General Data Protection Regulation (GDPR)

Prezentare generală

Noile legi privind confidențialitatea și cele mai bune practici cu Odoo

Din 25^mai, 2018, General Data Protection Regulation (GDPR) intră în vigoare, deschizând o nouă eră a protecției datelor și a vieții private pentru toată lumea. Deși cu siguranță ați auzit și ați citit o mulțime de informații despre GDPR, poate fi dificil să înțelegeți exact ce înseamnă pentru afacerea dvs., în termeni practici, șice ar trebui să faceți pentru a fi conformi cu regulile noi.

La Odoo, ne angajăm să respectăm cele mai bune practici în materie de securitate și confidențialitate. Ne străduim să oferim același nivel de protecție tuturor utilizatorilor și clienților, fără distincție de locație sau cetățenie. Și aplicăm acele bune practici pentru toate datele, nu doar pentru datele personale.

So Odoo SA and its subsidiaries are compliant with GDPR.

Ce trebuiesăn știi despre GDPR

Este o Reglementare, care își propune să armonizeze și modernizeze legislația existentă în materie de confidențialitate, cum ar fi Directiva UE privind confidențialitatea datelor pe care o înlocuiește. Aceasta stabilește norme pentru protecția persoanelor fizice în ceea ce privește prelucrarea datelor lor cu caracter personal și libera circulație a datelor cu caracter personal în Europa.

Este o Reglementare, nu o Directivă, prin urmare aplicabilă imediat în toate statele membre ale UE, fără a necesita transpunerea în dreptul intern al fiecărei țări. Țările UE au o marjă limitată de interpretare pentru punctele mai fine, dar regulile fundamentale vor fi la fel pentru toată lumea, peste tot în UE.

GDPR de asemenea aduce legislația către următorul mileniu, luând în considerare rețelele sociale, cloud computing, criminalitatea cibernetică și provocările majore pe care le provoacă în ceea ce privește confidențialitatea și securitatea datelor cu caracter personal.

Pe scurt: Nu te panica!

GDPR nu este o legislație nouă și revoluționară și, în esență, este un lucru bun pentru cetățeni și întreprinderi.

Este Pozitiv!

Vrem să subliniem că GDPR poate fi grozav pentru tine și clienții tăi. Respectarea GDPR poate reprezenta inițial multă muncă, dar noile reguli prezintă avantaje:

• Încredere crescută din partea clienților și utilizatorilor dvs.
• Simplificare: aceleași reguli sunt aplicate în toate țările din UE
• Raționalizarea și centralizarea proceselor dumneavoastră organizaționale

Scopul GDPR este de a oferi persoanelor fizice mai multă supraveghere asupra datelor lor personale. Dacă compania dumneavoastră pune în aplicare strategiile și sistemele corecte, va fi mai ușor de gestionat, mai sigur și mai sigur pentru anii următori.

What are the risks if you aren't compliant?

Pedeapsa maximă pentru nerespectare este o amendă administrativă de 20 de milioane de euro sau 4% din cifra de afaceri anuală globală, oricare dintre acestea este mai mare. Pentru încălcările mai mici se aplică un maxim mai mic de 10 milioane de euro sau 2% din cifra de afaceri anuală globală.

These maximums are meant to be dissuasive for businesses of all sizes, but GDPR also requires the fines to be kept proportionate.

Autoritățile de supraveghere (cunoscute și sub numele de autorități de protecție a datelor: APD) trebuie să țină seama de circumstanțele fiecărui caz, inclusiv de natura, gravitatea și durata încălcării. Aceste APD au, de asemenea, competențe pentru a investiga și impune acțiuni corective, care includ limitarea activităților infracționale, fără a impune neapărat o amendă.

Un alt risc dacă nu te conformezi este pierderea încrederii clienților și potențialilor tăi, cărora le pasă de modul în care le procesezi datele!

În concluzie, multe APD au sugerat că nu vor impune amenzi încă în 2018, dar se așteaptă ca întreprinderile să demonstreze că lucrează pentru a se conforma.

