Κέντρο αξιοπιστίας: Πληροφορίες ασφάλειας, προστασίας προσωπικών δεδομένων και συμμόρφωσης για το Office 365 και το Microsoft Dynamics CRM Online

Κανονιστική συμμόρφωση

Δεσμεύεται η Microsoft ως προς τη διαφάνεια για να βοηθήσει τους πελάτες να συμμορφώνονται με τις κανονιστικές απαιτήσεις;

Ναι. Οι πελάτες του Office 365 και του Microsoft Dynamics CRM Online σε όλο τον κόσμο υπόκεινται σε πολλούς και διάφορους νόμους και κανονισμούς. Οι νομικές απαιτήσεις σε μια χώρα ή σε έναν βιομηχανικό κλάδο ενδέχεται να μην είναι ίδιες με τις νομικές απαιτήσεις που εφαρμόζονται αλλού. Ως υπηρεσία παροχής cloud σε παγκόσμιο επίπεδο, οι υπηρεσίες μας πρέπει να εκτελούνται με κοινές λειτουργικές πρακτικές και δυνατότητες για πολλούς πελάτες και πολλές δικαιοδοσίες. Για να βοηθήσουμε τους πελάτες μας να συμμορφώνονται με τις δικές τους απαιτήσεις, δημιουργούμε τις υπηρεσίες μας λαμβάνοντας υπόψη κοινές απαιτήσεις προστασίας προσωπικών δεδομένων και ασφάλειας, ενώ οι ενσωματωμένες δυνατότητες των υπηρεσιών συμβάλλουν στη συμμόρφωση με ένα εκτεταμένο σύνολο κανονισμών και εντολών προστασίας προσωπικών δεδομένων.

Ωστόσο, οι ίδιοι οι πελάτες μας είναι εκείνοι που θα αξιολογήσουν τις προσφορές μας βάσει των δικών τους απαιτήσεων, επομένως μπορούν να κρίνουν εάν οι υπηρεσίες μας ικανοποιούν τις ανάγκες τους σε επίπεδο κανονισμών. Δεσμευόμαστε να παρέχουμε στους πελάτες μας λεπτομερείς πληροφορίες σχετικά με τις υπηρεσίες cloud, ώστε να τους βοηθήσουμε να τις αξιολογήσουν οι ίδιοι ως προς τη συμμόρφωση με τους κανονισμούς.

Οι πληροφορίες σχετικά με πιστοποιήσεις που ενδέχεται να βοηθήσουν στη συμμόρφωση με τους κανονισμούς βρίσκονται στην ενότητα Ασφάλεια, έλεγχοι και πιστοποίηση .

Είναι συμβατές οι υπηρεσίες Office 365 και Microsoft Dynamics CRM Online με τις υποχρεώσεις μου απέναντι στους κανονισμούς;

Είναι δική σας υποχρέωση να συμμορφώνεστε με τις υποχρεώσεις σας απέναντι στους κανονισμούς. Εμείς σας παρέχουμε πληροφορίες για να σας βοηθήσουμε.

Δεσμευόμαστε ως προς τη συμμόρφωση με τους νόμους περί προστασίας προσωπικών δεδομένων και απορρήτου που ισχύουν γενικά για τις υπηρεσίες παροχής τεχνολογίας πληροφορικής ("IT"). Εάν υπόκεισθε σε απαιτήσεις συγκεκριμένου βιομηχανικού κλάδου ή συγκεκριμένης δικαιοδοσίας, θα χρειαστεί να αξιολογήσετε εσείς οι ίδιοι τη δυνατότητα συμμόρφωσής σας, ωστόσο οι πελάτες σε πολλούς βιομηχανικούς και γεωγραφικούς τομείς έχουν διαπιστώσει ότι μπορούν να χρησιμοποιήσουν το Office 365 και το Microsoft Dynamics CRM Online με τρόπο τέτοιο, ώστε να διατηρείται η συμμόρφωσή τους με τους εφαρμοστέους κανονισμούς, υπό την προϋπόθεση ότι χρησιμοποιούν τις υπηρεσίες με τρόπο κατάλληλο για τις συγκεκριμένες συνθήκες.

