Alcuni dati non devono restare per sempre. Quando qualcuno lascia la tua azienda o una persona chiede di cancellare i suoi dati, la anonimizzi. Nome e indirizzo e-mail vengono allora sostituiti da un segnaposto come «Anonymized user 3». I ticket restano. Report, scadenze, registrazioni dei tempi e valori di soddisfazione continuano a contare.
Ogni persona riceve il proprio numero. Due voci con lo stesso numero provengono dalla stessa persona. L’indirizzo e-mail diventa «anonymized-3@anonymized.invalid». A un indirizzo così non si può recapitare nessuna e-mail, perciò il sistema lo salta durante l’invio. Il segnaposto è salvato in inglese e resta in inglese in ogni lingua.
Ci sono due strade. La strada automatica anonimizza gli account eliminati dopo un numero fisso di mesi. La strada immediata anonimizza una singola persona subito, per esempio dopo una richiesta di cancellazione.
La strada automatica si trova in «Settings → Security», nella scheda «Data protection». L’interruttore «Anonymize deleted users automatically» è spento come impostazione di fabbrica. Accanto a «after» inserisci il numero di mesi. Sono ammessi da 1 a 120, l’impostazione di fabbrica è 36. «Save» salva un numero modificato.
Il tempo si conta dal giorno in cui un account è stato eliminato. Il sistema controlla ogni dieci minuti se è dovuta un’esecuzione. Viene eseguito una volta al giorno, al primo controllo dopo le 03:00 nel fuso orario impostato in «Settings → General Settings». In quell’esecuzione viene anonimizzato ogni account eliminato il cui tempo è scaduto.
Quando accendi l’interruttore, prima si apre una finestra. Elenca gli utenti eliminati che la prossima esecuzione anonimizzerà, ognuno con il giorno dell’eliminazione. Digita ANONYMIZE nel campo e fai clic su «Confirm». Solo allora l’interruttore è acceso. Se in quel fuso orario sono già passate le 03:00, la prima esecuzione segue entro circa dieci minuti.
La stessa finestra compare quando accorci il numero di mesi con l’interruttore acceso. Per spegnerlo non serve alcuna conferma.
Il tempo inizia solo quando un account viene eliminato. Archiviarlo non basta. Un account archiviato è solo bloccato e può tornare in qualsiasi momento, per esempio dopo un congedo parentale. Per eliminare un account, fai clic sul simbolo del cestino «Delete account» nella sua riga in «User management».
Prima che succeda qualcosa, una finestra dice cosa segue. Se l’anonimizzazione automatica è accesa, indica il numero di mesi. Un account eliminato compare nella vista «Archived» con il badge «Deleted». Il simbolo «Restore account» lo riporta indietro. Per amministratori e agenti, Basic ha bisogno per questo di un posto libero. Se l’account viene eliminato di nuovo più tardi, il tempo ricomincia.
Il tuo account non ha il simbolo del cestino. Solo un amministratore può eliminare o archiviare un account amministratore. L’ultimo amministratore attivo non si può né eliminare né archiviare.
Quando qualcuno se n’è andato definitivamente, quindi, elimina l’account e non limitarti ad archiviarlo. Un account archiviato da più di un anno mostra un simbolo di calendario nella sua riga. Il suo suggerimento ti ricorda di eliminare l’account.
La strada immediata si trova nella finestra di dialogo dell’esportazione dei dati, nell’area «Anonymize» sotto i risultati. Apri la finestra dalla riga di un account, oppure con «Export by e-mail address» per una persona senza account.
Se l’indirizzo appartiene a un account, fai prima clic su «Use this account». Solo così viene anonimizzato l’account stesso. Un’esecuzione con il solo indirizzo sostituisce l’indirizzo dove è salvato e lascia l’account com’è.
Digita ANONYMIZE nel campo e fai clic su «Anonymize». Un account attivo viene prima eliminato e poi anonimizzato. Il tuo account non si può anonimizzare. Nemmeno l’ultimo amministratore attivo.
Dopo, la riga porta il badge «Anonymized». Un account così non si può più modificare, ripristinare né riattivare. Resta solo l’esportazione dei dati. Puoi eseguire di nuovo l’anonimizzazione. Il numero resta lo stesso, e vengono compresi anche i dati ripristinati nel frattempo.
