GDPR — IT-komiteen

Implementasjoner som behandler persondata på Studentersamfundet i Trondhjem(PII)

Tjeneste	Formål	Data lagret	Data slettes etter	Personvernsplakat
Alle nettsider	Feilsøke og drive alle nettsidene våre.	IP-adresser.	52 uker i produksjonssystemer, 90 dager i backup.
MedlemsDB2	Personalia og kontaktinformasjon lagres for å kunne kontakte medlemmer dersom de mister medlemskort, samt eventuelt å kunne identifisere dem for å gi dem et nytt kort. Videre ønsker vi å kunne kontakte medlemmer dersom de logger seg inn på trådløsnettet vårt og bruker det til ulovlige aktiviteter.	Fornavn, etternavn, fødselsdato, telefonnummer, epostadresse, studiested.	30 dager etter medlemsskapet til samfundet avsluttes. Data forblir i backup i opptil 90 dager etter sletting i produksjonssystemer.	X
samfundet.no opptakssystem	Opptak av frivillige på Samfundet.			X
Billig
Robokop	Brukernavn samles inn for å kunne kommunisere med brukeren som ønsker å booke et rom	Brukernavn.
Pakkesys	Kontaktinformasjon samles inn for å kunne kommunisere med brukeren og bostedsadresse for å kunne sende faktura. Vi lagrer også bestillingsdetaljer, inkludert matallergier og andre spesielle behov, for å kunne arrangere pakketilbudet brukeren ønsker. For bestillinger under G-/H-helg samles det inn henholdsvis avgangsår og studieretning eller poengsum og poengbeskrivelse. Bestillinger for disse datoene innvilges rangert etter G-/H-helgs poengsum.	Fornavn, etternavn, telefonnummer, adresse, postnummer, epost, bestillingsdetaljer (mat, drikke og revy), allergidetaljer, studieretning, avgangsår, poengberegning, annen informasjon mottatt på epost som kan lagres i kommentarer eller interne kommentarer, tidsstempler (bestillings- og bekreftelsestidspunkt), om lenker som sendes på epost er blitt åpnet.	Innen 7. november det året UKA arrangeres. Data som er eksportert til Visma slettes etter X antall år.	X
Innslippsys	Vi samler inn personlig informasjon om personene det søkes innslipp for og kontaktinformasjon til personen som sender inn søknaden slik at vi kan kommunisere med søkeren. Denne dataen samler vi inn for å kunne gjennomføre innslippet. Innslippssøknader rangeres ut ifra søknadens G-/H-helgs poengsum. Derfor samles det også inn infomrasjon om avgangsår og/eller poengsum og poengberegning.	Fornavn, etternavn, telefonnummer, epost, informasjon i kommentarfelt, avgangsår, poengberegning, navn på følge.	Innen 7. november det året UKA arrangeres.
JSS	Vi samler inn kontaktinformasjon for å kunne kommunisere med søkeren og informasjon relatert til selve søknaden for å kunne gjennomføre intervjuprosessen. Det samles inn data om hvilken skole søkeren går på. Dette samles inn for å føre statistikk over søkertallene for hver skole slik at vi kan sørge for at alle studenter får tilstrekkelig informasjon om opptakene til UKA, uavhengig av hvilken skole de går på.	Navn, telefonnummer, epost, studiested, søknadstekst, opptattider, tidspunkt søknaden ble sendt.	Senest 1 uke etter opptaket er ferdigstilt.
Innsida
Utleggsys		Stilling, telefonnummer, epost.
uka.no	Målrettet markedsføring	Se https://uka.no/personvern	26 mnd for Matomo	X

uka.no

På uka.no brukes Matomo Analytics til å samle informasjon om hvordan brukeren benytter nettsiden. Denne informasjonen korreleres for å bygge opp en profil av brukeren, for deretter å måle og målrette markedsføringstiltak. Tilhørende personvernerklæring er å finne på https://uka.no/personvern.

For å gjøre dette må vi få aktivt samtykke fra brukeren, implementert med et banner nederst på siden. Dersom man samtykker, lastes Matomo-skriptet de neste 90 dagene. Hvis man ikke tar et valg, lastet ingen skript, men man blir kontinuerlig spurt på nytt. Hvis man avslår, lastes heller ingen skript, men valget huskes for alltid. Man kan endre samtykket sitt på https://uka.no/personvern.

Dersom vi må oppdatere personvernerklæringen på en slik måte at tidligere samtykker må forkastes, er det bare å oppdatere variablen currentConsentVersion til et høyere versjonsnummer.

Sporingsverktøy skal alltid skrus av etter at UKA er over. Disse skal ikke skrus på igjen før det neste UKEstyret har gått gjennom eventuelle endringer i lovverk/databehandleravtaler/vilkår. Dersom det har blitt endringer må personvernsplakatene oppdateres.

GDPR på Samfundet

2018-07-21 kom det nytt lovverk for personvern i Norge. I den anledning ble følgende gjort.

FreeRADIUS

Vi verifiserte at FreeRADIUS sletter logger om WLAN-tilkoblinger automatisk (Etter 52 dager per dags dato).