Key principles of GDPR

Domeniul Aplicabil

The regulation applies to any processing of personal data by any organization:

1. Dacă organizația de control sau procesare este localizată în UE
2. Dacă organizația nu este în UE, dar prelucrarea implică date cu caracter personal ale persoanelor vizate situate în UE și este legată de oferte comerciale sau de monitorizare a comportamentului.

Prin urmare, domeniul de aplicare include companiile din afara UE, ceea ce nu era cazul cu legislația mai veche.

Roluri

Regulamentul distinge două tipuri principale de entități:

• Operator de date: orice entitate care stabilește scopurile și mijloacele a prelucrării datelor cu caracter personal, singuri sau împreună. Ca regulă generală, fiecare organizație este un operator pentru propriile date.
• Procesator de date: orice entitate care prelucrează date în numele unui operator de date.

De exemplu, dacă a voastră companie deține o bază de date găzduită pe Odoo Cloud, tu ești controlorul acestei baze de date, și Odoo SA este doar prelucratorul datelor. Dacă în schimb, folosești Odoo on premise, veți fi atâtcontrolorul cât și prelucratoruldatelor.

Date Personale

GDPR oferă o definiție largă a datelor cu caracter personal: orice informație referitoare la o persoană fizică identificată sau identificabilă. O persoană identificabilă este una care poate fi identificată, direct sau indirect,prin numele lor, e-mailuri, numere de telefon, informații biometrice, date de locație, date financiare etc. Identificatorii online (adrese IP, ID-uri dispozitive, …) sunt, de asemenea, în domeniu.

This applies in business contexts too: info@odoo.com is not considered personal, but john.smith@odoo.com is, because it can be used to identify a physical person within a company.

GDPR necesită, de asemenea, un nivel mai ridicat de protecție pentru datele sensibile, care include categorii specifice de date cu caracter personal, cum ar fi informații despre sănătate, genetice, rasiale sau religie.

Principiile de Procesare a Datelor

Pentru a fi conforme, activitățile de prelucrare trebuie să respecte următoarele reguli:
(toate listate în Articolul 5 al GDPR)

1. Legalitate, corectitudine și transparență: pentru a colecta date trebuie să ai o bază legală, un scop clar, și trebuie săinformezi persoana vizată

   • Aveți o politică de confidențialitate simplă și clară și faceți referire la ea oriunde colectați date.
   • Verificați temeiul legal pentru fiecare dintre activitățile dvs. de prelucrare a datelor

2. Limitarea scopului: odată colectat într-un scop, solicitați permisiunea dacă doriți să îl utilizați în alt scop.

   e.g. - You can't decide to sell your customer data if it was not collected for that purpose.

3. Minimalizare: trebuie să colectezi doar datele care sunt necesare scopului tău

4. Precizie: ar trebui să se ia măsuri rezonabile pentru a se asigura că datele sunt actualizate, în funcție de scopul urmărit

   e.g. - Be sure to handle bounced emails, and correct or delete the addresses.

5. Storage limitation: personal data should only be kept for the duration needed to fulfill its primary purpose.

   Definiți termenele de ștergere sau de revizuire a datelor cu caracter personal pe care le prelucrați, în funcție de scopul acestora.

6. Integritate și Confidențialitate:Procesatorii de date trebuie să implementeze măsuri adecvate de control al accesului, securitate și prevenire a pierderii datelor, în conformitate cu tipurile și amploarea datelor care sunt prelucrate.

   e.g. - Make sure your backup system is working, have proper security controls in place, use encryption to protect sensitive data such as passwords, ...

7. Responsabilitate: controlorii de date sunt responsabili și trebuie să poată demonstra conformitatea cu toate principiile de prelucrare de mai sus.

