Ugovor o obradi podataka

Strane

Ovaj Ugovor o obradi podataka („DPA“ ili „Ugovor“) sklapa se između:

Kontrolor podataka („Kontrolor“ ili „Kupac“)

Obrađivač podataka („Obrađivač“ ili „Xygeni“):

Kontrolor i Obrađivač se u daljem tekstu pojedinačno nazivaju „Strana“, a zajedno „Strane“.

Ovaj DPA čini dio Glavnog ugovora o uslugama ili Uslova korištenja usluge („Glavni ugovor“) između Strana koji regulišu pružanje sigurnosti aplikacija od strane Xygenija i software supply chain security usluge („Usluge“). U slučaju sukoba između ovog Ugovora o obradi podataka i Glavnog ugovora, ovaj Ugovor o obradi podataka će imati prednost u pogledu pitanja zaštite podataka.

1. definicije

Za potrebe ovog Ugovora o obradi podataka:

• “GDPR” znači Uredba (EU) 2016/679 Evropskog parlamenta i Vijeća od 27. aprila 2016. o zaštiti fizičkih lica u vezi s obradom ličnih podataka.
• "LOPDGDD" znači Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales.
• „Lični podaci“, „Obrada“, „Kontrolor“, „Obrađivač“, „Podobrađivač“, „Subjekt podataka“, „Nadzorni organ“, „Kršenje ličnih podataka“ imat će značenja koja su im pripisana u GDPR-u.
• "Podaci o kupcima" označava sve lične podatke koje je Kontrolor dostavio ili neko u njegovo ime Uslugama, ili koje je Obrađivač obradio u ime Kontrolora u vezi s Uslugama.
• "Pod-obrađivač" označava bilo koju treću stranu koju angažuje Obrađivač, uz prethodno odobrenje Kontrolora (kako je opisano u Klauzuli 7), za obradu Podataka o Kupcu u ime Kontrolora.
• "SCC" znači Standard Ugovorne klauzule za prenos ličnih podataka u treće zemlje u skladu sa GDPR-om, kako ih je odobrila Implementaciona direktiva Evropske komisijecisUredba (EU) 2021/914 od 4. juna 2021.
• “Usluge” znači application security posture management, software supply chain security, otkrivanje ranjivosti i srodne usluge koje Xygeni pruža Kontroloru u skladu s Osnovnim ugovorom.
• "Primjenjivi zakon o zaštiti podataka" označava GDPR, LOPDGDD i sve ostale primjenjive nacionalne zakone o zaštiti podataka, s izmjenama i dopunama koje se s vremena na vrijeme mijenjaju.

2. Uloge stranaka

Strane priznaju i saglasne su da:

• Kontrolor djeluje kao kontrolor podataka u pogledu Podataka korisnika i odgovoran je za određivanje svrha i sredstava obrade Podataka korisnika dostavljenih Uslugama.
• Obrađivač djeluje kao obrađivač podataka u pogledu Podataka o kupcima i obrađuje takve podatke isključivo u ime i prema dokumentiranim uputama Kontrolora.
• Svaka Strana će se pridržavati svojih obaveza prema Primjenjivom zakonu o zaštiti podataka u svojoj ulozi Kontrolora ili Obrađivača.

Tamo gdje Xygeni obrađuje lične podatke za vlastite potrebe (npr. upravljanje računima, naplata, analitika poboljšanja usluga), djeluje kao nezavisni Kontrolor. Takva obrada je regulirana Politikom privatnosti Xygenija i izvan je opsega ovog DPA-a.

3. Predmet, priroda i svrha obrade

Predmet, priroda, trajanje i svrha obrade, kao i vrste obrađenih ličnih podataka i kategorije subjekata podataka, navedeni su u Prilogu 1 (Detalji obrade) ovog Ugovora o obradi podataka.

Obrađivač će obrađivati ​​Podatke o kupcima samo u mjeri u kojoj je to potrebno za pružanje Usluga opisanih u Osnovnom ugovoru i u skladu s dokumentiranim uputama Kontrolora, osim ako to nije propisano važećim zakonom. U takvom slučaju, Obrađivač će obavijestiti Kontrolora o tom zakonskom zahtjevu prije obrade, osim ako to nije zakonom zabranjeno iz važnih razloga javnog interesa.

