GDPR σε ατομική επιχείριση

[Επισκέπτης]

Καλημέρα σε όλους,

Θα ήθελα να ανοίξω ένα θέμα για το νέο κανονισμό προσωπικών δεδομένων GDPR για επιχειρήσεις. Παράδειγμα μια ατομική επιχείρηση (κατάστημα με επισκευές υπολογιστών) όπου εργάζεται σε αυτήν μόνο ο ίδιος ο ιδιοκτήτης και τα προσωπικά δεδομένα που κρατάει από τους πελάτες του είναι το όνομα, επώνυμο, το τηλέφωνο τους και το τι επισκεύασε στη συσκευή του πελάτη χρειάζεται να κάνει κάτι συγκεκριμένο βάση του νόμου? Το backup των δεδομένων μιας συσκευής παράδειγμα απλά τα μεταφέρει κατά τη διαδικασία της επισκευής μετά διαγράφονται οριστικά από το δίσκο του καταστήματος. Και φυσικά τα στοιχεία των προμηθευτών της επιχείρησης.

Γνωρίζει κανείς σας κάτι πάνω σε αυτό το κομμάτι?

Ευχαριστώ πολύ

Επεξ/σία 21 Οκτωβρίου 2018 από Επισκέπτης

[vngls7]

Κοίτα γενικά το GDPR προβλέπει κανόνες για τα προσωπικά στοιχεία τα οποία αποκτήθηκαν κατά βάση ηλεκτρονικά από εταιρίες και εσύ σαν πελάτης-χρήστης δεν ήξερες τι χρήση γίνεται με τα στοιχεία σου. Οι εταιρίες είτε τα χρησιμοποιούσαν για διαφημιστικές καμπάνιες δικές τους ή συνεργατών τους είτε τα πουλούσαν σε διαφημιστικές-άλλες εταιρίες. Τώρα αν εσύ έχεις ένα τεφτερι με ονόματα και τηλέφωνα από πελάτες δεν νομίζω να χρειάζεται να τους πεις να συναινέσουν σε κάτι. Αν από την άλλη στέλνει μειλ με προσφορές, ενημερώσεις ή οτιδήποτε άλλο ΗΛΕΚΤΡΟΝΙΚΑ πρέπει να ενημερώσει τους χρήστες για τα στοιχεία που κρατάει και ως προς τι θα τα χρησιμοποιεί και να ζητάει τη συναίνεση τους. Αν δεν συμφωνούν πρέπει να τους δίνει τη δυνατότητα διαγραφής. Αυτά, πολυ "χοντρικά". Γενικά καλό είναι να συμβουλεύεστε κάποιο ειδικό εσείς με τις επιχειρήσεις γιατί τα πρόστιμα είναι τσουχτερά αν ποτέ λειτουργήσει όλο αυτό εδώ σωστά.

[agamoi-thytai]

Πρέπει να σιγουρευτείς πως αυτά τα στοιχεία δεν θα φύγουν εκτός της επιχείρησης.

διαφορετικα κινδυνεύεις με πρόστιμο,

[dpolal]

6 ώρες πριν, linuxaki είπε

Καλημέρα σε όλους,

Θα ήθελα να ανοίξω ένα θέμα για το νέο κανονισμό προσωπικών δεδομένων GDPR για επιχειρήσεις. Παράδειγμα μια ατομική επιχείρηση (κατάστημα με επισκευές υπολογιστών) όπου εργάζεται σε αυτήν μόνο ο ίδιος ο ιδιοκτήτης και τα προσωπικά δεδομένα που κρατάει από τους πελάτες του είναι το όνομα, επώνυμο, το τηλέφωνο τους και το τι επισκεύασε στη συσκευή του πελάτη χρειάζεται να κάνει κάτι συγκεκριμένο βάση του νόμου? Το backup των δεδομένων μιας συσκευής παράδειγμα απλά τα μεταφέρει κατά τη διαδικασία της επισκευής μετά διαγράφονται οριστικά από το δίσκο του καταστήματος. Και φυσικά τα στοιχεία των προμηθευτών της επιχείρησης.

Γνωρίζει κανείς σας κάτι πάνω σε αυτό το κομμάτι?

