Oprogramowanie do zaczerniania dokumentów a ochrona danych

„Wszystko, co nowe, musi zatwierdzić nasz dział IT i inspektor ochrony danych”. Przy oprogramowaniu do zaczerniania dokumentów ochrona danych to pierwsza kwestia, o którą zapytają, ponieważ narzędzie obsługuje właśnie te dokumenty, które mają być chronione. Poniżej siedem pytań, które warto zadać każdemu narzędziu do zaczerniania przed jego zatwierdzeniem. Przy każdym krótka odpowiedź dotycząca Dress Docs i link do pełnej odpowiedzi w naszym pakiecie zgodności. Pakiet jest napisany z myślą o Państwa ocenie; ten artykuł jest jego mapą.

Oprogramowanie do zaczerniania dokumentów a ochrona danych: o co chodzi

Zgodnie z RODO administrator musi uwzględnić ochronę danych w wybieranych przez siebie sposobach przetwarzania (art. 25 RODO). Wytyczne EROD nr 4/2019 wskazują, że obejmuje to również moment zakupu oprogramowania, sprzętu i usług. Dodają, że administratorzy nie powinni wybierać producentów ani podmiotów przetwarzających, których systemy nie pozwalają wywiązać się z tego obowiązku. Jeśli dostawca przetwarza dane osobowe w imieniu administratora, art. 28 wymaga zawarcia z nim umowy (art. 28 RODO; wytyczne EROD 07/2020). Podmioty objęte dyrektywą NIS2 muszą ponadto zarządzać bezpieczeństwem łańcucha dostaw, w tym relacjami z bezpośrednimi dostawcami (art. 21 NIS2).

Poniższe pytania zamieniają te obowiązki w rzeczy, które można sprawdzić.

Dokąd trafia dokument?

Jeśli narzędzie przesyła plik na serwer, dostawca ma kopię właśnie tych danych, które się usuwa. Dress Docs: dokument nigdy nie opuszcza Państwa urządzenia. Otwieranie, zaczernianie i eksport odbywają się w przeglądarce lub aplikacji; żaden dokument, strona ani fragment nie jest przesyłany. Pełna odpowiedź: Przepływ danych · Czy bezpiecznie jest przesyłać dokumenty online?

Kto przetwarza jakie dane?

Od odpowiedzi zależy, czy potrzebna jest umowa powierzenia przetwarzania i dla jakich danych. Dress Docs: dokumenty są przetwarzane wyłącznie na Państwa urządzeniu, więc nie przetwarzamy w Państwa imieniu żadnej treści dokumentów. Administratorem danych konta w planach płatnych jest Vzlaio digital LLC (USA). To nasza interpretacja ról według RODO, a nie porada prawna; decyzję podejmuje Państwa inspektor ochrony danych. Pełna odpowiedź: Nie przetwarzamy Państwa dokumentów

Co jeszcze trafia do dostawcy?

Warto poprosić o pełną listę tego, co narzędzie wysyła poza dokumentem. Dress Docs: liczniki odsłon bez plików cookie na naszym własnym serwerze analitycznym w Niemczech, logi serwera z informacjami takimi jak adres IP, czas, strona, strona odsyłająca i przeglądarka, oraz raporty błędów wysyłane do Sentry w Stanach Zjednoczonych, zawierające wyłącznie dane techniczne, nigdy treść dokumentu. W planach płatnych e-mail i plan są przechowywane w Stanach Zjednoczonych, a płatność przyjmuje Stripe. Pełna odpowiedź: Telemetria bez niedomówień

Czy zaczernienie jest trwałe?

Zaczernienie, które da się zdjąć, jest ujawnieniem, a nie zaczernieniem. Dress Docs: każda wyeksportowana strona jest jednym płaskim obrazem, więc pod zaczernieniem nic nie zostaje w pliku; autor, tytuł, program tworzący, daty i identyfikator pliku PDF są usuwane. Ocenę Dress Docs pod kątem normy ISO/IEC 27038 przeprowadziliśmy sami; Dress Docs nie ma żadnego certyfikatu. Pełna odpowiedź: Metoda zaczerniania · Czego norma ISO/IEC 27038 wymaga od narzędzia do zaczerniania

Zapisana praca i usuwanie z urządzenia

Warto zapytać, co zostaje na komputerze i jak się to usuwa. Dress Docs: dokumenty są domyślnie tymczasowe, a kopie dowodu zawsze. Zapisanie pracy jest opcjonalne; zapisana praca pozostaje w tej przeglądarce na tym urządzeniu, zaszyfrowana hasłem użytkownika, a „Usuń wszystko z tego urządzenia” usuwa zapisaną pracę i niszczy jej klucz. Rejestr zaczernień (Pro) użytkownik zapisuje we własnych plikach i nie zawiera on treści dokumentu (rejestr zaczernień). Pełna odpowiedź: Przechowywanie na urządzeniu

Dostępność

Organy publiczne w Wielkiej Brytanii muszą spełniać WCAG 2.2 AA na własnych stronach i w aplikacjach, a wytyczne rządu brytyjskiego zalecają uwzględnianie dostępności w zamówieniach (gov.uk, Wielka Brytania). Dress Docs: projektowany pod kątem WCAG 2.2 AA; formalna ocena dostępności nie została jeszcze opublikowana. W planie Organizacja można poprosić o raport zgodności z wymaganiami dostępności. Pełna odpowiedź: Deklaracja dostępności

Faktury i stanowiska

Dział zamówień będzie chciał wiedzieć, kto wystawia faktury i jak zarządza się stanowiskami. Dress Docs: plan Zespół pozwala zarządzać stanowiskami w Państwa firmie, a faktury VAT wystawia Stripe jako sprzedawca rejestrowany (merchant of record). Plan Organizacja dodaje wsparcie przy pakiecie zgodności: rozmowy w ramach oceny i odpowiedzi na Państwa kwestionariusze. Pełna odpowiedź: Cennik · Poproś o ofertę

Wprost podajemy też, czego nie twierdzimy: brak certyfikatów i brak „zgodności z RODO” samego narzędzia. Narzędzie pomaga udostępniać i przechowywać mniej danych osobowych; za zgodność odpowiada Państwa organizacja (czego nie twierdzimy). Pełne odpowiedzi: przeczytaj pakiet zgodności.