Kunnskapsbase

25. mai 2018 markerer starten på håndhevelsen av EUs generelle databeskyttelsesforordning. Denne nye lovgivningen har hatt betydelig innvirkning på alle som driver med behandling av personopplysninger om EU-borgere eller innenfor EU. Naturligvis er personopplysninger kjernen i arbeidet med salg, så Pipedrive og våre brukere har også vært opptatt av å sikre at vi er i samsvar.

Artikkelen gir en oversikt over datarelaterte roller og ansvar når du har valgt Pipedrive som din CRM-plattform, og vil forklare Pipedrives innsats for å leve opp til verdiene og kravene i GDPR.

---

Pipedrive som databehandler

Personene du lagrer i Pipedrive som kontakter er dine registrerte, og du anses som datakontroller for disse personopplysningene. I våre Vilkår for bruk og Personvernerklæring refererer vi til disse dataene som klientdata.

Å bruke Pipedrive-appen til å administrere kundene dine betyr at du har engasjert Pipedrive som databehandler for å utføre visse behandlingsaktiviteter på dine vegne.

I henhold til artikkel 28 i GDPR må forholdet mellom datakontroller og databehandler være skriftlig (elektronisk form er akseptabelt i henhold til underavsnitt (9) i samme artikkel).

Dette er hvor vårt Databehandlingsvedlegg (DPA), Vilkår for bruk og Personvernerklæring kommer inn. Disse tre dokumentene fungerer som din databehandlingskontrakt, som angir instruksjonene du gir til Pipedrive om behandling av de personopplysningene du kontrollerer og etablerer rettighetene og ansvaret til begge parter. Pipedrive vil kun behandle dine klientdata basert på dine instruksjoner som datakontroller.

Til slutt er det avgjørende å sjekke seksjon 14.1 i våre Vilkår for bruk for å se hvilken Pipedrive-enhet som er din kontraktspartner.

Alle EU-kunder har et kontraktsforhold med vår EU-enhet, basert i Estland.

---

Datatransfer

Et tema som ofte kommer opp med kunder er datatransfer utenfor EØS.

GDPR etablerer strenge krav for å flytte data utenfor sitt beskyttelsesområde. Dette er bare naturlig – ellers ville det vært umulig for loven å oppfylle sitt formål.

Hvem er ansvarlig for å oppfylle disse kravene for datatransfer? Siden våre EU-kunder har et juridisk forhold til vår EU-enhet, forblir denne datatransferen innen EØS. Imidlertid, hvis Pipedrive senere engasjerer underbehandlere utenfor EØS, er det vårt ansvar å sikre at vi overfører dataene lovlig.

Vi vil holde en oppdatert liste over underbehandlere på vår Underbehandlere side for å være helt transparente om disse overføringene. Denne listen vil også forklare hvilke data som er involvert og hvordan vi har sikret at dataene er tilstrekkelig beskyttet selv etter at de forlater EØS.

Vi gjør dette ved å sikre at våre tredjeparts tjenesteleverandører enten er sertifisert under EU-US Data Privacy Framework eller har signert EU-kommisjonens standard kontraktsvilkår for datatransfer med oss.

---

Pipedrive som databehandler

I tillegg fungerer Pipedrive som databehandler for de personopplysningene vi samler inn om deg, brukeren av vår nettapp, mobilapper og nettsted.

Først og fremst behandler vi data som er nødvendige for at vi skal kunne oppfylle vår kontrakt med deg (GDPR artikkel 6(1)(b)).

For det andre behandler vi data for å oppfylle våre forpliktelser etter loven (GDPR artikkel 6(1)(c)) – dette involverer primært finansielle data og informasjon som vi trenger for å oppfylle våre ansvarlighetsforpliktelser under GDPR.

For det tredje behandler vi dine personopplysninger for våre legitime interesser i samsvar med GDPR artikkel 6(1)(f).

Hva er disse “legitime interessene” vi snakker om?

• Forbedre appen for å hjelpe deg med å nå nye nivåer av produktivitet
• Sikre at dine data og Pipedrives systemer er trygge og sikre
• Ansvarlig markedsføring av vårt produkt og dets funksjoner
  

Forhåpentligvis hjelper dette deg med å navigere bedre i EUs krav til databeskyttelse. Hvis du har spørsmål angående det ovenstående, er du velkommen til å kontakte oss på [email protected], og vi vil gjøre vårt beste for å forklare ting videre.

---

Hva gjør Pipedrive for GDPR?

Som et selskap med røtter i Europa, er Pipedrive godt kjent med konsekvensene som EUs generelle databeskyttelsesforordning har for virksomheter.

Vi setter pris på personvernbehovene til Pipedrive-brukere så vel som deres kunder, og har derfor implementert – og vil fortsette å forbedre – tekniske og organisatoriske tiltak i samsvar med GDPR for å beskytte de personopplysningene som behandles av Pipedrive.

---

Interne prosesser, sikkerhet og datatransfer

En stor del av GDPR-overholdelse er å sikre at prosedyrer er på plass og databehandlingsprosesser er kartlagt og reviderbare. Derfor har vi lagt til elementer i vår applikasjonsutviklingssyklus for å bygge funksjoner i henhold til prinsippene for Privacy by Design.

All tilgang til klientdata som vi behandler på dine vegne er strengt begrenset. Våre interne prosedyrer og logger sikrer at vi oppfyller GDPRs ansvarlighetskrav i denne forbindelse.

Vi har etablert en prosess for onboarding av tredjeparts tjenesteleverandører og adopsjon av verktøy som sikrer at disse tredjepartene møter de høye forventningene som Pipedrive og kundene deres har når det gjelder personvern og sikkerhet.

---

Klarhet til å etterkomme forespørsel om tilgang til personopplysninger

Dataemnenes eierskap til sine personopplysninger er kjernen i GDPR. Vi er derfor klare til å svare på forespørsel fra dataemner om å slette, endre eller overføre deres data.

Dette betyr at våre kundestøtte-spesialister og ingeniørene som assisterer dem er godt forberedt på å hjelpe deg med alle saker som involverer dine personopplysninger, i tillegg til å gi den fantastiske kundestøtteopplevelsen du er vant til.

---

Dokumentasjon

Våre Vilkår for bruk og Personvernerklæring revideres kontinuerlig for å øke transparensen og sikre at dokumentene oppfyller GDPR-kravene. Siden disse er grunnlaget for vårt forhold til deg, må vi grundig og åpent forklare våre forpliktelser og dine rettigheter i disse dokumentene.

I tillegg kartlegger vi kontinuerlig alle våre databehandlingsaktiviteter for å kunne overholde GDPR-kravene til ansvarlighet.

---

Opplæring

Alt det ovennevnte støttes av omfattende opplæringsinnsats innen selskapet, som sikrer at de GDPR-kompatible prosessene vi har implementert blir fulgt. For eksempel er databeskyttelse og sikkerhetssesjoner en integrert del av vår onboarding-prosess, og hver avdeling får opplæring tilpasset deres arbeid med personopplysninger.

Pipedrive er fast overbevist om at det å oppfylle GDPR-kravene er mye mer enn bare å krysse av bokser på en liste. For oss representerer GDPR en livsstil med respekt for enkeltpersoners personvern og ansvar i håndteringen av personopplysninger.