La casella «Also clear the content of tickets this person requested» va oltre. Il numero tra parentesi è il numero di questi ticket. I loro testi vengono svuotati e i loro allegati eliminati. I ticket di altre persone in cui la persona ha solo risposto vengono soltanto anonimizzati.
Prima verifica i tuoi obblighi di conservazione. In Germania, per esempio, le lettere commerciali vanno conservate per sei anni. La finestra di dialogo te lo ricorda. La strada automatica si limita ad anonimizzare. Non svuota mai contenuti.
Se un file non si è potuto eliminare dal server, la finestra di dialogo indica quanti. L’esecuzione conta comunque come conclusa. Il sistema non riprova da solo.
Ogni esecuzione viene registrata con il momento, il numero del segnaposto e ciò che è stato cambiato. Per la strada immediata, la registrazione indica anche chi l’ha avviata. Non contiene né il nome né l’indirizzo e-mail della persona.
Anonimizzare richiede il permesso «Anonymize people». Come impostazione di fabbrica ce l’hanno solo gli amministratori. Solo un amministratore può usarlo. Non si può mai dare al ruolo «Customer». La finestra di dialogo dell’esportazione dei dati richiede inoltre «Data export (data subject request)».
Limiti
I nomi nel testo libero restano, per esempio «Saluti, Max» alla fine di un’e-mail. Anche i numeri di telefono nel testo libero restano. Nessuno dei due si può riconoscere in modo affidabile. Per i ticket di un cliente c’è la casella per svuotare il contenuto.
Se un altro account ha lo stesso nome e cognome, il nome della persona non viene sostituito nella cronologia del ticket né come nome del richiedente. Altrimenti verrebbero toccate anche le voci dell’altra persona. Indirizzo e telefono vengono sostituiti comunque. Il controllo confronta nome e cognome. La cronologia delle assegnazioni salva il nome di accesso. Un omonimo che vi compare solo con il nome di accesso quindi non viene riconosciuto.
Le voci molto vecchie della cronologia del ticket che non puntano ancora all’account portano solo il nome. Non vengono riconosciute.
Un ticket che un agente ha registrato per telefono senza l’indirizzo e-mail del richiedente non viene riconosciuto. Il nome e il numero di telefono del richiedente vi restano.
Gli indirizzi nelle impostazioni non vengono modificati, per esempio nelle regole di posta e nelle regole di automazione. Se lì compare l’indirizzo della persona, modificalo tu.
Se la persona scrive di nuovo dopo l’esecuzione, una nuova esecuzione con il suo indirizzo copre anche le nuove e-mail. La avvii con «Export by e-mail address». Il numero resta lo stesso. Una nuova esecuzione sull’account anonimizzato non trova le nuove e-mail. L’account non conosce più il vecchio indirizzo.
Degli archivi si occupa il sistema stesso. Quando ripristini un archivio, ogni persona anonimizzata in precedenza viene di nuovo anonimizzata nei ticket ripristinati. Il messaggio dopo il ripristino dice quante. Un indirizzo che in questi ticket compare solo nel testo libero lì non viene riconosciuto. Inoltre l’esecuzione notturna dopo un’anonimizzazione aggiorna i file di archivio. La scheda «Periodi di conservazione» lo spiega.
Con un backup è diverso. Un backup fatto prima di un’esecuzione contiene ancora i vecchi dati. Durante il ripristino se ne occupa «Ticket System Backup & Restore». L’applicazione chiede se tutte le persone anonimizzate nello stato di oggi devono essere anonimizzate di nuovo. «Yes» è preselezionato. Il sistema di ticket lo fa poi nell’esecuzione notturna delle 03:00, nel fuso orario impostato. Questo vale anche se l’interruttore è spento. Fino ad allora i loro nomi tornano visibili. La scheda «Data protection» mostra un avviso con il numero. Il backup riporta anche lo stato dell’interruttore di allora. Perciò controlla l’interruttore dopo il ripristino.
