הסכם עיבוד נתונים

צדדים

הסכם עיבוד נתונים זה ("DPA" או "הסכם") נחתם על ידי ובין:

בקר נתונים ("בקר" או "לקוח")

מעבד נתונים ("מעבד" או "Xygeni"):

הבקר והמעבד יכוּנו להלן כל אחד בנפרד כ"צד" וביחד כ"צדדים".

הסכם עיבוד נתונים זה מהווה חלק מהסכם השירות הראשי או תנאי השירות ("ההסכם העיקרי") בין הצדדים המסדירים את אספקת אבטחת היישומים על ידי Xygeni ו- software supply chain security שירותים ("השירותים"). במקרה של סתירה בין הסכם הגנה על מידע זה לבין ההסכם העיקרי, הסכם הגנה על מידע זה יגבר בכל הנוגע לענייני הגנת מידע.

1. הגדרות

למטרות הסכם עיבוד נתונים זה:

• "GDPR" פירושו תקנה (EU) 2016/679 של הפרלמנט האירופי ושל המועצה מיום 27 באפריל 2016 בנושא הגנה על אנשים פרטיים ביחס לעיבוד נתונים אישיים.
• "לופדגדד" פירושו Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales.
• "מידע אישי", "עיבוד", "בקר", "מעבד", "מעבד משנה", "נושא המידע", "רשות מפקחת", "דליפת מידע אישי" יהיו בעלי המשמעויות המיוחסת להם בתקנת ה-GDPR.
• "נתוני לקוחות" פירושו כל מידע אישי המוגש על ידי או מטעם הבקר לשירותים, או מעובד על ידי המעבד מטעם הבקר בקשר לשירותים.
• "מעבד משנה" פירושו כל צד שלישי שנשכר על ידי המעבד, באישור מראש מהבקר (כמתואר בסעיף 7), לעבד נתוני לקוח מטעם הבקר.
• "SCCs" פירושו ה- Standard סעיפים חוזיים להעברת נתונים אישיים למדינות שלישיות בהתאם לתקנת ה-GDPR, כפי שאושר על ידי הנציבות האירופית ליישום תקנותcisצו (EU) 2021/914 מיום 4 ביוני 2021.
• "שירותים" פירושו ה- application security posture management, software supply chain security, איתור פגיעויות ושירותים קשורים המסופקים על ידי Xygeni לבקר במסגרת ההסכם העיקרי.
• "חוק הגנת המידע החל" פירושו ה-GDPR, ה-LOPDGDD וכל חקיקה לאומית אחרת להגנת מידע כפי שתוקנה מעת לעת.

2. תפקידי הצדדים

הצדדים מאשרים ומסכימים כי:

• הבקר פועל כבקר הנתונים ביחס לנתוני הלקוח ואחראי על קביעת המטרות והאמצעים לעיבוד נתוני הלקוח המוגשים לשירותים.
• המעבד פועל כמעבד הנתונים ביחס לנתוני הלקוח ומעבד נתונים אלה אך ורק מטעם הגורם האחראי ובהתאם להוראותיו המתועדות.
• כל צד יעמוד בהתחייבויותיו במסגרת חוק הגנת המידע החל, בתפקידו כבקר או כמעבד.

כאשר Xygeni מעבדת נתונים אישיים למטרותיה שלה (למשל, ניהול חשבונות, חיוב, ניתוח שיפור שירות), היא פועלת כגורם מבקר עצמאי. עיבוד כזה כפוף למדיניות הפרטיות של Xygeni וחורג מתחום הסכם עיבוד נתונים זה.

3. נושא, אופי ומטרת העיבוד

נושא העיבוד, אופיו, משכו ומטרת העיבוד, כמו גם סוגי הנתונים האישיים המעובדים וקטגוריות של נושאי הנתונים, מפורטים בתוספת 1 (פרטי עיבוד) להסכם עיבוד מידע זה.

המעבד יעבד את נתוני הלקוח רק במידה הנדרשת למתן השירותים המתוארים בהסכם העיקרי ובהתאם להוראות המתועדות של הגורם האחראי, אלא אם כן הדבר נדרש על פי חוק. במקרה כזה, המעבד יודיע לגורם האחראי על דרישה חוקית זו לפני העיבוד, אלא אם כן הדבר אסור על פי חוק מטעמים חשובים של עניין הציבור.