4. Upute kontrolora

Kontrolor nalaže Obrađivaču da obrađuje podatke o kupcima kako je potrebno za: (a) pružanje Usluga u skladu s Glavnim ugovorom; (b) poštivanje uputa Kontrolora koje se s vremena na vrijeme pismeno dostavljaju; i (c) ispunjavanje obaveza Obrađivača prema ovom Ugovoru o obradi podataka.

Obrađivač će odmah obavijestiti Kontrolora ako, po njegovom razumnom mišljenju, instrukcija Kontrolora krši Primjenjivi zakon o zaštiti podataka. U takvom slučaju, Obrađivač ima pravo prekinuti obradu u skladu s takvom instrukcijom dok Kontrolor ne pojasni ili izmijeni instrukciju.

Kontrolor garantuje i izjavljuje da: (a) ima valjanu pravnu osnovu prema članu 6. GDPR-a (i, gdje je primjenjivo, članu 9.) za obradu relevantnih ličnih podataka; (b) dostavio je sva potrebna obavještenja i dobio sve potrebne saglasnosti; i (c) prenos podataka o kupcima Obrađivaču ne krši nijedan primjenjivi zakon.

5. Obaveze obrađivača

5.1 Ograničenja obrade

Obrađivač će obrađivati ​​Podatke o kupcima samo na osnovu dokumentovanih uputstava Kontrolora, osim ako to nije obavezno prema važećem zakonu EU ili zakonu države članice. Obrađivač neće obrađivati ​​Podatke o kupcima za vlastite potrebe niti ih otkrivati ​​trećim stranama, osim ako je to potrebno za pružanje Usluga ili ako to zahtijeva zakon.

5.2 Povjerljivost

Obrađivač će osigurati da osobe ovlaštene za obradu Podataka klijenata imaju commitobavezali su se na povjerljivost ili su pod odgovarajućom zakonskom obavezom povjerljivosti. Pristup Podacima klijenata bit će ograničen na one zaposlenike, izvođače radova i podizvršitelje obrade kojima je pristup potreban u svrhu pružanja Usluga.

5.3 Sigurnosne mjere

Obrađivač će implementirati i održavati odgovarajuće tehničke i organizacijske mjere za zaštitu Podataka korisnika od neovlaštene ili nezakonite obrade i od slučajnog gubitka, uništenja, oštećenja, izmjene ili otkrivanja, uzimajući u obzir:

• najsavremenije tehnologije i troškovi implementacije;
• priroda, obim, kontekst i svrhe obrade;
• rizici za prava i slobode fizičkih osoba, posebno od slučajnog ili nezakonitog uništenja, gubitka, izmjene, neovlaštenog otkrivanja ili pristupa podacima o klijentima koji se prenose, pohranjuju ili na drugi način obrađuju.

Takve mjere će uključivati, najmanje, one navedene u Prilogu 2 (Tehničke i organizacijske sigurnosne mjere) ovog DPA-a. ISO 27001 certifikat Obrađivača pruža dokaz o osnovnom sistemu upravljanja sigurnošću informacija. Obrađivač će održavati ISO 27001 certifikat ili ekvivalent tokom cijelog trajanja ovog DPA-a.

5.4 Prava subjekta podataka

Obrađivač će, uzimajući u obzir prirodu obrade, pomoći Kontroloru odgovarajućim tehničkim i organizacijskim mjerama, koliko je to moguće, da ispuni svoju obavezu da odgovori na zahtjeve za izvršenjecisPrava Subjekata podataka prema Primjenjivom zakonu o zaštiti podataka (uključujući prava pristupa, ispravke, brisanja, ograničenja, prenosivosti i prigovora prema članovima 15-22 GDPR-a).

Obrađivač će: (a) odmah obavijestiti Kontrolora ako Obrađivač primi zahtjev od Subjekta podataka u vezi s Podacima klijenta; (b) neće odgovarati na takve zahtjeve osim na osnovu dokumentovanih uputa Kontrolora ili kako to zahtijeva važeći zakon; i (c) pružiti Kontroloru razumnu pomoć u odgovaranju na takve zahtjeve u okviru važećih zakonskih rokova (30 dana prema članu 12 GDPR-a).

