Kunskapsbas

Den 25 maj 2018 markerar ikraftträdandet av Europeiska unionens allmänna dataskyddsförordning.

Denna nya lagstiftning har haft stor påverkan på alla vars verksamhet innebär hantering av personuppgifter om personer bosatta i EU eller som behandlas inom EU. Personuppgifter ligger naturligtvis i centrum för försäljningsarbete, så Pipedrive och våra användare har också arbetat för att säkerställa att vi efterlever regelverket.

Den här artikeln ger en översikt över datarelaterade roller och ansvar när du har valt Pipedrive som din CRM-plattform och förklarar Pipedrives insatser för att leva upp till GDPR:s värderingar och krav.

Pipedrive som personuppgiftsbiträde

De personer du sparar i Pipedrive som kontakter är dina registrerade, och du betraktas som personuppgiftsansvarig för dessa personuppgifter. I våra Användarvillkor och Integritetspolicy hänvisar vi till dessa uppgifter som kunddata (de uppgifter du behandlar i Pipedrive).

Att använda Pipedrive-appen för att hantera dina kunder innebär att du har anlitat Pipedrive som personuppgiftsbiträde för att utföra vissa behandlingar för din räkning.

Enligt artikel 28 i GDPR måste förhållandet mellan personuppgiftsansvarig och personuppgiftsbiträde vara skriftligt reglerat (en elektronisk form accepteras också enligt stycke 9 i samma artikel).

Här kommer vårt Tillägg för personuppgiftsbehandling (DPA), Användarvillkor och Integritetspolicy in. Dessa tre dokument utgör ditt avtal om personuppgiftsbehandling, och anger de instruktioner du ger Pipedrive för behandlingen av de personuppgifter du ansvarar för samt fastställer båda parters rättigheter och skyldigheter. Pipedrive, som personuppgiftsbiträde, kommer endast att behandla din kunddata enligt dina instruktioner som personuppgiftsansvarig.

Slutligen är det viktigt att kontrollera avsnitt 14.1 i våra Användarvillkor för att se vilken Pipedrive-enhet som är din avtalspart.

Alla EU-kunder har ett avtalsförhållande med vår EU-enhet med säte i Estland.

Dataöverföringar

Ett ämne som ofta dyker upp hos kunder är dataöverföringar utanför EES.

GDPR ställer strikta krav på att överföra data utanför dess skyddsområde. Det är naturligt – annars skulle lagen inte kunna uppfylla sitt syfte.

Vem ansvarar för att uppfylla dessa krav på dataöverföring? Eftersom våra EU-kunder har en rättslig relation med vår EU-enhet förblir denna dataöverföring inom EES. Om Pipedrive däremot i ett senare skede anlitar underbiträden utanför EES är det vårt ansvar att säkerställa att vi överför uppgifterna lagligt.

Vi kommer att hålla en uppdaterad lista över underbiträden på vår Sidan för underbiträden för att säkerställa full transparens kring dessa överföringar. Listan förklarar också vilka uppgifter som berörs och hur vi har säkerställt att uppgifterna är tillräckligt skyddade även efter att de lämnat EES.

Vi gör detta genom att säkerställa att våra tredjepartsleverantörer antingen är certifierade enligt EU–USA Data Privacy Framework eller har undertecknat EU-kommissionens standardavtalsklausuler för dataöverföringar med oss. Det är dock viktigt att notera att vi inte förlitar oss på DPF som en mekanism för dataöverföring.

Vi följer tillämpliga dataskyddslagar och -regler när vi överför data mellan regioner eller länder, inklusive att införa lämpliga skyddsåtgärder, såsom datakryptering och avtalsmässiga överenskommelser (DPA:er, SCC:er när tillämpligt), för att säkerställa efterlevnad och skydda våra kunders personuppgifter.

Pipedrive som personuppgiftsansvarig

Dessutom agerar Pipedrive som personuppgiftsansvarig för de personuppgifter vi samlar in om dig, användaren av vår webbapp, mobilappar och webbplats.

