Euroopan unionin yleinen tietosuoja-asetus (General Data Protection Regulation, GDPR) koskee kaikkia yrityksiä: isoista tukkukaupoista pieniin paikallisiin ravintoloihin. Asiaa on käsitelty paljon, mutta usein artikkelit ovat hyvin laaja-alaisia tai eivät anna vastauksia kysymyksiin.

GDPR:n tavoitteet

Asetuksen tarkoitus on:

  • Vähentää tietojen tallentamista järjestelmiin.
  • Muuttaa tietojenkäsittely läpinäkyväksi, tarkistettavaksi ja turvalliseksi.
  • Suojata henkilötietoja väärinkäytöiltä ja loukkauksilta.

Asetuksen soveltamisala

GDPR koskee kaikenkokoisia yrityksiä, joilla on asiakkaita tai työntekijöitä Euroopan unionissa.

GDPR antaa tasavertaiset oikeudet kaikille teidän asiakkaille, myös EU:n ulkopuolisille asiakkaille.

Mikä on henkilötietojen käsittely?

Ehdottomasti kaikki.

Tietojenkäsittely alkaa syöttämällä asiakastiedot Erply:n ja loppuu poistamalla asiakastiedot. Tietojenkäsittelyksi luetaan tietojen katsominen, lisääminen, muokkaaminen ja poistaminen, myyntitapahtuma tai tilauksen vastaanottaminen.

Kuinka kerätä käyttöoikeudet asiakkailta? Miten kertoa asiakkaille tietojenkäsittelystä?

Asetuksessa asetetaan kaksi tärkeää vaatimusta, joiden lisäksi (minkä yhteydessä) sinun on päivitettävä myös kanta asiakkaan liittymislomakkeet (paperiset tai sähköiset) ja käyttöehdot:

  • Asiakkaalle on ilmoitettava häneen liittyvästä tietojenkäsittelystä.

Ennen henkilötietojen keräämistä sinun on selvitettävä asiakkaalle, mihin tarkoituksiin heihin liittyviä tietoja aletaan käyttää. Se on myös mahdolli- suus selittää asiakkaille, miten he hyötyvät tietojenkäsittelystä.

Sinun on myös laadittava luettelo kaikista alihankkijoista tai yrityksistä, joille asiakkaiden tietoja jaetaan. Asiakkaat voivat pyytää luetteloa yrityksistä, jotka käsittelevät heidän tietojaan. Erply kuuluu luonnollisesti niiden joukkoon. Jos käytät verkkokauppaa tai käytät jotain muuta mukautettua integraatiota, mukana saattaa olla useampia osapuolia.

Selitä kuka on vastuussa asiakkaan tiedoista ja mitä toimenpiteitä käytetään niiden suojaamiseksi.

Yksityiskohtaiset tiedot velvollisuudesta toimittaa tietoja on lueteltu GDPR: n 13 §: ssä

  • Asiakkaan on annettava suostumus mihin tahansa tietojenkäsittelyyn.

Luettele tietojenkäsittelyn tavoitteet. Ne todennäköisesti vaihtelevat yrityksen mukaan. On tärkeää, että nämä tavoitteet on kuvattu selkeällä ja ymmärrettävällä kielellä – asiakkaiden ei pitäisi tarvita oikeudellista apua tietojenkäsittelyn tavoitteiden ymmärtämiseksi.

Yrityksesi on säilytettävä vastaanottamansa paperilomakkeet tai sähköisesti toimitetut tiedot, jotta näihin suostumuksiin  voidaan myöhemmin tarvittaessa viitata.

Erply ei tarjoa tietokenttiä asiakkaan suostumusten tallentamiseksi, lukuun ottamatta “Asiakas ei halua vastaanottaa sähköpostia” – valintaruutua asiakaskortissa. Tietojenkäsittelyn tavoitteet yksilöllisiä jokaisella yrityksellä, joten emme voi säännellä niitä.

Mitä muita oikeuksia asiakkailla on?

GDPR myöntää yksilöille useita oikeuksia. Turvallisuustietoiset asiakkaat ovat varmaan valmiita käyttämään uusia mahdollisuuksia, joten ole valmis vastaamaan seuraaviin kysymyksiin:

Huomautus: Asiakkaalta pitää vaatia aina henkilötodistus. Väärän henkilön tietojen käsittely on vakava rikos.

  • Mitä tietoja minusta tallennetaan?

Kaikki asiakastiedot säilytetään Erply:n taustajärjestelmässä asiakaskortilla. Tarkasta tarvittaessa:

 

  • Haluan kopion tiedoista, jotka on tallennettu.

GDPR: n mukaan henkilöt voivat pyytää kopion heitä koskevasta asiakaskortista ja tapahtuman historiasta. Lähitulevaisuudessa nämä tiedot on saatavilla myös sähköisenä tiedostona, jonka voi ladata asiakaskortista:

 

 

  • En halua, että tietojani käsitellään … tarkoitukseen.

Suostumus ei ole pysyvä. Salli aina asiakkaiden luopua suostumukses- taan.

  • Haluan päivittää tai poistaa minua koskevia tietoja.

Päivitä tai poista asiakkaan tiedot hänen pyynnöstä.

Asiakastietojen poistamisen edellytyksenä on, että maksamattomia laskuja ei ole.

Asiakaskortti voidaan poistaa kokonaan, mutta voi myös tyhjentää vain ne kentät, mitä asiakas on pyytänyt poistettavaksi.

Tietojen hallinta voisi olla johdonmukainen prosessi; esimerkiksi kassat voisivat kerran vuodessa pyytää asiakasta vahvistamaan puhelinnumeronsa ja sähköpostiosoitteensa.

Mitä henkilökohtaisia tietoja on tallennettu Erply-palveluun?

Erply: n tallennetut henkilötiedot voivat olla seuraavat:

  • Nimi, sukupuoli, syntymäaika
  • Yhteystiedot: sähköpostiosoite, puhelinnumero, Skype-käyttäjätunnus jne.
  • Osoite
  • Yhteyshenkilöiden tiedot
  • Asiakasryhmä
  • Asiakaskortin numero
  • Verkkokaupan käyttäjätunnus ja salasana
  • Työnantajan nimi
  • Kaikki lisätiedot, mitkä on tallennettu esimerkiksi attribuutteihin, muistiinpanoihin tai asiakkaiden tilauksiin.

GDPR-standardia sovellettaessa seuraa kolmea tärkeätä sääntöä:

  • Ole varovainen, kun tallennat henkilötietoja kommenttikenttään tai attribuutteihin. Tämä koskee myös muita asiakirjoja, kuten ruutu “Huomautukset” tilauslomakkeessa. Tätä tietoa on myöhemmin vaikea löytää, ja jos asiakas pyytää, että hänen henkilötietonsa poistetaan järjestelmästänne, se voi osoittautua hyvin monimutkaiseksi.
  • ÄLÄ kerää alle 16-vuotiaiden henkilötietoja; lasten henkilötietojen käsittelyä varten tarvitaan vanhemman tai huoltajan suostumus.
  • ÄLÄ pidä herkkiä henkilötietoja Erply:ssä. Tämä on lailla kielletty.

 

Herkät henkilötiedot sisältävät:

  • Rotu tai etninen alkuperä;
  • Poliittinen kuuluvuus tai mielipiteet;
  • Uskonnolliset tai filosofiset uskomukset;
  • Ammattiyhdistystoiminta;
  • Geneettiset tai biometriset tiedot;
  • Terveydentila;
  • Seksuaalinen elämä tai suuntautuminen.

Tarkista ja minimoi yrityksesi tallennettujen tietojen määrä

Ensin tee luettelo kaikista henkilötiedoista, mitä sinulla on. Tässä yhteydessä tulisi esittää seuraavat kysymykset:

  • Mitä varten me pidetään tietoja?
  • Miten me olemme saaneet ne?
  • Mihin tarkoitukseen ne alunperin kerättiin?
  • Kuinka kauan me säilytetään niitä?
  • Jaetaanko tietoja kolmansien osapuolien kanssa vai tallennetaanko niitä muiden valtuutettujen käsittelijöiden järjestelmissä?

