Dataskyddspolicy (”Policyn”)

Syftet med Policyn är att:

• i. Följa lagen.
• ii. Följa god praxis.
• iii. Skydda kunder, personal och andra enskilda personer.
• iv. Skydda Bolaget.

2. Alla personuppgifter (så som termen definieras i den allmänna dataskyddsförordningen (”GDPR”)) som samlas in, lagras och behandlas av WORKPLACED kommer endast att samlas in, lagras, överföras och behandlas i enlighet med GDPR och WORKPLACED:s Policy. Denna Policy gäller därför varje server, databas och IT-system som hanterar sådana uppgifter, inklusive varje enhet som regelbundet används för e-post, webbåtkomst eller andra arbetsrelaterade uppgifter. Varje användare som interagerar med företagets IT-tjänster omfattas också av denna policy. Information som är klassificerad som offentlig omfattas inte av denna Policy. Andra uppgifter kan undantas från Policyn av WORKPLACED:s ledning utifrån särskilda verksamhetsbehov, till exempel att det är för kostsamt eller komplicerat att skydda uppgifterna.

3. IT-avdelningen på WORKPLACED (”IT-avdelningen”) ansvarar för att:

• i. Informera WORKPLACED:s styrelse om ansvaret för dataskydd.
• ii. Se över dataskyddspolicyn och tillhörande policyer.
• iii. Ge övrig personal råd i svåra dataskyddsfrågor.
• iv. Säkerställa att introduktion och utbildning i dataskydd genomförs.
• v. Hantera begäranden om registerutdrag från registrerade.
• vi. Godkänna ovanliga eller kontroversiella utlämnanden av personuppgifter.
• vii. Godkänna avtal med personuppgiftsbiträden.

4. All personal och alla volontärer ska åläggas att läsa, förstå och godta alla policyer och rutiner som rör de personuppgifter de kan komma att hantera i sitt arbete. (Där ”anställda” används härefter avses både avlönade anställda och volontärer.)

5. IT-avdelningen ska säkerställa att det finns kontroller för datasäkerhet som åtminstone, men inte uteslutande, omfattar logisk separering av data, begränsad (t.ex. rollbaserad) åtkomst och övervakning samt användning av kommersiellt tillgängliga krypteringstekniker för personuppgifter som följer branschstandard.

6. All e-post som innehåller personuppgifter måste krypteras.

7. WORKPLACED ska ge alla anställda och kontrakterade tredje parter tillgång till den information de behöver för att fullgöra sina uppgifter så effektivt och ändamålsenligt som möjligt. Därför gäller följande:

• a. Varje användare ska identifieras med ett unikt användar-ID så att enskilda personer kan hållas ansvariga för sina handlingar.
• b. Användning av delade identiteter är tillåten endast där de är lämpliga, till exempel utbildningskonton eller tjänstekonton.
• c. Varje användare ska läsa denna datasäkerhetspolicy och underteckna en förklaring om att hen förstår villkoren för åtkomst.
• d. Register över användares åtkomst får användas som bevis vid utredningar av säkerhetsincidenter.
• e. Åtkomst ska beviljas enligt principen om minsta behörighet, vilket innebär att varje användare, applikation och tjänst beviljas de minsta behörigheter som krävs för att utföra sina uppgifter.

• a. Alla anställda och uppdragstagare ska ges nätverksåtkomst i enlighet med verksamhetens rutiner för åtkomstkontroll och principen om minsta behörighet.
• b. All personal och alla uppdragstagare med fjärråtkomst till WORKPLACED:s nätverk ska autentiseras enbart med VPN-autentiseringsmekanismen.
• c. Segregering av nätverk ska genomföras enligt rekommendationerna från WORKPLACED:s utredning av nätverkssäkerhet. Nätverksadministratörer ska gruppera informationstjänster, användare och informationssystem på lämpligt sätt för att uppnå den segregering som krävs.
• d. Kontroller för nätverksroutning ska införas till stöd för policyn för åtkomstkontroll.

