Kunnskapsbase

25. mai 2018 markerer starten på håndhevelsen av EUs personvernforordning (GDPR).

Denne nye lovgivningen har hatt betydelig innvirkning på alle som driver virksomhet som innebærer håndtering av personlige data om EU-borgere eller innenfor EU. Personlige data er naturligvis sentralt i salgsarbeid, så Pipedrive og våre brukere har også vært opptatt med å sørge for at vi er i samsvar.

Denne artikkelen gir en oversikt over roller og ansvar knyttet til data når du har valgt Pipedrive som din CRM-plattform, og forklarer Pipedrives innsats for å leve opp til verdiene og kravene i personvernforordningen (GDPR).

Pipedrive som databehandler

Personene du lagrer i Pipedrive som kontakter er dine registrerte, og du regnes som behandlingsansvarlig for disse personlige dataene. I våre vilkår for bruk og personvernerklæring omtaler vi disse dataene som klientdata (dataene du behandler i Pipedrive).

Ved å bruke Pipedrive-appen for å administrere kundene dine har du engasjert Pipedrive som databehandler for å utføre visse behandlingsaktiviteter på dine vegne.

I henhold til artikkel 28 i GDPR må forholdet mellom behandlingsansvarlig og databehandler være skriftlig avtalt (elektronisk form er også akseptabelt i henhold til ledd (9) i samme artikkel).

Det er her vårt Data Processing Addendum (DPA), vilkår for bruk og personvernerklæring kommer inn. Disse tre dokumentene fungerer som din databehandlingsavtale, som angir instruksjonene du gir til Pipedrive om behandling av de personlige dataene du kontrollerer og fastsetter rettighetene og ansvaret til begge parter. Pipedrive, som databehandler, vil kun behandle dine klientdata basert på dine instruksjoner som behandlingsansvarlig.

Til slutt er det viktig å sjekke seksjon 14.1 i våre Vilkår for bruk for å se hvilken Pipedrive-enhet som er din kontraktspartner.

Alle EU-kunder har et kontraktsforhold med vår EU-enhet, som er basert i Estland.

Dataoverføringer

Et tema som ofte dukker opp hos kunder, er dataoverføringer utenfor EØS.

GDPR fastsetter strenge krav til overføring av data utenfor dets beskyttelsesområde. Dette er helt naturlig – ellers ville det vært umulig for loven å oppfylle sitt formål.

Hvem er ansvarlig for å oppfylle disse kravene til dataoverføring? Ettersom våre EU-kunder har et juridisk forhold til vårt EU-selskap, forblir denne dataoverføringen innenfor EØS. Dersom Pipedrive senere engasjerer underbehandlere utenfor EØS, er det vårt ansvar å sikre at vi overfører dataene i henhold til loven.

Vi vil opprettholde en oppdatert liste over underbehandlere på vår side for underbehandlere for å sikre full åpenhet om disse overføringene. Denne listen vil også forklare hvilke data som er involvert og hvordan vi har sørget for at dataene er tilstrekkelig beskyttet selv etter at de forlater EØS.

Vi gjør dette ved å sikre at våre tredjeparts tjenesteleverandører enten er sertifisert under EU-US Data Privacy Framework eller har signert EU-kommisjonens standard kontraktsvilkår for dataoverføringer med oss. Det er imidlertid viktig å merke seg at vi ikke baserer oss på DPF som en mekanisme for dataoverføring.

Vi overholder gjeldende lover og regler om personvern når vi overfører data mellom regioner eller land, inkludert å iverksette passende sikkerhetstiltak, som datakryptering og kontraktsmessige avtaler (DPA-er, SCC-er der dette er aktuelt), for å sikre etterlevelse og beskytte kundenes personvern.

Pipedrive som behandlingsansvarlig

I tillegg fungerer Pipedrive som behandlingsansvarlig for personopplysningene vi samler inn om deg, som bruker av vår webapp, mobilapper og nettsted.

Først og fremst behandler vi opplysninger som er nødvendige for å oppfylle vår avtale med deg (GDPR artikkel 6(1)(b)).

