Kunnskapsbase

25. mai 2018 markerer ikrafttredelsen av Den europeiske unions personvernforordning.

Denne nye lovgivningen har hatt betydelig innvirkning på alle som i sin virksomhet håndterer personopplysninger om EU-borgere eller innenfor EU. Personopplysninger er selvsagt kjernen i salgsarbeid, og derfor har både Pipedrive og våre brukere vært opptatt av å sikre at vi etterlever regelverket.

Denne artikkelen gir en oversikt over roller og ansvar knyttet til data når du har valgt Pipedrive som din CRM-plattform, og forklarer Pipedrives innsats for å leve opp til verdiene og kravene i personvernforordningen (GDPR).

Pipedrive som databehandler

Personene du lagrer i Pipedrive som kontakter er dine registrerte, og du anses som behandlingsansvarlig for disse personopplysningene. I våre Vilkår for bruk og Personvernerklæring omtaler vi disse dataene som klientdata (dataene du behandler i Pipedrive).

Ved å bruke Pipedrive-appen for å administrere kundene dine har du engasjert Pipedrive som databehandler for å utføre visse behandlingsaktiviteter på dine vegne.

I henhold til artikkel 28 i GDPR må forholdet mellom behandlingsansvarlig og databehandler være skriftlig avtalt (elektronisk form er også akseptabelt i henhold til ledd (9) i samme artikkel).

Her kommer vår Data Processing Addendum (DPA), Vilkår for bruk og Personvernerklæring inn. Disse tre dokumentene fungerer som din databehandleravtale, og angir instruksene du gir Pipedrive om behandling av personopplysningene du kontrollerer, samt fastsetter rettigheter og ansvar for begge parter. Pipedrive, som databehandler, vil kun behandle dine klientdata basert på dine instruksjoner som behandlingsansvarlig.

Til slutt er det viktig å sjekke seksjon 14.1 i våre Vilkår for bruk for å se hvilken Pipedrive-enhet som er din kontraktspartner.

Alle EU-kunder har et kontraktsforhold med vår EU-enhet, som er basert i Estland.

Dataoverføringer

Et tema som ofte dukker opp hos kunder, er dataoverføringer utenfor EØS.

GDPR fastsetter strenge krav for overføring av data utenfor dens virkeområde. Dette er naturlig – ellers ville det vært umulig for loven å oppfylle sitt formål.

Hvem er ansvarlig for å oppfylle disse kravene til dataoverføring? Siden våre EU-kunder har et juridisk forhold til vår EU-enhet, forblir denne dataoverføringen innenfor EØS. Dersom Pipedrive derimot engasjerer underleverandører utenfor EØS, er det vårt ansvar å sikre at vi overfører dataene lovlig.

Vi vil holde en oppdatert liste over underleverandører på vår side for underleverandører for å sikre full åpenhet rundt disse overføringene. Denne listen vil også forklare hvilke data som er involvert og hvordan vi har sørget for at dataene er tilstrekkelig beskyttet selv etter at de forlater EØS.

Vi gjør dette ved å sørge for at våre tredjepartsleverandører enten er sertifisert under EU–US Data Privacy Framework eller har signert EUs standardkontraktsklausuler for dataoverføringer med oss. Det er imidlertid viktig å merke seg at vi ikke baserer oss på DPF som en dataoverføringsmekanisme.

Vi overholder gjeldende lover og regler om personvern når vi overfører data mellom regioner eller land, inkludert å iverksette passende sikkerhetstiltak, som datakryptering og kontraktsmessige avtaler (DPA-er, SCC-er der dette er aktuelt), for å sikre etterlevelse og beskytte kundenes personvern.

Pipedrive som behandlingsansvarlig

I tillegg fungerer Pipedrive som behandlingsansvarlig for personopplysningene vi samler inn om deg, som bruker av vår webapp, mobilapper og nettsted.

Først og fremst behandler vi opplysninger som er nødvendige for å oppfylle vår avtale med deg (GDPR artikkel 6(1)(b)).