Για παράδειγμα, οι οργανισμοί που καλύπτονται από την Οδηγία της ΕΕ για την προστασία των δεδομένων θα πρέπει να διαθέτουν δικές τους πολιτικές και τα δικά τους προγράμματα ασφάλειας και εκπαίδευσης, ώστε να διασφαλιστεί ότι το προσωπικό τους δεν χρησιμοποιεί το Office 365 ή το Microsoft Dynamics CRM Online Services με τρόπο που να παραβιάζει την Οδηγία. Το Office 365 και το Microsoft Dynamics CRM Online τηρούν τις συμβατικές υποχρεώσεις από την πλευρά τους, βοηθώντας στη διασφάλιση της συμμόρφωσης των πελατών τους.

Για παράδειγμα, ένας πελάτης στην Ευρωπαϊκή Ένωση (ΕΕ) ενδέχεται να αποθηκεύσει μια λίστα πελατών η οποία περιλαμβάνει στοιχεία επικοινωνίας. Το Office 365 και το Microsoft Dynamics CRM Online δια θέτουν διαδικασίες ασφαλείας ώστε να διασφαλίζεται ότι το προσωπικό της Microsoft δεν έχει ανάρμοστη πρόσβαση σε αυτές τις πληροφορίες, ούτε δυνατότητα να τις αποκαλύψει. Ωστόσο, κάποιος υπάλληλος του πελάτη που είναι χρήστης του Microsoft Exchange Online ενδέχεται να χρησιμοποιήσει την υπηρεσία για να στείλει μια τέτοια λίστα πελατών σε έναν υπεύθυνο πωλήσεων χωρίς την κατάλληλη συγκατάθεση. Οποιαδήποτε παραβίαση των απαιτήσεων προστασίας δεδομένων της ΕΕ, η οποία προκύπτει από τη χρήση του Office 365 και του Microsoft Dynamics CRM Online σύμφωνα με οδηγίες του πελάτη - δηλαδή, μέσω της αποστολής ενός μηνύματος ηλεκτρονικού ταχυδρομείου στο πλαίσιο της κανονικής ροής παροχής των υπηρεσιών - αποτελεί ευθύνη του πελάτη.

Βρίσκομαι στην Ευρώπη, μπορώ να χρησιμοποιώ νόμιμα το Office 365 και το Microsoft Dynamics CRM Online;

Βάσει της Οδηγίας της ΕΕ για την προστασία των δεδομένων και στο πλαίσιο των συμβατικών δεσμεύσεών μας, το Office 365 και το Microsoft Dynamics CRM Online ενεργούν ως φύλακες των δεδομένων σας και ουσιαστικά αναλαμβάνουν το ρόλο του υπεργολάβου (σύμφωνα με το νόμο αποκαλούνται "υπηρεσίες επεξεργασίας δεδομένων").

Εσείς, ο πελάτης, έχετε την κυριότητα των δεδομένων και φέρετε την ευθύνη στο πλαίσιο του νόμου για να διασφαλίσετε ότι τηρούμε τους κανόνες και ότι είναι νόμιμο να μας αποστέλλετε προσωπικά δεδομένα (σύμφωνα με το νόμο αποκαλείστε "ελεγκτής δεδομένων"). Πρέπει εσείς να αποφασίσετε για λογαριασμό της επιχείρησής σας, για τη συγκεκριμένη περίπτωση, εάν θα χρησιμοποιείτε τις υπηρεσίες μας για την επεξεργασία και την αποθήκευση των προσωπικών σας δεδομένων.

