Ορισμένα δεδομένα δεν πρέπει να μένουν για πάντα. Όταν κάποιος φεύγει από την εταιρεία σας ή ένα πρόσωπο ζητά να διαγράψετε τα δεδομένα του, το ανωνυμοποιείτε. Το όνομα και η διεύθυνση email αντικαθίστανται τότε από ένα σύμβολο κράτησης θέσης όπως «Anonymized user 3». Τα αιτήματα μένουν. Οι αναφορές, οι προθεσμίες, οι καταχωρίσεις χρόνου και οι τιμές ικανοποίησης εξακολουθούν να μετρούν.
Κάθε πρόσωπο παίρνει τον δικό του αριθμό. Δύο καταχωρίσεις με τον ίδιο αριθμό προέρχονται από το ίδιο πρόσωπο. Η διεύθυνση email γίνεται «anonymized-3@anonymized.invalid». Σε τέτοια διεύθυνση δεν μπορεί να παραδοθεί κανένα μήνυμα, γι’ αυτό το σύστημα την παραλείπει κατά την αποστολή. Το σύμβολο κράτησης θέσης αποθηκεύεται στα αγγλικά και μένει αγγλικό σε κάθε γλώσσα.
Υπάρχουν δύο δρόμοι. Ο αυτόματος δρόμος ανωνυμοποιεί διαγραμμένους λογαριασμούς μετά από ορισμένο αριθμό μηνών. Ο άμεσος δρόμος ανωνυμοποιεί ένα μεμονωμένο πρόσωπο αμέσως, για παράδειγμα μετά από αίτημα διαγραφής.
Τον αυτόματο δρόμο τον βρίσκετε στο «Settings → Security», στην κάρτα «Data protection». Ο διακόπτης «Anonymize deleted users automatically» είναι από προεπιλογή απενεργοποιημένος. Δίπλα στο «after» εισάγετε τον αριθμό των μηνών. Επιτρέπονται από 1 έως 120, η προεπιλογή είναι 36. Το «Save» αποθηκεύει έναν αλλαγμένο αριθμό.
Ο χρόνος μετρά από την ημέρα που διαγράφηκε ένας λογαριασμός. Το σύστημα ελέγχει κάθε δέκα λεπτά αν οφείλεται μια εκτέλεση. Εκτελείται μία φορά την ημέρα, στον πρώτο έλεγχο μετά τις 03:00 στη ζώνη ώρας που έχει οριστεί στο «Settings → General Settings». Σε αυτή την εκτέλεση ανωνυμοποιείται κάθε διαγραμμένος λογαριασμός του οποίου ο χρόνος έληξε.
Όταν ενεργοποιείτε τον διακόπτη, ανοίγει πρώτα ένα παράθυρο. Αναφέρει τους διαγραμμένους χρήστες που θα ανωνυμοποιήσει η επόμενη εκτέλεση, τον καθένα με την ημέρα διαγραφής. Πληκτρολογήστε ANONYMIZE στο πεδίο και πατήστε «Confirm». Μόνο τότε ο διακόπτης είναι ενεργός. Αν σε αυτή τη ζώνη ώρας έχει ήδη περάσει η ώρα 03:00, η πρώτη εκτέλεση ακολουθεί σε περίπου δέκα λεπτά.
Το ίδιο παράθυρο εμφανίζεται όταν μειώνετε τον αριθμό των μηνών με τον διακόπτη ενεργό. Η απενεργοποίηση δεν χρειάζεται επιβεβαίωση.
Ο χρόνος αρχίζει μόνο όταν διαγραφεί ένας λογαριασμός. Η αρχειοθέτηση δεν αρκεί. Ένας αρχειοθετημένος λογαριασμός είναι απλώς κλειδωμένος και μπορεί να επιστρέψει οποιαδήποτε στιγμή, για παράδειγμα μετά από γονική άδεια. Για να διαγράψετε έναν λογαριασμό, πατήστε το σύμβολο του κάδου «Delete account» στη γραμμή του στο «User management».
Ένα παράθυρο λέει από πριν τι ακολουθεί. Αν η αυτόματη ανωνυμοποίηση είναι ενεργή, αναφέρει τον αριθμό των μηνών. Ένας διαγραμμένος λογαριασμός εμφανίζεται στην προβολή «Archived» με την ετικέτα «Deleted». Το σύμβολο «Restore account» τον επαναφέρει. Για διαχειριστές και χειριστές, το Basic χρειάζεται γι’ αυτό μια ελεύθερη θέση. Αν ο λογαριασμός διαγραφεί ξανά αργότερα, ο χρόνος ξεκινά από την αρχή.
Ο δικός σας λογαριασμός δεν έχει σύμβολο κάδου. Λογαριασμό διαχειριστή μπορεί να διαγράψει ή να αρχειοθετήσει μόνο ένας διαχειριστής. Ο τελευταίος ενεργός διαχειριστής δεν μπορεί ούτε να διαγραφεί ούτε να αρχειοθετηθεί.
Όταν λοιπόν κάποιος έφυγε οριστικά, διαγράψτε τον λογαριασμό και μην τον αρχειοθετείτε μόνο. Ένας λογαριασμός που είναι αρχειοθετημένος πάνω από έναν χρόνο δείχνει στη γραμμή του ένα σύμβολο ημερολογίου. Η επεξήγησή του σας υπενθυμίζει να διαγράψετε τον λογαριασμό.
Ο άμεσος δρόμος βρίσκεται στον διάλογο της εξαγωγής δεδομένων, στην περιοχή «Anonymize» κάτω από τα ευρήματα. Ανοίγετε τον διάλογο από τη γραμμή ενός λογαριασμού ή με το «Export by e-mail address» για πρόσωπο χωρίς λογαριασμό.
Αν η διεύθυνση ανήκει σε λογαριασμό, πατήστε πρώτα «Use this account». Μόνο έτσι ανωνυμοποιείται και ο ίδιος ο λογαριασμός. Μια εκτέλεση μόνο με τη διεύθυνση αντικαθιστά τη διεύθυνση εκεί όπου είναι αποθηκευμένη και αφήνει τον λογαριασμό όπως είναι.
Πληκτρολογήστε ANONYMIZE στο πεδίο και πατήστε «Anonymize». Ένας ενεργός λογαριασμός διαγράφεται πρώτα και μετά ανωνυμοποιείται. Ο δικός σας λογαριασμός δεν μπορεί να ανωνυμοποιηθεί. Ούτε ο τελευταίος ενεργός διαχειριστής.
Μετά η γραμμή φέρει την ετικέτα «Anonymized». Ένας τέτοιος λογαριασμός δεν μπορεί πια να επεξεργαστεί, να επαναφερθεί ή να ενεργοποιηθεί ξανά. Μένει μόνο η εξαγωγή δεδομένων. Μπορείτε να εκτελέσετε ξανά την ανωνυμοποίηση. Ο αριθμός μένει ίδιος, και καλύπτονται και τα δεδομένα που επαναφέρθηκαν στο μεταξύ.
Το πλαίσιο ελέγχου «Also clear the content of tickets this person requested» πάει πιο μακριά. Ο αριθμός στην παρένθεση είναι το πλήθος αυτών των αιτημάτων. Τα κείμενά τους αδειάζουν και τα συνημμένα τους διαγράφονται. Τα αιτήματα άλλων στα οποία το πρόσωπο απλώς απάντησε μόνο ανωνυμοποιούνται.
Ελέγξτε πρώτα τις υποχρεώσεις διατήρησης που έχετε. Στη Γερμανία, για παράδειγμα, οι επαγγελματικές επιστολές πρέπει να φυλάσσονται έξι χρόνια. Ο διάλογος σας το υπενθυμίζει. Ο αυτόματος δρόμος μόνο ανωνυμοποιεί. Δεν αδειάζει ποτέ περιεχόμενο.
Αν ένα αρχείο δεν μπόρεσε να διαγραφεί από τον διακομιστή, ο διάλογος αναφέρει πόσα. Η εκτέλεση θεωρείται παρ’ όλα αυτά ολοκληρωμένη. Το σύστημα δεν ξαναδοκιμάζει από μόνο του.