Se ripristini un backup in un altro modo, rispondi «No» o usi «--no-reapply» dalla riga di comando, questo non avviene. La strada automatica ritrova allora gli account eliminati, purché l’interruttore sia acceso. Le esecuzioni che hai avviato a mano vanno ripetute. Ti aiuta il link «Download list of anonymizations» nella scheda «Data protection». Scarica l’elenco prima del ripristino. Dopo non contiene più le esecuzioni fatte dopo il backup. L’elenco ha una riga per ogni persona anonimizzata, con le colonne «Date», «Number», «Account ID», «E-mail hash» e «Content cleared». «Date» è il momento della prima esecuzione in UTC. «Account ID» è compilato solo se è stato anonimizzato un account. «E-mail hash» è un’impronta dell’indirizzo che non si può invertire. «Content cleared» dice se il contenuto dei ticket richiesti dalla persona è stato svuotato. Dopo ogni esecuzione scarica tu l’elenco e conservalo fuori dal sistema. Un backup fatto prima di un’esecuzione non contiene quell’esecuzione.
Richieste di cancellazione e persone che ritornano
Eliminare e anonimizzare sono due cose diverse. «Delete account» nasconde soltanto un account. «Restore account» lo riporta indietro. Fino ad allora il suo indirizzo e-mail resta riservato a quell’account. Una richiesta di cancellazione la soddisfi quindi con «Anonymize» nella finestra di esportazione dei dati. Non si può annullare. Nome e indirizzo vengono sostituiti da «Anonymized user» e dal numero. Il collegamento all’account presso un provider di single sign-on viene eliminato.
Ogni indirizzo e-mail appartiene a un solo account. Se crei un account con un indirizzo che un altro account ha già, il sistema rifiuta. Il messaggio è «This e-mail address already belongs to another account.» Lo stesso vale quando modifichi l’indirizzo di un account. Se l’indirizzo appartiene a un account eliminato, il messaggio è «This e-mail address belongs to a deleted account. Restore that account instead.» Ripristina allora il vecchio account invece di crearne uno nuovo. Gli account anonimizzati non contano. Portano soltanto l’indirizzo segnaposto.
Un account eliminato non si può ripristinare se nel frattempo un altro account attivo ha lo stesso indirizzo. Il messaggio è allora «This e-mail address already belongs to another account.» Modifica prima l’indirizzo dell’altro account.
Dal periodo precedente a questa regola possono esserci account che condividono un indirizzo. La gestione utenti li segnala con l’avviso «This e-mail address belongs to more than one account. Change it so that each account has its own address.» Dai a ciascuno di questi account il proprio indirizzo. Fino ad allora l’accesso con questo indirizzo al posto del nome utente non funziona. Nemmeno l’e-mail per reimpostare la password viene inviata.
Se una persona ritorna dopo una richiesta di cancellazione, ottiene un nuovo account. Succede per esempio quando accede di nuovo con Google o Microsoft con lo stesso indirizzo. Per questo «Automatically create accounts on first sign-in» deve essere attivo. L’account anonimizzato non porta più il suo indirizzo e non ostacola il nuovo account.
Le vecchie anonimizzazioni non toccano mai i nuovi ticket di questa persona. Questo vale anche dopo il ripristino di un backup o di un archivio. Quando un’anonimizzazione viene applicata di nuovo, comprende solo i dati nati prima del suo momento.
Se il vecchio account è stato solo eliminato e non anonimizzato, il sistema rifiuta il primo accesso tramite SSO con questo indirizzo. Cosa vede la persona dipende dal provider. Se il provider conferma l’indirizzo, il messaggio è «An account with this e-mail address was deleted. Ask an administrator to restore it.» Se non lo conferma, il messaggio è «Your e-mail address is not verified with the provider.» Così il sistema non rivela se per un indirizzo esiste un account eliminato.
Come amministratore hai allora due strade. Se ripristini il vecchio account con «Restore account», la persona continua a lavorarci con la sua cronologia. L’accesso tramite SSO funziona se l’account era già collegato a questo provider o se il provider conferma l’indirizzo. Se la richiesta di cancellazione resta valida, anonimizza il vecchio account. Dopo l’indirizzo è libero e l’accesso crea un nuovo account.
L’autoregistrazione risponde in questo caso in modo neutro: «Registration could not be completed. If you already have an account, use the password reset on the sign-in page.» Non rivela se per l’indirizzo esiste un account.
