Пагадненне аб апрацоўцы дадзеных

Бакам

Гэта Пагадненне аб апрацоўцы дадзеных («DPA» або «Пагадненне») заключаецца паміж:

Кантролер дадзеных («Кантролер» або «Кліент»)

Апрацоўшчык дадзеных («Апрацоўшчык» або «Xygeni»):

Кантралёр і Апрацоўшчык далей паасобку называюцца «Бак», а разам — «Бакі».

Гэта Пагадненне аб абароне дадзеных з'яўляецца часткай Генеральнага пагаднення аб абслугоўванні або Умоў абслугоўвання («Асноўнае пагадненне») паміж Бакамі, якое рэгулюе забеспячэнне кампаніяй Xygeni бяспекі сваіх прыкладанняў і software supply chain security паслугі («Паслугі»). У выпадку супярэчнасцей паміж гэтым Пагадненнем аб абароне даных і Асноўным пагадненнем, гэта Пагадненне аб абароне даных мае пераважную сілу ў пытаннях абароны даных.

1. Азначэнні

Для мэт гэтага Пагаднення аб абароне дадзеных:

• «GDPR» азначае Рэгламент (ЕС) 2016/679 Еўрапейскага парламента і Савета ад 27 красавіка 2016 г. аб абароне фізічных асоб пры апрацоўцы персанальных дадзеных.
• «ЛОПДГДД» азначае Ley Organica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales.
• «Персанальныя даныя», «Апрацоўка», «Кантролер», «Апрацоўшчык», «Падпрацоўшчык», «Суб'ект даных», «Наглядальны орган», «Парушэнне бяспекі персанальных даных» маюць значэнні, прысвоеныя ім у GDPR.
• «Дадзеныя кліента» азначае любыя персанальныя даныя, перададзеныя Кантралёрам або ад яго імя ў Паслугі, або апрацаваныя Апрацоўшчыкам ад імя Кантралёра ў сувязі з Паслугамі.
• «Субпадпрацоўшчык» азначае любую трэцюю асобу, прыцягнутую Апрацоўшчыкам з папярэдняга дазволу Кантралёра (як апісана ў пункце 7) для апрацоўкі Даных кліента ад імя Кантралёра.
• «SCC» азначае, што Standard Дагаворныя палажэнні аб перадачы персанальных дадзеных у трэція краіны ў адпаведнасці з GDPR, зацверджаныя Выканаўчым дэкларацыяй Еўрапейскай камісііcisПастанова (ЕС) 2021/914 ад 4 чэрвеня 2021 г.
• «Паслугі» азначае, што application security posture management, software supply chain security, выяўленне ўразлівасцей і звязаныя з імі паслугі, якія Xygeni прадастаўляе кантралёру ў адпаведнасці з Асноўнай дамовай.
• «Дзеючае заканадаўства аб абароне дадзеных» азначае GDPR, LOPDGDD і любое іншае дзеючае нацыянальнае заканадаўства аб абароне даных з папраўкамі, якія час ад часу змяняюцца.

2. Ролі бакоў

Бакі прызнаюць і пагаджаюцца з наступным:

• Кантралёр выступае ў якасці кантралёра дадзеных у дачыненні да дадзеных кліента і нясе адказнасць за вызначэнне мэт і сродкаў апрацоўкі дадзеных кліента, прадстаўленых у рамках Паслуг.
• Апрацоўшчык дзейнічае ў якасці апрацоўшчыка дадзеных у дачыненні да дадзеных кліента і апрацоўвае такія дадзеныя выключна ад імя і ў адпаведнасці з дакументальна пацверджанымі інструкцыямі Кантралёра.
• Кожны з Бакоў павінен выконваць свае адпаведныя абавязацельствы ў адпаведнасці з Дзеючым заканадаўствам аб абароне даных у якасці Кантралёра або Апрацоўшчыка даных.