Ευχαριστώ πολύ

Αφού δεν υπάρχει άλλος υπάλληλος και είναι ατομική επιχείρηση τότε όλα τα δεδομένα τα διαχειρίζεται ο ίδιος ο υπεύθυνος για την φύλαξη τους. (ο επιχειρηματίας δηλαδή)
Φροντίζει καταρχήν ο Η/Υ στον οποίο αποθηκεύει τα στοιχεία των πελατών  να έχει τις τυπικές προστασίες (antivirus, user password, firewall, κλπ) και ότι δεν έχει πρόσβαση σε αυτόν ο οποιοσδήποτε τυχαίος μπεί στο κατάστημα.
Δεν είναι δηλαδή σε κοινή θέα και εύκολος στην πρόσβαση από επισκέπτες.

Επίσης τα παραπάνω αρχεία δεν είναι τίποτα plain ascii files πεταμένα στην επιφάνεια εργασίας αλλά τουλάχιστον κάτι ποιό πολύπλοκο, π.χ. excel όπου μπορεί (δεν είναι απαραίτητο) να υπάρχει και ένας κωδικός προστασίας κατά το άνοιγμα. (θα εξηγήσω παρακάτω γιατί δεν είναι τόσο απαρείτητο)

Τώρα το ότι κρατιούνται μόνο ένα όνομα, ένα τηλέφωνο και η περιγραφή της βλάβης από έναν πελάτη ΔΕΝ είναι εμπίπτει 100% στους κανόνες του GDPR αφού αυτά τα δεδομένα ΔΕΝ μπορούν να ταυτοποιήσουν επακριβώς ένα άτομο και δεν είναι ευαίσθητα προσωπικά δεδομένα οπότε έχωντας τυπικά εξασφαλίσει όλα τα προηγούμενα είσαι οκ απέναντι στους κανόνες του gdpr.
Επίσης αφού δεν πρόκειται να γίνει ποτέ επεξεργασία των στοιχείων αυτών, κοινώς να αρχίσεις να τους καλείς για διαφημιστικές προσφορές ή να δώσεις τα τηλέφωνα τους σε άλλους για τον σκοπό αυτό είσαι εντάξει.

Τα στοιχεία των προμηθευτών της επιχείρησης, αν αποθηκεύονται όπως και των πελατών είναι το ίδιο οκ.
Αν όμως υπάρχει εγκατεστημένο κάποιο λογιστικό πακέτο και εκεί αποθηκεύονται οι καρτέλες τους τότε η εταιρεία που έχει φτιάξει το πακέτο αυτό είναι υποχρεωμένη να διασφαλίσει στον επιχειρηματία ότι τα δεδομένα είναι ασφαλή, το κάνουν οι περισσότερες λόγο του gdpr.

Τέλος για τα δεδομένα των πελατών που περνάνε σε backup δίσκο μέχρι να γίνει η επισκευή και διαγράφονται μετά δεν είναι ακριβώς ότι αφορά το gdpr καθώς δεν αποθηκεύονται μόνιμα μεν αλλά καλό είναι να διασφαλίζονται όσοι πελάτες έχουν τέτοιες ευαισθησίες. (κοινώς φέρε μου δικό σου usb δίσκο για να μεταφέρω εκεί τα δεδομένα, πάρτων μαζί σου και κάνε ότι θες μετά.)

Λίγο, πολύ με τα παραπάνω είσαι εξασφαλισμένος.

Ακόμα και στην τραβηγμένη από τα μαλλιά περίπτωση που σου χακάρουν ή σου κλέψουν το πισί και μαζί με αυτό το αρχείο με τους πελάτες έχωντας εξασφαλίσει τα παραπάνω είσαι καλυμένος εφόσον δηλώσεις σε εύλογο διάστημα την κλοπή.
Το ότι μέσα στο πισί υπάρχει ένα όνομα π.χ. Παπαδόπουλος Αθανάσιος, ένα τηλέφωνο 210-123456789 και ένα στοιχείο του στύλ «01/01/2018 - αντικατάσταση τροφοδοτικού» δεν σημαίνει τίποτα το επικίνδυνο για τον Παπαδόπουλο Αθανάσιο και ούτε πρόκειτε να αρχίσουν να σκάνε πρόστιμα.
 

 

Επεξ/σία 21 Οκτωβρίου 2018 από dpolal

[Επισκέπτης]

Εγώ παράδειγμα τους πελάτες λιανικής τους γράφω σένα excel απλά για να ξέρω τι βλάβη, πότε μου το έφεραν και τι επισκεύασα.

