Поделиться через

Ответ на запросы по правам субъекта данных (DSR) для Microsoft Dynamics 365 Project Operations

  • Статья

В этом руководстве рассказывается, как использовать продукты, службы и административные инструменты , чтобы помочь клиентам контроллера находить персональные данные и предпринимать с ними действия для ответа на запросы субъектов данных (DSR) для Microsoft Dynamics 365 Project Operations. В частности, здесь описаны процессы поиска, доступа и выполнения действий с персональными данными, размещенными в облаке Microsoft Cloud. Это руководство поможет вам в следующем:

  • Обнаружение: используйте инструменты поиска и обнаружения, чтобы упростить поиск данных о клиентах, которые могут быть предметом запроса DSR. Собрав документы, которые имеют потенциальную важность, вы сможете в соответствии с запросом DSR выполнить с ними одно или несколько действий DSR, как описано в следующих шагах. В качестве альтернативы вы можете определить, что запрос не соответствует рекомендациям вашей организации по реагированию на запросы DSR.
  • Доступ: получить личные данные, которые хранятся в облаке Microsoft Cloud, и, если потребуется, сделать их копию доступной для субъекта данных.
  • Уточнение. Внесение изменений или осуществление других запрошенных действий с персональными данными, где это применимо.
  • Ограничение: ограничьте обработку персональных данных, удалив лицензии для различных веб-служб либо по возможности отключив соответствующие службы.
  • Удаление: навсегда удалить личные данные, которые находятся в облаке Microsoft Cloud.
  • Экспорт/получение: (переносимость) предоставьте электронную копию (в машиночитаемом формате) личных данных субъекту данных.

В этом руководстве описываются технические процедуры, которые организация-контроллер данных может выполнить в ответ на запросы DSR персональных данных в облаке Microsoft Cloud.

Для получения более подробной информации о правах субъекта данных, таких как Общий регламент по защите данных Европейского союза (GDPR) и Калифорнийский закон о конфиденциальности потребителей (CCPA), см. Калифорнийский закон о конфиденциальности потребителей.

Как это руководство может помочь вам выполнить ваши обязанности управляющего

Руководство, разделенное на две части, описывает, как использовать продукты, услуги и административные инструменты Microsoft для поиска и обработки данных в облаке Microsoft Cloud в ответ на запросы субъектов данных, которые осуществляют свои права в соответствии с GDPR. Первая часть относится к личным данным, включенным в данные клиента. Затем следует часть, относящаяся к другим псевдонимизированным личным данным, хранящимся в журналах, генерируемых системой.

  • Часть 1. Реагирование на запросы по правам субъекта данных (DSR) на персональные данные, включенные в данные клиента: в части 1 данного руководства обсуждается, как получить доступ, очистить, ограничить, удалить и экспортировать личные данные из Dynamics 365 Project Operations (программное обеспечение как услуга), которые обрабатываются как часть данных клиента, предоставленных вами интернет-службе.
  • Часть 2. Реагирование на запросы по правам субъекта данных для псевдомизированных данных: при использовании Dynamics 365 Project Operations корпорация Microsoft генерирует некоторую информацию (в этом документе называемую «системными журналами») для предоставления службы. Эта информация ограничена последствиями использования, оставленными конечными пользователями для идентификации своих действий в системе. Хотя эти данные нельзя отнести к конкретному субъекту данных без использования дополнительной информации, часть из них могут считаться персональными в соответствии с GDPR. Во второй части этого руководства обсуждается, как получать доступ, удалять и экспортировать системные журналы, созданные в Dynamics 365 Project Operations.

Подготовка к расследованию прав субъектов данных

Когда субъекты данных осуществляют свои права и делают запросы, учитывайте следующие моменты:

  • Точно определите человека и роль, такую как сотрудник, клиент, поставщик, используя информацию, которую субъект данных предоставил вам в рамках своего запроса. Эта информация может быть именем, идентификатором сотрудника или номером клиента, или другим идентификатором.
  • Запишите дату и время запроса. (У вас есть 30 дней для выполнения запроса.)
  • Подтвердите, что запрос соответствует требованиям вашей организации для удовлетворения или отклонения запроса субъекта данных. Например, вы должны убедиться, что выполнение запроса не вступает в противоречие с какими-либо другими юридическими, финансовыми или нормативными обязательствами, которые у вас есть, или не нарушает ли запрос права и свободы других лиц.
  • Убедитесь, что у вас есть информация, связанная с запросом.

Часть 1. Руководство по запросам DSR для данных клиентов

Выполнение запросов DSR для данных клиентов

Корпорация Microsoft предоставляет возможность доступа, удаления и экспорта определенных данных клиентов через портал Azure, а также напрямую через существующие интерфейсы прикладного программирования (API) или пользовательские интерфейсы (UI) для определенных служб (также называемых «встроенными в продукт возможностями»). Подробные сведения о таких встроенных в продукт возможностях для Dynamics 365 Project Operations приведены в этом руководстве.

