የውሂብ ሂደት ስምምነት

ፓርቲዎች

ይህ የውሂብ ሂደት ስምምነት ("DPA" ወይም "ስምምነት") የተፈረመው በሚከተሉት እና በሚከተሉት መካከል ነው፦

የውሂብ መቆጣጠሪያ ("ተቆጣጣሪ" ወይም "ደንበኛ")

የውሂብ ፕሮሰሰር ("ፕሮሰሰር" ወይም "Xygeni")፦

ተቆጣጣሪ እና ፕሮሰሰር ከዚህ በኋላ በተናጥል "ፓርቲ" እና በአጠቃላይ "ፓርቲዎች" ተብለው ይጠራሉ።

ይህ DPA በXygeni የቀረበውን የማመልከቻ ዋስትና እና ድንጋጌ በሚቆጣጠሩት ወገኖች መካከል የዋናው የአገልግሎት ስምምነት ወይም የአገልግሎት ውል ("ዋና ስምምነት") አካል ነው። software supply chain security አገልግሎቶች ("አገልግሎቶች")። በዚህ የDPA እና በዋናው ስምምነት መካከል ግጭት በሚፈጠርበት ጊዜ፣ ይህ የDPA አስተዳደር በውሂብ ጥበቃ ጉዳዮች ላይ የበላይነት ይኖረዋል።

1. ፍቺዎች

ለዚህ የዲፒኤ ዓላማ፡

• "ጂዲፒአር" ማለት የግል መረጃዎችን በማቀነባበር ረገድ የተፈጥሮ ሰዎችን ጥበቃ በተመለከተ የአውሮፓ ፓርላማ እና የኤፕሪል 27 ቀን 2016 ምክር ቤት ደንብ (EU) 2016/679 ማለት ነው።
• "LOPDGDD" Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales እና garantía de los derechos digitales ማለት ነው።
• “የግል ውሂብ”፣ “ማስኬጃ”፣ “ተቆጣጣሪ”፣ “ፕሮሰሰር”፣ “ንዑስ ፕሮሰሰር”፣ “የውሂብ ርዕሰ ጉዳይ”፣ “የሱፐርቪዥን ባለስልጣን”፣ “የግል ውሂብ ጥሰት” በGDPR ውስጥ ለእነሱ የተሰጡ ትርጉሞች ይኖሩታል።
• "የደንበኛ ውሂብ" ማለት በተቆጣጣሪው ወይም በአገልግሎቶቹ ስም ለአገልግሎቱ የቀረበ ወይም ከአገልግሎቶቹ ጋር በተያያዘ በተቆጣጣሪው ስም በአቀነባባሪው የሚከናወን ማንኛውም የግል መረጃ ማለት ነው።
• "ንዑስ ፕሮሰሰር" በተቆጣጣሪው ስም የደንበኛ ውሂብን ለማስኬድ (በአንቀጽ 7 ላይ እንደተገለጸው) በአቀነባባሪው የተሳተፈ ማንኛውም ሶስተኛ ወገን ማለት ነው።
• "SCCዎች" ማለት ነው Standard በአውሮፓ ኮሚሽን በፀደቀው መሠረት በ GDPR መሠረት የግል መረጃዎችን ወደ ሶስተኛ አገሮች ለማስተላለፍ የውል አንቀጾችcisሰኔ 4፣ 2021 ዓ.ም. ion (EU) 2021/914።
• “አገልግሎቶች” ማለት ነው application security posture management, software supply chain security, በዋናው ስምምነት መሠረት Xygeni ለተቆጣጣሪው የቀረቡ የተጋላጭነት ምርመራ እና ተዛማጅ አገልግሎቶች።
• "ተገቢ የውሂብ ጥበቃ ህግ" ማለት GDPR፣ LOPDGDD እና ከጊዜ ወደ ጊዜ የሚሻሻል ማንኛውም የሚመለከተው ብሔራዊ የውሂብ ጥበቃ ሕግ ማለት ነው።

2. የፓርቲዎቹ ሚና

ፓርቲዎቹ የሚከተለውን ተቀብለው ተስማምተዋል፡-

• ተቆጣጣሪው በደንበኛ ውሂብ ረገድ እንደ የውሂብ ተቆጣጣሪ ሆኖ የሚያገለግል ሲሆን ለአገልግሎቶቹ የቀረበ የደንበኛ ውሂብን የማስኬድ ዓላማዎችን እና መንገዶችን የመወሰን ኃላፊነት አለበት።
• ፕሮሰሰሩ የደንበኛ ውሂብን በተመለከተ እንደ የውሂብ አቀናባሪ ሆኖ ያገለግላል እና እንደዚህ አይነት መረጃዎችን በተቆጣጣሪው በተመዘገቡ መመሪያዎች ምትክ እና መሰረት ብቻ ያሂዳል።
• እያንዳንዱ ወገን እንደ ተቆጣጣሪ ወይም ፕሮሰሰር ሆኖ በሚጫወተው ሚና ውስጥ በሚመለከተው የውሂብ ጥበቃ ህግ መሰረት ያሉትን ግዴታዎች ማክበር አለበት።

Xygeni የግል መረጃዎችን ለራሱ ዓላማ (ለምሳሌ፣ የመለያ አስተዳደር፣ የክፍያ አከፋፈል፣ የአገልግሎት ማሻሻያ ትንታኔ) ሲያስኬድ፣ እንደ ገለልተኛ ተቆጣጣሪ ሆኖ ያገለግላል። እንዲህ ዓይነቱ ሂደት የሚተዳደረው በXygeni የግላዊነት መመሪያ ሲሆን ከዚህ DPA ወሰን ውጭ ነው።

