قرارداد پردازش داده

احزاب

این توافقنامه پردازش داده‌ها ("DPA" یا "توافقنامه") توسط و بین افراد زیر منعقد می‌شود:

کنترل‌کننده داده‌ها ("کنترل‌کننده" یا "مشتری")

پردازشگر داده ("پردازنده" یا "Xygeni"):

از این پس، کنترل‌کننده و پردازشگر به صورت جداگانه «طرف» و به صورت جمعی «طرفین» نامیده می‌شوند.

این DPA بخشی از توافقنامه خدمات اصلی یا شرایط خدمات ("توافقنامه اصلی") بین طرفین است که بر ارائه امنیت برنامه توسط Xygeni و ... حاکم است. software supply chain security خدمات ("خدمات"). در صورت وجود اختلاف بین این DPA و توافقنامه اصلی، این DPA در رابطه با مسائل حفاظت از داده‌ها ارجحیت خواهد داشت.

1. تعاریف

برای اهداف این DPA:

• "GDPR" به معنای آیین‌نامه (EU) 2016/679 پارلمان اروپا و شورا مورخ 27 آوریل 2016 در مورد حفاظت از اشخاص حقیقی در رابطه با پردازش داده‌های شخصی است.
• «لو پی دی دی دی» یعنی Ley Orgánica 3/2018، از 5 deciembre، de Protección de Datos Personales y garantía de los derechos digitales.
• «داده‌های شخصی»، «پردازش»، «کنترل‌کننده»، «پردازنده»، «پردازنده فرعی»، «موضوع داده»، «مرجع نظارتی»، «نقض داده‌های شخصی» معانی منتسب به آنها در GDPR را خواهند داشت.
• «داده‌های مشتری» به هرگونه داده شخصی که توسط یا از طرف کنترل‌کننده به سرویس‌ها ارسال می‌شود، یا توسط پردازشگر به نمایندگی از کنترل‌کننده در ارتباط با سرویس‌ها پردازش می‌شود، اطلاق می‌شود.
• «پردازنده فرعی» به معنای هر شخص ثالثی است که توسط پردازشگر، با مجوز قبلی از کنترل‌کننده (مطابق بند 7)، برای پردازش داده‌های مشتری از طرف کنترل‌کننده استخدام شده است.
• «SCC»ها به معنای Standard بندهای قراردادی برای انتقال داده‌های شخصی به کشورهای ثالث طبق GDPR، مطابق با تصویب کمیسیون اروپا در بخش اجراییcisیون (اتحادیه اروپا) 2021/914 مورخ 4 ژوئن 2021.
• "خدمات" به معنای application security posture management, software supply chain security، تشخیص آسیب‌پذیری و خدمات مرتبط ارائه شده توسط Xygeni به کنترل‌کننده تحت توافقنامه اصلی.
• «قانون حفاظت از داده‌های قابل اجرا» به معنای GDPR، LOPDGDD و هرگونه قانون ملی حفاظت از داده‌های قابل اجرا است که هر از گاهی اصلاح می‌شود.

۲. نقش طرفین

طرفین اذعان و موافقت می‌کنند که:

• کنترل‌کننده به عنوان کنترل‌کننده داده‌ها در رابطه با داده‌های مشتری عمل می‌کند و مسئول تعیین اهداف و روش‌های پردازش داده‌های مشتری ارسالی به سرویس‌ها است.
• پردازشگر به عنوان پردازشگر داده‌ها در رابطه با داده‌های مشتری عمل می‌کند و چنین داده‌هایی را صرفاً از طرف و بر اساس دستورالعمل‌های مستند کنترل‌کننده پردازش می‌کند.
• هر یک از طرفین باید در نقش خود به عنوان کنترل‌کننده یا پردازشگر، به تعهدات مربوط به خود طبق قانون حفاظت از داده‌های مربوطه عمل کند.

