Datuak Tratatzeko Akordioa

Alderdien

Datuak Prozesatzeko Hitzarmen hau (“DPA” edo “Hitzarmena”) honako hauek sinatzen dute:

Datuen kontrolatzailea (“Kontrolatzailea” edo “Bezeroa”)

Datuen Prozesatzailea (“Prozesatzailea” edo “Xygeni”):

Hemendik aurrera, Kontrolatzailea eta Prozesatzailea banan-banan "Alderdia" eta, oro har, "Alderdiak" izendatuko dira.

DPA hau Xygenik bere aplikazioen segurtasuna eta hornidura arautzen dituen Alderdien arteko Zerbitzu-Akordio Nagusiaren edo Zerbitzu-Baldintzen (“Akordio Nagusia”) parte da. software supply chain security zerbitzuak (“Zerbitzuak”). Datuen babesari buruzko Datuen Akordio honen eta Hitzarmen Nagusiaren artean gatazkarik izanez gero, Datuen babesari buruzko gaiei dagokienez, DPA honek izango du lehentasuna.

1. Definizioak

DPA honen ondorioetarako:

• "GDPR" esan nahi du Europako Parlamentuaren eta Kontseiluaren 2016ko apirilaren 27ko 2016/679 (EB) Erregelamendua, datu pertsonalen tratamenduari dagokionez pertsona fisikoen babesari buruzkoa.
• "LOPDGDD" esan nahi du 3/2018 Lege Organikoa, abenduaren 5ekoa, Datu Pertsonalen Babesteko eta Eskubide Digitalen Bermea.
• "Datu pertsonalak", "Prozesamendua", "Arduraduna", "Prozesatzailea", "Azpi-prozesatzailea", "Datuen subjektua", "Gainbegiratze-agintaritza", "Datu pertsonalen urraketa" GDPRn esleitzen zaizkien esanahia izango dute.
• "Bezeroen datuak" Kontrolatzaileak edo haren izenean Zerbitzuei bidalitako edo Prozesatzaileak Kontrolatzailearen izenean Zerbitzuekin lotuta prozesatutako edozein Datu Pertsonal esan nahi du.
• "Azpiprozesadorea" esan nahi du Prozesatzaileak kontratatutako edozein hirugarren alderdi, Kontrolatzailearen aldez aurretiko baimenarekin (7. klausulan deskribatzen den bezala), Kontrolatzailearen izenean Bezeroaren Datuak prozesatzeko.
• "SCCak" esan nahi du Standard GDPRren arabera datu pertsonalak hirugarren herrialdeetara transferitzeko kontratu-klausulak, Europako Batzordearen Inplementazio Dekretuak onartutakoakcis2021eko ekainaren 4ko 2021/914 (EB) Erregelamendua.
• "Zerbitzuak" esan nahi du application security posture management, software supply chain security, ahultasunen detekzioa eta Xygenik Kontrolatzaileari emandako zerbitzu erlazionatuak Akordio Nagusiaren arabera.
• "Aplikagarria den Datuen Babeserako Legea" GDPR, LOPDGDD eta noizean behin aldatzen diren datuen babesari buruzko beste edozein legeria nazional esan nahi du.

2. Alderdien eginkizunak

Alderdiek aitortu eta adosten dute honako hau:

• Kontrolatzaileak Bezeroen Datuen kontrolatzaile gisa jarduten du eta Zerbitzuei bidalitako Bezeroen Datuak prozesatzeko helburuak eta bitartekoak zehazteaz arduratzen da.
• Prozesatzaileak Bezeroaren Datuen prozesatzaile gisa jarduten du eta datu horiek Kontrolatzailearen izenean eta haren argibide dokumentatuen arabera soilik prozesatzen ditu.
• Alderdi bakoitzak Datuen Babeserako Lege Aplikagarriaren araberako bere betebeharrak beteko ditu Kontrolatzaile edo Prozesatzaile gisa duen eginkizunean.

Xygenik bere helburuetarako datu pertsonalak prozesatzen dituenean (adibidez, kontuen kudeaketa, fakturazioa, zerbitzuen hobekuntzaren analisia), Kontrolatzaile independente gisa jokatzen du. Prozesamendu hori Xygeniren Pribatutasun Politikak arautzen du eta DPA honen esparrutik kanpo dago.

