Comhaontú Próiseála Sonraí

Páirtithe

Déantar an Comhaontú Próiseála Sonraí seo (“DPA” nó “Comhaontú”) a dhéanamh idir:

Rialaitheoir sonraí (“Rialaitheoir” nó “Custaiméir”)

Próiseálaí Sonraí (“Próiseálaí” nó “Xygeni”):

Tagraítear don Rialaitheoir agus don Phróiseálaí anseo feasta mar “Páirtí” ina n-aonar agus le chéile mar na “Páirtithe”.

Is cuid den Phríomh-Chomhaontú Seirbhíse nó de na Téarmaí Seirbhíse (“Príomh-Chomhaontú”) idir na Páirtithe lena rialaítear soláthar slándála feidhmchláir ag Xygeni agus software supply chain security seirbhísí (na “Seirbhísí”). I gcás coinbhleachta idir an DPA seo agus an Príomh-Chomhaontú, beidh forlámhas ag an DPA seo maidir le cúrsaí cosanta sonraí.

1. Sainmhínithe

Chun críocha an DPA seo:

• “GDPR” ciallaíonn Rialachán (AE) 2016/679 ó Pharlaimint na hEorpa agus ón gComhairle an 27 Aibreán 2016 maidir le cosaint daoine nádúrtha i ndáil le próiseáil sonraí pearsanta.
• “Íoslódáil” ciallaíonn Ley Orgánica 3/2018, 5 de diciembre, de Protección de Datos Personales agus garantía de los derechos digitales.
• “Sonraí Pearsanta”, “Próiseáil”, “Rialaitheoir”, “Próiseálaí”, “Fo-phróiseálaí”, “Ábhar Sonraí”, “Údarás Maoirseachta”, “Sárú Sonraí Pearsanta” beidh na bríonna a shanntar dóibh sa GDPR leo.
• “Sonraí Custaiméara” ciallaíonn sé aon Sonraí Pearsanta a chuireann an Rialaitheoir isteach chuig na Seirbhísí nó a chuirtear thar a cheann, nó a phróiseálann an Próiseálaí thar ceann an Rialaitheora i ndáil leis na Seirbhísí.
• “Fo-phróiseálaí” ciallaíonn sé aon tríú páirtí a fhostaíonn an Próiseálaí, le húdarú roimh ré ón Rialaitheoir (mar a thuairiscítear i gClásal 7), chun Sonraí Custaiméirí a phróiseáil thar ceann an Rialaitheora.
• “SCCanna” ciallaíonn an Standard Clásail Chonarthacha maidir le haistriú sonraí pearsanta chuig tríú tíortha de bhun GDPR, mar atá ceadaithe ag an gCoimisiún Eorpach um Chur Chun Feidhme DecisRialachán (AE) 2021/914 an 4 Meitheamh 2021.
• “Seirbhísí” ciallaíonn an application security posture management, software supply chain security, braiteadh leochaileachta agus seirbhísí gaolmhara arna soláthar ag Xygeni don Rialaitheoir faoin bPríomh-Chomhaontú.
• “Dlí um Chosaint Sonraí is Infheidhme” ciallaíonn sé an GDPR, an LOPDGDD, agus aon reachtaíocht náisiúnta eile maidir le cosaint sonraí is infheidhme arna leasú ó am go ham.

2. Róil na bPáirtithe

Admhaíonn agus aontaíonn na Páirtithe:

• Gníomhaíonn an Rialaitheoir mar rialaitheoir sonraí i leith Sonraí Custaiméirí agus tá sé freagrach as cuspóirí agus modhanna próiseála Sonraí Custaiméirí a chuirtear faoi bhráid na Seirbhísí a chinneadh.
• Gníomhaíonn an Próiseálaí mar phróiseálaí sonraí i leith Sonraí Custaiméirí agus próiseálann sé na sonraí sin thar ceann an Rialaitheora agus de réir threoracha doiciméadaithe an Rialaitheora amháin.
• Comhlíonfaidh gach Páirtí a oibleagáidí faoi seach faoin Dlí Cosanta Sonraí is Infheidhme ina ról mar Rialaitheoir nó mar Phróiseálaí.