3. ርዕሰ ጉዳይ፣ የሂደቱ ተፈጥሮ እና ዓላማ

የዚህ ጉዳይ፣ የሂደቱ ተፈጥሮ፣ የቆይታ ጊዜ እና ዓላማ፣ እንዲሁም የተከናወኑ የግል መረጃዎች ዓይነቶች እና የውሂብ ጉዳዮች ምድቦች በዚህ DPA ውስጥ በሰንጠረዥ 1 (የሂደት ዝርዝሮች) ውስጥ ተዘርዝረዋል።

አንጎለ ኮምፒውተር የደንበኛ መረጃን በዋናው ስምምነት ውስጥ የተገለጹትን አገልግሎቶች እና በተቆጣጣሪው በሰነድ መመሪያዎች መሠረት ለማቅረብ በሚያስፈልግ መጠን ብቻ ነው የሚሰራው፣ በሚመለከተው ሕግ መሠረት ማድረግ ካልተፈለገ በስተቀር። በዚህ ሁኔታ፣ አንጎለ ኮምፒውተር ለሕዝብ ጥቅም አስፈላጊ በሆኑ ምክንያቶች በሕግ ​​ካልተከለከለ በስተቀር፣ ከማስኬዱ በፊት ለተቆጣጣሪው ያንን የሕግ መስፈርት ማሳወቅ አለበት።

4. የተቆጣጣሪው መመሪያ

ተቆጣጣሪው የደንበኛ ውሂብን እንደ አስፈላጊነቱ እንዲያስኬድ ፕሮሰሰሩን ያዛል፤ (ሀ) አገልግሎቶቹን በዋናው ስምምነት መሠረት ማቅረብ፤ (ለ) ከጊዜ ወደ ጊዜ በጽሑፍ የተገለጹትን የተቆጣጣሪውን መመሪያዎች ማክበር፤ እና (ሐ) በዚህ DPA መሠረት የፕሮሰሰሩን ግዴታዎች መወጣት።

በአቀነባባሪው ምክንያታዊ አስተያየት፣ ከተቆጣጣሪው የተሰጠ መመሪያ የሚመለከተውን የውሂብ ጥበቃ ህግ የሚጥስ ከሆነ አቀነባባሪው ወዲያውኑ ለተቆጣጣሪው ማሳወቅ አለበት። እንዲህ ባለ ሁኔታ፣ ተቆጣጣሪው መመሪያውን እስኪያብራራ ወይም እስኪያሻሽል ድረስ አቀነባባሪው በእንደዚህ ዓይነት መመሪያ መሠረት ሂደቱን የማቆም መብት አለው።

ተቆጣጣሪው የሚከተሉትን ያረጋግጣል እና ይወክላል፡ (ሀ) ተገቢውን የግል መረጃ ለማስኬድ በGDPR አንቀፅ 6 (እና ተፈጻሚ በሚሆንበት ጊዜ አንቀፅ 9) መሠረት ትክክለኛ ህጋዊ መሠረት እንዳለው፤ (ለ) ሁሉንም አስፈላጊ ማስታወቂያዎች አቅርቦ ሁሉንም አስፈላጊ ፈቃዶች እንዳገኘ፤ እና (ሐ) የደንበኛ ውሂብን ወደ ፕሮሰሰር ማስተላለፍ ማንኛውንም የሚመለከታቸውን ህጎች እንደማይጥስ።

5. የፕሮሰሰር ግዴታዎች

5.1 የሂደት ገደቦች

አንጎለ ኮምፒውተር የደንበኛ መረጃን በተቆጣጣሪው በተመዘገቡ መመሪያዎች መሠረት ብቻ ማቀናበር አለበት፣ ይህም በሚመለከተው የአውሮፓ ህብረት ወይም የአባል ሀገር ህግ መሰረት እንዲሰራ ካልተጠየቀ በስተቀር። አንጎለ ኮምፒውተር የደንበኛ መረጃን ለራሱ ዓላማ ማስኬድ ወይም ለሶስተኛ ወገኖች መግለጽ የለበትም። አገልግሎቶቹን ለማቅረብ አስፈላጊ ከሆነ ወይም በሕግ በተደነገገው መሰረት ካልሆነ በስተቀር።

5.2 ሚስጥራዊነት

የደንበኛ መረጃን ለማስኬድ የተፈቀደላቸው ሰዎች መኖራቸውን ማረጋገጥ አለበት commitእራሳቸውን በሚስጥር ለመጠበቅ ወይም በተገቢው ህጋዊ ሚስጥራዊነት ግዴታ ስር ያሉ። የደንበኛ መረጃ መዳረሻ ለእነዚያ ሰራተኞች፣ ኮንትራክተሮች እና አገልግሎቱን ለማቅረብ ዓላማ መድረስ ለሚፈልጉ ንዑስ ፕሮሰሰሮች ብቻ የተገደበ ይሆናል።

5.3 የደህንነት እርምጃዎች

የደንበኛ መረጃን ከያልተፈቀደ ወይም ሕገ-ወጥ ሂደት እና ከአጋጣሚ መጥፋት፣ ጥፋት፣ ጉዳት፣ ለውጥ ወይም ይፋ ማድረግ ለመጠበቅ አሠሪው የሚከተሉትን ከግምት ውስጥ በማስገባት ተገቢ የሆኑ ቴክኒካዊ እና ድርጅታዊ እርምጃዎችን ተግባራዊ ማድረግ እና መጠበቅ አለበት፡