Калі Xygeni апрацоўвае персанальныя даныя для ўласных мэтаў (напрыклад, кіраванне ўліковымі запісамі, выстаўленне рахункаў, аналітыка паляпшэння паслуг), яна выступае ў якасці незалежнага кантралёра. Такая апрацоўка рэгулюецца Палітыкай прыватнасці Xygeni і не падпадае пад дзеянне гэтага Пагаднення аб абароне дадзеных.

3. Прадмет, характар ​​і мэта апрацоўкі

Прадмет, характар, працягласць і мэта апрацоўкі, а таксама тыпы апрацоўваемых персанальных дадзеных і катэгорыі суб'ектаў дадзеных выкладзены ў Дадатку 1 (Падрабязнасці апрацоўкі) да гэтага Пагаднення аб абароне дадзеных.

Апрацоўшчык павінен апрацоўваць Дадзеныя Кліента толькі ў той ступені, у якой гэта неабходна для прадастаўлення Паслуг, апісаных у Асноўным пагадненні, і ў адпаведнасці з дакументальна аформленымі інструкцыямі Кантралёра, калі гэта не патрабуецца дзеючым заканадаўствам. У такім выпадку Апрацоўшчык павінен паведаміць Кантралёру аб гэтым юрыдычным патрабаванні перад апрацоўкай, калі гэта не забаронена законам па важных прычынах грамадскага інтарэсу.

4. Інструкцыі кантралёра

Кантралёры даручаюць Апрацоўшчыку апрацоўваць Дадзеныя Кліента ў адпаведнасці з Асноўным пагадненнем; (б) выконваць інструкцыі Кантралёра, якія перыядычна перадаюцца ў пісьмовай форме; і (в) выконваць абавязацельствы Апрацоўшчыка ў адпаведнасці з гэтым Пагадненнем аб апрацоўцы дадзеных.

Апрацоўшчык павінен неадкладна паведаміць Кантралёру, калі, на яго абгрунтаваную думку, інструкцыя Кантралёра парушае дзеючае заканадаўства аб абароне даных. У такім выпадку Апрацоўшчык мае права спыніць апрацоўку ў адпаведнасці з такой інструкцыяй, пакуль Кантралер не ўдакладніць або не зменіць інструкцыю.

Кантралёры гарантуюць і сцвярджаюць, што: (а) яны маюць законную падставу ў адпаведнасці з арт. 6 GDPR (і, дзе гэта дастасавальна, арт. 9) для апрацоўкі адпаведных персанальных дадзеных; (б) яны прадаставілі ўсе неабходныя паведамленні і атрымалі ўсе неабходныя згоды; і (в) перадача дадзеных кліента апрацоўшчыку не парушае ніякіх дзеючых законаў.

5. Абавязкі апрацоўшчыка

5.1 Абмежаванні на апрацоўку

Апрацоўшчык павінен апрацоўваць Дадзеныя Кліента толькі па дакументальна задакументаваных інструкцыях Кантралёра, калі гэта не патрабуецца дзеючым заканадаўствам ЕС або дзяржавы-члена. Апрацоўшчык не павінен апрацоўваць Дадзеныя Кліента для ўласных мэтаў або раскрываць іх трэцім асобам, за выключэннем выпадкаў, калі гэта неабходна для прадастаўлення Паслуг або калі гэта патрабуецца заканадаўствам.

5.2 Канфідэнцыяльнасць

Апрацоўшчык павінен гарантаваць, што асобы, упаўнаважаныя апрацоўваць даныя кліента, маюць commitабавязаліся захоўваць канфідэнцыяльнасць або маюць адпаведнае заканадаўчае абавязацельства па захаванні канфідэнцыяльнасці. Доступ да дадзеных кліента павінен быць абмежаваны тымі супрацоўнікамі, падрадчыкамі і субапрацоўшчыкамі, якім доступ неабходны для прадастаўлення паслуг.

