Neki podaci ne smiju ostati zauvijek. Kada netko napusti vašu tvrtku ili osoba zatraži brisanje svojih podataka, anonimizirate je. Ime i adresa e-pošte tada se zamjenjuju rezerviranim mjestom, na primjer „Anonymized user 3“. Tiketi ostaju. Izvještaji, rokovi, unosi vremena i vrijednosti zadovoljstva i dalje se broje.
Svaka osoba dobiva vlastiti broj. Dva unosa s istim brojem potječu od iste osobe. Adresa e-pošte postaje „anonymized-3@anonymized.invalid“. Na takvu se adresu ne može dostaviti nijedna poruka, zato je sustav pri slanju preskače. Rezervirano mjesto sprema se na engleskom i na svim jezicima ostaje englesko.
Postoje dva puta. Automatski put anonimizira izbrisane račune nakon određenog broja mjeseci. Trenutačni put odmah anonimizira jednu osobu, na primjer nakon zahtjeva za brisanje.
Automatski put nalazi se pod „Settings → Security“ na kartici „Data protection“. Prekidač „Anonymize deleted users automatically“ zadano je isključen. Pokraj „after“ upisujete broj mjeseci. Dopušteno je od 1 do 120, zadana vrijednost je 36. „Save“ sprema promijenjeni broj.
Vrijeme se računa od dana kada je račun izbrisan. Sustav svakih deset minuta provjerava je li na redu pokretanje. Pokreće se jednom dnevno, pri prvoj provjeri nakon 03:00 u vremenskoj zoni postavljenoj pod „Settings → General Settings“. U tom se pokretanju anonimizira svaki izbrisani račun kojem je isteklo vrijeme.
Kada uključite prekidač, najprije se otvara prozor. Navodi izbrisane korisnike koje će sljedeće pokretanje anonimizirati, svakoga s danom brisanja. Upišite ANONYMIZE u polje i kliknite „Confirm“. Tek je tada prekidač uključen. Ako je u toj vremenskoj zoni već prošlo 03:00, prvo pokretanje slijedi za desetak minuta.
Isti se prozor pojavljuje kada skratite broj mjeseci dok je prekidač uključen. Za isključivanje nije potrebna potvrda.
Vrijeme počinje tek kada se račun izbriše. Arhiviranje nije dovoljno. Arhivirani račun samo je zaključan i može se vratiti u bilo kojem trenutku, na primjer nakon roditeljskog dopusta. Račun brišete tako da u njegovu retku pod „User management“ kliknete simbol koša „Delete account“.
Prozor unaprijed kaže što slijedi. Ako je automatska anonimizacija uključena, navodi broj mjeseci. Izbrisani račun prikazuje se u prikazu „Archived“ s oznakom „Deleted“. Simbol „Restore account“ vraća ga. Za administratore i agente Basic za to treba slobodno mjesto. Ako se račun kasnije ponovno izbriše, vrijeme počinje ispočetka.
Vaš vlastiti račun nema simbol koša. Administratorski račun može izbrisati ili arhivirati samo administrator. Posljednji aktivni administrator ne može se ni izbrisati ni arhivirati.
Kada je netko trajno otišao, dakle izbrišite račun, a ne samo ga arhivirajte. Račun koji je arhiviran dulje od godinu dana prikazuje u svom retku simbol kalendara. Njegov opis podsjeća vas da izbrišete račun.
Trenutačni put nalazi se u dijalogu izvoza podataka, u području „Anonymize“ ispod nalaza. Dijalog otvarate iz retka računa ili putem „Export by e-mail address“ za osobu bez računa.
Ako adresa pripada računu, najprije kliknite „Use this account“. Samo se tako anonimizira i sam račun. Pokretanje samo po adresi zamjenjuje adresu ondje gdje je spremljena, a račun ostavlja kakav jest.
Upišite ANONYMIZE u polje i kliknite „Anonymize“. Aktivni račun najprije se briše, a zatim anonimizira. Vlastiti račun ne može se anonimizirati. Ni posljednji aktivni administrator.
Nakon toga redak nosi oznaku „Anonymized“. Takav se račun više ne može uređivati, vratiti ni ponovno aktivirati. Ostaje samo izvoz podataka. Anonimizaciju smijete ponovno pokrenuti. Broj ostaje isti, a obuhvaćeni su i podaci vraćeni u međuvremenu.