• የዘመናዊው ዘመን እና የትግበራ ወጪዎች፤
• የሂደቱ ተፈጥሮ፣ ወሰን፣ አውድ እና ዓላማዎች፤
• በተፈጥሮ ሰዎች መብቶች እና ነፃነቶች ላይ የሚደርሰው አደጋ፣ በተለይም በአጋጣሚ ወይም ሕገ-ወጥ በሆነ መንገድ ከመጥፋት፣ ከመጥፋት፣ ከመቀየር፣ ያለፈቃድ ከተላለፈ፣ ከተከማቸ ወይም በሌላ መንገድ ከተሰራ የደንበኛ መረጃ ጋር በተያያዘ።

እንደዚህ ያሉ እርምጃዎች ቢያንስ በዚህ DPA ውስጥ በሰንጠረዥ 2 (ቴክኒካዊ እና ድርጅታዊ የደህንነት እርምጃዎች) ውስጥ የተገለጹትን ያካትታሉ። የፕሮሰሰሩ የ ISO 27001 የምስክር ወረቀት የመነሻ መረጃ ደህንነት አስተዳደር ስርዓት ማስረጃ ይሰጣል። ፕሮሰሰሩ በዚህ DPA ጊዜ ውስጥ የ ISO 27001 የምስክር ወረቀት ወይም ተመጣጣኝ መሆን አለበት።

5.4 የውሂብ ርዕሰ ጉዳይ መብቶች

ፕሮሰሰሩ የሂደቱን ባህሪ ግምት ውስጥ በማስገባት ተቆጣጣሪው በተቻለ መጠን ተገቢ የሆኑ ቴክኒካዊ እና ድርጅታዊ እርምጃዎችን በመጠቀም ለስራ ጥያቄዎች ምላሽ የመስጠት ግዴታውን እንዲወጣ መርዳት አለበት።cisየውሂብ ተገዢዎች በሚመለከተው የውሂብ ጥበቃ ህግ (በGDPR አንቀጾች 15-22 መሠረት የመዳረሻ፣ የማረም፣ የመሰረዝ፣ የመገደብ፣ የመንቀሳቀስ እና የተቃውሞ መብቶችን ጨምሮ) መብቶችን መስጠት።

ፕሮሰሰሩ የሚከተሉትን ማድረግ አለበት፡ (ሀ) ፕሮሰሰሩ ከደንበኛ መረጃ ጋር በተያያዘ ከውሂብ ርዕሰ ጉዳይ ጥያቄ ከተቀበለ ወዲያውኑ ለተቆጣጣሪው ማሳወቅ አለበት፤ (ለ) በተቆጣጣሪው በሰነድ በተቀመጡ መመሪያዎች ወይም በሚመለከተው ሕግ በተደነገገው መሠረት ካልሆነ በስተቀር ለእንደዚህ አይነት ጥያቄዎች ምላሽ አለመስጠት፤ እና (ሐ) ለተቆጣጣሪው በሚመለከታቸው የሕግ የጊዜ ገደቦች (በGDPR አንቀፅ 12 መሠረት 30 ቀናት) ለእንደዚህ አይነት ጥያቄዎች ምላሽ በመስጠት ረገድ ምክንያታዊ እገዛ መስጠት አለበት።

5.5 የተቆጣጣሪውን ግዴታዎች በተመለከተ እገዛ

ፕሮሰሰሩ የሂደቱን ባህሪ እና ለፕሮሰሰሩ የሚገኘውን መረጃ ግምት ውስጥ በማስገባት በGDPR አንቀጾች 32-36 መሠረት የተጣሉትን ግዴታዎች እንዲያሟሉ ተቆጣጣሪውን መርዳት አለበት፣ የሚከተሉትን ጨምሮ፡

• የሂደት ደህንነት (አንቀጽ 32)፤
• የግል መረጃ ጥሰቶችን ለተቆጣጣሪ ባለስልጣን ማሳወቅ እና ከውሂብ ጉዳዮች ጋር መገናኘት (አርት. 33–34)፤
• የውሂብ ጥበቃ ተጽዕኖ ግምገማዎች እና ቅድመ ምክክር (አርት. 35–36)።

5.6 የውሂብ መሰረዝ ወይም መመለስ

ዋናው ስምምነት ሲቋረጥ ወይም ሲያበቃ ወይም የተቆጣጣሪው ጥያቄ ሲቀርብ፣ ፕሮሰሰሩ በተቆጣጣሪው ምርጫ በእጁ ያሉትን ሁሉንም የደንበኛ መረጃዎች ይሰርዛል ወይም ወደ ተቆጣጣሪው ይመልሳል፣ እና የሚመለከተው የአውሮፓ ህብረት ወይም የአባል ግዛት ህግ የግል መረጃ ማከማቻን የሚጠይቅ ካልሆነ በስተቀር ነባር ቅጂዎችን ይሰርዛል። ፕሮሰሰሩ ከተዛማጅ ቀስቅሴው በ30 ቀናት ውስጥ ስረዛውን በጽሑፍ ማረጋገጥ አለበት።

ፕሮሰሰር standard የውሂብ ማቆያ መርሃ ግብር (በመርሐግብር 1 የተቀመጠው) ተቆጣጣሪው ቀደም ብሎ የመሰረዝ ጥያቄ ካላቀረበ በስተቀር ተፈጻሚ ይሆናል።

