Alla olevat vastaukset koskevat vain Visma Software Oy:n Sovelluspalvelua

Kysymys: Pääseekö henkilöstönne käsittelemään(tarkastelemaan) asiakasyritystemme henkilötietoja esimerkiksi tietokannan huoltotöiden yhteydessä tai asiakaspalvelu/helpdesk-toiminnassa?

Vastaus: Visman henkilöstö ei pääse näkemään tai käsittelemään henkilötietoja muuta kuin silloin, kun asiakas avaa sovellustuelle etäyhteyden tai antaa luvan Vismalle ottaa tietokanta tutkittavaksi. Lisäksi Visma Software Oy:n nimetyillä henkilöillä on laajemmat oikeudet, ks. tarkemmin kysymys "Miten on varmistettu, että vain tietyt nimetyt yrityksenne henkilöt pääsevät käsittelemään henkilötietoja?"

Kysymys: Käytättekö palkanlaskentajärjestelmän tarjoamisessa alihankkijoita, joiden henkilöstöllä tai yhteistyökumppaneilla on mahdollisuus päästä käsittelemään (tarkastelemaan) asiakasyritystemme työntekijöiden henkilötietoja? Jos on, pyydämme nimeämään alihankkijat sekä heidän roolinsa palveluntuotannossa.

Vastaus: Visma Software Oy:n konesalipalveluiden tuottaja Inmics Oy, jonka henkilöstöllä on pääsy Sovelluspalvelun Windowsin käyttäjänhallintaan (Active Directory), josta löytyvät Sovelluspalvelun Visma Nova -käyttäjien nimi ja sähköpostiosoite.

Visma Software Oy:n Citrix-konsultointi Comping Oy, jonka henkilöstöllä on pääsy Sovelluspalvelun Windowsin käyttäjänhallintaan (Active Directory),josta löytyvät Sovelluspalvelun Visma Nova -käyttäjien nimi ja sähköpostiosoite.

Visma Software Oy:n ja alihankkijoiden välillä on salassapito- ja DPA-sopimukset.

Kysymys: Miten on varmistettu, että ulkopuolinen taho ei pääse käsiksi tietoihin esimerkiksi tietoverkon kautta?

Vastaus: Liikenne Visma Sovelluspalveluun on salattu (HTTPS). Sovelluspalveluympäristö on suojattu palomuurilla ja virustorjunnalla.

Kysymys: Miten henkilötietojen siirrot on salattu (tietokantojen ja tiedostojen siirto Internetissä)

Vastaus: Tietokantoja tai tiedostoja ei siirretä internetissä vaan kaikki liikenne tapahtuu Sovelluspalvelun sisäverkossa. Mikäli Sovelluspalvelusta siirretään tietoja ulos (esimerkiksi omalle työasemalle), liikenne on salattu.

Kysymys: Miten on varmistettu, että vain tietyt nimetyt yrityksenne henkilöt pääsevät käsittelemään henkilötietoja?

Vastaus: a.) Sovelluspalvelun Visma Nova -käyttäjien tietoihin on ylläpidollisista syistä pääsy Visma Softwaren nimetyillä henkilöillä. Käyttäjät tunnistetaan henkilökohtaisilla käyttäjätunnuksilla.

b) Visma Novaa käyttävän yrityksen oman henkilökunnan osalta vain tarvittavien henkilöiden pääsy käsittelemään henkilötietoja varmistetaan siten, että käyttäjät kuuluvat oikeisiin käyttäjäryhmiin, joiden perusteella ohjelma määrittää mihin toimintoihin käyttäjällä on oikeus.

Kysymys: Miten on varmistettu, että henkilötietojen käsittelystä (tarkastelu) jää talteen lokitiedot tarkastelijasta ja tarkastelun kohteesta?

Vastaus: Henkilötietojen perustamisesta sekä niiden muokkaamisesta jää kattavat tiedot henkilötietojen muutoslokiin, jonka näkee palkanlaskennan henkilötiedoissa Näytä/Tietueen tapahtumat. Pelkästään henkilötietojen tarkastelusta ei tehdä lokimerkintöjä, koska oletusarvoisesti kaikkien palkanlaskentaan oikeudet omaavien käyttäjien on päästävä tarkastelemaan kaikkien henkilöiden kaikkia tietoja. Mikäli palkanlaskenta ei ole Novassa käytössä, on pelkän henkilörekisterin kaikkien tietojen näkemiseen oikeus Novan pääkäyttäjä -oikeuksilla olevalla käyttäjällä.

Kysymys: Onko henkilöstönne allekirjoittanut salassapitosopimuksen, joka kattaa asiakkaiden työntekijöiden henkilötiedot?

Vastaus: Kyllä, henkilöstömme on allekirjoittanut salassapitosopimuksen. Salassapitosopimus kattaa laajasti kaiken sellaisen salaisen tiedon, joka ei ole laillisesti julkisesti saatavilla.

Kysymys: Miten henkilöstönne on koulutettu Tietosuoja-asetuksen vaatimuksiin?

Vastaus: Koko Visman henkilöstö on roolista riippumatta koulutettu Tietosuoja-asetuksen asettamiin vaatimuksiin.

Kysymys: Onko teiltä tulossa tietosuoja-asetuksen vuoksi esimerkiksi sopimusehtojen muutoksia tai ohjelmistopäivityksiä

Vastaus: Visma päivittää ja yhtenäistää yleiset käyttöehdot vastaamaan myös GDPR:n mukanaan tuomia vaatimuksia. Visma Novaan on tulossa uusia toiminnallisuuksia tietosuoja-asetuksen johdosta, mm toimintoja, joilla asiakkaamme voivat täyttää tietosuoja-asetuksen mukaisia pyyntöjä.

Kysymys: Onko järjestelmästänne mahdollisuus saada tarvittaessa henkilötiedot rakenteisessa tiedostomuodossa.

Vastaus: Visma Nova 9.7 versiossa julkaistun henkilötietoraportin kautta henkilörekisterissä olevan henkilön tiedot voidaan viedä esim. Excel-muotoon.

Kysymys: Ovatko tietokannoissa olevat keskeiset luottamuksellisuutta edellyttävät henkilötiedot salattu tai toteutatteko tietojen salauksen ennen asetuksen voimaantuloa.

Vastaus: Henkilöiden henkilötunnukset on salattu tietokannassa Visma Nova 9.7 versiossa.

Kysymys: Jos asiakkaamme lopettaa asiakassuhteen, tulisi yrityksen palkanlaskennan tiedot pystyä poistamaan palvelimiltanne. Samaten yksittäisen työntekijän henkilötiedot on pystyttävä anonymisoimaan tai poistamaan, kun niitä ei enää tarvita. Onko ohjelmistossanne valmiudet tähän tai toteutatteko ne asetuksen voimaantuloajankohtaan mennessä?

Vastaus: Sopimussuhteen päättyessä Visma toimittaa kaikki tiedot asiakasyritykselle, jonka jälkeen kaikki asiakasyrityksen tiedot poistetaan pysyvästi Visman palvelimilta.

Visma Nova ohjelmiin ei ole toteutettu tietojen anonymisointia. Henkilötietojen poistamista varten on laadittu oma ohjeistus, joka löytyy osiosta Henkilötiedot ja tietojen poisto-ohjeet Visma Novan sovelluksissa.

Kysymys: Pääseekö henkilöstönne käsittelemään(tarkastelemaan) asiakasyritystemme henkilötietoja esimerkiksi tietokannan huoltotöiden yhteydessä tai asiakaspalvelu/helpdesk-toiminnassa?

Vastaus: Kun on kyse paikallisesti asennetusta Visma Novasta, Visman henkilöstö ei pääse näkemään tai käsittelemään henkilötietoja, ilman että asiakas avaa etäyhteyden ja antaa oikeudet päästä tietokantaan käsiksi tai asiakas toimittaa tietokannan Vismalle tutkittavaksi johonkin ongelmaan liittyen.

Kysymys: Käytättekö palkanlaskentajärjestelmän tarjoamisessa alihankkijoita, joiden henkilöstöllä tai yhteistyökumppaneilla on mahdollisuus päästä käsittelemään (tarkastelemaan) asiakasyritystemme työntekijöiden henkilötietoja? Jos on, pyydämme nimeämään alihankkijat sekä heidän roolinsa palveluntuotannossa. Lisäksi pyydämme teitä ohjaamaan alihankkijoita vastaamaan myös tähän kyselyyn

Vastaus: Kun on kyse paikallisesti asennetusta Visma Novasta, emme käytä alihankkijoita, vaan näiden mahdollinen käyttäminen esim. asennuksissa on asiakkaan vastuulla.

Kysymys: Miten on varmistettu, että ulkopuolinen taho ei pääse käsiksi tietoihin esimerkiksi tietoverkon kautta?

Vastaus: Kun on kyse paikallisesti asennetusta Visma Novasta asiakkaan omassa ympäristössä, on asiakkaan vastuulla, että Visma Nova –ohjelmat on asennettu annetun ohjeistuksen mukaisesti siten, että Visma Nova palvelimelle on pääsy vain tarvittavilla käyttäjillä/käyttäjäryhmillä ja on yleisesti huolehdittu palvelimen kattavasta tietoturvasta.

Kysymys: Miten henkilötietojen siirrot on salattu (tietokantojen ja tiedostojen siirto Internetissä)

Vastaus: Kun on kyse paikallisesti asennetusta Visma Novasta, ei tietokantoja tai tiedostoja siirretä internetissä vaan kaikki liikenne tapahtuu asiakasyrityksen omassa sisäverkossa. Mikäli tulee tarve toimittaa tietokanta Vismalle esim. tutkittavaksi johonkin ongelmatilanteeseen liittyen, käytetään tähän Visma File HUB-tiedostonsiirtojärjestelmää, jossa liikenne ja aineisto ovat salattua.

