Ajánlat Tervezet Tanácsadói szolgáltatások a(z) XYZ Szálloda számára GDPR felkészüléséhez 2018. április
Tartalomjegyzék Vezetői összefoglaló 3 Munkánk tárgya 3 Háttér 3 GDPR és vonatkozó szabályok definíciója 3 Megközelítésünk 3 Adatfelmérés 4 Adatvédelmi IT vizsgálat és folyamatok GAP elemzése 4 További lehetőségek (opcionális) 5 Csomagok 6 Eredmények 6 Ütemezés 6 Tanácsadói díj 7 Feltételezések 7 Mellékletek 8 Ajánlat tervezet 2
I. Vezetői összefoglaló Köszönjük megtisztelő ajánlattételi felhívásukat a GDPR megfelelésre történő felkészüléshez szükséges tanácsadó szolgáltatások nyújtására vonatkozóan. A PwC kiemelt figyelmet fordít arra, hogy ügyfeleinek a mindenkor hatályos jogszabályi környezetnek is megfelelő magas szintű szolgáltatásokat nyújtson. Mind módszertanunk, mind csapatunk bizonyított már a GDPR területén. Egyedülállóan integrált csapatunkkal jelenleg is több GDPR projektet végzünk, vagy végeztünk a közelmúltban, a rövid IT felméréstől a komplexebb akciótervezéssel is járó IT/jogi projekten át a nemzetközi leányvállalatokat is tartalmazó, projekt menedzsmenttel támogatott komplex jogi és IT felméréssel és tanácsadással járó projektig. Referenciáink tükrözik az eddigi adatvédelem terén végzett munkáinkat, amelyek során a módszertanunkat tovább finomítottuk, és megtalálhatóak az ajánlatunk II. számú mellékletében. A Magyar Szállodák és Éttermek Szövetségével folytatott egyeztetések, és a szállodák egyedi érdeklődései alapján módszertanunkból releváns kivonatot készítettünk azzal a céllal, hogy hatékonyan segítsük a kisebb szállodák felkészülését is, ahol az adatkezelés és az abban érintett rendszerek és folyamatok bonyolultsága is módszertani egyszerűsítésre ad lehetőséget. Így az igazán kritikus területekre fókuszálva vizsgáljuk meg a szállodák adatkezelési gyakrolatát és folyamatait. II. Munkánk tárgya A. Háttér A szállodák egyedi megkeresése alapján olyan megoldásra van szükség, ami hatékonyan jelöli ki számukra a megfelelés lépéseit. Mivel a szabályozási oldal várhatóan központilag, ajánlás, mintaszabályzat formájában vagy hasonló módon lesz kezelve a Magyar Szállodák és Éttermek Szövetségén keresztül, így a folyamatok és a kiszolgáló infrastruktúra mellett az adatok felmérésére fókuszálunk. Így jelen ajánlatunk jogi oldalt nem tartalmazza, de annak aspektusával kiegészíthető, amennyiben mégis szükséges. B. GDPR és vonatkozó szabályok definíciója Ajánlatunk metodológiai mellékletének 1.1-es fejezete részletesen kifejti, hogy pontosan mely szabályokat tekintjük a GDPR megfelelés alapjának. III. Megközelítésünk A PwC rendelkezik általános módszertannal a GDPR megfelelési projektek kapcsán, melyet mellékelünk ajánlatunkhoz. A feladatok leírásakor is építünk ezen módszertanra ( Módszertani melléklet ). A külön kiemelt és megnevezett részeken túli tevékenységeket is szívesen végezzük óradíjas vagy előre egyeztetett fix díjas konstrukcióban, jelen ajánlatunk azonban ezeket nem tartalmazza. A GDPR megfeleléshez vezető módszertanunkat a Társaság igényeire szabtuk előzetes információink alapján. Így kiemeltük azokat a feladatokat, melyeket a Társaság megfelelési projektje során tervezzük elvégezni: 1. Adatfelmérés 2. Adatvédelmi IT vizsgálat és folyamatok GAP elemzése További releváns lehetőségeket a 3. fejezetben soroltunk fel. Ajánlat tervezet 3