Τους πελάτες χονδρικής και τους προμηθευτές μου τους έχω σε ένα πρόγραμμα μηχανογράφησης τοπικά στον υπολογιστή μου όχι σε cloud για να  κόβω τα τιμολόγια και τα δελτία αποστολής.

Όλα αυτά που μου είπατε τα έχω κάνει ήδη απλά πολλοί μου λένε ότι πρέπει να έχω και κάποιο έγγραφο που να αναφέρει αυτά που έχω κάνει από κάποιον ειδικό με πιστοποίηση GDPR, ισχύει ότι χρειάζεται αυτό το έγγραφο?

 

[opcorsa]

Για να μην ανοιγω ξανα θεμα κι εγω.. ερωτηση

φτιαχνω μια νεα σελιδα για ενα ξενοδοχειο, και θελω να βαλω και newsletter ωστε να δινουν email οι πελατες ωστε να τους στελνω που και που ταξιδιωτικα νεα, νεα του ξενοδοχειου και καμια προσφορα.. ο ΙΤ ομως μου ειπε καλυτερα να μην το κανω μην βρω κανεναν μπελα με το GDPR Πλεον και να μιλησω πρωτα με δικηγορους κλπ? ποια η γνωμη σας? ειναι τοσο σοβαρο αν τους περνω το εμαιλ με ξεκαθαρο σκοπο την ενημερωση τους για το ξενοδοχειο και για ταξιδιωτικα νεα του τοπου οπου βρισκεται το ξενοδοχειο?

μην παω για μαλλι και βγω κουρεμενος δηλαδη..

[lightsout]

12 λεπτά πριν, opcorsa είπε

Για να μην ανοιγω ξανα θεμα κι εγω.. ερωτηση

φτιαχνω μια νεα σελιδα για ενα ξενοδοχειο, και θελω να βαλω και newsletter ωστε να δινουν email οι πελατες ωστε να τους στελνω που και που ταξιδιωτικα νεα, νεα του ξενοδοχειου και καμια προσφορα.. ο ΙΤ ομως μου ειπε καλυτερα να μην το κανω μην βρω κανεναν μπελα με το GDPR Πλεον και να μιλησω πρωτα με δικηγορους κλπ? ποια η γνωμη σας? ειναι τοσο σοβαρο αν τους περνω το εμαιλ με ξεκαθαρο σκοπο την ενημερωση τους για το ξενοδοχειο και για ταξιδιωτικα νεα του τοπου οπου βρισκεται το ξενοδοχειο?

μην παω για μαλλι και βγω κουρεμενος δηλαδη..

Στην περίπτωση σου νομίζω πως με μια φόρμα ενημέρωσης-συναίνεσης θα είσαι ok.

[opcorsa]

14 λεπτά πριν, lightsout είπε

Στην περίπτωση σου νομίζω πως με μια φόρμα ενημέρωσης-συναίνεσης θα είσαι ok.

ενα απλο "τικ" ας πουμε οτι συναινω σαν πελατης να με ενημερωνει ο "ταδε" για το ξενοδοχειο του και τα νεα του?

ο ΙΤ μου ειπε μονο με δικηγορο να σου φτιαξει φορμες κλπ και προφανως θελω να γλιτωσω αυτο το εξοδο εκει..

 

[lightsout]

46 λεπτά πριν, opcorsa είπε

ενα απλο "τικ" ας πουμε οτι συναινω σαν πελατης να με ενημερωνει ο "ταδε" για το ξενοδοχειο του και τα νεα του?

ο ΙΤ μου ειπε μονο με δικηγορο να σου φτιαξει φορμες κλπ και προφανως θελω να γλιτωσω αυτο το εξοδο εκει..

Ναι απλά να τικάρει κάπου ο πελάτης και θα μπορούσε να γράφει η φόρμα "συναινώ στη χρήση της ηλεκτρονικής μου διεύθυνσης για .........μπλα μπλα μπλα" ή κάπως έτσι. Να είναι ξεκάθαρο σε τι ακριβώς του ζητείται η συναίνεση.  Επίσης, να φαίνεται καθαρά με ποιον τρόπο μπορεί να διαγραφεί από το newsletter. Τέλος, για να είστε και καλυμμένοι σαν επιχείρηση, θα πρέπει όλα αυτά τα δεδομένα που θα προκύψουν (όπως για παράδειγμα οι συναινέσεις που τυχόν λάβετε) να αποθηκευτούν σε κάποια βάση δεδομένων.