Κάθε εκτέλεση καταγράφεται με την ώρα, τον αριθμό του συμβόλου κράτησης θέσης και ό,τι άλλαξε. Στον άμεσο δρόμο η καταγραφή αναφέρει επίσης ποιος την ξεκίνησε. Δεν περιέχει ούτε το όνομα ούτε τη διεύθυνση email του προσώπου.
Η ανωνυμοποίηση απαιτεί το δικαίωμα «Anonymize people». Από προεπιλογή το έχουν μόνο οι διαχειριστές. Μόνο ένας διαχειριστής μπορεί να το χρησιμοποιήσει. Δεν μπορεί ποτέ να δοθεί στον ρόλο «Customer». Ο διάλογος της εξαγωγής δεδομένων απαιτεί επιπλέον το «Data export (data subject request)».
Όρια
Τα ονόματα σε συνεχές κείμενο μένουν, για παράδειγμα «Χαιρετισμούς, Max» στο τέλος ενός μηνύματος. Και οι αριθμοί τηλεφώνου σε συνεχές κείμενο μένουν. Κανένα από τα δύο δεν αναγνωρίζεται αξιόπιστα. Για τα αιτήματα ενός πελάτη υπάρχει το πλαίσιο ελέγχου για το άδειασμα του περιεχομένου.
Αν ένας άλλος λογαριασμός έχει το ίδιο όνομα και επώνυμο, το όνομα του προσώπου δεν αντικαθίσταται στο ιστορικό του αιτήματος ούτε ως όνομα του αιτούντος. Αλλιώς θα επηρεάζονταν και οι καταχωρίσεις του άλλου προσώπου. Η διεύθυνση και το τηλέφωνο αντικαθίστανται παρ’ όλα αυτά. Ο έλεγχος συγκρίνει όνομα και επώνυμο. Το ιστορικό αναθέσεων αποθηκεύει το όνομα σύνδεσης. Ένας συνονόματος που εμφανίζεται εκεί μόνο με το όνομα σύνδεσής του δεν αναγνωρίζεται γι’ αυτό.
Πολύ παλιές καταχωρίσεις στο ιστορικό του αιτήματος που δεν παραπέμπουν ακόμη στον λογαριασμό φέρουν μόνο το όνομα. Δεν αναγνωρίζονται.
Ένα αίτημα που καταχώρισε ένας χειριστής τηλεφωνικά χωρίς τη διεύθυνση email του αιτούντος δεν αναγνωρίζεται. Το όνομα και ο αριθμός τηλεφώνου του αιτούντος μένουν σε αυτό.
Οι διευθύνσεις στις ρυθμίσεις δεν αλλάζουν, για παράδειγμα σε κανόνες αλληλογραφίας και κανόνες αυτοματισμού. Αν εκεί υπάρχει η διεύθυνση του προσώπου, αλλάξτε την μόνοι σας.
Αν το πρόσωπο γράψει ξανά μετά την εκτέλεση, μια νέα εκτέλεση με τη διεύθυνσή του καλύπτει και τα νέα email. Την ξεκινάτε με το «Export by e-mail address». Ο αριθμός μένει ίδιος. Μια νέα εκτέλεση στον ανωνυμοποιημένο λογαριασμό δεν βρίσκει τα νέα email. Ο λογαριασμός δεν γνωρίζει πια την παλιά διεύθυνση.
Για τα αρχεία φροντίζει το ίδιο το σύστημα. Όταν επαναφέρετε ένα αρχείο, κάθε πρόσωπο που ανωνυμοποιήθηκε παλαιότερα ανωνυμοποιείται ξανά στα αιτήματα που επαναφέρθηκαν. Το μήνυμα μετά την επαναφορά αναφέρει πόσα. Μια διεύθυνση που σε αυτά τα αιτήματα εμφανίζεται μόνο σε συνεχές κείμενο δεν αναγνωρίζεται εκεί. Επιπλέον, η νυχτερινή εκτέλεση μετά από μια ανωνυμοποίηση ενημερώνει τα αρχεία αρχειοθέτησης. Η κάρτα «Χρόνοι διατήρησης» το εξηγεί.
