Bu Məlumatların Emalı Sazişi (“MƏS” və ya “Saziş”) aşağıdakılar tərəfindən və onların arasında bağlanır:
| Sahə | Ətraflı |
|---|---|
| Şirkətin adı | [MÜŞTƏRİNİN TAM HÜQUQİ ADININ ADI] |
| Qeydiyyat ünvanı | [ÜNVAN] |
| ƏDV / Şirkət Nömrəsi | [ƏDV NÖMRƏSİ] |
| Məlumatların Qorunması ilə Əlaqə | [DPO E-POÇT / ƏLAQƏ] |
| İmza nümayəndəsi | [AD, TITLİK] |
| Sahə | Ətraflı |
|---|---|
| Şirkətin adı | Xygeni Təhlükəsizlik, SL |
| Qeydiyyat ünvanı | C/Pasión 4, 2 Planta, 47001 Valladolid, İspaniya |
| ƏDV | B09620287 |
| Məlumatların Qorunması ilə Əlaqə | info@xygeni.io |
| İmza nümayəndəsi | [AD, TITLİK] |
Nəzarətçi və Prosessor bundan sonra fərdi olaraq “Tərəf”, birlikdə isə “Tərəflər” adlandırılacaq.
Bu MPA, Xygeni tərəfindən tətbiq təhlükəsizliyinin təmin edilməsini tənzimləyən Tərəflər arasında Əsas Xidmət Sazişinin və ya Xidmət Şərtlərinin ("Əsas Saziş") bir hissəsini təşkil edir və software supply chain security xidmətlər (“Xidmətlər”). Bu MPA ilə Əsas Saziş arasında ziddiyyət yarandığı təqdirdə, məlumatların qorunması məsələlərində bu MPA üstünlük təşkil edəcəkdir.
Bu DPA-nın məqsədləri üçün:
Tərəflər aşağıdakıları qəbul edir və razılaşırlar:
Xygeni şəxsi məlumatları öz məqsədləri üçün (məsələn, hesabın idarə edilməsi, ödəniş, xidmətin təkmilləşdirilməsi analitikası) emal etdikdə, o, müstəqil Nəzarətçi kimi çıxış edir. Bu cür emal Xygeni-nin Məxfilik Siyasəti ilə tənzimlənir və bu Məlumatların Təqdim Edilməsi Sazişinin əhatə dairəsindən kənardır.
Emalın mövzusu, təbiəti, müddəti və məqsədi, eləcə də emal edilən Şəxsi Məlumatların növləri və Məlumat Subyektlərinin kateqoriyaları bu Məlumatların emalı haqqında Sazişin 1-ci Əlavəsində (Emal Təfərrüatları) göstərilmişdir.
Prosessor, tətbiq olunan qanunvericiliklə tələb olunmadığı təqdirdə, Müştəri Məlumatlarını yalnız Əsas Sazişdə təsvir edilən Xidmətləri təmin etmək üçün zəruri olan dərəcədə və Nəzarətçinin sənədləşdirilmiş təlimatlarına uyğun olaraq emal etməlidir. Belə halda, Prosessor, ictimai maraqların vacib əsasları ilə qanunla qadağan edilmədiyi təqdirdə, emaldan əvvəl Nəzarətçiyə həmin qanuni tələb barədə məlumat verməlidir.
Nəzarətçi, Prosessora aşağıdakılar üçün zəruri hallarda Müştəri Məlumatlarını emal etməyi tapşırır: (a) Əsas Sazişə uyğun olaraq Xidmətləri təmin etmək; (b) Nəzarətçinin vaxtaşırı yazılı şəkildə bildirilən təlimatlarına əməl etmək; və (c) Prosessorun bu MPA çərçivəsində öhdəliklərini yerinə yetirmək.
Prosessor, Prosessorun ağlabatan fikrincə, Nəzarətçidən verilən təlimat Tətbiq olunan Məlumatların Mühafizəsi Qanununu pozarsa, dərhal Nəzarətçiyə məlumat verməlidir. Bu halda, Nəzarətçi təlimatı aydınlaşdırana və ya dəyişdirənə qədər Prosessor həmin təlimata uyğun olaraq emalı dayandırmaq hüququna malikdir.
Nəzarətçi aşağıdakılara zəmanət verir və təsdiq edir: (a) müvafiq Şəxsi Məlumatların emalı üçün GDPR Maddə 6 (və tətbiq olunduğu hallarda Maddə 9) çərçivəsində qanuni əsasa malikdir; (b) bütün tələb olunan bildirişləri təqdim edib və bütün tələb olunan razılıqları alıb; və (c) Müştəri Məlumatlarının Emalçıya ötürülməsi heç bir tətbiq olunan qanunu pozmur.