4. הוראות הבקר

הבקר מורה למעבד לעבד נתוני לקוח כנדרש על מנת: (א) לספק את השירותים בהתאם להסכם העיקרי; (ב) לציית להוראות הבקר שיועברו בכתב מעת לעת; ו-(ג) למלא את התחייבויות המעבד במסגרת הסכם עיבוד נתונים זה.

המעבד יודיע לאחראי באופן מיידי אם, לדעתו הסבירה של המעבד, הוראה של האחראי מפרה את חוק הגנת המידע החל. במקרה כזה, המעבד יהיה רשאי להפסיק את העיבוד בהתאם להוראה כאמור עד שהאחראי יבהיר או ישנה את ההוראה.

הבקר מתחייב ומצהיר כי: (א) יש לו בסיס חוקי תקף לפי סעיף 6 בתקנת ה-GDPR (וכאשר רלוונטי, סעיף 9) לעיבוד הנתונים האישיים הרלוונטיים; (ב) הוא סיפק את כל ההודעות הנדרשות וקיבל את כל ההסכמות הנדרשות; ו-(ג) העברת נתוני הלקוח למעבד אינה מפרה חוקים רלוונטיים.

5. התחייבויות המעבד

5.1 הגבלות עיבוד

מעבד הזכויות יעבד נתוני לקוח אך ורק על פי הוראות מתועדות של הגורם האחראי, אלא אם כן הדבר נדרש על פי חוקי האיחוד האירופי או חוקי המדינה החברה. מעבד הזכויות לא יעבד נתוני לקוח למטרותיו שלו ולא יחשוף אותם לצדדים שלישיים, למעט כנדרש למתן השירותים או כנדרש על פי חוק.

5.2 סודיות

על המעבד לוודא כי לאנשים המורשים לעבד נתוני לקוח יש commitמחויבים לסודיות או כפופים לחובת סודיות חוקית מתאימה. הגישה לנתוני הלקוח תוגבל לאותם עובדים, קבלנים ומעבדי משנה הזקוקים לגישה לצורך מתן השירותים.

5.3 אמצעי אבטחה

על המעבד ליישם ולתחזק אמצעים טכניים וארגוניים מתאימים כדי להגן על נתוני הלקוח מפני עיבוד בלתי מורשה או בלתי חוקי ומפני אובדן, הרס, נזק, שינוי או גילוי מקריים, תוך התחשבות ב:

• מצב הטכנולוגיה ועלויות היישום;
• אופי, היקף, הקשר ומטרות העיבוד;
• הסיכונים לזכויותיהם ולחירויותיהם של אנשים פרטיים, בפרט כתוצאה מהשמדה מקרית או בלתי חוקית, אובדן, שינוי, גילוי בלתי מורשה או גישה לנתוני לקוח שהועברו, אוחסנו או עובדו בדרך אחרת.

אמצעים כאלה יכללו, לכל הפחות, את אלה המפורטים בתוספת 2 (אמצעי אבטחה טכניים וארגוניים) להסכם עיבוד מידע זה. הסמכת ISO 27001 של המעבד מספקת ראיה למערכת ניהול אבטחת מידע בסיסית. המעבד ישמור על הסמכת ISO 27001 או שווה ערך לאורך כל תקופת הסכם עיבוד מידע זה.

5.4 זכויות נושא המידע

על המעבד, בהתחשב באופי העיבוד, לסייע לבעל השליטה באמצעות אמצעים טכניים וארגוניים מתאימים, ככל שהדבר אפשרי, למלא את חובתו של בעל השליטה להגיב לבקשות למימוש.cisזכויות נושאי הנתונים במסגרת חוק הגנת המידע החל (לרבות זכויות הגישה, התיקון, המחיקה, ההגבלה, הניידות וההתנגדות במסגרת סעיפים 15-22 של GDPR).

על המעבד: (א) להודיע ​​לאחראי באופן מיידי אם המעבד מקבל בקשה מנושא נתונים בנוגע לנתוני לקוח; (ב) לא להגיב לבקשות כאמור אלא על פי הוראות מתועדות של המעבד או כנדרש על פי חוק רלוונטי; ו-(ג) לספק לאחראי סיוע סביר בתגובה לבקשות כאמור בתוך המועדים הסטטוטוריים הרלוונטיים (30 יום לפי סעיף 12 בתקנת ה-GDPR).