I gcás ina bpróiseálann Xygeni sonraí pearsanta chun a chríocha féin (e.g., bainistíocht cuntas, billeáil, anailísíocht feabhsúcháin seirbhíse), gníomhaíonn sé mar Rialaitheoir neamhspleách. Rialaítear an phróiseáil sin le Polasaí Príobháideachais Xygeni agus tá sé lasmuigh de raon feidhme an DPA seo.

3. Ábhar, Cineál agus Cuspóir na Próiseála

Leagtar amach i Sceideal 1 (Sonraí Próiseála) a ghabhann leis an Acht um Chosaint Sonraí seo ábhar, cineál, fad agus cuspóir na próiseála, chomh maith leis na cineálacha Sonraí Pearsanta a phróiseáiltear agus catagóirí na nÁbhar Sonraí.

Ní phróiseálfaidh an Próiseálaí Sonraí Custaiméirí ach a mhéid is gá chun na Seirbhísí a thuairiscítear sa Phríomh-Chomhaontú a sholáthar agus i gcomhréir le treoracha doiciméadaithe an Rialaitheora, mura gceanglaítear air déanamh amhlaidh faoin dlí is infheidhme. Sa chás sin, cuirfidh an Próiseálaí an Rialaitheoir ar an eolas faoin gceanglas dlíthiúil sin roimh phróiseáil, mura dtoirmisctear é le dlí ar fhorais thábhachtacha leasa phoiblí.

4. Treoracha an Rialaitheora

Tugann an Rialaitheoir treoir don Phróiseálaí Sonraí an Chustaiméara a phróiseáil de réir mar is gá chun: (a) na Seirbhísí a sholáthar i gcomhréir leis an bPríomh-Chomhaontú; (b) treoracha an Rialaitheora a chuirtear in iúl i scríbhinn ó am go ham a chomhlíonadh; agus (c) oibleagáidí an Phróiseálaí faoin DPA seo a chomhlíonadh.

Cuirfidh an Próiseálaí an Rialaitheoir ar an eolas láithreach má sháraíonn treoir ón Rialaitheoir, i dtuairim réasúnta an Phróiseálaí, an Dlí Cosanta Sonraí is Infheidhme. Sa chás sin, beidh an Próiseálaí i dteideal scor den phróiseáil de bhun na treorach sin go dtí go mbeidh an treoir soiléirithe nó modhnaithe ag an Rialaitheoir.

Ráthaíonn agus dearbhaíonn an Rialaitheoir: (a) go bhfuil bunús dlíthiúil bailí aige faoi Airteagal 6 den GDPR (agus, i gcás inarb infheidhme, Airteagal 9) chun na Sonraí Pearsanta ábhartha a phróiseáil; (b) gur sholáthair sé na fógraí riachtanacha go léir agus gur fuair sé na toiliú riachtanacha go léir; agus (c) nach sáraíonn aistriú Sonraí an Chustaiméara chuig an bPróiseálaí aon dlíthe is infheidhme.

5. Oibleagáidí Próiseálaithe

5.1 Srianta próiseála

Ní phróiseálfaidh an Próiseálaí Sonraí Custaiméirí ach amháin ar threoracha doiciméadaithe an Rialaitheora, mura gceanglaítear air déanamh amhlaidh le dlí infheidhme an AE nó Ballstáit. Ní phróiseálfaidh an Próiseálaí Sonraí Custaiméirí chun a chríche féin ná ní nochtfaidh sé do thríú páirtithe iad ach amháin de réir mar is gá chun na Seirbhísí a sholáthar nó de réir mar a cheanglaítear le dlí.

5.2 Rúndacht

Áiritheoidh an próiseálaí go mbeidh ag daoine atá údaraithe chun Sonraí Custaiméirí a phróiseáil commitiad féin a chur i bhfeidhm maidir le rúndacht nó atá faoi oibleagáid reachtúil chuí rúndachta. Beidh rochtain ar Shonraí Custaiméirí teoranta do na fostaithe, na conraitheoirí agus na fophróiseálaithe sin a bhfuil rochtain ag teastáil uathu chun na Seirbhísí a sholáthar.