Emalçı, tətbiq olunan Aİ və ya Üzv Dövlət qanunvericiliyi ilə tələb olunmadığı təqdirdə, Müştəri Məlumatlarını yalnız Nəzarətçinin sənədləşdirilmiş təlimatları əsasında emal etməlidir. Emalçı, Xidmətləri təmin etmək üçün zəruri olan hallar və ya qanunla tələb olunmadığı hallar istisna olmaqla, Müştəri Məlumatlarını öz məqsədləri üçün emal etməməli və ya üçüncü tərəflərə açıqlamamalıdır.
Prosessor, Müştəri Məlumatlarını emal etmək səlahiyyəti olan şəxslərin məlumatlarının olmasını təmin etməlidir commitməxfiliyə riayət etməmiş və ya müvafiq qanuni məxfilik öhdəliyi daşımamışlar. Müştəri Məlumatlarına giriş Xidmətləri təmin etmək məqsədilə girişə ehtiyacı olan işçilər, podratçılar və alt emalçılarla məhdudlaşdırılacaq.
Prosessor, Müştəri Məlumatlarını icazəsiz və ya qanunsuz emaldan, təsadüfi itkidən, məhv edilmədən, zədələnmədən, dəyişdirilmədən və ya açıqlanmadan qorumaq üçün aşağıdakıları nəzərə alaraq müvafiq texniki və təşkilati tədbirləri həyata keçirməli və saxlamalıdır:
Bu cür tədbirlərə, ən azı, bu Məlumat Təhlükəsizliyi Sazişinin 2-ci Cədvəlində (Texniki və Təşkilati Təhlükəsizlik Tədbirləri) göstərilən tədbirlər daxil edilməlidir. Prosessorun ISO 27001 sertifikatı baza informasiya təhlükəsizliyi idarəetmə sisteminin sübutunu təmin edir. Prosessor bu Məlumat Təhlükəsizliyi Sazişinin müddəti ərzində ISO 27001 sertifikatını və ya ekvivalentini qoruyub saxlamalıdır.
Prosessor, emalın xarakterini nəzərə alaraq, mümkün olduğu qədər Nəzarətçiyə müvafiq texniki və təşkilati tədbirlərlə kömək etməlidir ki, Nəzarətçinin tələblərinə cavab vermək öhdəliyi yerinə yetirilsin.cisTətbiq olunan Məlumatların Mühafizəsi Qanununa əsasən Məlumat Subyektlərinin hüquqlarının (GDPR-in 15-22-ci maddələrinə əsasən giriş, düzəliş, silmə, məhdudlaşdırma, daşınabilirlik və etiraz hüquqları daxil olmaqla) təmin edilməsi.
Prosessor: (a) Prosessor Məlumat Subyektindən Müştəri Məlumatları ilə bağlı sorğu aldıqda, Nəzarətçiyə dərhal məlumat verməlidir; (b) Nəzarətçinin sənədləşdirilmiş təlimatları və ya tətbiq olunan qanunvericiliyin tələb etdiyi hallar istisna olmaqla, bu cür sorğulara cavab verməməlidir; və (c) Nəzarətçiyə bu cür sorğulara tətbiq olunan qanuni müddətlər ərzində (GDPR Maddə 12-yə əsasən 30 gün) cavab verməkdə ağlabatan kömək göstərməlidir.
Prosessor, emalın təbiətini və Prosessorun əldə edə biləcəyi məlumatları, o cümlədən aşağıdakılarla bağlı məlumatları nəzərə alaraq, GDPR-in 32-36 maddələri üzrə öhdəliklərə riayət olunmasını təmin etməkdə Nəzarətçiyə kömək etməlidir:
Əsas Sazişin ləğvi və ya müddəti bitdikdə, yaxud Nəzarətçinin tələbi ilə, Prosessor, Nəzarətçinin seçimi ilə, sahib olduğu bütün Müştəri Məlumatlarını silməli və ya Nəzarətçiyə qaytarmalı, eləcə də mövcud nüsxələri silməlidir, əgər tətbiq olunan AB və ya Üzv Dövlət qanunvericiliyi Şəxsi Məlumatların saxlanmasını tələb etmirsə. Prosessor müvafiq tetikleyicidən sonra 30 gün ərzində silinmənin tamamlandığını yazılı şəkildə təsdiqləməlidir.