Kysymys: Miten on varmistettu, että vain tietyt nimetyt yrityksenne henkilöt pääsevät käsittelemään henkilötietoja?

Vastaus: a.) Kun on kyse paikallisesti asennetusta Visma Novasta, Visman henkilöstö ei pääse näkemään tai käsittelemään henkilötietoja, ilman että asiakas avaa etäyhteyden ja antaa oikeudet päästä tietokantaan käsiksi tai asiakas toimittaa tietokannan Vismalle tutkittavaksi johonkin ongelmaan liittyen.

b) Visma Novaa käyttävän yrityksen oman henkilökunnan osalta vain tarvittavien henkilöiden pääsy käsittelemään henkilötietoja varmistetaan siten, että käyttäjät kuuluvat oikeisiin käyttäjäryhmiin, joiden perusteella ohjelma määrittää mihin toimintoihin käyttäjällä on oikeus.

Kysymys: Miten on varmistettu, että henkilötietojen käsittelystä (tarkastelu) jää talteen lokitiedot tarkastelijasta ja tarkastelun kohteesta?

Vastaus: Henkilötietojen perustamisesta sekä niiden muokkaamisesta jää kattavat tiedot henkilötietojen muutoslokiin, jonka näkee palkanlaskennan henkilötiedoissa Näytä/Tietueen tapahtumat. Pelkästään henkilötietojen tarkastelusta ei lokimerkintöjä tehdä, koska oletusarvoisesti kaikkien palkanlaskentaan oikeudet omaavien käyttäjien on päästävä tarkastelemaan kaikkien henkilöiden kaikkia tietoja. Mikäli palkanlaskenta ei ole Novassa käytössä, on pelkän henkilörekisterin kaikkien tietojen näkemiseen oikeus Novan pääkäyttäjä -oikeuksilla olevalla käyttäjällä.

Kysymys: Onko henkilöstönne allekirjoittanut salassapitosopimuksen, joka kattaa asiakkaiden työntekijöiden henkilötiedot?

Vastaus: Kyllä on. Salassapitosopimus kattaa laajasti kaiken sellaisen salaisen tiedon, joka ei ole laillisesti julkisesti saatavilla.

Kysymys: Miten henkilöstönne on koulutettu Tietosuoja-asetuksen vaatimuksiin?

Vastaus: Koko Visman henkilöstö on roolista riippumatta koulutettu Tietosuoja-asetuksen asettamiin vaatimuksiin.

Kysymys: Onko teiltä tulossa tietosuoja-asetuksen vuoksi esimerkiksi sopimusehtojen muutoksia tai ohjelmistopäivityksiä

Vastaus: Visma päivittää ja yhtenäistää yleiset käyttöehdot vastaamaan myös GDPR:n mukanaan tuomia vaatimuksia. Visma Novaan on tulossa uusia toiminnallisuuksia tietosuoja-asetuksen johdosta, mm toimintoja, joilla asiakkaamme voivat täyttää tietosuoja-asetuksen mukaisia pyyntöjä.

Kysymys: Onko järjestelmästänne mahdollisuus saada tarvittaessa henkilötiedot rakenteisessa tiedostomuodossa.

Vastaus: Visma Nova 9.7 versiossa julkaistun henkilötietoraportin kautta henkilörekisterissä olevan henkilön tiedot voidaan viedä esim. Excel-muotoon.

Kysymys: Ovatko tietokannoissa olevat keskeiset luottamuksellisuutta edellyttävät henkilötiedot salattu tai toteutatteko tietojen salauksen ennen asetuksen voimaantuloa.

Vastaus: Henkilöiden henkilötunnukset on salattu Visma Nova 9.7 versiosta lähtien.

Kysymys: Jos asiakkaamme lopettaa asiakassuhteen, tulisi yrityksen palkanlaskennan tiedot pystyä poistamaan palvelimiltanne. Samaten yksittäisen työntekijän henkilötiedot on pystyttävä anonymisoimaan tai poistamaan, kun niitä ei enää tarvita. Onko ohjelmistossanne valmiudet tähän tai toteutatteko ne asetuksen voimaantuloajankohtaan mennessä?

Vastaus: Kun on kyse paikallisesti asennetusta Visma Novasta, yrityksen palkanlaskenta- tietojen poistamisesta yrityksen palvelimelta vastaa Visma Novaa käyttävä yritys itse. Henkilötietojen anonymisointia Visma Nova ohjelmiin ei ole toteutettu. Henkilötietojen poistamista varten on laadittu oma ohjeistus, joka löytyy osiosta Henkilötiedot ja tietojen poisto-ohjeet Visma Novan sovelluksissa.