3. Prozesamenduaren xedea, izaera eta helburua

Tratamenduaren gaia, izaera, iraupena eta helburua, baita tratatzen diren Datu Pertsonalen motak eta Datuen Subjektuen kategoriak ere, DPA honen 1. Eranskinean (Tratamenduaren Xehetasunak) zehazten dira.

Tratatzaileak Bezeroaren Datuak soilik tratatuko ditu Hitzarmen Nagusian deskribatutako Zerbitzuak emateko beharrezkoa den neurrian eta Kontrolatzailearen argibide dokumentatuen arabera, aplikagarri den legeak hala eskatzen ez badu behintzat. Kasu horretan, Tratatzaileak Kontrolatzaileari jakinaraziko dio legezko eskakizun horren berri prozesatu aurretik, legeak debekatzen ez badu interes publikoko arrazoi garrantzitsuengatik.

4. Kontrolatzailearen argibideak

Kontrolatzaileak Bezeroaren Datuak behar den moduan prozesatzeko agindua ematen dio Prozesatzaileari: (a) Zerbitzuak Hitzarmen Nagusiaren arabera emateko; (b) Kontrolatzaileak noizean behin idatziz jakinarazitako argibideak betetzeko; eta (c) DPA honen arabera Prozesatzailearen betebeharrak betetzeko.

Tratatzaileak berehala jakinaraziko dio Kontrolatzaileari, bere ustez Kontrolatzailearen jarraibide batek Aplikagarria den Datuen Babeserako Legea urratzen badu. Kasu horretan, Tratatzaileak eskubidea izango du jarraibide horren araberako prozesamendua eteteko, Kontrolatzaileak jarraibidea argitu edo aldatu arte.

Kontrolatzaileak bermatzen eta adierazten du: (a) GDPRren 6. artikuluaren arabera (eta, hala badagokio, 9. artikuluaren arabera) oinarri juridiko baliozkoa duela Datu Pertsonalak prozesatzeko; (b) beharrezko jakinarazpen guztiak eman eta beharrezko baimen guztiak lortu dituela; eta (c) Bezeroaren Datuak Prozesatzaileari transferitzeak ez duela aplikagarri den legerik urratzen.

5. Prozesatzailearen betebeharrak

5.1 Prozesatzeko murrizketak

Tratatzaileak Bezeroaren Datuak Kontrolatzailearen argibide dokumentatuen arabera soilik tratatuko ditu, aplikagarri den EBko edo estatu kideko legeak hala eskatzen ez badu behintzat. Tratatzaileak ez ditu Bezeroaren Datuak bere helburuetarako tratatuko, ezta hirugarrenei jakinaraziko ere, Zerbitzuak emateko beharrezkoa denean edo legeak eskatzen duenean izan ezik.

5.2 Konfidentzialtasuna

Prozesatzaileak ziurtatu beharko du Bezeroaren Datuak prozesatzeko baimendutako pertsonek commitkonfidentzialtasunera behartu dute beren burua edo konfidentzialtasun-betebehar legal egoki baten menpe daude. Bezeroaren Datuetarako sarbidea Zerbitzuak emateko sarbidea behar duten langile, kontratista eta azpiprozesadoreetara mugatuko da.

5.3 Segurtasun neurriak

Prozesatzaileak neurri tekniko eta antolakuntzazko egokiak ezarri eta mantendu beharko ditu Bezeroaren Datuak baimenik gabeko edo legez kanpoko prozesamenduaren aurka eta ustekabeko galera, suntsipena, kaltea, aldaketa edo dibulgazioaren aurka babesteko, kontuan hartuta:

• teknikaren egoera eta ezarpen-kostuak;
• tratamenduaren izaera, irismena, testuingurua eta helburuak;
• pertsona fisikoen eskubide eta askatasunetarako arriskuak, bereziki transmititutako, gordetako edo bestela prozesatutako Bezeroaren Datuak ustekabean edo legez kanpo suntsitzeagatik, galtzeagatik, aldatzeagatik, baimenik gabe zabaltzeagatik edo horietara sartzeagatik.

Neurri horiek, gutxienez, DPA honen 2. Eranskinean (Segurtasun Neurri Teknikoak eta Antolakuntzazkoak) ezarritakoak barne hartuko dituzte. Prozesatzailearen ISO 27001 ziurtagiriak oinarrizko informazioaren segurtasun kudeaketa sistema baten frogak ematen ditu. Prozesatzaileak ISO 27001 ziurtagiria edo baliokidea mantendu beharko du DPA honen iraupen osoan.

5.4 Datuen subjektuen eskubideak

Tratatzaileak, tratamenduaren izaera kontuan hartuta, neurri tekniko eta antolakuntzazko egokien bidez lagunduko dio Kontrolatzaileari, ahal den neurrian, eskaerak erantzuteko Kontrolatzailearen betebeharra betetzeko.cisDatuen Babeserako Lege Aplikagarriaren arabera Datuen Subjektuen eskubideak (DBEOren 15-22 artikuluen araberako sarbide, zuzenketa, ezabatze, mugatze, eramangarritasun eta aurkaritza eskubideak barne).

Tratatzaileak honako hauek egin beharko ditu: (a) berehala jakinaraziko dio Tratatzaileari Datuen Subjektu baten eskaera bat jasotzen badu Bezeroaren Datuei dagokienez; (b) ez die eskaera horiei erantzungo, Tratatzailearen argibide dokumentatuak jarraituz edo aplikagarri den legeak eskatzen ez badu; eta (c) Tratatzailearen laguntza egokia emango dio eskaera horiei erantzuteko aplikagarri diren legezko epeetan (30 egun GDPRren 12. artikuluaren arabera).

5.5 Kontrolatzailearen betebeharrekin laguntza

Tratatzaileak Kontrolatzaileari lagunduko dio GDPRren 32-36 artikuluen araberako betebeharrak betetzen direla ziurtatzen, tratamenduaren izaera eta Tratatzaileak duen informazioa kontuan hartuta, besteak beste, honako hauei dagokienez:

• tratamenduaren segurtasuna (32. artikulua);
• Datu Pertsonalen Urraketen jakinarazpena gainbegirale-agintaritzari eta datuen subjektuei komunikazioa (33-34 artikuluak);
• datuen babesaren inpaktuaren ebaluazioak eta aldez aurretiko kontsultak (35-36. artikuluak).

5.6 Datuak ezabatzea edo itzultzea

Akordio Nagusia amaitu edo iraungi ondoren, edo Kontrolatzailearen eskariz, Prozesatzaileak, Kontrolatzailearen aukeran, bere esku dauden Bezero Datu guztiak ezabatuko edo Kontrolatzaileari itzuliko dizkio, eta dauden kopiak ezabatuko ditu, aplikagarri den EBko edo Estatu Kideko legeak Datu Pertsonalak gordetzea eskatzen ez badu behintzat. Prozesatzaileak ezabatzea amaitu dela idatziz baieztatu beharko du dagokion abiarazlearen ondorengo 30 eguneko epean.

Prozesadorearen standard Datuak gordetzeko egutegia (1. Eranskinean ezarritakoa) aplikatuko da, Kontrolatzaileak lehenago ezabatzeko eskaera egiten ez badu behintzat.

5.7 Betetze-ikuskapena eta erakustaldia

Datuen Prozesatzaileak DPA honetan ezarritako betebeharrak betetzen direla frogatzeko beharrezko informazio guztia jarriko dio Kontrolatzaileari, eta Kontrolatzaileak edo Kontrolatzaileak izendatutako auditore batek egindako auditoriak, ikuskapenak barne, baimendu eta lagundu egingo du.

Prozesadoreak betebehar hau bete dezake honako hau emanez:

• ISO 27001 ziurtagiriaren edo SOC 2 II motako txostenaren kopia (lortutakoan);
• Kontrolatzailearen segurtasun-galdetegia betetzea (jaso eta 10 laneguneko epean);
• Tokiko auditoria arrazoizkoak, 30 eguneko idatzizko abisuaren ondoren, Kontrolatzailearen kontura, gehienez ere urtean behin (betetze-ezaren susmo arrazoizkoa ez badago behintzat).

6. Datu Pertsonalen Urraketaren Jakinarazpena

Tratatzaileak Kontrolatzaileari jakinarazi beharko dio gehiegizko atzerapenik gabe, eta nolanahi ere, Bezeroaren Datuei eragiten dien Datu Pertsonalen Urraketa baten berri izan eta 48 orduko epean. Jakinarazpen horrek, une horretan eskuragarri dagoen neurrian, honako hauek barne hartuko ditu:

• Datu Pertsonalen Urraketaren izaeraren deskribapena, Datu Subjektuen kategoriak eta gutxi gorabeherako kopurua eta Datu Pertsonalen erregistroen kategoriak eta gutxi gorabeherako kopurua barne;
• datuen babeserako arduradunaren edo informazio gehiago lor daitekeen beste harremanetarako puntu baten izena eta harremanetarako datuak;
• Datu Pertsonalen Urraketaren ondorio probableen deskribapena;
• Datu Pertsonalen Urraketa konpontzeko hartutako edo hartzeko proposatutako neurrien deskribapena, hala badagokio, haren balizko ondorio kaltegarriak arintzeko neurriak barne.

Goiko informazio guztia aldi berean ematea ezinezkoa denean, informazioa faseka eman ahal izango da, gehiegizko atzerapenik gabe. Tratatzaileak Kontrolatzailearekin lankidetzan arituko da eta Kontrolatzaileak behar dituen neurri egokiak hartuko ditu urraketa ikertzen, arintzen eta zuzentzen laguntzeko.

Alderdiek onartzen dute GDPRren 33. artikuluaren arabera, Datu Pertsonalen Urraketa baten berri izan eta 72 orduko epean gainbegiratze-agintaritza eskudunari (Datuak Babesteko Espainiako Agentziari — AEPD edo beste agintaritza garrantzitsu bati) jakinarazteko betebeharra, datuen arduradun gisa. Klausula honen arabera, arduradunak arduradunari egindako jakinarazpenaren helburua arduradunak arauzko betebehar hori betetzea ahalbidetzea da. Tratamendu-agentearen jakinarazpenak ez du esan nahi errua edo erantzukizuna onartzen denik.

7. Azpiprozesatzaileak

7.1 Baimen orokorra

Kontrolatzaileak baimen orokorra ematen dio Prozesatzaileari DPA honen 3. Eranskinean (Azpiprozesatzaile Onartuak) zerrendatutako Azpiprozesatzaileak kontratatzeko. Prozesatzaileak DPA honetan ezarritakoen baliokideak diren datuen babeserako betebeharrak ezarriko dizkio Azpiprozesatzaile bakoitzari, bereziki neurri tekniko eta antolakuntzazko egokiak ezartzeko berme nahikoak emanez.

7.2 Azpiprozesadoreen aldaketak

Tratatzaileak azpitratatzaileak gehitzeari edo ordezkatzeari buruzko edozein aldaketa jakinarazi beharko dio Kontrolatzaileari, honako hau eginez: (a) https://xygeni.io/legal/subprocessors helbidean argitaratutako azpitratatzaileen zerrenda eguneratuz "Azken eguneratzea" data berrikusiarekin; eta (b) idatzizko jakinarazpena Kontrolatzaileari emanez, aldaketa indarrean jarri baino gutxienez hamar (10) egun lehenago. Kontrolatzaileak aldaketaren aurka egin dezake, datuen babesari buruzko arrazoizko arrazoiengatik, jakinarazpena egin eta zazpi (7) eguneko epean. Kontrolatzaileak aurka egiten badu eta Alderdiek ezin badute aurkaritza konpondu, Kontrolatzaileak Akordio Nagusia amaitu dezake arrazoizko jakinarazpenarekin eta zigorrik gabe.

Tratatzaileak azpi-tratatzaile bat kontratatzen badu, Tratatzaileak erantzule osoa izango da Kontrolatzailearen aurrean azpi-tratatzaile horren betebeharrak betetzeagatik, azpi-tratatzaileak bere datuen babeserako betebeharrak betetzen ez baditu.

7.3 Azpiprozesadoreen beheranzko fluxu-eskakizunak

Azpi-prozesadore bakoitzerako, Prozesatzaileak honako hau egin beharko du:

• Azpiprozesadorea kontratatu aurretik beharrezko diligentzia egin;
• Datuen babeserako betebeharrak DPA honetan jasotakoak baino babes gutxiagokoak ez diren datuak prozesatzeko idatzizko akordio bat egitea;
• ziurtatu Azpiprozesatzailearen segurtasun neurriak 5.3 klausularen eta 2. eranskinean eskatutakoen baliokideak direla gutxienez;
• Azpiprozesatzaileak Datu Pertsonalen Urraketa baten berri izan eta 24 orduko epean Prozesatzaileari jakinarazteko eskatzen dioten urraketa-jakinarazpen betebeharrak barne hartzen ditu, Prozesatzaileak Kontrolatzaileari 48 orduko jakinarazpen-betebeharra bete dezan.

8. Nazioarteko transferentziak

Prozesatzaileak ez ditu Bezeroaren Datuak Europako Esparru Ekonomikotik (EEE) kanpoko herrialde batera transferituko, baldin eta:

• Europako Batzordeak egokitasun neurri bat onartu ducisGDPRren 45. artikuluaren arabera herrialde horretarako ioa; edo
• GDPRren 46. artikuluaren arabera babes neurri egokiak ezarri dira, besteak beste, Standard Europako Batzordeak onartutako kontratu-klausulak betearazteko Decis2021eko ekainaren 4ko 2021/914 (EB) Erregelamendua (“EKZ”).

SCCak beharrezkoak direnean, Prozesatzaileak, Kontrolatzailearen eskariz, dagokion SCCak exekutatuko ditu Kontrolatzailearekin eta/edo dagokion Azpiprozesatzailearekin. SCCen modul aplikagarria Bigarren Modulua izango da (Kontrolatzailea Prozesatzailera) Kontrolatzailetik Prozesatzailera transferentzietarako, eta Hirugarren Modulua (Prozesatzailea Azpiprozesatzailera) Prozesatzaileak Azpiprozesatzaileetara egindako aurrerako transferentzietarako.

Datuen Babeserako Espainiako Agentzia (AEPD) da eskumena duen gainbegirale-agintaritza, idatziz bestelakorik adosten ez bada behintzat.

Prozesatzaileak Bezeroaren Datuen nazioarteko transferentzia guztien erregistro eguneratua eta bakoitzerako transferentzia-mekanismo aplikagarria mantendu eta Kontrolatzailearen eskura jarriko du, eskaera eginez gero.

9. Datuen Babesaren Inpaktuaren Ebaluazioak

Prozesatze-jarduera batek pertsona fisikoen eskubide eta askatasunetarako arrisku handia ekar dezakeenean eta Arduradunak Datuen Babesaren Eraginaren Ebaluazioa (DPIA) egin behar duenean GDPRren 35. artikuluaren arabera, Prozesatzaileak beharrezko laguntza eta informazio arrazoizkoa emango dio Arduradunari Arduradunak DPIA egin ahal izateko. Prozesatzaileak Arduradunaren DPIArekin lotutako eskaera arrazoizkoei erantzun beharko die 15 laneguneko epean.

10. Prozesatzeko Jardueren Erregistroak

Tratatzaileak, Kontrolatzailearen eskariz, Kontrolatzailearen izenean egindako tratamendu-jardueren erregistro bat gordeko du, GDPRren 30(2) artikuluaren arabera, besteak beste: Tratatzailearen eta azpitratatzaileen izena eta harremanetarako datuak; Kontrolatzailearen izenean egindako tratamendu-kategoriak; Datu Pertsonalen hirugarren herrialde batera transferentziak; eta segurtasun-neurri tekniko eta antolakuntzazkoen deskribapen orokorra.

11. Erantzukizuna

Datu Pertsonalen Babeserako Hitzarmen honen arabera edo harekin lotuta Alderdi bakoitzak bestearekiko duen erantzukizuna Akordio Nagusian ezarritako mugen eta bazterketen menpe egongo da. Datuen Subjektu batek Datuen Babeserako Lege Aplikagarria urratzen duen tratamendu baten ondorioz kalteak jasan baditu, Alderdi bakoitza izango da GDPR urratzen duen bere tratamenduak eragindako kalteen erantzule, GDPRren 82-83 artikuluen arabera. Klausula honetako ezerk ez du mugatzen Alderdietako batek Datuen Subjektuekiko duen erantzukizuna, lege aplikagarriaren arabera.

12. Epea eta Epea

DPA hau Hitzarmen Nagusiaren datan hasiko da indarrean (edo DPA hau sinatzen den datan, geroago bada) eta Hitzarmen Nagusiaren iraupen osoan egongo da indarrean. Hitzarmen Nagusia edozein arrazoirengatik amaitzeak DPA hau automatikoki amaituko du.

Amaitu ondoren, Prozesadorearen 5.6 klausularen araberako betebeharrak (datuen ezabatzea edo itzultzea) indarrean jarraituko dute, eta Prozesadoreak Bezeroaren Datuak ezabatu edo itzuli beharko ditu amaitu eta 30 eguneko epean. Konfidentzialtasunari, erantzukizunari, indarrean dagoen legeari eta auditoriari buruzko klausulak ere indarrean jarraituko dute amaieraren ondoren.

13. Lege arautzailea eta jurisdikzioa

DPA hau Espainiako legeen arabera arautuko eta interpretatuko da. Alderdiek Madrilgo auzitegien jurisdikzio ez-esklusiboaren menpe jartzen dira DPA honekin lotuta edo harekin lotutako edozein gatazka ebazteko. DPA honetako edozein xedapen Baldintza Orokorrekin gatazkan badago, Baldintza Orokor horiek izango dira nagusi.

14. Denetarik

Hitzarmen osoa: DPA honek, bere Eranskinekin eta Akordio Nagusiarekin batera, Alderdien arteko akordio osoa osatzen du hemen aipatzen den gaiari dagokionez, eta datuen tratamenduari lotutako aurreko akordio, ulermen edo adierazpen guztiak ordezkatzen ditu.

Zuzenketak: DPA hau bi Alderdien ordezkari baimenduek sinatutako idatzizko akordio baten bidez bakarrik alda daiteke.

Zatigarritasuna: DPA honetako edozein xedapen baliogabetzat edo betearaztezintzat jotzen bada, gainerako xedapenak indarrean jarraituko dute.

Lehentasuna: DPA honen eta Eranskinen artean gatazkarik izanez gero, DPAren gorputzak izango du lehentasuna, Eranskinak berariaz kontrakoa adierazten ez badu behintzat. DPA honen eta Baldintza Orokorren (hala badagokio) arteko gatazkarik izanez gero, Baldintza Orokorren (BKE) lehentasuna izango dute.

1. ERANSKINA — Prozesatzeko xehetasunak

1. Gaia

Prozesamenduaren xedea Xygenik ematea da. application security posture management, software supply chain security analisia, ahultasunen detekzioa, CI/CD segurtasun-monitorizazioa eta lotutako zerbitzuak, Akordio Nagusian deskribatutako moduan.

2. Prozesamenduaren izaera

Bezeroaren Datuen bilketa, antolaketa, egituraketa, biltegiratzea, azterketa, berreskuratzea, erabiltzea, transmititzea, lerrokatzea edo konbinatzea, mugatzea, ezabatzea edo suntsitzea.

3. Prozesamenduaren helburua

Bezeroen Datuen Prozesamendua Kontrolatzaileari Zerbitzuak emateko helburu bakarrarekin egiten da, besteak beste: segurtasun-ahultasunen detekzioa eta txostenak; softwarearen hornikuntza-katearen arriskuen azterketa; CI/CD pipeline security monitorizazioa; anomalien detekzioa; eta bezeroarentzako laguntza.

4. Prozesamenduaren iraupena

Tratatzaileak Bezeroaren Datuak prozesatuko ditu Akordio Nagusiaren iraupenean. Amaitutakoan, Tratatzaileak Bezeroaren Datuak gordeko ditu harpidetza amaitu eta 3 hilabetez ezabatu aurretik, Kontrolatzaileak lehenago ezabatzea eskatzen ez badu behintzat. Proba-kontuaren datuak proba amaitu eta hilabetez gordeko dira.

5. Datu Pertsonalen Motak

6. Datuen subjektuen kategoriak

Datuen subjektuen artean daude: Kontrolatzailearen langileak, kontratistak eta Zerbitzuetara sartzen diren beste erabiltzaile baimendu batzuk; biltegietako kolaboratzaileak (garatzaileak, bot kontuak, eraikuntza agenteak) eta pipelineZerbitzuek kontrolatzen dituztenak; eta Kontrolatzailearen ordezkariak eta harremanetarako pertsonak.

