Ugovor o obradi podataka

Stranke

Ovaj Ugovor o obradi podataka („DPA“ ili „Ugovor“) sklapa se između:

Kontrolor podataka („Kontrolor“ ili „Kupac“)

Obrađivač podataka („Obrađivač“ ili „Xygeni“):

Voditelj obrade i Izvršitelj obrade u daljnjem tekstu pojedinačno se nazivaju „Stranka“, a zajednički „Stranke“.

Ovaj DPA dio je Glavnog ugovora o pružanju usluga ili Uvjeta pružanja usluga („Glavni ugovor“) između Stranaka koji uređuju pružanje sigurnosti aplikacija od strane Xygenija i software supply chain security usluge („Usluge“). U slučaju sukoba između ovog Ugovora o obradi podataka i Glavnog ugovora, ovaj Ugovor o obradi podataka imat će prednost u pogledu pitanja zaštite podataka.

1. Definicije

Za potrebe ovog Ugovora o obradi podataka:

• “GDPR” znači Uredba (EU) 2016/679 Europskog parlamenta i Vijeća od 27. travnja 2016. o zaštiti pojedinaca u vezi s obradom osobnih podataka.
• "LOPDGDD" znači Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales.
• „Osobni podaci“, „Obrada“, „Voditelj obrade“, „Obrađivač“, „Podizvršitelj obrade“, „Ispitivač podataka“, „Nadzorno tijelo“, „Povreda osobnih podataka“ imaju značenja koja su im pripisana u GDPR-u.
• "Podaci o klijentu" znači sve Osobne podatke koje je Kontrolor dostavio ili netko u njegovo ime Uslugama ili koje je Izvršitelj obrade obradio u ime Kontrolora u vezi s Uslugama.
• „Podizvršitelj obrade“ znači bilo koju treću stranu koju angažira Izvršitelj obrade, uz prethodno odobrenje Kontrolora obrade (kako je opisano u klauzuli 7), za obradu Podataka korisnika u ime Kontrolora obrade.
• "SCC-ovi" znači Standard Ugovorne klauzule za prijenos osobnih podataka u treće zemlje u skladu s GDPR-om, kako ih je odobrila Provedbena uredba Europske komisijecisUredba (EU) 2021/914 od 4. lipnja 2021.
• „Usluge” znači application security posture management, software supply chain security, otkrivanje ranjivosti i povezane usluge koje Xygeni pruža Kontroloru prema Glavnom ugovoru.
• „Primjenjivi zakon o zaštiti podataka“ znači GDPR, LOPDGDD i sve ostale primjenjive nacionalne zakone o zaštiti podataka koji se s vremena na vrijeme mijenjaju.

2. Uloge stranaka

Stranke priznaju i slažu se da:

• Kontrolor djeluje kao kontrolor podataka u odnosu na podatke korisnika i odgovoran je za određivanje svrha i načina obrade podataka korisnika dostavljenih Uslugama.
• Izvršitelj obrade djeluje kao izvršitelj obrade u odnosu na podatke korisnika i obrađuje takve podatke isključivo u ime i prema dokumentiranim uputama Kontrolora obrade.
• Svaka Stranka dužna je u svojoj ulozi Kontrolora ili Obrađivača ispunjavati svoje odgovarajuće obveze prema Primjenjivom zakonu o zaštiti podataka.

Tamo gdje Xygeni obrađuje osobne podatke za vlastite svrhe (npr. upravljanje računima, naplata, analitika poboljšanja usluga), djeluje kao neovisni Kontrolor. Takva obrada uređena je Xygenijevim Pravilima o privatnosti i izvan je opsega ovog DPA-a.

3. Predmet obrade, priroda i svrha obrade

Predmet, priroda, trajanje i svrha obrade, kao i vrste obrađenih osobnih podataka i kategorije ispitanika, navedeni su u Prilogu 1 (Detalji obrade) ovog Ugovora o obradi podataka.

Izvršitelj obrade će obrađivati ​​podatke o kupcima samo u mjeri u kojoj je to potrebno za pružanje Usluga opisanih u Glavnom ugovoru i u skladu s dokumentiranim uputama Voditelja obrade, osim ako to nije propisano važećim zakonom. U takvom slučaju, Izvršitelj obrade će obavijestiti Voditelja obrade o toj zakonskoj obvezi prije obrade, osim ako to nije zakonom zabranjeno iz važnih razloga javnog interesa.