1. Adatfelmérés A felmérést különböző módszerekkel tudjuk végezni (részletek a Módszertan 1.3-as fejezetében találhatóak), de jelen esetben a workshopokkal támogatott megoldást javasoljuk. Ennek során Az érintettekkel (várhatóan szálloda vezetése, üzemeltetése) interjúkon / workshopokon egyeztetjük az adatkezelési eseteket. Ennek elején a koncepciókat és a fogalmakat, a kitöltés lényegi kérdéseit egyeztetjük. Az interjúk alapján kitöltött nyilvántartásokat validálásra és adott esetben pontosításra kiküldjük a vezetőknek. A válaszok alapján véglegesítjük a kitöltött kérdőíveket, adattartalmukat. A felmérés kiemelt célja a rendszerek és folyamatok által kezelt adatok azonosítása adatkezelési folyamatonként. Az eredmény jó kiinduló alapja lesz az adatkezelési nyilvántartásnak, az abban szükségesen kezelt információk a részét képezik (azonban a projekt során elkészített adat nyilvántartás nem feltétlenül elegendő a hatóság fele adandó adatkezelési nyilvántartás céljaira). Továbbá kitérünk olyan attribútumokra is, mely a felkészülés és a GAP elemzés céljából is elengedhetetlenek (pl az adatok tárolási helye, adatgazda, stb.). Így a feladat során a melléklet 2.1 és 2.2 fejezete szerint járunk el, azonosítjuk az adatkezelési célokat és elkészítjük az adat-jegyzéket. (Teljes adatvagyon leltár készítése nem célunk.) 2. Adatvédelmi IT vizsgálat és folyamatok GAP elemzése Módszerünk a GDPR elvárásokból indul ki. Ennek részleteit a módszertani mellékletünk 3. fejezete és annak 3.1 és 3.2 alfejezetei írják le (ajánlatunk nem tartalmazza a kontrollok részletes működésének vizsgálatát [melléklet 3.3-as fejezete], azt opcionálisan tudjuk vállalni). Ezekből IT vizsgálataink alatt az IT releváns és folyamati pontokat elemezzük tervezettségi szinten, azaz összefoglalva: belső adatvédelmi tárgyú szabályzatok vizsgálata kockázatelemzési módszertan jogosultságkezelési folyamatok vizsgálata adattárolás és továbbítás folyamatai adattörlések lehetősége és folyamata adatkinyerési lehetőségek incidenskezelési folyamat megfelelősége A fenti szempontokat kiegészítjük alapvető IT biztonsági szempontokkal is, hogy alátámasszuk a rendszerek konzisztens működését. Mindehhez előre kidolgozott vizsgálati pontokat alkalmazunk, melyet az ISO 27001 kontrolljai alapján választottunk ki. Vizsgálatunkat interjús alapon végezzük, kitöltve a sablonunkat. Adott esetben elkérjük a vonatkozó IT szabályzatokat és kiszervezési szerződéseket, hogy az interjún elhangzottakat pontosítsák, vagy alátámasszák. A GAP elemzés eredménye egy összefoglaló dokumentum a talált hiányosságokról és magas szintű javaslat azok kiküszöbölésére. Ajánlat tervezet 4
3. További lehetőségek (opcionális) Természetesen szívesen támogatjuk a GDPR megfelelést az eddigieken túl is. A lehetőségekről részletesen a módszertani mellékletünk ad információt, de néhányat ebből kiemelnénk. Ajánlatunk ezeket nem tartalmazza, opcionálisan, óradíjas alapon tudjuk ajánlani. Természetesen ahogy a projekt előre halad, és több információ áll rendelkezésre, konkrét feladatokra előre tudunk pontosabb, akár fix áras ajánlatot is adni. Akciótervezés IT GAP-ekre Az IT GAP elemzés eredményeképpen előállt hiányosságokra vonatkozó javaslatokat tovább részletezve összefoglaljuk a talált hiányosságokat és azok javítására javaslatokat teszünk. A megfelelő döntések meghozatalának támogatására az akciókat magas szinten elemezzük, hogy a priorizálást támogassuk. A részleteket a módszertani mellékletünk 4. fejezete tartalmazza. Módszertanunk több szempontú elemzést tartalmaz, általában azonban a megvalósítási idő és a fedett GAP súlyossága elegendő a döntések és sorrendezés meghatározásához. Jogi támogatás A jogi hatáselemzésünk során támaszkodunk a melléklet 2. és 2.1 pontjában foglalt módszertani megközelítésre. Célunk, hogy a