Personvern og databehandleravtale: tilgjengeliggjøring i tråd med GDPR

En digital bruksanvisning behandler ved første øyekast knapt personopplysninger. Men så snart brukere ber om en papirversjon eller teamet ditt arbeider i appen, oppstår navn, adresser, e-postadresser og innloggingsdata. Denne siden forklarer hvordan ManualPass håndterer dette. Tekniske beskyttelsestiltak som kryptering og atskillelse av kunder beskriver siden Sikkerhet.

Hvilke personopplysninger oppstår?

Hvem er behandlingsansvarlig, og hvem er databehandler?

Behandlingsansvarlig etter GDPR er den som bestemmer formålet med og midlene for en behandling. Databehandler er den som behandler personopplysninger på vegne av og etter instruks fra den behandlingsansvarlige.

Inngå databehandleravtalen på nett i appen

En databehandleravtale regulerer etter GDPR artikkel 28 hvordan en tjenesteleverandør behandler personopplysninger på vegne av den behandlingsansvarlige. Hos ManualPass inngår du den direkte i applikasjonen:

1. Åpne området «Personvern & databehandleravtale» i appen.
2. Gå gjennom avtaleteksten med de tekniske og organisatoriske tiltakene (TOM) i vedlegg 2.
3. Inngå avtalen elektronisk.
4. Lagre den inngåtte avtalen som PDF for dokumentasjonen din.

Elektronisk form er tilstrekkelig: GDPR artikkel 28 nr. 9 tillater uttrykkelig et elektronisk format i tillegg til skriftlig form. Inngåelsen av databehandleravtalen registreres i endringsloggen med tidspunkt og person.

Hvor behandles dataene?

Alle data ligger på servere i Tyskland: dokumenter, logg, team- og kontodata samt opplysningene fra papirforespørsler. Eneste underdatabehandler er hostingleverandøren lima-city (TrafficPlex GmbH, Bremen).

Skanneside uten informasjonskapsler og uten sporing

Skannesiden er den offentlige nettsiden som brukerne ser etter at de har skannet QR-koden. Den bruker ingen informasjonskapsler og ingen sporing. Kundene dine blir altså ikke sporet når de leser bruksanvisningen.

Papirforespørsler: dataminimering gjennom anonymisering

Ber en bruker om en papirversjon, trenger produsenten navn og adresse for forsendelsen. Deretter er disse opplysningene ikke lenger nødvendige. ManualPass anonymiserer derfor papirforespørsler automatisk etter forsendelsen:

• Valgfri frist: 6, 12, 24 eller 36 måneder etter forsendelse.
• Beholdes: dato, maskin og status for forespørselen.
• Fjernes: personopplysningene til den som sendte forespørselen.

Slik kan du fortsatt dokumentere at forespørsler ble behandlet innen fristen, uten å oppbevare adressedata lenger enn nødvendig. Prosessen for forespørselen beskriver siden Papirforespørsel.

Sikkerhetsdata slettes etter 24 timer

Mislykkede innloggingsforsøk og utløpte lenker for tilbakestilling av passord lagrer ManualPass bare kortvarig for å hindre misbruk. Disse dataene slettes etter 24 timer. Bare oppføringene i endringsloggen, for eksempel vellykkede innlogginger, oppbevares lenger, fordi de dokumenterer hvem som utførte hvilken handling når.

Tekstforslag til personvernerklæringen din

Fordi du som behandlingsansvarlig må informere brukerne om behandlingen, stiller ManualPass et tekstforslag til rådighet i appen. Du tar det inn i din egen personvernerklæring og tilpasser det til virksomheten din. Tekstforslaget beskriver at du bruker en tjenesteleverandør til å gjøre dokumentene tilgjengelige og til å behandle papirforespørsler. Gå gjennom den tilpassede teksten sammen med personvernombudet ditt.

Sjekkliste for personvern

• Inngå databehandleravtalen i appen under «Personvern & databehandleravtale» og arkiver den som PDF
• Fastsett anonymiseringsfrist for papirforespørsler
• Ta tekstforslaget inn i din egen personvernerklæring
• Før opp ManualPass og underdatabehandleren i protokollen over behandlingsaktiviteter