در مواردی که Xygeni داده‌های شخصی را برای اهداف خود پردازش می‌کند (مثلاً مدیریت حساب، صدور صورتحساب، تجزیه و تحلیل بهبود خدمات)، به عنوان یک کنترل‌کننده مستقل عمل می‌کند. چنین پردازشی تابع سیاست حفظ حریم خصوصی Xygeni است و خارج از محدوده این DPA می‌باشد.

۳. موضوع، ماهیت و هدف پردازش

موضوع، ماهیت، مدت و هدف پردازش، و همچنین انواع داده‌های شخصی پردازش‌شده و دسته‌بندی‌های موضوع داده‌ها، در پیوست ۱ (جزئیات پردازش) این DPA آمده است.

پردازشگر، داده‌های مشتری را فقط تا حدی که برای ارائه خدمات شرح داده شده در قرارداد اصلی و مطابق با دستورالعمل‌های مستند کنترل‌کننده لازم است، پردازش خواهد کرد، مگر اینکه طبق قانون مربوطه ملزم به انجام این کار باشد. در چنین مواردی، پردازشگر باید قبل از پردازش، کنترل‌کننده را از آن الزام قانونی مطلع کند، مگر اینکه به دلایل مهم منافع عمومی، قانون آن را ممنوع کرده باشد.

۴. دستورالعمل‌های کنترل‌کننده

کنترل‌کننده به پردازشگر دستور می‌دهد تا داده‌های مشتری را در صورت لزوم برای موارد زیر پردازش کند: (الف) ارائه خدمات مطابق با توافقنامه اصلی؛ (ب) رعایت دستورالعمل‌های کتبی کنترل‌کننده که هر از گاهی ابلاغ می‌شود؛ و (ج) انجام تعهدات پردازشگر تحت این DPA.

اگر به نظر منطقی پردازنده، دستورالعملی از سوی کنترل‌کننده، قانون حفاظت از داده‌های مربوطه را نقض کند، پردازنده باید فوراً به کنترل‌کننده اطلاع دهد. در چنین حالتی، پردازنده حق دارد پردازش طبق چنین دستورالعملی را تا زمانی که کنترل‌کننده دستورالعمل را روشن یا اصلاح نکرده است، متوقف کند.

کنترل‌کننده تضمین و اعلام می‌کند که: (الف) برای پردازش داده‌های شخصی مربوطه، مبنای قانونی معتبری تحت ماده ۶ GDPR (و در صورت لزوم، ماده ۹) دارد؛ (ب) تمام اطلاعیه‌های لازم را ارائه داده و تمام رضایت‌های لازم را کسب کرده است؛ و (ج) انتقال داده‌های مشتری به پردازشگر هیچ قانون قابل اجرایی را نقض نمی‌کند.

۵. تعهدات پردازنده

۵.۱ محدودیت‌های پردازش

پردازشگر، داده‌های مشتری را فقط طبق دستورالعمل‌های مستند کنترل‌کننده پردازش خواهد کرد، مگر اینکه طبق قانون مربوطه اتحادیه اروپا یا کشورهای عضو، ملزم به انجام این کار باشد. پردازشگر نباید داده‌های مشتری را برای اهداف شخصی خود پردازش کند یا آن را برای اشخاص ثالث افشا کند، مگر در مواردی که برای ارائه خدمات ضروری باشد یا طبق قانون الزام شده باشد.

5.2 محرمانه بودن

پردازشگر باید اطمینان حاصل کند که افراد مجاز به پردازش داده‌های مشتری، commitخود را ملزم به رعایت محرمانگی کرده‌اند یا تحت تعهد قانونی مناسب برای محرمانگی هستند. دسترسی به داده‌های مشتری محدود به کارمندان، پیمانکاران و زیرپردازنده‌هایی خواهد بود که برای ارائه خدمات به این دسترسی نیاز دارند.

