Sicherheit und Compliance
Die Architektur ist das Compliance-Argument
Das Versprechen, nicht auf Einzeldaten zu schauen, ist eine Regel. Was das System speichert und was es jemanden berichten lässt, können Betriebsrat, Datenschutzbeauftragte und Prüfer kontrollieren. Diese Seite sagt Produkt für Produkt, was was ist.
Was vorhanden ist
- ISO 27001
- Zertifikat 0202968, gehalten von Workplaced Technologies Ltd, ausgestellt über Intertek unter UKAS-Akkreditierung. Auf die Gesellschaft kommt es an: Ein Kunde in der EU schließt mit Workplaced Technologies Europe B.V. ab, eingetragen bei der niederländischen Handelskammer unter KvK 95622462, und Ausschreibungen verlangen die Zertifizierung des Vertragspartners. Der Geltungsbereich gehört deshalb in die Ausschreibungsantwort und nicht nur auf das Zertifikat.
- Eine Berichtsgrenze von fünf
- Antworten aus dem Arbeitsplatzprofil werden je Teilnehmerin und Teilnehmer gespeichert, weil Passport jeder Person ihr eigenes Profil zurückgibt. Die Organisation sieht sie nur aggregiert: Jeder Bericht, jeder Filter und jede Kreuzauswertung muss mindestens fünf Beschäftigte umfassen, sonst hält die Plattform ihn zurück und bittet um eine breitere Auswahl. Die Grenze greift, wenn ein Bericht erzeugt wird, und keine Rolle in Ihrer Organisation kann sie senken.
- Auftragsverarbeitungsvertrag
- Ein Vertrag, der die Architektur beschreibt, die das Produkt umsetzt, statt einer weiter gefassten Erlaubnis, die das Produkt zufällig nicht nutzt.
- Hosting in der EU
- Die Plattform wird in einer EU-Region gehostet. Welche Unterauftragsverarbeiter Daten verarbeiten und wo, steht in der Liste der Unterauftragsverarbeiter; Änderungen werden mitgeteilt.
- Zugriffssteuerung
- Rollenbasierter Zugriff. Rollen in Ihrer Organisation sehen aggregierte Berichte und wer den Fragebogen ausgefüllt hat; keine Rolle in Ihrer Organisation kann die Antworten oder das Profil einer einzelnen beschäftigten Person öffnen.
- Aufbewahrung
- Aufbewahrungsfristen werden je Studie festgelegt und vor der Erhebung benannt. Das ist die rechtliche Anforderung und zugleich das, was die Beteiligungsquote hoch hält.
Was jedes Produkt speichert, und wer es sieht
Gespeichert ist nicht dasselbe wie berichtet. Das hält die Plattform je Produkt vor, und das sieht jede Seite.
| Produkt | Gespeichert | Ihre Organisation sieht | Die beschäftigte Person sieht |
|---|---|---|---|
| Dynamics | GespeichertAntworten je teilnehmender Person | Ihre Organisation siehtAggregate für Gruppen von mindestens fünf, nach jedem Filter, und wer abgeschlossen hat | Die beschäftigte Person siehtIhren eigenen Passport |
| Passport | GespeichertEin Profil je teilnehmender Person, abgeleitet aus Dynamics | Ihre Organisation siehtNur Durchschnitte | Die beschäftigte Person siehtIhr eigenes Profil, geteilt nur über einen Link, den sie selbst teilt |
| Occupancy, Beobachtung | GespeichertJe Raum: belegt, anwesende Personen, Tätigkeit; kein Personenmerkmal | Ihre Organisation siehtNutzung und Tätigkeit je Raum | Die beschäftigte Person siehtEntfällt |
| Occupancy, Fragen in der App | GespeichertBewertungen je Antwort, ohne Namen | Ihre Organisation siehtAggregate | Die beschäftigte Person siehtEntfällt |
Bei Sensoren, WLAN und Booking hängt das Gespeicherte vom eingesetzten System ab. Fordern Sie das Datenmodell an, bevor Sie entscheiden.
Vier Dokumente, nach Vertragsschluss
- Die Dokumente
- Das ISO-27001-Zertifikat mit Geltungsbereich, der Auftragsverarbeitungsvertrag, die aktuelle Liste der Unterauftragsverarbeiter und die jüngste Zusammenfassung des Penetrationstests.
- Für eine DSFA
- Fordern Sie für eine DSFA auch das Datenmodell an: Es zeigt, was je Teilnehmerin und Teilnehmer gespeichert und was nur aggregiert berichtet wird.