4. Upute kontrolora

Kontrolor nalaže Obrađivaču da obrađuje podatke korisnika prema potrebi kako bi: (a) pružio Usluge u skladu s Glavnim ugovorom; (b) se pridržavao uputa Kontrolora koje se s vremena na vrijeme pismeno dostavljaju; i (c) ispunio obveze Obrađivača prema ovom Ugovoru o obradi podataka.

Izvršitelj obrade dužan je odmah obavijestiti Voditelja obrade ako, po njegovu razumnom mišljenju, uputa Voditelja obrade krši Primjenjivi zakon o zaštiti podataka. U takvom slučaju, Izvršitelj obrade ima pravo prekinuti obradu u skladu s takvom uputom dok Voditelj obrade ne pojasni ili izmijeni uputu.

Voditelj obrade jamči i izjavljuje da: (a) ima valjanu pravnu osnovu prema članku 6. GDPR-a (i, gdje je primjenjivo, članku 9.) za obradu relevantnih osobnih podataka; (b) dostavio je sve potrebne obavijesti i dobio sve potrebne suglasnosti; i (c) prijenos podataka o kupcima Obrađivaču ne krši nikakve primjenjive zakone.

5. Obveze obrađivača

5.1 Ograničenja obrade

Izvršitelj obrade obrađuje podatke o korisnicima samo na temelju dokumentiranih uputa Voditelja obrade, osim ako to nije propisano važećim zakonodavstvom EU-a ili države članice. Izvršitelj obrade ne smije obrađivati ​​podatke o korisnicima za vlastite potrebe niti ih otkrivati ​​trećim stranama, osim ako je to potrebno za pružanje Usluga ili ako to zahtijeva zakon.

5.2 Povjerljivost

Obrađivač mora osigurati da osobe ovlaštene za obradu podataka korisnika imaju commitobvezali su se na povjerljivost ili su pod odgovarajućom zakonskom obvezom povjerljivosti. Pristup podacima korisnika bit će ograničen na one zaposlenike, izvođače radova i podizvršitelje obrade kojima je pristup potreban u svrhu pružanja Usluga.

5.3 Sigurnosne mjere

Izvršitelj obrade dužan je provesti i održavati odgovarajuće tehničke i organizacijske mjere za zaštitu podataka korisnika od neovlaštene ili nezakonite obrade te od slučajnog gubitka, uništenja, oštećenja, izmjene ili otkrivanja, uzimajući u obzir:

• najsuvremenije tehnologije i troškovi provedbe;
• priroda, opseg, kontekst i svrhe obrade;
• rizici za prava i slobode fizičkih osoba, posebno od slučajnog ili nezakonitog uništenja, gubitka, izmjene, neovlaštenog otkrivanja ili pristupa podacima o klijentima koji se prenose, pohranjuju ili na drugi način obrađuju.

Takve mjere moraju uključivati, barem, one navedene u Prilogu 2 (Tehničke i organizacijske sigurnosne mjere) ovog DPA-a. Certifikat ISO 27001 Obrađivača pruža dokaz o osnovnom sustavu upravljanja sigurnošću informacija. Obrađivač mora održavati certifikat ISO 27001 ili ekvivalent tijekom cijelog trajanja ovog DPA-a.

5.4 Prava ispitanika

Izvršitelj obrade će, uzimajući u obzir prirodu obrade, pomoći Kontroloru odgovarajućim tehničkim i organizacijskim mjerama, koliko je to moguće, kako bi ispunio svoju obvezu odgovaranja na zahtjeve za izvršenje.cisprava ispitanika prema primjenjivom zakonu o zaštiti podataka (uključujući prava pristupa, ispravka, brisanja, ograničenja, prenosivosti i prigovora prema člancima 15. do 22. GDPR-a).

Izvršitelj obrade dužan je: (a) odmah obavijestiti Kontrolora obrade ako primi zahtjev od Ispitanika u vezi s Podacima Kupca; (b) neće odgovarati na takve zahtjeve osim na temelju dokumentiranih uputa Kontrolora obrade ili kako to zahtijeva važeći zakon; i (c) pružiti Kontroloru razumnu pomoć u odgovaranju na takve zahtjeve unutar važećih zakonskih rokova (30 dana prema članku 12. GDPR-a).

5.5 Pomoć s obvezama Kontrolora

Izvršitelj obrade pomoći će Kontroloru u osiguravanju usklađenosti s obvezama iz članaka 32. do 36. GDPR-a, uzimajući u obzir prirodu obrade i informacije dostupne Izvršitelju obrade, uključujući u vezi s:

• sigurnost obrade (čl. 32.);
• obavještavanje nadzornog tijela o povredama osobnih podataka i komunikacija s ispitanicima (čl. 33.–34.);
• procjene učinka na zaštitu podataka i prethodne konzultacije (čl. 35.–36.).

5.6 Brisanje ili vraćanje podataka

Po raskidu ili isteku Glavnog ugovora ili na zahtjev Kontrolora, Izvršitelj obrade će, po izboru Kontrolora, izbrisati ili vratiti Kontroloru sve Podatke o Kupcima koje posjeduje te će izbrisati postojeće kopije, osim ako primjenjivo pravo EU-a ili države članice ne zahtijeva pohranu Osobnih podataka. Izvršitelj obrade će pismeno potvrditi dovršetak brisanja u roku od 30 dana od relevantnog pokretača.

Procesor standard Raspored čuvanja podataka (naveden u Prilogu 1) primjenjivat će se osim ako Kontrolor ne podnese raniji zahtjev za brisanje.

5.7 Revizija i dokaz usklađenosti

Izvršitelj obrade dužan je staviti na raspolaganje Kontroloru sve informacije potrebne za dokazivanje usklađenosti s obvezama utvrđenim u ovom DPA-u te će omogućiti i doprinijeti revizijama, uključujući inspekcije, koje provodi Kontrolor ili revizor kojeg je ovlastio Kontrolor.

Obrađivač može ispuniti ovu obvezu pružanjem:

• kopiju važećeg certifikata ISO 27001 ili izvješća SOC 2 tipa II (nakon što se dobije);
• ispunjavanje sigurnosnog upitnika Kontrolora (u roku od 10 radnih dana od primitka);
• razumne revizije na licu mjesta uz prethodnu pisanu obavijest od 30 dana, na trošak Kontrolora, ne više od jednom godišnje (osim ako postoji razumna sumnja na neusklađenost).

6. Obavijest o povredi osobnih podataka

Izvršitelj obrade dužan je obavijestiti Voditelja obrade bez nepotrebnog odgađanja, a u svakom slučaju u roku od 48 sati od saznanja o Povredi osobnih podataka koja utječe na podatke Kupca. Takva obavijest mora uključivati, u mjeri u kojoj je to dostupno u tom trenutku:

• opis prirode Povrede osobnih podataka, uključujući kategorije i približan broj dotičnih Ispitanika te kategorije i približan broj dotičnih zapisa Osobnih podataka;
• ime i kontaktni podaci službenika za zaštitu podataka ili druge kontaktne osobe od koje se mogu dobiti dodatne informacije;
• opis vjerojatnih posljedica povrede osobnih podataka;
• opis poduzetih ili predloženih mjera za rješavanje povrede osobnih podataka, uključujući, gdje je to primjereno, mjere za ublažavanje njezinih mogućih negativnih učinaka.

U slučaju da nije moguće istovremeno dostaviti sve gore navedene informacije, informacije se mogu dostaviti u fazama bez nepotrebnog daljnjeg odgađanja. Izvršitelj obrade dužan je surađivati ​​s Kontrolorom i poduzeti razumne korake koje Kontrolor može zahtijevati kako bi pomogao u istrazi, ublažavanju i sanaciji povrede.

Stranke potvrđuju da obveza prema članku 33. GDPR-a o obavještavanju nadležnog nadzornog tijela (Agencia Española de Protección de Datos — AEPD ili drugog relevantnog tijela) u roku od 72 sata od saznanja o Povredi osobnih podataka leži na Kontroloru kao kontroloru podataka. Obavijest Izvršitelja Kontroloru prema ovoj klauzuli namijenjena je omogućavanju Kontroloru da ispuni ovu regulatornu obvezu. Obavijest Izvršitelja ne predstavlja priznanje krivnje ili odgovornosti.

7. Podobrađivači

7.1 Opće ovlaštenje

Kontrolor daje Obrađivaču opće ovlaštenje za angažiranje Podobrađivača kako je navedeno u Prilogu 3 (Odobreni Podobrađivači) za ovaj DPA. Obrađivač će svakom Podobrađivaču nametnuti obveze zaštite podataka ekvivalentne onima navedenima u ovom DPA-u, posebno pružajući dovoljna jamstva za provedbu odgovarajućih tehničkih i organizacijskih mjera.