5.3 Меры бяспекі

Апрацоўшчык павінен укараніць і падтрымліваць адпаведныя тэхнічныя і арганізацыйныя меры для абароны дадзеных кліента ад несанкцыянаванай або незаконнай апрацоўкі, а таксама ад выпадковай страты, знішчэння, пашкоджання, змены або раскрыцця, улічваючы:

• сучасны стан і выдаткі на ўкараненне;
• характар, аб'ём, кантэкст і мэты апрацоўкі;
• рызыкі для правоў і свабод фізічных асоб, у прыватнасці, ад выпадковага або незаконнага знішчэння, страты, змены, несанкцыянаванага раскрыцця або доступу да дадзеных кліентаў, якія перадаюцца, захоўваюцца або апрацоўваюцца іншым чынам.

Такія меры павінны ўключаць, як мінімум, тыя, што выкладзены ў Дадатку 2 (Тэхнічныя і арганізацыйныя меры бяспекі) да гэтага Пагаднення аб абароне дадзеных. Сертыфікацыя апрацоўшчыка па ISO 27001 сведчыць аб наяўнасці базавай сістэмы кіравання інфармацыйнай бяспекай. Апрацоўшчык павінен падтрымліваць сертыфікацыю ISO 27001 або эквівалент на працягу ўсяго тэрміну дзеяння гэтага Пагаднення аб абароне дадзеных.

5.4 Правы суб'екта дадзеных

Апрацоўшчык, улічваючы характар ​​апрацоўкі, павінен дапамагаць Кантралёру з дапамогай адпаведных тэхнічных і арганізацыйных мер, наколькі гэта магчыма, выконваць абавязак Кантралёра рэагаваць на запыты аб выкананніcisправы Суб'ектаў дадзеных у адпаведнасці з дзеючым заканадаўствам аб абароне дадзеных (у тым ліку правы доступу, выпраўлення, сцірання, абмежавання, пераноснасці і пярэчання ў адпаведнасці з артыкуламі 15–22 GDPR).

Апрацоўшчык абавязаны: (а) неадкладна паведаміць Кантралёру, калі Апрацоўшчык атрымае запыт ад Суб'екта дадзеных адносна Даных Кліента; (б) не адказваць на такія запыты, за выключэннем выпадкаў, калі гэта прадугледжана дакументальна задакументаванымі інструкцыямі Кантралёра або дзеючым заканадаўствам; і (в) аказваць Кантралёру разумную дапамогу ў адказе на такія запыты ў адпаведнасці з дзеючымі заканадаўчымі тэрмінамі (30 дзён у адпаведнасці з арт. 12 GDPR).

5.5 Дапамога ў выкананні абавязкаў кантралёра

Апрацоўшчык павінен дапамагаць Кантралёру ў забеспячэнні выканання абавязацельстваў, прадугледжаных артыкуламі 32–36 GDPR, улічваючы характар ​​апрацоўкі і інфармацыю, даступную Апрацоўшчыку, у тым ліку адносна:

• бяспека апрацоўкі (арт. 32);
• паведамленне аб парушэннях бяспекі персанальных дадзеных у наглядны орган і паведамленне суб'ектаў дадзеных (арт. 33–34);
• ацэнкі ўздзеяння на абарону дадзеных і папярэднія кансультацыі (арт. 35–36).

5.6 Выдаленне або вяртанне дадзеных

Пасля спынення або заканчэння тэрміну дзеяння Асноўнай дамовы, або па запыце Кантралёра, Апрацоўшчык павінен, па выбары Кантралёра, выдаліць або вярнуць Кантралёру ўсе Дадзеныя Кліента, якія знаходзяцца ў яго распараджэнні, а таксама выдаліць існуючыя копіі, калі толькі дзеючае заканадаўства ЕС або дзяржавы-члена не патрабуе захоўвання Персанальных даных. Апрацоўшчык павінен пацвердзіць завяршэнне выдалення ў пісьмовай форме на працягу 30 дзён з моманту адпаведнага запуску.

Працэсар standard Графік захоўвання дадзеных (вызначаны ў Дадатку 1) будзе ўжывацца, калі Кантралёр раней не зробіць запыт на выдаленне.