For det andre behandler vi opplysninger for å oppfylle våre lovpålagte forpliktelser (GDPR artikkel 6(1)(c)). Dette gjelder først og fremst finansielle opplysninger og informasjon vi trenger for å oppfylle våre ansvarlighetsforpliktelser etter GDPR.

For det tredje behandler vi dine personopplysninger for våre berettigede interesser i samsvar med GDPR artikkel 6(1)(f).

Hva mener vi med disse «berettigede interessene»?

• Forbedre appen for å hjelpe deg med å nå nye nivåer av produktivitet
• Sikre at dine data og Pipedrives systemer er beskyttet
• Ansvarlig markedsføring av produktet vårt og dets funksjoner

Forhåpentligvis hjelper dette deg med å navigere EUs krav til databeskyttelse på en mer effektiv måte.

Hva gjør Pipedrive for å etterleve GDPR?

Som et selskap med røtter i Europa er Pipedrive godt posisjonert til å forstå hvilke konsekvenser EUs personvernforordning (GDPR) har for virksomheter.

Vi forstår personvernbehovene til Pipedrive-brukere så vel som deres kunder, og har derfor iverksatt – og vil fortsette å forbedre – tekniske og organisatoriske tiltak i tråd med GDPR for å beskytte personopplysningene som behandles av Pipedrive.

Interne prosesser, sikkerhet og dataoverføringer

En betydelig del av overholdelsen av GDPR innebærer å sørge for at prosedyrer er på plass og at databehandlingsprosessene er kartlagt og etterprøvbare. Derfor har vi innarbeidet elementer i vår applikasjonsutviklingssyklus for å bygge funksjoner i samsvar med prinsippene for personvern ved design og sikkerhet ved design.

Enhver tilgang til kundedata som vi behandler på dine vegne er strengt begrenset. Våre interne prosedyrer og logger sikrer at vi oppfyller GDPRs krav til ansvarlighet på dette området.

Vi har etablert en prosess for innføring av tredjepartsleverandører og for å ta i bruk verktøy som sikrer at disse tredjepartene møter de høye forventningene som Pipedrive og kundene har når det gjelder personvern og sikkerhet.

Beredskap til å etterkomme forespørsler om innsyn fra registrerte

Den registrertes eierskap til egne personopplysninger står sentralt i GDPR. Vi er derfor klare til å svare på forespørsler fra registrerte om å slette, endre eller overføre sine data.

Dette betyr at våre kundestøttespesialister og ingeniørene som bistår dem er godt forberedt på å hjelpe deg i alle spørsmål som gjelder dine personopplysninger, i tillegg til å gi den fantastiske kundeserviceopplevelsen du er vant til.

Dokumentasjon

Våre vilkår for bruk og personvernerklæring oppdateres jevnlig for å øke åpenheten og sikre etterlevelse av GDPR-kravene.

Siden disse dokumentene utgjør grunnlaget for vårt forhold til deg, må vi gi en omfattende og gjennomsiktig forklaring av våre forpliktelser og dine rettigheter.

I tillegg kartlegger vi kontinuerlig alle våre behandlinger av personopplysninger for å sikre etterlevelse av ansvarlighetskravene i GDPR.

Opplæring

Alt ovennevnte støttes av omfattende opplæringsinnsats i selskapet, som sikrer at de GDPR-kompatible prosessene vi har etablert etterleves.

Våre ansatte gjennomgår regelmessig opplæring og bevisstgjøringsprogrammer om personvern og sikkerhet for å sikre at de er oppdatert på beste praksis, aktuelle trusler og hvordan de skal beskytte personopplysninger. For eksempel er økter om personvern og sikkerhet en integrert del av vårt introduksjonsprogram, og hver avdeling får opplæring tilpasset deres arbeid med personopplysninger.

Pipedrive er fast overbevist om at det å oppfylle GDPR-kravene er mye mer enn å krysse av i en liste. For oss representerer GDPR en forpliktelse til å respektere enkeltpersoners personvern og ta ansvar for håndteringen av personopplysninger.