7.2 Promjene kod podizvršitelja obrade

Izvršitelj obrade dužan je obavijestiti Kontrolora obrade o svim planiranim promjenama koje se odnose na dodavanje ili zamjenu Podobrađivača: (a) ažuriranjem popisa Podobrađivača objavljenog na https://xygeni.io/legal/subprocessors s revidiranim datumom „Zadnje ažuriranje“; i (b) pisanom obavijesti Kontroloru obrade najmanje deset (10) dana prije stupanja na snagu promjene. Kontrolor obrade može prigovoriti na promjenu iz opravdanih razloga zaštite podataka u roku od sedam (7) dana od takve obavijesti. Ako se Kontrolor obrade prigovori i Stranke ne mogu riješiti prigovor, Kontrolor obrade može raskinuti Glavni ugovor uz razumnu obavijest bez kazne.

Ako Izvršitelj obrade angažira Podobrađivača, Izvršitelj obrade ostaje u potpunosti odgovoran Kontroloru za izvršavanje obveza tog Podobrađivača u mjeri u kojoj Podobrađivač ne ispuni svoje obveze zaštite podataka.

7.3 Zahtjevi za prelazak podizvršitelja obrade

Za svakog Podobrađivača, Obrađivač će:

• provesti odgovarajuću dubinsku analizu prije angažiranja Podobrađivača;
• sklopiti pisani ugovor o obradi podataka kojim se nameću obveze zaštite podataka koje nisu manje zaštitne od onih u ovom DPA-u;
• osigurati da su sigurnosne mjere Podobrađivača barem jednakovrijedne onima koje se zahtijevaju prema klauzuli 5.3 i Prilogu 2;
• uključuju obveze obavještavanja o povredi koje zahtijevaju od Podobrađivača da obavijesti Obrađivača u roku od 24 sata od saznanja o povredi osobnih podataka, kako bi Obrađivač mogao ispuniti svoju obvezu obavještavanja Kontrolora u roku od 48 sati.

8. Međunarodni transferi

Izvršitelj obrade ne smije prenijeti podatke o kupcu u zemlju izvan Europskog gospodarskog prostora (EGP) osim ako:

• Europska komisija usvojila je politiku adekvatnosticisza tu zemlju prema članku 45. GDPR-a; ili
• implementirane su odgovarajuće zaštitne mjere u skladu s člankom 46. GDPR-a, uključujući, ali ne ograničavajući se na Standard Ugovorne klauzule koje je usvojila Europska komisija Provedbena odredbacisUredba (EU) 2021/914 od 4. lipnja 2021. („STK“).

Tamo gdje su potrebne opće uvjetne odredbe (SPK), Izvršitelj obrade će, na zahtjev Kontrolora obrade, potpisati primjenjive opće uvjetne odredbe (SPK) s Kontrolorom obrade i/ili s relevantnim Podobrađivačem. Primjenjivi modul opće uvjetne odredbe (SPK) bit će Modul dva (Od Kontrolora obrade do Obrađivača) za prijenose od Kontrolora obrade do Obrađivača i Modul tri (Od Obrađivača do Podobrađivača) za daljnje prijenose od Obrađivača do Podobrađivača.

Nadležno nadzorno tijelo za potrebe standardnih ugovornih klauzula je Španjolska agencija za zaštitu podataka (Agencia Española de Protección de Datos — AEPD), osim ako nije drugačije dogovoreno u pisanom obliku.

Izvršitelj obrade dužan je voditi i na zahtjev staviti na raspolaganje Kontroloru ažurnu evidenciju svih međunarodnih prijenosa Podataka korisnika i primjenjivi mehanizam prijenosa za svaki od njih.

9. Procjene utjecaja na zaštitu podataka

U slučajevima kada je vjerojatno da će aktivnost obrade rezultirati visokim rizikom za prava i slobode pojedinaca i od Voditelja obrade se traži da provede Procjenu učinka na zaštitu podataka (DPIA) prema članku 35. GDPR-a, Izvršitelj obrade dužan je pružiti Voditelju obrade razumnu pomoć i informacije potrebne za provedbu DPIA-e. Izvršitelj obrade dužan je odgovoriti na razumne zahtjeve Voditelja obrade vezane uz DPIA-u u roku od 15 radnih dana.

