Reglament General de Protecció de Dades (RGPD)

Informació general

Noves lleis sobre privacitat i bones pràctiques d'Odoo

El Reglament General de Protecció de Dades (RGPD) va entrar en vigor el 25 de maig de 2018 i va donar pas a una nova era de protecció de dades i de privacitat per a tothom. Encara que hagis sentit o llegit molta informació sobre el RGPD, potser és complicat entendre exactament el que significa per a la teva empresa, en la pràctica, i el que hauries de fer per complir amb les noves regles.

En Odoo, ens comprometem a seguir les bones pràctiques en matèria de seguretat i privacitat. Ens esforcem per proporcionar el mateix grau de protecció a tots els usuaris i clients, sense distinció d'ubicació geogràfica o nacionalitat. Apliquem aquestes bones pràctiques a totes les dades, no només a les dades de caràcter personal.

Odoo SA i les seves filials compleixen, per tant, amb el RGPD.

Tot el que necessites saber sobre el RGPD

Es tracta d'un Reglament europeu, l'objectiu del qual és harmonitzar i modernitzar la legislació existent de privacitat, com ara la Directiva de la UE sobre la Privadesa de les Dades, a la qual reemplaça. Estableix normes per a la protecció de les persones físiques en relació amb el tractament de les seves dades personals i amb la lliure circulació d'aquestes dades en Europa.

Es tracta d'unReglament, i no d'una Directiva i és, doncs, d'aplicació immediata en tots els estats membres de la Unió Europea, sense necessitat de transposició a la legislació nacional de cada país. Els països de la UE disposen d'un marge d'interpretació reduït quant als aspectes més específics, però les normes fonamentals són les mateixes per a tothom en tot el territori de la UE.

El RGPD també actualitza la legislació perquè estigui al dia per al mil·lenni vinent, i pren en consideració les xarxes socials, la informàtica al núvol, el ciberdelicte i els grans reptes que planteja en termes de privacitat i seguretat de les dades personals.

En poques paraules: No et preocupis!

EL RGPD no és una nova legislació revolucionària; és, en definitiva, un aspecte positiu per als ciutadans i per a les empreses.

És beneficiós!

Volem posar èmfasi en el fet que el RGPD pot ser un aspecte positiu per als teus clients i per a tu. Complir amb el RGPD pot significar inicialment molt de treball, però les noves normes en tenen avantatges:

• Més confiança per part dels teus clients i usuaris
• Simplificació: les mateixes normes s'apliquen en tots els països arreu de la UE.
• Racionalització i centralització dels teus processos organitzacionals

La finalitat del RGPD és donar als individus més control sobre les seves dades de caràcter personal. Si la teva empresa estableix l'estratègia i el sistema adequats, l'empresa serà més fàcil de gestionar, més fiable i més segura en un futur.

Quins són els riscs en cas de no conformitat?

La màxima sanció per incompliment és una multa administrativa de 20 milions d'euros o el 4 % de la facturació anual global, es retindrà la quantitat més elevada. Per a infraccions més lleus, la multa serà de 10 milions d'euros o del 2 % de la teva facturació anual global.

Aquests màxims estan pensats per ser dissuasius per a les empreses de qualsevol mida, però el RGPD exigeix, d'igual manera, que les multes siguin proporcionades.

Les autoritats de control (també conegudes com a Autoritats de protecció de dades: APD) han de tenir en compte les circumstàncies particulars de cada cas, incloent-hi la naturalesa, la gravetat i la durada de la infracció. Aquestes APD també tenen la potestat d'examinar i d'imposar mesures correctives, entre les quals s'inclou la limitació d'activitats il·lícites, sense imposar una sanció necessàriament.

Un altre risc si no compleixes amb les normes és la pèrdua de confiança per part dels clients i dels clients potencials, els quals es preocupen de la manera en què tractes les seves dades!

Finalment, moltes APD han deixat entreveure que no imposaran sancions en 2018, però esperen que les empreses demostrin que estan treballant en la seva conformitat.

