Απόρρητο σε ιστοσελίδα αν ειμαι διαχειριστης

[hdonoblepsias]

Καλησπερα

Μου ζήτησε φίλος του ξαδερφού μου που του έχω μια υποχρέωση, να του φτιάξω ένα προγραμματακι να μπορεί να κρατάει ένα πελατολόγιο (συνεργειο αυτοκινήτων) με στοιχεία επικοινωνίας του πελάτη, το οχήμα του (αρ.πλαισίου, πινακιδα κλπ), στοιχεία πληρωμών (χρέη, προκαταβολές κλπ).

Εγώ του το έφτιαξα σε php (με μεγάλη προσοχή σε ασφάλεια) ωστε να μπαίνει με έναν κωδικό από οπουδήποτε και η βδ του, προς το παρόν είναι σε χώρο δικό μου. Ο άνθρωπος αυτός μου λέει οτι είναι αυτό που ακριβώς ήθελε, οπότε όλα οκ.

Το πρόβλημα είναι οτί εγώ ως διαχειριστής μπορώ αν θέλω να βλέπω όλα τα στοιχεία των πελατών του. Τι γίνεται σε αυτές τις περιπτώσεις ωστέ να είμαι εγώ καλυμμένος???

1. Το ενημερωνω  προφορικα?
2. Κάνουμε κάποιο συμφωνιτικό? (δεν εχω πληρωθεί κάτι)?
3. Έτσι γίνεται με όλους τους διαχειριστές, οπότε δεν χρειάζεται να κάνω κάτι γιατί αυτό εννοειται?
4. Βάζω την βάση σε δικο του χώρο? (και εκει μάλλον εγώ θα είμαι διαχειριστής)?

 

Επεξ/σία 23 Σεπτεμβρίου 2018 από hdonoblepsias

[leonidas_fs]

Δεν νομίζω οτι στην παρούσα κατάσταση, θα χρειαστεί να κάνεις κάποιο νομικό έγγραφο. Ο μηχανικός αυτοκινήτων δεν υπάρχει περίπτωση να καταλάβει ποτέ οτι μπήκες μέσα και είδες τα data του, και εσυ δεν νομίζω οτι έχεις κάποιον λόγο να το κάνεις! Είναι ψιλο άγραφος κανόνας, εμείς που παραδίδουμε τέτοια έργα, να μπορούμε να τα διαλύσουμε κιόλας αν θέλουμε (γιατι εμείς τα φτιάξαμε), αλλα δεν το κάνουμε για πολλούς λόγους.

 

Εαν υπάρχει η δυνατότητα για local βάση δεδομένων, πιστεύω οτι είναι το καλύτερο!

[xrhstosiak]

πρακτικα και ρεαλιστικα ισως δεν τρεχει τιποτα και ουτε θα γινει τιποτα...

Κανονικα ομως και με βαση και την νεα νομοθεσια ( gdpr κτλ) ειναι παρανομος αυτος που εχει το συνεργειο... με οτι αυτο σημαινει

[defacer]

20 minutes ago, xrhstosiak said:

Κανονικα ομως και με βαση και την νεα νομοθεσια ( gdpr κτλ) ειναι παρανομος αυτος που εχει το συνεργειο... με οτι αυτο σημαινει

Δεν ισχύει αυτό που λες.

@hdonoblepsias δε χρειάζεται να κάνεις τίποτα. Αλλά δυο τρία πράγματα μπορεί να θες να τα σκεφτείς λίγο:

1. Είσαι ο de facto τεχνικός υπεύθυνος. Αν (οκ θεωρητικό αλλά αν) γίνει κάποια χοντράδα και βγουν τα δεδομένα στη φόρα και σας γράψουν οι ειδήσεις, τι θα γίνει; Ο φίλος του ξαδέρφου θα έπρεπε είτε να σε απαλλάξει από κάθε ευθύνη (εκτός αν του χρωστάς ακόμα) είτε να σε πληρώνει για να έχεις ευθύνη. Θυμάμαι

2. Εφόσον δε θα πληρώνεσαι για αυτό, είναι πολύ καλύτερα ο χώρος και οτιδήποτε άλλο χρειάζεται για την εφαρμογή να είναι σε ξεχωριστό account που θα χρησιμοποιείται μόνο για αυτό το σκοπό. Το αν αυτό το account θα το διαχειρίζεσαι εσύ για λογαριασμό του πελάτη δεν έχει τόση σημασία. Το ζητούμενο είναι να μπορείς ανά πάσα στιγμή να κάνεις handover χωρίς περιπλοκές.