5.3 Bearta slándála

Cuirfidh an próiseálaí bearta teicniúla agus eagraíochtúla iomchuí i bhfeidhm agus coinneoidh sé/sí i bhfeidhm chun Sonraí Custaiméirí a chosaint ar phróiseáil neamhúdaraithe nó neamhdhleathach agus ar chaillteanas, scriosadh, damáiste, athrú nó nochtadh de thaisme, agus aird á tabhairt ar:

• staid na teicneolaíochta agus costais chur i bhfeidhm;
• cineál, raon feidhme, comhthéacs agus cuspóirí na próiseála;
• na rioscaí do chearta agus do shaoirsí daoine nádúrtha, go háirithe ó scriosadh, cailliúint, athrú, nochtadh neamhúdaraithe nó rochtain neamhúdaraithe ar Shonraí Custaiméirí a tharchuirtear, a stóráiltear nó a phróiseáiltear ar shlí eile, de thaisme nó neamhdhleathach.

Áireofar sna bearta sin, ar a laghad, na bearta sin atá leagtha amach i Sceideal 2 (Bearta Slándála Teicniúla agus Eagraíochtúla) a ghabhann leis an gComhaontú um Chosaint Sonraí seo. Soláthraíonn deimhniú ISO 27001 an phróiseálaí fianaise ar chóras bainistíochta slándála faisnéise bonnlíne. Coinneoidh an próiseálaí deimhniú ISO 27001 nó a chomhionann i rith théarma an Chomhaontú um Chosaint Sonraí seo.

5.4 Cearta Ábhar Sonraí

Agus cineál na próiseála á chur san áireamh, cabhróidh an Próiseálaí leis an Rialaitheoir trí bhearta teicniúla agus eagraíochtúla iomchuí, a mhéid is féidir, chun oibleagáid an Rialaitheora a chomhlíonadh chun freagairt d’iarratais ar fheidhmiú.cisCearta Ábhair Sonraí faoin Dlí Cosanta Sonraí is Infheidhme (lena n-áirítear na cearta rochtana, ceartúcháin, scriosta, srianta, iniomparthachta agus agóide faoi Airteagail 15–22 den GDPR).

Déanfaidh an Próiseálaí: (a) fógra a thabhairt don Rialaitheoir láithreach má fhaigheann an Próiseálaí iarratas ó Ábhar Sonraí maidir le Sonraí Custaiméara; (b) gan freagairt d’iarratais den sórt sin ach amháin ar threoracha doiciméadaithe an Rialaitheora nó mar a cheanglaítear leis an dlí is infheidhme; agus (c) cúnamh réasúnta a sholáthar don Rialaitheoir chun freagairt d’iarratais den sórt sin laistigh de na spriocdhátaí reachtúla is infheidhme (30 lá faoi Airt. 12 den GDPR).

5.5 Cúnamh le hoibleagáidí an Rialaitheora

Cabhróidh an Próiseálaí leis an Rialaitheoir a chinntiú go gcomhlíontar na hoibleagáidí faoi Airteagail 32–36 den GDPR, agus cineál na próiseála agus an fhaisnéis atá ar fáil don Phróiseálaí á gcur san áireamh, lena n-áirítear maidir leis an méid seo a leanas:

• slándáil próiseála (Airt. 32);
• fógra a thabhairt don údarás maoirseachta faoi Shárú Sonraí Pearsanta agus cumarsáid a dhéanamh leis na hÁbhair Sonraí (Airteagail 33–34);
• measúnuithe tionchair ar chosaint sonraí agus comhairliúchán roimh ré (Airteagail 35–36).

5.6 Scriosadh nó filleadh sonraí

Ar fhoirceannadh nó ar dhul in éag an Phríomh-Chomhaontaithe, nó ar iarratas ón Rialaitheoir, déanfaidh an Próiseálaí, de rogha an Rialaitheora, na Sonraí Custaiméirí go léir atá ina sheilbh a scriosadh nó a thabhairt ar ais don Rialaitheoir, agus scriosfaidh sé cóipeanna atá ann cheana féin, mura gceanglaítear stóráil na Sonraí Pearsanta faoi dhlí infheidhme an AE nó dlí Ballstáit. Deimhneoidh an Próiseálaí i scríbhinn go bhfuil an scriosadh críochnaithe laistigh de 30 lá ón spreagadh ábhartha.