Οι απαιτήσεις της Οδηγίας της ΕΕ για την προστασία των δεδομένων έχουν ληφθεί υπόψη κατά το σχεδιασμό και τη λειτουργία των υπηρεσιών μας, στο πλαίσιο της κανονικής χρήσης, και παρακολουθούμε συνεχώς αυτήν την περιοχή για τυχόν αλλαγές σχετικές με την εξέλιξη των υπηρεσιών.

Η Microsoft διαθέτει ιδία πιστοποίηση στο πλαίσιο του προγράμματος ασφαλείας Safe Harbor μεταξύ των Η.Π.Α. και της ΕΕ και του σχεδόν παρόμοιου προγράμματος Safe Harbor μεταξύ των Η.Π.Α. και της Ελβετίας, όπως ορίζονται από το Υπουργείου Εμπορίου των Η.Π.Α. και την ΕΕ και την Ελβετία, αντίστοιχα. Συνεπώς, έχουμε την υποχρέωση να συμμορφωνόμαστε με τις απαιτήσεις της Οδηγίας της ΕΕ για την προστασία των δεδομένων και έχουμε το δικαίωμα να μεταφέρουμε δεδομένα εκτός της ΕΕ για την παροχή των υπηρεσιών του Office 365 και του Microsoft Dynamics CRM Online. Για να δείτε την πιστοποίηση Safe Harbor της Microsoft, ανατρέξτε στην ιστοσελίδα http://safeharbor.export.gov/ . Κατανοούμε ότι ορισμένοι πελάτες χρειάζονται πιο ισχυρές διαβεβαιώσεις από αυτές που καλύπτονται μέσω της πιστοποίησης Safe Harbor και για το λόγο αυτό είμαστε διατεθειμένοι να υπογράψουμε τις Ρήτρες-μοντέλο της ΕΕ (γνωστές επίσης και ως “Τυπικές συμβατικές ρήτρες”) με όλους τους πελάτες μας. Για περισσότερες πληροφορίες σχετικά με τη μεταφορά δεδομένων εκτός της ΕΕ, ανατρέξτε στην ενότητα "Χάρτες δεδομένων" του Κέντρου αξιοπιστίας.

Σε ορισμένες χώρες, τηρούμε επίσης τις απαιτήσεις ασφαλείας για την αποθήκευση ευαίσθητων προσωπικών δεδομένων, όπως ορίζεται από το νόμο. Εάν έχετε αμφιβολίες λόγω των κανόνων που ισχύουν στη χώρα σας ή του τύπου των δεδομένων που αποθηκεύετε ή εάν θέλετε περισσότερες πληροφορίες σχετικά με τις πρακτικές και τις υποστηριζόμενες δυνατότητες του Office 365 ή του Microsoft Dynamics CRM Online, μπορείτε να επικοινωνήσετε με το τμήμα υποστήριξης, εάν δεν μπορείτε να βρείτε με άλλον τρόπο αυτές τις πληροφορίες στην τεκμηρίωση των υπηρεσιών. Στο βαθμό που αυτό δεν αποδυναμώνει την ασφάλειά μας, θα σας παράσχουμε κάθε χρήσιμη πληροφορία για να σας βοηθήσουμε να αποφασίσετε σχετικά με το βαθμό αποδοχής της εφαρμογής του Office 365 ή του Microsoft Dynamics CRM Online βάσει των απαιτήσεών σας.

Εάν ανατρέξετε στις πιο συνήθεις ερωτήσεις για θέματα συμμόρφωσης, θα κατανοήσετε ότι το Office 365 και το Microsoft Dynamics CRM Online δίνουν στην εταιρεία σας τη δυνατότητα να συμμορφώνεται με τους νόμους περί προστασίας των προσωπικών δεδομένων, χωρίς ωστόσο αυτό να σημαίνει ότι η εταιρεία σας είναι σύμμορφη προς αυτούς τους νόμους. Ενδέχεται να απαιτείται η εφαρμογή περαιτέρω μέτρων για αυτόν το σκοπό, όπως η θέσπιση των κατάλληλων εταιρικών πολιτικών και η εκπαίδευση των εργαζομένων ως προς τις αποτελεσματικές πρακτικές προστασίας προσωπικών δεδομένων. Επίσης, αναλόγως της χώρας σας, ενδέχεται να απαιτούνται πρόσθετα βήματα που θα πρέπει να εκτελέσετε για τη συμμόρφωση με την τοπική νομοθεσία, όπως η συμπλήρωση πληροφοριών για την υπηρεσία προστασίας δεδομένων που σας εξυπηρετεί.