Με ένα αντίγραφο ασφαλείας είναι διαφορετικά. Ένα αντίγραφο από πριν από μια εκτέλεση περιέχει ακόμη τα παλιά δεδομένα. Κατά την επαναφορά το «Ticket System Backup & Restore» φροντίζει γι’ αυτό. Η εφαρμογή ρωτά αν όλοι όσοι είναι ανωνυμοποιημένοι στη σημερινή κατάσταση πρέπει να ανωνυμοποιηθούν ξανά. Το «Yes» είναι προεπιλεγμένο. Το σύστημα αιτημάτων το κάνει τότε στη νυχτερινή εκτέλεση στις 03:00 στη ζώνη ώρας που έχει οριστεί. Αυτό ισχύει και όταν ο διακόπτης είναι ανενεργός. Μέχρι τότε τα ονόματά τους φαίνονται ξανά. Η κάρτα «Data protection» δείχνει μια σημείωση με τον αριθμό. Το αντίγραφο ασφαλείας επαναφέρει και την τότε ρύθμιση του διακόπτη. Γι’ αυτό ελέγξτε τον διακόπτη μετά την επαναφορά.
Αν επαναφέρετε ένα αντίγραφο με άλλον τρόπο, απαντήσετε «No» ή χρησιμοποιήσετε το «--no-reapply» στη γραμμή εντολών, αυτό δεν γίνεται. Ο αυτόματος δρόμος βρίσκει τότε ξανά τους διαγραμμένους λογαριασμούς, όσο ο διακόπτης είναι ενεργός. Τις εκτελέσεις που ξεκινήσατε χειροκίνητα πρέπει να τις επαναλάβετε. Σε αυτό βοηθά ο σύνδεσμος «Download list of anonymizations» στην κάρτα «Data protection». Κατεβάστε τη λίστα πριν από την επαναφορά. Μετά δεν περιέχει πια τις εκτελέσεις που έγιναν μετά το αντίγραφο ασφαλείας. Η λίστα έχει μία γραμμή για κάθε ανωνυμοποιημένο πρόσωπο, με τις στήλες «Date», «Number», «Account ID», «E-mail hash» και «Content cleared». Το «Date» είναι η στιγμή της πρώτης εκτέλεσης σε UTC. Το «Account ID» συμπληρώνεται μόνο αν ανωνυμοποιήθηκε λογαριασμός. Το «E-mail hash» είναι ένα αποτύπωμα της διεύθυνσης που δεν αντιστρέφεται. Το «Content cleared» δείχνει αν αδειάστηκε το περιεχόμενο των αιτημάτων που υπέβαλε το πρόσωπο. Μετά από κάθε εκτέλεση, κατεβάστε τη λίστα μόνοι σας και φυλάξτε τη έξω από το σύστημα. Ένα αντίγραφο από πριν από μια εκτέλεση δεν περιέχει αυτή την εκτέλεση.
Αιτήματα διαγραφής και πρόσωπα που επιστρέφουν
Η διαγραφή και η ανωνυμοποίηση είναι δύο διαφορετικά πράγματα. Το «Delete account» απλώς κρύβει έναν λογαριασμό. Το «Restore account» τον επαναφέρει. Μέχρι τότε η διεύθυνση email του μένει δεσμευμένη για αυτόν τον λογαριασμό. Ένα αίτημα διαγραφής το ικανοποιείτε επομένως με το «Anonymize» στο παράθυρο εξαγωγής δεδομένων. Αυτό δεν αναιρείται. Το όνομα και η διεύθυνση αντικαθίστανται από το «Anonymized user» και τον αριθμό. Η σύνδεση με τον λογαριασμό σε πάροχο ενιαίας σύνδεσης διαγράφεται.
Κάθε διεύθυνση email ανήκει σε ακριβώς έναν λογαριασμό. Αν δημιουργήσετε λογαριασμό με διεύθυνση που έχει ήδη άλλος λογαριασμός, το σύστημα το απορρίπτει. Το μήνυμα είναι «This e-mail address already belongs to another account.» Το ίδιο ισχύει όταν αλλάζετε τη διεύθυνση ενός λογαριασμού. Αν η διεύθυνση ανήκει σε διαγραμμένο λογαριασμό, το μήνυμα είναι «This e-mail address belongs to a deleted account. Restore that account instead.» Επαναφέρετε τότε τον παλιό λογαριασμό αντί να δημιουργήσετε νέο. Οι ανωνυμοποιημένοι λογαριασμοί δεν μετρούν. Έχουν πλέον μόνο τη διεύθυνση κράτησης θέσης.