5.5 סיוע בהתחייבויות הבקר

מעבד המידע יסייע לבקר בהבטחת עמידה בחובות לפי סעיפים 32-36 של GDPR, תוך התחשבות באופי העיבוד ובמידע הזמין למעבד, לרבות בנוגע ל:

• אבטחת העיבוד (סעיף 32);
• הודעה על פרצות מידע אישי לרשות המפקחת והודעה לנושאי המידע (סעיפים 33-34);
• הערכות השפעה על הגנת מידע והתייעצות מוקדמת (סעיפים 35-36).

5.6 מחיקה או החזרה של נתונים

עם סיום או פקיעת ההסכם העיקרי, או לפי בקשת הגורם האחראי, המעבד ימחק או יחזיר לגורם האחראי, לפי בחירתו של הגורם האחראי, את כל נתוני הלקוח שברשותו, וימחק עותקים קיימים, אלא אם כן חוק האיחוד האירופי או החוק הרלוונטי של המדינה החברה דורש אחסון של הנתונים האישיים. המעבד יאשר את השלמת המחיקה בכתב תוך 30 יום מהפעילה הרלוונטית.

מעבד standard לוח הזמנים לשמירת נתונים (המפורט בתוספת 1) יחול אלא אם כן הבקר יגיש בקשה למחיקה מוקדמת יותר.

5.7 ביקורת והדגמת תאימות

על המעבד להעמיד לרשות האחראי את כל המידע הדרוש כדי להדגים עמידה בחובות המפורטות בהסכם עיבוד מידע זה, ועליו לאפשר ויתרום לביקורות, לרבות בדיקות, הנערכות על ידי האחראי או מבקר שהוסמך על ידי האחראי.

מעבד המעבד רשאי לעמוד בחובה זו על ידי מתן:

• עותק של תעודת ISO 27001 הנוכחית או דוח SOC 2 Type II (לאחר קבלתה);
• מילוי שאלון האבטחה של הבקר (תוך 10 ימי עסקים מקבלתו);
• ביקורות סבירות באתר בהודעה בכתב של 30 יום מראש, על חשבון הבקר, לא יותר מפעם אחת בשנה קלנדרית (אלא אם כן קיים חשד סביר לאי עמידה בדרישות).

6. הודעה על פרצת מידע אישי

המעבד יודיע לבקר ללא דיחוי בלתי סביר, ובכל מקרה תוך 48 שעות מיום שנודע לו על פרצת מידע אישי המשפיעה על נתוני הלקוח. הודעה כאמור תכלול, ככל שהדבר זמין באותו מועד:

• תיאור אופי פרצת המידע האישי, לרבות הקטגוריות והמספר המשוער של נושאי המידע הרלוונטיים והקטגוריות והמספר המשוער של רשומות המידע האישי הרלוונטיות;
• שם ופרטי הקשר של קצין הגנת המידע או נקודת קשר אחרת שממנה ניתן לקבל מידע נוסף;
• תיאור ההשלכות הצפויות של פרצת המידע האישי;
• תיאור האמצעים שננקטו או מוצעים להינקט כדי לטפל בדליפת המידע האישי, לרבות, במידת הצורך, אמצעים למתן את השפעותיה השליליות האפשריות.

כאשר לא ניתן לספק את כל המידע הנ"ל בו זמנית, ניתן לספק את המידע בשלבים ללא עיכוב נוסף בלתי סביר. המעבד ישתף פעולה עם הבקר וינקוט בצעדים סבירים כפי שיידרש על ידי הבקר כדי לסייע בחקירה, צמצום ותיקון ההפרה.

הצדדים מאשרים כי החובה לפי סעיף 33 לתקנת ה-GDPR להודיע ​​לרשות המפקחת המוסמכת (Agencia Española de Protección de Datos - AEPD, או רשות רלוונטית אחרת) תוך 72 שעות מרגע היותו מודע לדליפת מידע אישי מוטלת על הבקר כבקר הנתונים. הודעה של המעבד לבקר לפי סעיף זה נועדה לאפשר לבקר למלא חובה רגולטורית זו. הודעה של המעבד לא תהווה הודאה באשמה או באחריות.

7. מעבדי משנה

7.1 הרשאה כללית

הבקר מעניק למעבד הרשאה כללית להעסיק מעבדי משנה כמפורט בנספח 3 (מעבדי משנה מאושרים) להסכם הגנה על מידע זה. המעבד יטיל על כל מעבד משנה חובות הגנת מידע שוות ערך לאלה המפורטות בהסכם הגנה על מידע זה, ובפרט מתן ערבויות מספיקות ליישום אמצעים טכניים וארגוניים מתאימים.