10. Zapisi o aktivnostima obrade

Izvršitelj obrade dužan je, na zahtjev Kontrolora, voditi evidenciju aktivnosti obrade provedenih u ime Kontrolora u skladu s člankom 30(2) GDPR-a, uključujući: ime i kontakt podatke Izvršitelja obrade i svih Podizvršitelja obrade; kategorije obrade provedene u ime Kontrolora; prijenose osobnih podataka u treću zemlju; i opći opis tehničkih i organizacijskih sigurnosnih mjera.

11. Odgovornost

Odgovornost svake Stranke prema drugoj prema ovom Ugovoru o obradi podataka ili u vezi s njim podliježe ograničenjima i izuzećima navedenima u Glavnom ugovoru. U slučaju da je Ispitanik pretrpio štetu kao rezultat obrade koja krši Primjenjivi zakon o zaštiti podataka, svaka Stranka bit će odgovorna za štetu uzrokovanu njezinom obradom koja krši GDPR u skladu s člancima 82. i 83. GDPR-a. Ništa u ovoj klauzuli ne ograničava odgovornost bilo koje Stranke prema Ispitanicima prema primjenjivom zakonu.

12. Termin i prestanak

Ovaj DPA stupa na snagu na dan Glavnog ugovora (ili datum potpisivanja ovog DPA-a ako je kasniji) i ostaje na snazi ​​za vrijeme trajanja Glavnog ugovora. Raskid Glavnog ugovora iz bilo kojeg razloga automatski će raskinuti ovaj DPA.

Nakon raskida, obveze Obrađivača prema klauzuli 5.6 (brisanje ili vraćanje podataka) ostat će na snazi, a Obrađivač će dovršiti brisanje ili vraćanje Podataka Korisnika u roku od 30 dana od raskida. Klauzule koje se odnose na povjerljivost, odgovornost, mjerodavno pravo i reviziju također će ostati na snazi ​​nakon raskida.

13. Mjerodavno pravo i nadležnost

Ovaj Ugovor o obradi podataka podliježe zakonima Španjolske i tumači se u skladu sa zakonima Španjolske. Stranke se podvrgavaju neisključivoj nadležnosti sudova u Madridu za rješavanje bilo kakvog spora koji proizlazi iz ili je u vezi s ovim Ugovorom o obradi podataka. U mjeri u kojoj je bilo koja odredba ovog Ugovora o obradi podataka u suprotnosti s Općim tržišnim uvjetima, Opći tržišni uvjeti imaju prednost.

14. Razni

Cijeli dogovor: Ovaj DPA, zajedno s njegovim Prilozima i Glavnim ugovorom, predstavlja cjelokupni sporazum između Stranaka u vezi s predmetom ovog ugovora i zamjenjuje sve prethodne sporazume, dogovore ili izjave koje se odnose na obradu podataka.

Izmjene i dopune: Ovaj DPA može se izmijeniti samo pisanim sporazumom potpisanim od strane ovlaštenih predstavnika obje Stranke.

Odvojivost: Ako se bilo koja odredba ovog DPA-a utvrdi nevažećom ili neprovedivom, preostale odredbe ostat će na snazi ​​u cijelosti.

Prednost: U slučaju sukoba između ovog Ugovora o obradi podataka i Priloga, prevladat će tijelo Ugovora o obradi podataka, osim ako Prilog izričito ne navodi drugačije. U slučaju sukoba između ovog Ugovora o obradi podataka i Općih uvjeta poslovanja (gdje je primjenjivo), prevladat će Opći uvjeti poslovanja.

PRILOG 1 — Pojedinosti o obradi

1. Predmet

Predmet obrade je pružanje podataka od strane Xygenija application security posture management, software supply chain security analiza, otkrivanje ranjivosti, CI/CD sigurnosni nadzor i povezane usluge kako je opisano u Glavnom ugovoru.

2. Priroda obrade

Prikupljanje, organizacija, strukturiranje, pohranjivanje, analiza, pronalaženje, korištenje, otkrivanje prijenosom, usklađivanjem ili kombiniranjem, ograničavanje, brisanje ili uništavanje podataka korisnika.

3. Svrha obrade

Obrada podataka korisnika provodi se isključivo u svrhu pružanja Usluga Kontroloru, uključujući: otkrivanje i izvještavanje o sigurnosnim ranjivostima; analizu rizika lanca opskrbe softverom; CI/CD pipeline security praćenje; otkrivanje anomalija; i korisnička podrška.

4. Trajanje obrade

Izvršitelj obrade će obrađivati ​​podatke korisnika tijekom trajanja Glavnog ugovora. Nakon raskida, izvršitelj obrade će čuvati podatke korisnika 3 mjeseca nakon datuma završetka pretplate prije brisanja, osim ako voditelj obrade ne zatraži ranije brisanje. Podaci probnog računa čuvaju se 1 mjesec nakon isteka probnog razdoblja.

