Kus andmed hoitakse
Smartsheeti andmed hoitakse vaikimisi Ameerika Ühendriikide pilveserverites (AWS). See sobib paljudele ettevõtetele, aga kui sa töötled märkimisväärses mahus isikuandmeid (näiteks tervishoiu- või avaliku sektori andmeid), võib vaja minna Euroopa andmekeskust.
Enterprise tasemel saad valida EL andmekeskuse Saksamaal. Kõik su ettevõtte andmed jäävad siis füüsiliselt Euroopa Liidus.
Milline sertifitseerimine Smartsheetil on
Smartsheet vastab järgmistele standarditele:
- GDPR — isikuandmete kaitse üldmäärus
- ISO 27001 — infoturbe halduse süsteemi rahvusvaheline standard
- SOC 2 tüüp II — teenusepakkujate auditeerimisstandard, mis kinnitab turvalisuse, käideldavuse ja konfidentsiaalsuse pidevat jälgimist
- HIPAA — USA tervishoiu andmete nõuded (Enterprise tasemel)
- FedRAMP — USA föderaalasutuste pilveteenuste nõuded
Kõik sertifikaatide dokumendid on kättesaadavad Smartsheeti Trust Centeris. Kui sinu audiitor neid küsib, saab need samal päeval edastada.
Andmetöötlusleping
Kui sinu ettevõte kogub kliendi- või töötajaandmeid Smartsheetis, pead GDPR-i alusel sõlmima andmetöötluslepingu. Selles lepingus määratakse:
- Millisel eesmärgil Smartsheet andmeid töötleb
- Milliseid turvameetmeid ta rakendab
- Kuidas toimub teavitamine andmelekke korral
- Kuidas lõpetamisel andmed kustutatakse
Andmetöötlusleping on Smartsheetil standardne dokument ja selle allkirjastamine toimub Enterprise tasemel. Aligned Partnerina aitame meie selle sõlmimise korraldada.
Kasutajate õigused — mida su ettevõte peab võimaldama
Kui salvestad Smartsheeti isikuandmeid (kliendid, töötajad, tarnijate kontaktid), vastutad sina andmesubjekti õiguste eest. Praktikas:
- Õigus andmetega tutvuda. Pead suutma anda inimesele tema andmete koopia 30 päeva jooksul. Smartsheetist eksport Excelisse või CSV-sse on ühe klõpsu kaugusel.
- Õigus andmete parandamisele. Valede andmete parandamine on Smartsheetis sama lihtne kui iga muu lahtri muutmine.
- Õigus andmete kustutamisele. „Olla unustatud" tähendab, et pead saama andmed kustutada ilma jäänusteta. Smartsheetis kustutad rea või filtreerid mustri järgi.
- Õigus andmete ülekantavusele. Andmed peavad olema masinloetavas vormingus. Smartsheet pakub CSV- ja Exceli-eksporti.
- Õigus töötlemise piiramisele. Kui inimene vaidlustab andmete töötlemist, pead töötlemise ajutiselt peatama. Smartsheetis saad kasutada „arhiveeritud" staatust.
Audiitorid ja logid
Enterprise tasemel säilib auditilogi seitse aastat. See tähendab, et iga lahtri iga muudatust — kes ja millal — on võimalik jälgida. See on oluline, kui sinu audiitor küsib tõendeid muudatuste kohta.
Pro ja Business tasemel on muudatuste ajalugu piiratud (tavaliselt 30 või 60 päeva, sõltub lepingust).
Ühekordne sisselogimine (SSO)
Enterprise tasemel saad siduda Smartsheeti oma ettevõtte autentimissüsteemiga (Entra ID / Azure AD, Okta, Google Workspace). See tähendab, et töötajad kasutavad oma ettevõtte kontot, ja kui keegi lahkub ettevõttest, kaob automaatselt ka ligipääs Smartsheetile. GDPR-i seisukohast on see oluline — nii välistatakse unustatud ligipääsud.
Mis juhtub, kui leke juhtub
GDPR nõuab, et andmelekke korral tuleb Andmekaitse Inspektsiooni teavitada 72 tunni jooksul. Smartsheeti leping kohustab ka neid sind kiiresti teavitama, kui midagi nende taristus juhtub. Praktikas tähendab see, et sul on juriidiliselt selge ahel — kes teavitab keda ja millal.
Tõsine andmeleke Smartsheetis on viimase viie aasta jooksul olnud haruldane sündmus. See ei tähenda, et see ei saaks juhtuda — see tähendab, et nad on selle vältimisse investeerinud.
Kokkuvõte Eesti ettevõtte vaatenurgast
Kui sul on alla 50 töötaja ja sa ei salvesta Smartsheetis tundlikke andmeid (tervise, karistus, laste andmed), piisab Business tasemest. Koostame siis koos sinu andmetöötluslepingu ja oled GDPR-iga korras.
Kui oled suurem organisatsioon või töötled tundlikke andmeid, tasub kaaluda Enterprise taset EL andmekeskusega. See maksab rohkem, aga annab sulle EL-sisese andmehoiu, pika auditilogi ja kuuluvuse EL jurisdiktsiooni alla.
Märkus: see artikkel on üldine ülevaade. Konkreetseid juriidilisi nõuandeid palume küsida oma õigusnõustajalt. Meie aitame tehnilise poole korraldada, kuid ei asenda juristi.