7. Kategoria Bereziko Datuak

Zerbitzuak ez daude diseinatuta GDPRren 9. artikuluan definitutako kategoria bereziko datu pertsonalak prozesatzeko. Kontrolatzaileak bermatzen du ez dituela datu pertsonal berezirik bidaliko Zerbitzuetara Xygenirekin aldez aurretik idatzizko akordiorik lortu eta babes-neurri gehigarri egokiak ezarri gabe.

2. ERANSKINA — Segurtasun neurri teknikoak eta antolakuntzazkoak

Xygenik honako neurri tekniko eta antolakuntzazko hauek ezartzen ditu Bezeroen Datuak babesteko, Xygeniren ISO 27001 ziurtagiria duen informazioaren segurtasun kudeaketa sistemarekin bat etorriz:

Sarbidea Kontrol

• Roletan oinarritutako sarbide-kontrola (RBAC) Bezeroen Datuak prozesatzen dituzten sistema guztietan aplikatua.
• Ekoizpen-sistemetara sartzen diren Xygeniko langile guztientzat faktore anitzeko autentifikazioa (MFA) beharrezkoa da.
• Pribilegio gutxieneko printzipioa erabiltzaile-kontu guztiei aplikatuta; sarbide-eskubideak hiruhileko bakoitzean berrikusten dira.
• SSH gakoetan oinarritutako autentifikazioa ekoizpen zerbitzarirako sarbidearentzat; pasahitz autentifikazioa desgaituta.

Datu enkriptatzea

• Bezeroaren datuak TLS 1.2 edo berriagoa erabiliz enkriptatuta daude bidean.
• Bezeroaren datuak atsedenaldian enkriptatuta AES-256 edo baliokidea erabiliz.
• AWS Key Management Service (KMS) bidez kudeatutako enkriptazio-gakoak.

sare segurtasuna

• AWS Virtual Private Cloud (VPC) barruan ostatatutako ekoizpen-sistemak sare-segmentazioarekin.
• Web aplikazioen suebakia (WAF) publikoari begira dauden endpointetarako zabalduta.
• Intrusioak detektatzeko eta prebenitzeko sistemak indarrean.
• Azpiegitura eta aplikazio geruzen ahultasunen eskaneatzea eta penetrazio probak aldizka.

Segurtasun Fisikoa

• Bezeroen datuak SOC 2 II motako eta ISO 27001 ziurtagiriak dituzten AWS datu-zentroetan ostatatutakoak.
• Datu-zentroetako instalazioetarako sarbide fisikoa kontrol biometrikoak dituzten AWSko baimendutako langileentzat mugatuta dago.

Eskuragarritasuna eta Erresilientzia

• Bezeroen datu guztien eguneroko babeskopia automatikoak, gutxienez 7 egunez gordeta.
• Babeskopien osotasuna aldian-aldian egiaztatzen da.
• DisastBerreskuratze prozedurak urtero dokumentatu eta probatu.

Incident Management

• Segurtasun-intzidenteei erantzuteko plana urtero mantentzen eta probatzen da.
• Segurtasun-gertaerak kontrolatu eta erregistratu dira; segurtasun-eragiketen funtzioak berrikusten ditu alertak.
• Datu Pertsonalen Urraketaren jakinarazpen-prozedurak daude ezarrita, Kontrolatzaileari 48 orduko jakinarazpen-betebeharra betetzeko.

Pertsonal

• Bezeroen Datuetarako sarbidea duten Xygeniko langile guztiek konfidentzialtasun betebeharrak dituzte.
• Urtero segurtasun-kontzientziazio prestakuntza egiten zaie langile guztiei.
• Aplikagarri den legeak baimentzen duen neurrian, ekoizpen-sistemetarako sarbidea duten langileen aurrekariak egiaztatzea.

Hirugarrenen kudeaketa

• Kontratazioaren aurretik azpiprozesadoreen segurtasun-betetzea ebaluatua.
• Azpiprozesadore guztiekin datuak prozesatzeko akordioak.

Ziurtagiria

• Xygenik ISO 27001 ziurtagiria du (informazioaren segurtasunaren kudeaketa sistema).
• Xygenik SOC 2 II motako ziurtagiria lortzen ari da; ziurtagiria amaitutakoan emango zaio Kontrolatzaileari.