Τα δεδομένα πελατών που επεξεργάζονται το Office 365 και το Microsoft Dynamics CRM Online είναι καταχωρημένα στους φορείς της ΕΕ;

Όχι, το Office 365 και το Microsoft Dynamics CRM Online, ως υπηρεσίες επεξεργασίας δεδομένων, δεν καταχωρούν σε φορείς της ΕΕ τα δεδομένα πελατών για λογαριασμό των πελατών τους.

Το Office 365 και το Microsoft Dynamics CRM Online συμμορφώνονται με τις απαιτήσεις του Νόμου HIPAA (Health Insurance Portability and Accountability Act); Η Microsoft υπογράφει σύμβαση επιχειρηματικού συνεργάτη ("BAA") βάσει του HIPAA;

Βοηθούμε τους πελάτες μας να συμμορφώνονται με τις απαιτήσεις του Νόμου HIPAA και είμαστε διατεθειμένοι να υπογράψουμε μια σύμβαση επιχειρηματικού συνεργάτη βάσει του HIPAA με όλους τους πελάτες μας. Για περισσότερες πληροφορίες, ανατρέξτε στην ιστοσελίδα HIPAA/HITECH FAQ .

Το Office 365 και το Microsoft Dynamics CRM Online συμμορφώνονται με το Νόμο GLBA (Gramm Leach Bliley);

Το Office 365 και το Microsoft Dynamics CRM Online βοηθούν τους πελάτες να συμμορφώνονται με τις απαιτήσεις ασφαλείας του Νόμου GLBA παρέχοντας τεχνικές και οργανωτικές διασφαλίσεις, ώστε οι πελάτες να μπορούν να διατηρήσουν το επίπεδο ασφάλειας και να εμποδίζουν τη μη εξουσιοδοτημένη χρήση.

Η Microsoft μπορεί να παράσχει στους πελάτες, κατ' απαίτηση, μια συνοπτική αναφορά πιστοποίησης τρίτων μερών από ανεξάρτητο ελεγκτή.

Το Office 365 και το Microsoft Dynamics CRM Online συμμορφώνονται με το πρότυπο PCI DSS (Payment Card Industry Data Security Standard); Μπορώ να φιλοξενώ δεδομένα πιστωτικών καρτών στην υπηρεσία σας;

Το Office 365 και το Microsoft Dynamics CRM Online δεν υποστηρίζουν την επεξεργασία, τη μετάδοση ή την αποθήκευση δεδομένων που διέπονται από το πρότυπο PCI, όπως οι αριθμοί πιστωτικών καρτών.

Το πρότυπο PCI δεν εφαρμόζεται στο Office 365 και το Microsoft Dynamics CRM Online, επειδή η επεξεργασία πιστωτικών καρτών και η αποθήκευση δεδομένων δεν προσφέρεται ως λειτουργία από το Office 365 ή το Microsoft Dynamics CRM Online. Το Office 365 και το Microsoft Dynamics CRM Online εφαρμόζουν πολιτικές και ελέγχους ασφαλείας που καθορίζονται από τις βέλτιστες πρακτικές του βιομηχανικού κλάδου, όπως το πρότυπο ISO 27001 και άλλα.