- Verfügbarkeit
- Sie werden nach Vertragsschluss vertraulich übergeben und nicht veröffentlicht, weil eine Liste der Unterauftragsverarbeiter und eine Pentest-Zusammenfassung für jeden, der eine will, eine Landkarte sind.
Für Ihren Betriebsrat und Ihre DSFA
Fordern Sie in Ihrer DSFA das Datenmodell an, dann ist die Aussage vor der Unterschrift prüfbar.
Antworten werden je Teilnehmerin und Teilnehmer gespeichert und beim Erzeugen eines Berichts aggregiert. Unter fünf Beschäftigten wird eine Gruppe nicht berichtet, welcher Filter auch gesetzt ist, und keine Rolle in Ihrer Organisation sieht die Antworten einer einzelnen Person. Beobachtungsstudien kennen überhaupt keinen individuellen Datensatz: Sie erfassen Räume und Tätigkeiten.
Auf der Seite zum Vertrauen liegt eine Unterlage, die genau für diese Sitzung geschrieben ist; Sie können sie ohne Umschreiben weiterleiten.
Häufig gestellte Fragen
Erheben Sie personenbezogene Daten?
Das hängt vom Produkt ab, und jedes sagt, was es speichert und was es zeigt.
Beobachtungsstudien von Occupancy erfassen Räume und Tätigkeiten, keine Personen, sodass kein individueller Datensatz existiert. Dynamics speichert die Antworten jeder teilnehmenden Person, weil Passport dieser Person ihr eigenes Profil zurückgibt. Die Organisation sieht diese Antworten nur aggregiert, auf Ebene von Team, Abteilung oder Standort, und jeder Bericht, jeder Filter und jede Kreuzauswertung muss mindestens fünf Beschäftigte umfassen, sonst wird er zurückgehalten. Administratoren sehen, wer das Profil ausgefüllt hat, nicht, was geantwortet wurde. Passport ist nur für die beschäftigte Person selbst sichtbar, es sei denn, sie entscheidet sich, ihn zu teilen. Booking zeigt Kolleginnen und Kollegen, wo jemand einen Arbeitsplatz gebucht hat, denn dafür ist eine Reservierung da.
Was verarbeitet wird, auf welcher Grundlage, wer es sehen darf und wie lange es aufbewahrt wird, wird je Projekt vor der Einführung festgelegt und schriftlich festgehalten.
Sind WLAN-Auslastungsdaten anonym?
Wir nennen sie aggregiert, weil das das zutreffende Wort ist. Sie liefern die Auslastung je Gebäude, Etage und Zone und sind kein Werkzeug, um eine einzelne Person zu beobachten.
Wie weit das reicht, hängt von Netzwerk, Konfiguration und Vertrag ab. Die Antwort für Ihr Gebäude ist daher die in Ihrer Vereinbarung, nicht die auf dieser Seite.
Welche Sicherheitsunterlagen gibt es?
Für die Beschaffung in Großunternehmen: Die Workplaced Technologies Ltd hält das ISO-27001-Zertifikat 0202968, über Intertek unter UKAS.
Das Zertifikat, die Liste der Unterauftragsverarbeiter, der Standard-Auftragsverarbeitungsvertrag und die Zusammenfassung des Penetrationstests werden nach Vertragsschluss unter Vertraulichkeit übergeben. Sie existieren und sind aktuell, werden aber nicht im offenen Web veröffentlicht. Fragen Sie über das Kontaktformular danach.
Wem gehören die Daten?
Das wird in der Vereinbarung zwischen Ihnen, Workplaced und gegebenenfalls beteiligten Partnern geregelt, zusammen mit Zugriff, zulässiger Nutzung und Aufbewahrung. Es ist eine vertragliche Frage, und eine Website ist der falsche Ort, sie allgemein zu beantworten.
Passend dazu
- Messen, ohne Menschen zu überwachen
Die Begründung für Aggregation von Beginn an.
- Datenschutz
Was wir auf dieser Website erheben.
- Auftragsverarbeitungsvertrag
Der Vertrag im Überblick.
Sicherheitsfragebogen oder DSFA?
Fragebögen, DSFAs und Ausschreibungsanlagen gehen direkt an die Person, die die Unterlagen führt. Das Kontaktformular nimmt keine Anhänge an: Schreiben Sie in die Nachricht, worum es geht und bis wann, oder mailen Sie die Datei an die Adresse unten auf dieser Seite.