Próiseálaí standard Beidh feidhm ag an sceideal coinneála sonraí (atá leagtha amach i Sceideal 1) mura ndéanann an Rialaitheoir iarratas níos luaithe ar scriosadh.

5.7 Iniúchadh agus léiriú comhlíontachta

Cuirfidh an Próiseálaí an fhaisnéis uile is gá ar fáil don Rialaitheoir chun a léiriú go gcomhlíontar na hoibleagáidí a leagtar amach sa DPA seo, agus ceadóidh sé iniúchtaí, lena n-áirítear cigireachtaí, a dhéanann an Rialaitheoir nó iniúchóir a bheidh sainordaithe ag an Rialaitheoir, agus rannchuideoidh sé leo.

Féadfaidh an próiseálaí an oibleagáid seo a chomhlíonadh trí na nithe seo a leanas a sholáthar:

• cóip dá theastas ISO 27001 reatha nó dá thuairisc SOC 2 Cineál II (nuair a bheidh sí faighte);
• comhlánú ceistneoir slándála an Rialaitheora (laistigh de 10 lá gnó ó dháta fála);
• iniúchtaí réasúnta ar an láthair ar fhógra i scríbhinn 30 lá roimh ré, ar chostas an Rialaitheora, tráth nach mó ná uair amháin in aghaidh na bliana féilire (mura bhfuil amhras réasúnta ann nach gcomhlíontar rialacháin).

6. Fógra maidir le Sárú Sonraí Pearsanta

Cuirfidh an Próiseálaí an Rialaitheoir ar an eolas gan mhoill mhíchuí, agus ar aon chuma laistigh de 48 uair an chloig tar éis dó a bheith ar an eolas faoi Shárú Sonraí Pearsanta a dhéanann difear do Shonraí an Chustaiméara. Áireofar san fhógra sin, a mhéid atá ar fáil ag an am:

• cur síos ar chineál an tSárú Sonraí Pearsanta, lena n-áirítear na catagóirí agus líon na nÁbhar Sonraí lena mbaineann agus na catagóirí agus líon na dtaifead Sonraí Pearsanta lena mbaineann;
• ainm agus sonraí teagmhála an oifigigh cosanta sonraí nó pointe teagmhála eile óna bhféadfar tuilleadh eolais a fháil;
• cur síos ar na hiarmhairtí dóchúla a bhaineann leis an Sárú Sonraí Pearsanta;
• cur síos ar na bearta a glacadh nó a bheartaítear a dhéanamh chun aghaidh a thabhairt ar an Sárú Sonraí Pearsanta, lena n-áirítear, i gcás inarb iomchuí, bearta chun a éifeachtaí díobhálacha féideartha a mhaolú.

I gcás nach féidir an fhaisnéis thuasluaite go léir a sholáthar ag an am céanna, féadfar an fhaisnéis a sholáthar i gcéimeanna gan aon mhoill mhíchuí eile. Comhoibreoidh an Próiseálaí leis an Rialaitheoir agus glacfaidh sé cibé céimeanna réasúnacha a d'fhéadfadh a bheith ag teastáil ón Rialaitheoir chun cabhrú le himscrúdú, maolú agus leigheas an tsáraithe.

Admhaíonn na Páirtithe go bhfuil an oibleagáid faoi Airteagal 33 den GDPR fógra a thabhairt don údarás maoirseachta inniúil (Agencia Española de Protección de Datos — AEPD, nó údarás ábhartha eile) laistigh de 72 uair an chloig ó bheith ar an eolas faoi Shárú Sonraí Pearsanta ar an Rialaitheoir mar rialaitheoir sonraí. Tá sé mar aidhm ag fógra an Phróiseálaí chuig an Rialaitheoir faoin gClásal seo cur ar chumas an Rialaitheora an oibleagáid rialála seo a chomhlíonadh. Ní hionann fógra an Phróiseálaí agus admháil locht ná dliteanais.

