Onko organisaationne valmistautunut EU:n tietosuoja-asetukseen (GDPR)?

EU:ssa aloitetaan soveltamaan Yleistä tietosuoja-asetusta (General Data Protection Regulation) 25.5.2018 alkaen. 
GDPR tuo yrityksille lisää velvollisuuksia, mutta samalla se yhdenmukaistaa tietosuojalainsäädäntöä EU-alueella.

Ninchat on jo GDPR yhteensopiva; kerromme tässä kirjoituksessa mitä asioita chatin suhteen on otettava huomioon. 

Mikä on GDPR?

Euroopan unionin yleisen tietosuoja-asetuksen 2016/679 eli GDPR:n soveltaminen alkaa 25.5.2018. 

Tietosuoja-asetuksen mukaan henkilöllä on mm. oikeus saada pääsy henkilötietoihinsa, oikaista tai poistaa väärät tiedot ja saada omat tietonsa siirrettyä toiseen järjestelmään. Henkilötietojen osalta on varmistettava niiden turvallinen käsittely, ilmoittaa tietoturvaloukkauksista viranomaisille sekä asianosaisille, osallistua tarvittaessa viranomaiskatselmuksiin sekä organisaation tulee nimetä tietosuojavastaava. Tiedon tallennus ja siihen pääsy tulee suunnitella turvallisesti ja rajoitetusti. Organisaation on myös aktiivisesti ylläpidettävä ja testattava tätä kyvykkyyttä.

Ninchat toimii tietosuoja-asetuksen mukaan henkilötietojen käsittelijänä eli tietoja käsitellään asiakkaan kanssa sovitun ohjeistuksen mukaisesti.

Järjestimme syksyllä 2017 aiheesta miniseminaarin. Katso oheinen videokooste Reaktorin Iiro Loimaalan GDPR-luennosta.

Mitä asioita rekisteriselosteessa tulisi huomioida chat-palvelun suhteen?

Chat-palvelua käytettäessä tulee oman verkkosivun rekisteriselosteessa kertoa miten keskustelutietoa käsitellään. Selosteessa voi esimerkiksi mainita:
- Verkkosivuilla on käytössä chat-palvelu; mikä palveluntarjojaja on käytössä
- Mitä chat-keskusteluille tapahtuu (esim. talletetaanko keskustelut, kuinka pitkäksi aikaa, missä maassa tietokanta sijaitsee ym.)
- Mitä muuta tietoa välitetään chat-keskusteluun (esim. millä sivulla käyttäjä on, laitetiedot, ip-osoite ym.)

Tietoturva ja yksityisyys Ninchatissa

Ninchat sovittaa GDPR:n vaatimukset asiointiin aina yhdessä asiakkaan toimintamallia vastaavaksi - esimerkiksi miten toimitaan tunnistamattomien ja tunnistettujen asiakkaiden osalta, mitä tietoa välitetään keskusteluun ja milloin tiedot poistetaan. 

Ninchat toteuttaa mm. seuraavia tietoturvamenettelyjä:
- Tiedot sijaitsevat EU:ssa
- Verkkoyhteys on salattu (TLS)

- Tiedot on tallennettu salatusti 
- Asiakkaalla on mahdollisuus määritellä keillä organisaatiossa on pääsy keskusteluihin
- Keskustelujen lukemisesta syntyy logimerkintä
- Kirjautuminen voidaan kytkeä automaattisesti asiakkaan järjestelmään (SSO)
- Asiakaspalvelijan pääsy järjestelmään on mahdollista rajata (esim. VPN)
- Tunnistetun asiakkaan tieto voidaan välittää keskusteluun vahvasti salattuna  (Ninchat Secure Metadata)
- Keskustelut voidaan poistaa automaattisesti asiakkaan määrittelemän ajan jälkeen
- Keskustelut on mahdollista siirtää asiakkaan omaan CRM-järjestelmään

Ninchat on tietoturva-auditoitu kesäkuussa 2017 ulkopuolisen tahon toimesta ja yrityksen henkilöstö on valmiiksi turvallisuusselvitetty.

Onko oma organisaationne ja palveluntarjoajanne valmistautunut tulevaan tietosuoja-asetukseen? Ota yhteyttä jos kiinnostuit GDPR-yhteensopivasta turvallisesta asioinnista!

Luettavaa: http://www.tietosuoja.fi/material/attachments/tietosuojavaltuutettu/tietosuojavaltuutetuntoimisto/oppaat/1Em8rT7IF/Miten_valmistautua_EUn_tietosuoja-asetukseen.pdf

OpenSSL Heartbleed security vulnerability

Like much of the Internet, Ninchat was affected by the OpenSSL security vulnerability identified as CVE-2014-0160, commonly known as the Heartbleed bug.  After the issue was made public on April 7, the necessary fixes were deployed to all affected services by April 9.  However, the impact on Ninchat is greatly reduced by our usage of Perfect Forward Secrecy ciphers in the TLS encryption of our API traffic.

There is no indication that anything has actually been compromised, but we took the necessary precautions in any case by regenerating our SSL certificates and the associated private keys, and invalidating active session keys and authentication tokens.

Finally, all users are encouraged to change their log-in passwords, just in case.  Remember to check if you need to (and should already) do it for any other Internet services you're using—it's always a good idea!