Potvrdni okvir „Also clear the content of tickets this person requested“ ide dalje. Broj u zagradi broj je tih tiketa. Njihovi se tekstovi prazne, a privitci brišu. Tiketi drugih osoba u kojima je osoba samo odgovorila samo se anonimiziraju.
Najprije provjerite svoje obveze čuvanja. U Njemačkoj se, na primjer, poslovna pisma moraju čuvati šest godina. Dijalog vas na to podsjeća. Automatski put samo anonimizira. Sadržaj nikada ne prazni.
Ako se datoteka nije mogla izbrisati s poslužitelja, dijalog navodi koliko ih je. Pokretanje se ipak smatra dovršenim. Sustav ne pokušava ponovno sam od sebe.
Svako se pokretanje bilježi s vremenom, brojem rezerviranog mjesta i onim što je promijenjeno. Kod trenutačnog puta zapis navodi i tko ga je pokrenuo. Ne sadrži ni ime ni adresu e-pošte osobe.
Anonimizacija zahtijeva ovlast „Anonymize people“. Zadano je imaju samo administratori. Koristiti je može samo administrator. Nikada se ne može dati ulozi „Customer“. Dijalog izvoza podataka dodatno zahtijeva „Data export (data subject request)“.
Ograničenja
Imena u tekućem tekstu ostaju, na primjer „Pozdrav, Max“ na kraju poruke. I telefonski brojevi u tekućem tekstu ostaju. Ni jedno ni drugo ne može se pouzdano prepoznati. Za tikete klijenta postoji potvrdni okvir za pražnjenje sadržaja.
Ako drugi račun ima isto ime i prezime, ime osobe ne zamjenjuje se u povijesti tiketa ni kao ime podnositelja. Inače bi bili pogođeni i unosi druge osobe. Adresa i telefon ipak se zamjenjuju. Provjera uspoređuje ime i prezime. Povijest dodjela sprema ime za prijavu. Imenjak koji se ondje pojavljuje samo s imenom za prijavu stoga se ne prepoznaje.
Vrlo stari unosi u povijesti tiketa koji još ne upućuju na račun sadrže samo ime. Ne prepoznaju se.
Tiket koji je agent unio telefonski bez adrese e-pošte podnositelja ne prepoznaje se. Ime i telefonski broj podnositelja ostaju u njemu.
Adrese u postavkama ne mijenjaju se, na primjer u pravilima e-pošte i pravilima automatizacije. Ako se ondje nalazi adresa osobe, promijenite je sami.
Ako osoba nakon pokretanja ponovno piše, novo pokretanje po njezinoj adresi obuhvaća i nove poruke e-pošte. Pokrećete ga putem „Export by e-mail address“. Broj ostaje isti. Novo pokretanje preko anonimiziranog računa ne pronalazi nove poruke. Račun više ne poznaje staru adresu.
O arhivama se sustav brine sam. Kada vratite arhivu, svaka prije anonimizirana osoba ponovno se anonimizira u vraćenim tiketima. Poruka nakon vraćanja navodi koliko ih je. Adresa koja se u tim tiketima nalazi samo u tekućem tekstu ondje se ne prepoznaje. Datoteke arhiva osim toga ažurira noćno pokretanje nakon anonimizacije. To objašnjava kartica „Rokovi čuvanja“.
Kod sigurnosne kopije je drukčije. Sigurnosna kopija napravljena prije pokretanja još sadrži stare podatke. Pri vraćanju se za to brine „Ticket System Backup & Restore“. Aplikacija pita trebaju li svi koji su anonimizirani u današnjem stanju ponovno biti anonimizirani. „Yes“ je unaprijed odabrano. Sustav za tikete to tada radi u noćnom pokretanju u 03:00 u postavljenoj vremenskoj zoni. To vrijedi i kada je prekidač isključen. Do tada se njihova imena ponovno vide. Kartica „Data protection“ prikazuje napomenu s brojem. Sigurnosna kopija vraća i tadašnju postavku prekidača. Zato nakon vraćanja provjerite prekidač.