Επεξ/σία 24 Σεπτεμβρίου 2018 από defacer

[xrhstosiak]

γιατι οχι; εχει παρει την συγκαταθεση του πελατη ; ή εχει ενημερωσει τον πελατη για την χρηση και τους τροπους και τεχνικες επεξεργασιας των δεδομενων του,

δεν νομιζω αρα ξεκιναμε απο αυτο

μετα εχει ορισει ποιος εχει προσβαση και μπορει και επεξεργαζεται τα δεδομενα αυτα; ουτε αυτο το βλεπω

μην παρεξηγηθω ειμαι απο αυτους που θεωρω ολη αυτη την ιστορια με αυτο τον νομο μια φαρσοκωμωδία, αλλα λεμε πως εχει απο την στιγμη που ρωτα

 

[defacer]

2 minutes ago, xrhstosiak said:

γιατι οχι; εχει παρει την συγκαταθεση του πελατη ; ή εχει ενημερωσει τον πελατη για την χρηση και τους τροπους και τεχνικες επεξεργασιας των δεδομενων του,

δεν νομιζω αρα ξεκιναμε απο αυτο

μετα εχει ορισει ποιος εχει προσβαση και μπορει και επεξεργαζεται τα δεδομενα αυτα; ουτε αυτο το βλεπω

μην παρεξηγηθω ειμαι απο αυτους που θεωρω ολη αυτη την ιστορια με αυτο τον νομο μια φαρσοκωμωδία, αλλα λεμε πως εχει απο την στιγμη που ρωτα

Η συγκατάθεση του πελάτη δε χρειάζεται. Αν θέλεις ενημερώσου σε βάθος για τη νομοθεσία και μη νομίζεις ότι επειδή βλέπεις consent form σε όλα τα site αυτό είναι και τέλος. Υπάρχουν 7 αν θυμάμαι καλά ικανοί λόγοι να διατηρείς προσωπικά δεδομένα, η συγκατάθεση είναι μόνο ο ένας από αυτούς και μάλλον ο λιγότερο σημαντικός.

Το αν και πώς χρειάζεται να ενημερώσει και αν έχει ενημερώσει δεν το ξέρω, αλλά δεν το ξέρεις και συ.

Να ορίσει ποιος έχει πρόσβαση στα δεδομένα; Σε ποιον να το ορίσει ακριβώς; Δεν έχει online υπηρεσία η επιχείριση που να κρατάει τέτοια δεδομένα. Τι να κάνει, να τυπώσει πολιτική διαχείρισης δεδομένων και να την κορνιζώσει στον τοίχο;

Υπενθυμίζω ότι κανένας δεν ξέρει στην πράξη τι σημαίνει ο κανονισμός, δεν έχουν γίνει ακόμα δίκες σχετικά, οπότε η κοινή λογική δεν είναι κακός σύμβουλος σε αυτή τη φάση.

[xrhstosiak]

ανεβαζω την πρωτη σελιδα  ενος τετοιου κειμενου που εχει γινει συνταξη απο δικηγορο, για πελατες που ο ενας ειναι ασφαλιστης και ο αλλος γιατρος

και δεν εχουν online υπηρεσια οπως λες ανοικτη προς τριτους...

τι θελω να πω, το πνευμα του νομου μιλα συνεχως για συγκαταθεση και ενημερωση του πελατη.

Και αν πχ σε ενα τραβηγμενο σεναριο ερθει ενας έλεγχος στο χωρο μπορει θεωρητικα να ριξει προστιμο γιατι πχ ο γιατρος ή ο ασφαλιστης ειχε εκτεθειμένα πανω στο γραφειο του εγγραφα με προσωπικά στοιχεια του πελατη...

το δευτερο που θα ρωτησει ενας τετοιος υποτιθέμενος έλεγχος ειναι τι μετρα εχετε παρει για να διασφαλίσετε την ασφάλεια των δεδομένων, αν ειναι υπολογιστης με ενημερωμένο λειτουργικο, ενημερωμένο antivirus και παει λεγοντας ... ειναι λιγο στην λογικη πως αμα σε σταματησει η τροχαια και θελει να σε γραψει θα σου βρει κατι

στην περιπτωση μας λοιπον το λεει οτι τα δεδομενα τα εχει σε σερβερ αρα ειναι εκτος του χωρου της επιχείρησης και εχει και προσβαση ενας τουλαχιστον τριτος με τον οποιο δεν συσχετίζετε καπως επαγγελματικά, ειναι φιλος του ξαδελφου του ... αυτο δεν πιανει για απαντηση σε εναν επαναλαμβάνω έλεγχο ... πρακτικα στην Ελλαδα ξερουμε οτι απλα σημαινει καρφωτη απο ανταγωνιστή ή απλα βγήκαν παγανια για να μαζεψουν κανα εσοδο.... οποτε ολα τα υπολοιπα ειναι να χαμε να λεγαμε.