5.3 اقدامات امنیتی

پردازشگر باید اقدامات فنی و سازمانی مناسبی را برای محافظت از داده‌های مشتری در برابر پردازش غیرمجاز یا غیرقانونی و در برابر از دست دادن، تخریب، آسیب، تغییر یا افشای تصادفی، با در نظر گرفتن موارد زیر، اجرا و حفظ کند:

• وضعیت فعلی و هزینه‌های اجرا؛
• ماهیت، دامنه، زمینه و اهداف پردازش؛
• خطرات مربوط به حقوق و آزادی‌های اشخاص حقیقی، به ویژه ناشی از تخریب، از بین رفتن، تغییر، افشای غیرمجاز یا دسترسی به داده‌های مشتری منتقل شده، ذخیره شده یا به هر نحو دیگری پردازش شده به صورت تصادفی یا غیرقانونی.

چنین اقداماتی باید حداقل شامل مواردی باشد که در پیوست ۲ (اقدامات امنیتی فنی و سازمانی) این DPA ذکر شده است. گواهینامه ISO 27001 پردازنده، شواهدی از یک سیستم مدیریت امنیت اطلاعات پایه را ارائه می‌دهد. پردازنده باید گواهینامه ISO 27001 یا معادل آن را در طول مدت این DPA حفظ کند.

۵.۴ حقوق موضوع داده‌ها

پردازشگر باید با در نظر گرفتن ماهیت پردازش، تا حد امکان با اقدامات فنی و سازمانی مناسب به کنترل‌کننده کمک کند تا تعهد کنترل‌کننده برای پاسخ به درخواست‌های اجرا را انجام دهد.cisحقوق صاحبان داده‌ها تحت قانون حفاظت از داده‌های مربوطه (شامل حقوق دسترسی، اصلاح، پاک کردن، محدود کردن، قابلیت انتقال و اعتراض تحت مواد ۱۵ تا ۲۲ GDPR).

پردازنده موظف است: (الف) در صورت دریافت درخواستی از یک شخص ذی‌ربط در رابطه با داده‌های مشتری، فوراً به کنترل‌کننده اطلاع دهد؛ (ب) به چنین درخواست‌هایی پاسخ ندهد، مگر طبق دستورالعمل‌های مستند کنترل‌کننده یا طبق قانون مربوطه؛ و (ج) در مهلت‌های قانونی مربوطه (30 روز طبق ماده 12 GDPR)، در پاسخگویی به چنین درخواست‌هایی، به کنترل‌کننده کمک معقول ارائه دهد.

۵.۵ کمک به انجام تعهدات کنترل‌کننده

پردازنده باید با در نظر گرفتن ماهیت پردازش و اطلاعات موجود برای پردازنده، از جمله در رابطه با موارد زیر، به کنترل‌کننده در تضمین رعایت تعهدات مندرج در مواد ۳۲ تا ۳۶ GDPR کمک کند:

• امنیت پردازش (ماده ۳۲)؛
• اطلاع‌رسانی در مورد نقض داده‌های شخصی به مرجع نظارتی و ابلاغ به اشخاص ذی‌نفع (مواد ۳۳-۳۴)؛
• ارزیابی‌های تأثیر حفاظت از داده‌ها و مشاوره قبلی (مواد ۳۵-۳۶).

۵.۶ حذف یا بازگرداندن داده‌ها

پس از فسخ یا انقضای قرارداد اصلی، یا بنا به درخواست کنترل‌کننده، پردازشگر، به انتخاب کنترل‌کننده، تمام داده‌های مشتری موجود در اختیار خود را حذف یا به کنترل‌کننده بازگرداند و نسخه‌های موجود را نیز حذف خواهد کرد، مگر اینکه قانون مربوطه اتحادیه اروپا یا کشورهای عضو، ذخیره‌سازی داده‌های شخصی را الزامی بداند. پردازشگر باید تکمیل حذف را ظرف 30 روز از تاریخ شروع مربوطه کتباً تأیید کند.

پردازنده standard مگر اینکه کنترل‌کننده درخواست قبلی برای حذف داده ارائه دهد، برنامه نگهداری داده‌ها (مطابق با پیوست ۱) اعمال خواهد شد.