5.7 Аўдыт і дэманстрацыя адпаведнасці

Апрацоўшчык павінен прадастаўляць Кантралёру ўсю інфармацыю, неабходную для дэманстрацыі выканання абавязацельстваў, выкладзеных у гэтым Пагадненні аб абароне дадзеных, а таксама дазваляць праводзіць аўдыты, у тым ліку праверкі, якія праводзяцца Кантралёрам або аўдытарам, прызначаным Кантралёрам, і ўносіць у іх свой уклад.

Апрацоўшчык можа выканаць гэтае абавязацельства, прадаставіўшы:

• копія дзеючага сертыфіката ISO 27001 або справаздачы SOC 2 тыпу II (пасля атрымання);
• запаўненне анкеты бяспекі Кантралёра (на працягу 10 рабочых дзён з моманту атрымання);
• разумныя выязныя праверкі пасля папярэдняга пісьмовага паведамлення за 30 дзён, за кошт Кантралёра, не часцей за адзін раз у каляндарны год (калі няма абгрунтаванага падазрэння ў невыкананні патрабаванняў).

6. Паведамленне аб парушэнні бяспекі персанальных дадзеных

Апрацоўшчык павінен паведаміць Кантралёру без непатрэбнай затрымкі і ў любым выпадку на працягу 48 гадзін пасля таго, як яму стала вядома пра парушэнне бяспекі персанальных дадзеных, якое закранае дадзеныя кліента. Такое паведамленне павінна ўключаць, наколькі гэта магчыма на той момант:

• апісанне характару парушэння абароны персанальных дадзеных, у тым ліку катэгорыі і прыблізную колькасць адпаведных Суб'ектаў дадзеных, а таксама катэгорыі і прыблізную колькасць адпаведных запісаў персанальных дадзеных;
• імя і кантактныя дадзеныя супрацоўніка па абароне дадзеных або іншага кантактнага пункта, ад якога можна атрымаць дадатковую інфармацыю;
• апісанне верагодных наступстваў парушэння бяспекі персанальных дадзеных;
• апісанне прынятых або прапанаваных мер для ліквідацыі парушэння абароны персанальных дадзеных, у тым ліку, пры неабходнасці, мер па змяншэнні яго магчымых негатыўных наступстваў.

Калі немагчыма прадаставіць усю вышэйпаказаную інфармацыю адначасова, інфармацыя можа быць прадастаўлена паэтапна без непатрэбнай далейшай затрымкі. Апрацоўшчык павінен супрацоўнічаць з Кантралёрам і прымаць такія разумныя меры, якія Кантралёру могуць спатрэбіцца для садзейнічання ў расследаванні, змякчэнні і ліквідацыі наступстваў парушэння.

Бакі прызнаюць, што абавязак у адпаведнасці з артыкулам 33 GDPR паведамляць кампетэнтнаму нагляднаму органу (Agencia Española de Protección de Datos — AEPD або іншаму адпаведнаму органу) на працягу 72 гадзін з моманту атрымання інфармацыі аб парушэнні бяспекі персанальных дадзеных ляжыць на Кантралёры як кантралёры дадзеных. Паведамленне Апрацоўшчыка кантралёру ў адпаведнасці з гэтым пунктам мае на мэце дазволіць Кантралёру выканаць гэтае рэгулятарнае абавязацельства. Паведамленне Апрацоўшчыка не з'яўляецца прызнаннем віны або адказнасці.

7. Субпадрадчыкі

7.1 Агульнае дазвол

Кантралёры даюць Апрацоўшчыку агульны дазвол на прыцягненне Субпадрадчыкаў, пералічаных у Дадатку 3 (Зацверджаныя Субпадрадчыкі) да гэтага Пагаднення аб абароне дадзеных. Апрацоўшчык павінен ускласці на кожнага Субпадрадчыка абавязацельствы па абароне дадзеных, эквівалентныя тым, што выкладзены ў гэтым Пагадненні аб абароне дадзеных, у прыватнасці, забяспечваючы дастатковыя гарантыі для рэалізацыі адпаведных тэхнічных і арганізацыйных мер.