Främst behandlar vi uppgifter som är nödvändiga för att fullgöra vårt avtal med dig (GDPR artikel 6(1)(b)).

För det andra behandlar vi uppgifter för att uppfylla våra rättsliga förpliktelser (GDPR artikel 6(1)(c)). Detta rör främst ekonomiska uppgifter och information som vi behöver för att uppfylla våra ansvarsskyldigheter enligt GDPR.

För det tredje behandlar vi dina personuppgifter för våra legitima intressen i enlighet med GDPR artikel 6(1)(f).

Vad menar vi med dessa "legitima intressen"?

• Att förbättra appen för att hjälpa dig nå nya nivåer av produktivitet
• Att säkerställa att dina data och Pipedrives system är säkra
• Ansvarig marknadsföring av vår produkt och dess funktioner

Förhoppningsvis hjälper detta dig att navigera EU:s dataskyddskrav mer effektivt.

Vad gör Pipedrive för att följa GDPR?

Som ett företag med rötter i Europa är Pipedrive väl positionerat för att förstå konsekvenserna av EU:s allmänna dataskyddsförordning för företag.

Vi värdesätter både Pipedrives användares och deras kunders integritetsbehov och har därför infört – och kommer fortsätta att förbättra – tekniska och organisatoriska åtgärder i enlighet med GDPR för att skydda de personuppgifter som Pipedrive behandlar.

Interna processer, säkerhet och dataöverföringar

En betydande del av efterlevnaden av GDPR innebär att säkerställa att rutiner finns på plats och att dataprocesser är kartlagda och granskningsbara. Därför har vi integrerat inslag i vår applikationsutvecklingscykel för att bygga funktioner i enlighet med principerna för Privacy by Design och Security by Design.

All åtkomst till kunddata som vi behandlar för din räkning är strikt begränsad. Våra interna rutiner och loggar säkerställer att vi uppfyller GDPR:s krav på ansvarsskyldighet i detta avseende.

Vi har etablerat en process för att ta in tredjepartsleverantörer och införa verktyg som säkerställer att dessa tredje parter uppfyller de höga förväntningar som Pipedrive och dess kunder har avseende integritet och säkerhet.

Beredskap att efterkomma begäran om tillgång till personuppgifter

Den registrerades äganderätt över sina personuppgifter står i centrum för GDPR. Vi är därför redo att svara på förfrågningar från registrerade om att radera, ändra eller överföra deras personuppgifter.

Detta innebär att våra kundtjänstspecialister och de ingenjörer som bistår dem är väl förberedda för att hjälpa dig i alla frågor som rör dina personuppgifter, samtidigt som de ger den fantastiska kundsupportupplevelse som du är van vid.

Dokumentation

Våra Användarvillkor och Integritetspolicy uppdateras regelbundet för att öka transparensen och säkerställa efterlevnad av GDPR-kraven.

Eftersom dessa dokument utgör grunden för vår relation med dig måste vi ge en heltäckande och transparent förklaring av våra åtaganden och dina rättigheter.

Dessutom kartlägger vi kontinuerligt all vår databehandling för att säkerställa efterlevnad av GDPR:s krav på ansvarsskyldighet.

Utbildning

Allt ovanstående stöds av omfattande utbildningsinsatser inom företaget, vilket säkerställer att de GDPR-överensstämmande processer vi har infört följs.

Våra anställda genomgår regelbundna utbildningar och medvetandehöjande program kring integritet och säkerhet för att säkerställa att de har kunskap om bästa praxis, aktuella hot och hur man skyddar personuppgifter. Till exempel är sessioner om dataskydd och säkerhet en integrerad del av vår introduktionsprocess, och varje avdelning får utbildning anpassad efter det arbete som involverar personuppgifter.

Pipedrive är starkt övertygat om att uppfyllandet av GDPR-kraven är mycket mer än att bara bocka av punkter i en lista. För oss representerar GDPR ett åtagande att respektera individers integritet och ta ansvar för hanteringen av personuppgifter.