Ako sigurnosnu kopiju vratite na drugi način, odgovorite s „No“ ili u naredbenom retku upotrijebite „--no-reapply“, to se ne događa. Automatski put tada ponovno pronalazi izbrisane račune, sve dok je prekidač uključen. Pokretanja koja ste pokrenuli ručno morate ponoviti. U tome pomaže poveznica „Download list of anonymizations“ na kartici „Data protection“. Preuzmite popis prije vraćanja. Nakon toga više ne sadrži pokretanja napravljena nakon sigurnosne kopije. Popis ima jedan redak za svaku anonimiziranu osobu, sa stupcima „Date“, „Number“, „Account ID“, „E-mail hash“ i „Content cleared“. „Date“ je vrijeme prvog pokretanja u UTC-u. „Account ID“ popunjen je samo ako je anonimiziran račun. „E-mail hash“ je otisak adrese koji se ne može vratiti. „Content cleared“ kaže je li ispražnjen sadržaj tiketa koje je osoba podnijela. Nakon svakog pokretanja sami preuzmite popis i čuvajte ga izvan sustava. Sigurnosna kopija napravljena prije pokretanja ne sadrži to pokretanje.
Zahtjevi za brisanje i osobe koje se vraćaju
Brisanje i anonimizacija dvije su različite stvari. „Delete account“ samo skriva račun. „Restore account“ ga vraća. Do tada adresa e-pošte ostaje rezervirana za taj račun. Zahtjev za brisanje zato ispunjavate s „Anonymize“ u dijalogu izvoza podataka. To se ne može poništiti. Ime i adresa zamjenjuju se s „Anonymized user“ i brojem. Veza s računom kod pružatelja jedinstvene prijave briše se.
Svaka adresa e-pošte pripada točno jednom računu. Ako stvorite račun s adresom koju već ima drugi račun, sustav to odbija. Poruka glasi „This e-mail address already belongs to another account.“ Isto vrijedi kada promijenite adresu računa. Ako adresa pripada izbrisanom računu, poruka glasi „This e-mail address belongs to a deleted account. Restore that account instead.“ Tada vratite stari račun umjesto da stvarate novi. Anonimizirani računi se ne broje. Imaju samo još adresu rezerviranog mjesta.
Izbrisani račun ne može se vratiti ako u međuvremenu drugi aktivni račun ima istu adresu. Poruka tada glasi „This e-mail address already belongs to another account.“ Najprije promijenite adresu drugog računa.
Iz vremena prije ovog pravila mogu postojati računi koji dijele adresu. Upravljanje korisnicima označava ih napomenom „This e-mail address belongs to more than one account. Change it so that each account has its own address.“ Dajte svakom od tih računa vlastitu adresu. Do tada prijava tom adresom umjesto korisničkog imena ne radi. Ni e-pošta za ponovno postavljanje lozinke ne odlazi.
Ako se osoba vrati nakon zahtjeva za brisanje, dobiva novi račun. To vrijedi na primjer kada se ponovno prijavi putem Googlea ili Microsofta istom adresom. Za to mora biti uključeno „Automatically create accounts on first sign-in“. Anonimizirani račun više nema njezinu adresu i ne smeta novom računu.
Stare anonimizacije nikada ne pogađaju nove tikete te osobe. To vrijedi i nakon vraćanja sigurnosne kopije ili arhive. Kada se anonimizacija ponovno primijeni, obuhvaća samo podatke nastale prije njezina trenutka.
Ako je stari račun samo izbrisan, a ne anonimiziran, sustav odbija prvu prijavu putem SSO-a s tom adresom. Što osoba vidi, ovisi o pružatelju. Ako pružatelj potvrđuje adresu, poruka glasi „An account with this e-mail address was deleted. Ask an administrator to restore it.“ Ako je ne potvrđuje, glasi „Your e-mail address is not verified with the provider.“ Tako sustav ne otkriva postoji li za adresu izbrisani račun.
Kao administrator tada imate dva puta. Ako stari račun vratite s „Restore account“, osoba u njemu nastavlja raditi sa svojom poviješću. Prijava putem SSO-a radi ako je račun već bio povezan s tim pružateljem ili pružatelj potvrđuje adresu. Ako zahtjev za brisanje i dalje vrijedi, anonimizirajte stari račun. Nakon toga adresa je slobodna, a prijava stvara novi račun.
Samoregistracija u ovom slučaju odgovara neutralno: „Registration could not be completed. If you already have an account, use the password reset on the sign-in page.“ Ne otkriva postoji li za adresu račun.