Asana przywiązuje ogromną wagę do ochrony i poszanowania Twoich praw w zakresie prywatności. Wiele państw wprowadziło regulacje ustawowe określające sposoby przetwarzania przez firmy danych osobowych. W związku z tym chcielibyśmy przedstawić niektóre z kroków podjętych przez Asanę w celu zapewnienia zgodności z ciągle zmieniającymi się przepisami dotyczącymi ochrony danych osobowych obowiązującymi na całym świecie i podkreślić zobowiązanie Asany do poszanowania prywatności.

Zachowanie zgodności i komunikacja

Przepisy prawa, regulacje oraz wytyczne w zakresie ochrony danych osobowych podlegają ciągłym zmianom, a coraz więcej państw wprowadza nowe ustawodawstwo w tym zakresie. Dlatego blisko przyglądamy się zachodzącym zmianom i w miarę potrzeb wprowadzamy do naszego programu niezbędne rozwiązania.

Cenimy sobie komunikację z naszymi klientami. Jeśli masz jakieś pytania dotyczące naszych praktyk w zakresie ochrony danych, skontaktuj się z nami pod adresem privacy@asana.com.

Ogólne rozporządzenie o ochronie danych osobowych

Ogólne rozporządzenie o ochronie danych osobowych (RODO) to europejskie prawo, ustanawiające ochronę danych osobowych mieszkańców Unii Europejskiej, które weszło w życie 25 maja 2018 r. W ramach RODO, organizacje, które gromadzą, przechowują, używają lub w inny sposób przetwarzają dane osobowe obywateli Unii Europejskiej (bez względu na lokalizację organizacji), muszą wdrożyć określone zabezpieczenia w zakresie prywatności i bezpieczeństwa tych danych. Asana wdrożyła kompleksowy program zgodności z RODO i zobowiązuje się do współpracy ze swoimi klientami i dostawcami w zakresie zachowania zgodności z RODO. Niektóre istotne kroki, jakie Asana podejmuje w celu dostosowania swoich praktyk do RODO to m.in.:

• dokonywanie przeglądu naszych polityk oraz umów z partnerami, dostawcami i użytkownikami w miarę zmieniających się wymagań;

• usprawnianie naszych praktyk i procedur związanych z bezpieczeństwem;

• ścisły przegląd i mapowanie danych, które gromadzimy, wykorzystujemy i udostępniamy;

• tworzenie obszernej dokumentacji dotyczącej prywatności i bezpieczeństwa;

• szkolenie pracowników w zakresie globalnych wymagań RODO oraz w zakresie najlepszych praktyk dotyczących prywatności i bezpieczeństwa;

• staranna ocena i tworzenie polityki praw podmiotu danych oraz procesu reagowania.

Poniżej podajemy dodatkowe szczegóły na temat podstawowych obszarów programu zgodności Asany z RODO oraz tego, w jaki sposób klienci mogą używać Asany do wspierania własnych inicjatyw związanych ze zgodnością z RODO.

Umowy dotyczące przetwarzania danych

Zgodnie z RODO, „kontrolerzy danych” (tj. podmioty określające cele i sposoby przetwarzania danych) są zobowiązani do zawarcia umów z innymi podmiotami, które przetwarzają dane w ich imieniu (zwanymi „podmiotami przetwarzającymi dane”). Asana oferuje swoim klientom, którzy są kontrolerami danych osobowych w Unii Europejskiej, opcję zawarcia aneksu dotyczącego przetwarzania danych, w ramach którego Asana zobowiązuje się do przetwarzania i ochrony danych osobowych zgodnie z wymogami RODO. Obejmuje to zobowiązanie Asany do przetwarzania danych osobowych zgodnie z wytycznymi kontrolera danych.

Międzynarodowy transfer danych

Program Ramy ochrony danych UE-USA, Ramy ochrony danych UE-USA z rozszerzeniem o Wielką Brytanię oraz Ramy ochrony danych Szwajcaria-USA

Asana przestrzega postanowień programu Ramy ochrony danych (Data Privacy Framework, DPF) UE-USA, DPF UE-USA z rozszerzeniem o Wielką Brytanię oraz programu Ramy ochrony danych Szwajcaria-USA (DPF Szwajcaria-USA), zgodnie z postanowieniami Departamentu Handlu USA. Asana poświadczyła Departamentowi Handlu USA, że przestrzega zasad programu Ramy ochrony prywatności UE-USA (Zasady DFP UE-USA) w odniesieniu do przetwarzania danych osobowych otrzymywanych z Unii Europejskiej w oparciu o DPF UE-USA oraz z Wielkiej Brytanii (i Gibraltaru) w oparciu o DPF UE-USA z rozszerzeniem o Wielką Brytanię. Asana poświadczyła Departamentowi Handlu USA, że przestrzega zasad programu Ramy ochrony danych Szwajcaria-USA (Zasady DPF Szwajcaria-USA) w odniesieniu do przetwarzania danych osobowych otrzymywanych ze Szwajcarii w oparciu o DPF Szwajcaria-USA.

