Adatkezelési megállapodás

Felek

Ez az Adatfeldolgozási Megállapodás („Adatfeldolgozási Megállapodás” vagy „Megállapodás”) a következők között jött létre:

Adatkezelő („Adatkezelő” vagy „Ügyfél”)

Adatfeldolgozó („Adatfeldolgozó” vagy „Xygeni”):

Az Adatkezelőre és az Adatfeldolgozóra a továbbiakban külön-külön „Fél”, együttesen pedig „Felek” hivatkozunk.

Ez az adatkezelési megállapodás (DPA) a Felek között létrejött, a Xygeni által nyújtott alkalmazásbiztonsági és egyéb szolgáltatásokra vonatkozó keretmegállapodás vagy szolgáltatási feltételek („Főmegállapodás”) részét képezi. software supply chain security szolgáltatások („Szolgáltatások”). Amennyiben a jelen adatkezelési megállapodás és a fő megállapodás között ellentmondás van, az adatvédelmi kérdésekben a jelen adatkezelési megállapodás az irányadó.

1. Fogalommeghatározások

A jelen adatvédelmi nyilatkozat alkalmazásában:

• „A GDP” az Európai Parlament és a Tanács (EU) 2016/679 rendelete (2016. április 27.) a természetes személyeknek a személyes adatok kezelése tekintetében történő védelméről.
• „LOPDGDD” jelentése: Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales.
• „Személyes adatok”, „Feldolgozás”, „Adatkezelő”, „Adatfeldolgozó”, „Al-adatfeldolgozó”, „Adattulajdonos”, „Felügyeleti hatóság”, „Adatvédelmi incidens” a GDPR-ban meghatározott jelentéssel bírnak.
• „Ügyféladatok” az Adatkezelő által vagy nevében a Szolgáltatásoknak benyújtott, vagy az Adatfeldolgozó által az Adatkezelő nevében a Szolgáltatásokkal összefüggésben feldolgozott Személyes Adatot jelenti.
• „Alfeldolgozó” bármely olyan harmadik felet jelent, akit az Adatkezelő előzetes engedélyével (a 7. pontban leírtak szerint) az Adatkezelő nevében az Ügyféladatok feldolgozására bízott meg.
• „SCC-k” azt jelenti Standard Szerződéses záradékok a személyes adatok harmadik országokba történő továbbítására a GDPR alapján, az Európai Bizottság végrehajtási rendelete által jóváhagyvacis(EU) 2021/914 rendelet (2021. június 4.).
• „Szolgáltatások” azt jelenti application security posture management, software supply chain security, a Xygeni által az Adatkezelőnek a Megbízói Szerződés alapján nyújtott sebezhetőség-észlelési és kapcsolódó szolgáltatások.
• „Alkalmazandó adatvédelmi törvény” a GDPR-t, az LOPDGDD-t és minden egyéb alkalmazandó nemzeti adatvédelmi jogszabályt jelenti azok időről időre módosított változataiban.

2. A felek szerepe

A Felek tudomásul veszik és megállapodnak abban, hogy:

• Az Adatkezelő adatkezelőként jár el az Ügyféladatok tekintetében, és felelős a Szolgáltatásoknak benyújtott Ügyféladatok feldolgozásának céljainak és eszközeinek meghatározásáért.
• Az Adatfeldolgozó adatfeldolgozóként jár el az Ügyféladatok tekintetében, és kizárólag az Adatkezelő nevében és dokumentált utasításai szerint dolgozza fel ezeket az adatokat.
• Mindkét Fél köteles betartani az Alkalmazandó Adatvédelmi Jog szerinti kötelezettségeit Adatkezelőként vagy Adatfeldolgozóként.

Amennyiben a Xygeni saját céljaira (pl. fiókkezelés, számlázás, szolgáltatásfejlesztési elemzés) személyes adatokat dolgoz fel, független adatkezelőként jár el. Az ilyen adatkezelést a Xygeni adatvédelmi irányelvei szabályozzák, és kívül esik a jelen adatkezelési megállapodás hatályán.

3. Az adatkezelés tárgya, jellege és célja

Az adatkezelés tárgyát, jellegét, időtartamát és célját, valamint a kezelt személyes adatok típusait és az érintettek kategóriáit a jelen adatkezelési megállapodás 1. melléklete (Adatkezelési részletek) tartalmazza.

Az Adatfeldolgozó az Ügyféladatokat csak a Megállapodásban leírt Szolgáltatások nyújtásához szükséges mértékben és az Adatkezelő dokumentált utasításainak megfelelően kezeli, kivéve, ha erre alkalmazandó jog kötelezi. Ilyen esetben az Adatfeldolgozó az adatkezelést megelőzően tájékoztatja az Adatkezelőt erről a jogi követelményről, kivéve, ha azt fontos közérdekből törvény tiltja.

4. Az adatkezelő utasításai

Az Adatkezelő utasítja az Adatfeldolgozót az Ügyféladatok szükség szerinti feldolgozására a következők érdekében: (a) a Szolgáltatások nyújtása a Megbízói Szerződéssel összhangban; (b) az Adatkezelő időről időre írásban közölt utasításainak betartása; és (c) az Adatfeldolgozó jelen DPA szerinti kötelezettségeinek teljesítése.

Az Adatkezelő haladéktalanul tájékoztatja az Adatkezelőt, ha az Adatkezelő észszerű véleménye szerint az Adatkezelő utasítása sérti az alkalmazandó adatvédelmi jogszabályokat. Ilyen esetben az Adatkezelő jogosult az utasítás szerinti adatkezelést megszüntetni, amíg az Adatkezelő nem pontosítja vagy módosítja az utasítást.

Az Adatkezelő szavatolja és kijelenti, hogy: (a) a GDPR 6. cikke (és adott esetben a 9. cikke) szerinti érvényes jogalappal rendelkezik a vonatkozó Személyes Adatok kezelésére; (b) minden szükséges értesítést megadott és minden szükséges hozzájárulást beszerzett; és (c) az Ügyféladatok Adatfeldolgozónak történő továbbítása nem sérti a vonatkozó jogszabályokat.

5. Az adatfeldolgozó kötelezettségei

5.1 Feldolgozási korlátozások

Az Adatfeldolgozó kizárólag az Adatkezelő dokumentált utasításai alapján dolgozhatja fel az Ügyféladatokat, kivéve, ha erre alkalmazandó uniós vagy tagállami jog kötelezi. Az Adatfeldolgozó nem dolgozhatja fel az Ügyféladatokat saját céljaira, és nem hozhatja azokat harmadik feleknek nyilvánosságra, kivéve, ha az a Szolgáltatások nyújtásához szükséges, vagy ha azt törvény írja elő.

5.2 Titoktartás

Az Adatfeldolgozó biztosítja, hogy az Ügyféladatok feldolgozására jogosult személyek rendelkezzenek committitoktartásra kötelezték magukat, vagy megfelelő törvényi titoktartási kötelezettség terheli őket. Az Ügyféladatokhoz való hozzáférés azon alkalmazottakra, alvállalkozókra és al-feldolgozókra korlátozódik, akiknek a Szolgáltatások nyújtása céljából hozzáférésre van szükségük.

5.3 Biztonsági intézkedések

Az Adatfeldolgozó köteles megfelelő technikai és szervezési intézkedéseket végrehajtani és fenntartani az Ügyféladatok jogosulatlan vagy jogellenes kezeléssel, valamint véletlen elvesztéssel, megsemmisítéssel, károsodással, megváltoztatással vagy nyilvánosságra hozatallal szembeni védelme érdekében, figyelembe véve:

• a technika állása és a megvalósítás költségei;
• az adatkezelés jellege, hatóköre, kontextusa és céljai;
• a természetes személyek jogait és szabadságait fenyegető kockázatok, különösen a továbbított, tárolt vagy más módon feldolgozott Ügyféladatok véletlen vagy jogellenes megsemmisítéséből, elvesztéséből, megváltoztatásából, jogosulatlan nyilvánosságra hozatalából vagy az azokhoz való hozzáférésből eredő kockázatok.

Az ilyen intézkedéseknek legalább a jelen adatkezelési megállapodás 2. mellékletében (Műszaki és szervezési biztonsági intézkedések) foglaltakat kell magukban foglalniuk. Az adatfeldolgozó ISO 27001 tanúsítványa igazolja az alapvető információbiztonsági irányítási rendszer meglétét. Az adatfeldolgozónak a jelen adatkezelési megállapodás időtartama alatt fenn kell tartania az ISO 27001 vagy azzal egyenértékű tanúsítványt.

5.4 Az érintettek jogai

Az Adatfeldolgozó, figyelembe véve az adatkezelés jellegét, amennyire ez lehetséges, megfelelő technikai és szervezési intézkedésekkel segíti az Adatkezelőt az adatkezelési kérelmekre adott válaszadási kötelezettségének teljesítésében.cisaz érintettek jogainak védelme az alkalmazandó adatvédelmi jogszabályok értelmében (beleértve a hozzáférés, helyesbítés, törlés, korlátozás, hordozhatóság és tiltakozás jogát a GDPR 15–22. cikke alapján).

Az Adatfeldolgozó köteles: (a) haladéktalanul értesíteni az Adatkezelőt, ha az Adatkezelő az Ügyféladatokkal kapcsolatos kérést kap az Érintetttől; (b) az ilyen kérésekre nem válaszolni, kivéve, ha az Adatkezelő dokumentált utasításai alapján vagy az alkalmazandó jogszabályok előírják; és (c) az Adatkezelőnek észszerű segítséget nyújtani az ilyen kérések megválaszolásában a vonatkozó törvényi határidőkön belül (30 nap a GDPR 12. cikk szerint).

5.5 Segítségnyújtás az adatkezelő kötelezettségeinek teljesítésében

Az Adatfeldolgozó segíti az Adatkezelőt a GDPR 32–36. cikk szerinti kötelezettségek betartásának biztosításában, figyelembe véve az adatkezelés jellegét és az Adatfeldolgozó rendelkezésére álló információkat, beleértve a következőket:

• az adatkezelés biztonsága (32. cikk);
• a személyes adatokkal kapcsolatos incidensek bejelentése a felügyeleti hatóságnak és az érintettek tájékoztatása (33–34. cikk);
• adatvédelmi hatásvizsgálatok és előzetes konzultáció (35–36. cikk).

5.6 Adatok törlése vagy visszaállítása

A Megállapodás megszűnésekor vagy lejártakor, vagy az Adatkezelő kérésére az Adatfeldolgozó az Adatkezelő választása szerint törli vagy visszaszolgáltatja az Adatkezelőnek az összes birtokában lévő Ügyféladatot, és törli a meglévő másolatokat, kivéve, ha az alkalmazandó uniós vagy tagállami jog előírja a Személyes Adatok tárolását. Az Adatfeldolgozó a vonatkozó kiváltó okot követő 30 napon belül írásban visszaigazolja a törlés megtörténtét.

Processzor standard az adatmegőrzési ütemterv (az 1. mellékletben meghatározott) az irányadó, kivéve, ha az Adatkezelő korábban törlési kérelmet nyújt be.

5.7 Audit és a megfelelőség igazolása

Az Adatfeldolgozó köteles az Adatkezelő rendelkezésére bocsátani minden olyan információt, amely a jelen adatkezelési megállapodásban foglalt kötelezettségek teljesítésének igazolásához szükséges, valamint lehetővé tenni és hozzájárulni az Adatkezelő vagy az Adatkezelő által megbízott auditor által végzett auditokhoz, beleértve az ellenőrzéseket is.

Az adatfeldolgozó a következő módon teljesítheti ezt a kötelezettséget:

• a jelenlegi ISO 27001 tanúsítvány vagy a SOC 2 II. típusú jelentés másolata (miután beszerezte);
• az Adatkezelő biztonsági kérdőívének kitöltése (a kézhezvételtől számított 10 munkanapon belül);
• ésszerű helyszíni ellenőrzéseket 30 napos előzetes írásbeli értesítéssel, az Adatkezelő költségére, naptári évenként legfeljebb egyszer (kivéve, ha alapos gyanú áll fenn a meg nem felelésre).

6. Személyes adatok megsértésének bejelentése

Az Adatfeldolgozó indokolatlan késedelem nélkül, és minden esetben 48 órán belül értesíti az Adatkezelőt az Ügyféladatokat érintő Személyes Adatvédelmi Incidensről való tudomásszerzés után. Az értesítésnek – amennyire az az időpontban elérhető volt – tartalmaznia kell a következőket:

• a Személyes Adatok megsértésének jellegének leírása, beleértve az érintett Érintettek kategóriáit és hozzávetőleges számát, valamint az érintett Személyes Adatok kategóriáit és hozzávetőleges számát;
• az adatvédelmi tisztviselő vagy más kapcsolattartó neve és elérhetőségei, akitől további információ szerezhető be;
• a Személyes Adatok megsértésének valószínűsíthető következményeinek leírása;
• a Személyes Adatok Adatvédelmi Incidensének kezelésére tett vagy javasolt intézkedések leírása, beleértve adott esetben a lehetséges káros hatások enyhítésére irányuló intézkedéseket.

Amennyiben nem lehetséges a fenti információk egyidejű megadása, az információk indokolatlan késedelem nélkül, szakaszosan is megadhatók. Az adatfeldolgozó köteles együttműködni az Adatkezelővel, és megteszi azokat az ésszerű lépéseket, amelyeket az Adatkezelő megkövetel az incidens kivizsgálásának, enyhítésének és orvoslásának elősegítése érdekében.

A Felek tudomásul veszik, hogy az Adatkezelőt, mint adatkezelőt terheli a GDPR 33. cikke szerinti kötelezettség, miszerint az illetékes felügyeleti hatóságot (Agencia Española de Protección de Datos — AEPD vagy más releváns hatóság) a Személyes Adatok Incidenséről való tudomásszerzéstől számított 72 órán belül értesíteni kell. Az Adatfeldolgozó jelen záradék szerinti értesítése célja, hogy az Adatkezelő teljesíthesse ezt a szabályozási kötelezettséget. Az Adatfeldolgozó értesítése nem jelenti a hiba vagy a felelősség elismerését.

7. Alfeldolgozók

7.1 Általános felhatalmazás

Az Adatkezelő általános felhatalmazást ad az Adatfeldolgozónak a jelen Adatkezelési Megállapodás 3. mellékletében (Jóváhagyott Al-adatfeldolgozók) felsorolt ​​Al-adatfeldolgozók igénybevételére. Az Adatfeldolgozó minden Al-adatfeldolgozóra vonatkozóan a jelen Adatkezelési Megállapodásban foglaltakkal egyenértékű adatvédelmi kötelezettségeket ró, különösen a megfelelő technikai és szervezési intézkedések végrehajtására vonatkozó megfelelő garanciák nyújtásával.

7.2 Változások az alfeldolgozóknál

Az Adatkezelő köteles értesíteni az Adatkezelőt az Al-adatfeldolgozók hozzáadásával vagy cseréjével kapcsolatos tervezett változásokról az alábbiak szerint: (a) frissíti a https://xygeni.io/legal/subprocessors oldalon közzétett Al-adatfeldolgozói listát a módosított „Utolsó frissítés” dátummal; és (b) írásban értesíti az Adatkezelőt legalább tíz (10) nappal a változás hatálybalépése előtt. Az Adatkezelő a módosítással szemben ésszerű adatvédelmi okokból kifogást emelhet az értesítéstől számított hét (7) napon belül. Amennyiben az Adatkezelő kifogást emel, és a Felek nem tudják megoldani a kifogást, az Adatkezelő ésszerű felmondási idővel és büntetés nélkül felmondhatja a Főmegállapodást.

Amennyiben az Adatfeldolgozó Al-adatfeldolgozót vesz igénybe, az Adatfeldolgozó teljes mértékben felelős az Adatkezelővel szemben az Al-adatfeldolgozó kötelezettségeinek teljesítéséért, amennyiben az Al-adatfeldolgozó nem teljesíti adatvédelmi kötelezettségeit.

7.3 Alfeldolgozói folyamatleírási követelmények

Minden Al-adatfeldolgozó esetében az Adatfeldolgozó köteles:

• megfelelő átvilágítást kell végezni az Alfeldolgozó megbízása előtt;
• írásbeli adatfeldolgozási megállapodást kell kötnie, amely legalább olyan adatvédelmi kötelezettségeket ír elő, mint a jelen adatfeldolgozási megállapodásban foglaltak;
• gondoskodni arról, hogy az Alfeldolgozó biztonsági intézkedései legalább egyenértékűek legyenek az 5.3. záradékban és a 2. mellékletben előírtakkal;
• tartalmazzon olyan adatvédelmi incidens bejelentési kötelezettségeket, amelyek előírják az Alfeldolgozó számára, hogy a Személyes Adatok megsértéséről való tudomásszerzést követő 24 órán belül értesítse az Adatfeldolgozót, hogy az Adatfeldolgozó teljesíthesse az Adatkezelővel szembeni 48 órás értesítési kötelezettségét.

8. Nemzetközi transzferek

Az Adatfeldolgozó nem továbbíthatja az Ügyféladatokat az Európai Gazdasági Térségen (EGT) kívüli országba, kivéve, ha:

• Az Európai Bizottság megfelelőségi irányelvet fogadott elcisaz adott országra vonatkozó jóváhagyás a GDPR 45. cikke alapján, vagy
• megfelelő biztosítékokat hajtottak végre a GDPR 46. cikkével összhangban, beleértve, de nem kizárólagosan a következőket: Standard Az Európai Bizottság által elfogadott szerződéses záradékok végrehajtási rendeletecisa 2021. június 4-i (EU) 2021/914 rendelet („Általános Szerződési Feltételek”).

Amennyiben Általános Szerződési Feltételek (SCC-k) szükségesek, az Adatkezelő kérésére az Adatkezelővel és/vagy az adott Al-adatfeldolgozóval aláírja az alkalmazandó Általános Szerződési Feltételeket. Az Általános Szerződési Feltételek alkalmazandó modulja a Második Modul (Adatkezelőtől Adatfeldolgozónak) az Adatkezelő és Adatfeldolgozó közötti adattovábbítások, valamint a Harmadik Modul (Adatfeldolgozótól Al-adatfeldolgozónak) az Adatfeldolgozó és Al-adatfeldolgozók közötti adattovábbítások esetében.

Az Általános Szerződési Feltételek értelmében az illetékes felügyeleti hatóság a Spanyol Adatvédelmi Ügynökség (Agencia Española de Protección de Datos – AEPD), kivéve, ha írásban másként állapodnak meg.

Az Adatfeldolgozó köteles naprakész nyilvántartást vezetni az Ügyféladatok összes nemzetközi továbbításáról és az egyes továbbítási mechanizmusokról, és kérésre az Adatkezelő rendelkezésére bocsátani azt.

9. Adatvédelmi hatásvizsgálatok

Amennyiben egy adatkezelési tevékenység valószínűsíthetően magas kockázattal jár a természetes személyek jogaira és szabadságaira nézve, és az Adatkezelőnek a GDPR 35. cikke értelmében adatvédelmi hatásvizsgálatot (DPIA) kell végeznie, az Adatkezelő köteles ésszerű segítséget és információkat nyújtani az Adatkezelőnek a DPIA elvégzéséhez. Az Adatfeldolgozó köteles 15 munkanapon belül válaszolni az Adatkezelő DPIA-val kapcsolatos ésszerű kérelmeire.

10. Adatfeldolgozási tevékenységek nyilvántartása

Az Adatkezelő kérésére az Adatkezelő nevében végzett adatkezelési tevékenységekről nyilvántartást vezet a GDPR 30. cikk (2) bekezdésének megfelelően, amely tartalmazza: az Adatkezelő és az esetleges al-adatfeldolgozók nevét és elérhetőségeit; az Adatkezelő nevében végzett adatkezelések kategóriáit; a Személyes adatok harmadik országba történő továbbítását; valamint a technikai és szervezési biztonsági intézkedések általános leírását.

11. Felelősség

A jelen Adatfeldolgozási Megállapodás szerinti vagy azzal kapcsolatos Felek egymás felé fennálló felelősségét a Főmegállapodásban foglalt korlátozások és kizárások szabályozzák. Amennyiben az Érintett kárt szenvedett az Alkalmazandó Adatvédelmi Jogot sértő adatkezelés eredményeként, mindkét Fél felelős az Általános Adatvédelmi Rendeletet sértő adatkezelése által okozott kárért a GDPR 82–83. cikkével összhangban. A jelen záradék egyetlen rendelkezése sem korlátozza a Felek felelősségét az Érintettekkel szemben az alkalmazandó jogszabályok értelmében.

12. Időtartam és megszűnés

Ez a DPA a Főmegállapodás napján (vagy a jelen DPA aláírásának napján, ha az későbbi) lép hatályba, és a Főmegállapodás időtartama alatt marad hatályban. A Főmegállapodás bármilyen okból történő megszűnése automatikusan megszünteti ezt a DPA-t.

A megszűnést követően az Adatfeldolgozó 5.6. záradék szerinti kötelezettségei (adatok törlése vagy visszaküldése) továbbra is érvényben maradnak, és az Adatfeldolgozó köteles az Ügyféladatok törlését vagy visszaküldését a megszűnést követő 30 napon belül elvégezni. A titoktartásra, a felelősségre, az irányadó jogra és az auditra vonatkozó záradékok szintén hatályban maradnak a megszűnést követően.

13. Irányadó jog és joghatóság

Jelen Adatfeldolgozási Megállapodásra a spanyol jog az irányadó, és azt a spanyol joggal összhangban kell értelmezni. A Felek alávetik magukat a madridi bíróságok nem kizárólagos joghatóságának a jelen Adatfeldolgozási Megállapodásból vagy azzal összefüggésben felmerülő viták rendezése tekintetében. Amennyiben a jelen Adatfeldolgozási Megállapodás bármely rendelkezése ütközik az Általános Szerződési Feltételekkel, az Általános Szerződési Feltételek az irányadók.

14. Különféle

Teljes egyezés: Ez a DPA, mellékleteivel és a Főmegállapodással együtt, képezi a Felek közötti teljes megállapodást a jelen megállapodás tárgyát képező ügyben, és felülír minden korábbi, az adatfeldolgozással kapcsolatos megállapodást, egyetértést vagy nyilatkozatot.

Módosítások: Ez a DPA csak írásbeli megállapodással módosítható, amelyet mindkét Fél meghatalmazott képviselője aláír.

Elválaszthatóság: Amennyiben a jelen DPA bármely rendelkezése érvénytelennek vagy végrehajthatatlannak bizonyul, a fennmaradó rendelkezések teljes hatályban maradnak.

Elsőbbség: A jelen DPA és a Mellékletek közötti ellentmondás esetén a DPA törzsszövege az irányadó, kivéve, ha a Melléklet kifejezetten másként rendelkezik. A jelen DPA és az Általános Szerződési Feltételek (ahol alkalmazható) közötti ellentmondás esetén az Általános Szerződési Feltételek az irányadók.

1. MELLÉKLET – Feldolgozási részletek

1. Tárgy

Az adatkezelés tárgya a Xygeni általi szolgáltatásnyújtás application security posture management, software supply chain security elemzés, sebezhetőség-felderítés, CI/CD biztonsági monitoring és kapcsolódó szolgáltatások a Főmegállapodásban leírtak szerint.

2. Az adatkezelés jellege

Az Ügyféladatok gyűjtése, szervezése, rendszerezése, tárolása, elemzése, lekérdezése, felhasználása, közlése továbbítás, összehangolás vagy kombinálás útján, korlátozása, törlése vagy megsemmisítése.

3. Az adatkezelés célja

Az Ügyféladatok feldolgozása kizárólag a Szolgáltatások Adatkezelőnek történő nyújtása céljából történik, beleértve: a biztonsági résfelderítést és jelentést; a szoftverellátási lánc kockázatelemzését; CI/CD pipeline security monitorozás; anomáliadetektálás; és ügyfélszolgálat.

4. Az adatkezelés időtartama

Az Adatfeldolgozó a Megbízó Szerződés időtartama alatt kezeli az Ügyféladatokat. A Szerződés megszűnését követően az Adatfeldolgozó az előfizetés lejárta után 3 hónapig megőrzi az Ügyféladatokat, mielőtt azokat törölnék, kivéve, ha az Adatkezelő korábbi törlést kér. A próbafiók adatait a próbaidőszak lejárta után 1 hónapig őrizzük meg.

5. Személyes adatok típusai

6. Az érintettek kategóriái

Az Adatkezelők közé tartoznak: az Adatkezelő alkalmazottai, alvállalkozói és egyéb felhatalmazott felhasználói, akik hozzáférnek a Szolgáltatásokhoz; a tárházakhoz közreműködők (fejlesztők, botfiókok, build ügynökök) és pipelinea Szolgáltatások által felügyelt; valamint az Adatkezelő képviselői és kapcsolattartói.

7. Különleges kategóriájú adatok

A Szolgáltatások nem a GDPR 9. cikkében meghatározott különleges kategóriájú személyes adatok feldolgozására szolgálnak. Az Adatkezelő szavatolja, hogy a Xygeni előzetes írásbeli megállapodása és a megfelelő kiegészítő garanciák végrehajtása nélkül nem ad át különleges kategóriájú személyes adatokat a Szolgáltatásoknak.

2. MELLÉKLET – Műszaki és szervezési biztonsági intézkedések

A Xygeni a következő technikai és szervezési intézkedéseket hajtja végre az Ügyféladatok védelme érdekében, összhangban a Xygeni ISO 27001 tanúsítvánnyal rendelkező információbiztonsági irányítási rendszerével:

Access Control

• Szerepköralapú hozzáférés-vezérlés (RBAC) érvényesítése az Ügyféladatokat feldolgozó összes rendszeren.
• Többtényezős hitelesítés (MFA) szükséges az összes Xygeni alkalmazott számára, aki hozzáfér az éles rendszerekhez.
• A minimális jogosultságok elve minden felhasználói fiókra vonatkozik; a hozzáférési jogokat negyedévente felülvizsgáljuk.
• SSH kulcs alapú hitelesítés az éles szerver eléréséhez; jelszó-hitelesítés letiltva.

Adat titkosítás

• Az ügyféladatok TLS 1.2 vagy újabb titkosítással titkosítva átvitel közben.
• Az ügyféladatok inaktív állapotban AES-256 vagy azzal egyenértékű titkosítással vannak titkosítva.
• A titkosítási kulcsokat az AWS Key Management Service (KMS) kezeli.

Network Security

• Az AWS Virtual Private Cloud (VPC) felhőn belül üzemeltetett éles rendszerek hálózati szegmentációval.
• Nyilvános végpontokhoz telepített webalkalmazás-tűzfal (WAF).
• Behatolásérzékelő és -megelőző rendszerek vannak érvényben.
• Rendszeres sebezhetőségi vizsgálat és penetrációs tesztelés az infrastruktúra és az alkalmazásrétegek területén.

Fizikai biztonság

• Az ügyféladatokat SOC 2 Type II és ISO 27001 tanúsítvánnyal rendelkező AWS adatközpontokban tároljuk.
• Az adatközpont létesítményeihez való fizikai hozzáférés csak az AWS jogosult személyzetére korlátozódik biometrikus azonosítókkal.

Elérhetőség és ellenálló képesség

• Az összes Ügyféladat napi automatikus biztonsági mentése, legalább 7 napig megőrzve.
• A biztonsági mentések integritását rendszeresen ellenőrzik.
• DisastA helyreállítási eljárásokat évente dokumentálják és tesztelik.

Incidenskezelés

• Biztonsági incidensekre vonatkozó reagálási terv karbantartása és éves tesztelése.
• A biztonsági eseményeket figyeli és naplózza; a riasztásokat a biztonsági műveleti funkció vizsgálja felül.
• Személyes adatok védelmének megsértésére vonatkozó értesítési eljárások vannak érvényben az Adatkezelő felé fennálló 48 órás értesítési kötelezettség teljesítése érdekében.

Személyzet

• A Xygeni összes, az Ügyféladatokhoz hozzáféréssel rendelkező alkalmazottját titoktartási kötelezettség terheli.
• Évente biztonsági tudatossági képzést tartunk minden alkalmazott számára.
• A termelési rendszerekhez hozzáféréssel rendelkező személyzet esetében háttérellenőrzéseket végeztek, a vonatkozó jogszabályok által megengedett mértékben.

Harmadik fél menedzsmentje

• Az al-feldolgozókat a megbízás előtt felmérték biztonsági megfelelőség szempontjából.
• Adatfeldolgozási megállapodások minden alfeldolgozóval.

Tanúsítás

• A Xygeni ISO 27001 tanúsítvánnyal rendelkezik (információbiztonsági irányítási rendszer).
• A Xygeni SOC 2 Type II minősítést szeretne szerezni; a tanúsítványt a program elvégzése után átadják a kontrollernek.