7.2 Змены ў субпадпарадкавальніках

Апрацоўшчык павінен паведаміць Кантралёру аб любых запланаваных зменах, якія тычацца дадання або замены Субпадрадчыкаў, шляхам: (а) абнаўлення спісу Субпадрадчыкаў, апублікаванага па адрасе https://xygeni.io/legal/subprocessors, з указаннем перагледжанай даты «Апошняга абнаўлення»; і (б) падачы пісьмовага паведамлення Кантралёру не менш чым за дзесяць (10) дзён да ўступлення змяненняў у сілу. Кантралёра можа пярэчыць супраць змяненняў па разумных прычынах абароны дадзеных на працягу сямі (7) дзён з моманту такога паведамлення. Калі Кантралёра пярэчыць, і Бакі не могуць вырашыць пярэчанне, Кантралёра можа скасаваць Асноўнае пагадненне, папярэдзіўшы Бакі разумным чынам без штрафных санкцый.

Калі Апрацоўшчык наймае Субпадрадчыка, Апрацоўшчык застаецца цалкам адказным перад Кантралёрам за выкананне абавязацельстваў гэтага Субпадрадчыка ў той ступені, у якой Субпадрадчык не выконвае сваіх абавязацельстваў па абароне даных.

7.3 Патрабаванні да пераходу субпадпрацоўшчыкаў

Для кожнага Субпадпарадніка апрацоўкі Апрацоўшчык павінен:

• праводзіць належную праверку перад тым, як прыцягваць субапрацоўшчыка;
• заключыць пісьмовае пагадненне аб апрацоўцы дадзеных, якое ўстанаўлівае абавязацельствы па абароне дадзеных, не менш абарончыя, чым тыя, што ў гэтым DPA;
• гарантаваць, што меры бяспекі Субпадрадчыка як мінімум эквівалентныя тым, якія патрабуюцца ў адпаведнасці з пунктам 5.3 і Дадаткам 2;
• уключаць абавязацельствы па паведамленні аб парушэннях, якія патрабуюць ад Субпадрадчыка паведаміць Апрацоўшчыку на працягу 24 гадзін пасля таго, як яму стала вядома аб парушэнні бяспекі персанальных дадзеных, каб Апрацоўшчык мог выканаць сваё абавязацельства па паведамленні Кантралёру на працягу 48 гадзін.

8. Міжнародныя трансферы

Апрацоўшчык не мае права перадаваць дадзеныя кліента ў краіну за межамі Еўрапейскай эканамічнай зоны (ЕЭЗ), калі толькі:

• Еўрапейская камісія прыняла палітыку дастатковасціcisіён для гэтай краіны ў адпаведнасці з артыкулам 45 GDPR; або
• адпаведныя меры бяспекі былі ўкаранёны ў адпаведнасці з артыкулам 46 GDPR, у тым ліку, але не абмяжоўваючыся імі, Standard Дагаворныя палажэнні, прынятыя Еўрапейскай камісіяй, якія выконваюццаcisПастанова (ЕС) 2021/914 ад 4 чэрвеня 2021 г. («ПДК»).

Калі патрабуюцца стандартныя дагаворныя ўмовы (СДК), Апрацоўшчык па запыце Кантролера павінен падпісаць адпаведныя СДК з Кантролерам і/або адпаведным Субпадпарадкавальнікам. Адпаведным модулем СДК з'яўляецца Модуль два (ад Кантролера да Апрацоўшчыка) для перадачы ад Кантролера да Апрацоўшчыка і Модуль тры (ад Апрацоўшчыка да Субпадпарадкавальніка) для далейшай перадачы Апрацоўшчыкам да Субпадпарадкавальнікаў.

Кампетэнтным наглядным органам у мэтах стандартных дагаворных палажэнняў з'яўляецца Іспанскае агенцтва па абароне даных (Agencia Española de Protección de Datos — AEPD), калі іншае не ўзгоднена ў пісьмовай форме.