5.5 Pomoć u vezi s obavezama Kontrolora

Obrađivač će pomoći Kontroloru u osiguravanju usklađenosti s obavezama iz članova 32-36 GDPR-a, uzimajući u obzir prirodu obrade i informacije dostupne Obrađivaču, uključujući i one u vezi s:

• sigurnost obrade (član 32);
• obavještavanje nadzornog organa o povredama ličnih podataka i komunikacija sa subjektima podataka (članovi 33–34);
• procjene utjecaja na zaštitu podataka i prethodne konsultacije (članovi 35–36).

5.6 Brisanje ili vraćanje podataka

Po raskidu ili isteku Glavnog ugovora, ili na zahtjev Kontrolora, Obrađivač će, po izboru Kontrolora, izbrisati ili vratiti Kontroloru sve Podatke o Klijentima koje posjeduje, te će izbrisati postojeće kopije, osim ako primjenjivo zakonodavstvo EU ili države članice ne zahtijeva pohranu Ličnih podataka. Obrađivač će pismeno potvrditi završetak brisanja u roku od 30 dana od relevantnog pokretača.

Procesor standard Raspored čuvanja podataka (naveden u Prilogu 1) primjenjivat će se osim ako Kontrolor ne podnese raniji zahtjev za brisanje.

5.7 Revizija i demonstracija usklađenosti

Obrađivač će staviti na raspolaganje Kontroloru sve informacije potrebne za dokazivanje usklađenosti s obavezama utvrđenim u ovom DPA-u, te će omogućiti i doprinijeti revizijama, uključujući inspekcije, koje provodi Kontrolor ili revizor kojeg je ovlastio Kontrolor.

Obrađivač može ispuniti ovu obavezu pružanjem:

• kopija važećeg ISO 27001 certifikata ili SOC 2 Type II izvještaja (nakon što se dobije);
• popunjavanje sigurnosnog upitnika Kontrolora (u roku od 10 radnih dana od prijema);
• razumne revizije na licu mjesta uz prethodnu pisanu obavijest od 30 dana, na trošak Kontrolora, ne više od jednom godišnje (osim ako postoji razumna sumnja na neusklađenost).

6. Obavještenje o povredi ličnih podataka

Obrađivač će obavijestiti Kontrolora bez nepotrebnog odlaganja, a u svakom slučaju u roku od 48 sati od saznanja o Povredi ličnih podataka koja utiče na Podatke o kupcu. Takva obavijest će uključivati, u mjeri u kojoj je to dostupno u tom trenutku:

• opis prirode povrede ličnih podataka, uključujući kategorije i približan broj dotičnih subjekata podataka i kategorije i približan broj dotičnih zapisa ličnih podataka;
• ime i kontaktni podaci službenika za zaštitu podataka ili druge kontakt osobe od koje se mogu dobiti dodatne informacije;
• opis vjerovatnih posljedica povrede ličnih podataka;
• opis preduzetih ili predloženih mjera za rješavanje povrede ličnih podataka, uključujući, gdje je to primjereno, mjere za ublažavanje njenih mogućih negativnih posljedica.

U slučaju da nije moguće istovremeno dostaviti sve gore navedene informacije, informacije se mogu dostaviti u fazama bez nepotrebnog daljnjeg odlaganja. Obrađivač će sarađivati ​​s Kontrolorom i poduzeti razumne korake koje Kontrolor može zahtijevati kako bi pomogao u istrazi, ublažavanju i sanaciji povrede.

Stranke potvrđuju da obaveza prema članu 33 GDPR-a da obavijesti nadležni nadzorni organ (Agencia Española de Protección de Datos — AEPD ili drugi relevantni organ) u roku od 72 sata od saznanja o Povredi ličnih podataka leži na Kontroloru kao kontroloru podataka. Obavještenje Obrađivača Kontroloru u skladu s ovom klauzulom ima za cilj da omogući Kontroloru da ispuni ovu regulatornu obavezu. Obavještenje Obrađivača ne predstavlja priznanje krivice ili odgovornosti.

7. Podobrađivači

7.1 Opće ovlaštenje

Kontrolor daje Obrađivaču opću autorizaciju za angažiranje Podobrađivača navedenih u Prilogu 3 (Odobreni Podobrađivači) u skladu s ovim Sporazumom o obradi podataka. Obrađivač će svakom Podobrađivaču nametnuti obaveze zaštite podataka ekvivalentne onima navedenim u ovom Sporazumu o obradi podataka, posebno pružajući dovoljne garancije za provedbu odgovarajućih tehničkih i organizacijskih mjera.