Principis clau del RGPD

Àmbit d'aplicació del reglament

El reglament s'aplica a tot tractament de dades de caràcter personal per part de qualsevol organització:

1. Si l'organització que controla o processa el tractament està situada en la UE
2. Si l'organització no es troba en la UE, però el tractament de dades inclou dades de caràcter personal d'individus que estan situats en la UE i, aquest tractament, està lligat amb ofertes comercials o amb el control del seu comportament.

L'àmbit d'aplicació inclou, doncs, les empreses que no són de la UE, encara que aquest no era el cas en la normativa anterior.

Rols

El reglament diferencia dos tipus d'entitats principals:

• Responsable del tractament: qualsevol entitat que determini la finalitat i els mitjans per al tractament de dades de caràcter personal, sigui individualment o de manera col·lectiva. Per norma general, cada organització és la responsable del tractament de les seves pròpies dades.
• Encarregat del tractament: qualsevol entitat que tracti dades personals per compte del responsable del tractament.

Per exemple, si la teva empresa posseeix una base de dades allotjada a Odoo al núvol, tu ets el responsable del tractament d'aquesta base de dades i, Odoo SA, només és un encarregat del tractament. Altrament, si utilitzes Odoo on premise, llavors ets alhora responsable i encarregat del tractament de dades.

Dades de caràcter personal

EL RGPD dona una àmplia definició per referir-se a les dades de caràcter personal: qualsevol informació sobre una persona física identificada o identificable. Una persona física identificable és qualsevol persona la identitat de la qual es pot determinar, directament o indirectament, per mitjà del seu nom, correu electrònic, número de telèfon, dades biomètriques, dades de localització, informació financera, etc. Els identificadors en línia, com ara les adreces IP o els identificadors dels dispositius també formen part de l'àmbit d'aplicació.

Això també és aplicable a àmbits professionals: info@odoo.com no es considera com a una dada de caràcter personal, però john.smith@odoo.com sí, ja que es pot fer servir per identificar a una persona física dins d'una empresa.

El RGPD també exigeix un nivell superior de protecció per a les dades sensibles, i inclou categories especials de dades, com ara la salut, les dades genètiques, l'origen racial o la religió.

Principis del tractament de dades

Amb l'objectiu de complir amb el reglament, les activitats de tractament de dades han de respectar les següents normes:
(com s'especifica a l'article 5 del RGPD)

1. Licitud, lleialtat i transparència: per recollir dades, has de tenir una base jurídica, una finalitat clara, i has d'informar a la persona a qui afecta aquesta recopilació de dades.

   • Tingues una política de privacitat senzilla i clara, i fes-n'hi referència en cada moment que recullis dades.
   • Verifica la base jurídica de cadascuna de les teves activitats de tractament de dades

2. Limitació de la finalitat: una vegada les dades s'han recollit amb una finalitat determinada, has de demanar permís per utilitzar les dades amb una altra finalitat.

   p. ex. - No pots decidir vendre les dades del teu client si no es van recollir per a aquesta finalitat.

3. Minimització: únicament has de recollir les dades necessàries per a una determinada finalitat.

4. Exactitud: cal prendre mesures raonables per garantir que les dades de caràcter personal es mantinguin actualitzades en relació amb la seva finalitat.

   p. ex. - Assegura't de gestionar els correus que han sigut rebotats i de corregir o eliminar les adreces.

5. Limitació del termini de conservació: les dades personals s'han de conservar només durant el temps que calgui per assolir la finalitat inicial per a la qual s'han recollit.

   Defineix períodes de temps per eliminar o examinar les dades de caràcter personal que tractis, segons la seva finalitat.

6. Integritat i confidencialitat: els encarregats del tractament de dades han d'adoptar mesures apropiades de control d'accés, de seguretat i de prevenció de pèrdua de dades, en funció dels tipus i de la magnitud de les dades que es tracten.

   p. ex. - Assegura't que el teu sistema de còpies de seguretat funcioni, posa en marxa controls de seguretat, utilitza el xifratge de dades per protegir les dades sensibles, com ara les contrasenyes.

7. Responsabilitat proactiva: els responsables del tractament de dades han de complir i poder demostrar que compleixen amb tots els principis de tractament de dades.