5.7 ኦዲት እና የተገዢነትን ማሳየት

ፕሮሰሰሩ በዚህ የዳይሬክተሮች መምሪያ (DPA) ውስጥ ከተቀመጡት ግዴታዎች ጋር መጣጣማቸውን ለማሳየት አስፈላጊ የሆኑትን መረጃዎች ሁሉ ለተቆጣጣሪው ማቅረብ አለበት፣ እንዲሁም በተቆጣጣሪው ወይም በተቆጣጣሪው በተሾመ ኦዲተር የሚደረጉ ምርመራዎችን ጨምሮ ለኦዲቶች መፍቀድ እና አስተዋጽኦ ማድረግ አለበት።

ፕሮሰሰር የሚከተሉትን በማቅረብ ይህንን ግዴታ ሊያሟላ ይችላል፡

• የአሁኑ የ ISO 27001 የምስክር ወረቀት ወይም የSOC 2 ዓይነት II ሪፖርት ቅጂ (አንዴ ከተገኘ)፤
• የተቆጣጣሪውን የደህንነት መጠይቅ መሙላት (ከደረሰኝ በ10 የስራ ቀናት ውስጥ)፤
• በተቆጣጣሪው ወጪ፣ በ30 ቀናት ውስጥ በተደረገ የጽሑፍ ማስታወቂያ፣ በቦታው ላይ ምክንያታዊ ኦዲቶች፣ በዓመት ከአንድ ጊዜ በላይ አይደረጉም (ይህንን ደንብ አለማክበር ምክንያታዊ ጥርጣሬ ከሌለ በስተቀር)።

6. የግል ውሂብ ጥሰት ማስታወቂያ

ፕሮሰሰሩ ያለምንም መዘግየት እና በማንኛውም ሁኔታ የደንበኛ ውሂብን የሚነካ የግል ውሂብ ጥሰት ከታወቀ በኋላ በ48 ሰዓታት ውስጥ ለተቆጣጣሪው ማሳወቅ አለበት። እንዲህ ዓይነቱ ማስታወቂያ በወቅቱ ባለው መጠን የሚከተሉትን ማካተት አለበት፡

• የግል ውሂብ ጥሰት ባህሪ መግለጫ፣ የሚመለከታቸው የውሂብ ተገዢዎች ምድቦችን እና ግምታዊ ብዛትን፣ ምድቦችን እና የሚመለከታቸው የግል ውሂብ መዝገቦች ግምታዊ ብዛትን ጨምሮ፤
• የውሂብ ጥበቃ ኃላፊው ወይም ተጨማሪ መረጃ ማግኘት የሚቻልበት ሌላ የመገናኛ ቦታ ስም እና የእውቂያ ዝርዝሮች፤
• የግል ውሂብ ጥሰት ሊያስከትል የሚችለውን ውጤት መግለጫ፤
• የግል ውሂብ ጥሰትን ለመፍታት የተወሰዱ ወይም የተወሰዱ እርምጃዎች መግለጫ፣ አስፈላጊ በሚሆንበት ጊዜ ሊከሰቱ የሚችሉ አሉታዊ ውጤቶችን ለመቀነስ እርምጃዎችን ጨምሮ።

ከላይ የተጠቀሱትን መረጃዎች በሙሉ በአንድ ጊዜ ማቅረብ በማይቻልበት ጊዜ፣ መረጃው ያለ ተጨማሪ መዘግየት በደረጃ ሊቀርብ ይችላል። ፕሮሰሰሩ ከተቆጣጣሪው ጋር በመተባበር ተቆጣጣሪው ጥሰቱን ለመመርመር፣ ለማቃለል እና ለማስተካከል በሚፈልግበት ጊዜ ምክንያታዊ እርምጃዎችን መውሰድ አለበት።

ተዋዋይ ወገኖች በGDPR አንቀጽ 33 መሠረት የግል የውሂብ ጥሰት እንደደረሰ ከታወቀ በኋላ በ72 ሰዓታት ውስጥ ለሚመለከተው የተቆጣጣሪ ባለስልጣን (ኤጀንሲያ ኤስፓኞላ ዴ ፕሮቴቺዮን ዴ ዳቶስ - AEPD፣ ወይም ሌላ ተዛማጅ ባለስልጣን) ማሳወቅ ግዴታው ተቆጣጣሪው እንደ የውሂብ ተቆጣጣሪ ሆኖ እንደሚቆይ አምነዋል። በዚህ አንቀጽ መሠረት ለተቆጣጣሪው የሚያቀርበው የፕሮሰሰር ማሳወቂያ ተቆጣጣሪው ይህንን የቁጥጥር ግዴታ እንዲወጣ ለማስቻል የታሰበ ነው። የፕሮሰሰሩ ማሳወቂያ የስህተት ወይም የኃላፊነት መቀበልን አያካትትም።

7. ንዑስ ፕሮሰሰሮች

7.1 አጠቃላይ ፈቃድ

ተቆጣጣሪው በዚህ ዲፒኤ (በጊዜ ሰሌዳ 3 (የጸደቁ ንዑስ ፕሮሰሰሮች) ላይ በተዘረዘረው መሠረት ንዑስ ፕሮሰሰሮችን ለማሳተፍ የፕሮሰሰር አጠቃላይ ፈቃድ ይሰጣል። ፕሮሰሰሩ በዚህ ዲፒኤ ውስጥ ከተቀመጡት ጋር እኩል የሆኑ እያንዳንዱን ንዑስ ፕሮሰሰር የውሂብ ጥበቃ ግዴታዎችን በተለይም ተገቢ የሆኑ ቴክኒካዊ እና ድርጅታዊ እርምጃዎችን ተግባራዊ ለማድረግ በቂ ዋስትናዎችን በመስጠት ላይ ያስቀምጣል።