7.2 Promjene kod podobrađivača

Obrađivač će obavijestiti Kontrolora o svim planiranim promjenama u vezi s dodavanjem ili zamjenom Podobrađivača: (a) ažuriranjem liste Podobrađivača objavljene na https://xygeni.io/legal/subprocessors s revidiranim datumom „Posljednje ažuriranje“; i (b) dostavljanjem pismene obavijesti Kontroloru najmanje deset (10) dana prije stupanja na snagu promjene. Kontrolor može prigovoriti na promjenu iz opravdanih razloga zaštite podataka u roku od sedam (7) dana od takve obavijesti. Ako Kontrolor prigovori i Strane ne mogu riješiti prigovor, Kontrolor može raskinuti Glavni ugovor uz razumnu obavijest bez kazne.

Ako Obrađivač angažuje Podobrađivača, Obrađivač će ostati u potpunosti odgovoran Kontroloru za izvršenje obaveza tog Podobrađivača u mjeri u kojoj Podobrađivač ne ispuni svoje obaveze zaštite podataka.

7.3 Zahtjevi za prelazak podobrađivača

Za svakog podobrađivača, Obrađivač će:

• provesti odgovarajuću dubinsku analizu prije angažovanja Podizvršivača;
• sklopiti pisani ugovor o obradi podataka kojim se nameću obaveze zaštite podataka koje nisu manje zaštitne od onih u ovom DPA-u;
• osigurati da su sigurnosne mjere Podobrađivača barem ekvivalentne onima koje se zahtijevaju prema Klauzuli 5.3 i Prilogu 2;
• uključuju obaveze obavještavanja o kršenju koje zahtijevaju od Podobrađivača da obavijesti Obrađivača u roku od 24 sata od saznanja o kršenju ličnih podataka, kako bi Obrađivač mogao ispuniti svoju obavezu obavještavanja Kontrolora u roku od 48 sati.

8. Međunarodni transferi

Obrađivač neće prenositi podatke o kupcima u zemlju izvan Evropskog ekonomskog prostora (EEA) osim ako:

• Evropska komisija je usvojila politiku adekvatnosticiscija za tu zemlju prema članu 45 GDPR-a; ili
• implementirane su odgovarajuće zaštitne mjere u skladu s članom 46. GDPR-a, uključujući, ali ne ograničavajući se na Standard Ugovorne klauzule koje je usvojila Evropska komisija Provedbena odredbacisUredba (EU) 2021/914 od 4. juna 2021. („SCC“).

Tamo gdje su potrebni specijalni uvjeti i odredbe (SPK), Obrađivač će, na zahtjev Kontrolora, potpisati primjenjive specijalne uvjete i odredbe s Kontrolorom i/ili s relevantnim Podobrađivačem. Primjenjivi modul specijalnih uvjeta i odredbi bit će Modul dva (Od Kontrolora do Obrađivača) za prijenose od Kontrolora do Obrađivača, i Modul tri (Od Obrađivača do Podobrađivača) za daljnje prijenose od Obrađivača do Podobrađivača.

Nadležni nadzorni organ za potrebe standardnih ugovornih odredbi je Španska agencija za zaštitu podataka (Agencia Española de Protección de Datos — AEPD), osim ako nije drugačije pismeno dogovoreno.

Obrađivač će voditi i, na zahtjev, staviti na raspolaganje Kontroloru ažurnu evidenciju svih međunarodnih transfera Podataka o kupcima i primjenjivi mehanizam transfera za svaki od njih.

9. Procjene utjecaja na zaštitu podataka

U slučaju da aktivnost obrade vjerovatno rezultira visokim rizikom za prava i slobode fizičkih lica i da je Kontrolor dužan da provede Procjenu uticaja na zaštitu podataka (DPIA) u skladu sa članom 35. GDPR-a, Obrađivač će pružiti Kontroloru razumnu pomoć i informacije potrebne kako bi omogućio Kontroloru da provede DPIA. Obrađivač će odgovoriti na razumne zahtjeve Kontrolora u vezi sa DPIA u roku od 15 radnih dana.

10. Zapisi o aktivnostima obrade

Obrađivač će, na zahtjev Kontrolora, voditi evidenciju aktivnosti obrade izvršenih u ime Kontrolora u skladu s članom 30(2) GDPR-a, uključujući: ime i kontakt podatke Obrađivača i svih podobrađivača; kategorije obrade izvršene u ime Kontrolora; prenose ličnih podataka u treću zemlju; i opći opis tehničkih i organizacijskih sigurnosnih mjera.