• a. Alla användare måste låsa sina skärmar när de lämnar sin arbetsplats för att minska risken för obehörig åtkomst.
• b. Alla användare måste hålla sin arbetsplats fri från känslig eller konfidentiell information när de lämnar den.
• c. Alla användare måste hålla sina lösenord hemliga och inte dela dem.

• a. All personal och alla uppdragstagare hos WORKPLACED ska beviljas åtkomst till de uppgifter och applikationer som krävs för deras arbetsuppgifter.
• b. All personal och alla uppdragstagare hos WORKPLACED ska få åtkomst till känsliga uppgifter och system endast om det finns ett verksamhetsbehov av det och de har godkännande från högre ledning.
• c. Känsliga system ska isoleras fysiskt eller logiskt för att begränsa åtkomsten till enbart behörig personal.

• a. Åtkomst till uppgifter som klassificerats som ”Konfidentiella” eller ”Begränsade” ska begränsas till behöriga personer vars arbetsuppgifter kräver det, enligt vad som bestäms av Policyn eller av WORKPLACED:s högre ledning.
• b. Ansvaret för att införa åtkomstbegränsningar ligger hos IT-avdelningen.

12. Personuppgifter får inte överföras till en enhet som personligen tillhör en anställd, och personuppgifter får endast överföras till enheter som tillhör ombud, uppdragstagare eller andra parter som arbetar för WORKPLACED:s räkning om den berörda parten har åtagit sig att fullt ut följa såväl bokstaven som andan i denna Policy och i AVG (vilket kan innefatta att visa WORKPLACED att alla lämpliga tekniska och organisatoriska åtgärder har vidtagits).

13. IT-avdelningen ska tillhandahålla driftsrutiner och kontroller för att säkerställa ett säkert avlägsnande av varje del av IT-systemen eller varje medium, så att all information eller alla uppgifter i IT-systemen görs oläsliga eller omöjliga att återskapa innan de permanent avlägsnas från eller lämnar WORKPLACED:s besittning.

14. När personuppgifter av någon anledning ska raderas eller på annat sätt avlägsnas (även när kopior har gjorts och inte längre behövs) måste de raderas på ett säkert sätt. Papperskopior ska strimlas och elektroniska kopior ska raderas ”permanent”.

15. IT-avdelningen ska säkerställa att den har lämpliga tekniska och organisatoriska åtgärder på plats för att skydda mot obehörig eller olaglig behandling av personuppgifter och mot oavsiktlig förlust eller förstöring av, eller skada på, personuppgifter. Lämpliga i förhållande till den skada som kan uppstå till följd av obehörig eller olaglig behandling eller oavsiktlig förlust, förstöring eller skada på de uppgifter som ska skyddas och arten av de uppgifter som ska skyddas, med hänsyn till den tekniska utvecklingen och kostnaden för att genomföra åtgärderna (dessa åtgärder kan innefatta pseudonymisering och kodning av personuppgifter där det är lämpligt, att säkerställa systemens och tjänsternas konfidentialitet, integritet, tillgänglighet och motståndskraft, att säkerställa tillgängligheten till och åtkomsten till personuppgifter, att i rätt tid återställa tillgängligheten till och åtkomsten till sådana uppgifter efter en incident, samt att regelbundet se över och utvärdera effektiviteten i de tekniska och organisatoriska åtgärder som vidtagits av kommissionen).

16. Alla elektroniska kopior av personuppgifter måste lagras säkert med hjälp av lösenord och kryptering av data.

17. Endast Användare som behöver åtkomst till och användning av personuppgifter för att korrekt utföra sina tilldelade uppgifter har åtkomst till de personuppgifter som WORKPLACED innehar.

18. Alla Användare som behandlar personuppgifter för och på uppdrag av WORKPLACED omfattas av, och måste följa, bestämmelserna i WORKPLACED:s Dataskyddspolicy.