Zgodnie z zasadami programu Ramy ochrony prywatności (Data Privacy Framework, DPF) UE-USA, DPF UE-USA z rozszerzeniem o Wielką Brytanię oraz DPF Szwajcaria-USA, Asana zobowiązuje się do przekazywania nierozstrzygniętych skarg dotyczących przetwarzania przez nas danych osobowych otrzymanych w oparciu o program DPF UE-USA, DPF UE-USA z rozszerzeniem o Wielką Brytanię oraz DPF Szwajcaria-USA do BBB National Programs – usługodawcy zajmującego się pozasądowym rozstrzyganiem sporów z siedzibą w Stanach Zjednoczonych. Jeśli nie otrzymają Państwo na czas potwierdzenia przyjęcia skargi zgodnie z zasadami DPF albo jeżeli skarga nie zostanie rozpatrzona w sposób zadowalający, należy odwiedzić stronę internetową procedury rozstrzygania sporów BBB National Programs pod adresem: https://bbprograms.org/programs/all-programs/dpf-consumers/ProcessForConsumers, aby uzyskać więcej informacji albo złożyć skargę. Usługi BBB National Programs świadczone są Państwu nieodpłatnie.

Prosimy pamiętać, że jeżeli Państwa skarga nie zostanie uwzględniona za pośrednictwem powyższych kanałów, to w ograniczonej liczbie przypadków istnieje możliwość uzyskania wiążącego rozwiązania arbitrażowego zgodnie z Załącznikiem I do Zasad DPF. Asana podlega kontroli i egzekwowaniu przestrzegania przepisów przez Federalną Komisję Handlu (Federal Trade Commission, FTC) w zakresie zgodności z postanowieniami DPF UE-USA, DPF UE-USA z rozszerzeniem o Wielką Brytanię oraz DPF Szwajcaria-USA.

Asana podejmie uzasadnione i odpowiednie działania w celu zapewnienia, że ewentualny podmiot zewnętrzny działający w charakterze „podmiotu przetwarzającego” zgodnie z terminologią UE, Wielkiej Brytanii i Szwajcarii przetwarza dane osobowe, które mu powierzamy, w sposób zgodny z Zasadami DPF. Asana ponosi potencjalną odpowiedzialność w przypadkach wtórnego przekazywania podmiotom zewnętrznym danych osób fizycznych z UE, Wielkiej Brytanii i Szwajcarii otrzymanych odpowiednio na mocy DPF UE-USA, DPF UE-USA z rozszerzeniem o Wielką Brytanię oraz DPF Szwajcaria-USA.

W przypadku rozbieżności pomiędzy postanowieniami niniejszego oświadczenia o ochronie prywatności i zasadami programów DPF UE-USA lub DPF Szwajcaria-USA, zasady te mają znaczenie nadrzędne.

Aby uzyskać więcej informacji na temat programu Ramy ochrony danych (DPF) i zapoznać się z naszą certyfikacją, odwiedź witrynę https://www.dataprivacyframework.gov/.

Jeśli programy DPF UE-USA, DPF UE-USA z rozszerzeniem o Wielką Brytanię i DPF Szwajcaria-USA nie mają zastosowania, Asana opiera się na innych mechanizmach przekazywania danych na potrzeby przekazywania danych osobowych poza EOG, Wielką Brytanię i Szwajcarię, takich jak standardowe klauzule umowne.

Narzędzia w zakresie dostępu, zarządzania i przenośności danych

W pewnych sytuacjach RODO daje prawo indywidualnym podmiotom danych do m.in. dostępu, usuwania i wprowadzania poprawek w swoich danych osobowych. Asana zobowiązuje się do ułatwiania podmiotom danych zgłaszania wniosków zgodnych z zasadami RODO, jak opisano szerzej w naszej Polityce prywatności.