11. Odgovornost

Odgovornost svake Strane prema drugoj Strani u skladu s ovim Ugovorom o obradi podataka (DPA) ili u vezi s njim podliježe ograničenjima i izuzećima utvrđenim u Glavnom ugovoru. U slučaju da je Subjekt podataka pretrpio štetu kao rezultat obrade koja krši Primjenjivi zakon o zaštiti podataka, svaka Strana će biti odgovorna za štetu uzrokovanu njenom obradom koja krši GDPR u skladu s članovima 82-83 GDPR-a. Ništa u ovoj klauzuli ne ograničava odgovornost bilo koje Strane prema Subjektima podataka u skladu s primjenjivim zakonom.

12. Rok trajanja i raskid

Ovaj DPA stupa na snagu na dan Glavnog ugovora (ili na dan potpisivanja ovog DPA ako je kasniji) i ostaje na snazi ​​za vrijeme trajanja Glavnog ugovora. Raskid Glavnog ugovora iz bilo kojeg razloga automatski će raskinuti ovaj DPA.

Nakon raskida ugovora, obaveze Obrađivača prema klauzuli 5.6 (brisanje ili vraćanje podataka) ostaju na snazi ​​i Obrađivač će završiti brisanje ili vraćanje Podataka Kupca u roku od 30 dana od raskida. Klauzule koje se odnose na povjerljivost, odgovornost, mjerodavno pravo i reviziju također ostaju na snazi ​​nakon raskida ugovora.

13. Merodavno pravo i nadležnost

Ovaj Ugovor o obradi detalja (DPA) podliježe zakonima Španije i tumači se u skladu sa njima. Stranke se podvrgavaju neisključivoj nadležnosti sudova u Madridu za rješavanje bilo kakvog spora koji proizilazi iz ili je u vezi s ovim DPA. U mjeri u kojoj je bilo koja odredba ovog DPA u suprotnosti sa Općim tržišnim uslovima (SCC), Opći tržišni uslovi (SCC) će imati prednost.

14. razni

Cijeli ugovor: Ovaj DPA, zajedno sa svojim Prilozima i Glavnim ugovorom, predstavlja cjelokupni sporazum između Strana u vezi s predmetom ovog dokumenta i zamjenjuje sve prethodne sporazume, sporazume ili izjave koje se odnose na obradu podataka.

Izmjene i dopune: Ovaj DPA može se izmijeniti samo pisanim sporazumom potpisanim od strane ovlaštenih predstavnika obje Strane.

Odvojivost: Ako se bilo koja odredba ovog DPA utvrdi kao nevažeća ili neprovediva, preostale odredbe ostat će na snazi ​​u cijelosti.

Prioritet: U slučaju sukoba između ovog Sporazuma o obradi događaja i Priloga, prevladat će tekst Sporazuma o obradi događaja, osim ako Prilog izričito ne navodi drugačije. U slučaju sukoba između ovog Sporazuma o obradi događaja i Općih uvjeta poslovanja (gdje je primjenjivo), prevladat će Opći uvjeti poslovanja.

PRILOG 1 — Detalji obrade

1. Predmet

Predmet obrade je pružanje podataka od strane Xygenija application security posture management, software supply chain security analiza, otkrivanje ranjivosti, CI/CD sigurnosni nadzor i srodne usluge kako je opisano u Glavnom ugovoru.

2. Priroda obrade

Prikupljanje, organizacija, strukturiranje, pohranjivanje, analiza, preuzimanje, korištenje, otkrivanje putem prijenosa, usklađivanja ili kombiniranja, ograničavanje, brisanje ili uništavanje Podataka o kupcima.

3. Svrha obrade

Obrada podataka o kupcima vrši se isključivo u svrhu pružanja Usluga Kontroloru, uključujući: otkrivanje i izvještavanje o sigurnosnim ranjivostima; analizu rizika u lancu snabdijevanja softverom; CI/CD pipeline security praćenje; otkrivanje anomalija; i korisnička podrška.

4. Trajanje obrade

Obrađivač će obrađivati ​​podatke o kupcima tokom trajanja Glavnog ugovora. Nakon raskida, Obrađivač će čuvati podatke o kupcima 3 mjeseca nakon datuma završetka pretplate prije brisanja, osim ako Kontrolor ne zatraži ranije brisanje. Podaci probnog računa čuvaju se 1 mjesec nakon isteka probnog perioda.

5. Vrste ličnih podataka

6. Kategorije subjekata podataka

Subjekti podataka uključuju: zaposlenike, izvođače radova i druge ovlaštene korisnike Kontrolora koji pristupaju Uslugama; saradnike (programere, bot račune, agente za izgradnju) u repozitorijima i pipelinekoje nadziru Usluge; i predstavnici i kontakt osobe Kontrolora.

7. Podaci posebne kategorije

Usluge nisu namijenjene za obradu ličnih podataka posebne kategorije kako je definirano u članu 9. GDPR-a. Kontrolor garantuje da neće dostavljati lične podatke posebne kategorije Uslugama bez prethodnog pismenog sporazuma sa Xygeni-jem i implementacije odgovarajućih dodatnih zaštitnih mjera.

PRILOG 2 - Tehničke i organizacijske sigurnosne mjere

Xygeni implementira sljedeće tehničke i organizacijske mjere za zaštitu podataka korisnika, u skladu sa Xygenijevim sistemom upravljanja sigurnošću informacija certificiranim prema ISO 27001:

Kontrole pristupa

• Kontrola pristupa zasnovana na ulogama (RBAC) se primjenjuje na svim sistemima koji obrađuju podatke korisnika.
• Višefaktorska autentifikacija (MFA) je obavezna za sve Xygeni zaposlenike koji pristupaju produkcijskim sistemima.
• Princip najmanjih privilegija primjenjuje se na sve korisničke račune; prava pristupa se preispituju kvartalno.
• Autentifikacija zasnovana na SSH ključu za pristup produkcijskom serveru; autentifikacija lozinkom onemogućena.

Enkripcija podataka

• Podaci korisnika šifrirani tokom prenosa pomoću TLS 1.2 ili novijeg protokola.
• Podaci korisnika šifrirani u stanju mirovanja korištenjem AES-256 ili ekvivalenta.
• Ključevi za šifriranje upravljani putem AWS Key Management Service (KMS).

Network Security

• Produkcijski sistemi hostovani unutar AWS Virtual Private Clouda (VPC) sa segmentacijom mreže.
• Zaštitni zid web aplikacija (WAF) implementiran je za javno dostupne krajnje tačke.
• Sistemi za detekciju i prevenciju upada su na mjestu.
• Redovno skeniranje ranjivosti i testiranje penetracije infrastrukture i slojeva aplikacije.

Fizička sigurnost

• Podaci korisnika smješteni u AWS podatkovnim centrima s certifikatima SOC 2 Type II i ISO 27001.
• Fizički pristup objektima podatkovnog centra ograničen je na ovlašteno osoblje AWS-a s biometrijskim kontrolama.

Raspoloživost i otpornost

• Dnevne automatizirane sigurnosne kopije svih korisničkih podataka, koje se čuvaju najmanje 7 dana.
• Integritet sigurnosne kopije se periodično provjerava.
• Disastprocedure oporavka dokumentiraju se i testiraju godišnje.

Upravljanje incidentima

• Plan odgovora na sigurnosne incidente se održava i testira godišnje.
• Praćenje i evidentiranje sigurnosnih događaja; upozorenja pregledava funkcija sigurnosnih operacija.
• Procedure obavještavanja o povredi ličnih podataka su uspostavljene kako bi se ispunila obaveza obavještavanja Kontrolora u roku od 48 sati.

osoblje

• Svi zaposleni u Xygeniju koji imaju pristup podacima klijenata obavezani su obavezama povjerljivosti.
• Obuka o sigurnosti se provodi za svo osoblje svake godine.
• Provjere prošlosti provedene za osoblje koje ima pristup proizvodnim sistemima, u mjeri u kojoj je to dozvoljeno važećim zakonom.

Upravljanje trećim stranama

• Podizvršivači obrade procijenjeni su u pogledu usklađenosti sa sigurnosnim propisima prije angažmana.
• Ugovori o obradi podataka su sklopljeni sa svim podobrađivačima.

Potvrda

• Xygeni posjeduje ISO 27001 certifikat (sistem upravljanja sigurnošću informacija).
• Xygeni teži certifikaciji SOC 2 tipa II; certifikat će biti dostavljen kontroloru nakon završetka.