den här guiden ger universitetets köpare vägledning om hur man identifierar personligt identifierbar information (PII) vid förhandlingar om tjänsteavtal eller utfärdande av inköpsorder för arbete som ska utföras av externa leverantörer., Om leverantören kommer att hantera, bearbeta eller ha möjlighet att komma åt PII, måste köpare vidta följande steg:
- minimera leverantörens användning, insamling och lagring av PII till vad som är absolut nödvändigt för att uppnå sitt affärssyfte och verksamhetsområde–överväga möjligheten att identifiera eller anonymisera informationen.
- kräva att leverantören får ytterligare informationssäkerhet / Cyber ansvarsförsäkring i de belopp som rekommenderas av riskhantering.,
- kräva att leverantören utför ett tillägg till personuppgiftsskydd (utöver det tillämpliga tjänsteavtalet eller inköpsordern).
Vad är personligt identifierbar Information (PII)?,
personligt identifierbar Information (PII) inkluderar:
”(1) all information som kan användas för att skilja eller spåra en persons identitet, såsom namn, personnummer, födelsedatum och födelseort, moderns flicknamn eller biometriska register; och (2) all annan information som är länkad eller länkad till en individ, såsom medicinsk, pedagogisk, finansiell och anställningsinformation.,al telefonnummer
biometriska data: retina-skanningar, röstsignaturer eller ansiktsgeometri
information som identifierar personligt ägd egendom: VIN-nummer eller titelnummer
följande exempel på egen hand utgör inte PII eftersom mer än en person kan dela dessa egenskaper., När det är länkat eller länkat till ett av ovanstående exempel kan dock följande användas för att identifiera en viss person:
- födelsedatum
- födelseort
- företagsnummer
- företagsutskick eller e-postadress
- Race
- Religion
- Geografiska indikatorer
- anställningsinformation
- Medicinsk information2
- utbildningsinformation3
- finansiell information
när skulle en leverantör ha tillgång till PII?,
exempel på tjänster eller arbete som involverar leverantörens tillgång till PII inkluderar:
- en entreprenör är anställd för att utveckla programvara för att hjälpa institutionella framsteg i insamlingsverksamhet. Det finns potential för entreprenören att ha tillgång till alumner/givares PII, såsom namn, hemadresser, personliga telefonnummer och finansiell kontoinformation.
- en licens erhålls för ett molnbaserat undersökningsverktyg som ska användas av universitetsforskare., Beroende på undersökningens art kan Licensgivaren för den molnbaserade tjänsten ha tillgång till eller värd för PII, t.ex. namn på enkätdeltagarna, e-postadresser, demografiska data (t. ex. ålder, inkomstnivå, medicinsk information eller utbildningsbakgrund).
- en entreprenör anlitas för att utveckla eller uppgradera fysiska åtkomstkontrollsystem (t.ex. kort svep inmatningsläsare). Det finns potential för entreprenören att ha tillgång till alla PII samlas via kortet svep såsom namn, personnummer och universitet ID-nummer.,
resurser och ytterligare frågor
om du har några frågor om den här guiden, kontakta University of Pittsburgh ’ s Office of University Counsel:http://ouc.pitt.edu/
ytterligare resurser: