Agreement Processing Data

Singing

Perjanjian Pangolahan Data iki (“DPA” utawa “Perjanjian”) digawe dening lan antarane:

Pangontrol data (“Pangontrol” utawa “Pelanggan”)

Prosesor Data (“Prosesor” utawa “Xygeni”):

Pengontrol lan Prosesor sabanjure diarani siji-siji minangka "Pihak" lan bebarengan diarani "Para Pihak".

DPA iki minangka bagéan saka Perjanjian Layanan Induk utawa Katentuan Layanan (“Perjanjian Utama”) antarane Para Pihak sing ngatur panyediaan keamanan aplikasi lan software supply chain security layanan ("Layanan"). Yen ana konflik antarane DPA iki lan Perjanjian Utama, DPA iki sing bakal diutamakake babagan masalah perlindungan data.

1. Definisi

Kanggo tujuan DPA iki:

• "GDPR" tegese Peraturan (EU) 2016/679 Parlemen Eropa lan Dewan tanggal 27 April 2016 babagan perlindungan wong pribadi sing ana gandhengane karo pangolahan data pribadi.
• "LOPDGDD" tegese Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y jaminan de los derechos digitales.
• "Data Pribadi", "Pamrosesan", "Pengontrol", "Prosesor", "Sub-prosesor", "Subjek Data", "Otoritas Pengawas", "Pelanggaran Data Pribadi" kudu nduweni teges sing diwenehake marang dheweke ing GDPR.
• "Data Pelanggan" tegese Data Pribadi apa wae sing dikirim dening utawa atas jenenge Pengontrol menyang Layanan, utawa diproses dening Prosesor atas jenenge Pengontrol sing ana gandhengane karo Layanan.
• "sub-prosesor" tegese pihak katelu sing ditugasake dening Prosesor, kanthi wewenang sadurunge saka Pengontrol (kaya sing diterangake ing Klausul 7), kanggo ngolah Data Pelanggan atas jenenge Pengontrol.
• "SCC" tegese ing Standard Klausul Kontraktual kanggo transfer data pribadi menyang negara katelu miturut GDPR, kaya sing disetujoni dening Komisi Eropa sing Ngleksanakake Decision (EU) 2021/914 tanggal 4 Juni 2021.
• "Layanan" tegese ing application security posture management, software supply chain security, deteksi kerentanan lan layanan sing gegandhengan sing diwenehake dening Xygeni marang Controller miturut Perjanjian Utama.
• "Undhang-undhang Perlindungan Data sing Ditrapake" tegese GDPR, LOPDGDD, lan undang-undang perlindungan data nasional liyane sing ditrapake sing diowahi saka wektu ke wektu.

2. Kalungguhan Para Pihak

Para Pihak ngakoni lan sarujuk yen:

• Pengontrol tumindak minangka pengontrol data babagan Data Pelanggan lan tanggung jawab kanggo nemtokake tujuan lan cara pangolahan Data Pelanggan sing dikirim menyang Layanan.
• Prosesor tumindak minangka prosesor data gegayutan karo Data Pelanggan lan ngolah data kasebut mung atas jenenge lan miturut pandhuan sing didokumentasikake saka Kontroler.
• Saben Pihak kudu netepi kewajibane miturut Undhang-undhang Perlindungan Data sing Ditrapake minangka Pengontrol utawa Prosesor.

Nalika Xygeni ngolah data pribadi kanggo tujuane dhewe (kayata, manajemen akun, tagihan, analitik perbaikan layanan), dheweke tumindak minangka Pengontrol independen. Pamrosesan kasebut diatur dening Kebijakan Privasi Xygeni lan ana ing njaba ruang lingkup DPA iki.

3. Subjek, Sifat, lan Tujuan Pangolahan

Pokok bahasan, sifat, durasi lan tujuan pangolahan, uga jinis Data Pribadi sing diproses lan kategori Subjek Data, wis ditemtokake ing Jadwal 1 (Rincian Pangolahan) DPA iki.

Prosesor mung kudu ngolah Data Pelanggan sak perlune kanggo nyedhiyakake Layanan sing diterangake ing Perjanjian Utama lan miturut pandhuan sing didokumentasikake dening Pengontrol, kajaba dibutuhake dening hukum sing ditrapake. Ing kasus kaya ngono, Prosesor kudu ngandhani Pengontrol babagan syarat hukum kasebut sadurunge diproses, kajaba dilarang dening hukum kanthi alesan penting kanggo kepentingan umum.

4. Pandhuan saka Pengawas

Kontroler ndhawuhi Prosesor supaya ngolah Data Pelanggan yen perlu kanggo: (a) nyedhiyakake Layanan miturut Perjanjian Utama; (b) netepi pandhuan Kontroler sing dikomunikasikake kanthi tulisan saka wektu kanggo wektu; lan (c) netepi kewajiban Prosesor miturut DPA iki.

