Kaikki tiedot eivät saa jäädä ikuisiksi ajoiksi. Kun joku lähtee yrityksestäsi tai henkilö pyytää poistamaan tietonsa, anonymisoit hänet. Nimi ja sähköpostiosoite korvataan silloin paikkamerkillä, kuten ”Anonymized user 3”. Tiketit säilyvät. Raportit, määräajat, aikamerkinnät ja tyytyväisyysluvut lasketaan edelleen.
Jokainen henkilö saa oman numeronsa. Kaksi merkintää, joilla on sama numero, ovat samalta henkilöltä. Sähköpostiosoitteeksi tulee ”anonymized-3@anonymized.invalid”. Sellaiseen osoitteeseen ei voi toimittaa postia, joten järjestelmä ohittaa sen lähetyksessä. Paikkamerkki tallennetaan englanniksi ja pysyy englanninkielisenä kaikilla kielillä.
Tapoja on kaksi. Automaattinen tapa anonymisoi poistetut tunnukset tietyn kuukausimäärän jälkeen. Välitön tapa anonymisoi yhden henkilön heti, esimerkiksi poistopyynnön jälkeen.
Automaattinen tapa löytyy kohdasta ”Settings → Security” kortilta ”Data protection”. Kytkin ”Anonymize deleted users automatically” on oletuksena pois päältä. Kohdan ”after” viereen kirjoitat kuukausien määrän. Sallittu on 1–120, oletus on 36. ”Save” tallentaa muutetun määrän.
Aika lasketaan päivästä, jona tunnus poistettiin. Järjestelmä tarkistaa kymmenen minuutin välein, onko ajo vuorossa. Se ajetaan kerran päivässä, ensimmäisellä tarkistuksella kello 03:00 jälkeen kohdassa ”Settings → General Settings” asetetulla aikavyöhykkeellä. Jokainen poistettu tunnus, jonka aika on kulunut umpeen, anonymisoidaan tuossa ajossa.
Kun kytket kytkimen päälle, avautuu ensin ikkuna. Se luettelee poistetut käyttäjät, jotka seuraava ajo anonymisoi, kunkin poistopäivän kanssa. Kirjoita kenttään ANONYMIZE ja klikkaa ”Confirm”. Vasta silloin kytkin on päällä. Jos kello on tuolla aikavyöhykkeellä jo yli 03:00, ensimmäinen ajo seuraa noin kymmenen minuutin kuluessa.
Sama ikkuna avautuu, kun lyhennät kuukausien määrää kytkimen ollessa päällä. Pois kytkeminen ei vaadi vahvistusta.
Aika alkaa vasta, kun tunnus poistetaan. Arkistointi ei riitä. Arkistoitu tunnus on vain lukittu, ja se voi palata milloin tahansa, esimerkiksi vanhempainvapaan jälkeen. Poista tunnus klikkaamalla sen rivillä kohdassa ”User management” roskakorikuvaketta ”Delete account”.
Ikkuna kertoo etukäteen, mitä seuraa. Jos automaattinen anonymisointi on päällä, se mainitsee kuukausien määrän. Poistettu tunnus näkyy näkymässä ”Archived” merkinnällä ”Deleted”. Kuvake ”Restore account” palauttaa sen. Ylläpitäjille ja agenteille Basic tarvitsee siihen vapaan paikan. Jos tunnus poistetaan myöhemmin uudelleen, aika alkaa alusta.
Omassa tunnuksessasi ei ole roskakorikuvaketta. Ylläpitäjän tunnuksen voi poistaa tai arkistoida vain ylläpitäjä. Viimeistä aktiivista ylläpitäjää ei voi poistaa eikä arkistoida.
Kun joku on lähtenyt lopullisesti, poista siis tunnus äläkä vain arkistoi sitä. Tunnus, joka on ollut arkistoituna yli vuoden, näyttää rivillään kalenterikuvakkeen. Sen työkaluvihje muistuttaa poistamaan tunnuksen.
Välitön tapa on tietojen viennin ikkunassa, alueella ”Anonymize” löytöjen alla. Avaat ikkunan tunnuksen riviltä tai kohdasta ”Export by e-mail address”, jos henkilöllä ei ole tunnusta.
Jos osoite kuuluu tunnukselle, klikkaa ensin ”Use this account”. Vain silloin itse tunnus anonymisoidaan. Pelkällä osoitteella tehty ajo korvaa osoitteen siellä, minne se on tallennettu, ja jättää tunnuksen ennalleen.
Kirjoita kenttään ANONYMIZE ja klikkaa ”Anonymize”. Aktiivinen tunnus poistetaan ensin ja anonymisoidaan sitten. Omaa tunnustasi ei voi anonymisoida. Ei myöskään viimeistä aktiivista ylläpitäjää.
Sen jälkeen rivillä on merkintä ”Anonymized”. Sellaista tunnusta ei voi enää muokata, palauttaa eikä aktivoida uudelleen. Vain tietojen vienti jää jäljelle. Voit ajaa anonymisoinnin uudelleen. Numero pysyy samana, ja myös sen jälkeen palautetut tiedot tulevat mukaan.