For det andre behandler vi data for å oppfylle våre forpliktelser etter loven (GDPR artikkel 6(1)(c)). Dette gjelder først og fremst finansielle data og informasjon vi trenger for å oppfylle våre ansvarlighetsforpliktelser etter GDPR.

For det tredje behandler vi dine personopplysninger for våre berettigede interesser i samsvar med GDPR artikkel 6(1)(f).

Hva mener vi med disse «berettigede interessene»?

• Forbedre appen for å hjelpe deg med å nå nye nivåer av produktivitet
• Sikre at dine data og Pipedrives systemer er beskyttet
• Ansvarlig markedsføring av produktet vårt og dets funksjoner

Forhåpentligvis hjelper dette deg med å navigere EUs krav til databeskyttelse på en mer effektiv måte.

Hva gjør Pipedrive for å etterleve GDPR?

Som et selskap med røtter i Europa er Pipedrive godt posisjonert til å forstå hvilke konsekvenser EUs personvernforordning (GDPR) har for virksomheter.

Vi forstår personvernbehovene til Pipedrive-brukere så vel som deres kunder, og har derfor iverksatt – og vil fortsette å forbedre – tekniske og organisatoriske tiltak i tråd med GDPR for å beskytte personopplysningene som behandles av Pipedrive.

Interne prosesser, sikkerhet og dataoverføringer

En vesentlig del av GDPR-overholdelse innebærer å sikre at rutiner er på plass og at databehandlingsprosesser er kartlagt og reviderbare. Vi har derfor innarbeidet elementer i vår applikasjonsutviklingsprosess for å bygge funksjoner i samsvar med prinsippene om Privacy by Design og Security by Design.

Enhver tilgang til klientdataene som vi behandler på dine vegne er strengt begrenset. Våre interne prosedyrer og logger sikrer at vi oppfyller GDPRs ansvarlighetskrav på dette området.

Vi har etablert en prosess for innføring av tredjepartsleverandører og for å ta i bruk verktøy som sikrer at disse tredjepartene møter de høye forventningene som Pipedrive og kundene har når det gjelder personvern og sikkerhet.

Beredskap til å etterkomme forespørsler om innsyn fra registrerte

Registrertes eierskap av sine personlige data er kjernen i GDPR. vi er derfor klare til å besvare forespørsler fra registrerte om å slette, endre eller overføre deres data.

Dette betyr at våre kundestøttespesialister og ingeniørene som bistår dem er godt forberedt på å hjelpe deg i alle spørsmål som gjelder dine personopplysninger, i tillegg til å gi den fantastiske kundeserviceopplevelsen du er vant til.

Dokumentasjon

Våre vilkår for bruk og personvernerklæring oppdateres jevnlig for å øke åpenheten og sikre etterlevelse av GDPR-kravene.

Siden disse dokumentene utgjør grunnlaget for vårt forhold til deg, må vi gi en omfattende og gjennomsiktig forklaring av våre forpliktelser og dine rettigheter.

I tillegg kartlegger vi kontinuerlig alle våre behandlinger av personopplysninger for å sikre etterlevelse av ansvarlighetskravene i GDPR.

Opplæring

Alt ovennevnte støttes av omfattende opplæringsinnsats i selskapet, som sikrer at de GDPR-kompatible prosessene vi har etablert etterleves.

Våre ansatte gjennomgår jevnlig opplæring og bevisstgjøringsprogrammer om personvern og sikkerhet for å sikre at de har kunnskap om beste praksis, gjeldende trusler og hvordan man beskytter personlige data. For eksempel er økter om personvern og datasikkerhet en integrert del av vår introduksjonsprosess, og hver avdeling får opplæring tilpasset deres arbeid med personlige data.

Pipedrive er overbevist om at oppfyllelse av GDPR-krav er langt mer enn bare å krysse av i en liste. For oss representerer GDPR en forpliktelse til å respektere enkeltpersoners personvern og ta ansvar for håndtering av personlige data.