Kunskapsbas

Den 25 maj 2018 markerar ikraftträdandet av Europeiska unionens allmänna dataskyddsförordning.

Denna nya lagstiftning har haft en betydande inverkan på alla vars verksamhet innebär hantering av personuppgifter om EU-medborgare eller inom EU. Naturligtvis är personuppgifter centrala i försäljningsarbete, så Pipedrive och våra användare har också varit upptagna med att säkerställa att vi är förenliga.

Den här artikeln ger en översikt över datarelaterade roller och ansvar när du har valt Pipedrive som din CRM-plattform och förklarar Pipedrives insatser för att leva upp till GDPR:s värderingar och krav.

Pipedrive som personuppgiftsbiträde

De personer du sparar i Pipedrive som kontakter är dina registrerade, och du anses vara personuppgiftsansvarig för dessa personuppgifter. I våra användarvillkor och integritetsmeddelande kallar vi dessa data för klientdata (de data du behandlar i Pipedrive).

Att använda Pipedrive-appen för att hantera dina kunder innebär att du har anlitat Pipedrive som personuppgiftsbiträde för att utföra vissa behandlingar för din räkning.

Enligt artikel 28 i GDPR måste förhållandet mellan personuppgiftsansvarig och personuppgiftsbiträde vara skriftligt reglerat (en elektronisk form accepteras också enligt stycke 9 i samma artikel).

Det är här vårt Data Processing Addendum (DPA), användarvillkor och integritetsmeddelande kommer in. Dessa tre dokument fungerar som ditt personuppgiftsbiträdesavtal och anger de instruktioner du ger till Pipedrive om behandling av de personuppgifter du kontrollerar samt fastställer båda parters rättigheter och skyldigheter. Pipedrive, som personuppgiftsbiträde, kommer endast att behandla din klientdata enligt dina instruktioner som personuppgiftsansvarig.

Slutligen är det viktigt att kontrollera avsnitt 14.1 i våra Användarvillkor för att se vilken Pipedrive-enhet som är din avtalspart.

Alla EU-kunder har ett avtalsförhållande med vår EU-enhet med säte i Estland.

Dataöverföringar

Ett ämne som ofta dyker upp hos kunder är dataöverföringar utanför EES.

GDPR uppställer strikta krav för överföring av data utanför dess skyddsområde. Detta är helt naturligt – annars vore det omöjligt för lagen att uppfylla sitt syfte.

Vem är ansvarig för att uppfylla dessa dataöverföringskrav? Eftersom våra EU-kunder har en juridisk relation med vårt EU-bolag, sker denna dataöverföring inom EES. Om Pipedrive därefter anlitar underbiträden utanför EES, är det vårt ansvar att säkerställa att vi överför data lagligt.

Vi kommer att hålla en uppdaterad lista över underbiträden på vår sida för underbiträden för att säkerställa full transparens kring dessa överföringar. Denna lista kommer även att förklara vilka data som är involverade och hur vi har säkerställt att dessa data är adekvat skyddade även efter att de lämnar EES.

Vi gör detta genom att säkerställa att våra tredjepartsleverantörer antingen är certifierade under EU-US Data Privacy Framework eller har undertecknat EU-kommissionens standardavtalsklausuler för dataöverföring med oss. Det är dock viktigt att notera att vi inte förlitar oss på DPF som en mekanism för dataöverföring.

Vi följer tillämpliga dataskyddslagar och -regler när vi överför data mellan regioner eller länder, inklusive att införa lämpliga skyddsåtgärder, såsom datakryptering och avtalsmässiga överenskommelser (DPA:er, SCC:er när tillämpligt), för att säkerställa efterlevnad och skydda våra kunders personuppgifter.

Pipedrive som personuppgiftsansvarig

Dessutom agerar Pipedrive som personuppgiftsansvarig för de personuppgifter vi samlar in om dig, användaren av vår webbapp, mobilappar och webbplats.