Prosessorun standard Nəzarətçi silinmə üçün daha əvvəl sorğu göndərmədiyi təqdirdə, məlumatların saxlanma cədvəli (Cədvəl 1-də göstərilən) tətbiq olunacaq.
Prosessor, bu MPA-da göstərilən öhdəliklərə uyğunluğu nümayiş etdirmək üçün lazım olan bütün məlumatları Nəzarətçiyə təqdim etməli və Nəzarətçi və ya Nəzarətçi tərəfindən səlahiyyətləndirilmiş auditor tərəfindən aparılan yoxlamalar da daxil olmaqla, yoxlamalara icazə verməli və onlara töhfə verməlidir.
Prosessor bu öhdəliyi aşağıdakıları təmin etməklə yerinə yetirə bilər:
Prosessor, Müştəri Məlumatlarına təsir edən Şəxsi Məlumatların Pozuntusu barədə məlumat əldə etdikdən sonra 48 saat ərzində və istənilən halda, Nəzarətçiyə lazımsız gecikmə olmadan məlumat verməlidir. Belə bildiriş, mövcud olan dərəcədə aşağıdakıları əhatə etməlidir:
Yuxarıda göstərilən bütün məlumatları eyni vaxtda təqdim etmək mümkün olmadıqda, məlumatlar lazımsız əlavə gecikmə olmadan mərhələlərlə təqdim edilə bilər. Prosessor Nəzarətçi ilə əməkdaşlıq etməli və pozuntunun araşdırılması, azaldılması və aradan qaldırılması üçün Nəzarətçinin tələb edə biləcəyi ağlabatan addımları atmalıdır.
Tərəflər GDPR-in 33-cü maddəsinə əsasən, Şəxsi Məlumatların Pozuntusu barədə məlumat əldə etdikdən sonra 72 saat ərzində səlahiyyətli nəzarət orqanına (Agencia Española de Protección de Datos — AEPD və ya digər müvafiq orqan) məlumat vermək öhdəliyinin məlumat nəzarətçisi kimi Nəzarətçiyə aid olduğunu qəbul edirlər. Bu Maddəyə əsasən Prosessorun Nəzarətçiyə bildirişi Nəzarətçinin bu tənzimləyici öhdəliyi yerinə yetirməsinə imkan yaratmaq məqsədi daşıyır. Prosessorun bildirişi günahın və ya məsuliyyətin etirafı hesab edilmir.
Nəzarətçi, bu MPA-ya 3-cü Cədvəldə (Təsdiqlənmiş Alt Prosessorlar) sadalanan Alt Prosessorları cəlb etmək üçün Prosessora ümumi səlahiyyət verir. Prosessor, hər bir Alt Prosessora bu MPA-da göstərilənlərə bərabər olan məlumatların qorunması öhdəlikləri tətbiq etməlidir, xüsusən də müvafiq texniki və təşkilati tədbirlərin həyata keçirilməsi üçün kifayət qədər zəmanət verməlidir.
Prosessor, Alt-prosessorların əlavə edilməsi və ya dəyişdirilməsi ilə bağlı nəzərdə tutulan hər hansı dəyişikliklər barədə Nəzarətçiyə aşağıdakı yollarla məlumat verməlidir: (a) https://xygeni.io/legal/subprocessors ünvanında dərc olunmuş Alt-prosessor siyahısını yenidən işlənmiş "Son yenilənmə" tarixi ilə yeniləmək; və (b) dəyişikliyin qüvvəyə minməsindən ən azı on (10) gün əvvəl Nəzarətçiyə yazılı bildiriş vermək. Nəzarətçi, belə bildirişdən sonra yeddi (7) gün ərzində məlumatların qorunması əsasları ilə dəyişikliyə etiraz edə bilər. Nəzarətçi etiraz edərsə və Tərəflər etirazı həll edə bilməsələr, Nəzarətçi Əsas Sazişi cərimə tətbiq etmədən ağlabatan bildirişlə ləğv edə bilər.
Əgər Prosessor Alt prosessoru işə götürərsə, Prosessor, Alt prosessorun məlumatların qorunması öhdəliklərini yerinə yetirmədiyi təqdirdə, həmin Alt prosessorun öhdəliklərinin yerinə yetirilməsi üçün Nəzarətçi qarşısında tam məsuliyyət daşıyacaq.