7.2 በንዑስ ፕሮሰሰሮች ላይ የተደረጉ ለውጦች

ፕሮሰሰሩ የንዑስ ፕሮሰሰሮችን መጨመር ወይም መተካትን በተመለከተ ለተቆጣጣሪው የሚከተሉትን በማድረግ ማሳወቅ አለበት፦ (ሀ) በ https://xygeni.io/legal/subprocessors ላይ የታተመውን የንዑስ ፕሮሰሰር ዝርዝር በተሻሻለው "የመጨረሻ ጊዜ የተሻሻለው" ቀን በማዘመን፤ እና (ለ) ለውጡ ተግባራዊ ከመሆኑ ቢያንስ አስር (10) ቀናት በፊት ለተቆጣጣሪው የጽሑፍ ማስታወቂያ በመስጠት። ተቆጣጣሪው ለውጡን በተመጣጣኝ የውሂብ ጥበቃ ምክንያት እንዲህ ዓይነቱ ማሳወቂያ ከወጣ በኋላ በሰባት (7) ቀናት ውስጥ ሊቃወም ይችላል። ተቆጣጣሪው ከተቃወመ እና ተዋዋይ ወገኖች ተቃውሞውን መፍታት ካልቻሉ፣ ተቆጣጣሪው ዋናውን ስምምነት ያለ ቅጣት በተመጣጣኝ ማስታወቂያ ሊያቋርጠው ይችላል።

ፕሮሰሰሩ ንዑስ ፕሮሰሰሩን (sub-processor) የሚያንቀሳቅስ ከሆነ፣ ንዑስ ፕሮሰሰሩ (sub-processor) የውሂብ ጥበቃ ግዴታዎቹን እስካልጣለ ድረስ ለተቆጣጣሪው ሙሉ በሙሉ ተጠያቂ ይሆናል።

7.3 የንዑስ ፕሮሰሰር ፍሰት-ማውረድ መስፈርቶች

ለእያንዳንዱ ንዑስ ፕሮሰሰር፣ ፕሮሰሰር የሚከተሉትን ማድረግ አለበት፦

• ንዑስ ፕሮሰሰሩን ከማሳተፍዎ በፊት ተገቢውን ጥንቃቄ ማድረግ፤
• በዚህ የዲሲፒኤ (DPA) ውስጥ ካሉት ጋር ሲነጻጸር የመረጃ ጥበቃ ግዴታዎችን የሚጥል የጽሑፍ የውሂብ ማቀነባበሪያ ስምምነት ውስጥ መግባት፤
• የንዑስ ፕሮሰሰሩ የደህንነት እርምጃዎች ቢያንስ በአንቀጽ 5.3 እና በመርሐግብር 2 መሠረት ከሚያስፈልጉት ጋር እኩል መሆናቸውን ማረጋገጥ፤
• ንዑስ ፕሮሰሰሩ የግል የውሂብ ጥሰት እንደደረሰበት ካወቀ በኋላ በ24 ሰዓታት ውስጥ ፕሮሰሰሩን እንዲያሳውቅ የሚጠይቁትን የጥሰት ማሳወቂያ ግዴታዎችን ያካትታል፣ ይህም ፕሮሰሰሩ ለተቆጣጣሪው የ48 ሰዓት የማሳወቂያ ግዴታውን እንዲወጣ ያስችለዋል።

8. ዓለም አቀፍ ዝውውሮች

ፕሮሰሰሩ የደንበኛ መረጃን ከአውሮፓ ኢኮኖሚ አካባቢ (EEA) ውጭ ወዳለ ሀገር ማስተላለፍ የለበትም፡

• የአውሮፓ ኮሚሽን በቂ የሆነ ውሳኔ ወስዷልcisበ GDPR አንቀጽ 45 መሠረት ለዚያ አገር የሚሆን ion፤ ወይም
• ተገቢ የሆኑ መከላከያዎች በGDPR አንቀጽ 46 መሠረት ተግባራዊ ሆነዋል፣ ይህም የሚከተሉትን ያካትታል ነገር ግን በእነዚህ ብቻ የተወሰነ አይደለም። Standard የአውሮፓ ኮሚሽን ተግባራዊ ለማድረግ የፀደቁት የውል አንቀጾችcision (EU) 2021/914 የጁን 4፣ 2021 ("SCCs")።

የSCCዎች አስፈላጊ በሚሆንበት ጊዜ፣ ፕሮሰሰሩ በተቆጣጣሪው ጥያቄ መሠረት የሚመለከታቸውን የSCCዎች ከመቆጣጠሪያው እና/ወይም ከሚመለከተው ንዑስ ፕሮሰሰር ጋር ማስፈጸም አለበት። የSCCዎቹ የሚመለከተው ሞጁል ከመቆጣጠሪያው ወደ ፕሮሰሰር ለማስተላለፍ ሞጁል ሁለት (መቆጣጠሪያው ወደ ፕሮሰሰር) እና ሞጁል ሶስት (ፕሮሰሰር ወደ ንዑስ ፕሮሰሰር) በፕሮሰሰር ወደ ንዑስ ፕሮሰሰር ወደፊት ለማስተላለፍ ይሆናል።