7.2 שינויים במעבדי משנה

על המעבד להודיע ​​לבקר על כל שינוי מכוון הנוגע להוספה או להחלפה של מעבדי משנה על ידי: (א) עדכון רשימת מעבדי המשנה שפורסמה בכתובת https://xygeni.io/legal/subprocessors בתאריך "עדכון אחרון" המתוקן; ו-(ב) מתן הודעה בכתב לבקר לפחות עשרה (10) ימים לפני כניסת השינוי לתוקף. המעבד רשאי להתנגד לשינוי מטעמים סבירים של הגנת מידע תוך שבעה (7) ימים ממועד הודעה כאמור. אם המעבד מתנגד והצדדים אינם יכולים ליישב את ההתנגדות, המעבד רשאי לסיים את ההסכם העיקרי בהודעה סבירה ללא קנס.

אם המעבד מעסיק מעבד משנה, המעבד יישאר אחראי באופן מלא כלפי המפקח לביצוע התחייבויותיו של מעבד המשנה, במידה שמעבד המשנה לא יעמוד בהתחייבויותיו להגנת המידע.

7.3 דרישות זרימה מטה של ​​תת-מעבדים

עבור כל מעבד משנה, המעבד יבצע את הפעולות הבאות:

• לבצע בדיקת נאותות מתאימה לפני העסקת מעבד המשנה;
• להתקשר בהסכם עיבוד נתונים בכתב הקובע התחייבויות הגנת נתונים שאינן מגנות פחות מאלה שבהסכם זה לעיבוד נתונים;
• לוודא שאמצעי האבטחה של מעבד המשנה שווים לפחות לאלה הנדרשים לפי סעיף 5.3 ונספח 2;
• לכלול חובות הודעה על הפרה המחייבות את מעבד המשנה להודיע ​​למעבד תוך 24 שעות מרגע שנודע לו על הפרת מידע אישי, כדי לאפשר למעבד לעמוד בחובת ההודעה שלו לאחראי תוך 48 שעות.

8. העברות בינלאומיות

המעבד לא יעביר נתוני לקוח למדינה מחוץ לאזור הכלכלי האירופי (EEA) אלא אם כן:

• הנציבות האירופית אימצה מדיניות הולםcision עבור אותה מדינה תחת סעיף 45 של GDPR; או
• אמצעי הגנה מתאימים יושמו בהתאם לסעיף 46 בתקנת ה-GDPR, לרבות אך לא רק Standard סעיפים חוזיים שאומצו על ידי הנציבות האירופית ליישום דהcisצו (EU) 2021/914 מיום 4 ביוני 2021 ("SCCs").

כאשר נדרשים בקשות SCC, המעבד, לפי בקשת הבקר, יבצע את בקשות ה-SCC הרלוונטיות עם הבקר ו/או עם מעבד המשנה הרלוונטי. המודול הרלוונטי של בקשות ה-SCC יהיה מודול שתיים (מבקר למעבד) עבור העברות ממבקר למעבד, ומודול שלוש (מעבד למעבד משנה) עבור העברות המשך על ידי המעבד למעבדי משנה.

רשות הפיקוח המוסמכת למטרות חוקי ה-SCC היא הסוכנות הספרדית להגנת מידע (Agencia Española de Protección de Datos — AEPD), אלא אם כן הוסכם אחרת בכתב.

על המעבד לשמור ולהעמיד לרשות האחראי, לפי דרישה, רישום עדכני של כל ההעברות הבינלאומיות של נתוני הלקוח ואת מנגנון ההעברה הרלוונטי עבור כל אחת מהן.

9. הערכת השפעות על הגנת מידע

כאשר פעילות עיבוד צפויה לגרום לסיכון גבוה לזכויותיהם וחירויותיהם של אנשים פרטיים והאחראי נדרש לבצע הערכת השפעה על הגנת מידע (DPIA) לפי סעיף 35 בתקנת ה-GDPR, המעבד יספק לאחראי סיוע ומידע סבירים כנדרש כדי לאפשר לאחראי לבצע את ה-DPIA. המעבד יגיב לבקשות סבירות של האחראי בנוגע ל-DPIA תוך 15 ימי עסקים.

10. רישומי פעילויות עיבוד

המעבד ינהל, לבקשת הבקר, רישום של פעילויות עיבוד שבוצעו מטעם הבקר בהתאם לסעיף 30(2) של GDPR, לרבות: שם ופרטי הקשר של המעבד וכל מעבדי משנה; קטגוריות העיבוד שבוצעו מטעם הבקר; העברות של נתונים אישיים למדינה שלישית; ותיאור כללי של אמצעי האבטחה הטכניים והארגוניים.

11. אחריות

אחריותו של כל צד כלפי השני במסגרת הסכם הגנת מידע זה או בקשר אליו תהיה כפופה למגבלות ולחריגים המפורטים בהסכם העיקרי. במקרה בו נושא מידע סבל נזק כתוצאה מעיבוד המפר את חוק הגנת המידע החל, כל צד יהיה אחראי לנזק שנגרם מעיבודו המפר את ה-GDPR, בהתאם לסעיפים 82-83 של ה-GDPR. שום דבר בסעיף זה אינו מגביל את אחריותו של אף אחד מהצדדים כלפי נושאי מידע במסגרת החוק החל.

12. סיום וסיום

הסכם שיתוף פעולה זה ייכנס לתוקף בתאריך ההסכם העיקרי (או בתאריך חתימת הסכם שיתוף פעולה זה אם מאוחר יותר) ויישאר בתוקף למשך תקופת ההסכם העיקרי. סיום ההסכם העיקרי מכל סיבה שהיא יסתיים אוטומטית בהסכם שיתוף פעולה זה.

לאחר סיום העסקה, התחייבויות המעבד לפי סעיף 5.6 (מחיקה או החזרה של נתונים) יישארו בתוקף והמעבד ישלים את מחיקת או החזרת נתוני הלקוח תוך 30 יום ממועד הסיום. סעיפים הנוגעים לסודיות, אחריות, דין החל וביקורת יישארו בתוקף גם הם.

13. דיני חוק ותחום שיפוט

הסכם גישה זה יהיה כפוף לחוקי ספרד ויפורש על פיהם. הצדדים כפופים לסמכות השיפוט הלא בלעדית של בתי המשפט של מדריד ליישוב כל סכסוך הנובע מהסכם גישה זה או בקשר אליו. במידה ותתנגש הוראה כלשהי בהסכם גישה זה עם תקנון השוויון והגבלות (SCCs), תקנון השוויון והגבלות יגברו.

14. שונים

ההסכם כולו: הסכם עיבוד נתונים זה, יחד עם נספחיו וההסכם העיקרי, מהווה את ההסכם המלא בין הצדדים ביחס לנושא הסכם זה ומחליף כל הסכם, הבנה או מצג קודמים הנוגעים לעיבוד נתונים.

תיקונים: ניתן לתקן הסכם עיבוד מידע זה רק באמצעות הסכם בכתב שנחתם על ידי נציגים מורשים של שני הצדדים.

בר הפרדה: אם ייקבע כי הוראה כלשהי בהסכם זה לניהול נתונים אינה תקפה או אינה ניתנת לאכיפה, שאר ההוראות יישארו בתוקף מלא.

עֲדִיפוּת: במקרה של סתירה בין הסכם עיבוד מידע זה לבין הנספחים, גוף הסכם עיבוד המידע יגבר אלא אם כן הנספח קובע במפורש אחרת. במקרה של סתירה בין הסכם עיבוד מידע זה לבין תקנות ה-SCC (במידת הצורך), תקנות ה-SCC יגברו.

נספח 1 - פרטי עיבוד

1. נושא החקירה

נושא העיבוד הוא אספקת מידע על ידי Xygeni של application security posture management, software supply chain security ניתוח, זיהוי פגיעויות, CI/CD ניטור אבטחה ושירותים נלווים כמתואר בהסכם העיקרי.

2. אופי העיבוד

איסוף, ארגון, מבנה, אחסון, ניתוח, אחזור, שימוש, גילוי באמצעות העברה, יישור או שילוב, הגבלה, מחיקה או השמדה של נתוני לקוח.

3. מטרת העיבוד

עיבוד נתוני הלקוח מתבצע למטרה היחידה של מתן השירותים לבקר, לרבות: זיהוי ודיווח על פגיעויות אבטחה; ניתוח סיכונים בשרשרת האספקה ​​של תוכנה; CI/CD pipeline security ניטור; זיהוי אנומליות; ותמיכת לקוחות.

4. משך העיבוד

המעבד יעבד את נתוני הלקוח למשך תקופת ההסכם העיקרי. עם סיום ההסכם, המעבד ישמור את נתוני הלקוח למשך 3 חודשים לאחר תאריך סיום המנוי לפני מחיקתם, אלא אם כן המעבד יבקש מחיקה מוקדמת יותר. נתוני חשבון הניסיון נשמרים למשך חודש אחד לאחר פקיעת תקופת הניסיון.

5. סוגי נתונים אישיים

6. קטגוריות של נושאי נתונים

נושאי הנתונים כוללים: עובדים, קבלנים ומשתמשים מורשים אחרים של הבקר שניגשים לשירותים; תורמים (מפתחים, חשבונות בוט, סוכני בנייה) למאגרים ו pipelineמנוטרים על ידי השירותים; ונציגים ואנשי קשר של הבקר.

7. נתונים מקטגוריה מיוחדת

השירותים אינם מיועדים לעיבוד נתונים אישיים מקטגוריות מיוחדות כהגדרתם בסעיף 9 לתקנת ה-GDPR. הבקר מתחייב כי לא יגיש נתונים אישיים מקטגוריות מיוחדות לשירותים ללא הסכם מראש ובכתב עם Xygeni ויישום אמצעי הגנה נוספים מתאימים.

נספח 2 - אמצעי אבטחה טכניים וארגוניים

Xygeni מיישמת את האמצעים הטכניים והארגוניים הבאים כדי להגן על נתוני לקוחות, בהתאם למערכת ניהול אבטחת המידע המוסמכת ISO 27001 של Xygeni:

בקרת גישה

• בקרת גישה מבוססת תפקידים (RBAC) נאכפת בכל המערכות המעבדות נתוני לקוחות.
• אימות רב-גורמי (MFA) נדרש לכל עובדי Xygeni הניגשים למערכות הייצור.
• עקרון ההרשאות הנמוכות ביותר מוחל על כל חשבונות המשתמש; זכויות הגישה נבדקות מדי רבעון.
• אימות מבוסס מפתח SSH לגישה לשרת ייצור; אימות סיסמה מושבת.

הצפנת מידע

• נתוני לקוח מוצפנים במהלך ההעברה באמצעות TLS 1.2 ומעלה.
• נתוני לקוח מוצפנים במנוחה באמצעות AES-256 או שווה ערך.
• מפתחות הצפנה המנוהלים באמצעות שירות ניהול המפתחות (KMS) של AWS.

אבטחת רשת

• מערכות ייצור המאוחסנות בתוך AWS Virtual Private Cloud (VPC) עם פילוח רשת.
• חומת אש של יישומי אינטרנט (WAF) נפרסה עבור נקודות קצה הפונות לציבור.
• מערכות גילוי ומניעת חדירות קיימות.
• סריקת פגיעויות ובדיקות חדירה שוטפות של תשתית ושכבות יישומים.

ביטחון פיזי

• נתוני לקוחות המאוחסנים במרכזי נתונים של AWS עם אישורי SOC 2 Type II ו-ISO 27001.
• גישה פיזית למתקני מרכז הנתונים מוגבלת לאנשי AWS מורשים עם בקרות ביומטריות.

זמינות וחוסן

• גיבויים אוטומטיים יומיים של כל נתוני הלקוח, הנשמרים למשך 7 ימים לפחות.
• שלמות הגיבוי מאומתת מעת לעת.
• Disastנהלי שחזור מתועדים ונבדקים מדי שנה.

ניהול אירועים

• תוכנית תגובה לאירועי אבטחה מתוחזקת ונבדקת מדי שנה.
• אירועי אבטחה מנוטרים ונרשמים; התראות נבדקות על ידי פונקציית פעולות האבטחה.
• נהלי הודעה על פרצות מידע אישי קיימים כדי לעמוד בחובת ההודעה לאחראי תוך 48 שעות.

כוח אדם

• כל עובדי Xygeni בעלי גישה לנתוני הלקוח מחויבים לחובות סודיות.
• הדרכת מודעות ביטחונית מתקיימת לכל הצוות מדי שנה.
• בדיקות רקע נערכו עבור עובדים בעלי גישה למערכות ייצור, במידה המותרת על פי חוק.

ניהול צד שלישי

• מעבדי משנה עוברים הערכה של תאימות אבטחה לפני ההתקשרות.
• הסכמי עיבוד נתונים קיימים עם כל מעבדי המשנה.

תעודה

• לחברת Xygeni הסמכת ISO 27001 (מערכת ניהול אבטחת מידע).
• Xygeni שואפת לקבלת הסמכת SOC 2 Type II; התעודה תסופק למנהל עם השלמתה.