Tallennettujen henkilötietojen määrän on oltava mahdollisimman vähäinen.

Pidä vain ne tiedot, joita todella tarvitset (ja olet saanut lain mukaisesti) ja poista loput.

Vihje: Jos työskentelet yritysasiakkaiden kanssa, voit asiakaskortille laittaa yhteyshenkilön tietoihin henkilön nimen sijasta hänen ammattinimikkeen. Tällä tavoin Erply:iin tallennettuja puhelinnumeroita ja sähköpostiosoitteita ei voi käyttää henkilön tunnistamiseen, joten niitä ei käsitellä henkilötietoina.

Asiakastietojen anonymisointi

Anonymisoitu asiakaskortti on sellainen, joka ei sisällä henkilökohtaisesti tunnistettavia tietoja:

 

 

Koska asiakas voidaan tunnistaa asiakaskortin numerolla, ei ole välttämätöntä tallentaa asiakkaan nimeä tai sähköpostiosoitetta.

Tällä tavoin asiakas voi olla anonyymi haluttaessa, mutta silti säilyttää bonuspisteitä, henkilökohtaisia kuponkeja, kanta-asiakkaan hintoja ja muita etuja. Ja sinulla säilyy edelleen asiakkaan yksityiskohtainen ostohistoria.

Kirjaako Erply tietojenkäsittely toimintoja?

Kyllä ja ei.

Kyllä – kaikesta, mitä teet Erply:ssä, pidämme lokia, asetuksen vaatimusten mukaisesti.

Emme kuitenkaan voi seurata eikä rekisteröidä asiakastietojen käsittelyä, joka tapahtuu Erply-palvelun ulkopuolella.

Erply:n ulkopuolella suoritettuja toimintoja varten pitäisi:

  1. Pitää erillistä lokia muualla tai
  2. Tallentaa suoritetut toiminnot Erply:n lokiin käyttämällä Erply API hakua.

Tämä koskee:

  • Asiakastietojen vientiä Erply:stä.
  • Asiakastietojen synkronointia toiseen järjestelmään API:n kautta.

Jos käytät jotain seuraavista palveluntarjoajista, voisit tarkistaa, tarjoavatko ne tarvittavat lokit. Jos ei, niin sinun on löydettävä ratkaisu kirjaamiseen itse.

  • MailChimp
  • FreshMail
  • SendInBlue
  • ShopRoller
  • Shopify
  • Magento
  • jne.

Huomaa! Asiakkaalla ei ole oikeutta pyytää kopiota lokista. Lokeja säilytetään ainoastaan niitä tapauksia varten, joissa asiakas esittää valituksen. Tämä voi johtaa siihen, että Tietosuoja Valvontaviranomainen käynnistää tutkimuksen ja pyytää yritystä toimittamaan tarvittavat lokit. Erply pystyy näissä tapauksissa auttamaan sinua!

Tärkeät turvallisuustoimenpiteet, mitä sinun on pantava täytäntöön

Suosituksemme asiakastietojen turvallisuuden säilyttämiseksi:

  • Älä säilytä asiakkaan tietoja tietokoneessasi.

Kun haluat viedä asiakkaan tietoja, muista poistaa tiedot tietokoneelta heti käsittelyn jälkeen.

  • Älä käytä henkilökohtaisia tietokoneita tai muita laitteita työn tekemiseen.

Työntekijöitä on kehotettava olemaan käyttämättä henkilökohtaisia laitteita eikä kirjautumaan niiden kautta Erply:n tai muuhun palveluun, jossa säilytätte asiakkaiden tietoja. Varmista, että toimisto-tietokoneesi on määritetty turvallisesti ja että niissä ei ole viruksia tai muita haittaohjelmia.

  • Käytä vahvoja salasanoja.

Asiakkaidesi tietoja suojataan salasanalla, jota käytät kirjautumiseen Erply palveluun. Rikkomuksen tapahtuessa, yrityksesi on vastuussa. Salasanan tulee olla riittävän pitkä ja sisältää satunnaisia merkkejä, numeroita ja erikoismerkkejä.

  • Jos asiakas pyytää tietojaan yritykseltä, vaaditaan henkilötodistus.

Varmista, että tunnistat asiakkaan ennen kuin luovutat hänelle mitä tahansa henkilötietoja. Voit antaa tietoja vain, kun olet vahvistanut, että vastaanottaja on tunnistettu kyseisenä henkilönä.

  • Kartoita sisäiset prosessit.

          Tietosuoja toimenpiteet on helpompi toteuttaa, kun vastaat seuraaviin kysymyksiin:

          – Minkälaisissa yrityksen prosesseissa käytetään asiakkaiden tietoja?

          – Keitä työntekijöistä tämä koskee?

          – Mitä tietoja käsitellään?

          – Mikä on tietojen käsittelyn tarkoitus?

          – Missä asiakastietoja säilytetään (mitkä käsittelijät) ja mikä on oikeusperusta tietojen säilyttämiselle?

  • Kouluta työntekijöitä.

          Jaa tämä artikkeli kaikille työntekijöille ja kollegoillesi. Alla on myös ratkaisu, jolla varmistaa, ettei työntekijä saa pääsyä asiakastietoihin ennen kun hän on käynyt läpi kyseiset ohjeet.

  • Tietovuodosta on tehtävä ilmoitus.

Yrityksellä on velvollisuus ilmoittaa tietovuodosta, luvattomasta käytöstä tai tietoturvasta, joihin liittyy mahdollinen pääsy henkilötietoihin Tietosuojavaltuutetulle 72 tunnin kuluessa     rikkomisen havaitsemisesta. Lisäksi on velvollisuus ilmoittaa tapahtuneesta kaikille asianomaisille, mukaan lukien asiakkaat, joiden tiedot ovat vaarassa.

  • Tarkista valtuutetut käsittelijät.

Varmista, että yrityksesi valtuutetut käsittelijät, joille siirrätte henkilötietoja, ovat GDPR: n mukaisia. Lain mukaan on yrityksesi vastuussa oleva käsittelijä, joka on yksin vastuussa valtuutettujen käsittelijöiden riittävyyden arvioinnista.     

Uuden työntekijän koulutus

Uusille työntekijöille on varmistettava, että he saavat asianmukaisen koulutuksen ja yleiskatsauksen tietosuojaperiaatteista ennen kuin heille annetaan pääsy asiakkaiden tietoihin. Tätä varten suosittelemme uuden työntekijän käyttöönottoprosessin määrittämistä.

Ratkaisu ( joka on pian saatavana Erply-tilillesi ) on seuraava:

  1. Pyydä Erply: n asiakastukea lisäämään Tietosuoja- moduuli tilillesi.

         Erply: n Tietosuoja- moduuli näyttää informatiivisen ponnahdusikkunan jokaiselle käyttäjälle ja pyytää vahvistusta ennen jatkamista:

Työntekijöiden vahvistukset voidaan lisätä myös manuaalisesti suoraan työntekijän korttiin.

  1. Vahvista työntekijän pääsy asiakastietoihin:

  1.  Kun kaikki työntekijät ovat koulutettu, aktivoi rajoitukset kohdassa    

               “Asetukset” → “Yleiset asetukset”:

Loppusanat

Toivomme, että nämä ehdotukset ovat hyödyllisiä ja auttavat sinua luomaan vankan pohjan GDPR-vaatimusten  noudattamiselle.

Suunnittelemme vielä muutamia GDPR-ominaisuuksia Erply: n lisättäväksi.

Pysy kuulolla!

 

Kokeile järjestelmää 30 päivää maksutta

Aloita tästä