ለSCCዎች ዓላማ ብቁ የሆነው የቁጥጥር ባለስልጣን የስፔን የውሂብ ጥበቃ ኤጀንሲ (Agencia Española de Protección de Datos — AEPD) ሲሆን በጽሑፍ ሌላ ስምምነት ካልተደረገ በስተቀር።

ፕሮሰሰሩ ሁሉንም ዓለም አቀፍ የደንበኛ መረጃ ዝውውሮች እና ለእያንዳንዱ የሚመለከተውን የዝውውር ዘዴ ወቅታዊ መዝገብ እና ለተቆጣጣሪው ማቅረብ አለበት፣ ሲጠየቅ።

9. የውሂብ ጥበቃ ተጽዕኖ ግምገማዎች

አንድ የማቀነባበሪያ እንቅስቃሴ ለተፈጥሮ ሰዎች መብቶች እና ነፃነቶች ከፍተኛ አደጋ ሊያስከትል የሚችል ከሆነ እና ተቆጣጣሪው በGDPR አንቀጽ 35 መሠረት የውሂብ ጥበቃ ተጽዕኖ ግምገማ (DPIA) እንዲያደርግ የሚጠበቅበት ከሆነ፣ ተቆጣጣሪው DPIAውን እንዲያከናውን ለማስቻል ተቆጣጣሪው አስፈላጊ ከሆነ ምክንያታዊ እርዳታ እና መረጃ መስጠት አለበት። ሂደተሩ ተቆጣጣሪው DPIAን እንዲያከናውን ለማስቻል ለተቆጣጣሪው አስፈላጊ ለሆኑ DPIA ጥያቄዎች በ15 የሥራ ቀናት ውስጥ ምላሽ መስጠት አለበት።

10. የሂደት እንቅስቃሴዎች መዝገቦች

ፕሮሰሰሩ በተቆጣጣሪው ጥያቄ መሠረት በGDPR አንቀጽ 30(2) መሠረት በተቆጣጣሪው ስም የተከናወኑ የሂደት እንቅስቃሴዎችን መዝገብ መያዝ አለበት፤ ይህም የሚከተሉትን ያካትታል፡ የፕሮሰሰሩን ስም እና የእውቂያ ዝርዝሮችን እና የማንኛውም ንዑስ ፕሮሰሰሮችን ስም፤ በተቆጣጣሪው ስም የተከናወኑ የሂደት ምድቦችን፤ የግል መረጃን ወደ ሶስተኛ ሀገር ማስተላለፍን፤ እና የቴክኒክ እና የድርጅታዊ የደህንነት እርምጃዎችን አጠቃላይ መግለጫ።

11. ተጠያቂነት

እያንዳንዱ ወገን በዚህ DPA ስር ወይም ከዚህ ጋር በተያያዘ ለሌላው ያለው ተጠያቂነት በዋናው ስምምነት ውስጥ በተቀመጡት ገደቦች እና ማግለሎች ተገዢ ይሆናል። የውሂብ ጉዳይ ተፈፃሚ የውሂብ ጥበቃ ህግን የሚጥስ ሂደት ምክንያት ጉዳት ሲደርስበት፣ እያንዳንዱ ወገን በGDPR አንቀጾች 82–83 መሠረት GDPRን የሚጥስ ሂደት በሚያስከትለው ጉዳት ተጠያቂ ይሆናል። በዚህ አንቀጽ ውስጥ ምንም ነገር በሁለቱ ወገኖች መካከል ለሚኖረው የውሂብ ጉዳዮች ተጠያቂነትን የሚገድብ አይደለም።

12. ጊዜና መቋረጥ

ይህ የዲፒኤ (DPA) የዋናው ስምምነት (DPA) በተደረገበት ቀን (ወይም በኋላ ላይ ከሆነ የዚህ ዲፒኤ (DPA) የአፈጻጸም ቀን) ይጀምራል እና ዋናው ስምምነት እስከሚቆይበት ጊዜ ድረስ ተግባራዊ ይሆናል። የዋናው ስምምነት በማንኛውም ምክንያት መቋረጥ ይህንን ዲፒኤ በራስ-ሰር ያቋርጠዋል።

ከሥራ መባረር በኋላ፣ በአንቀጽ 5.6 (የውሂብ ስረዛ ወይም መመለስ) መሠረት የአቀነባባሪው ግዴታዎች ይቀጥላሉ፣ እና አቀነባባሪው የደንበኛ መረጃን መሰረዝ ወይም መመለስ ከሥራ መባረር በኋላ በ30 ቀናት ውስጥ ማጠናቀቅ አለበት። ከሚስጥርነት፣ ከተጠያቂነት፣ ከአስተዳደር ሕግ እና ከኦዲት ጋር የተያያዙ አንቀጾችም ከሥራ መባረር በኋላ ይቀጥላሉ።

13. የአስተዳደር ሕግ እና ስልጣን

ይህ የዲፒኤ (DPA) በስፔን ሕጎች መሠረት የሚተዳደር እና የሚተረጎም ይሆናል። ተዋዋይ ወገኖች ከዚህ ዲፒኤ (DPA) የሚነሳ ወይም ከእሱ ጋር የተያያዘ ማንኛውንም አለመግባባት ለመፍታት ለማድሪድ ፍርድ ቤቶች ብቸኛ ስልጣን ይገዛሉ። የዚህ ዲፒኤ ማንኛውም ድንጋጌ ከዲፒኤ (SCCs) ጋር የሚጋጭ እስከሆነ ድረስ፣ የዲፒኤዎቹ (SCCs) የበላይ ይሆናሉ።