Апрацоўшчык павінен весці і па запыце прадастаўляць Кантралёру бягучы ўлік усіх міжнародных перадач Даных кліента і адпаведны механізм перадачы для кожнай з іх.

9. Ацэнкі ўздзеяння на абарону дадзеных

Калі апрацоўка дадзеных, верагодна, прывядзе да высокай рызыкі для правоў і свабод фізічных асоб, і Кантралёра абавязаны правесці ацэнку ўздзеяння на абарону дадзеных (DPIA) у адпаведнасці з артыкулам 35 GDPR, Апрацоўшчык павінен прадаставіць Кантралёру разумную дапамогу і інфармацыю, неабходную для таго, каб Кантралёру было дазволена правесці DPIA. Апрацоўшчык павінен адказаць на разумныя запыты Кантралёра, звязаныя з DPIA, на працягу 15 рабочых дзён.

10. Запісы аб апрацоўцы дадзеных

Апрацоўшчык павінен па запыце Кантралёра весці ўлік дзейнасці па апрацоўцы, якая выконваецца ад імя Кантралёра, у адпаведнасці з артыкулам 30(2) GDPR, у тым ліку: імя і кантактныя дадзеныя Апрацоўшчыка і любых падаўцоў-апрацоўшчыкаў; катэгорыі апрацоўкі, якая выконваецца ад імя Кантралёра; перадачу персанальных дадзеных у трэцюю краіну; і агульнае апісанне тэхнічных і арганізацыйных мер бяспекі.

11. Адказнасць

Адказнасць кожнага з Бакоў перад іншым бокам у адпаведнасці з гэтым Пагадненнем аб абароне даных або ў сувязі з ім рэгулюецца абмежаваннямі і выключэннямі, вызначанымі ў Асноўным пагадненні. Калі Суб'ект даных пацярпеў ад шкоды ў выніку апрацоўкі, якая парушае Дзеючае заканадаўства аб абароне даных, кожны з Бакоў нясе адказнасць за шкоду, прычыненую яго апрацоўкай, якая парушае GDPR, у адпаведнасці з артыкуламі 82–83 GDPR. Нішто ў гэтым пункце не абмяжоўвае адказнасць любога з Бакоў перад Суб'ектамі даных у адпаведнасці з дзеючым заканадаўствам.

12. Тэрмін і спыненне

Гэта Пагадненне аб сумежных пытаннях (ПСУ) уступае ў сілу з даты падпісання Асноўнага пагаднення (або з даты падпісання гэтага ПСУ, калі гэта пазней) і застаецца ў сіле на працягу ўсяго тэрміну дзеяння Асноўнага пагаднення. Спыненне дзеяння Асноўнага пагаднення па любой прычыне аўтаматычна спыняе дзеянне гэтага ПСУ.

Пасля спынення дамовы абавязацельствы Апрацоўшчыка паводле пункта 5.6 (выдаленне або вяртанне даных) застаюцца ў сіле, і Апрацоўшчык павінен завяршыць выдаленне або вяртанне даных кліента на працягу 30 дзён з моманту спынення. Пункты, якія тычацца канфідэнцыяльнасці, адказнасці, рэгулюючага заканадаўства і аўдыту, таксама застаюцца ў сіле пасля спынення дамовы.

13. Рэгулюючае права і юрысдыкцыя

Гэта Пагадненне аб абароне дадзеных рэгулюецца і тлумачыцца ў адпаведнасці з заканадаўствам Іспаніі. Бакі падпарадкоўваюцца невыключнай юрысдыкцыі судоў Мадрыда для вырашэння любых спрэчак, якія ўзнікаюць з гэтага Пагаднення аб абароне дадзеных або ў сувязі з ім. У выпадку, калі якое-небудзь палажэнне гэтага Пагаднення аб абароне дадзеных супярэчыць Парадным дагаворным умовам, Парадныя дагаворныя ўмовы маюць пераважную сілу.