Νομίζω πως μπορείτε να αποφύγετε τον δικηγόρο.

[dpolal]

2 ώρες πριν, linuxaki είπε

Εγώ παράδειγμα τους πελάτες λιανικής τους γράφω σένα excel απλά για να ξέρω τι βλάβη, πότε μου το έφεραν και τι επισκεύασα.

Τους πελάτες χονδρικής και τους προμηθευτές μου τους έχω σε ένα πρόγραμμα μηχανογράφησης τοπικά στον υπολογιστή μου όχι σε cloud για να  κόβω τα τιμολόγια και τα δελτία αποστολής.

Όλα αυτά που μου είπατε τα έχω κάνει ήδη απλά πολλοί μου λένε ότι πρέπει να έχω και κάποιο έγγραφο που να αναφέρει αυτά που έχω κάνει από κάποιον ειδικό με πιστοποίηση GDPR, ισχύει ότι χρειάζεται αυτό το έγγραφο?

Δεν υπάρχει τέτοιου είδους έγγραφο ούτε εκδίδεται κάποια πιστοποίηση και δεν χρειάζεσαι στο φινάλε σύμφωνα με όσα είπες.

[Par1s*]

6 ώρες πριν, opcorsa είπε

Για να μην ανοιγω ξανα θεμα κι εγω.. ερωτηση

φτιαχνω μια νεα σελιδα για ενα ξενοδοχειο, και θελω να βαλω και newsletter ωστε να δινουν email οι πελατες ωστε να τους στελνω που και που ταξιδιωτικα νεα, νεα του ξενοδοχειου και καμια προσφορα.. ο ΙΤ ομως μου ειπε καλυτερα να μην το κανω μην βρω κανεναν μπελα με το GDPR Πλεον και να μιλησω πρωτα με δικηγορους κλπ? ποια η γνωμη σας? ειναι τοσο σοβαρο αν τους περνω το εμαιλ με ξεκαθαρο σκοπο την ενημερωση τους για το ξενοδοχειο και για ταξιδιωτικα νεα του τοπου οπου βρισκεται το ξενοδοχειο?

μην παω για μαλλι και βγω κουρεμενος δηλαδη..

Αν χρησιμοποιήσεις κάποια πλατφόρμα τότε ρίξε μία ματιά στο mailchimp το οποίο έχει επιλογές για GDPR, όπου στην ουσία η επιχείρηση δεν αποθηκεύει σε δικό της μέσο τα δεδομένα του χρήστη που έκανε εγγραφή για το newsletter και επίσης το Mailchimp αποθηκεύει το τι τίκαρε ο χρήστης ώστε να μπορεί η επιχείρηση να αποδείξει πως γράφτηκε με την θέληση του.

Εγώ έχω δημιουργήσει 3 segments (Προσφορές, προωθητικά μηνύματα, ενημερώσεις) και τους ζητάω να επιλέξουν (τικ) τουλάχιστον ένα από αυτά. Έτσι όταν θέλω να στείλω Mail με προσφορές θα πάει μόνο σε εκείνους που το έχουν επιλέξει. Αντίστοιχα και με τα άλλα.

https://mailchimp.com/help/collect-consent-with-gdpr-forms/

[BritGreek]

Παιδιά, είναι πιο σύνθετα τα πράγματα. Οποιαδήποτε επιχείρηση οφείλει να ενημερώνει τον πελάτη για τον τρόπο που διαχειρίζεται τα δεδομένα του, πότε τα διαγράφει και γιατί τα χρησιμοποιεί, ενώ ο πελάτης έχει δικαίωμα να αρνηθεί, εκτός αν μιλάμε για απαραίτητα στοιχεία για την έκδοση παραστατικών, τα οποία αν μπει έλεγχος και τα βρει χύμα στο χώρο σας, θα έχετε μεγάλο πρόβλημα. Ρωτήστε ένα δικηγόρο ή τα σωματεία/ομοσπονδίες σας, γιατί οφείλετε να λαμβάνετε τη συναίνεση των πελατών ενυπόγραφα, είτε σε έντυπο ή με ψηφιακή τους υπογραφή. Εδώ βγήκαν άκυρα μέχρι και πασίγνωστα εμπορικά προγράμματα πελατολογίου και CRM που δεν προσαρμόστηκαν στα δεδομένα του GDPR. Μεγάλη προσοχή γιατί οι καιροί είναι πολύ πονηροί.