7. Fophróiseálaithe

7.1 Údarú ginearálta

Deonaíonn an Rialaitheoir údarú ginearálta don Phróiseálaí chun Fochróiseálaithe a fhostú mar atá liostaithe i Sceideal 3 (Fochróiseálaithe Formheasta) a ghabhann leis an gComhaontú um Chosaint Sonraí seo. Forchuirfidh an Próiseálaí oibleagáidí cosanta sonraí ar gach Fochróiseálaí atá coibhéiseach leis na cinn atá leagtha amach san Chomhaontú um Chosaint Sonraí seo, go háirithe ráthaíochtaí leordhóthanacha a sholáthar chun bearta teicniúla agus eagraíochtúla iomchuí a chur i bhfeidhm.

7.2 Athruithe ar Fhophróiseálaithe

Cuirfidh an Próiseálaí an Rialaitheoir ar an eolas faoi aon athruithe atá beartaithe maidir le Fophróiseálaithe a chur leis nó a athsholáthar trí: (a) an liosta Fophróiseálaithe atá foilsithe ag https://xygeni.io/legal/subprocessors a nuashonrú leis an dáta athbhreithnithe “Nuashonraithe Deiridh”; agus (b) fógra i scríbhinn a thabhairt don Rialaitheoir deich (10) lá ar a laghad sula dtiocfaidh an t-athrú i bhfeidhm. Féadfaidh an Rialaitheoir agóid a dhéanamh i gcoinne an athraithe ar fhorais réasúnacha cosanta sonraí laistigh de sheacht (7) lá ón bhfógra sin. Má dhéanann an Rialaitheoir agóid agus mura féidir leis na Páirtithe an agóid a réiteach, féadfaidh an Rialaitheoir an Príomhchomhaontú a fhoirceannadh ar fhógra réasúnach gan phionós.

Má fhostaíonn an Próiseálaí Fophróiseálaí, beidh an Próiseálaí fós faoi dhliteanas iomlán don Rialaitheoir as comhlíonadh oibleagáidí an Fhophróiseálaí sin a mhéid nach gcomhlíonann an Fophróiseálaí a oibleagáidí cosanta sonraí.

7.3 Ceanglais maidir le sreabhadh síos fophróiseálaithe

I gcás gach Fophróiseálaí, déanfaidh an Próiseálaí:

• dícheall cuí cuí a dhéanamh sula bhfostaítear an Fophróiseálaí;
• comhaontú próiseála sonraí i scríbhinn a dhéanamh lena bhforchuirtear oibleagáidí cosanta sonraí nach lú cosanta ná iad siúd atá sa DPA seo;
• a chinntiú go bhfuil bearta slándála an Fhophróiseálaí coibhéiseach ar a laghad leis na cinn a cheanglaítear faoi Chlásal 5.3 agus Sceideal 2;
• oibleagáidí fógra maidir le sárú a áireamh lena gceanglaítear ar an bhFo-phróiseálaí fógra a thabhairt don Phróiseálaí laistigh de 24 uair an chloig ó bheith ar an eolas faoi Shárú Sonraí Pearsanta, chun a chumasú don Phróiseálaí a oibleagáid fógra 48 uair an chloig don Rialaitheoir a chomhlíonadh.

8. Aistrithe Idirnáisiúnta

Ní aistreoidh an Próiseálaí Sonraí Custaiméirí chuig tír lasmuigh de Limistéar Eacnamaíoch Eorpach (LEE) mura rud é:

• Tá an Coimisiún Eorpach tar éis glacadh le treoir leordhóthanachtacisdon tír sin faoi Airteagal 45 den GDPR; nó
• tá coimircí iomchuí curtha i bhfeidhm i gcomhréir le hAirteagal 46 den GDPR, lena n-áirítear ach gan a bheith teoranta dóibh an Standard Clásail Chonarthacha arna nglacadh ag an gCoimisiún Eorpach chun De a Chur Chun FeidhmecisRialachán (AE) 2021/914 an 4 Meitheamh 2021 (“SCCanna”).

I gcás ina bhfuil gá le Dearbhuithe Cearta Uasta (DCCanna), déanfaidh an Próiseálaí, ar iarratas ón Rialaitheoir, na DCCanna is infheidhme a fhorghníomhú leis an Rialaitheoir agus/nó leis an bhFo-phróiseálaí ábhartha. Is é Modúl a Dó (ón Rialaitheoir go dtí an Próiseálaí) an modúl is infheidhme de na DCCanna le haghaidh aistrithe ó Rialaitheoir go Próiseálaí, agus Modúl a Trí (ón bPróiseálaí go dtí an Fo-phróiseálaí) le haghaidh aistrithe ar aghaidh ón bPróiseálaí chuig na Fo-phróiseálaithe.