Främst behandlar vi uppgifter som är nödvändiga för att fullgöra vårt avtal med dig (GDPR artikel 6(1)(b)).

För det andra behandlar vi data för att uppfylla våra skyldigheter enligt lag (GDPR artikel 6(1)(c)). Detta gäller huvudsakligen finansiell information och uppgifter som vi behöver för att uppfylla våra ansvarsskyldigheter enligt GDPR.

För det tredje behandlar vi dina personuppgifter för våra legitima intressen i enlighet med GDPR artikel 6(1)(f).

Vad menar vi med dessa "legitima intressen"?

• Att förbättra appen för att hjälpa dig nå nya nivåer av produktivitet
• Att säkerställa att dina data och Pipedrives system är säkra
• Ansvarig marknadsföring av vår produkt och dess funktioner

Förhoppningsvis hjälper detta dig att navigera EU:s dataskyddskrav mer effektivt.

Vad gör Pipedrive för att följa GDPR?

Som ett företag med rötter i Europa är Pipedrive väl positionerat för att förstå konsekvenserna av EU:s allmänna dataskyddsförordning för företag.

Vi värdesätter både Pipedrives användares och deras kunders integritetsbehov och har därför infört – och kommer fortsätta att förbättra – tekniska och organisatoriska åtgärder i enlighet med GDPR för att skydda de personuppgifter som Pipedrive behandlar.

Interna processer, säkerhet och dataöverföringar

En viktig del av GDPR-efterlevnad innebär att säkerställa att rutiner finns på plats och att dataprocesser är kartlagda och kan granskas. Vi har därför integrerat element i vår applikationsutvecklingscykel för att bygga funktioner enligt principerna för Privacy by Design och Security by Design.

All åtkomst till klientdata som vi behandlar för din räkning är strikt begränsad. Våra interna rutiner och loggar säkerställer att vi uppfyller kraven på ansvarstagande enligt GDPR i detta avseende.

Vi har etablerat en process för att ta in tredjepartsleverantörer och införa verktyg som säkerställer att dessa tredje parter uppfyller de höga förväntningar som Pipedrive och dess kunder har avseende integritet och säkerhet.

Beredskap att efterkomma begäran om tillgång till personuppgifter

Registrerades ägande av sina personuppgifter är kärnan i GDPR. Vi är därför redo att besvara begäranden från registrerade om att radera, ändra eller överföra deras data.

Detta innebär att våra kundtjänstspecialister och de ingenjörer som bistår dem är väl förberedda för att hjälpa dig i alla frågor som rör dina personuppgifter, samtidigt som de ger den fantastiska kundsupportupplevelse som du är van vid.

Dokumentation

Våra Användarvillkor och Integritetspolicy uppdateras regelbundet för att öka transparensen och säkerställa efterlevnad av GDPR-kraven.

Eftersom dessa dokument utgör grunden för vår relation med dig måste vi ge en heltäckande och transparent förklaring av våra åtaganden och dina rättigheter.

Dessutom kartlägger vi kontinuerligt all vår databehandling för att säkerställa efterlevnad av GDPR:s krav på ansvarsskyldighet.

Utbildning

Allt ovanstående stöds av omfattande utbildningsinsatser inom företaget, vilket säkerställer att de GDPR-överensstämmande processer vi har infört följs.

Våra medarbetare genomgår regelbunden utbildning och deltagande i medvetandegörandeprogram om integritet och säkerhet för att säkerställa att de är kunniga om bästa praxis, aktuella hot och hur man skyddar personuppgifter. Till exempel är sessioner om dataintegritet och säkerhet en integrerad del av vår introduktionsprocess, och varje avdelning får utbildning anpassad till sitt arbete med personuppgifter.

Pipedrive är övertygat om att uppfyllandet av GDPR-krav är mycket mer än att bara bocka av punkter på en lista. För oss representerar GDPR ett åtagande att respektera individers integritet och ta ansvar för hantering av personuppgifter.