   • Stabiliți și mențineți o referință de cartografiere a datelor pentru organizația dvs., care să descrie conformitatea activităților dvs. de prelucrare
   • Informați-vă clienții prin intermediul unei politici de confidențialitate clare

Legal Basis

Pentru a fi legal conform GDPR (primul principiu), prelucrarea datelor cu caracter personal trebuie să se bazeze pe una din cele șase baze legale posibile, conform Articolului 6 (1):

1. Consimțământ. Este valabil atunci când persoana vizată și-a dat consimțământul în mod explicit și liber după ce a fost informată în mod corespunzător, inclusiv cu un scop clar și specific. Sarcina probei pentru toate acestea revine operatorului.
2. Necessar pentru performanța unui contract, sau pentru a îndeplini cereri de la persoana vizată, în pregătirea unui contract.
3. Respectarea unei obligații legale impuse operatorului.
4. Protejând un interes vital. Când prelucrarea este necesară pentru a salva o viață.
5. Interes public sau autoritate oficială.
6. Interes Legitim. Aplicabil atunci când operatorul are un interes legitim care nu este depășit de interesele și drepturile fundamentale ale persoanei vizate.

O schimbare majoră adusă de GDPR față de reglementările anterioare privind confidențialitatea datelor sunt cerințele mai stricte pentru obținerea unui valid consimțământ.

Drepturile Subiectului Datelor

Drepturile existente de confidențialitate a datelor pentru persoane sunt extinse în continuare de GDPR. Organizațiile trebuie să fie pregătite să trateze cererile din partea persoanelor vizate în timp util (în termen de 1 lună), gratuit:

1. Dreptul la acces - Persoanele fizice au dreptul de a ști ce și cum sunt prelucrate datele lor personale, în deplină transparență;
2. Dreptul la rectificare - Persoanele fizice au dreptul de a obține corectarea sau completarea datelor lor cu caracter personal;
3. Dreptul la ștergere - Persoanele fizice au dreptul de a obține ștergerea datelor lor cu caracter personal din motive legitime (consimțământ retras, nu mai este necesar pentru scop, etc.);
4. Dreptul la restricție - Persoanele fizice pot solicita operatorului să înceteze prelucrarea datelor lor cu caracter personal, în cazul în care nu doresc sau nu pot solicita ștergerea completă;
5. Dreptul de opoziție - Persoanele fizice au dreptul de a se opune în orice moment unei anumite prelucrări a datelor lor personale, de exemplu în scopuri de marketing direct;
6. Data Portability - Individualii au dreptul de a solicita ca datele cu caracter personal deținute de un operator să le fiefurnizate lor, sau unui alt operator.

Cum ar trebui să vă pregătiți pentru GDPR

Iată care sunt pașii cheie pe care îi sugerăm pentru o foaie de parcurs privind conformitatea cu GDPR:

1. Stabiliți Maparea Datelor a activităților de prelucrare a datelor ale organizației dvs.pentru a obține o imagine clară a situației. Autoritățile de protecție a datelor oferă adesea șabloane de foi de calcul pentru a ajuta în această sarcină. Pentru fiecare proces, documentați tipul de date cu caracter personal și modul în care au fost colectate; scopul, baza legală sau politica de ștergere al tratamentului; măsurile de siguranță tehnice și organizaționale implementate, și subcontractorii (prelucratorii) implicați.

   Va trebui să actualizați periodic această cartografiere a datelor, pe măsură ce procesele dumneavoastră evoluează.
2. Pe baza pasului 1, alege o Strategie de Remediere pentru orice prelucrare în cazul în care nu aveți un temei juridic (de exemplu, lipsa consimțământului) sau în cazul în care nu dispuneți de măsuri de securitate adecvate. Adaptați-vă procesele, procedurile interne, regulile de control al accesului, copiile de rezervă, monitorizarea etc.
3. Update and publish a clear Privacy Policy on your website. Explain what personal data you process, how you do it, and what are the rights of individuals with regard to their data.
4. Revizuiți-vă Contractele cu un consultant legal și adaptați-le la GDPR.
5. Decideți cum veți răspunde la diferitele tipuri de Solicitări Data Subject.
6. Prepare your Incident Response Procedure in case of data breach.

În funcție de situația dvs., pe listă ar putea fi adăugate și alte elemente, cum ar fi numirea unui responsabil cu protecția datelor. Consultați experții dumneavoastră interni în procesare și consilierii dumneavoastră juridici pentru a determina orice altă măsură relevantă.