Valintaruutu ”Also clear the content of tickets this person requested” menee pidemmälle. Suluissa oleva luku on näiden tikettien määrä. Niiden tekstit tyhjennetään ja liitteet poistetaan. Muiden tiketit, joihin henkilö vain vastasi, ainoastaan anonymisoidaan.
Tarkista ensin säilytysvelvollisuutesi. Saksassa esimerkiksi liikekirjeet on säilytettävä kuusi vuotta. Ikkuna muistuttaa siitä. Automaattinen tapa vain anonymisoi. Se ei koskaan tyhjennä sisältöä.
Jos tiedostoa ei voitu poistaa palvelimelta, ikkuna kertoo, kuinka monta. Ajo lasketaan silti valmiiksi. Järjestelmä ei yritä uudelleen itsestään.
Jokainen ajo kirjataan ajankohdan, paikkamerkin numeron ja muutosten kanssa. Välittömässä tavassa kirjaus kertoo myös, kuka ajon käynnisti. Siinä ei ole henkilön nimeä eikä sähköpostiosoitetta.
Anonymisointi vaatii oikeuden ”Anonymize people”. Oletuksena se on vain ylläpitäjillä. Vain ylläpitäjä voi käyttää sitä. Sitä ei voi koskaan antaa roolille ”Customer”. Tietojen viennin ikkuna vaatii lisäksi oikeuden ”Data export (data subject request)”.
Rajat
Nimet juoksevassa tekstissä jäävät, esimerkiksi ”Terveisin Max” sähköpostin lopussa. Myös puhelinnumerot juoksevassa tekstissä jäävät. Kumpaakaan ei voi tunnistaa luotettavasti. Asiakkaan tiketeille on valintaruutu sisällön tyhjentämiseen.
Jos toisella tunnuksella on sama etu- ja sukunimi, henkilön nimeä ei korvata tiketin historiassa eikä pyytäjän nimenä. Muuten myös toisen henkilön merkinnät osuisivat. Osoite ja puhelinnumero korvataan silti. Tarkistus vertaa etu- ja sukunimeä. Osoitushistoria tallentaa kirjautumisnimen. Kaimaa, joka näkyy siellä vain kirjautumisnimellään, ei siksi tunnisteta.
Hyvin vanhat merkinnät tiketin historiassa, jotka eivät vielä viittaa tunnukseen, sisältävät vain nimen. Niitä ei tunnisteta.
Tikettiä, jonka agentti on kirjannut puhelimitse ilman pyytäjän sähköpostiosoitetta, ei tunnisteta. Pyytäjän nimi ja puhelinnumero jäävät siihen.
Asetuksissa olevia osoitteita ei muuteta, esimerkiksi sähköpostisäännöissä ja automaatiosäännöissä. Jos henkilön osoite on siellä, muuta se itse.
Jos henkilö kirjoittaa ajon jälkeen uudelleen, uusi ajo hänen osoitteellaan kattaa myös uudet sähköpostit. Käynnistät sen kohdasta ”Export by e-mail address”. Numero pysyy samana. Uusi ajo anonymisoidulla tunnuksella ei löydä uusia sähköposteja. Tunnus ei enää tunne vanhaa osoitetta.
Arkistoista järjestelmä huolehtii itse. Kun palautat arkiston, jokainen aiemmin anonymisoitu henkilö anonymisoidaan uudelleen palautetuissa tiketeissä. Palautuksen jälkeinen ilmoitus kertoo, kuinka monta. Osoitetta, joka näissä tiketeissä on vain juoksevassa tekstissä, ei siellä tunnisteta. Lisäksi anonymisointia seuraava yöajo päivittää arkistotiedostot. Kortti ”Säilytysajat” selittää sen.
Varmuuskopion kanssa asia on toinen. Ennen ajoa tehty varmuuskopio sisältää vielä vanhat tiedot. Palautuksessa ”Ticket System Backup & Restore” huolehtii tästä. Sovellus kysyy, anonymisoidaanko kaikki tämänhetkisessä tilassa anonymisoidut henkilöt uudelleen. ”Yes” on valmiiksi valittuna. Tikettijärjestelmä tekee sen sitten yöajossa kello 03:00 asetetulla aikavyöhykkeellä. Tämä pätee myös, kun kytkin on pois päältä. Siihen asti heidän nimensä näkyvät taas. Kortti ”Data protection” näyttää huomautuksen, jossa on määrä. Varmuuskopio palauttaa myös kytkimen silloisen asetuksen. Tarkista siksi kytkin palautuksen jälkeen.