5. Vrste osobnih podataka

6. Kategorije subjekata podataka

Subjekti podataka uključuju: zaposlenike, izvođače radova i druge ovlaštene korisnike Kontrolora koji pristupaju Uslugama; suradnike (razvojne programere, bot račune, agente za izradu) u repozitorijima i pipelinekoje nadziru Usluge; te predstavnici i kontakt osobe Kontrolora.

7. Podaci posebne kategorije

Usluge nisu namijenjene za obradu osobnih podataka posebne kategorije kako je definirano u članku 9. GDPR-a. Voditelj obrade jamči da neće dostavljati osobne podatke posebne kategorije Uslugama bez prethodnog pisanog dogovora s tvrtkom Xygeni i provedbe odgovarajućih dodatnih zaštitnih mjera.

PRILOG 2 — Tehničke i organizacijske sigurnosne mjere

Xygeni provodi sljedeće tehničke i organizacijske mjere za zaštitu podataka korisnika, u skladu s Xygenijevim sustavom upravljanja sigurnošću informacija certificiranim prema normi ISO 27001:

Access Control

• Kontrola pristupa temeljena na ulogama (RBAC) provodi se u svim sustavima koji obrađuju podatke korisnika.
• Višefaktorska autentifikacija (MFA) potrebna je za sve zaposlenike Xygenija koji pristupaju produkcijskim sustavima.
• Načelo najmanjih privilegija primjenjuje se na sve korisničke račune; prava pristupa pregledavaju se tromjesečno.
• SSH autentifikacija temeljena na ključu za pristup produkcijskom poslužitelju; autentifikacija lozinkom onemogućena.

Šifriranje podataka

• Podaci korisnika šifrirani su tijekom prijenosa pomoću TLS 1.2 ili novijeg protokola.
• Podaci korisnika šifrirani u stanju mirovanja pomoću AES-256 ili ekvivalenta.
• Ključevi za šifriranje upravljani putem AWS Key Management Servicea (KMS).

Mrežna sigurnost

• Produkcijski sustavi smješteni unutar AWS Virtual Private Clouda (VPC) sa segmentacijom mreže.
• Zaštitni zid web aplikacija (WAF) implementiran je za javno dostupne krajnje točke.
• Sustavi za otkrivanje i sprječavanje upada su na mjestu.
• Redovito skeniranje ranjivosti i testiranje penetracije infrastrukture i aplikacijskih slojeva.

Fizičko osiguranje

• Podaci korisnika pohranjeni u AWS podatkovnim centrima s certifikatima SOC 2 Type II i ISO 27001.
• Fizički pristup objektima podatkovnog centra ograničen je na ovlašteno osoblje AWS-a s biometrijskim kontrolama.

Raspoloživost i otpornost

• Dnevne automatizirane sigurnosne kopije svih korisničkih podataka, koje se čuvaju najmanje 7 dana.
• Integritet sigurnosne kopije periodično se provjerava.
• Disastpostupci oporavka dokumentiraju se i testiraju godišnje.

Upravljanje incidentima

• Plan odgovora na sigurnosne incidente održava se i testira godišnje.
• Praćenje i bilježenje sigurnosnih događaja; upozorenja pregledava funkcija sigurnosnih operacija.
• Postupci obavještavanja o povredi osobnih podataka uspostavljeni su kako bi se ispunila obveza obavještavanja Kontrolora u roku od 48 sati.

osoblje

• Svi zaposlenici tvrtke Xygeni koji imaju pristup podacima klijenata obvezani su obvezama povjerljivosti.
• Svake godine provodi se obuka o sigurnosti za sve zaposlenike.
• Provjere prošlosti provedene su za osoblje s pristupom proizvodnim sustavima, u mjeri u kojoj je to dopušteno važećim zakonom.

Upravljanje treće strane

• Podizvršitelji obrade procijenjeni su u pogledu sigurnosne usklađenosti prije angažmana.
• Ugovori o obradi podataka na snazi ​​sa svim podizvršiteljima obrade.

potvrda

• Xygeni posjeduje certifikat ISO 27001 (sustav upravljanja sigurnošću informacija).
• Xygeni teži certifikaciji SOC 2 tipa II; certifikat će biti dostavljen kontroloru nakon završetka.