Տվյալների մշակման պայմանագիր

Կողմերը

Այս Տվյալների մշակման համաձայնագիրը («DPA» կամ «Համաձայնագիր») կնքվում է հետևյալի կողմից և միջև՝

Տվյալների վերահսկիչ («Վերահսկիչ» կամ «Հաճախորդ»)

Տվյալների մշակող («Մշակող» կամ «Xygeni»):

Վերահսկիչը և Մշակողը այսուհետ առանձին-առանձին կկոչվեն «Կողմ», իսկ միասին՝ «Կողմեր»։

Այս DPA-ն կազմում է Կողմերի միջև կնքված Հիմնական Ծառայության Պայմանագրի կամ Ծառայության Պայմանների («Հիմնական Պայմանագիր») մի մասը, որը կարգավորում է Xygeni-ի կողմից իր կիրառման անվտանգության ապահովումը և software supply chain security ծառայություններ («Ծառայություններ»): Այս DPA-ի և Հիմնական Պայմանագրի միջև հակասության դեպքում, տվյալների պաշտպանության հարցերի վերաբերյալ գերակայությունը տրվում է այս DPA-ին:

1. Սահմանումներ

Այս DPA-ի նպատակների համար՝

• «Ընդհանուր տվյալների պաշտպանության կանոններ» նշանակում է Եվրոպական խորհրդարանի և Խորհրդի 2016 թվականի ապրիլի 27-ի 2016/679 կանոնակարգը (ԵՄ)՝ անձնական տվյալների մշակման հարցում ֆիզիկական անձանց պաշտպանության մասին։
• «ԼՈՊԴԳԴԴ» նշանակում է Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales.
• «Անձնական տվյալներ», «Մշակող», «Վերահսկիչ», «Մշակող», «Ենթամշակող», «Տվյալների սուբյեկտ», «Վերահսկող մարմին», «Անձնական տվյալների խախտում» կունենան GDPR-ում դրանց վերագրված իմաստները։
• «Հաճախորդների տվյալներ» նշանակում է Ծառայություններին Վերահսկիչի կողմից կամ նրա անունից ներկայացված կամ Ծառայություններին վերաբերող Վերահսկիչի անունից Մշակողի կողմից Վերահսկիչի անունից մշակված ցանկացած Անձնական տվյալ։
• «Ենթամշակող» նշանակում է ցանկացած երրորդ կողմ, որը ներգրավվում է Մշակողի կողմից՝ Վերահսկիչի նախնական թույլտվությամբ (ինչպես նկարագրված է 7-րդ կետում)՝ Վերահսկիչի անունից Հաճախորդի տվյալները մշակելու համար։
• «Համաշխարհային բանկ» նշանակում է Standard Եվրոպական հանձնաժողովի կողմից հաստատված GDPR-ի համաձայն անձնական տվյալների երրորդ երկրներ փոխանցման պայմանագրային կետերըcis2021 թվականի հունիսի 4-ի (ԵՄ) 2021/914 որոշումը։
• «Servicesառայություններ» նշանակում է application security posture management, software supply chain security, խոցելիությունների հայտնաբերում և հարակից ծառայություններ, որոնք Xygeni-ն մատուցում է վերահսկիչին՝ համաձայն Հիմնական պայմանագրի։
• «Կիրառելի տվյալների պաշտպանության մասին օրենք» նշանակում է GDPR, LOPDGDD և ցանկացած այլ կիրառելի ազգային տվյալների պաշտպանության օրենսդրություն՝ ժամանակ առ ժամանակ փոփոխված։

2. Կողմերի դերերը

Կողմերը ընդունում և համաձայնում են, որ՝

• Վերահսկիչը գործում է որպես տվյալների վերահսկիչ Հաճախորդի տվյալների վերաբերյալ և պատասխանատու է Ծառայություններին ներկայացված Հաճախորդի տվյալների մշակման նպատակներն ու միջոցները որոշելու համար:
• Մշակողը գործում է որպես տվյալների մշակող Հաճախորդի տվյալների վերաբերյալ և մշակում է այդ տվյալները բացառապես Վերահսկիչի անունից և նրա փաստաթղթավորված հրահանգների համաձայն։
• Յուրաքանչյուր Կողմ պարտավոր է կատարել իր համապատասխան պարտավորությունները՝ համաձայն «Տվյալների պաշտպանության մասին գործող օրենքի»՝ որպես վերահսկիչ կամ մշակող։

Երբ Xygeni-ն մշակում է անձնական տվյալներ իր սեփական նպատակների համար (օրինակ՝ հաշվի կառավարում, հաշվառում, ծառայությունների բարելավման վերլուծություն), այն գործում է որպես անկախ վերահսկիչ: Նման մշակումը կարգավորվում է Xygeni-ի գաղտնիության քաղաքականությամբ և դուրս է այս DPA-ի շրջանակներից:

3. Մշակման առարկան, բնույթը և նպատակը

Մշակման առարկան, բնույթը, տևողությունը և նպատակը, ինչպես նաև մշակվող Անձնական տվյալների տեսակները և տվյալների սուբյեկտների կատեգորիաները նշված են այս DPA-ի 1-ին հավելվածում (Մշակման մանրամասներ):

Մշակողը պետք է մշակի Հաճախորդի տվյալները միայն այն չափով, որքանով դա անհրաժեշտ է Հիմնական պայմանագրում նկարագրված ծառայությունները մատուցելու համար և համաձայն Վերահսկիչի փաստաթղթավորված հրահանգների, եթե դա պարտադիր չէ գործող օրենսդրությամբ: Այդ դեպքում Մշակողը պետք է տեղեկացնի Վերահսկիչին այդ իրավական պահանջի մասին մշակումից առաջ, եթե դա արգելված չէ օրենքով՝ հանրային շահերի կարևոր հիմքերով:

4. Կառավարչի հրահանգներ

Վերահսկիչը հանձնարարում է Մշակողին մշակել Հաճախորդի տվյալները անհրաժեշտության դեպքում՝ (ա) Ծառայությունները մատուցելու Հիմնական Պայմանագրի համաձայն, (բ) Վերահսկիչի կողմից ժամանակ առ ժամանակ գրավոր հաղորդվող հրահանգներին համապատասխանելու և (գ) սույն DPA-ի շրջանակներում Մշակողի պարտավորությունները կատարելու համար:

Մշակողը պետք է անհապաղ տեղեկացնի Վերահսկիչին, եթե Մշակողի հիմնավոր կարծիքով Վերահսկիչի կողմից տրված հրահանգը խախտում է Տվյալների պաշտպանության մասին կիրառելի օրենքը: Այդ դեպքում Մշակողն իրավունք ունի դադարեցնել մշակումը նման հրահանգի համաձայն, մինչև Վերահսկիչը պարզաբանի կամ փոփոխի հրահանգը:

Վերահսկիչը երաշխավորում և հայտարարում է, որ՝ (ա) ունի համապատասխան Անձնական տվյալները մշակելու համար GDPR-ի 6-րդ հոդվածի (և, որտեղ կիրառելի է, 9-րդ հոդվածի) համաձայն վավեր իրավական հիմք. (բ) տրամադրել է բոլոր անհրաժեշտ ծանուցումները և ստացել բոլոր անհրաժեշտ համաձայնությունները. և (գ) Հաճախորդի տվյալների փոխանցումը Մշակողին չի խախտում որևէ գործող օրենք:

5. Մշակողի պարտավորությունները

5.1 Մշակման սահմանափակումներ

Մշակողը պետք է մշակի Հաճախորդի տվյալները միայն Վերահսկիչի փաստաթղթավորված հրահանգների համաձայն, եթե դա պարտադիր չէ ԵՄ կամ անդամ պետության կիրառելի օրենսդրությամբ: Մշակողը չպետք է մշակի Հաճախորդի տվյալները իր սեփական նպատակների համար կամ բացահայտի դրանք երրորդ կողմերին, բացառությամբ այն դեպքերի, երբ դա անհրաժեշտ է Ծառայությունները մատուցելու համար կամ օրենքով պահանջվող դեպքերի:

5.2 Գաղտնիություն

Մշակողը պետք է ապահովի, որ Հաճախորդի տվյալները մշակելու լիազորված անձինք ունենան commitպարտավորվել են պահպանել գաղտնիությունը կամ գտնվում են գաղտնիության պահպանման համապատասխան օրենսդրական պարտավորության ներքո: Հաճախորդի տվյալներին մուտքը սահմանափակվում է այն աշխատակիցներով, կապալառուներով և ենթակապալառուներով, որոնց մուտքի իրավունքը անհրաժեշտ է Ծառայությունները մատուցելու նպատակով:

5.3 Անվտանգության միջոցներ

Մշակողը պետք է ներդնի և պահպանի համապատասխան տեխնիկական և կազմակերպչական միջոցառումներ՝ Հաճախորդի տվյալները չարտոնված կամ անօրինական մշակումից և պատահական կորստից, ոչնչացումից, վնասից, փոփոխությունից կամ բացահայտումից պաշտպանելու համար՝ հաշվի առնելով.

• ժամանակակից տեխնիկան և իրականացման ծախսերը;
• մշակման բնույթը, շրջանակը, համատեքստը և նպատակները;
• ֆիզիկական անձանց իրավունքներին և ազատություններին սպառնացող ռիսկերը, մասնավորապես՝ փոխանցված, պահված կամ այլ կերպ մշակված Հաճախորդի տվյալների պատահական կամ անօրինական ոչնչացման, կորստի, փոփոխման, չարտոնված բացահայտման կամ դրանց մուտքի դեպքում։

Այդպիսի միջոցառումները պետք է ներառեն առնվազն այս DPA-ի 2-րդ հավելվածում (Տեխնիկական և կազմակերպչական անվտանգության միջոցառումներ) նշվածները: Մշակողի ISO 27001 հավաստագիրը վկայում է տեղեկատվական անվտանգության կառավարման բազային համակարգի մասին: Մշակողը պետք է պահպանի ISO 27001 հավաստագիրը կամ համարժեքը այս DPA-ի ողջ ժամկետի ընթացքում:

5.4 Տվյալների սուբյեկտի իրավունքները

Մշակողը, հաշվի առնելով մշակման բնույթը, պետք է հնարավորինս աջակցի Վերահսկողին՝ համապատասխան տեխնիկական և կազմակերպչական միջոցառումներով, որպեսզի կատարի Վերահսկողի պարտավորությունը՝ արձագանքելու մշակման հարցումներին։cisՏվյալների սուբյեկտների իրավունքների պաշտպանությունը՝ համաձայն կիրառելի տվյալների պաշտպանության մասին օրենքի (ներառյալ՝ GDPR 15-22 հոդվածների համաձայն մուտքի, ուղղման, ջնջման, սահմանափակման, փոխադրելիության և առարկության իրավունքները):

Մշակողը պարտավոր է՝ (ա) անհապաղ տեղեկացնել Վերահսկիչին, եթե Մշակողը Տվյալների սուբյեկտից ստանում է Հաճախորդի տվյալների վերաբերյալ հարցում, (բ) չպատասխանի նման հարցումներին՝ բացառությամբ Վերահսկիչի փաստաթղթավորված հրահանգների կամ գործող օրենսդրությամբ պահանջվող դեպքերի, և (գ) Վերահսկիչին տրամադրի համապատասխան օգնություն՝ նման հարցումներին պատասխանելու համար՝ գործող օրենսդրական ժամկետներում (30 օր՝ համաձայն GDPR-ի 12-րդ հոդվածի):

5.5 Օգնություն վերահսկիչի պարտականությունների կատարման հարցում

Մշակողը պետք է օգնի Վերահսկողին ապահովել GDPR-ի 32-36-րդ հոդվածներով սահմանված պարտավորությունների կատարումը՝ հաշվի առնելով մշակման բնույթը և Մշակողին հասանելի տեղեկատվությունը, այդ թվում՝ կապված հետևյալի հետ.

• մշակման անվտանգություն (հոդված 32);
• Անձնական տվյալների խախտումների մասին վերահսկող մարմնին տեղեկացնելը և տվյալների սուբյեկտներին հաղորդելը (հոդվածներ 33–34):
• տվյալների պաշտպանության ազդեցության գնահատումներ և նախնական խորհրդակցություններ (հոդվածներ 35–36):

5.6 Տվյալների ջնջում կամ վերադարձ

Հիմնական պայմանագրի դադարեցման կամ ժամկետի լրանալուց հետո, կամ Վերահսկողի պահանջով, Մշակողը, Վերահսկողի ընտրությամբ, պետք է ջնջի կամ Վերահսկողին վերադարձնի իր տիրապետության տակ գտնվող բոլոր Հաճախորդի տվյալները և ջնջի առկա պատճենները, եթե ԵՄ կամ անդամ պետության կիրառելի օրենսդրությունը չի պահանջում Անձնական տվյալների պահպանում: Մշակողը պետք է գրավոր հաստատի ջնջման ավարտը համապատասխան ակտիվացումից հետո 30 օրվա ընթացքում:

Պրոցեսորի standard Կիրառվում է տվյալների պահպանման ժամանակացույցը (նշված է Հավելված 1-ում), եթե Վերահսկիչը ավելի վաղ չի ներկայացնում ջնջման հարցում։

5.7 Աուդիտ և համապատասխանության ցուցադրում

Մշակողը պետք է Վերահսկիչին տրամադրի բոլոր անհրաժեշտ տեղեկությունները այս DPA-ում սահմանված պարտավորությունների կատարումը ցույց տալու համար, և պետք է թույլատրի և նպաստի Վերահսկիչի կամ Վերահսկիչի կողմից լիազորված աուդիտորի կողմից անցկացվող աուդիտներին, այդ թվում՝ ստուգումներին։

Մշակողը կարող է բավարարել այս պարտավորությունը՝ տրամադրելով.

• իր գործող ISO 27001 վկայականի կամ SOC 2 Type II հաշվետվության պատճենը (ստանալուց հետո)։
• Վերահսկիչի անվտանգության հարցաթերթիկի լրացում (ստանալուց հետո 10 աշխատանքային օրվա ընթացքում);
• տեղում ողջամիտ աուդիտներ՝ 30 օր առաջ գրավոր ծանուցմամբ, Վերահսկիչի հաշվին, օրացուցային տարվա ընթացքում ոչ ավելի, քան մեկ անգամ (եթե չկա անհամապատասխանության հիմնավոր կասկած):

6. Անձնական տվյալների արտահոսքի մասին ծանուցում

Մշակողը պետք է անհապաղ տեղեկացնի Վերահսկողին, և ամեն դեպքում՝ Հաճախորդի տվյալներին ազդող Անձնական տվյալների արտահոսքի մասին տեղեկանալուց հետո 48 ժամվա ընթացքում: Այդպիսի ծանուցումը, որքանով այն հասանելի է տվյալ պահին, պետք է ներառի.

• Անձնական տվյալների խախտման բնույթի նկարագրությունը, ներառյալ համապատասխան տվյալների սուբյեկտների կատեգորիաները և մոտավոր թիվը, ինչպես նաև համապատասխան Անձնական տվյալների գրառումների կատեգորիաները և մոտավոր թիվը։
• տվյալների պաշտպանության պատասխանատուի կամ այլ կոնտակտային անձի անունը և կոնտակտային տվյալները, որոնցից կարելի է ստանալ լրացուցիչ տեղեկություններ։
• Անձնական տվյալների արտահոսքի հավանական հետևանքների նկարագրությունը։
• Անձնական տվյալների արտահոսքի հետ կապված խնդրի լուծման համար ձեռնարկված կամ առաջարկվող միջոցառումների նկարագրությունը, ներառյալ, անհրաժեշտության դեպքում, դրա հնարավոր անբարենպաստ հետևանքները մեղմելու միջոցառումները։

Եթե ​​հնարավոր չէ միաժամանակ տրամադրել վերը նշված բոլոր տեղեկությունները, տեղեկատվությունը կարող է տրամադրվել փուլերով՝ առանց անհարկի հետագա ուշացման: Մշակողը պետք է համագործակցի Վերահսկիչի հետ և ձեռնարկի այնպիսի ողջամիտ քայլեր, որոնք Վերահսկիչը կարող է պահանջել՝ խախտման հետաքննությանը, մեղմացմանը և վերացմանը նպաստելու համար:

Կողմերը ընդունում են, որ GDPR-ի 33-րդ հոդվածով նախատեսված՝ անձնական տվյալների արտահոսքի մասին տեղեկանալուց հետո 72 ժամվա ընթացքում իրավասու վերահսկիչ մարմնին (Agencia Española de Protección de Datos — AEPD կամ այլ համապատասխան մարմին) տեղեկացնելու պարտավորությունը կրում է Վերահսկիչը՝ որպես տվյալների վերահսկիչ: Այս կետի համաձայն՝ մշակողի կողմից Վերահսկիչին տեղեկացնելը նախատեսված է Վերահսկիչին այս կարգավորիչ պարտավորությունը կատարելու հնարավորություն տալու համար: Մշակողի կողմից տեղեկացնելը չի ​​կարող համարվել մեղքի կամ պատասխանատվության ընդունում:

7. Ենթամշակողներ

7.1 Ընդհանուր լիազորություն

Վերահսկիչը Մշակողին տալիս է ընդհանուր լիազորություն՝ սույն DPA-ին ներգրավելու 3-րդ Հավելվածում (Հաստատված ենթամշակողներ) թվարկված ենթամշակողներին: Մշակողը պարտավոր է յուրաքանչյուր ենթամշակողի վրա դնել տվյալների պաշտպանության պարտավորություններ, որոնք համարժեք են սույն DPA-ում սահմանվածներին, մասնավորապես՝ տրամադրելով բավարար երաշխիքներ համապատասխան տեխնիկական և կազմակերպչական միջոցառումներ իրականացնելու համար:

7.2 Ենթամշակողների փոփոխություններ

Մշակողը պետք է տեղեկացնի Վերահսկիչին ենթամշակողների ավելացման կամ փոխարինման վերաբերյալ ցանկացած նախատեսված փոփոխության մասին՝ (ա) թարմացնելով https://xygeni.io/legal/subprocessors կայքում հրապարակված ենթամշակողների ցանկը՝ նշելով վերանայված «Վերջին թարմացումը» ամսաթիվը, և (բ) գրավոր ծանուցում տրամադրելով Վերահսկիչին փոփոխության ուժի մեջ մտնելուց առնվազն տասը (10) օր առաջ: Վերահսկիչը կարող է առարկել փոփոխությանը՝ տվյալների պաշտպանության հիմնավորված հիմքերով, նման ծանուցումից հետո յոթ (7) օրվա ընթացքում: Եթե Վերահսկիչը առարկում է, և Կողմերը չեն կարողանում լուծել առարկությունը, Վերահսկիչը կարող է լուծել Հիմնական Պայմանագիրը՝ առանց տույժի՝ ողջամիտ ծանուցմամբ:

Եթե ​​Մշակողը վարձում է ենթամշակողի, Մշակողը լիովին պատասխանատու է մնում Վերահսկողի առջև այդ ենթամշակողի պարտավորությունների կատարման համար այնքանով, որքանով Ենթամշակողը չի կատարում իր տվյալների պաշտպանության պարտավորությունները։

7.3 Ենթամշակողի հոսքի պահանջներ

Յուրաքանչյուր ենթամշակողի համար Մշակողը պետք է.

• իրականացնել համապատասխան ուսումնասիրություն՝ ենթամշակողին ներգրավելուց առաջ։
• կնքել տվյալների մշակման գրավոր համաձայնագիր, որը սահմանում է տվյալների պաշտպանության պարտավորություններ, որոնք ոչ պակաս պաշտպանիչ են, քան այս DPA-ում նշվածները։
• ապահովել, որ Ենթամշակողի անվտանգության միջոցառումները առնվազն համարժեք լինեն 5.3 կետով և 2-րդ հավելվածով պահանջվողներին։
• ներառում են խախտման մասին ծանուցման պարտավորություններ, որոնք պահանջում են, որ ենթամշակողը տեղեկացնի Մշակողին անձնական տվյալների խախտման մասին տեղեկանալուց հետո 24 ժամվա ընթացքում, որպեսզի Մշակողը կարողանա կատարել Վերահսկիչին 48-ժամյա ծանուցման պարտավորությունը։

8. Միջազգային փոխանցումներ

Մշակողը չպետք է փոխանցի Հաճախորդի տվյալները Եվրոպական տնտեսական տարածքի (ԵՏՏ) սահմաններից դուրս գտնվող երկիր, եթե՝

• Եվրոպական հանձնաժողովը ընդունել է համարժեքության որոշումcisայդ երկրի համար՝ համաձայն GDPR-ի 45-րդ հոդվածի, կամ
• համապատասխան պաշտպանիչ միջոցներ են ձեռնարկվել GDPR-ի 46-րդ հոդվածի համաձայն, ներառյալ, բայց չսահմանափակվելով դրանով Standard Եվրոպական հանձնաժողովի կողմից ընդունված պայմանագրային կետերը Կիրարկող դեcis2021 թվականի հունիսի 4-ի (ԵՄ) 2021/914 («ԵՄՀ») որոշումը։

Եթե ​​պահանջվում են ՊՀԿ-ներ, Մշակողը, Վերահսկիչի պահանջով, պետք է կատարի համապատասխան ՊՀԿ-ները Վերահսկիչի և/կամ համապատասխան ենթամշակողի հետ: ՊՀԿ-ների համապատասխան մոդուլը կլինի երկրորդ մոդուլը (Վերահսկիչից մշակող)՝ Վերահսկիչից մշակողին փոխանցումների համար, և երրորդ մոդուլը (Մշակիչից ենթամշակող)՝ մշակողի կողմից ենթամշակողներին հետագա փոխանցումների համար:

SCC-ների նպատակների համար իրավասու վերահսկող մարմինը Իսպանիայի տվյալների պաշտպանության գործակալությունը (Agencia Española de Protección de Datos — AEPD) է, եթե գրավոր այլ բան նախատեսված չէ։

Մշակողը պետք է պահպանի և Վերահսկիչին, պահանջի դեպքում, տրամադրի Հաճախորդի տվյալների բոլոր միջազգային փոխանցումների և յուրաքանչյուրի համար կիրառելի փոխանցման մեխանիզմի արդիական գրանցամատյանը։

9. Տվյալների պաշտպանության ազդեցության գնահատումներ

Երբ մշակման գործունեությունը կարող է հանգեցնել ֆիզիկական անձանց իրավունքների և ազատությունների համար բարձր ռիսկի, և Վերահսկիչը պարտավոր է անցկացնել տվյալների պաշտպանության ազդեցության գնահատում (ՏՊԳ)՝ համաձայն GDPR 35-րդ հոդվածի, մշակողը պետք է Վերահսկիչին տրամադրի անհրաժեշտ ողջամիտ օգնություն և տեղեկատվություն՝ Վերահսկիչին հնարավորություն տալու համար իրականացնել ՏՊԳԳ: Մշակողը պետք է պատասխանի Վերահսկիչի ՏՊԳԳ-ին վերաբերող ողջամիտ հարցումներին 15 աշխատանքային օրվա ընթացքում:

10. Մշակման գործունեության գրառումներ

Մշակողը, Վերահսկողի պահանջով, պետք է պահպանի Վերահսկողի անունից իրականացված մշակման գործունեության գրանցամատյան՝ համաձայն GDPR-ի 30(2) հոդվածի, ներառյալ՝ Մշակողի և ցանկացած ենթամշակողի անունը և կոնտակտային տվյալները, Վերահսկողի անունից իրականացված մշակման կատեգորիաները, Անձնական տվյալների փոխանցումները երրորդ երկիր, ինչպես նաև տեխնիկական և կազմակերպչական անվտանգության միջոցառումների ընդհանուր նկարագրությունը։

11. Պատասխանատվություն

Սույն Տվյալների պաշտպանության համաձայնագրի շրջանակներում կամ դրա հետ կապված՝ Կողմերից յուրաքանչյուրի պատասխանատվությունը մյուսի նկատմամբ ենթակա է Հիմնական համաձայնագրում նշված սահմանափակումներին և բացառություններին: Եթե տվյալների սուբյեկտը վնաս է կրել տվյալների պաշտպանության մասին գործող օրենքը խախտող մշակման հետևանքով, յուրաքանչյուր Կողմ պատասխանատու է GDPR-ը խախտող իր մշակման հետևանքով պատճառված վնասի համար՝ համաձայն GDPR-ի 82-83-րդ հոդվածների: Այս կետում ոչինչ չի սահմանափակում Կողմերից որևէ մեկի պատասխանատվությունը տվյալների սուբյեկտների նկատմամբ՝ համաձայն գործող օրենսդրության:

12: Ժամկետը և դադարեցումը

Այս ՀԴՀ-ն ուժի մեջ է մտնում Հիմնական պայմանագրի կնքման օրվանից (կամ սույն ՀԴՀ-ի ստորագրման օրվանից, եթե այն ավելի ուշ է) և ուժի մեջ է մնում Հիմնական պայմանագրի գործողության ողջ ընթացքում։ Հիմնական պայմանագրի ցանկացած պատճառով դադարեցումը ավտոմատ կերպով դադարեցնում է սույն ՀԴՀ-ն։

Պայմանագրի դադարեցումից հետո, Մշակողի 5.6 կետի (տվյալների ջնջում կամ վերադարձ) համաձայն պարտավորությունները ուժի մեջ են մնում, և Մշակողը պետք է ավարտի Հաճախորդի տվյալների ջնջումը կամ վերադարձը դադարեցումից հետո 30 օրվա ընթացքում: Գաղտնիության, պատասխանատվության, կարգավորող օրենսդրության և աուդիտի վերաբերյալ կետերը նույնպես ուժի մեջ են մնում դադարեցումից հետո:

13. Կառավարող իրավունք և իրավասություն

Սույն ՀԴՊ-ն կարգավորվում և մեկնաբանվում է Իսպանիայի օրենսդրությանը համապատասխան: Կողմերը ենթարկվում են Մադրիդի դատարանների ոչ բացառիկ իրավասությանը սույն ՀԴՊ-ից կամ դրա հետ կապված ցանկացած վեճ լուծելու համար: Այն չափով, որքանով սույն ՀԴՊ-ի որևէ դրույթ հակասում է ՊՀԿ-ներին, ՊՀԿ-ներն են գերակշռում:

14. Տարբեր

Ամբողջական պայմանագիրը. Այս Տվյալների պաշտպանության համաձայնագիրը, իր Հավելվածների և Հիմնական Համաձայնագրի հետ միասին, կազմում է Կողմերի միջև կնքված ամբողջական համաձայնագիրը՝ սույն Համաձայնագրի առարկայի վերաբերյալ, և փոխարինում է տվյալների մշակմանը վերաբերող բոլոր նախորդ համաձայնագրերին, փոխըմբռնումներին կամ հայտարարություններին:

Փոփոխություններ. Այս ՀԴՀ-ն կարող է փոփոխվել միայն երկու Կողմերի լիազոր ներկայացուցիչների կողմից ստորագրված գրավոր համաձայնագրով։

Հաստատելիություն. Եթե ​​այս ՀԴՀ-ի որևէ դրույթ անվավեր կամ անիրագործելի է ճանաչվում, մնացած դրույթները մնում են լիովին ուժի մեջ։

Նախապատվությունը. Այս DPA-ի և Հավելվածների միջև հակասության դեպքում գերակայությունը տրվում է DPA-ի հիմնական մասին, եթե Հավելվածում այլ բան հստակորեն չի նշված։ Այս DPA-ի և SCC-ների (եթե կիրառելի է) միջև հակասության դեպքում գերակայությունը տրվում է SCC-ներին։

ՀԱՎԵԼՎԱԾ 1 — Մշակման մանրամասներ

1. Առարկա

Մշակման առարկան Xygeni-ի կողմից հետևյալի տրամադրումն է. application security posture management, software supply chain security վերլուծություն, խոցելիության հայտնաբերում, CI/CD անվտանգության մոնիթորինգ և հարակից ծառայություններ, ինչպես նկարագրված է Հիմնական պայմանագրում։

2. Մշակման բնույթը

Հաճախորդի տվյալների հավաքագրում, կազմակերպում, կառուցվածքավորում, պահպանում, վերլուծություն, վերականգնում, օգտագործում, բացահայտում փոխանցման, համաձայնեցման կամ համակցության միջոցով, սահմանափակում, ջնջում կամ ոչնչացում:

3. Մշակման նպատակը

Հաճախորդի տվյալների մշակումն իրականացվում է բացառապես Վերահսկիչին Ծառայություններ մատուցելու նպատակով, ներառյալ՝ անվտանգության խոցելիությունների հայտնաբերումը և հաշվետվությունների կազմումը, ծրագրային ապահովման մատակարարման շղթայի ռիսկերի վերլուծությունը։ CI/CD pipeline security մոնիթորինգ, անոմալիաների հայտնաբերում և հաճախորդների աջակցություն։

4. Մշակման տևողությունը

Մշակողը պետք է մշակի Հաճախորդի տվյալները Հիմնական պայմանագրի գործողության ողջ ընթացքում: Պայմանագրի դադարեցման դեպքում Մշակողը պետք է պահպանի Հաճախորդի տվյալները բաժանորդագրության ավարտից հետո 3 ամսվա ընթացքում՝ մինչև ջնջումը, եթե Վերահսկիչը չպահանջի ավելի վաղ ջնջում: Փորձնական հաշվի տվյալները պահպանվում են փորձաշրջանի ժամկետի ավարտից հետո 1 ամսվա ընթացքում:

5. Անձնական տվյալների տեսակները

6. Տվյալների սուբյեկտների կատեգորիաները

Տվյալների սուբյեկտների թվում են՝ աշխատակիցները, կապալառուները և Վերահսկիչի այլ լիազորված օգտատերերը, ովքեր մուտք են գործում Ծառայություններ, պահոցների ներդրողները (մշակողներ, բոտերի հաշիվներ, կառուցման գործակալներ) և pipelineծառայությունների կողմից վերահսկվողները, ինչպես նաև վերահսկիչի ներկայացուցիչներն ու կոնտակտային անձինք։

7. Հատուկ կատեգորիայի տվյալներ

Ծառայությունները նախատեսված չեն GDPR 9-րդ հոդվածում սահմանված հատուկ կատեգորիայի անձնական տվյալներ մշակելու համար: Վերահսկիչը երաշխավորում է, որ չի ներկայացնի հատուկ կատեգորիայի անձնական տվյալներ Ծառայություններին՝ առանց Xygeni-ի հետ նախնական գրավոր համաձայնության և համապատասխան լրացուցիչ պաշտպանության միջոցների ներդրման:

ՀԱՎԵԼՎԱԾ 2 — Տեխնիկական և կազմակերպչական անվտանգության միջոցառումներ

Xygeni-ն իրականացնում է հետևյալ տեխնիկական և կազմակերպչական միջոցառումները՝ հաճախորդների տվյալները պաշտպանելու համար, որոնք համապատասխանում են Xygeni-ի ISO 27001 հավաստագրված տեղեկատվական անվտանգության կառավարման համակարգին.

Մուտք Վերահսկում

• Դերերի վրա հիմնված մուտքի վերահսկողություն (RBAC) կիրառվում է հաճախորդների տվյալներ մշակող բոլոր համակարգերում։
• Բազմագործոն նույնականացումը (MFA) պարտադիր է Xygeni-ի բոլոր աշխատակիցների համար, ովքեր մուտք ունեն արտադրական համակարգերին։
• Նվազագույն արտոնության սկզբունքը կիրառվում է բոլոր օգտատիրոջ հաշիվների համար. մուտքի իրավունքները վերանայվում են եռամսյակը մեկ։
• Արտադրական սերվեր մուտք գործելու համար SSH բանալու վրա հիմնված նույնականացում. գաղտնաբառի նույնականացումն անջատված է։

Տվյալների գաղտնագրում

• Հաճախորդի տվյալները կոդավորված են տեղափոխման ընթացքում՝ օգտագործելով TLS 1.2 կամ ավելի բարձր տարբերակ։
• Հաճախորդի տվյալները կոդավորված են AES-256-ի կամ համարժեքի միջոցով՝ հանգստի վիճակում։
• Գաղտնագրման բանալիները կառավարվում են AWS Key Management Service (KMS)-ի միջոցով։

Ցանցային անվտանգություն

• AWS Virtual Private Cloud (VPC)-ում տեղակայված արտադրական համակարգեր՝ ցանցային սեգմենտացիայով։
• Վեբ հավելվածների firewall (WAF) տեղադրված է հանրությանը հասանելի վերջնակետերի համար։
• Տեղում են ներխուժման հայտնաբերման և կանխարգելման համակարգեր։
• Ենթակառուցվածքի և կիրառական շերտերի կանոնավոր խոցելիությունների սկանավորում և ներթափանցման թեստավորում։

Ֆիզիկական անվտանգություն

• Հաճախորդների տվյալները պահվում են AWS տվյալների կենտրոններում, որոնք ունեն SOC 2 Type II և ISO 27001 հավաստագրեր։
• Տվյալների կենտրոնի հարմարություններ ֆիզիկական մուտքը սահմանափակված է AWS-ի լիազորված անձնակազմով՝ կենսաչափական վերահսկողություն ունեցող անձանց համար։

Հասանելիություն և դիմացկունություն

• Հաճախորդների բոլոր տվյալների ամենօրյա ավտոմատացված պահուստավորում, որը պահպանվում է առնվազն 7 օր։
• Պահուստային պատճենի ամբողջականությունը պարբերաբար ստուգվում է։
• Disastվերականգնման ընթացակարգերը փաստաթղթավորվում և փորձարկվում են ամեն տարի։

Պատահարների կառավարում

• Անվտանգության միջադեպերին արձագանքման պլանը պահպանվում և փորձարկվում է ամեն տարի։
• Անվտանգության իրադարձությունները վերահսկվում և գրանցվում են, ահազանգերը վերանայվում են անվտանգության գործողությունների գործառույթի կողմից։
• Անձնական տվյալների խախտման մասին ծանուցման ընթացակարգեր՝ վերահսկիչին 48-ժամյա ծանուցման պարտավորությունը կատարելու համար։

Անձնակազմ

• Հաճախորդների տվյալներին մուտք ունեցող Xygeni-ի բոլոր աշխատակիցները պարտավոր են պահպանել գաղտնիության պահպանման պարտավորությունները։
• Անվտանգության իրազեկության վերաբերյալ տարեկան վերապատրաստում բոլոր աշխատակիցների համար։
• Արտադրական համակարգերին մուտք ունեցող անձնակազմի նախապատմության ստուգումներ՝ գործող օրենսդրությամբ թույլատրված չափով։

Երրորդ կողմի կառավարում

• Ենթամշակողները գնահատվել են անվտանգության համապատասխանության համար նախքան ներգրավվածությունը։
• Բոլոր ենթամշակողների հետ տվյալների մշակման համաձայնագրերի առկայություն։

վավերացում

• Xygeni-ն ունի ISO 27001 հավաստագիր (տեղեկատվական անվտանգության կառավարման համակարգ):
• Xygeni-ն ձգտում է ստանալ SOC 2 Type II հավաստագիր։ Ավարտից հետո վերահսկիչին կտրամադրվի հավաստագիր։