Dokumentacja dotycząca prywatności

Zasadniczo RODO skupia się na zasadach przejrzystości, uczciwości i odpowiedzialności. Zgodnie z powyższymi zasadami, prawo wymaga od organizacji prowadzenia dokumentacji dotyczącej ich praktyk w zakresie prywatności oraz decyzji związanych ze sposobem przetwarzania danych osobowych od osób fizycznych. Asana podziela zobowiązanie RODO w zakresie przestrzegania tych zasad i włączyła do programu zgodności z RODO dokumentację dotyczącą danych na temat czynności związanych z gromadzeniem i przetwarzaniem danych oraz różnych polityk i wytycznych, jakich przestrzega zgodnie z RODO. Więcej informacji na temat sposobów, w jakie Asana gromadzi, wykorzystuje i ujawnia dane osobowe można znaleźć w Polityce prywatności Asany.

Bezpieczeństwo danych

RODO wymaga od organizacji podejmowania odpowiednich środków technicznych i organizacyjnych do ochrony bezpieczeństwa, poufności i spójności danych osobowych. Bezpieczeństwo jest jednym z priorytetów Asany, a uzyskane przez nas certyfikaty ISO 27018 (Ochrona danych osobowych w chmurze), ISO 27701 (Zarządzanie informacjami o prywatności) i inne wskazują na nasze zobowiązanie do przestrzegania globalnych standardów prywatności. Oprócz tego Asana z powodzeniem przeszła audyty SOC 2 (typu I) i (typu II) w zakresie bezpieczeństwa, dostępności i poufności. Oznacza to, że niezależna organizacja zewnętrzna przeprowadziła ocenę naszych procesów i praktyk w zakresie kryteriów zaufania i potwierdziła naszą zdolność do zachowania zgodności ze środkami kontroli, jakie wdrożyliśmy. Ponadto wdrożyliśmy szereg zabezpieczeń w celu ochrony naszej platformy, łącznie z szyfrowanymi połączeniami z Internetem w celu ochrony transmisji danych, replikacji naszych baz danych na potrzeby wspierania niezawodności platformy i kontrolowania dostępu do naszych placówek i sieci biurowej. Asana oferuje również swoim klientom możliwość stosowania dodatkowych środków kontroli w celu dalszego zwiększania bezpieczeństwa danych ich zespołów. Aby uzyskać więcej informacji, zapoznaj się z naszą stroną poświęconą zaufaniu.

Realizacja praw wynikających z odpowiednich globalnych przepisów dotyczących prywatności

Jeśli chcesz skorzystać z przysługujących Ci praw, prześlij nam swoją prośbę, wypełniając Formularz wniosku w zakresie globalnych praw do ochrony danych osobowych. Więcej informacji na temat sposobu, w jaki Asana zapewnia klientom indywidualnym możliwość dostępu do ich danych osobowych i żądania ich usunięcia, w szczególności na podstawie przepisów ustawy CCPA, można znaleźć w dziale „Informacje dotyczące prywatności dla mieszkańców stanu Kalifornia” naszej Polityki prywatności.

Kalifornijska ustawa o ochronie prywatności konsumentów

Kalifornijska ustawa o ochronie konsumentów (zmieniona przepisami ustawy CPRA) to ustawa, która zapewnia konsumentom z Kalifornii określone prawa dotyczące ich danych osobowych. W szczególności jej przepisy wskazują, że przedsiębiorstwa podlegające ustawie mają obowiązek udostępniać konsumentom możliwość żądania dostępu do swoich danych i do ich usuwania oraz rezygnacji z określonych form ujawniania ich danych osobowych. Ponadto ustawa ta ogranicza sposób wykorzystywania tych informacji przez dostawców usług, którzy je przetwarzają w imieniu firmy.

Jeśli firma podlegająca CCPA zawarła umowę o świadczenie usług lub subskrypcję w Asanie, Asana będzie również działać jako dostawca usług dla tej firmy. W szczególności Asana będzie przetwarzać dane osobowe takich klientów wyłącznie w celach określonych w obowiązującej umowie i będzie współpracować z klientami w celu realizacji żądań usunięcia lub dostępu.

Aneks dotyczący przetwarzania danych w odniesieniu do CCPA

Asana dokonała aktualizacji Aneksu dotyczącego przetwarzania danych, aby jasno przedstawić nasze obowiązki wynikające z postanowień ustawy CCPA (zgodnie ze zmianami wprowadzonymi przez ustawę CPRA). Jeżeli Twoja organizacja jest klientem Asany i wymaga zawarcia aneksu, skontaktuj się z nami pod adresem dpa@asana.com.

