Help

ValueFrame ja GDPR

Mikä on GDPR ja miten siihen on valmistauduttu Vismalla

Toukokuun 25. päivä astuu voimaan EU:n uusi tietosuoja-asetus GDPR (General Data Protection Regulation), jonka tarkoituksena on yhdenmukaistaa EU:n jäsenvaltioiden tietosuojaa ja lisätä luottamusta sekä läpinäkyvyyttä yritysten ja organisaatioiden henkilötietojen käsittelyyn.

Asetuksen myötä yksityishenkilöillä on jatkossa oikeus tietää, miten heidän henkilötietoja käsitellään eri yrityksissä.  Lisäksi henkilöllä on oikeus pyytää itseään koskevia tietoja sekä pyytää tietojensa poistamista ja oikaisemista. Yritysten täytyy asetuksen voimaantullessa pystyä seuraamaan ja osoittamaan mihin tietoja tallennetaan, mihin tarkoitukseen niitä käytetään ja ketkä pääsevät tietoihin käsiksi.

GDPR:ään siirtymistä on valmisteltu Visma Solutionsissa  jo pidemmän aikaa. Olemme tehneet ValueFramen osalta erilaisia riskiarviointeja, tietoturvan itsearvioinnin, järjestelmämuutoksia ja henkilöstön koulutuksia. Lisää Visman GDPR:ään valmistautumisesta on luettavissa näiltä sivuilta:

https://www.visma.com/gdpr/

https://www.visma.com/privacy/   

https://www.visma.fi/yksityisyydensuoja/etusivu/

https://psa.visma.fi/blog/gdpr-tuo-uudistuksia-severaan-ja-valueframeen/

Rekisterinpitäjä vs. henkilötietojen käsittelijä

Rekisterinpitäjällä tarkoitetaan tahoa, joka voi olla luonnonllinen henkilö, viranomainen tai jokin muu elin, joka määrittelee henkilötietojen käsittelyn tarkoitukset ja keinot. Rekisterinpitäjä on juridisessa vastuussa rekisteristä, eli se määrää rekisterin käytöstä. Rekisterinpitäjä on se, jonka toimeksiannosta tai jonka tarpeita varten rekisteri luodaan.

Henkilötietojen käsittelijä on taho, joka käsittelee henkilötietoja rekisterinpitäjän lukuun. Käsittelijä on todellinen tietoja tallentava, kokoava ja säilyttävä taho. Käsittelijän on toteutettava riittävät suojatoimet asianmukaisten teknisten ja organisatoristen toimien täytäntöönpanemiseksi niin, että käsittely täyttää asetuksen vaatimukset ja sillä varmistetaan rekisteröidyn oikeuksien suojelu.

ValueFrame palvelun käyttäjänä yritys on rekisterinpitäjä ja Visma henkilötietojen käsittelijä. ValueFramen palvelun käyttäjät allekirjoittavat Visman kanssa sopimuksen tietojen käsittelystä. Työstämme tällä hetkellä uusia käyttöehtosopimuksia, joissa on huomioitu GDPR asetuksen vaatimukset, nämä sopimukset valmistuvat kevään 2018 aikana.

Hyviä käytänteitä:

Tässä muutamia asioita, jotka on hyvä huomioida ValueFramea käyttäessä:

  1. Varmista että yrityksellä on lupa kerätä henkilötietoa, ennen kuin sitä tallennetaan ValueFrameen
  2. ValueFrameen ei tule tallentaa muuta henkilötietoa kuin on liiketoiminnan kannalta välttämätöntä
  3. Käytä ValueFramen kenttiä vain niihin osoitettuun tarkoitukseen
  4. Varmista henkilöstön riittävä tietotaito GDPR asetuksen vaatimuksista

FAQ

Ketkä käsittelevät ValueFrameen tallennettuja tietoja ja missä tarkoituksessa?