Заметка

Dynamics 365 Project Operations имеет несколько типов развертывания, которые могут включать в себя использование Dataverse, архитектуры управления финансами и операциями либо того и другого. В зависимости от типа развертывания процесс запроса DSR может быть разным.

Рекомендуемые

Первый шаг в реагировании на запрос DSR — это найти персональные данные, которые являются предметом запроса. Первый шаг — поиск и проверка личных данных, о которых идет речь в запросе — поможет вам определить, соответствует ли запрос DSR требованиям вашей организации для удовлетворения или отклонения запросов DSR. Например, найдя и проверив личные данные, о которых идет речь в запросе, вы можете решить, что запрос не соответствует требованиям вашей организации, поскольку это может отрицательно сказаться на правах и свободах других людей.

После того как вы найдете данные, вы можете выполнить определенное действие, чтобы удовлетворить запрос по субъекту данных.

Dataverse предоставляет несколько способов поиска персональных данных в записях, таких как «Расширенный поиск» и «Поиск записей». Все эти функции позволяют идентифицировать (находить) персональные данные.

Архитектура управления финансами и операциями предоставляет несколько способов поиска данных клиентов. Администратор клиента может выполнять следующие действия для поиска данных клиентов:

  • Упорядочить данные клиентов таким образом, чтобы они служили цели быстрого обнаружения персональных данных. Узнайте, как классифицировать данные инвентаризации для этой цели.
  • Использовать Отчет о поиске людей для поиска и сбора персональных данных. Расширить «Отчет о поиске людей», создав новую сущность или расширив существующую.
  • Использовать функции поиска и фильтрации для поиска определенных персональных данных и экспортировать эти данные с помощью функции «Экспорт» в Microsoft Office либо распечатать эту информацию как PDF-файл с помощью расширений браузера.
  • Создать настраиваемую форму, которая будет находить и экспортировать личные данные.
  • Создать внешний портал или веб-сайт, который позволит клиенту, прошедшему проверку подлинности, просматривать свои персональные данные.

Открыть

После того как вы обнаружили данные клиентов, содержащие персональные данные, которые потенциально могут быть связаны с запросами DSR, вы и ваша организация должны решить, какие данные можно предоставить субъекту данных. Вы можете предоставить ему копию самого документа, соответствующим образом отредактированную версию или снимок экрана тех частей данных, которыми вы сочтете нужным поделиться. Для каждого из этих ответов на запрос на доступ необходимо получить копию документа или другого элемента, содержащего ответные данные. При предоставлении копии субъекту данных может потребоваться удалить или отредактировать личную информацию о других субъектах данных и любую конфиденциальную информацию.

Данные клиентов можно экспортировать в Dataverse с помощью комплексных возможностей экспорта сущностей. Чтобы упростить выполнение запроса на переносимость данных, данные клиента можно экспортировать в статический Excel-файл. Затем с помощью Excel можно отредактировать персональные данные, которые будут включены в запрос на переносимость, и сохранить их в наиболее распространенном машиночитаемом формате, например в формате CSV или XML. Записи также можно экспортировать через Веб-API Microsoft Dataverse.

Данные клиентов в архитектуре управления финансами и операциями можно экспортировать с помощью комплексных возможностей экспорта сущностей. Сущности управления данными и интеграции позволяют администратору клиента использовать предоставленные сущности, создавать новые сущности или расширять существующие сущности для реализации воспроизводимого экспорта персональных данных в формате Excel или ряде других распространенных форматов с помощью заданий импорта и экспорта данных. Чтобы упростить выполнение запроса на переносимость данных, многие списки можно экспортировать в статический Excel-файл. После экспорта данных в файл Excel можно отредактировать персональные данные, которые будут включены в запрос на переносимость, и сохранить файл в наиболее распространенном машиночитаемом формате, например в формате CSV или XML. Можно также использовать Отчет о поиске людей, чтобы предоставить субъекту данных данные, которые вы классифицировали как личные данные.

Уточнить

Если субъект данных попросил исправить персональные данные, которые находятся в данных вашей организации, вам и вашей организации необходимо определить, нужно ли выполнять такой запрос. Исправление данных может включать такие действия, как изменение, редактирование или удаление персональных данных из документа или другого типа элемента.

В Dataverse есть следующие способы исправления неточных или неполных данных клиентов или удаления данных клиентов:

  • Поиск данных клиентов с помощью возможностей, упомянутых в разделе «Обнаружение», и непосредственное редактирование данных в Dataverse. Правки могут быть внесены на уровне одной строки либо могут быть изменены непосредственно несколько строк.
  • Массовое редактирование нескольких записей позволяет использовать надстройку Microsoft Office для экспорта данных в Excel, внесения изменений и последующего импорта измененных данных из Excel в Dataverse.

