知識庫

2018年5月25日標誌著歐盟通用資料保護條例開始實施。

這項新法規已顯著影響到任何其業務涉及處理有關歐盟居民或位於歐盟境內個人資料的人。個人資料當然是從事銷售工作的核心，因此 Pipedrive 與我們的用戶也一直在努力確保合規。

本文概述了當您選擇 Pipedrive 作為您的 CRM 平台時，與資料相關的角色與責任，並說明 Pipedrive 為達到通用資料保護條例（GDPR）之價值與要求所做的努力。

Pipedrive 作為資料處理者

您在 Pipedrive 中存為聯絡人的人是您的資料當事人，您被視為這些個人資料的資料控制者。在我們的 服務條款 及 隱私聲明 中，我們將此類資料稱為 客戶資料（您在 Pipedrive 內處理的資料）。

使用 Pipedrive 應用程式管理您的客戶，表示您已委託 Pipedrive 作為資料處理者代表您執行特定的處理活動。

根據 GDPR 第 28 條，控制者與處理者之間的關係必須以書面形式確立（同條第（9）款亦接受電子形式）。

此時便牽涉到我們的 資料處理附錄（DPA）、服務條款 及 隱私聲明。這三份文件作為您的 資料處理合約，說明您向 Pipedrive 提供的有關處理您所控制個人資料的指示，並確立雙方的權利與責任。Pipedrive 作為資料處理者，僅會依照您作為資料控制者的指示處理您的客戶資料。

最後，請務必查看我們 服務條款 的第 14.1 條，以確認哪一個 Pipedrive 實體為您的契約夥伴。

所有歐盟客戶均與我們位於愛沙尼亞的歐盟實體建立契約關係。

資料傳輸

客戶常提出的一個議題是歐洲經濟區 (EEA) 以外的資料傳輸。

一般資料保護條例 (GDPR) 對於將資料傳出其保護範圍之外訂定了嚴格要求。這很自然──否則法律將無法達到其目的。

誰要負責遵守這些資料傳輸要求？由於我們的歐盟客戶與我們的歐盟實體有法律關係，這類資料傳輸會維持在 EEA 內。然而，若 Pipedrive 之後聘用位於 EEA 之外的次處理者（sub-processors），我們有責任確保依法傳輸該等資料。

我們會在次處理者頁面上維持最新的次處理者名單，以確保對這些傳輸有完全透明度。該名單也會說明涉及哪些資料，以及我們如何確保即使資料離開 EEA 之後仍受到適當保護。

我們透過確保第三方服務提供者已獲 EU‑US Data Privacy Framework（EU‑US 資料隱私架構，DPF）認證，或已與我們簽署歐盟委員會的資料傳輸標準合約條款（standard contractual clauses，SCCs），來達成此目標。然而，重要的是要說明，我們並不依賴 DPF 作為資料傳輸的機制。

在跨區域或跨國傳輸資料時，我們遵守適用的資料隱私法律與法規，並實施適當的防護措施，例如資料加密與契約性協議（如資料處理協議 DPAs，以及在適用情況下的標準合約條款 SCCs），以確保合規並保護我們客戶的資料隱私。

Pipedrive 作為資料控制者

此外，Pipedrive 亦作為資料控制者，負責我們針對您（即我們的網頁應用程式、行動應用程式與網站的使用者）所收集的個人資料。

首先，我們處理的資料係為履行與您之契約所必要（GDPR 第6(1)(b)條）。

其次，我們處理資料以履行法律上的義務（GDPR 第6(1)(c)條）。這主要涉及財務資料以及為滿足 GDPR 下之問責義務所需之資訊。

第三，我們依據 GDPR 第6(1)(f)條，基於我們的合法利益而處理您的個人資料。

我們所稱的「合法利益」是指什麼？

• 改善應用程式以幫助您提升生產力
• 確保您的資料與 Pipedrive 的系統安全無虞
• 以負責任的方式行銷我們的產品及其功能

希望這能幫助您更有效地理解及應對歐盟的資料保護規範。

Pipedrive 為遵守歐盟《一般資料保護規則》（GDPR）採取了哪些措施？

作為一家根源於歐洲的公司，Pipedrive 能夠充分理解歐盟《一般資料保護規則》（GDPR）對企業的影響。

我們重視 Pipedrive 使用者及其客戶的隱私需求，因此已根據 GDPR 實施 – 並將持續改進 – 技術與組織措施，以保護 Pipedrive 所處理的個人資料。

內部流程、安全性與資料傳輸

GDPR 合規的一大部分在於確保已建立相關程序，且資料處理流程已被繪製並可供稽核。因此，我們已在應用程式開發週期中納入若干要素，以依循 以隱私為本的設計（Privacy by Design） 與 以安全為本的設計（Security by Design） 原則來開發功能。

我們代表您處理的任何客戶資料存取皆受到嚴格限制。我們的內部程序與日誌確保在這方面符合 GDPR 的問責義務。

我們已建立第三方服務供應商的接納流程並採用相關工具，確保這些第三方在隱私與安全方面能滿足 Pipedrive 及其客戶的高期待。

準備遵從資料主體的存取請求

資料主體對其個人資料的所有權是GDPR的核心。因此，我們已準備好回應資料主體提出的刪除、修改或轉移其資料的請求。

這表示我們的客戶支援專員以及協助其工作的工程師都已充分準備，在任何涉及您個人資料的事宜上協助您，並持續提供您所習慣的優質客戶支援體驗。

說明文件

我們的 服務條款 與 隱私聲明 會定期更新，以提升透明度並確保遵守 GDPR 的要求。

由於這些文件構成我們與您關係的基礎，我們必須提供對我們的承諾與您權利的全面且透明的說明。

此外，我們持續繪製所有資料處理活動的地圖，以確保遵守 GDPR 的問責要求。

培訓

以上所有事項均由公司內廣泛的培訓工作支持，確保我們所建立的符合 GDPR 的流程得以遵循。

我們的員工定期參加有關隱私與安全的培訓與意識提升計畫，以確保他們了解最佳實務、當前威脅，以及如何保護個人資料。例如，資料隱私與安全課程是我們新進員工入職流程的核心內容，每個部門也會依其處理個人資料的工作性質，接受量身打造的培訓。

Pipedrive 堅信，符合 GDPR 要求遠不只是勾選清單上的項目。對我們來說，GDPR 代表對尊重個人隱私以及負起處理個人資料責任的承諾。