Brukervilkår

Skrev brukervilkår for medlemmer og interne. Den lyder:

Ved å registrere medlemskap på Samfundet har du samtykket til at Samfundet lagrer ditt navn, din 
epostadresse og ditt telefonnummer. Samfundet vil kun bruke denne informasjonen til å identifisere
 og kontakte deg. Videre tillater du at Samfundet i inntil åtte uker lagrer grunnleggende 
informasjon om dine enheter som er koblet på Samfundets nett. Denne informasjonen deles ikke med
 tredjeparter, med mindre norsk lov krever det.

Nye medlemmer må godkjenne brukervilkårene ved registrering - dette er nødvendig for at tjenesten skal kunne fungere. Eksisterende medlemmer ble satt til samtykkende ettersom noe annet ville gjøre tjenestene våre ubrukbare. Dette ble informert om på epost til alle medlemmer 2018-04-18 og 2018-06-30.

Interne har muligheten til å melde seg opp til at vi kan dele kontaktinformasjonen deres med andre gjenger.

Videre fjernet vi feltene hjemstedsadresse, postnummer, studieadresse og studiepostnummer fra medlemsdatabasen, ettersom dette er informasjon som ikke var strengt nødvendig.

Dersom en person ønsker innsyn og/eller sletting av personlige data

Dersom en bruker ønsker å utøve sin rett til innsyn og/eller sletting av sin personlige data må vi først finne ut av hvilke av systemene våre personen har benyttet seg av. Under er et forslag til et spørreskjema du kan be personen fylle ut. Når du har funnet ut hvilke tjenester personen har benyttet seg av kan du se Rutiner for hvordan du kan samle sammen den personlige informasjonen vi har om denne personen. Dersom personen svarer ja til å være frivillig på Samfundet eller UKA kan du anta at personen har brukt Samfundets opptakssystem eller JSS. Hvis det er et aktivt opptak må du spørre om personen har søkt under dette opptaket.

Er du medlem på Samfundet?

Er du frivillig på Samfundet?
    Hvis ja, har du opprettet internbruker?
        Hvis ja, hvilke av disse tjenestene har du benyttet deg av?
            Google Workspace konto, Robokop.

Er du frivillig i UKA?
    Hvis ja, har du opprettet internbruker?
        Hvis ja, hvilke av disse tjenestene har du benyttet deg av?
            Google Workspace konto, Utleggsys, Innsida.

Har du bestilt pakketilbud til nåværende UKE eller en tidligere UKE?
    Hvis ja, hvilke(n) UKE(r)?

Har du søkt innslipp til nåværende UKE eller en tidligere UKE?
    Hvis ja, hvilke(n) UKE(r)?

Har du samtykket til bruk av sporingsverktøy på https://www.uka.no/?
    Dette kan du se nederst på siden på https://www.uka.no/personvern/ 
    Hvis ja trenger vi å vite hvilket ID-nummer som er satt i cookien som er lagret i nettleseren din. Her er en guide til hvordan du kan finne ut av det: lenke

Rutiner

Under ser du rutinene våre for de forskjellige systemene som behandler persondata.

MedlemsDB2

Samfundet.no - opptakssystem

Spør MG-Web

Billig

Robokop

Pakkesys

All persondata i Pakkesys skal slettes innen 7. november det året UKA arrangeres. Se Pakkesys for mer informasjon.

Innslippsys

All persondata i Pakkesys skal slettes innen 7. november det året UKA arrangeres.

JSS

All persondata i Pakkesys skal slettes innen 1 uke etter at opptaket er gjennomført. HR-gjengen i UKA må derfor gi beskjed til ITK med en gang de har ferdigstilt opptaket. Dette er viktig at kommuniseres til HR-gjengen.

Innsida

Utleggsys

Uno

Ting som fortsatt må implementeres

Lage script for å kopiere og krølle mdb2-radene til mdb2_dev
Lage guide for hvordan en person kan finne ID-nummer som er satt i cookier på uno
Skript for å slette all persondata i JSS
Skript for å slette all persondata i Innslippsys
Skript for å slette all persondata i Innsida
Automatisk skript for å anonymisere brukernavn i Robokop
Automatisk skript for å anonymisere persondata i Utleggsys
Gjøre at Utleggsys ikke sender persondata over epost
Finne ut hvordan MG-Web oppfyller kravene i personvernsforordningen for Samfundets opptakssystem
Oppdatere personvernplakaten på medlem.samfundet.no
Skript for å slette persondataen tilknyttet et brukernavn på tvers av alle systemene våre
Billig?
Finne ut hva vi skal gjøre med Amsit
Fjerne at man kan se om en bruker har trykket på lenken som ble sendt i epost fra Pakkesys
Ta en vurdering om vi burde sette tidsstempel på forskjellige handlinger i Pakkesys og JSS
Gjøre det mulig å skru av/på springsverktøy på uno med en variabel i base.py
Lage personvernplakat for systemene som mangler dette

Lenker: Start