14. Рознае

Поўнае пагадненне: Гэта Пагадненне аб апрацоўцы дадзеных разам з Дадаткамі і Асноўным пагадненнем складае поўнае пагадненне паміж Бакамі адносна прадмета гэтага пагаднення і замяняе ўсе папярэднія пагадненні, дамоўленасці або заявы, якія тычацца апрацоўкі дадзеных.

Папраўкі: Гэта Пагадненне аб узаемадзеянні можа быць зменена толькі па пісьмовай дамоўленасці, падпісанай упаўнаважанымі прадстаўнікамі абодвух Бакоў.

Падзельнасць: Калі якое-небудзь палажэнне гэтага Пагаднення аб абароне дадзеных будзе прызнана несапраўдным або невыканальным, астатнія палажэнні застануцца ў поўнай сіле і дзеянні.

Прыярытэт: У выпадку супярэчнасці паміж гэтым Пагадненнем аб абароне персанальных дадзеных і Дадаткамі, перавагу мае тэкст Пагаднення аб абароне персанальных дадзеных, калі іншае не прадугледжана ў Дадатку. У выпадку супярэчнасці паміж гэтым Пагадненнем аб абароне персанальных дадзеных і Параднымі дамовамі аб умовах (дзе гэта дастасавальна), перавагу маюць Парадныя дамовы аб умовах.

ДАДАТАК 1 — Падрабязнасці апрацоўкі

1. Тэма

Прадметам апрацоўкі з'яўляецца прадастаўленне кампаніяй Xygeni application security posture management, software supply chain security аналіз, выяўленне ўразлівасцяў, CI/CD маніторынг бяспекі і звязаныя з гэтым паслугі, як апісана ў Асноўным пагадненні.

2. Характар ​​апрацоўкі

Збор, арганізацыя, структураванне, захоўванне, аналіз, пошук, выкарыстанне, раскрыццё шляхам перадачы, супастаўлення або аб'яднання, абмежаванне, сціранне або знішчэнне дадзеных кліента.

3. Мэта апрацоўкі

Апрацоўка дадзеных кліента ажыццяўляецца выключна з мэтай прадастаўлення паслуг кантралёру, у тым ліку: выяўленне і справаздачнасць аб уразлівасцях бяспекі; аналіз рызык ланцужка паставак праграмнага забеспячэння; CI/CD pipeline security маніторынг; выяўленне анамалій; і падтрымка кліентаў.

4. Працягласць апрацоўкі

Апрацоўшчык павінен апрацоўваць даныя кліента на працягу тэрміну дзеяння Асноўнага пагаднення. Пасля спынення дзеяння Апрацоўшчык павінен захоўваць даныя кліента на працягу 3 месяцаў пасля даты заканчэння падпіскі да выдалення, калі Кантролер не запытае больш ранняе выдаленне. Даныя пробнага ўліковага запісу захоўваюцца на працягу 1 месяца пасля заканчэння пробнага перыяду.

5. Тыпы персанальных дадзеных

6. Катэгорыі суб'ектаў дадзеных

Суб'екты дадзеных ўключаюць: супрацоўнікаў, падрадчыкаў і іншых аўтарызаваных карыстальнікаў Кантралёра, якія маюць доступ да Паслуг; удзельнікаў (распрацоўшчыкаў, ботаў, агентаў зборкі) рэпазіторыяў і pipelineкантралююцца Службамі; а таксама прадстаўнікі і кантактныя асобы Кантралёра.

7. Дадзеныя спецыяльнай катэгорыі

Сэрвісы не прызначаны для апрацоўкі персанальных дадзеных спецыяльнай катэгорыі, як гэта вызначана ў артыкуле 9 GDPR. Кантралёры гарантуюць, што не будуць перадаваць персанальныя дадзеныя спецыяльнай катэгорыі Сэрвісам без папярэдняга пісьмовага ўзгаднення з Xygeni і ўкаранення адпаведных дадатковых мер бяспекі.