14. ልዩ ልዩ

ሙሉ ስምምነት፡- ይህ የዲፒኤ (DPA) ከፕሮግራሞቹ እና ከዋናው ስምምነት ጋር በመሆን፣ በዚህ ጉዳይ ላይ በተዋዋይ ወገኖች መካከል የተደረገውን ሙሉ ስምምነት የሚያጠቃልል ሲሆን ከውሂብ ሂደት ጋር የተያያዙ ቀደም ሲል የተደረጉ ስምምነቶችን፣ ግንዛቤዎችን ወይም ውክልናዎችን በሙሉ ይሽራል።

ማሻሻያዎች፡- ይህ የውክልና ስልጣን (DPA) ሊሻሻል የሚችለው በሁለቱም ወገኖች በተፈቀደላቸው ተወካዮች በተፈረመ የጽሑፍ ስምምነት ብቻ ነው።

ተጣጣፊነት የዚህ DPA ማንኛውም ድንጋጌ ልክ ያልሆነ ወይም ተፈጻሚ የማይሆን ​​ሆኖ ከተገኘ፣ የተቀሩት ድንጋጌዎች ሙሉ በሙሉ ተፈጻሚ ሆነው ይቆያሉ።

ቅድሚያ: በዚህ የዲፒኤ እና የጊዜ ሰሌዳዎች መካከል ግጭት በሚፈጠርበት ጊዜ የዲፒኤው አካል መርሃ ግብሩ ሌላ ነገር በግልጽ ካልገለጸ በስተቀር የበላይ ይሆናል። በዚህ ዲፒኤ እና ዲፒኤዎች መካከል ግጭት በሚፈጠርበት ጊዜ (ተገቢ በሚሆንበት ጊዜ) የዲፒኤው የበላይነት ይኖረዋል።

መርሃ ግብር 1 - የሂደት ዝርዝሮች

1. ርዕሰ ጉዳይ

የማቀነባበሪያው ርዕሰ ጉዳይ በ Xygeni የቀረበ አቅርቦት ነው application security posture management, software supply chain security ትንተና፣ የተጋላጭነት መለየት፣ CI/CD በዋናው ስምምነት ውስጥ እንደተገለጸው የደህንነት ክትትል እና ተዛማጅ አገልግሎቶች።

2. የሂደት ተፈጥሮ

የደንበኛ መረጃን መሰብሰብ፣ ማደራጀት፣ ማዋቀር፣ ማከማቸት፣ መተንተን፣ መልሶ ማግኘት፣ መጠቀም፣ በማስተላለፍ፣ በማስተካከል ወይም በማጣመር ይፋ ማድረግ፣ መገደብ፣ መሰረዝ ወይም ማጥፋት።

3. የማቀነባበሪያ ዓላማ

የደንበኛ መረጃን ማቀናበር የሚከናወነው ለተቆጣጣሪው አገልግሎቶችን ለማቅረብ ብቻ ሲሆን ይህም የሚከተሉትን ያካትታል፡ የደህንነት ተጋላጭነትን መለየት እና ሪፖርት ማድረግ፤ የሶፍትዌር አቅርቦት ሰንሰለት ስጋት ትንተና፤ CI/CD pipeline security ክትትል፤ ያልተለመደ ምርመራ፤ እና የደንበኛ ድጋፍ።

4. የማቀነባበሪያ ጊዜ

አንጎለ ኮምፒውተር የደንበኛ ውሂብን ዋናው ስምምነት እስኪጠናቀቅ ድረስ ማቀናበር አለበት። ሲቋረጥ፣ አንጎለ ኮምፒውተር የደንበኛ ውሂብን ከደንበኝነት ምዝገባው ማብቂያ ቀን በኋላ ለ3 ወራት ማቆየት አለበት፣ ተቆጣጣሪው ቀደም ብሎ ስረዛ ካልጠየቀ በስተቀር። የሙከራ መለያ መረጃ የሙከራ ጊዜው ካለፈ በኋላ ለ1 ወር ይቆያል።

5. የግል መረጃ ዓይነቶች

6. የውሂብ ርዕሰ ጉዳዮች ምድቦች

የውሂብ ጉዳዮች የሚከተሉትን ያካትታሉ፡- ሰራተኞች፣ ኮንትራክተሮች እና አገልግሎቶቹን የሚደርሱ ሌሎች የተቆጣጣሪው ፈቃድ ያላቸው ተጠቃሚዎች፤ አስተዋፅዖ አበርካቾች (ገንቢዎች፣ የቦት መለያዎች፣ የግንባታ ወኪሎች) ወደ ማከማቻዎች እና pipelineበአገልግሎቶቹ ቁጥጥር ስር ያሉ፤ እንዲሁም የተቆጣጣሪው ተወካዮች እና የእውቂያ ሰዎች።

7. ልዩ የምድብ መረጃ

አገልግሎቶቹ በGDPR አንቀጽ 9 ላይ እንደተገለጸው ልዩ የምድብ የግል መረጃዎችን ለማስኬድ የተነደፉ አይደሉም። ተቆጣጣሪው ከXygeni ጋር ቀደም ሲል የጽሑፍ ስምምነት ሳይደረግ እና ተገቢ የሆኑ ተጨማሪ ጥበቃዎችን ተግባራዊ ሳያደርግ ልዩ የምድብ የግል መረጃዎችን ለአገልግሎቶቹ እንደማያቀርብ ዋስትና ይሰጣል።

