Bezpečnost a GDPR

Jaká data se v systému používají

Služba365 může obsahovat uživatele, role a oprávnění, rozpis služeb, pohotovostí a absencí, dostupnost, preference a požadavky zaměstnanců, deník, předání služby, důležité události, propustky, úkoly, klientské záznamy v rozsahu vloženém organizací, historii aktivit, exporty a provozní zálohy.

Systém není veřejná registrace ani veřejná databáze. Je to interní pracovní nástroj pro konkrétní tým.

Kdo data vidí

Přístup se řídí organizací, rolí a oprávněním uživatele. Pracovník typicky vidí především vlastní služby, požadavky, denní provoz a části deníku potřebné pro práci. Vedoucí a administrátor organizace vidí širší provozní data své organizace. Superadmin řeší správu systému, nastavení, podporu a technický provoz. Technická podpora má k obsahu přistupovat jen v nezbytném rozsahu, například při řešení chyby, nastavení nebo incidentu.

Správce a zpracovatel

Organizace, která Služba365 používá, obvykle rozhoduje o účelu a rozsahu zpracování dat. V takovém případě vystupuje jako správce osobních údajů. Provozovatel Služba365 poskytuje technický nástroj, údržbu, podporu a provozní nastavení aplikace. V konkrétním nasazení se smluvně určí, jaké role a odpovědnosti mají jednotlivé strany.

Citlivý kontext v péči a sociálních službách

Služba365 může být používána v prostředí, kde se přirozeně objevuje citlivý kontext. Aplikace sama uživatele nenutí zapisovat nadbytečné detaily ani konkrétní typy údajů. Organizace si určuje, jaký rozsah záznamů je pro její práci přiměřený, kdo k nim má mít přístup a jak dlouho se mají uchovávat.

Doporučený princip je jednoduchý: zapisovat věcně, srozumitelně a v rozsahu potřebném pro provoz, předání služby a péči o klientky. Systém k tomu poskytuje strukturu, role, audit a exporty; konkrétní obsah zápisů zůstává odpovědností organizace.

Přihlášení a účty

Uživatelé používají pouze vlastní účet. Přístup nevzniká automaticky. Google přihlášení může sloužit jako pohodlnější způsob přihlášení, ale jen pro účet, který už je v systému povolený. Neznámý Google účet nemá automaticky získat přístup do aplikace.

Role, oprávnění a dohledatelnost

Služba365 používá role a oprávnění tak, aby každý uživatel pracoval jen s částmi systému, které potřebuje. Důležité změny a přístupy se zapisují do Auditu, aby bylo možné dohledat například přihlášení, úpravy služeb, změny požadavků, práci s exportem nebo změny důležitých záznamů.

Audit není určený ke zbytečné kontrole lidí, ale k bezpečnosti, dohledatelnosti a řešení situací, kdy je potřeba zjistit, co se stalo.

Exporty, zálohy a kontinuita provozu

Data nemají být uzamčená v systému bez možnosti dostat je ven. Exporty a provozní zálohy pomáhají při výpadku internetu, dočasné nedostupnosti počítače, potřebě lokální kopie dokumentů nebo průběžné vlastní zálohy organizace.

Zálohovací token lze zrušit a jeho použití se zapisuje do Auditu. Exportovaná data mají stejnou citlivost jako data v aplikaci, proto je potřeba ukládat je do zabezpečeného firemního prostředí.

Hosting a technické zajištění

Konkrétní hosting, databáze, e-mailové služby a další technické zajištění závisí na konkrétním nasazení. U provozní verze má být v interní nebo smluvní dokumentaci jasně uvedeno, kde aplikace běží, kdo má přístup k hostingu a databázi, jak se řeší zálohy, jaké služby se používají pro e-mail, přihlášení nebo notifikace a kdo zajišťuje technickou podporu.

Právní podklady

Pracovní návrh mlčenlivosti, návrh zpracovatelské smlouvy a související odkazy jsou dostupné na stránce Právní dokumenty a podklady. Slouží jako podklad k doplnění a právní kontrole pro konkrétní nasazení.

Podpora a mlčenlivost

Při vývoji, nastavení nebo řešení chyb může být nutný omezený technický přístup správce nebo podpory. Takový přístup má být používán jen v nezbytném rozsahu a v souladu s dohodnutou mlčenlivostí a provozními pravidly.

Incidenty

Pokud vznikne podezření na chybný přístup, únik dat, ztrátu dostupnosti nebo jiný incident, je potřeba omezit dopad, zjistit rozsah, zapsat, co se stalo, informovat odpovědnou osobu a rozhodnout o dalším postupu podle interních pravidel organizace a právních povinností.

Kontakt

Pro dotazy k bezpečnosti, provozu nebo zpracování dat napište na info@sluzba365.cz nebo použijte stránku Kontakt.