Επεξ/σία 22 Οκτωβρίου 2018 από BritGreek

[opcorsa]

6 ώρες πριν, Par1s* είπε

Αν χρησιμοποιήσεις κάποια πλατφόρμα τότε ρίξε μία ματιά στο mailchimp το οποίο έχει επιλογές για GDPR, όπου στην ουσία η επιχείρηση δεν αποθηκεύει σε δικό της μέσο τα δεδομένα του χρήστη που έκανε εγγραφή για το newsletter και επίσης το Mailchimp αποθηκεύει το τι τίκαρε ο χρήστης ώστε να μπορεί η επιχείρηση να αποδείξει πως γράφτηκε με την θέληση του.

Εγώ έχω δημιουργήσει 3 segments (Προσφορές, προωθητικά μηνύματα, ενημερώσεις) και τους ζητάω να επιλέξουν (τικ) τουλάχιστον ένα από αυτά. Έτσι όταν θέλω να στείλω Mail με προσφορές θα πάει μόνο σε εκείνους που το έχουν επιλέξει. Αντίστοιχα και με τα άλλα.

https://mailchimp.com/help/collect-consent-with-gdpr-forms/

οποτε με το mailchimp λες να την γλυτωσω φτηνα? ή να μην ασχοληθω καθολου?

η αληθεια ειναι οτι για mailchimp σκεφτομουν κι εγω μου ειναι ηδη γνωστο , ουτως η αλλως δεν θα ζηταω στοιχεια...το πολυ ονομα επιθετο και χωρα καταγωγης..

[vngls7]

15 hours ago, opcorsa said:

ενα απλο "τικ" ας πουμε οτι συναινω σαν πελατης να με ενημερωνει ο "ταδε" για το ξενοδοχειο του και τα νεα του?

ο ΙΤ μου ειπε μονο με δικηγορο να σου φτιαξει φορμες κλπ και προφανως θελω να γλιτωσω αυτο το εξοδο εκει..

Ο δικηγόρος δεν θα σου γράψει τις φόρμες αλλά την πολιτική απορρήτου και cookies για να είναι 100% ξεκάθαρο στο χρήστη τι ακριβώς θα κανείς με τα στοιχεία του. Γράψε σωστά αυτά τα 2, βάλε opt in επιλογή για τα cookies αν δεν το έχεις κάνει ήδη και ζητα συναίνεση από τους χρήστες με ξεκάθαρα γραμμένο στο τι συναινούν και θα είσαι οκ.

[Par1s*]

6 ώρες πριν, opcorsa είπε

οποτε με το mailchimp λες να την γλυτωσω φτηνα? ή να μην ασχοληθω καθολου?

η αληθεια ειναι οτι για mailchimp σκεφτομουν κι εγω μου ειναι ηδη γνωστο , ουτως η αλλως δεν θα ζηταω στοιχεια...το πολυ ονομα επιθετο και χωρα καταγωγης..

99% (αφήνω 1% μήπως δεν έχω καταλάβει κάτι σωστά) όταν ένας subscriber δώσει το mail του και επιπλέον τικάρει μία επιλογή τότε είσαι καλυμμένος σε ότι αφορά τα συγκεκριμένα mail αφού εσύ δεν αποθηκεύεις τίποτα, το mailchimp είναι αυτό που αποθηκεύει και έχει κάνει όλες τι ενέργειες για την διαφύλαξη των δεδομένων. Εσύ όμως αυτό πρέπει να το αναφέρεις στην πολιτική απορρήτου σου. Επίσης μπορεί να διαγραφεί από την λίστα αυτή όποτε θέλει (όπως επιβάλλει ο κανονισμός) πατώντας unsubscribe που θα υπάρχει σε κάθε email που του στέλνεις.

*Ονοματεπώνυμο γιατί να ζητήσεις; Όσο λιγότερα ζητάς, είναι πιθανότερο να εγγραφεί κάποιος στην λίστα σου.