Is í Gníomhaireacht na Spáinne um Chosaint Sonraí (Agencia Española de Protección de Datos — AEPD) an t-údarás maoirseachta inniúil chun críocha na SCCanna, mura gcomhaontaítear a mhalairt i scríbhinn.

Coinneoidh an Próiseálaí taifead reatha ar gach aistriú idirnáisiúnta Sonraí Custaiméirí agus an sásra aistrithe is infheidhme do gach ceann acu agus cuirfidh sé ar fáil don Rialaitheoir é ar iarratas.

9. Measúnuithe Tionchair ar Chosaint Sonraí

I gcás ina bhfuil dóchúlacht ann go mbeidh riosca ard ann do chearta agus do shaoirsí daoine nádúrtha mar thoradh ar ghníomhaíocht phróiseála agus go bhfuil sé de dhualgas ar an Rialaitheoir Measúnú Tionchair ar Chosaint Sonraí (DPIA) a dhéanamh faoi Airteagal 35 den GDPR, cuirfidh an Próiseálaí cúnamh agus faisnéis réasúnta ar fáil don Rialaitheoir de réir mar is gá chun go mbeidh sé/sí in ann an DPIA a dhéanamh. Freagróidh an Próiseálaí d’iarratais réasúnta an Rialaitheora a bhaineann le DPIA laistigh de 15 lá gnó.

10. Taifid ar Ghníomhaíochtaí Próiseála

Coinneoidh an Próiseálaí, ar iarratas ón Rialaitheoir, taifead ar na gníomhaíochtaí próiseála a dhéantar thar ceann an Rialaitheora i gcomhréir le hAirteagal 30(2) den Rialachán Ginearálta maidir le Cosaint Sonraí, lena n-áirítear: ainm agus sonraí teagmhála an Phróiseálaí agus aon Fhophróiseálaithe; na catagóirí próiseála a dhéantar thar ceann an Rialaitheora; aistrithe Sonraí Pearsanta chuig tríú tír; agus cur síos ginearálta ar na bearta slándála teicniúla agus eagraíochtúla.

11. Dliteanas

Beidh dliteanas gach Páirtí don pháirtí eile faoin DPA seo nó i ndáil leis faoi réir na dteorainneacha agus na n-eisiamh a leagtar amach sa Phríomh-Chomhaontú. I gcás ina mbeidh damáiste bainte ag Ábhar Sonraí mar thoradh ar phróiseáil a sháraíonn an Dlí Cosanta Sonraí is Infheidhme, beidh gach Páirtí faoi dhliteanas as an damáiste a rinneadh de bharr a phróiseáil a sháraíonn an GDPR i gcomhréir le hAirteagail 82–83 den GDPR. Ní chuireann aon ní sa Chlásal seo teorainn le dliteanas ceachtar Páirtí i leith Ábhar Sonraí faoin dlí is infheidhme.

12. Téarma agus Foirceannadh

Cuirfear tús leis an gComhaontú um Chosaint Sonraí seo ar dháta an Phríomh-Chomhaontaithe (nó dáta fhorghníomhaithe an Chomhaontaithe um Chosaint Sonraí seo más déanaí é) agus fanfaidh sé i bhfeidhm ar feadh ré an Phríomh-Chomhaontaithe. Má chuirtear deireadh leis an bPríomh-Chomhaontú ar chúis ar bith, cuirfear deireadh leis an gComhaontú um Chosaint Sonraí seo go huathoibríoch.

Tar éis foirceannadh, leanfaidh oibleagáidí an Phróiseálaí faoi Chlásal 5.6 (scriosadh nó filleadh sonraí) de bheith i bhfeidhm agus críochnóidh an Próiseálaí scriosadh nó filleadh Sonraí an Chustaiméara laistigh de 30 lá ón bhfoirceannadh. Leanfaidh clásail a bhaineann le rúndacht, dliteanas, dlí rialaithe agus iniúchóireacht de bheith i bhfeidhm tar éis foirceannadh freisin.