Ένας διαγραμμένος λογαριασμός δεν μπορεί να επαναφερθεί αν στο μεταξύ άλλος ενεργός λογαριασμός έχει την ίδια διεύθυνση. Το μήνυμα είναι τότε «This e-mail address already belongs to another account.» Αλλάξτε πρώτα τη διεύθυνση του άλλου λογαριασμού.
Από την εποχή πριν από αυτόν τον κανόνα μπορεί να υπάρχουν λογαριασμοί που μοιράζονται μια διεύθυνση. Η διαχείριση χρηστών τους επισημαίνει με τη σημείωση «This e-mail address belongs to more than one account. Change it so that each account has its own address.» Δώστε σε καθέναν από αυτούς τους λογαριασμούς τη δική του διεύθυνση. Μέχρι τότε η σύνδεση με αυτή τη διεύθυνση αντί για το όνομα χρήστη δεν λειτουργεί. Ούτε το email επαναφοράς κωδικού αποστέλλεται.
Αν ένα πρόσωπο επιστρέψει μετά από αίτημα διαγραφής, παίρνει νέο λογαριασμό. Αυτό ισχύει για παράδειγμα όταν συνδέεται ξανά μέσω Google ή Microsoft με την ίδια διεύθυνση. Για αυτό πρέπει να είναι ενεργό το «Automatically create accounts on first sign-in». Ο ανωνυμοποιημένος λογαριασμός δεν έχει πλέον τη διεύθυνσή του και δεν εμποδίζει τον νέο λογαριασμό.
Οι παλιές ανωνυμοποιήσεις δεν αγγίζουν ποτέ τα νέα αιτήματα αυτού του προσώπου. Αυτό ισχύει και μετά την επαναφορά ενός αντιγράφου ασφαλείας ή ενός αρχείου. Όταν μια ανωνυμοποίηση εφαρμόζεται ξανά, καλύπτει μόνο δεδομένα που δημιουργήθηκαν πριν από τη στιγμή της.
Αν ο παλιός λογαριασμός είχε μόνο διαγραφεί και όχι ανωνυμοποιηθεί, το σύστημα απορρίπτει την πρώτη σύνδεση μέσω SSO με αυτή τη διεύθυνση. Τι βλέπει το πρόσωπο εξαρτάται από τον πάροχο. Αν ο πάροχος επιβεβαιώνει τη διεύθυνση, το μήνυμα είναι «An account with this e-mail address was deleted. Ask an administrator to restore it.» Αν δεν την επιβεβαιώνει, είναι «Your e-mail address is not verified with the provider.» Έτσι το σύστημα δεν αποκαλύπτει αν υπάρχει διαγραμμένος λογαριασμός για μια διεύθυνση.
Ως διαχειριστής έχετε τότε δύο δρόμους. Αν επαναφέρετε τον παλιό λογαριασμό με το «Restore account», το πρόσωπο συνεχίζει σε αυτόν με το ιστορικό του. Η σύνδεση μέσω SSO λειτουργεί αν ο λογαριασμός ήταν ήδη συνδεδεμένος με αυτόν τον πάροχο ή αν ο πάροχος επιβεβαιώνει τη διεύθυνση. Αν το αίτημα διαγραφής εξακολουθεί να ισχύει, ανωνυμοποιήστε τον παλιό λογαριασμό. Μετά η διεύθυνση είναι ελεύθερη και η σύνδεση δημιουργεί νέο λογαριασμό.
Η αυτοεγγραφή απαντά σε αυτή την περίπτωση ουδέτερα: «Registration could not be completed. If you already have an account, use the password reset on the sign-in page.» Δεν αποκαλύπτει αν υπάρχει λογαριασμός για τη διεύθυνση.