jogi dokumentumok alapján azonosítsuk az azokban található eltéréseket a GDPR elvárásaihoz képest, és erre javító intézkedéseket határozzunk meg Jogértelmezési feladatok ellátása A GDPR lényeges változásaira tekintettel több jogi kérdés kapcsán lehet szükség további jogi támogatásra, elsősorban jogértelmezési kérdések tisztázására. Bizonyos új jogintézmények kapcsán a dokumentumalapú értékelés nem elégséges a jogi kérdés teljeskörű feltérképezésére. Ezen jogértelmezési feladatokban igény esetén támogatást nyújtunk a Társaság részére. További jogi dokumentumok vizsgálata A vállalkozói szerződések, nyilatkozatok vagy tájékoztatók jogi vizsgálatát is el tudjuk végezni. Mintadokumentáció kialakítása (megvalósítási fázis) Az új szabályozásra tekintettel szükséges lesz a Társaság adatvédelmi dokumentációjának megfelelő módosítása vagy adott esetben nagyobb terjedelmű átdolgozása. A jogi támogatás keretében vállaljuk ezen mintadokumentumok vagy szövegszerű javaslatok elkészítését. Megvalósítási opciók elemzése A megvalósítás során sokszor felmerül technikai vagy folyamati megoldások tekintetében az alternatívák lehetősége. Ezek közötti döntésben tudunk támogatást adni, elemezve a lehetőségeket megvalósíthatóság és hatás szempontjából is. Ide tartozik a szolgáltatótól vagy az alvállalkozóktól elvárható szolgáltatási szintek vagy minőségi kritériumok vizsgálata is. Oktatások A megfelelés elengedhetetlen része a munkavállalók és alvállalkozók oktatása mind a rendelettel és a változó szabályzatokkal kapcsolatban, mind általános információbiztonsági tudatosság terén. Ajánlat tervezet 5
IV. Csomagok A működés és az adatkezelések bonyolultsága alapján két csomagot ajánlunk a fenti vizsgálatok elvégzésére: Szempont A opció B opció Adatkezelések száma max 5 max 10 Adatfelmérési interjúk száma 2-3 4-5 IT rendszerek néhány, egységesen kezelt,vagy kiszervezett 4-5 rendszer, esetleg egyedi megoldás is IT és GAP elemzés interjúk 2-3 4-5 Adatvédelmi dokumentumok (IT biztonsági politika, stb) 2-3 4-5 Tipikus szálloda Vendég-nyilvántartás és alap szolgáltatások mellett más adatkezelés nincs Limitált adatkezelés, de lehet pl wellness részleg, egészségügyi szolgáltatás, törzskártya program, kiegészítő szolgáltatások (pl bérlések) Mindkét opció egyedi szállodákra vonatkozik, csoportra vagy bonyolutlabb adatkezeléseket megvalósító szállodákra (például partnerprogram, stb) nem, mivel ott a felmérések és a megfelelési követelmények is komplexebbek. V. Eredmények A vizsgálataink eredménye két dokumentum: adatkezelési lista táblázat, melyben a szálloda által végzett adatkezelési folyamatok és az azok által kezelt adatkörök felmérése szerepel. IT és folyamati ellenőrzés eredménye, mely bemutatja a vizsgálat során talált hiányosságokat és az azokra adott magas szintű javaslatokat. Ilyen lehet a jogosultágkezelés hiánya, vagy az adatok túlzott rögzítésének megállapítása is. A GAP elemzés eredménye szöveges dokumentum összefoglaló mellett a hiányosságok táblázatos mellékletét is tartalmazza. VI. Ütemezés Ütemezésünkben hatékony együttműködésre törekszünk, ezért a projektet egy kezdeti kickoff megbeszélés után rövid idő alatt tervezzük elvégezni. Az adatkezelési nyilvántartás kezdeti feltöltésére, az IT vizsgálatokra és GAP elemzésre intenzív és folyamatos helyszíni jelenlétet tervezünk. A működés és az adatkezelések bonyolultsága alapján a csomagokra ez a következőt jelenti: A opció: 3 egymást követő nap a helyszínen, jelentés véglegesítése véleményezés után 1 nappal B opció: 4-5 egymást követő nap a helyszínen (praktikusan egy munkahét), jelentés véglegesítése véleményezés után 1 nappal A helyszíni vizsgálatok során kiemelten fontos a megfelelő kollégák elérhetősége az interjúkra, illetve az adatok rendelkezésre állása (pl. szabályzatok), hogy a szoros ütemezés tartható legyen. Budapesten kívüli helyszín esetén szükség lehet szállás biztosítására a kollégánk számára. Ajánlat tervezet 6
