Datenschutz und DSGVO

Rollen nach der DSGVO

Ihre Organisation ist der Verantwortliche für die personenbezogenen Daten in GoProject. Um zu arbeiten, braucht das Produkt keine Verbindung nach außen. Eine ist vorgesehen und bei einer neuen Installation ausgeschaltet: Ist sie eingeschaltet, meldet das Produkt stündlich dem GoProject-Portal (goproject.lv), welche Lizenz es nutzt, seine Installations-ID und seinen öffentlichen Schlüssel, wie viele Plätze belegt sind und wann der Lizenzschlüssel ausgestellt wurde. Personenbezogene Daten enthält diese Meldung nicht, und ein Systemadministrator schaltet sie unter Verwaltung, Lizenz ein oder aus (Mit dem GoProject-Portal synchronisieren). Jede andere Verbindung nach außen entsteht erst, wenn ein Administrator sie einrichtet: E-Mail, Ihr Verzeichnis und Single Sign-on, Git-Server, Google Drive, Slack und Microsoft Teams, ein Sprachmodell (Ihr eigenes oder ein Cloud-Dienst), Importe, die Weiterleitung des Audit-Protokolls und die Web-Anfragen von Automatisierungsregeln.

Welche personenbezogenen Daten das System hält

• Kontodaten: Name, E-Mail, Sprache, Zeitzone, Avatar sowie Profilfelder wie Position und Abteilung, teils aus Ihrem Verzeichnis gelesen
• Aktivitätsdaten: Arbeitselemente, Kommentare, Anhänge, Zeiterfassungen, Dokumente, Chat-Nachrichten, Unterhaltungen mit dem Hilfe-Assistenten und Einträge im Audit-Protokoll, die festhalten, wer wann was getan hat; bei Anmeldungen wird auch die Adresse festgehalten, von der sie kamen
• Daten von Help-Desk-Kunden: Name, E-Mail, Organisation und die Tickets, die sie gestellt haben, einschließlich der per E-Mail eingegangenen Briefe

Deaktivieren statt löschen

Personen werden nie gelöscht, sondern nur deaktiviert. Das Deaktivieren beendet jede aktive Sitzung, und die Historie bleibt stimmig. GoProject hat kein eingebautes Werkzeug, um die Daten einer einzelnen Person zu anonymisieren oder zu exportieren.

Wer wen sehen kann

• Personen finden (Verwaltung, Sicherheit, Freigaben und Grenzen): entweder finden alle alle, oder nur die Personen, mit denen man ein Projekt, einen Bereich oder eine Gruppe teilt
• Externe Konten (Kunden und Partner) finden nur Personen, die ein Projekt mit ihnen teilen; sie erscheinen nicht in der Suche, im Freigabedialog oder in Personenlisten
• Help-Desk-Kunden sehen nur ihre eigenen Tickets, solange am Help Desk der Schalter Kunden sehen die Tickets ihrer Organisation aus ist; ist er ein, sehen sie auch die Tickets der anderen Mitglieder ihrer Organisation
• Öffentliche Dokumentlinks lassen sich abschalten, was jeden bereits herausgegebenen Link stoppt, und mit einer maximalen Lebensdauer versehen

Sicherheitsmaßnahmen

• Passwörter mit Argon2 gehasht; Verzeichnispasswörter werden nie gespeichert
• Zwei-Faktor-Geheimnisse versiegelt mit einem Schlüssel, der außerhalb der Datenbank liegt
• Sitzungen serverseitig gespeichert, mit Untätigkeits- und Höchstdauer nach Vorgabe des Administrators
• Anmeldeschutz gegen Raten und eine einstellbare Passwortrichtlinie
• Nur anfügbares Audit-Protokoll mit einem Export für Ihr SIEM; auch wenn Administratoren das System als eine andere Person ansehen, wird das auditiert

Unterlagen für Ihren Datenschutzbeauftragten

Eine Vorlage für einen Auftragsverarbeitungsvertrag und eine Beschreibung der technischen und organisatorischen Maßnahmen sind bei LTECH auf Anfrage erhältlich. Schreiben Sie an [email protected].