Hər bir alt prosessor üçün Prosessor:
Prosessor aşağıdakı hallar istisna olmaqla, Müştəri Məlumatlarını Avropa İqtisadi Bölgəsindən (AİB) kənar bir ölkəyə ötürməməlidir:
SCC-lər tələb olunduğu hallarda, Prosessor, Nəzarətçinin tələbi ilə, müvafiq SCC-ləri Nəzarətçi və/və ya müvafiq Alt prosessorla icra etməlidir. SCC-lərin müvafiq modulu Nəzarətçidən Prosessora köçürmələr üçün İkinci Modul (Nəzarətçidən Prosessora) və Prosessor tərəfindən Alt prosessorlara sonrakı köçürmələr üçün Üçüncü Modul (Prosessordan Alt prosessora) olmalıdır.
Yazılı şəkildə başqa cür razılaşdırılmadığı təqdirdə, SCC-lərin məqsədləri üçün səlahiyyətli nəzarət orqanı İspaniya Məlumatların Mühafizəsi Agentliyidir (Agencia Española de Protección de Datos — AEPD).
Prosessor, Müştəri Məlumatlarının bütün beynəlxalq köçürmələrinin cari qeydini və hər biri üçün müvafiq köçürmə mexanizmini saxlamalı və tələb olunduqda Nəzarətçiyə təqdim etməlidir.
9. Məlumatların Qorunmasına Təsir Qiymətləndirmələri
Emal fəaliyyətinin fiziki şəxslərin hüquq və azadlıqlarına yüksək risk yarada biləcəyi və Nəzarətçinin GDPR-in 35-ci maddəsinə əsasən Məlumatların Mühafizəsi Təsirinin Qiymətləndirilməsi (DPIA) aparması tələb olunduğu hallarda, Prosessor Nəzarətçiyə DPIA-nı həyata keçirməsi üçün lazımi kömək və məlumat verməlidir. Prosessor Nəzarətçinin DPIA ilə bağlı ağlabatan sorğularına 15 iş günü ərzində cavab verməlidir.
Prosessor, Nəzarətçinin tələbi ilə, GDPR 30(2)-ci maddəsinə uyğun olaraq Nəzarətçi adından həyata keçirilən emal fəaliyyətlərinin qeydini saxlamalıdır, o cümlədən: Prosessorun və hər hansı Alt emalçıların adı və əlaqə məlumatları; Nəzarətçi adından həyata keçirilən emal kateqoriyaları; Şəxsi Məlumatların üçüncü ölkəyə ötürülməsi; və texniki və təşkilati təhlükəsizlik tədbirlərinin ümumi təsviri.
Hər bir Tərəfin bu Məlumat Müqaviləsi çərçivəsində və ya onunla əlaqədar olaraq digər Tərəf qarşısında məsuliyyəti Əsas Sazişdə müəyyən edilmiş məhdudiyyətlərə və istisnalara tabedir. Məlumat Subyekti Tətbiq Edilən Məlumatların Mühafizəsi Qanununu pozan emal nəticəsində zərər gördüyü təqdirdə, hər bir Tərəf GDPR-in 82-83-cü maddələrinə uyğun olaraq GDPR-i pozan emal nəticəsində dəyən zərərə görə məsuliyyət daşıyır. Bu Maddədə heç bir şey Tərəflərdən heç birinin tətbiq edilən qanunvericiliyə əsasən Məlumat Subyektləri qarşısında məsuliyyətini məhdudlaşdırmır.
Bu MPA Əsas Sazişin (və ya daha sonra imzalandığı təqdirdə bu MPA-nın) tarixindən etibarən qüvvəyə minəcək və Əsas Sazişin qüvvədə olduğu müddət ərzində qüvvədə qalacaq. Əsas Sazişin hər hansı bir səbəbdən ləğvi bu MPA-nı avtomatik olaraq ləğv edəcək.
Xitamdan sonra, Prosessorun 5.6-cı maddə (məlumatların silinməsi və ya qaytarılması) üzrə öhdəlikləri qüvvədə qalır və Prosessor xitamdan sonrakı 30 gün ərzində Müştəri Məlumatlarının silinməsini və ya qaytarılmasını tamamlamalıdır. Məxfilik, məsuliyyət, tətbiq olunan qanun və auditlə bağlı maddələr də xitamdan sonra qüvvədə qalır.
Bu Müqavilə İspaniya qanunlarına uyğun olaraq tənzimlənir və şərh olunur. Tərəflər bu Müqavilədən irəli gələn və ya onunla əlaqəli hər hansı mübahisənin həlli üçün Madrid məhkəmələrinin qeyri-müstəsna yurisdiksiyasına tabe olurlar. Bu Müqavilənin hər hansı bir müddəası SCC-lərlə ziddiyyət təşkil etdiyi təqdirdə, SCC-lər üstünlük təşkil edir.