VII. Tanácsadói díj A projekt alap díja az egyes opciókra a következő:. A opció: nettó 650 000 Ft B opció: nettó 990 000 Ft További kapcsolódó szolgáltatásokat (beleértve a jogi támogatást, a melléklet alapján definiált extra feladatokat, vagy feltételezéseken és terjedelmen túlmutató feladatokat, illetve a megvalósítás támogatását is) óradíjas kiegészítésként tudunk ajánlani. Ehhez az alábbi kedvezményes díjakat határoztuk meg: IT szakértői támogatás: 26 000 HUF / óra Jogi szakértői támogatás: 39 000 HUF / óra Árajánlatunkat az általunk értelmezett igények és az azokra javasolt megközelítési módszerünk figyelembe vételével, valamint azzal a feltételezéssel alakítottuk ki, hogy a Társaság kollégáink számára szükség esetén díjmentesen szállást tud biztosítani. Áraink tükrözik a feladatok elvégzésébe bevont szakértőink képzettségével arányos óradíjakat, de nem tartalmazzák az ÁFÁ-t és a dologi költségeket (Budapesten kívüli utazás, szállás), melyeket felmerülésük alapján számlázunk. VIII. Feltételezések A sikeres GDPR felkészüléshez szükségünk van az Társaság aktív közreműködésére. Módszertanunk és az elvégzendő feladataink becslése alapvetően a következő általános feltételezéseken alapul: a. A társaság kijelöli a kapcsolattartót ( Kapcsolattartó ) és helyettesét, akik felelősek a megfelelő kommunikáció és információnyújtás biztosításáért és koordinálásáért; b. Az általunk írásban megküldendő anyagoknak a Kapcsolattartó részére történt átadásával/megküldésével, illetve elfogadásával erre vonatkozó szerződéses kötelezettségünket teljesítjük. Az anyagokra vonatkozó észrevételeket, módosítási igényeket egy alkalommal építjük be az anyagokba; c. A Kapcsolattartó biztosítja, hogy az adott alkalmazottak jogosultak arra, hogy olyan információt nyújtsanak részünkre, amelyet nem kell további személynek jóváhagynia; d. Írásban megküldött anyagainkra a Társaság érintett tagja két munkanapon belül írásban megteszi az észrevételeit; és e. A Társaság partnerei és harmadik felek (szolgáltatók) által meghatározott adatvédelmi, adatbiztonsági követelményeket, továbbá a kiszervezett tevékenységek megfelelőségét (tipikusan például külső online foglalási felület) nem vizsgáljuk; f. Általunk elkészítendő anyagokat magyar nyelven készítjük el a Társaság részére; g. A PwC nem végez vezetői feladatokat, munkája során javaslatokat tesz, ezekről való döntés a Társaság Vezetőségének feladata. h. a Társaság megfelel a jelenleg kötelező adatvédelmi és adatbiztonsági előírásoknak, illetve azt külön nem vizsgáljuk; i. Az adatkezelési folyamatok (törlés, export, stb) egységesek, vagy hasonlóak, egyben vizsgálhatóak, továbbá ezek technológiai megvalósítás részleteit nem vizsgáljuk; j. Az alkalmazott megoldásokat tervezettségi szinten értékeljük, azok működési hatékonyságát nem vizsgáljuk; Ajánlat tervezet 7
Felhívjuk továbbá a figyelmet, hogy a PwC belső kockázatkezelési és függetlenségi ellenőrzése még folyamatban van. A jelen ajánlatban szereplő szolgáltatások nyújtásának lehetősége és tartalma függ ennek eredményétől is. IX. Mellékletek I. melléklet: PwC általános GDPR módszertan II. melléklet: Referenciák III. melléklet: Szakértőink önéletrajza Ajánlat tervezet 8