednotlivců a převzít odpovědnost za zacházení s osobními údaji.