۵.۷ ممیزی و اثبات انطباق

پردازشگر باید تمام اطلاعات لازم برای اثبات رعایت تعهدات مندرج در این DPA را در اختیار کنترل‌کننده قرار دهد و اجازه انجام ممیزی‌ها، از جمله بازرسی‌ها، توسط کنترل‌کننده یا حسابرسی که توسط کنترل‌کننده مأمور شده است را بدهد و در آنها مشارکت کند.

پردازنده می‌تواند با ارائه موارد زیر، این تعهد را برآورده کند:

• یک کپی از گواهینامه ISO 27001 فعلی یا گزارش SOC 2 نوع II (پس از اخذ)؛
• تکمیل پرسشنامه امنیتی کنترل‌کننده (ظرف 10 روز کاری از تاریخ دریافت)؛
• ممیزی‌های حضوری معقول با اطلاع کتبی قبلی ۳۰ روز، با هزینه کنترل‌کننده، حداکثر یک بار در سال تقویمی (مگر اینکه سوءظن معقولی به عدم رعایت قوانین وجود داشته باشد).

۶. اعلان نقض اطلاعات شخصی

پردازشگر باید بدون تأخیر بی‌مورد و در هر صورت ظرف ۴۸ ساعت پس از آگاهی از نقض اطلاعات شخصی که بر اطلاعات مشتری تأثیر می‌گذارد، به کنترل‌کننده اطلاع دهد. چنین اطلاع‌رسانی، تا حد امکان در آن زمان، شامل موارد زیر خواهد بود:

• شرح ماهیت نقض اطلاعات شخصی، شامل دسته‌ها و تعداد تقریبی افراد مورد نظر در داده‌ها و دسته‌ها و تعداد تقریبی سوابق اطلاعات شخصی مربوطه؛
• نام و اطلاعات تماس مسئول حفاظت از داده‌ها یا سایر افراد مرتبط که می‌توان اطلاعات بیشتری از آنها دریافت کرد؛
• شرحی از پیامدهای احتمالی نقض اطلاعات شخصی؛
• شرح اقدامات انجام شده یا پیشنهادی برای رسیدگی به نقض اطلاعات شخصی، از جمله، در صورت لزوم، اقداماتی برای کاهش اثرات نامطلوب احتمالی آن.

در مواردی که ارائه همزمان تمام اطلاعات فوق امکان‌پذیر نباشد، می‌توان اطلاعات را به صورت مرحله‌ای و بدون تأخیر بی‌مورد ارائه کرد. پردازشگر باید با کنترل‌کننده همکاری کند و اقدامات منطقی لازم را که کنترل‌کننده ممکن است برای کمک به تحقیقات، کاهش و رفع نقض امنیتی لازم بداند، انجام دهد.

طرفین اذعان می‌کنند که طبق ماده ۳۳ GDPR، تعهد اطلاع‌رسانی به مرجع نظارتی ذیصلاح (آژانس اسپانیایی حفاظت از داده‌ها - AEPD یا سایر مراجع ذی‌ربط) ظرف ۷۲ ساعت پس از اطلاع از نقض داده‌های شخصی، بر عهده کنترل‌کننده به عنوان کنترل‌کننده داده‌ها است. اطلاع‌رسانی پردازنده به کنترل‌کننده تحت این بند به منظور قادر ساختن کنترل‌کننده به انجام این تعهد نظارتی است. اطلاع‌رسانی پردازنده به منزله پذیرش تقصیر یا مسئولیت نخواهد بود.

۷. زیرپردازنده‌ها

۷.۱ مجوز عمومی

کنترل‌کننده به پردازنده اجازه عمومی می‌دهد تا زیرپردازنده‌های ذکر شده در پیوست ۳ (زیرپردازنده‌های تأیید شده) را در این DPA به کار گیرد. پردازنده باید تعهدات حفاظت از داده‌های معادل موارد مندرج در این DPA را برای هر زیرپردازنده اعمال کند، به ویژه تضمین‌های کافی برای اجرای اقدامات فنی و سازمانی مناسب را ارائه دهد.

۷.۲ تغییرات در زیرپردازنده‌ها

پردازنده باید هرگونه تغییر مورد نظر در مورد اضافه یا جایگزینی پردازنده‌های فرعی را از طریق موارد زیر به کنترل‌کننده اطلاع دهد: (الف) به‌روزرسانی فهرست پردازنده‌های فرعی منتشر شده در https://xygeni.io/legal/subprocessors با تاریخ اصلاح‌شده «آخرین به‌روزرسانی»؛ و (ب) ارائه اطلاعیه کتبی به کنترل‌کننده حداقل ده (10) روز قبل از لازم‌الاجرا شدن تغییر. کنترل‌کننده می‌تواند ظرف هفت (7) روز از تاریخ چنین اطلاعیه‌ای، به دلایل منطقی حفاظت از داده‌ها، به تغییر اعتراض کند. اگر کنترل‌کننده اعتراض کند و طرفین نتوانند اعتراض را حل کنند، کنترل‌کننده می‌تواند توافق‌نامه اصلی را با اطلاع‌رسانی منطقی و بدون جریمه فسخ کند.

اگر پردازنده، یک پردازنده فرعی را به کار گیرد، تا زمانی که پردازنده فرعی از انجام تعهدات حفاظت از داده‌های خود قصور ورزد، پردازنده در قبال انجام تعهدات آن پردازنده فرعی در قبال کنترل‌کننده کاملاً مسئول خواهد بود.

۷.۳ الزامات جریان رو به پایین زیرپردازنده

برای هر زیرپردازنده، پردازنده باید:

• قبل از به کارگیری پردازنده فرعی، بررسی‌های لازم را انجام دهید؛
• یک توافقنامه پردازش داده کتبی منعقد کنید که تعهدات حفاظت از داده را به گونه‌ای تعیین کند که از تعهدات مندرج در این DPA کمتر نباشد.
• اطمینان حاصل کنید که اقدامات امنیتی زیرپردازنده حداقل معادل اقدامات مورد نیاز طبق بند ۵.۳ و پیوست ۲ است؛
• شامل تعهدات مربوط به اطلاع‌رسانی نقض اطلاعات است که پردازنده فرعی را ملزم می‌کند ظرف ۲۴ ساعت پس از آگاهی از نقض اطلاعات شخصی، پردازنده را مطلع کند تا پردازنده بتواند به تعهد اطلاع‌رسانی ۴۸ ساعته خود به کنترل‌کننده عمل کند.

8. نقل و انتقالات بین المللی

پردازشگر نباید داده‌های مشتری را به کشوری خارج از منطقه اقتصادی اروپا (EEA) منتقل کند، مگر اینکه:

• کمیسیون اروپا یک قانون کفایت تصویب کرده استcisبرای آن کشور طبق ماده ۴۵ GDPR؛ یا
• اقدامات حفاظتی مناسب مطابق با ماده ۴۶ GDPR اجرا شده است، از جمله اما نه محدود به Standard بندهای قراردادی مصوب کمیسیون اروپا در خصوص اجرای طرحcisیون (اتحادیه اروپا) 2021/914 مورخ 4 ژوئن 2021 ("SCC").

در مواردی که SCCها مورد نیاز باشند، پردازنده باید بنا به درخواست کنترل‌کننده، SCCهای مربوطه را با کنترل‌کننده و/یا با زیرپردازنده مربوطه اجرا کند. ماژول مربوطه SCCها برای انتقال از کنترل‌کننده به پردازنده، ماژول دو (کنترل‌کننده به پردازنده) و برای انتقال‌های بعدی توسط پردازنده به زیرپردازنده‌ها، ماژول سه (پردازنده به زیرپردازنده) خواهد بود.

مرجع نظارتی ذیصلاح برای اهداف SCC، آژانس حفاظت از داده‌های اسپانیا (Agencia Española de Protección de Datos — AEPD) است، مگر اینکه کتباً توافق دیگری صورت گرفته باشد.

