Cloudtjenester: sikr jer adgang til data og logs, før I skriver under

Når I køber en cloudtjeneste, er det nu, I har forhandlingskraften. Skriv ind i aftalen, at I kan få jeres data og jeres logs udleveret i et brugbart format, både mens aftalen kører, og når den ophører. Opstår der senere en tvist med en medarbejder, en kunde eller leverandøren selv, er det de data og logs, I skal bruge, og så er det for sent at forhandle om dem.

Artiklen er en tjekliste til IT og ledelse, før der skrives under. Den handler ikke om, hvordan en tvist med leverandøren føres. Det er beskrevet fra advokatens side. → Exit-bistand og dataudlevering i en tvist

Hvorfor det betyder noget for beviser

Mange virksomheder har i dag kunderegister, mail, dokumenter, bogføring og projektstyring hos forskellige leverandører. Det betyder, at sporene i en sag ofte ligger hos leverandøren og ikke hos jer. Hvem loggede ind, hvem eksporterede kunderne, hvem slettede en sag, og hvornår? Svaret står i tjenestens logs, hvis de findes, og hvis I kan få dem.

Tre ting går typisk galt:

• Loggen findes ikke i jeres abonnement. Logning kan kræve en dyrere licens, eller den gemmes kun i kort tid.
• I kan ikke selv hente loggen. Den findes hos leverandøren, men kun leverandørens support kan trække den ud, og de har ingen pligt til at gøre det hurtigt.
• Data slettes ved ophør. Opsiger I aftalen, eller går leverandøren konkurs, kan data være slettet efter en kort frist.

Tjekliste før I skriver under

Gå punkterne igennem med den, der forhandler aftalen. Notér svarene, og gem dem sammen med kontrakten.

Data

• ☐ Kan I selv eksportere alle data, også vedhæftede filer, kommentarer og historik?
• ☐ I hvilket format? Et format, I kan åbne uden leverandørens system, er bedst.
• ☐ Hvor længe har I adgang til data efter opsigelse?
• ☐ Hvad sker der med data, hvis leverandøren lukker eller bliver solgt?
• ☐ Hvor ligger data geografisk, og kan det have betydning for udlevering?

Logs

• ☐ Hvilke handlinger logges: login, eksport, sletning, ændring af rettigheder?
• ☐ Hvor længe gemmes loggen, og kan perioden forlænges?
• ☐ Kan en administrator hos jer selv hente loggen, eller kræver det support?
• ☐ Indeholder loggen tidspunkt, bruger og IP-adresse?
• ☐ Kan loggen eksporteres samlet, ikke kun ses på en skærm?

→ Hvor længe gemmes logs?

Bistand

• ☐ Hjælper leverandøren med udlevering af data og logs ved en tvist eller en intern undersøgelse?
• ☐ Inden for hvilken frist, og til hvilken pris?
• ☐ Kan I bede om, at bestemte data ikke slettes, mens en sag står på?
• ☐ Hvem hos leverandøren er kontakt, og hvordan anmodes der?

Mangler der svar, så stil spørgsmålene skriftligt. Et skriftligt nej er også et svar. Det fortæller jer, hvad I selv skal sørge for.

Hvem gør hvad

• IT · Stiller de tekniske spørgsmål og tester eksport
• Leder · Beslutter, om svarene er gode nok
• Økonomi · Ser på licensniveau og prisen for bistand
• Advokat · Gennemgår ophør, sletning og databehandleraftale

Lad IT teste eksporten, før aftalen er underskrevet, hvis tjenesten har en prøveperiode. Hent en eksport af testdata og en udskrift af loggen. Kan I ikke åbne eller læse dem, ved I det nu og ikke midt i en sag.

Databehandleraftalen

Behandler leverandøren personoplysninger for jer, skal der normalt være en databehandleraftale. Den indeholder typisk regler for, hvad der sker med data ved ophør, og om leverandøren skal bistå jer. Læs de afsnit med bevisbrillerne på. En aftale, der kun siger, at alle data slettes ved ophør, hjælper ikke, hvis I står midt i en sag.

→ Databehandleraftalen og bistand i en sag

EU har desuden vedtaget regler om skift mellem cloudtjenester, som kan have betydning for udlevering af data ved ophør. Spørg jeres advokat, om de gælder for jeres aftale.

En typisk situation

En sælger siger op og starter hos en konkurrent. Kort efter melder flere kunder fra. I vil gerne vide, om sælgeren har eksporteret kundelisten fra jeres CRM-system i opsigelsesperioden. Systemet ligger hos en leverandør i skyen.

Nu afhænger alt af det, der blev aftalt ved indkøbet. Logger systemet eksport? Hvor længe gemmes loggen? Kan jeres administrator selv hente den, eller skal I skrive til support og vente? Er svaret, at loggen kun gemmes i nogle uger, og at support først svarer efter flere arbejdsdage, kan sporet være væk, før I har det i hånden.

Har I derimod på forhånd sikret, at eksport logges, at loggen gemmes længe nok, og at to af jeres egne administratorer kan hente den, tager det kort tid at sikre den.

Det skal I lade være med

• Antag ikke, at logs findes. Mange tjenester viser kun en aktivitetsliste på skærmen, som ikke kan eksporteres, eller som kun går nogle uger tilbage.
• Lad ikke én medarbejder være eneste administrator. Stopper vedkommende, eller er det netop vedkommende, sagen handler om, står I uden adgang.
• Opret ikke tjenesten på en privat mail eller et privat kort. Så er det uklart, hvem der ejer kontoen og data. → Cloudkonto oprettet i en medarbejders navn
• Skriv ikke under på standardvilkår uden at læse ophørsafsnittet. Det er der, det står, hvor hurtigt data forsvinder.

Når aftalen allerede er underskrevet

De fleste virksomheder læser denne tjekliste for sent. Det er ikke afgørende. Gør tre ting nu:

1. Find ud af, hvad tjenesten logger, og hvor længe. Skriv det ned.
2. Sørg for mindst to administratorer, der er ansat hos jer, og som bruger virksomhedens mail.
3. Lav en fast eksport af de vigtigste data, så I har en kopi uden for tjenesten.

Står I over for en opsigelse, så sikr data og logs, før opsigelsen sendes.

Er der allerede en tvist i gang, og holder leverandøren data tilbage, er det en anden situation. → Leverandøren holder data tilbage

Gør det til en fast rutine

Lad tjeklisten være en del af jeres indkøbsproces for alle tjenester, der rummer kundedata, økonomi, dokumenter eller kommunikation. Det tager kort tid ved indkøb og sparer meget, hvis der kommer en sag. Gem svarene i en oversigt over jeres tjenester, med licensniveau, logperiode og administratorer. Oversigten er også nyttig, når I skal reagere hurtigt.

Hvornår skal I have hjælp udefra?

Hjælp udefra er sjældent nødvendig ved indkøb. Advokaten bør dog læse ophørs- og databehandlervilkår, når tjenesten er forretningskritisk. Har I en konkret sag, hvor data eller logs ligger hos en leverandør, og hvor de er ved at udløbe, så få en IT-sagkyndig til at vurdere, hvad der skal sikres og hvordan. Haster det, fordi en logperiode udløber, så sig det tydeligt. Hastesager koster ekstra, også hos Nielco IT. → Pris og tilbud

Læs også: Databehandleraftalen: bistand ved undersøgelser og udlevering · Blokér videresendelse til private adresser · Ordbog for ledere

→ Bevissikring ved fratræden af nøglemedarbejdere · Tlf. 70 13 63 23 · Digital bevissikring hos Nielco IT