13. Dlí Rialaithe agus Dlínse

Rialófar an DPA seo de réir dhlíthe na Spáinne agus léireofar iad dá réir. Géilleann na Páirtithe do dhlínse neamh-eisiach chúirteanna Mhaidrid chun aon díospóid a eascraíonn as an DPA seo nó a bhaineann leis a réiteach. A mhéid a bhíonn aon fhoráil den DPA seo i gcoinbhleacht leis na SCCanna, beidh forlámhas ag na SCCanna.

14. Ilghnéitheach

Comhaontú Iomlán: Is é an DPA seo, mar aon lena Sceidil agus an Príomh-Chomhaontú, an comhaontú iomlán idir na Páirtithe maidir leis an ábhar seo agus cuirtear ina ionad gach comhaontuithe, tuiscintí nó ionadaíocht roimhe seo a bhaineann le próiseáil sonraí.

Leasuithe: Ní fhéadfar an DPA seo a leasú ach amháin le comhaontú i scríbhinn arna shíniú ag ionadaithe údaraithe an dá Pháirtí.

Infheidhmeacht: Má mheastar aon fhoráil den DPA seo a bheith neamhbhailí nó neamh-infhorfheidhmithe, fanfaidh na forálacha eile i bhfeidhm go hiomlán.

Tosaíocht: I gcás easaontais idir an DPA seo agus na Sceidil, beidh forlámhas ag corp an DPA mura ndeir an Sceideal a mhalairt go sainráite. I gcás easaontais idir an DPA seo agus na SCCanna (más infheidhme), beidh forlámhas ag na SCCanna.

SCEIDEAL 1 — Sonraí Próiseála

1. Ábhar

Is é ábhar na próiseála soláthar ag Xygeni de application security posture management, software supply chain security anailís, braiteadh leochaileachta, CI/CD monatóireacht slándála, agus seirbhísí gaolmhara mar a thuairiscítear sa Phríomh-Chomhaontú.

2. Cineál na Próiseála

Bailiú, eagrú, struchtúrú, stóráil, anailís, aisghabháil, úsáid, nochtadh trí tharchur, ailíniú nó comhcheangal, srianadh, scriosadh nó scriosadh Sonraí Custaiméirí.

3. Cuspóir na Próiseála

Déantar Sonraí Custaiméirí a phróiseáil chun na críche sin amháin na Seirbhísí a sholáthar don Rialaitheoir, lena n-áirítear: braiteadh agus tuairisciú leochaileachtaí slándála; anailís riosca ar shlabhra soláthair bogearraí; CI/CD pipeline security monatóireacht; braiteadh neamhghnáchaíochtaí; agus tacaíocht do chustaiméirí.

4. Fad na Próiseála

Próiseálfaidh an Próiseálaí Sonraí an Chustaiméara ar feadh ré an Phríomh-Chomhaontaithe. Ar fhoirceannadh, coinneoidh an Próiseálaí Sonraí an Chustaiméara ar feadh 3 mhí tar éis dháta deiridh an tsíntiúis sula scriosfar iad, mura n-iarrann an Rialaitheoir scriosadh níos luaithe. Coinnítear sonraí cuntais trialach ar feadh 1 mhí tar éis dhul in éag don triail.

5. Cineálacha Sonraí Pearsanta

6. Catagóirí Ábhair Sonraí

Áirítear leis na hÁbhair Sonraí: fostaithe, conraitheoirí, agus úsáideoirí údaraithe eile an Rialaitheora a bhfuil rochtain acu ar na Seirbhísí; rannpháirtithe (forbróirí, cuntais bot, gníomhairí tógála) i stórtha agus pipelinearna monatóireacht ag na Seirbhísí; agus ionadaithe agus daoine teagmhála an Rialaitheora.

7. Sonraí Catagóire Speisialta

Níl na Seirbhísí ceaptha chun sonraí pearsanta catagóire speisialta a phróiseáil mar a shainmhínítear in Airteagal 9 den GDPR. Ráthaíonn an Rialaitheoir nach gcuirfidh sé sonraí pearsanta catagóire speisialta faoi bhráid na Seirbhísí gan comhaontú i scríbhinn roimh ré le Xygeni agus cur i bhfeidhm coimircí breise iomchuí.

