GDPR i helpdesk softver: gdje se zapravo nalaze vaši podaci?

Vaš tim u helpdesk sustavu prima zahtjeve klijenata, vodi komunikaciju i piše interne bilješke. Kroz tu komunikaciju prolaze nazivi projekata, kvarovi, pritužbe, kontaktni podaci, a ponekad i iznosi iz ugovora.

Gdje se ti podaci nalaze? Mnoge tvrtke to ne znaju pouzdano, a GDPR traži upravo da to znate.

Zašto je to pitanje postalo važno

Kad je GDPR 2018. stupio na snagu, mnoge su tvrtke revidirale svoje interne postupke: baze podataka, CRM i računovodstveni softver. Helpdesk alat često nije bio na popisu jer ga se smatralo komunikacijskim kanalom, a ne sustavom za obradu osobnih podataka.

Helpdesk, međutim, obrađuje osobne podatke svaki dan. Ime i adresa e-pošte osobe koja šalje zahtjev, sadržaj komunikacije i interni komentari koji se odnose na tu osobu osobni su podaci prema definiciji GDPR-a.

Gdje su podaci u helpdesk sustavima u oblaku?

Freshdesk

Freshworks ima sjedište u SAD-u. Podatkovni centri nalaze se, među ostalim, u SAD-u, EU-u, Indiji i Australiji. Paket na koji ste se pretplatili određuje kamo podaci idu prema zadanim postavkama, a to nije uvijek EU.

Za pohranu podataka u EU-u morate izričito odabrati lokaciju podataka u EU-u (EU data residency), što je dostupno samo u višim paketima. U nižim paketima podaci mogu biti pohranjeni izvan EU-a, pa za svaki prijenos morate riješiti i standardne ugovorne klauzule (SCC) i ugovor o obradi podataka (DPA).

Zendesk

Zendesk (SAD) ima slične uvjete: smještaj podataka u Europskom gospodarskom prostoru moguć je kao dodatak u paketima Suite Professional i višima, ali nije uključen sam od sebe, nego ga treba zatražiti. S dobavljačem trebate ugovor o obradi podataka (DPA), a za svaki prijenos osobnih podataka izvan EU-a pravnu osnovu: odluku o primjerenosti (za američke tvrtke certificirane u okviru EU-US Data Privacy Frameworka) ili standardne ugovorne klauzule prema članku 46. GDPR-a. Valjanost Data Privacy Frameworka potvrdio je Opći sud EU-a 2025., ali žalba je u tijeku pred Sudom EU-a.

Jira Service Management (Atlassian)

Atlassian je osnovan u Australiji, a od 2022. je američka korporacija. U paketima Standard, Premium i Enterprise može se odabrati smještaj podataka u EU-u, ali to treba posebno postaviti, a dio podataka (npr. korisnički računi, revizijski zapisi i analitika) i dalje se pohranjuje globalno.

Intercom, HubSpot Service Hub

To su alati usmjereni prije svega na američko tržište. Lokacija podataka u EU-u dostupna je na razinama za velike organizacije ili po dogovoru, a ne automatski.

Što to u praksi znači za vašu tvrtku

Vi ste voditelj obrade, a ponuditelj alata izvršitelj obrade

Vaša tvrtka prikuplja podatke od svojih klijenata (vi ste voditelj obrade), ali ih pohranjuje u sustav drugog ponuditelja, koji time postaje izvršitelj obrade. Članak 28. GDPR-a traži pisani ugovor o obradi podataka (DPA) sa svakim izvršiteljem obrade.

Imate li potpisan DPA sa svojim ponuditeljem helpdeska? U većini malih tvrtki odgovor je „ne znam”.

Ispitanici imaju prava koja morate moći poštovati

Ako klijent zatraži brisanje podataka (pravo na brisanje, članak 17. GDPR-a), taj zahtjev morate moći provesti do kraja, uključujući brisanje iz helpdesk sustava. Znate li kako se to radi u vašem alatu? Može li se to uopće napraviti u nižim paketima?

Revizijski trag u nekim je sektorima obveza

Za financijske institucije, zdravstvo i javnu upravu revizijski trag promjena i pristupa podacima nije stvar izbora. Globalni helpdesk alati to nude na razinama za velike organizacije, a u standardnim paketima ne uvijek.

Rješenje za tvrtke koje ne žele komplikacije

Najjednostavniji put do usklađenosti helpdeska s GDPR-om jest alat čiji su podaci u EU-u prema zadanim postavkama, bez posebnog paketa ili dogovora.

UnitLook je smješten u EU-u. Nema zadanih prijenosa podataka izvan EU-a ni posebne „EU razine” u skupljim paketima. Podaci su u EU-u jer je to jedina lokacija koja postoji.

Uz to, UnitLook dokumentaciju za DPA daje svim klijentima, a ne samo velikim organizacijama.

Kontrolni popis za usklađenost helpdeska s GDPR-om

Ako koristite ili razmatrate helpdesk alat, provjerite:

• Gdje se fizički nalaze podatkovni centri ponuditelja?
• Je li pohrana u EU-u uključena prema zadanim postavkama ili je opcija u višem paketu?
• Imate li s ponuditeljem potpisan DPA?
• Možete li na zahtjev izvesti sve podatke određenog klijenta?
• Možete li potpuno izbrisati podatke određene osobe?
• Postoji li revizijski trag pristupa i promjena?
• Jeste li dokumentirali pravnu osnovu obrade za sve kategorije podataka u sustavu?

Ako na neko od tih pitanja ne možete sa sigurnošću odgovoriti „da”, vrijedi to riješiti prije nego što to uoči nadzorno tijelo.

Ukratko

Usklađenost helpdeska s GDPR-om nije osobito složena, ali traži svjesnu odluku pri odabiru alata. Alat koji od prvog dana ima podatke u EU-u, DPA i podršku za prava na pristup i brisanje uklanja velik dio te složenosti.

Tvrtkama koje žele jednostavno rješenje bez pravnih komplikacija domaći helpdesk s podacima u EU-u osnovna je razina sigurnosti.

Ako vas zanima kako UnitLook u praksi pokriva zahtjeve GDPR-a, to je jedno od prvih pitanja koja prolazimo na demonstraciji.