پردازشگر باید سابقه‌ی فعلی تمام انتقال‌های بین‌المللی داده‌های مشتری و سازوکار انتقال مربوطه برای هر یک را نگهداری و بنا به درخواست، در اختیار کنترل‌کننده قرار دهد.

۹. ارزیابی اثرات حفاظت از داده‌ها

در مواردی که یک فعالیت پردازشی احتمالاً منجر به ریسک بالایی برای حقوق و آزادی‌های اشخاص حقیقی می‌شود و کنترل‌کننده موظف است ارزیابی تأثیر حفاظت از داده‌ها (DPIA) را طبق ماده ۳۵ GDPR انجام دهد، پردازنده باید در صورت لزوم، کمک و اطلاعات معقولی را در اختیار کنترل‌کننده قرار دهد تا کنترل‌کننده بتواند DPIA را انجام دهد. پردازنده باید ظرف ۱۵ روز کاری به درخواست‌های معقول مربوط به DPIA کنترل‌کننده پاسخ دهد.

۱۰. سوابق فعالیت‌های پردازش

پردازنده، بنا به درخواست کنترل‌کننده، موظف است سابقه‌ای از فعالیت‌های پردازشی انجام‌شده از طرف کنترل‌کننده مطابق با ماده 30(2) GDPR، شامل موارد زیر را نگهداری کند: نام و اطلاعات تماس پردازنده و هر یک از پردازنده‌های فرعی؛ دسته‌بندی پردازش‌های انجام‌شده از طرف کنترل‌کننده؛ انتقال داده‌های شخصی به کشور ثالث؛ و شرح کلی اقدامات امنیتی فنی و سازمانی.

11. بدهی

مسئولیت هر یک از طرفین در قبال طرف دیگر تحت یا در ارتباط با این DPA تابع محدودیت‌ها و استثنائات مندرج در توافق‌نامه اصلی خواهد بود. در مواردی که یک موضوع داده در نتیجه پردازشی که قانون حفاظت از داده‌های قابل اجرا را نقض می‌کند، متحمل خسارت شده باشد، هر یک از طرفین مطابق با مواد ۸۲ تا ۸۳ GDPR مسئول خسارت ناشی از پردازش آن که GDPR را نقض می‌کند، خواهد بود. هیچ چیز در این بند، مسئولیت هیچ یک از طرفین را در قبال موضوع داده‌ها تحت قانون قابل اجرا محدود نمی‌کند.

12 خاتمه و خاتمه

این DPA از تاریخ توافق‌نامه اصلی (یا تاریخ اجرای این DPA در صورت تأخیر) آغاز می‌شود و تا پایان مدت توافق‌نامه اصلی معتبر خواهد بود. فسخ توافق‌نامه اصلی به هر دلیلی، خود به خود این DPA را نیز فسخ می‌کند.

پس از فسخ قرارداد، تعهدات پردازشگر طبق بند ۵.۶ (حذف یا بازگرداندن داده‌ها) به قوت خود باقی می‌ماند و پردازشگر موظف است حذف یا بازگرداندن داده‌های مشتری را ظرف ۳۰ روز از تاریخ فسخ قرارداد تکمیل کند. بندهای مربوط به محرمانگی، مسئولیت، قانون حاکم و حسابرسی نیز پس از فسخ قرارداد پابرجا خواهند ماند.

13. قانون و صلاحیت حاکم

این DPA تابع قوانین اسپانیا بوده و مطابق با آنها تفسیر خواهد شد. طرفین برای حل هرگونه اختلاف ناشی از یا در ارتباط با این DPA، صلاحیت غیر انحصاری دادگاه‌های مادرید را می‌پذیرند. تا حدی که هر یک از مفاد این DPA با قوانین اساسی اسپانیا (SCC) در تضاد باشد، قوانین اساسی اسپانیا (SCC) ارجحیت خواهند داشت.

