Den 16 juli ogiltigförklarade EG-domstolen Privacy Shield. Som ett resultat av detta finns det inte längre någon rättslig grund för utbyte av data med amerikanska parter. Alla organisationer som använder (under)processorer i USA måste ingå ett standardavtal (SCC) med var och en av dessa parter. GoodHabitz är inget undantag. Nästa steg är att bevisa att den skyddsnivå som erbjuds av dessa uppfyller kraven i DSF.
Vad innebär detta för våra studenter?
Din integritet är vår största prioritet. Därför vill vi visa dig vilka steg vi tar för att följa DSF med avseende på våra underprocessorer. Vårt mål är självklart att bevisligen garantera skyddet av dina personuppgifter.
- Vi har räknat upp alla underprocessorer som kan komma att behandla dina personuppgifter utanför EES.
- Vi har kontaktat dessa underprocessorer för att kontrollera vilka åtgärder de vidtar efter upphävandet av Privacy Shield.
- Vi har satt ihop en incidenthanteringsorganisation för att bestämma vad vi ska göra med våra USA-baserade underprocessorer.
- Vi har beslutat att hitta europeiska alternativ för två av våra USA-baserade underprocessorer.
- Vi har implementerat tjänsterna för de nya europeiska underprocessorerna.
Vad innebär detta för våra kunder?
Det ingående databehandlingsavtalet fortsätter att gälla. Med det sagt måste listan av underprocessorer som nämns i avtalet uppdateras. Det är vår plikt som processor att informera våra kunder om eventuella ändringar av underprocessorer.
Bouncer
Ny underprocessor för verifiering av e-postadresser.
GoodHabitz kunde inte längre garantera efterlevnaden av DSF för Kickbox, vår tidigare underprocessor för verifiering av e-postadresser baserad i USA. Därför beslutade vi att byta till en leverantör inom EES: Bouncer. Vi har genomgående granskat och testat tjänsterna från denna polska leverantör. Säkerhetsundersökningen visade att Bouncer har vidtagit alla nödvändiga tekniska och organisatoriska åtgärder för att helt överensstämma med DSF. Endast e-postadresser delas med denna leverantör. Bouncer lagrar och bearbetar dessa e-postadresser på ett säkert sätt och i en EU-baserad molninfrastruktur, en hybridlösning av AWS cloud (Frankfurt-regionen) och OVG cloud (Frankrike). Inga data överförs utanför EES och Bouncer tar bort all personlig information från systemet efter 60 dagar. Vi använder inte längre Kickbox tjänster.
Copernica (SMTPeter)
Ny underprocessor för att skicka meddelanden om transaktioner.
Trots de många åtgärder som vår tidigare USA-baserade leverantör Mailchimp/Mandrill vidtagit efter upphävandet av Privacy Shield har vi beslutat att byta till en leverantör inom EES. Vi har granskat och testat verktyget SMTPeter, som erbjuder en molnbaserad SMTP-server för snabb och säker e-postleverans. SMTPeter tillhandahålls av Copernica. Copernica är en holländsk leverantör av programvara för marknadsföringsautomation baserad i Amsterdam. All information lagras i holländska datacenter. Både säkerhetsundersökningen och det tekniska demo-testet har slutförts med framgång. I början på december informerade GoodHabitz säkerhetsteam alla kunder om vårt planerade byte. Sedan 10 december har vi helt bytt till SMTPeters tjänster.
Salesforce
Underprocessor för att tillhandahålla ett Sales CRM och ett biljettsystem för supportändamål.
GoodHabitz har ingått standardavtalsklausuler med Salesforce. Salesforce har dessutom bindande företagsregler (BCR) som är i enlighet med DSF. Trots dessa lämpliga åtgärder har vi kontrakterat Privacy Company för att som extern part utföra en konsekvensbedömning (DPIA) inför vår implementering av Salesforce för att garantera bevislig efterlevnad av DSF.
Detta har resulterat i följande resultat och åtgärder:
1 - Salesforce används som CRM av GoodHabitz. Enligt DSF agerar GoodHabitz inte som processor utan som kontrollör av användningen av Salesforce.
Åtgärd:
- Då Salesforce inte ingår i avtalet mellan GoodHabitz och dess kunder kommer de inte längre att listas som underprocessorer inom datahanteringsavalet och relaterade översikter över underprocessorer.
2 - Pardot är del av vårt kontrakt med Salesforce och det antogs därför att uppgifterna lagrades på Salesforces EU18-servrar (belägna i Frankrike och Tyskland), precis som alla vår Salesforce-data. Den djupgående konsekvensbedömningen avslöjade dock att alla Pardot-data lagras i USA.
Åtgärd:
- Det är bekräftat att Salesforce bindande företagsregler även gäller för Pardot-tjänsterna.
- GoodHabitz slöt ett ytterligare skyddsåtgärdstillägg med Salesforce för att skydda alla personuppgifter mot störningar (som sträcker sig utöver vad som är nödvändigt för att skydda nationell säkerhet, försvar och allmän säkerhet i ett demokratiskt samhälle).
- Vi har sett till att inga personuppgifter om studenter delas med Pardot och att endast Salesforce-konton som är skapade för kommersiella ändamål delas med Pardot. En student som hör av sig till vår kundtjänst registreras i Salesforce men inte i Pardot.