SCEIDEAL 2 — Bearta Slándála Teicniúla agus Eagraíochtúla

Cuireann Xygeni na bearta teicniúla agus eagraíochtúla seo a leanas i bhfeidhm chun Sonraí Custaiméirí a chosaint, i gcomhréir le córas bainistíochta slándála faisnéise deimhnithe ISO 27001 Xygeni:

Rialú rochtana

• Rialú rochtana bunaithe ar róil (RBAC) curtha i bhfeidhm ar fud na gcóras uile a phróiseálann Sonraí Custaiméirí.
• Fíordheimhniú ilfhachtóireach (MFA) riachtanach do gach ball foirne Xygeni a bhfuil rochtain acu ar chórais táirgthe.
• Prionsabal na pribhléide is lú i bhfeidhm ar gach cuntas úsáideora; cearta rochtana athbhreithnithe gach ráithiúil.
• Fíordheimhniú bunaithe ar eochair SSH le haghaidh rochtana ar fhreastalaí léiriúcháin; fíordheimhniú pasfhocail díchumasaithe.

Criptiú Sonraí

• Sonraí Custaiméirí criptithe le linn iompair ag baint úsáide as TLS 1.2 nó níos airde.
• Sonraí Custaiméirí criptithe i riocht scíthe ag baint úsáide as AES-256 nó a chomhionann.
• Eochracha criptithe a bhainistítear trí Sheirbhís Bainistíochta Eochracha AWS (KMS).

Slándála Gréasáin

• Córais léiriúcháin arna n-óstáil laistigh de Scamall Príobháideach Fíorúil (VPC) AWS le deighilt líonra.
• Balla Dóiteáin Feidhmchláir Ghréasáin (WAF) imscartha le haghaidh críochphointí atá os comhair an phobail.
• Córais braite agus coiscthe ionraidh i bhfeidhm.
• Scanadh leochaileachta agus tástáil treáite rialta ar bhonneagar agus ar shraitheanna feidhmchláir.

Slándáil Fhisiciúil

• Sonraí Custaiméirí atá á óstáil in ionaid sonraí AWS le deimhnithe SOC 2 Cineál II agus ISO 27001.
• Rochtain fhisiciúil ar áiseanna ionad sonraí srianta do phearsanra údaraithe AWS a bhfuil rialuithe bithmhéadracha acu.

Infhaighteacht agus Athléimneacht

• Cúltacaí uathoibrithe laethúla de na Sonraí Custaiméirí go léir, a choimeádtar ar feadh 7 lá ar a laghad.
• Sláine an chúltaca fíoraithe go tréimhsiúil.
• Disastnósanna imeachta aisghabhála doiciméadaithe agus tástáilte gach bliain.

Bainistiú Teagmhas

• Plean freagartha teagmhais slándála á chothabháil agus á thástáil go bliantúil.
• Déantar monatóireacht agus logáil ar imeachtaí slándála; déantar athbhreithniú ar fholáirimh ag an bhfeidhm oibríochtaí slándála.
• Nósanna imeachta fógra maidir le sárú sonraí pearsanta i bhfeidhm chun an oibleagáid fógra 48 uair an chloig a thabhairt don Rialaitheoir a chomhlíonadh.

Pearsanra

• Tá gach ball foirne de chuid Xygeni a bhfuil rochtain acu ar Shonraí Custaiméirí faoi cheangal ag oibleagáidí rúndachta.
• Reáchtáiltear oiliúint feasachta slándála do gach ball foirne gach bliain.
• Seiceálacha cúlra á ndéanamh ar phearsanra a bhfuil rochtain acu ar chórais táirgthe, a mhéid a cheadaítear faoin dlí is infheidhme.

Bainistíocht Tríú Páirtí

• Déantar measúnú ar fhophróiseálaithe maidir le comhlíonadh slándála sula ndéantar iad a fhostú.
• Comhaontuithe próiseála sonraí i bhfeidhm le gach Fophróiseálaí.

Deimhniú

• Tá deimhniú ISO 27001 (córas bainistíochta slándála faisnéise) ag Xygeni.
• Tá Xygeni ag iarraidh deimhniú SOC 2 Cineál II a bhaint amach; cuirfear an deimhniú ar fáil don Rialaitheoir nuair a bheidh sé críochnaithe.