መርሃ ግብር 2 - የቴክኒክ እና የድርጅታዊ የደህንነት እርምጃዎች

Xygeni የXygeni ISO 27001 የተረጋገጠ የመረጃ ደህንነት አስተዳደር ስርዓትን የሚከተል የደንበኛ ውሂብን ለመጠበቅ የሚከተሉትን ቴክኒካዊ እና ድርጅታዊ እርምጃዎችን ተግባራዊ ያደርጋል፡

የመዳረሻ ቁጥጥር

• የደንበኛ ውሂብን በሚያሄዱ ሁሉም ስርዓቶች ላይ የሚና-ተኮር የመዳረሻ ቁጥጥር (RBAC) ተፈጻሚ ሆኗል።
• የXygeni ሰራተኞች በሙሉ የምርት ስርዓቶችን ለመድረስ ባለብዙ-ደረጃ ማረጋገጫ (MFA) ያስፈልጋል።
• በሁሉም የተጠቃሚ መለያዎች ላይ የሚተገበር ዝቅተኛ መብት መርህ፤ የመዳረሻ መብቶች በየሩብ ዓመቱ ይገመገማሉ።
• ለምርት አገልጋይ መዳረሻ በSSH ቁልፍ ላይ የተመሠረተ ማረጋገጫ፤ የይለፍ ቃል ማረጋገጫ ተሰናክሏል።

የውሂብ ምስጠራ

• የደንበኛ ውሂብ በትራንስፖርት ጊዜ TLS 1.2 ወይም ከዚያ በላይ በመጠቀም የተመሰጠረ።
• የደንበኛ መረጃ በAES-256 ወይም ከዚያ ጋር ተመሳሳይ በሆነ መንገድ ሲቀመጥ የተመሰጠረ።
• በAWS ቁልፍ አስተዳደር አገልግሎት (KMS) በኩል የሚተዳደሩ የኢንክሪፕሽን ቁልፎች።

የአውታረ መረብ ደህንነት

• በAWS Virtual Private Cloud (VPC) ውስጥ የተስተናገዱ የምርት ስርዓቶች ከኔትወርክ ክፍፍል ጋር።
• የድር መተግበሪያ ፋየርዎል (WAF) ለሕዝብ ፊት ለፊት ላሉ የመጨረሻ ነጥቦች ተዘርግቷል።
• ጣልቃ ገብነትን ለይቶ ማወቅ እና መከላከል ስርዓቶች ተዘጋጅተዋል።
• የመሠረተ ልማት እና የትግበራ ንብርብሮች መደበኛ የተጋላጭነት ቅኝት እና የመግባት ሙከራ።

አካላዊ ደህንነት

• የደንበኛ ውሂብ በAWS የውሂብ ማዕከላት ውስጥ በSOC 2 Type II እና ISO 27001 የምስክር ወረቀቶች የተስተናገደ።
• የውሂብ ማዕከል ተቋማት አካላዊ መዳረሻ ለባዮሜትሪክ ቁጥጥሮች ለተፈቀዱ የAWS ሰራተኞች ብቻ።

ተገኝነት እና የመቋቋም ችሎታ

• በየቀኑ በራስ-ሰር የሚጠበቁ የሁሉም የደንበኛ ውሂብ ምትኬዎች፣ ቢያንስ ለ7 ቀናት ተይዘዋል።
• የመጠባበቂያ ትክክለኛነት በየጊዜው ተረጋግጧል።
• Disastበየዓመቱ የተመዘገቡ እና የተፈተኑ የመልሶ ማቋቋም ሂደቶች።

የእድገት አስተዳደር

• የደህንነት የአደጋ ምላሽ ዕቅድ በየዓመቱ የሚጠበቅ እና የሚፈተን ነው።
• የደህንነት ክስተቶች ክትትል የሚደረግባቸው እና የተመዘገቡባቸው፤ በደህንነት ክወናዎች ተግባር የተገመገሙ ማንቂያዎች።
• ለተቆጣጣሪው የ48 ሰዓት የማሳወቂያ ግዴታን ለማሟላት የግል ውሂብ ጥሰት የማሳወቂያ ሂደቶች ተዘጋጅተዋል።

ሠራተኞች

• የደንበኛ መረጃ የማግኘት መብት ያላቸው ሁሉም የXygeni ሰራተኞች በሚስጥር ግዴታዎች የተገደቡ ናቸው።
• በየአመቱ ለሁሉም ሰራተኞች የደህንነት ግንዛቤ ስልጠና ተሰጥቷል።
• በሚመለከተው ሕግ በተፈቀደው መጠን የምርት ስርዓቶችን የማግኘት መብት ላላቸው ሠራተኞች የጀርባ ምርመራዎች ተደርገዋል።

የሶስተኛ ወገን አስተዳደር

• ከመሳተፋቸው በፊት የደህንነት ተገዢነትን ተገምግመዋል የተገመገሙ ንዑስ ፕሮሰሰሮች።
• ከሁሉም ንዑስ ፕሮሰሰሮች ጋር የውሂብ ማቀነባበሪያ ስምምነቶች።

ማረጋገጥ

• Xygeni የ ISO 27001 የምስክር ወረቀት (የመረጃ ደህንነት አስተዳደር ስርዓት) አለው።
• Xygeni የSOC 2 አይነት II የምስክር ወረቀት እየተከታተለ ነው፤ ሰርተፊኬቱ ሲጠናቀቅ ለተቆጣጣሪው ይሰጣል።