   • Estableix i mantingues una referència de mapatge de dades per a la teva organització que detalli la conformitat de les activitats de tractament
   • Informa els teus clients per mitjà de la política de privacitat i assegura't que aquesta sigui clara

Base jurídica

Amb l'objectiu de ser lícit amb el RGPD (primer principi), el tractament de les dades personals ha de complir una de les sis bases jurídiques possibles, com s'especifica a l'article 6 (1):

1. Consentiment. Vàlid quan la persona interessada ha donat consentiment explícitament i lliurement una vegada ha estat adequadament informada, incloent-hi una finalitat específica clarament enunciada. La responsabilitat de demostrar tot això recau en el responsable del tractament.
2. Necessari per executar un contracte o per aplicar mesures precontractuals a petició de la persona interessada.
3. Compliment d'una obligació legal a la qual el responsable del tractament està sotmès.
4. Protecció dels interessos vitals. Quan el tractament és necessari per salvar una vida.
5. Interès públic o autoritat oficial.
6. Interès legítim. Aplicable quan el responsable del tractament té un interès legítim, sempre que no prevalguin interessos i drets fonamentals de la persona interessada.

Un dels canvis més importants que ha introduït el RGPD en comparació amb el reglament anterior de privacitat de dades és l'enduriment dels requisits per obtenir un consentiment vàlid.

Drets de la persona interessada

El RGPD amplia encara més els drets existents de les persones en matèria de protecció de dades. Les organitzacions han d'estar preparades per gestionar les sol·licituds de les persones interessades a temps (en un termini d'1 mes) i de forma gratuïta:

1. Dret d'accés - la persona interessada té dret a conèixer, amb total transparència, quines dades personals es tracten i com es desenvolupa aquest tractament.
2. Dret de rectificació - la persona interessada té dret a obtenir la rectificació o a completar les seves dades personals;
3. Dret de supressió - La persona interessada té dret a obtenir la supressió de les seves dades personals per motius legítims (quan es revoqui el consentiment, quan ja no siguin necessàries per a la finalitat per a la qual es van recollir, etc.);
4. Dret a la limitació del tractament - La persona interessada pot sol·licitar que el responsable del tractament cessi el tractament de les seves dades personals, si no vol que les tractin o no pot demanar la supressió total;
5. Dret d'oposició - La persona interessada té dret a oposar-se en qualsevol moment al tractament de les seves dades personals, per exemple, per a fins comercials;
6. Dret a la portabilitat de les dades - La persona interessada té dret a rebre les seves dades personals, proporcionades prèviament a un responsable del tractament, o a transmetre les dades a un altre responsable del tractament.

Com preparar-te per al RGPD

A continuació, pots visualitzar els passos clau que et recomanem per a un full de ruta de compliment amb el RGPD:

1. Estableix un mapatge de dades de les activitats de tractament de dades de la teva organització per obtenir una idea clara de la situació. Les autoritats de protecció de dades sovint proporcionen plantilles de fulls de càlcul per ajudar-te amb aquesta tasca. Per a cada procés, documenta el tipus de dades personals i la manera en què es van recollir, la finalitat, la base jurídica i la política de supressió del tractament; les mesures de seguretat tècniques i organitzacionals implementades i els encarregats del tractament que estan implicats.

   Et recomanem actualitzar aquest mapatge de dades regularment, a mesura que els teus processos evolucionin.
2. D'acord amb el pas 1, tria una estratègia correctiva per als tractaments que no disposin d'una base jurídica (per exemple, manca de consentiment) o que no disposin de mesures de seguretat adequades. Adapta els teus processos, els procediments interns, les regles de control d'accés, les còpies de seguretat, la supervisió, etc.
3. Actualitza i publica una política de privacitat clara en el teu lloc web. Explica quines dades personals tractes, com ho fas i quins són els drets de les persones interessades.
4. Revisa els teus contractes amb un assessor jurídic i adapta'ls al RGPD.
5. Decideix la manera en què respondràs als diferents tipus de sol·licituds de les persones interessades.
6. Prepara el teu protocol de resposta a incidències en cas de violació de dades.