14. متفرقه

کل مورد: این DPA، همراه با جداول و توافقنامه اصلی آن، کل توافق بین طرفین در رابطه با موضوع این توافقنامه را تشکیل می‌دهد و جایگزین تمام توافقات، تفاهمات یا اظهارات قبلی مربوط به پردازش داده‌ها می‌شود.

اصلاحات: این DPA فقط با توافق کتبی امضا شده توسط نمایندگان مجاز هر دو طرف قابل اصلاح است.

قابلیت جداسازی: اگر هر یک از مفاد این DPA نامعتبر یا غیرقابل اجرا تشخیص داده شود، سایر مفاد به قوت خود باقی خواهند ماند.

تقدم: در صورت وجود اختلاف بین این DPA و جداول، متن DPA ملاک عمل خواهد بود، مگر اینکه جدول صراحتاً خلاف آن را ذکر کرده باشد. در صورت وجود اختلاف بین این DPA و SCC ها (در صورت وجود)، SCC ها ملاک عمل خواهند بود.

پیوست ۱ - جزئیات پردازش

1. موضوع

موضوع پردازش، ارائه شده توسط Xygeni است. application security posture management, software supply chain security تحلیل، تشخیص آسیب‌پذیری، CI/CD نظارت امنیتی و خدمات مرتبط مطابق با آنچه در توافقنامه اصلی شرح داده شده است.

۲. ماهیت پردازش

جمع‌آوری، سازماندهی، ساختاردهی، ذخیره‌سازی، تجزیه و تحلیل، بازیابی، استفاده، افشا از طریق انتقال، هم‌ترازی یا ترکیب، محدود کردن، پاک کردن یا از بین بردن داده‌های مشتری.

۴. هدف از پردازش

پردازش داده‌های مشتری صرفاً با هدف ارائه خدمات به کنترل‌کننده انجام می‌شود، از جمله: تشخیص و گزارش آسیب‌پذیری امنیتی؛ تجزیه و تحلیل ریسک زنجیره تأمین نرم‌افزار؛ CI/CD pipeline security نظارت؛ تشخیص ناهنجاری؛ و پشتیبانی مشتری.

۴. مدت زمان پردازش

پردازشگر موظف است داده‌های مشتری را در طول مدت قرارداد اصلی پردازش کند. پس از خاتمه قرارداد، پردازشگر موظف است داده‌های مشتری را به مدت ۳ ماه پس از تاریخ پایان اشتراک، قبل از حذف، نگهداری کند، مگر اینکه کنترل‌کننده درخواست حذف زودتر را داشته باشد. داده‌های حساب آزمایشی به مدت ۱ ماه پس از انقضای دوره آزمایشی نگهداری می‌شوند.

۵. انواع داده‌های شخصی

6. دسته بندی موضوعات داده ها

موضوعات داده شامل موارد زیر است: کارمندان، پیمانکاران و سایر کاربران مجاز کنترل‌کننده که به خدمات دسترسی دارند؛ مشارکت‌کنندگان (توسعه‌دهندگان، حساب‌های ربات، عوامل ساخت) در مخازن و pipelineتوسط سرویس‌ها نظارت می‌شود؛ و نمایندگان و افراد رابط کنترل‌کننده.

۷. داده‌های دسته‌بندی ویژه

این سرویس‌ها برای پردازش داده‌های شخصی دسته خاص، همانطور که در ماده ۹ GDPR تعریف شده است، طراحی نشده‌اند. کنترل‌کننده تضمین می‌کند که بدون توافق کتبی قبلی با Xygeni و اجرای اقدامات حفاظتی اضافی مناسب، داده‌های شخصی دسته خاص را به سرویس‌ها ارسال نخواهد کرد.

