《通用数据保护条例》(GDPR) 是一项旨在保护欧盟居民个人数据的隐私法规。该法规已于 2018 年 5 月 25 日全面生效。为此，GDPR 明确定义了个人数据的范围，即任何可单独或结合其他数据用于识别个人身份的数据。如果某个组织收集欧盟居民的个人数据，那么无论其位于何处，都必须遵守 GDPR。
在此背景下，IT 服务台也属于 GDPR 的适用范围，因为它们会收集、存储和处理个人数据。IT 服务台日常处理的一些个人数据包括：
- 客户和员工的姓名、住址、电话号码和电子邮件地址。
- 员工信息，包括当前职位、部门和任职经历。
- 包含用户姓名、职务、座位位置等信息的事件、服务请求、 问题和变更记录。
- 分配给员工的设备的可识别信息，例如手机的 IMEI 编号。
向客户或员工提供技术支持的详细信息。例如，有关残障员工所使用的任何辅助技术（如屏幕阅读器、语音转文本技术）的信息。
以下是 ServiceDesk Plus 与 GDPR 相关功能的快速导览
尽管 GDPR 是欧盟立法，ServiceDesk Plus 仍致力于帮助全球所有用户保护数据隐私权。以下是我们的实现方式：
个人数据处理的安全性
借助双因素身份验证、基于角色的访问控制和活动日志，我们确保用户满足必要的安全标准。
业务模式
简单来说：
- 我们不拥有您的数据。您才拥有。
- 我们绝不会将您的数据用于广告。
我们已为 ServiceDesk Plus 推出 GDPR 功能，帮助您踏上 GDPR 合规之旅。
数据托管（本地化）
我们的服务器位于美国、英国、欧盟、中国、印度、澳大利亚和日本最安全的数据中心。我们托管您服务数据的区域取决于管理员注册 ServiceDesk Plus Cloud 帐户时所使用的 Zoho 域名。
下表列出了 Zoho 域名及其对应的托管位置。
| Zoho 域名注册 | 数据中心位置 |
| https://sdpondemand.manageengine.com | US（美国） |
| https://servicedeskplus.uk | UK（英国） |
| https://sdpondemand.manageengine.eu | EU（欧盟） |
| https://sdpondemand.manageengine.in | IN（印度） |
| https://servicedeskplus.net.au | AU（澳大利亚） |
| https://servicedeskplus.cn | CN（中国） |
| https://servicedeskplus.jp | JP（日本） |
要查找您的数据中心，请导航至Profile > My account，然后点击个人资料图标。
更正权
GDPR 第 16 条：更正权。
管理员可以编辑除注册电子邮件地址之外的所有信息，注册电子邮件地址是每个联系人的唯一标识符。
数据加密
GDPR 第 32 条：特定于客户的数据在静态存储时会被加密。
一旦用户登录 ServiceDesk Plus Cloud，敏感数据便可防止未经授权的访问、披露或修改。我们通过采用多种加密协议和安全方法来实现这一点。您的数据在传输过程中和静态存储时都会被加密。服务器始终以加密格式存储加密密钥和用户数据。管理员还可以根据相关性选择加密自定义字段。您创建或附加的文件保存在分布式文件系统 (DFS) 中，并默认进行加密。
访问权
GDPR 第 15 条：访问权。
技术人员和客户对个人客户信息（如姓名、电子邮件地址和工单）拥有各自级别的访问权限，并且可以对数据执行多种操作。管理员可以从application 中以 CSV 或 XLSX 格式导出组织和终端用户数据。
参考：
删除权
GDPR 第 17 条：用户可完全控制他们在我们的生态系统中上传、修改和删除的内容。
当数据不再相关时，用户可以删除 ServiceDesk Plus Cloud 中所有已创建、上传和编辑的数据。
当用户/管理员删除记录时，会根据记录类型立即删除或移至回收站。例如，删除自定义字段会被永久移除，而删除其他字段则会移至回收站。进入回收站后，将在 30 天后删除。
数据可携权
管理员可以导出 ServiceDesk Plus 各个模块的服务数据。
参考：https://help.sdpondemand.com/export-data
审计日志
系统日志可让您访问在application中执行活动的更多历史信息。有关在application中执行的关键活动的所有信息都会被记录。日志可以查看并导出为 CSV 和 XLS 文件。
参考：https://help.sdpondemand.com/view-system-log
保留策略
当用户删除组织中的个人数据时，该数据会立即删除，或根据其类型移至回收站。例如，已删除的附加字段可以被即时移除，而已删除的请求会先移至回收站。在回收站中，它会在 30 天后删除；如果用户手动移除，则会立即删除。
只要您选择继续使用 ServiceDesk Plus Cloud，数据就会保留在您的帐户中。一旦您终止 ServiceDesk Plus Cloud 帐户，您的数据将在下一次清理时从活动数据库中删除，而该清理每六个月进行一次。从活动数据库中删除的数据将在三个月后从备份中删除。
数据安全
- 用户和管理员可以决定谁可以访问数据，以及访问多长时间
- 访问权限可随时撤销。对个人数据的访问基于用户角色提供
- ServiceDesk Plus Cloud 移动应用和桌面应用在卸载后不会留下任何孤立文件
- 数据保护符合 ISO 27001 和 SOC 2 Type 2 的行业标准
更多功能：
ServiceDesk Plus 已为 GDPR 做好准备，为您提供更安全的服务台体验。
(a) 模板中的 PII 字段：
在向模板添加附加字段时，可将某个数据字段标记为 PII，从而轻松将 PII 与其他数据区分开来。
(b) 满足用户的被遗忘权：
GDPR 赋予个人多项权利，包括被遗忘权。这意味着用户可以要求组织删除其所有数据，或者在删除用户信息与业务流程冲突或违反其他法规时，将数据匿名化。现在，您可以在 ServiceDesk Plus 中将用户姓名匿名化，并彻底删除其其他 PII，以尊重其在 GDPR 下的被遗忘权。
(C) 匿名化并删除 PII/ePHI：
当用户离开组织时，“手机号码”和“电话号码”字段中的用户数据将默认被删除。application中所有 PII/ePHI 字段都已明确标记，可进行匿名化或删除。
(D) 敏感数据的静态加密：
保护敏感数据是GDPR 的关键方面之一。为此，ServiceDesk Plus 现在允许您对从请求附加字段中收集和存储的敏感信息进行加密。单行、多行和下拉列表字段都可以加密。
(E) 备份数据的密码保护：
ServiceDesk Plus 的备份文件受密码保护，以防有人尝试打开或恢复它。
(F) 匿名化已删除的用户：
已从application中删除的用户，可在“已删除用户”视图中将其信息匿名化。
(G) 查看 PII/ePHI 日志：
PII/ePHI 日志可作为application中围绕 PII/ePHI 字段的所有活动的历史记录。此页面上的每条日志都包含 PII/ePHI 字段所属的模块、子模块、执行的操作以及发生的确切时间等信息。管理员可以将日志文件导出为 CSV 和 XLS 文件格式。
(H) 文件保护密码：
通过将从 ServiceDesk Plus Cloud 导出的数据嵌入受密码保护的 zip 文件中，为其提供安全访问。受密码保护的文件可帮助您根据现行隐私法规保护用户的个人数据。
密码保护适用于从系统导出的以下数据：
- 在设置 > 数据管理 > 数据导出下导出的各个模块数据。
- 通过电子邮件导出或计划发送的报表。
SDAdmin 可以配置一个供所有用户和非用户使用的通用密码，技术人员也可以配置其各自登录专用的密码。