En funció de la teva situació, es podrien afegir altres elements a la llista, com ara la designació d'un delegat de protecció de dades. Comunica't amb els teus experts interns en matèria de tractament i amb els teus assessors fiscals per definir altres possibles mesures.

La manera en què Odoo compleix amb el RGPD

En Odoo, la implementació de millors pràctiques en matèria de privacitat i seguretat no és una idea nova. Com a empresa d'allotjament al núvol, estem actualitzant i millorant contínuament els nostres sistemes, eines i processos per garantir la seguretat i l'eficàcia de la plataforma.

Els nostres rols del RGPD

La nostra responsabilitat quant a la protecció de dades personals depén de diferents activitats de tractament de dades:

Els nostres rols	Tractament de dades	Tipus de dades
Responsable i encarregat del tractament	En Odoo.com	Les dades personals proporcionades per part dels nostres clients directes i clients potencials, dels nostres partners i de tots els usuaris directes d'Odoo.com (noms, correus, adreces, contrasenyes, etc.).
Encarregat del tractament de dades	En Odoo al núvol (Odoo en línia, Odoo.sh i altres serveis d'Odoo Enterprise)	Totes les dades personals emmagatzemades en la base de dades dels nostres clients, allotjades en Odoo al núvol o que han estat cedides amb la finalitat d'utilitzar un dels nostres serveis. El propietari de la base de dades és el responsable del tractament de dades.
Sense rol	On-Premise	Totes les dades que es trobin en bases de dades d'Odoo allotjades on-premise o en un allotjament extern que no gestiona Odoo.

Els nostres documents del RGPD

En qualitat de responsable del tractament, les nostres activitats estan contemplades en la nostra Política de privacitat, que ha estat actualitzada en el marc del RGPD. Aquesta política explica amb claredat quines dades tractem, per què les tractem i com ho fem. Molt vinculat amb això, la nostra Política de seguretat explica les millors pràctiques de seguretat que hem implementat en Odoo, a tots els nivells (tècnics i organitzatius) per garantir un tractament de dades segur i protegit.

A més d'aquestes polítiques, les nostres activitats com a encarregats del tractament estan sotmeses a l'acceptació del nostre acord de subscripció d'Odoo Enterprise. Aquest acord s'ha actualitzat per afegir les clàusules necessàries de protecció de dades (també conegut com a «Acord de tractament de dades»), tal com ho exigeix el RGPD.
Com a client d'Odoo S.A. no has de fer res per acceptar aquestes modificacions, perquè ja gaudeixes de les noves garanties, i entenem que estàs d'acord llevat que ens diguis el contrari!

Amb tot això, també hem actualitzat el nostre lloc web per inserir avisos de privacitat en tots els llocs pertinents, amb la finalitat d'informar els nostres usuaris en tot moment.

Com t'ajuda Odoo a implementar les millors pràctiques quant al RGPD

Utilitzar Odoo per gestionar el teu negoci potser no és suficient per assegurar el compliment del RGPD, ja que el reglament aplica a tota l'empresa. No obstant això, com que Odoo centralitza les teves dades, redueix la redundància de les dades i posa en pràctica drets d'accés i controls de seguretat granulars, Odoo pot ser molt útil per assegurar el compliment del RGPD.

Aquí trobaràs algunes formes amb les quals Odoo potser podrà ajudar-te en el marc del RGPD, tant per a les bases de dades on-premise com per a les allotjades al núvol.

Dret d'accés (art. 15) i dret a la portabilitat de les dades (art. 20)

• Odoo ofereix algunes eines per ajudar les persones interessades a accedir i actualitzar la seva informació personal pel seu compte:
  • El portal del client permet que els usuaris trobin documentació contractual: adreça i contactes, factures, pressupostos, comandes, tasques, tiquets de suport, compres, subscripcions, comandes de lliurament, pagaments, així com les comunicacions relatives a aquests documents.
  • La pàgina de llistes de correu permet als usuaris examinar i gestionar les seves subscripcions (exemple per a odoo.com: https://www.odoo.com/groups)
  • El perfil del fòrum permet que els teus usuaris visualitzin totes les seves activitats a cop d'ull.
• Si necessites exportar totes les dades o comunicar dades privades que no són accessibles per mitjà del portal, cal seguir alguns passos manuals.
  En general, pots accedir a tots els documents directament des de la barra superior del formulari de contacte dels usuaris, al qual estan vinculats els documents. Llavors pots exportar total la informació gràcies a la funcionalitat «Imprimir com a PDF» del teu navegador o mitjançant el menú «Acció>Exportar», a partir de la llista de contactes o des de la llista dels seus documents.
  Ambdues opcions proporcionen formats compatibles amb el RGPD.
• A més d'això, potser en tens informació que no està vinculada al formulari de contacte i que la persona interessada podria haver omplert en un altre context. També hauries de revisar aquesta informació per mitjà d'una cerca per nom o correu electrònic. Un exemple d'informació no vinculada seria:
  • Subscripcions a esdeveniments
  • Clients potencials i oportunitats en el teu CRM

Dret de supressió (dret a l'oblit) (art. 17)

EL RGPD atorga a la persona interessada el dret a sol·licitar i obtenir la supressió de les seves dades personals, sota condicions específiques, com ara:

• Quan les dades ja no són necessàries respecte a la finalitat;
• Quan es revoca el consentiment del tractament de dades el qual es basava únicament en el consentiment;
• Quan el tractament de dades és il·lícit.

Si consideres que la sol·licitud de supressió és legítima i has confirmat la identitat de la persona interessada, llavors pots intentar suprimir el contacte corresponent en Odoo. Aquesta operació és segura: el sistema bloquejarà l'operació en cas que hi hagi un document comercial que encara faci referència al contacte (una factura, un contacte, un lliurament, una publicació en un fòrum, etc.). En aquest cas, has de decidir si en tens altres obligacions que et forcin a conservar aquests documents i si hauries de rebutjar la sol·licitud de supressió.

En cas que no tinguis una raó legal per conservar les dades personals, però no puguis o no vulguis suprimir un document o un contacte, valora la possibilitat d'anonimitzar-lo. Pots modificar el nom del contacte i canviar les dades que podrien fer identificable el document o el contacte (correu, adreça, etc.); una altra opció és reassignar els documents a un contacte anònim genèric. Una vegada anonimitzat correctament, aquestes dades no seran mai més dades de caràcter personals.

Limitació del tractament (art. 18) i Revocació del consentiment (art. 7)

Els usuaris sovint demanaran anul·lar la subscripció dels correus amb informació de naturalesa comercial. Si els teus coreus s'han enviat a través d'Odoo, els usuaris poden anul·lar la subscripció pel seu compte mitjançant l'enllaç per donar-se de baixa. Amb tot, pots seleccionar manualment el camp de «baixa voluntària» en el contacte o client potencial/oportunitat. Els enregistraments que s'hagin marcat com a baixa voluntària s'exclouen automàticament de les campanyes de correu massiu, però sempre poden rebre missatges directes dels usuaris (p. ex. pressupostos o factures).

Dret de rectificació (art. 16) i exactitud de dades (art. 5 (1) d)

Les adreces de correu electrònic invàlides o canviants són una font habitual d'errors de dades. Quan la integració de correus està correctament configurada (per defecte en Odoo al núvol), Odoo gestiona els missatges rebotats en les teves campanyes d'enviament massiu i augmenta el camp de Rebot amb el nombre de missatges rebotats. Pots revisar periòdicament els teus contactes o clients potencials per mitjà d'una cerca personalitzada en "Rebot superior a 0" i netejar o suprimir els enregistraments.

Els seguidors dels canals de Converses d'Odoo es donen de baixa automàticament després de 10 rebots.

Quant a la rectificació, els usuaris i els clients també poden corregir les seves pròpies dades personals (nom, correu electrònic, adreça) per mitjà del portal d'Odoo.

Consentiment (art. 7)

Quan reculls dades de caràcter personal per mitjà dels mecanismes per defecte d'Odoo (p. ex. formulari de contacte, inscripció a la llista de correu, inscripció a un esdeveniment), has d'establir una finalitat i una base jurídica per al tractament. Això depèn sobre manera de l'ús que faràs de les teves dades.