پیوست ۲ - اقدامات امنیتی فنی و سازمانی

شرکت Xygeni اقدامات فنی و سازمانی زیر را برای محافظت از داده‌های مشتری، مطابق با سیستم مدیریت امنیت اطلاعات دارای گواهینامه ISO 27001 شرکت Xygeni، اجرا می‌کند:

کنترل دسترسی

• کنترل دسترسی مبتنی بر نقش (RBAC) در تمام سیستم‌هایی که داده‌های مشتری را پردازش می‌کنند، اعمال می‌شود.
• احراز هویت چند عاملی (MFA) برای دسترسی تمام پرسنل Xygeni به سیستم‌های تولید الزامی است.
• اصل حداقل امتیاز برای همه حساب‌های کاربری اعمال می‌شود؛ حقوق دسترسی هر سه ماه یکبار بررسی می‌شود.
• احراز هویت مبتنی بر کلید SSH برای دسترسی به سرور عملیاتی؛ احراز هویت با رمز عبور غیرفعال است.

رمزگذاری داده ها

• داده‌های مشتری در حین انتقال با استفاده از TLS 1.2 یا بالاتر رمزگذاری شده‌اند.
• داده‌های مشتری در حالت استراحت با استفاده از AES-256 یا معادل آن رمزگذاری می‌شوند.
• کلیدهای رمزگذاری از طریق سرویس مدیریت کلید AWS (KMS) مدیریت می‌شوند.

امنیت شبکه

• سیستم‌های تولیدی که در ابر خصوصی مجازی (VPC) AWS با تقسیم‌بندی شبکه میزبانی می‌شوند.
• فایروال برنامه‌های کاربردی وب (WAF) برای نقاط پایانی عمومی پیاده‌سازی شده است.
• سیستم‌های تشخیص و پیشگیری از نفوذ در محل مستقر هستند.
• اسکن منظم آسیب‌پذیری و آزمایش نفوذ زیرساخت‌ها و لایه‌های کاربردی.

امنیت فیزیکی

• داده‌های مشتری در مراکز داده AWS با گواهینامه‌های SOC 2 نوع II و ISO 27001 میزبانی می‌شوند.
• دسترسی فیزیکی به تأسیسات مرکز داده محدود به پرسنل مجاز AWS با کنترل‌های بیومتریک است.

در دسترس بودن و تاب‌آوری

• پشتیبان‌گیری خودکار روزانه از تمام داده‌های مشتری، که حداقل به مدت ۷ روز نگهداری می‌شود.
• صحت پشتیبان‌گیری به صورت دوره‌ای تأیید می‌شود.
• Disastرویه‌های بازیابی سالانه مستند و آزمایش می‌شوند.

مدیریت حادثه

• طرح واکنش به حوادث امنیتی سالانه نگهداری و آزمایش می‌شود.
• رویدادهای امنیتی رصد و ثبت می‌شوند؛ هشدارها توسط واحد عملیات امنیتی بررسی می‌شوند.
• رویه‌های اطلاع‌رسانی نقض اطلاعات شخصی برای رعایت تعهد اطلاع‌رسانی ۴۸ ساعته به کنترل‌کننده، در حال اجرا است.

پرسنل

• تمام پرسنل Xygeni که به داده‌های مشتری دسترسی دارند، موظف به رعایت تعهدات محرمانگی هستند.
• آموزش آگاهی‌بخشی امنیتی سالانه برای همه پرسنل برگزار می‌شود.
• بررسی سوابق پرسنلی که به سیستم‌های تولید دسترسی دارند، تا حدی که قانون مربوطه اجازه می‌دهد.

مدیریت شخص ثالث

• زیرپردازنده‌ها قبل از تعامل، از نظر رعایت الزامات امنیتی ارزیابی شدند.
• توافق‌نامه‌های پردازش داده با تمام پردازنده‌های فرعی برقرار است.

گواهی

• شرکت Xygeni دارای گواهینامه ISO 27001 (سیستم مدیریت امنیت اطلاعات) است.
• Xygeni در حال پیگیری اخذ گواهینامه SOC 2 نوع II است؛ گواهینامه پس از تکمیل به کنترل‌کننده ارائه خواهد شد.