Tietoja käsittelevät Visman ValueFrame-tuotteen asiantuntijat ja tuotekehittäjät. Lisäksi tietoihin on pääsy alihankkijoilla tukipalveluissa, ICT:ssä sekä tuotekehityksessä.

ValueFramen asiantuntijat käsittelevät asiakkaan tietoja käyttöönottotilanteissa, datakonversioiden yhteydessä sekä muissa konsultointitilanteissa. Tuotekehittäjät tekevät järjestelmäparannuksia ja kehittävät uusia toimintoja järjestelmään. Lisäksi he toimivat vaativimmissa asiakastukitilanteissa kolmannen tason tukena ja tällöin voi olla tarvetta käsitellä asiakkaan tietoja.

Tukipalvelu käsittelee ValueFrameen tallennettuja tietoja erilaisissa ongelma- ja vikatilanteissa sekä muissa asiakkaiden avustamiseen liittyvissä asioissa. Näissä tilanteissa asiakkaan ympäristöön pääsy helpottaa asian ratkaisemista sekä nopeuttaa ratkaisuaikaa.

ICT vastaa palvelinympäristöjen asennuksesta, ylläpidosta ja valvonnasta. ICT henkilöstöllä ei ole pääsyä ValueFrame asiakasympäristön tietoihin.

Tuotekehitys vastaa uusien järjestelmätoimintojen teknisestä toteutuksesta sekä havaittujen vikojen korjauksesta. Tuotekehittäjät eivät työskentele tuotantoympäristöissä eivätkä käsittele asiakkaan tietoja, kuin kolmannen tason asiakastuki tilanteissa. Tuotetestauksessa tuotantodataa voidaan käyttää sekoittamalla tiedot semmoiseen muotoon, josta asiakkaita, projekteja tai työntekijöitä ei tunnisteta.

Miten Visma Solutionilla ValueFramen tietoihin pääsy on rajattu ja miten käyttöoikeuksia seurataan?

ValueFramen käyttöoikeuksista on kuvattu käyttöoikeusmatriisi (dokumentaatio, prosessi), johon on kirjattu kaikki Visman ja alihankkijoiden ValueFrame käyttäjät ja käyttöikeudet järjestelmän sisällä.

ValueFrameen kirjaudutaan käyttäjätunnuksella ja salasanalla. Kirjautumiselle voidaan määrittää järjestelmässä ehtoja, esimerkiksi salasanan muoto ja pituus voidaan valita. ValueFramen asiakasympäristöt ovat erillisiä, joten jokainen ympäristö vaatii erillisen käyttäjäkohtaisen käyttäjätunnuksen ja salasanan. Järjestelmän sisällä tietoihin pääsy on käyttäjien osalta määritelty rooliperusteisesti, eli eri rooleissa toimivilla henkilöillä on erilaiset toimintokohtaiset luku- ja muokkausoikeudet. Tällä tavoin voidaan tarkkaan rajata mitä kukin käyttäjä pääsee järjestelmässä näkemään ja tekemään. Käyttöä voidaan rajata edellä mainittujen asioiden lisäksi IP-rajoituksilla sekä VPN-tunneloinneilla.

Miten ValueFramen lokeja hallitaan?

ValueFramessa on tapahtumaloki, joka tallentaa kaikki tiedot käyttäjän toiminnasta järjestelmässä. Järjestelmän lokit on suojattu ja niiden käyttö edellyttää erillisiä käyttöoikeuksia. Vain määritetyillä ihmisillä on pääsy lokiin. Lokit tyhjennetään automaattisesti tietyin väliajoin ja tiedot kopioidaan ulkoiselle kovalevylle erikseen tuotantoympäristöstä.

Onko alihankkijoiden osalta varmistettu että he noudattavat salassapitosopimusta ja GDPR:ää?

Visma Solutions Oy on tehnyt alihankkijoiden kanssa sopimukset, joissa on määritelty salassapitovelvollisuus. Valmistelemme parasta aikaa uutta päivitettyä sopimusta (DPA, Data Processing Agreement), joka tulee kaikille alihankkijoille allekirjoitettavaksi kevään 2018 aikana. Uudessa sopimuksessa on otettu huomioon GDPR:n asettamat vaatimukset henkilötietojen käsittelylle.