Bütün Müqavilə: Bu MPA, Əlavələri və Əsas Sazişlə birlikdə, Tərəflər arasında bu sənədin mövzusu ilə bağlı tam razılaşmanı təşkil edir və məlumatların emalı ilə bağlı bütün əvvəlki razılaşmaları, anlaşmaları və ya təqdimatları əvəz edir.
Düzəlişlər: Bu MPA yalnız hər iki Tərəfin səlahiyyətli nümayəndələri tərəfindən imzalanmış yazılı razılaşma ilə dəyişdirilə bilər.
Bölünmə qabiliyyəti: Bu DPA-nın hər hansı bir müddəası etibarsız və ya icrası mümkün olmayan hesab edilərsə, qalan müddəalar tam qüvvədə qalacaq və qüvvədə qalacaq.
Üstünlük: Bu DPA ilə Cədvəllər arasında ziddiyyət yarandıqda, Cədvəldə açıq şəkildə başqa hal nəzərdə tutulmayıbsa, DPA-nın orqanı üstünlük təşkil edir. Bu DPA ilə SCC-lər (tətbiq olunduğu hallarda) arasında ziddiyyət yarandıqda, SCC-lər üstünlük təşkil edir.
Emalın mövzusu Xygeni tərəfindən təmin edilməsidir application security posture management, software supply chain security təhlil, zəiflik aşkarlanması, CI/CD Əsas Sazişdə təsvir edildiyi kimi təhlükəsizlik monitorinqi və əlaqəli xidmətlər.
Müştəri Məlumatlarının toplanması, təşkili, strukturlaşdırılması, saxlanması, təhlili, çıxarılması, istifadəsi, ötürülməsi, uyğunlaşdırılması və ya birləşdirilməsi, məhdudlaşdırılması, silinməsi və ya məhv edilməsi yolu ilə açıqlanması.
Müştəri Məlumatlarının emalı yalnız Nəzarətçiyə Xidmətlər göstərmək məqsədi ilə həyata keçirilir, o cümlədən: təhlükəsizlik zəifliyinin aşkarlanması və hesabat verilməsi; proqram təminatı təchizatı zənciri risklərinin təhlili; CI/CD pipeline security monitorinq; anomaliya aşkarlanması; və müştəri dəstəyi.
Prosessor Əsas Sazişin müddəti ərzində Müştəri Məlumatlarını emal etməlidir. Ləğv edildikdə, Prosessor, Nəzarətçi daha erkən silinməni tələb etmədiyi təqdirdə, abunəliyin bitmə tarixindən sonra silinməzdən əvvəl Müştəri Məlumatlarını 3 ay saxlamalıdır. Sınaq hesabı məlumatları sınaq müddəti bitdikdən sonra 1 ay saxlanılır.
| Kateqoriya | Nümunələr |
|---|---|
| İstifadəçi hesabı məlumatları | Ad, e-poçt ünvanı, istifadəçi adı, parol heşi, rol, təşkilat |
| Fəaliyyət və istifadə məlumatları | Login hadisələr, API zəngləri, skanlama fəaliyyəti qeydləri, zaman damgaları, IP ünvanları |
| Təhlükəsizlik tapma metadatası | Depo adları, fayl yolları (tapıntıların baş verdiyi yer), asılılıq metaməlumatları, pipeline konfiqurasiya istinadları |
| Rabitə məlumatları | Dəstək biletləri, Xidmətlərlə bağlı elektron poçt yazışmaları |
Məlumat Subyektlərinə aşağıdakılar daxildir: Xidmətlərə daxil olan Nəzarətçinin işçiləri, podratçıları və digər səlahiyyətli istifadəçiləri; depolara töhfə verənlər (tərtibatçılar, bot hesabları, qurma agentləri) və pipelineXidmətlər tərəfindən monitorinq edilir; və Nəzarətçinin nümayəndələri və əlaqə şəxsləri.
Xidmətlər GDPR-in 9-cu maddəsində müəyyən edildiyi kimi xüsusi kateqoriyalı şəxsi məlumatları emal etmək üçün nəzərdə tutulmayıb. Nəzarətçi, Xygeni ilə əvvəlcədən yazılı razılaşma və müvafiq əlavə təhlükəsizlik tədbirləri olmadan Xidmətlərə xüsusi kateqoriyalı şəxsi məlumatları təqdim etməyəcəyinə zəmanət verir.
Xygeni, Xygeni-nin ISO 27001 sertifikatlı informasiya təhlükəsizliyi idarəetmə sisteminə uyğun olaraq Müştəri Məlumatlarını qorumaq üçün aşağıdakı texniki və təşkilati tədbirləri həyata keçirir:
