通用数据保护条例（GDPR） 是一项旨在保护欧盟居民个人数据隐私的法规，于2018年5月25日全面生效。为此，GDPR 明确定义了个人数据的范围，即任何可以单独或与其他数据结合用来识别个人的数据。如果组织收集欧盟居民的个人数据，无论其所在地，都必须遵守GDPR。
在此背景下，IT服务台也属于GDPR的监管范围，因为它们收集、存储和处理个人数据。IT服务台经常处理的一些个人数据包括：
- 客户和员工的姓名、住址、电话号码和电子邮件地址。
- 员工信息，包括当前职位、部门和工作经历。
- 包含用户姓名、职称、座位位置等信息的 事件、服务请求、问题 和 变更记录。
- 关于发放给员工设备的可识别信息，如手机的IMEI号码。
向客户或员工提供的技术支持详情。例如，残障员工使用的辅助技术（如屏幕阅读器、语音转文本技术）信息。
这是 ServiceDesk Plus 与GDPR相关功能的快速导览。
虽然GDPR是欧盟的立法，但 ServiceDesk Plus 致力于为全球所有用户提供数据隐私权保护。以下是我们的实现方式：
个人数据处理的安全性
通过双因素认证、基于角色的访问控制和活动日志，我们确保用户符合必要的安全标准。
业务模型
简而言之：
- 我们不拥有您的数据。您拥有。
- 我们绝不会使用您的数据进行广告宣传。
我们已为 ServiceDesk Plus 推出GDPR功能，助您顺利实现GDPR合规。
数据托管（地域）
我们的服务器位于美国、英国、欧盟、中国、印度、澳大利亚和日本最安全的数据中心。托管您的服务数据的区域取决于管理员注册 ServiceDesk Plus 云账户时所使用的 Zoho 域名。
下表列出了 Zoho 域名及相应的托管地点。
| Zoho 域名注册 | 数据中心位置 |
| https://sdpondemand.manageengine.com | 美国（United States） |
| https://servicedeskplus.uk | 英国（United Kingdom） |
| https://sdpondemand.manageengine.eu | 欧盟（European Union） |
| https://sdpondemand.manageengine.in | 印度（India） |
| https://servicedeskplus.net.au | 澳大利亚（Australia） |
| https://servicedeskplus.cn | CN（中国） |
| https://servicedeskplus.jp | JP（日本） |
要查找您的数据中心，请导航至 Profile > My account，并点击个人资料图标。
更正权
GDPR 第16条：更正权。
管理员可以编辑除注册电子邮件地址外的所有信息，注册电子邮件地址是每个联系人的唯一标识符。
数据加密
GDPR 第32条：客户端特定数据在静止状态下加密。
用户登录 ServiceDesk Plus Cloud 后，敏感数据受到防止未经授权访问、披露或修改的保护。我们通过采用多种加密协议和安全方法来确保这一点。您的数据在传输和静止时均被加密。服务器始终以加密格式存储加密密钥和用户数据。管理员还可以根据相关性选择加密自定义字段。您创建或附加的文件保存在分布式文件系统（DFS）中，默认加密。
访问权
GDPR 第15条：访问权。
代理和客户对个人客户信息（如姓名、电子邮件地址和工单）拥有各自的访问权限级别，并可以对数据执行多种操作。管理员可以从应用程序中导出组织和最终用户数据，格式为 CSV 或 XLSX。
参考：
删除权
GDPR 第17条：用户完全控制他们上传、修改和删除的生态系统内的数据。
当数据不再相关时，用户可以删除 ServiceDesk Plus Cloud 中所有创建、上传和编辑的数据。
当用户/管理员删除记录时，根据记录类型，该记录要么立即删除，要么移至回收站。例如，删除自定义字段会永久删除该字段，而删除其他字段则会将其移至回收站。回收站中的数据将在30天后被删除。
数据可携带性
管理员可以导出 ServiceDesk Plus 每个模块的服务数据。
参考：https://help.sdpondemand.com/export-data
审计日志
系统日志是您访问应用程序中历史活动信息的地方。所有关键活动信息均被记录。日志可以查看并导出为 CSV 和 XLS 文件。
参考：https://help.sdpondemand.com/view-system-log
保留政策
当用户删除组织中的个人数据时，根据数据类型，该数据会立即删除或移至回收站。例如，删除的附加字段可以立即删除，而删除的请求首先会被移至回收站。回收站中的数据将在30天后删除，或在用户手动删除时立即删除。
数据将在您选择使用 ServiceDesk Plus Cloud 的期间保留在您的账户中。一旦您终止 ServiceDesk Plus Cloud 账户，您的数据将在每六个月进行一次的下一次清理过程中从活动数据库中删除。活动数据库中删除的数据将在三个月后从备份中删除。
数据安全
- 用户和管理员可以决定谁可以访问数据以及访问时长。
- 访问权限可以随时撤销。个人数据的访问基于用户角色提供。
- ServiceDesk Plus Cloud 移动和桌面应用卸载后不会留下任何孤立文件。
- 数据保护符合 ISO 27001 和 SOC 2 Type 2 的行业标准。
更多功能：
ServiceDesk Plus 已准备好符合 GDPR，为您提供更安全的服务台体验。
（a）模板中的 PII 字段：
在向模板添加附加字段时，将数据字段标记为 PII，以便您轻松区分 PII 与其他数据。
（b）满足用户被遗忘权：
GDPR赋予个人多项权利，包括被遗忘权。这意味着用户可以要求组织删除其所有数据，或者如果删除用户信息与业务流程冲突或违反其他法规，则对数据进行匿名化。现在，您可以在ServiceDesk Plus中匿名化用户姓名，并完全删除其其他PII，以尊重他们在GDPR下的被遗忘权。
(C) 匿名化并删除PII/ePHI：
当用户离开组织时，Mobile Number和Phone Number字段中的用户数据将默认被删除。应用程序中所有明确标记的PII/ePHI字段都可以被匿名化或删除。
(D) 静态加密敏感数据：
保护敏感数据是GDPR的关键方面之一。基于此，ServiceDesk Plus现在允许您加密从Request Additional Fields收集和存储的敏感信息。单行、多行和选择列表字段均可加密。
(E) 备份数据密码保护：
ServiceDesk Plus的备份文件受密码保护，以防有人尝试打开或恢复它。
(F) 匿名化已删除用户：
可以从Deleted Users视图中匿名化已从应用程序中删除的用户信息。
(G) 查看PII/ePHI日志：
PII/ePHI日志作为应用程序中所有PII/ePHI字段相关活动的历史记录。此页面上的每条日志包含PII/ePHI字段的模块、子模块、操作及其发生时间。管理员可以导出CSV和XLS格式的日志文件。
(H) 文件保护密码：
通过将从ServiceDesk Plus Cloud导出的数据嵌入受密码保护的压缩文件中，提供对数据的安全访问。密码保护文件有助于您根据现行隐私法规保护用户的个人数据。
密码保护适用于系统导出的以下数据：
- 在Setup > Data Administration > Data Export下导出的各个模块数据。
- 导出或通过电子邮件计划发送的报告。
SDAdmin可以配置所有用户和非用户通用的密码，技术人员也可以配置自己的登录专用密码。