Ωστόσο, πρέπει να γνωρίζετε ότι τα συστήματα παραγγελίας, τιμολόγησης και πληρωμών του Office 365 και του Microsoft Dynamics CRM Online, τα οποία διαχειρίζονται δεδομένα πιστωτικών καρτών, συμμορφώνονται με το πρότυπο Level One PCI και οι πελάτες μπορούν να χρησιμοποιούν πιστωτικές κάρτες για να πραγματοποιούν ασφαλείς πληρωμές για υπηρεσίες.

Το Office 365 συμμορφώνεται με το Νόμο FERPA (Family Educational Rights and Privacy Act);

Δεδομένου ότι τα εκπαιδευτικά ιδρύματα υπόκεινται σε διάφορες υποχρεώσεις βάσει του Νόμου FERPA, η Microsoft ορίζει τους βασικούς συμβατικούς όρους που διέπουν τη χρήση και την αποκάλυψη εκπαιδευτικών αρχείων που ενδέχεται να αποθηκεύονται στο Office 365, επιτρέποντας στα εκπαιδευτικά ιδρύματα να χρησιμοποιούν το Office 365 ως τμήμα μιας ευρύτερης στρατηγικής για τη συμμόρφωση με το Νόμο FERPA.

Σύμφωνα με το Νόμο FERPA, οι εκπαιδευτικοί οργανισμοί και τα εκπαιδευτικά ιδρύματα που επιχορηγούνται από το Υπουργείο Παιδείας των Η.Π.Α. οφείλουν να προστατεύουν τα δικαιώματα προσωπικών δεδομένων των σπουδαστών τους, αποτρέποντας τη χρήση ή την αποκάλυψη "εκπαιδευτικών αρχείων" χωρίς την κατάλληλη συγκατάθεση. Οι οδηγίες του Υπουργείου Παιδείας αποσαφηνίζουν ότι οι επικοινωνίες μέσω μηνυμάτων ηλεκτρονικού ταχυδρομείου θεωρούνται ως εκπαιδευτικά αρχεία που υπόκεινται στις διατάξεις του Νόμου FERPA και ότι οι υπηρεσίες παροχής ηλεκτρονικού ταχυδρομείου στο cloud θα πρέπει ομοίως να υπόκεινται σε περιορισμούς όσον αφορά τη χρήση ή την αποκάλυψη μηνυμάτων ηλεκτρονικού ταχυδρομείου και εγγράφων.

Ο Νόμος FERPA ορίζει ότι η υπηρεσία παροχής cloud θα πρέπει να συμφωνεί ότι τα "εκπαιδευτικά αρχεία" που περιλαμβάνονται σε μηνύματα ηλεκτρονικού ταχυδρομείου του ιδρύματος, του προσωπικού και των σπουδαστών του και άλλα ηλεκτρονικά έγγραφα θα χρησιμοποιούνται αποκλειστικά και μόνο για τον περιορισμένο σκοπό παροχής της υπηρεσίας cloud και ότι δεν θα υποβάλλονται σε σάρωση και δεν θα χρησιμοποιούνται για την υποστήριξη και τη διατήρηση εμπορικών δραστηριοτήτων, όπως η διαφήμιση. Η Microsoft συμβάλλει στη συμμόρφωση των εκπαιδευτικών ιδρυμάτων με το Νόμο FERPA, αναλαμβάνοντας το ρόλο του "επίσημου εκπαιδευτικού φορέα" που υπόκειται στις διατάξεις του FERPA με "νόμιμα εκπαιδευτικά δικαιώματα" στα δεδομένα του ιδρύματος και συμφωνώντας να δεσμεύεται από τους περιορισμούς και τις απαιτήσεις που επιβάλλονται από το FERPA σε επίσημους εκπαιδευτικούς φορείς, όπως, μεταξύ άλλων, συμφωνώντας να μην πραγματοποιεί σάρωση των μηνυμάτων ηλεκτρονικού ταχυδρομείου ή των εγγράφων του ιδρύματος για διαφημιστικούς σκοπούς.