Jos palautat varmuuskopion muulla tavalla, vastaat ”No” tai käytät komentorivillä valintaa ”--no-reapply”, näin ei tapahdu. Automaattinen tapa löytää silloin poistetut tunnukset uudelleen, kunhan kytkin on päällä. Käsin käynnistämäsi ajot on toistettava. Siinä auttaa linkki ”Download list of anonymizations” kortilla ”Data protection”. Lataa luettelo ennen palautusta. Sen jälkeen se ei enää sisällä varmuuskopion jälkeen tehtyjä ajoja. Luettelossa on yksi rivi jokaista anonymisoitua henkilöä kohden, ja siinä ovat sarakkeet ”Date”, ”Number”, ”Account ID”, ”E-mail hash” ja ”Content cleared”. ”Date” on ensimmäisen ajon ajankohta UTC-ajassa. ”Account ID” on täytetty vain, jos tunnus anonymisoitiin. ”E-mail hash” on osoitteen sormenjälki, jota ei voi palauttaa. ”Content cleared” kertoo, tyhjennettiinkö henkilön pyytämien tikettien sisältö. Lataa luettelo itse jokaisen ajon jälkeen ja säilytä se järjestelmän ulkopuolella. Ennen ajoa tehty varmuuskopio ei sisällä tätä ajoa.
Poistopyynnöt ja palaavat henkilöt
Poistaminen ja anonymisointi ovat kaksi eri asiaa. ”Delete account” vain piilottaa tunnuksen. ”Restore account” tuo sen takaisin. Siihen asti sen sähköpostiosoite pysyy varattuna tälle tunnukselle. Poistopyynnön täytät siksi kohdalla ”Anonymize” tietojen luovutuksen valintaikkunassa. Sitä ei voi perua. Nimi ja osoite korvataan tekstillä ”Anonymized user” ja numerolla. Yhteys kertakirjautumisen palveluntarjoajan tunnukseen poistetaan.
Jokainen sähköpostiosoite kuuluu täsmälleen yhdelle tunnukselle. Jos luot tunnuksen osoitteella, joka on jo toisella tunnuksella, järjestelmä hylkää sen. Ilmoitus on ”This e-mail address already belongs to another account.” Sama pätee, kun muutat tunnuksen osoitetta. Jos osoite kuuluu poistetulle tunnukselle, ilmoitus on ”This e-mail address belongs to a deleted account. Restore that account instead.” Palauta silloin vanha tunnus uuden luomisen sijaan. Anonymisoidut tunnukset eivät ole mukana. Niillä on enää vain paikkamerkkiosoite.
Poistettua tunnusta ei voi palauttaa, jos toisella aktiivisella tunnuksella on nyt sama osoite. Ilmoitus on silloin ”This e-mail address already belongs to another account.” Muuta ensin toisen tunnuksen osoite.
Ajalta ennen tätä sääntöä voi olla tunnuksia, joilla on yhteinen osoite. Käyttäjähallinta näyttää niiden kohdalla huomautuksen ”This e-mail address belongs to more than one account. Change it so that each account has its own address.” Anna jokaiselle näistä tunnuksista oma osoite. Siihen asti kirjautuminen tällä osoitteella käyttäjänimen sijaan ei toimi. Myöskään salasanan palautusviestiä ei lähetetä.
Jos henkilö palaa poistopyynnön jälkeen, hän saa uuden tunnuksen. Näin käy esimerkiksi, kun hän kirjautuu uudelleen Googlella tai Microsoftilla samalla osoitteella. Sitä varten asetuksen ”Automatically create accounts on first sign-in” on oltava päällä. Anonymisoidulla tunnuksella ei ole enää hänen osoitettaan, eikä se ole uuden tunnuksen tiellä.
Vanhat anonymisoinnit eivät koskaan koske tämän henkilön uusia tikettejä. Tämä pätee myös varmuuskopion tai arkiston palauttamisen jälkeen. Kun anonymisointi toteutetaan uudelleen, se kattaa vain tiedot, jotka ovat syntyneet ennen sen ajankohtaa.
Jos vanha tunnus oli vain poistettu eikä anonymisoitu, järjestelmä hylkää ensimmäisen SSO-kirjautumisen tällä osoitteella. Se, mitä henkilö näkee, riippuu palveluntarjoajasta. Jos palveluntarjoaja vahvistaa osoitteen, ilmoitus on ”An account with this e-mail address was deleted. Ask an administrator to restore it.” Jos se ei vahvista osoitetta, ilmoitus on ”Your e-mail address is not verified with the provider.” Näin järjestelmä ei paljasta, onko osoitteelle olemassa poistettua tunnusta.
Ylläpitäjänä sinulla on silloin kaksi tapaa. Jos palautat vanhan tunnuksen kohdalla ”Restore account”, henkilö jatkaa siinä historiansa kanssa. SSO-kirjautuminen onnistuu, jos tunnus oli jo yhdistetty tähän palveluntarjoajaan tai palveluntarjoaja vahvistaa osoitteen. Jos poistopyyntö on yhä voimassa, anonymisoi vanha tunnus. Sen jälkeen osoite on vapaa, ja kirjautuminen luo uuden tunnuksen.
Itserekisteröinti vastaa tässä tapauksessa neutraalisti: ”Registration could not be completed. If you already have an account, use the password reset on the sign-in page.” Se ei paljasta, onko osoitteelle olemassa tunnusta.