 

[hdonoblepsias]

Παιδιά και εγώ δεν έχω όρεξη ουτε να μπω να δω στοιχεία, ούτε θα ασχοληθεί αυτός (ο μάστορας) με το αν βλέπω τα *στοιχεία των πελατών. Απλά τώρα που είναι πολύ πολύ αρχή στο data entry, θέλω να ξέρω/είμαι έτοιμος τι θα απαντήσω αν έρθει η ώρα και μου πει το εξής:

"Ρε φιλαράκι για έλα εδώ. Ο ανηψιός της ξαδέρφης της Σούλας που ξερει από γκομπιουτερς, μου είπε οτί αφού έχεις πρόσβαση στην βάση δεδομένων μου, τόσο καιρό μπορείς να δεις/τροποποιήσεις τα στοιχεία των πελατών μου. Ισχύει κάτι τέτοιο; Γιατί δεν μου είπες τίποτα;"

ή ακόμα χειρότερα...

"Ρε φιλαράκι για έλα εδώ. Ο ανηψιός της ξαδέρφης της Σούλας που ξερει από γκομπιουτερς, μου είπε οτί αφού έχεις πρόσβαση στην βάση δεδομένων μου, τόσο καιρό μπορείς να δεις/τροποποιήσεις τα στοιχεία των πελατών μου. Ισχύει κάτι τέτοιο; Εγώ θυμάμαι οτί ο φίλος σου ο Θρασύβουλας, μου χρώσταγε γύρω στα 400€ και τώρα στην καρτέλα του, βλέπω 150€. Μήπως άλλαξες κάτι;"

Τι απαντάω σε αυτές τις ερωτήσεις;

*Τα στοιχεία δεν θα είναι μόνο όνομα, επωνυμο, τηλέφωνο (χωρίς να θέλω να υποτιμήσω και την σπουδαιότητα αυτών) αλλά θα είναι πινακίδες, αριθμοί πλαισιών, αριθμοί αδειών, ίσως αριθμοί διπλωμάτων, πιστώσεις, υπόλοιπα χρεών κλπ.

 

 

9 ώρες πριν, defacer είπε

1. Είσαι ο de facto τεχνικός υπεύθυνος. Αν (οκ θεωρητικό αλλά αν) γίνει κάποια χοντράδα και βγουν τα δεδομένα στη φόρα και σας γράψουν οι ειδήσεις, τι θα γίνει; Ο φίλος του ξαδέρφου θα έπρεπε είτε να σε απαλλάξει από κάθε ευθύνη (εκτός αν του χρωστάς ακόμα) είτε να σε πληρώνει για να έχεις ευθύνη. Θυμάμαι

2. Εφόσον δε θα πληρώνεσαι για αυτό, είναι πολύ καλύτερα ο χώρος και οτιδήποτε άλλο χρειάζεται για την εφαρμογή να είναι σε ξεχωριστό account που θα χρησιμοποιείται μόνο για αυτό το σκοπό. Το αν αυτό το account θα το διαχειρίζεσαι εσύ για λογαριασμό του πελάτη δεν έχει τόση σημασία. Το ζητούμενο είναι να μπορείς ανά πάσα στιγμή να κάνεις handover χωρίς περιπλοκές.

Δεν είμαι ο τεχνικός υπεύθυνος (τουλάχιστον επίσημα). Χρίστηκα, off the record, ως υπέυθυνος που του έφτιαξα το site. Και την υποχρέωση του την έβγαλα. Τώρα η σχέση είναι τέτοια που στην ουσία έχω το νου μου, χωρις να ασχολείτε αυτός. (renew το χώρο, κανα backup κλπ)

Επεξ/σία 24 Σεπτεμβρίου 2018 από hdonoblepsias

[Επισκέπτης]

Παρέδωσε του και την πρόσβαση στον server και ξεμπέρδεψες.

[leonidas_fs]

Αυτό ακριβώς που λέει ο elorant. ΤΟ στήνεις όλο τοπικά στο συνεργείο του (εαν εχει κάποιο PC ή κάποιον server εκει ακόμα καλύτερα), αλλιώς πας εκεί και την ώρα που το παραδίνεις, του λες να ράψει εναν καινούργιο κωδικό (τον οποίο εσυ δεν θα βλέπεις) και τελείωσε η δουλειά!

Επίσης του τονίζεις οτι δεν εχεις πρόσβαση απο απόσταση, και οτι εαν χρειαστεί οτιδήποτε θα πρέπει να πας εκει να το κάνεις!