响应 Power Apps 客户数据的数据使用者权限 (DSR) 请求 - Power Platform

DSR 请求简介

欧盟 (EU) 一般数据保护条例 (GDPR) 赋予用户（在该条例中称为 数据使用者 ）管理由雇主或其他类型的机构或组织（称为 数据控制方 或只是 控制方 ）收集的个人数据的权利。根据 GDPR，个人数据的定义非常广泛，即与已识别或可识别的自然人有关的任何数据。 GDPR 赋予数据使用者与其个人数据有关的以下权利：

以电子格式接收，因此可以将其移动到另一个控制方

数据主体向控制者发出的在其个人数据上执行操作的正式请求称为数据主体权限 (DSR) 请求。

本文介绍 Microsoft 如何为 GDPR 做准备，并提供使用 Power Apps、Power Automate 和 Microsoft Dataverse 时可以采取的支持 GDPR 合规性的步骤示例。您将了解如何使用 Microsoft 产品、服务和管理工具来帮助控制方客户在响应 DSR 请求时在 Microsoft 云中查找、访问个人数据并对其执行操作。

本文介绍了以下操作：

发现 — 使用搜索和发现工具来更轻松地查找可能是 DSR 请求主题的客户数据。收集潜在的响应文档后，您可以执行以下一项或多项 DSR 操作来响应请求。或者，您可以确定该请求不符合您的组织的 DSR 请求响应准则。

访问 — 检索位于 Microsoft 云中的个人数据，如果有请求，将数据副本提供给数据使用者。

修订 — 如果需要，对个人数据进行更改或执行其他请求的操作。

限制 — 通过删除各个联机服务的许可证或在可能的情况下关闭所需服务，来限制个人数据的处理。您还可以从 Microsoft 云中删除数据，并将其保留在本地或其他位置。

删除 — 永久删除保留在 Microsoft 云中的个人数据。

导出 — 将个人数据的电子副本（以机器可读格式）提供给数据使用者。

响应 DSR 请求的第一步是查找请求的使用者这项个人数据。这个第一步是查找和检索有问题的个人数据，可帮助您确定 DSR 是否满足组织对处理或拒绝 DSR 请求的要求。例如，找到并检查有问题的个人数据之后，可以确定请求不满足组织的要求，因为这样做可能会对其他人的权利和自由造成负面影响。

步骤 1：在 Power Apps 中查找用户的个人数据

下面是包含特定用户的个人数据的 Power Apps 资源类型的摘要。

包含个人数据的资源

网站访问 ： Power Apps 站点和 Microsoft 365 服务信任门户

PowerShell 访问 ：（适用于应用创建者和管理员的）Power Apps cmdlet，以及本地网关 cmdlet

有关如何使用这些体验查找这些类型的资源中每一种的特定用户的个人数据的步骤，请参阅响应有关导出 Power Apps 客户数据的数据使用者权限 (DSR) 请求。

找到数据后，可执行特定操作以满足数据使用者的请求。

步骤 2：在 Power Automate 中查找用户的个人数据

Power Apps 许可证中始终包含 Power Automate 功能。 Power Automate 除了包含在 Power Apps 许可证中，还以独立服务的形式提供。

有关如何发现 Power Automate 服务存储的个人数据的指导，请参阅响应 Power Automate 的 GDPR 数据使用者请求。

建议由管理员为 Power Apps 用户完成此步骤

步骤 3：在 Dataverse 环境中查找用户的个人数据

某些 Power Apps 许可证（包括 Power Apps 开发人员计划）让组织内的用户能够创建 Dataverse 环境以及在 Dataverse 上创建和构建应用。 Power Apps 开发人员计划是一个免费许可证，用户可在个人环境中试用 Dataverse。有关每个 Power Apps 许可证中包含哪些功能的信息，请参阅 Power Apps 定价页。

有关如何发现 Dataverse 服务存储的个人数据的指导，请参阅响应 Dataverse 中客户数据的数据使用者权限 (DSR) 请求。

建议由管理员为 Power Apps 用户完成此步骤。

如果数据使用者请您修订在您组织的数据中保留的个人数据，您和您的组织必须确定是否应处理该请求。修订数据可能包括编辑、编校或从文档或其他类型的项目中删除个人数据。

您可以使用 Azure Active Directory 在 Power Apps 中管理用户的身份（个人数据）。企业客户可以使用指定的 Microsoft 服务中的有限编辑功能来管理 DSR 修订请求。作为数据处理方，Microsoft 不提供更正系统生成的日志这项功能，因为这些日志体现的是真实活动，并构成了 Microsoft 服务内事件的历史记录。请参阅 GDPR：数据使用者请求 (DSR) 以了解详细信息。

数据使用者可能请您限制对其个人数据的处理。我们同时提供预置应用程序编程接口 (API) 和用户接口 (UI)。这些体验为企业客户的 Power Platform 管理员提供了通过数据导出和数据删除组合来管理此类 DSR 的能力。客户可以请求：

导出用户个人数据的电子副本，包括：

系统生成的日志

关联的日志

删除帐户和 Microsoft 系统内的关联数据。

“数据可移植性权限”让数据主体可请求其个人数据的电子格式（即“结构化，常用，机器可识别的可互操作格式”）副本，该副本可传输到其他数据控制方。

有关详细信息，请参阅响应有关导出 Power Apps 客户数据的数据使用者权限 (DSR) 请求。

从组织的客户数据中删除个人数据的“删除权”是 GDPR 中的一项关键保护措施。删除个人数据包括系统生成的日志，但不包括审核日志信息。

用户可使用 Power Apps 创建业务线应用程序，后者是企业日常运营的关键组成部分。用户从组织离职时，您需要手动检查和确定是否要删除其创建的特定数据和资源。只要从 Azure Active Directory 删除了该用户的帐户，都将自动删除其他客户数据。

有关详细信息，请参阅响应有关删除 Power Apps 客户数据的数据使用者权限 (DSR) 请求。