В архитектуре управления финансами и операциями также можно использовать инструменты настройки, но ответственность за принятие решения и реализацию лежит на вас.

Краткое примечание об изменении записей в бизнес-транзакциях

Транзакционные записи, такие как общие записи, записи клиентов и записи в ГК для налогов, необходимы для обеспечения целостной работы системы планирования ресурсов предприятия (ERP). Персональные данные, которые являются частью финансовой или иной транзакции, хранятся «как есть» для соблюдения финансового законодательства (например, налогового законодательства), предотвращения мошенничества (например, журнал аудита безопасности) или обеспечения соответствия отраслевым сертификациям. Поэтому Dynamics 365 Project Operations ограничивает изменение данных в таких записях.

Ограничить

Субъекты данных могут запросить ограничение обработки их личных данных.

Когда вы получаете запрос от субъекта данных на ограничение обработки данных клиентов, вы можете легко извлечь затронутые данные клиентов из онлайн-службы и сохранить их в отдельном контейнере (локальном хранилище или отдельной веб-службе с возможностями изоляции данных), который изолирован от функций обработки, предлагаемых любым облачным приложением.

DELETE

«Право на удаление» личных данных из данных клиентов организации — одно из основных прав, предусмотренных GDPR. Удаление личных данных включает в себя формируемые системой журналы, за исключением информации журнала аудита.

Когда субъект данных просит вас удалить его данные о клиенте, это можно сделать несколькими способами.

  • Массовое редактирование нескольких записей в Dataverse позволяет использовать надстройку Microsoft Office для экспорта данных в Excel, внесения изменений и последующего импорта измененных данных из Excel обратно в онлайн-службу.
  • Вы можете удалить данные клиентов, хранящиеся в любом поле, найдя данные, которые вы хотите удалить, а затем вручную удалив элемент данных, содержащий целевые данные клиента. Например, можно применить необратимое удаление к записи контакта, представляющей субъект данных, и другим записям, содержащим персональные данные.

Кроме того, в архитектуре управления финансами и операциями можно использовать средства настройки для удаления или изменения данных клиентов.

Вы должны быть администратором клиента, чтобы удалить пользователя из клиента.

Экспорт (Export)

Право на переносимость данных гарантирует субъектам данных возможность запросить копию своих персональных данных в электронном формате (который определяется как «структурированный, широко распространенный, машиночитаемый и совместимый с разными системами формат данных») для передачи этих данных другому контроллеру данных.

В ответ на запрос на переносимость данных данные клиентов в Dataverse можно экспортировать с помощью комплексных возможностей экспорта сущностей. Чтобы упростить выполнение запроса на переносимость данных, данные клиента можно экспортировать в статический Excel-файл. Затем с помощью Excel можно отредактировать персональные данные, которые будут включены в запрос на переносимость, и сохранить их в наиболее распространенном машиночитаемом формате, например в формате CSV или XML.

Архитектура управления финансами и операциями предлагает Сущности управления данными и интеграции, которые позволяют использовать предоставленные сущности, создавать новые сущности или расширять существующие сущности для реализации воспроизводимого экспорта персональных данных в формате Excel или ряде других распространенных форматов с помощью заданий импорта и экспорта данных. Чтобы упростить выполнение запроса на переносимость данных, многие списки можно экспортировать в статический Excel-файл. После экспорта данных в файл Excel можно отредактировать персональные данные, которые будут включены в запрос на переносимость, и сохранить файл в наиболее распространенном машиночитаемом формате, например в формате CSV или XML.

Можно также использовать «Отчет о поиске людей», чтобы предоставить субъекту данных данные, которые вы классифицировали как личные данные.

Вы должны быть администратором клиента, чтобы экспортировать данные пользователя из клиента.

Часть 2. Формируемые системой журналы

Корпорация Microsoft дает вам возможность получать доступ, экспортировать и удалять формируемые системой журналы, которые могут считаться личными в соответствии с широким определением «личных данных» в рамках Общего регламента по защите данных (GDPR). Примеры системных журналов, которые могут считаться личными в соответствии с GDPR, включают в себя следующее:

  • Данные об использовании продуктов и служб, такие как журналы действий пользователей
  • Поисковые запросы и данные запроса пользователя
  • Данные, сгенерированные продуктами и службами как продукт функциональности системы и взаимодействия пользователей или других систем

Важно

Возможность ограничения или исправления данных в формируемых системой журналах не поддерживается. Данные в формируемых системой журналах представляют собой фактические действия, выполняемые в облаке Microsoft Cloud и диагностические данные, и модификация таких данных поставит под угрозу учет действий и увеличит риски мошенничества и безопасности.

Выполнение запросов DSR для системных журналов