ДАДАТАК 2 — Тэхнічныя і арганізацыйныя меры бяспекі

Xygeni ўкараняе наступныя тэхнічныя і арганізацыйныя меры для абароны дадзеных кліентаў у адпаведнасці з сертыфікаванай па стандарту ISO 27001 сістэмай кіравання інфармацыйнай бяспекай Xygeni:

Кіраванне доступам

• Кантроль доступу на аснове роляў (RBAC) ужываецца ва ўсіх сістэмах, якія апрацоўваюць даныя кліентаў.
• Шматфактарная аўтэнтыфікацыя (MFA) патрабуецца для ўсіх супрацоўнікаў Xygeni, якія маюць доступ да вытворчых сістэм.
• Прынцып найменшых прывілеяў ужываецца да ўсіх уліковых запісаў карыстальнікаў; правы доступу пераглядаюцца штоквартальна.
• Аўтэнтыфікацыя на аснове ключа SSH для доступу да прадукцыйнага сервера; аўтэнтыфікацыя па паролі адключана.

шыфраванне дадзеных

• Дадзеныя кліента шыфруюцца падчас перадачы з выкарыстаннем TLS 1.2 або вышэйшай версіі.
• Дадзеныя кліента шыфруюцца ў стане спакою з выкарыстаннем AES-256 або эквівалента.
• Ключы шыфравання кіруюцца праз службу кіравання ключамі AWS (KMS).

сеткавай бяспекі

• Вытворчыя сістэмы, размешчаныя ў віртуальным прыватным воблаку AWS (VPC) з сегментацыяй сеткі.
• Брандмаўэр вэб-праграм (WAF) разгорнуты для публічна даступных канчатковых кропак.
• Сістэмы выяўлення і прадухілення ўварванняў усталяваныя.
• Рэгулярнае сканаванне ўразлівасцяў і тэставанне на пранікненне інфраструктурных і прыкладных узроўняў.

Фізічная бяспека

• Дадзеныя кліентаў, размешчаныя ў цэнтрах апрацоўкі дадзеных AWS з сертыфікатамі SOC 2 Type II і ISO 27001.
• Фізічны доступ да аб'ектаў цэнтра апрацоўкі дадзеных абмежаваны ўпаўнаважаным персаналам AWS з біяметрычным кантролем.

Даступнасць і ўстойлівасць

• Штодзённае аўтаматычнае рэзервовае капіраванне ўсіх дадзеных кліента, якое захоўваецца не менш за 7 дзён.
• Цэласнасць рэзервовай копіі перыядычна правяраецца.
• Disastпрацэдуры аднаўлення дакументуюцца і правяраюцца штогод.

кіраванне інцыдэнтамі

• План рэагавання на інцыдэнты бяспекі падтрымліваецца і правяраецца штогод.
• Падзеі бяспекі кантралююцца і рэгіструюцца; папярэджанні разглядаюцца службай аперацый бяспекі.
• Працэдуры апавяшчэння аб парушэннях бяспекі персанальных дадзеных існуюць для выканання абавязку па апавяшчэнні кантралёра за 48 гадзін.

персанал

• Усе супрацоўнікі Xygeni, якія маюць доступ да дадзеных кліентаў, звязаны абавязацельствамі па захаванні канфідэнцыяльнасці.
• Штогод для ўсіх супрацоўнікаў праводзіцца навучанне па пытаннях бяспекі.
• Правядзенне праверкі біяграфічных дадзеных персаналу, які мае доступ да вытворчых сістэм, у ступені, дазволенай дзеючым заканадаўствам.

Кіраванне трэцімі асобамі

• Субпадрадчыкі, якія праходзяць ацэнку адпаведнасці патрабаванням бяспекі, перад узаемадзеяннем.
• Пагадненні аб апрацоўцы дадзеных заключаны з усімі субапрацоўшчыкамі.

Certification

• Xygeni мае сертыфікат ISO 27001 (сістэма кіравання інфармацыйнай бяспекай).
• Xygeni імкнецца атрымаць сертыфікацыю SOC 2 тыпу II; сертыфікат будзе прадастаўлены кантралёру пасля завяршэння.