Cum se conformează Odoo cu GDPR

La Odoo, implementarea celor mai bune practici de confidențialitate și securitate nu este o idee nouă. În calitate de companie de găzduire în cloud, revizuim și îmbunătățim constant sistemele, instrumentele și procesele noastre, pentru a menține o platformă excelentă și sigură.

Rolurile Noastre GDPR

Responsabilitățile noastre în ceea ce privește protecția datelor cu caracter personal depind de diferitele noastre activități de prelucrare a datelor:

Rolurile Noastre	Procesarea Datelor	Kind of data
Controlor Date & Procesor	Pe Odoo.com	Datele cu caracter personal care ne sunt furnizate de către clienții noștri direcți și potențiali clienți, partenerii noștri și toți utilizatorii direcți ai Odoo.com (nume, email-uri, adrese, parole ...)
Procesor Date	Pe Odoo Cloud (Odoo Online, Odoo.sh sau alte Servicii Odoo Enterprise)	Orice date personale stocate în bazele de date ale clienților noștri, găzduite în Cloud-ul Odoo sau transferate către noi în scopul utilizării unuia dintre serviciile noastre.Proprietarul bazei de date estecontrolorul datelor.
Fără rol	On-Premise	Orice date aflate în bazele de date Odoo găzduite on-premise sau în orice găzduire care nu este operată de noi.

Documentele Noastre GDPR

Ca și Controlor de Date, activitățile noastre sunt acoperite în Politica de Confidențialitate, care a fost actualizată pentru GDPR. Această politică explică cât mai clar posibil ce date procesăm, de ce le procesăm și cum o facem. Strâns legată de aceasta, politica noastră Politica de Securitate explică cele mai bune practici de securitate pe care le-am implementat la Odoo, la toate nivelurile (tehnic și organizatoric) pentru a garanta că datele dumneavoastră sunt prelucrate într-un mod sigur și securizat.

În plus față de aceste politici, activitățile noastre ca Procesator de Date sunt supuse acceptării noastre Contractul de Abonament Odoo Enterprise. Acest acord a fost actualizat pentru a adăuga Clauzele de Protecție a Datelor necesare (denumite adesea "Acord de Prelucrare a Datelor"), așa cum este cerut de GDPR.
Ca și client al Odoo S.A. nu aveți nimic de făcut pentru a accepta aceste schimbări, beneficiați deja de noile garanții, și vom considera că sunteți de acord dacă nu auzim nimic de la dvs.!

În plus față de aceste documente, am actualizat site-ul nostru web pentru a insera notificări de confidențialitate în toate locurile relevante, pentru a-i ține pe utilizatorii noștri informați în permanență.

Cum vă ajută Odoo să implementați cele mai bune practici GDPR

Utilizarea Odoo pentru a vă gestiona afacerea nu poate fi suficientă pentru conformitatea cu GDPR , , deoarece regulamentul se aplică întregii dvs. organizații. Cu toate acestea, deoarece Odoo centralizează datele dvs., reduce redundanța datelor și implementează drepturi de acces granulare și controale de securitate, poate fi de mare ajutor pentru a vă conforma cu GDPR.

Iată câteva moduri în care credem că Odoo vă poate ajuta în contextul GDPR, atât pentru bazele de date Odoo on-premise, cât și pentru cele găzduite în cloud.

Dreptul de Acces (Art. 15) și Dreptul la Portabilitatea Datelor (Art. 20)

• Odoo oferă câteva instrumente pentru ca persoanele vizate să acceseze și să își actualizeze informațiile personale în modul de autoservire:
  • Portalul de client permite utilizatorilor să răsfoiască documentele contractuale: adresă și contacte, facturi, cotații, comenzi, sarcini, bilete de asistență, achiziții, abonamente, comenzi de livrare, plăți, precum și comunicări în jurul acestor documente.
  • The mailing lists page, allows users to review and manage their subscriptions (Example for odoo.com: https://www.odoo.com/groups)
  • The forum profile allows your forum users to review all their activities at a glance
• Dacă trebuie să exportați toate datele sau să comunicați date private care nu sunt accesibile prin portal, sunt necesari câțiva pași manuali.
  De obicei, puteți ajunge la toate documentele relevante direct din bara de sus a formularului de contact al utilizatorilor, unde sunt legate. Puteți exporta apoi toate informațiile cu funcția „Imprimați ca PDF” a browserului dvs. sau cu meniul Acțiune>Exportdin lista contactelor sau din lista documentelor.
  Ambele opțiuni oferă formate electronice conforme GDPR.
• În plus, este posibil să aveți informații care nu au legătură cu formularul de contact, pe care persoana vizată le-ar fi introdus într-un context separat. De asemenea, ar trebui să le analizați, căutând după nume sau adresă de e-mail, de exemplu
  • Abonament evenimente
  • Leads & Opportunities in your CRM

Dreptul de a fi uitat(Art. 17)

GDPR acordă persoanelor vizate dreptul de a solicita ștergerea datelor lor cu caracter personal, în anumite condiții, cum ar fi:

• The data is not necessary anymore according to thepurpose;
• Ei își retrag consimțământul pentru o prelucrare pe care s-a bazat doar pe consimțământ;
• Procesarea este în acest cazilegală.

Dacă determinați că solicitarea este legitimă și ați confirmat identitatea subiectului,  puteți încerca să ștergeți solicitarea corespunzătoarecontactului în Odoo. Acest lucru este sigur: sistemul va bloca operațiunea dacă un document de afaceri se referă în continuare la persoana de contact (factură, contact, ordin de livrare, postare pe forum etc.). În acest caz, ar trebui să decideți dacă aveți alte obligații de a păstra aceste documente și trebuie să refuzați cererea de ștergere.

Dacă nu aveți niciun motiv legal pentru a păstra informațiile personale, dar nu puteți sau nu doriți să ștergeți un document sau un contact, luați în considerare anonimizarea acestuia. Puteți redenumi persoana de contact și modifica datele sale de recunoscut (e-mail, adresă etc.) sau puteți reatribui documente unui contact genericAnonim. Odată anonimizate corespunzător, aceste date nu vor mai fi date personale

Restrictionarea Procesării (Art. 18) și Retragerea Consimțământului (Art. 7)

Utilizatorii vor cere adesea să fie dezabonați de la e-mailurile comerciale. Dacă e-mailurile dvs. au fost trimise prin Odoo, utilizatorii o pot face singuri folosind linkul de dezabonare din subsol. Dar puteți, de asemenea, să bifați manual câmpul "opt-out" pe o persoană de contact sau client potențial/oportunitate. Înregistrările marcate "opt-out" sunt excluse automat din campaniile de corespondență în masă, dar pot primi în continuare mesaje directe de la utilizatori (de exemplu, cotații, facturi).

Dreptul la Rectificare (Art. 16) și Acuratețea Datelor (Art. 5 (1) d)

Adresele de e-mail nevalide/schimbate sunt o sursă comună de erori de date. Când integrarea e-mailului este configurată corect (în mod implicit pe Odoo Cloud), Odoo gestionează e-mailurile respinse în e-mailurile în masă și incrementează un câmp Bounce cu numărul de mesaje returnate. Vă puteți revizui periodic contactele sau lead-urile dvs. cu o căutare personalizată activată "Bounce mai mare decât 0" și le puteți curăța/șterge.

Urmăritorii canalelor Odoo Discuss sunt automat dezabonați după 10 respingeri.

În ceea ce privește rectificarea, utilizatorii și clienții pot, de asemenea, să își corecteze propriile date personale (nume, e-mail, adresă) prin intermediul portalului Odoo.

Consimţământ (Art. 7)

Atunci când colectați date cu caracter personal prin intermediul mecanismelor implicite ale Odoo (de exemplu, formularul de contact, înscrierea în listele de distribuție, înscrierea la evenimente), trebuie să stabiliți un scop și un temei juridic pentru prelucrare. Acest lucru depinde în mare măsură de modul în care veți utiliza datele.

Dacă scopul este specific și evident (de exemplu, stocați participanții înregistrați la eveniment pentru a-i ține informați despre durata evenimentului; abonați pe cineva la lista de corespondență pe care a ales-o), nu trebuie să le solicitați consimțământul explicit (datele personale sunt necesare pentru un contract - Art. 6 (1) b). Cu toate acestea, trebuie să clarificați scopul utilizatorului și să consultați pagina cu Politica de confidențialitate unde oferiți mai multe informații. Puteți folosi generatorul de site-uri web Odoo pentru a edita formularele și pentru a adăuga mențiunile necesare.

Cu toate acestea, dacă intenționați să folosiți datele colectate în alte scopuri, trebuie să obțineți consimțământul explicit al utilizatorului pentru fiecare scop în parte. Modalitatea recomandată este să adăugați căsuțe de bifat în formularul dvs. pentru a obține consimțământul pentru fiecare scop specific (de exemplu, "Vă rog să-mi trimiteți prin e-mail reduceri și promoții la produse similare"). Pentru a face acest lucru cu Odoo, puteți:

1. Utilizați Odoo Studio pentru a adăuga un câmp de casetă de selectare (boolean) pe documentul care colectează date personale (de exemplu, clienți potențiali/oportunitate), pentru a reprezenta consimțământul în acest scop
2. Adăugați caseta de selectare în formularul site-ului dvs. prin intermediul constructorului de site-uri Odoo
3. Utilizați acest câmp atunci când procesați date în acest scop, de exemplu în filtrele de segmente ale campaniilor dvs. de marketing

Confidențialitate prin Design (Art. 25)

Security by Design stă la baza muncii echipei Odoo de R&D, și aplicăm cele mai bune practici de securitate software-ului nostru. Sigur, robust și rezistent pentru toată lumea.

Controlul accesului - Mecanismul implicit de control al accesului bazat pe grupuri al Odoo vă permite să restricționați accesul la datele personale în funcție de rolul și nevoile fiecărui utilizator. (de ex: un manager de proiect nu ar avea nevoie de acces la Cereri de angajare). Dacă revizuiți atribuirile grupurilor de utilizatori și le mențineți corespunzător când rolurile se schimbă în organizația dvs., aveți o bază solidă de confidențialitate. Puteți adăuga sau modifica ușor grupuri de utilizatori pentru a le adapta organizației dvs.

Reguli de Înregistrare - Pentru a ajusta accesul la datele personale, puteți utiliza conceptul de Reguli de înregistrare, care vă permit să restricționați accesul la documente în funcție de orice criteriu pe baza valorilor câmpului. Regulile de înregistrare pot bloca operațiunile de citire și/sau scriere și funcționează pe bază de document. Pentru mai multe informații, vă rugăm să consultați documentația noastră.

Parole - Odoo stochează parolele utilizatorilor cu hashing securizat standard din industrie. De asemenea, este posibil să utilizați sisteme de autentificare externe, cum ar fi OAuth 2.0 sau LDAP, pentru a evita deloc stocarea parolelor de utilizator.

Datele Angajaților - Un domeniu în care este posibil ca bazele de date Odoo să includă date personale sensibile este cel al Informațiilor PrivateAceastă parte a Anuarului angajaților este vizibilă doar pentru personalul HR (grupul "HR Officer"), care are nevoie de ea pentru munca sa. Această protecție se extinde la adresa personală a angajaților: pentru Odoo 12 până la Odoo 17, aceasta este stocată ca și Contacte de tip "Private", care sunt vizibile doar pentru personalul HR. Începând cu versiunea 17.0, aceasta este stocată direct în înregistrarea angajatului.

Securitatea Procesării (Art. 25 & 32)

Dacă utilizați serviciile Odoo Online sau Odoo.sh, implementăm cele mai bune practici de securitate și confidențialitate la toate nivelurile. Puteți afla mai multe despre acestea în pagina noastră de Politica de Securitate.
Dacă utilizați Odoo pe serverul dvs., sunteți responsabil pentru urmarea celor mai bune practici de securitate. Puteți începe cu recomandări securitate din documentația noastră de implementare.