Si la finalitat és específica i evident (p. ex. emmagatzemar el registre dels participants inscrits a un esdeveniment per mantenir-los informats sobre la durada d'un esdeveniment; inscriure algú a la llista de correu que hagi escollit), no has de demanar el consentiment explícitament (les dades de caràcter personal són necessàries per al contracte - art. 6 (1) b). Tanmateix, encara cal que li especifiquis clarament a l'usuari quina és la finalitat i que facis referència a la teva pàgina de política de privacitat la qual conté més informació. Pots utilitzar el creador de lloc web d'Odoo per modificar els formularis i afegir les mencions necessàries.

Malgrat això, si tens la intenció d'utilitzar les dades recollides per a altres fins, necessites el consentiment explícit de l'usuari per a cada finalitat. La millor opció és incloure caselles de selecció al teu formulari per aconseguir el consentiment per a cada finalitat específica (p. ex. «Si us plau, envia'm per correu descomptes i promocions sobre productes similars»). Per fer això amb Odoo, pots:

1. Utilitzar Studio per afegir una casella de selecció (camp de tipus boolean) al document que recull dades de caràcter personal (p. ex. clients potencials/oportunitats) i representar, així, el consentiment per a aquesta finalitat.
2. Afegir el camp de selecció al formulari del teu lloc web per mitjà del creador de llocs web d'Odoo.
3. Utilitzar aquest camp quan tractis dades amb aquesta finalitat, com ara en els filtres de segmentació de les teves campanyes de màrqueting.

Privacitat des del disseny (art. 25)

La seguretat des del disseny és un element clau en les nostres iniciatives d'R+D en Odoo i adoptem les millors pràctiques perquè el nostre programari sigui segur, robust i adaptable per a tothom.

Control d'accés - el sistema de control d'accés per grups d'Odoo et permet restringir l'accés a les dades de caràcter personal en funció del rol o de les necessitats de cada usuari (per exemple, un gestor de projectes potser no necessita accés a les candidatures). Si revises les assignacions dels grups d'usuaris i les actualitzes quan hi ha un canvi en un rol específic dins de la teva organització, llavors tindràs una base de privacitat ferma. Pots afegir o modificar els grups d'usuaris per adaptar-los a la teva organització.

Regles de registre - per optimitzar l'accés a les dades personals, pots fer servir el concepte de regles de registre, que et permet restringir l'accés als documents conforme a qualsevol criteri basat en els valors dels camps. Les regles de registre poden bloquejar les operacions de lectura i/o d'escriptura i aquestes funcionen per document. Per obtindre més informació, consulta la nostra documentació..

Contrasenyes - Odoo utilitza una funció resum estàndard segura per emmagatzemar les contrasenyes dels usuaris. També és possible utilitzar sistemes d'autenticació externs, com per exemple, OAuth 2.0 o LDAP, per evitar l'emmagatzematge de contrasenyes dels usuaris.

Dades dels empleats - la pestanya d'informació privada que hi ha a una fitxa d'empleat o en els contractes dins d'una base de dades d'Odoo probablement conté dades personals sensibles. Aquesta part del directori d'empleats només la pot visualitzar el personal de recursos humans, qui necessita aquesta informació per dur a terme el seu treball. Aquesta protecció inclou l'adreça personal dels empleats: d'Odoo 12 a Odoo 17, i s'emmagatzema com a Contactes de tipus «privat» únicament visible per al personal de RH. A partir de la versió 17.0, s'emmagatzema directament en la fitxa d'empleat.

Seguretat del tractament (art. 25 i 32)

Implementem les millors pràctiques de seguretat i de privacitat en tots els nivells, tant per als serveis d'Odoo en línia com per als d'Odoo.sh. Per saber-ne més, consulta la nostra Política de seguretat.
Si utilitzes Odoo on-premise, ets responsable de seguir les millors pràctiques de seguretat. Per començar, revisa les nostres recomanacions de seguretat de la nostra documentació d'implementació.