Säilytetäänkö tai siirretäänkö ValueFrameen tallennettua dataa EU alueen ulkopuolelle?

Kaikki tiedot säilytetään EU alueella.

Ohjeita eri tilanteisiin

Kontaktihenkilö pyytää itsestään tallennettuja tietoja, miten saamme ne haettua?

Kontaktitiedot ovat haettavissa ValueFramen kontaktihaussa. Mikäli tietopyyntöjä tulee, on kuitenkin varmistettava tulevatko kaikki tiedot raportille vai tarvitseeko jotain tietoja poimia manuaalisesti.

Kontaktin tiedoista henkilötiedoiksi luokiteltavaa tietoa on tyypillisesti seuraavilla välilehdillä:

  • Perustiedot: nimi, asema, osoitetiedot, puhelinnumero, sähköpostiosoite, vapaatekstikommentit, markkinointikielto, sosiaalisen median linkki –kentät
  • Asiakasliitokset: mahdolliset aiemmat työpaikat
  • Luokitukset: mikäli käytetty henkilön profiloimiseksi esim. markkinointiyhteyden pidon näkökulmasta

Kontaktista voi kerätä tiedot näiltä välilehdiltä tällä hetkellä manuaalisesti tai ottamalla esim. ruutukaappauskuvat. Kontaktin tapahtumat ja sähköposti –välilehdillä olevat tiedot ovat usein yritysten välistä asiakaskommunikaatiota, eivätkä näin ollen henkilötietosuoja-asetuksen alaista tietoa.

Kontaktihenkilö pyytää henkilötietojensa poistamista, miten meidän tulee toimia, että täytämme GDPR:n vaatimukset henkilötietojen poistamisesta?

Suosittelemme että tietojenpoistamispyynnöt pyydetään aina kirjallisena ja varmistetaan pyytäjän henkilöllisyys. Tietojenpoistamispyynnöissä olisi hyvä myös eritellä mitä tietoja halutaan poistettavan.

Kontaktitieto on mahdollista poistaa silloin, kun sillä ei ole liitoksia esimerkiksi projekteihin tai tarjouksiin. Poistaminen tapahtuu kontaktin perustiedoissa ”poista” napista ja se poistaa kontaktin kaikki tiedot. Mikäli kontaktilla on liitoksia, tulee liitokset poistaa ennen kuin kontaktitieto voidaan poistaa.

Työntekijä pyytää itseään koskevia tietoja, mistä saan nämä?

Työntekijää koskevat tiedot löytyvät ValueFramen henkilöhausta. Henkilötietoa löytyy henkilön takaa henkilön perustiedoissa, ylläpito väliotsikon alta sekä henkilöstöhallinnon alta. Tiedot tulee kerätä näiltä välilehdiltä erikseen.

Työntekijä pyytää tietojensa poistamista ValueFramesta, miten saamme tiedot poistettua?

Suosittelemme että työntekijöiltä tulevat tietojenpoistamispyynnöt pyydetään aina kirjallisena ja niissä eritellään, mitä tietoja henkilö haluaa itsestään poistettavan. ValueFramessa henkilö voidaan passivoida, mutta ei poistaa. Työntekijän tiedot ovat yritystietoa eikä siten aina täysin poistettavissa. Esimerkiksi kannattaa huomioida työtodistuksen toimittamisvelvollisuudelle määritelty aikaväli. Ennen lopullista tietojen poistamista tulee varmistaa että mikään laki ei estä tietojen poistamista.

Henkilön passivoinnin yhteydessä voidaan poistaa henkilöä yksilöivää tietoa, jota ei ole välttämätöntä säilyttää. Tähän on kehitetty uusi toiminnallisuus, josta löytyy lisätietoa ValueFramen help-sivustolta kohdasta henkilöstöhallinto.