Ustawa Gramm-Leach-Bliley Act

Ustawa Gramm-Leach-Bliley (GLBA) wymaga, aby instytucje finansowe – firmy oferujące konsumentom produkty lub usługi finansowe, takie jak pożyczki, porady finansowe lub inwestycyjne bądź ubezpieczenia – wyjaśniały klientom swoje praktyki w zakresie udostępniania informacji i chroniły poufne dane. Dostawcy usług, którym instytucje finansowe zezwalają na dostęp do niepublicznych danych osobowych swoich konsumentów (NPI), są również zobowiązani do przestrzegania ustawy GLBA. Asana przestrzega zasad prywatności i bezpieczeństwa GLBA. Oprócz wdrażania zabezpieczeń używamy treści pracy klienta wyłącznie w celu świadczenia naszych usług, a nie w żadnym innym celu. Klienci nie powinni przechowywać poufnych danych osobowych (w tym numerów kont finansowych i numerów ubezpieczenia społecznego) w Asanie.

Ustawa o prawach rodzinnych do edukacji i prywatności

Amerykańska ustawa o prawach rodzinnych do edukacji i prywatności (FERPA) wymaga od instytucji akademickich, takich jak uczelnie i uniwersytety, ochrony prywatności dokumentacji (przebiegu studiów) studentów. Asana umożliwia naszym klientom przestrzeganie FERPA poprzez zapewnienie bezpieczeństwa danych osobowych i wykorzystywanie ich wyłącznie do świadczenia naszych usług zgodnie z naszymi Warunkami korzystania z usług i Polityką prywatności. Asana zobowiązuje się umownie do nieujawniania danych klientów, z wyjątkiem przypadków, gdy jest to zalecane przez instytucję akademicką, która zawarła umowę, zgodnie z naszymi warunkami lub zgodnie z wymogami prawa.

HIPAA

Amerykańska ustawa o przenośności i odpowiedzialności w ubezpieczeniach zdrowotnych z 1996 roku („HIPAA”) wymaga utworzenia krajowych standardów ochrony wrażliwych informacji zdrowotnych pacjentów przed ujawnieniem bez zgody i wiedzy pacjenta. Firmy podlegające amerykańskiej ustawie o przenośności i odpowiedzialności w ubezpieczeniach zdrowotnych z 1996 roku („HIPAA”) mogą użyć Asany do zarządzania pracą zgodnie z HIPAA.

Zgodność z HIPAA w Asanie zapewniają postanowienia aneksu do umowy o partnerstwie biznesowym Asany (BAA). Aby uzyskać dodatkowe informacje na temat HIPAA i Asany, zapoznaj się z arkuszem danych HIPAA.

Ustawa o ochronie danych osobowych (APPI)

Ustawa o ochronie danych osobowych (Act on the Protection of Personal Information; APPI) to główna ustawa Japonii opisująca ochronę informacji osobowych. Dotyczy ona firm przetwarzających informacje osobowe osób fizycznych na terenie Japonii. Ustawa APPI była zmieniana od jej początkowego uchwalenia w roku 2003, a najnowsze zmiany weszły w życie 1 kwietnia 2022 r.

Podczas gdy RODO wprowadza rozróżnienie na „administratora danych” i „podmiot przetwarzający dane”, ustawa APPI opisuje „podmioty danych” lub jednostki z prawem do kontroli zgromadzonych danych i podejmowania decyzji ich dotyczących (np. klienci Asany) oraz usługodawców zewnętrznych przetwarzających dane osobowe w imieniu podmiotu danych (np. Asana).

Ustawa APPI nakłada także ograniczenia związane z przekazywaniem informacji osobowych poza granice Japonii. Informacje osobowe mogą być przesyłane do odbiorców zagranicznych na mocy obopólnych umów zapewniających zgodność ze standardami ochrony danych obowiązującymi na terenie Japonii.

Asana angażuje się w przetwarzanie i ochronę informacji osobowych zgodnie z wymogami ustawy APPI oraz jej aneksów. Aneks dotyczący przetwarzania danych Asany opisuje (1) nasze zobowiązanie do ochrony danych zgodnie z wymogami ustawy APPI; (2) sposób, w jaki pomożemy naszym klientom spełnić ich zobowiązania wynikające z ustawy APPI; (3) oraz techniczne i organizacyjne środki wdrożone w celu zapewnienia ochrony danych osobowych. Aby uzyskać więcej informacji na temat praktyk Asany związanych z bezpieczeństwem i ochroną danych, zapoznaj się z naszą stroną poświęconą zaufaniu.

Powiązane zasoby

• Oświadczenie Asany o ochronie prywatności

• Aneks do oświadczenia o przetwarzaniu danych Asany

• Strona poświęcona zaufaniu w Asanie

• Certyfikat Asany w zakresie Tarczy prywatności UE-USA i Szwajcaria-USA

• Pełna treść RODO

• Pełny tekst ustawy CCPA (wraz ze zmianami wprowadzonymi przez ustawę CPRA)