Prosesor kudu langsung ngandhani Controller yen, miturut panemune Prosesor sing cukup, instruksi saka Controller nglanggar Undhang-undhang Perlindungan Data sing Ditrapake. Ing kedadeyan kasebut, Prosesor duwe hak kanggo mandheg ngolah miturut instruksi kasebut nganti Controller wis njlentrehake utawa ngowahi instruksi kasebut.

Kontroler njamin lan nyatakake yen: (a) nduweni basis hukum sing sah miturut GDPR Pasal 6 (lan, yen ditrapake, Pasal 9) kanggo ngolah Data Pribadi sing relevan; (b) wis menehi kabeh kabar sing dibutuhake lan entuk kabeh idin sing dibutuhake; lan (c) transfer Data Pelanggan menyang Prosesor ora nglanggar hukum sing ditrapake.

5. Kewajiban Prosesor

5.1 Watesan pangolahan

Prosesor mung kudu ngolah Data Pelanggan miturut pandhuan sing didokumentasikake saka Kontroler, kajaba dibutuhake dening hukum EU utawa Negara Anggota sing ditrapake. Prosesor ora kena ngolah Data Pelanggan kanggo tujuane dhewe utawa mbukak menyang pihak katelu kajaba yen perlu kanggo nyedhiyakake Layanan utawa kaya sing dibutuhake dening hukum.

5.2 Rahasia

Prosesor kudu mesthekake yen wong sing duwe wewenang kanggo ngolah Data Pelanggan wis commitnjaga kerahasiaan utawa ana ing sangisore kewajiban kerahasiaan sing cocog. Akses menyang Data Pelanggan diwatesi mung kanggo karyawan, kontraktor, lan sub-prosesor sing mbutuhake akses kanggo tujuan nyedhiyakake Layanan.

5.3 Langkah-langkah keamanan

Prosesor kudu ngetrapake lan njaga langkah-langkah teknis lan organisasi sing cocog kanggo nglindhungi Data Pelanggan saka pangolahan sing ora sah utawa ora sah lan saka kerugian, karusakan, kerusakan, owah-owahan utawa pambocoran sing ora disengaja, kanthi nganggep:

• kahanan teknologi lan biaya implementasine;
• sifat, ruang lingkup, konteks lan tujuan pangolahan;
• risiko hak lan kebebasan wong, utamane saka karusakan, kerugian, perubahan, pambocoran, utawa akses sing ora sah utawa ora sah saka Data Pelanggan sing dikirim, disimpen, utawa diproses kanthi cara liya.

Langkah-langkah kasebut kudu kalebu, paling ora, sing wis ditemtokake ing Jadwal 2 (Langkah-langkah Keamanan Teknis lan Organisasi) kanggo DPA iki. Sertifikasi ISO 27001 prosesor nyedhiyakake bukti sistem manajemen keamanan informasi dhasar. Prosesor kudu njaga sertifikasi ISO 27001 utawa sing padha sajrone jangka waktu DPA iki.

5.4 Hak Subjek Data

Prosesor kudu, kanthi nggatekake sifat pangolahan, mbantu Controller kanthi langkah-langkah teknis lan organisasi sing cocog, sabisa-bisane, kanggo netepi kewajiban Controller kanggo nanggapi panjalukan kanggo latihan.cishak-hak Subjek Data miturut Undhang-undhang Perlindungan Data sing Ditrapake (kalebu hak akses, rektifikasi, penghapusan, watesan, portabilitas lan keberatan miturut Pasal 15–22 GDPR).

Prosesor kudu: (a) langsung menehi kabar marang Kontroler yen Prosesor nampa panjaluk saka Subjek Data babagan Data Pelanggan; (b) ora nanggapi panjaluk kasebut kajaba miturut pandhuan sing didokumentasikake saka Kontroler utawa kaya sing dibutuhake dening hukum sing ditrapake; lan (c) menehi pitulungan sing cukup marang Kontroler kanggo nanggapi panjaluk kasebut sajrone tenggat wektu sing ditrapake (30 dina miturut GDPR Pasal 12).

5.5 Bantuan karo kewajiban Controller

Prosesor kudu mbantu Kontroler kanggo njamin kepatuhan karo kewajiban miturut Pasal 32–36 GDPR, kanthi nganggep sifat pangolahan lan informasi sing kasedhiya kanggo Prosesor, kalebu sing ana gandhengane karo:

• keamanan pangolahan (Pasal 32);
• kabar babagan Pelanggaran Data Pribadi marang panguwasa pengawas lan komunikasi marang Subjek Data (Pasal 33–34);
• penilaian dampak perlindungan data lan konsultasi sadurunge (Pasal 35–36).

5.6 Mbusak utawa mbalekake data

Sawise Perjanjian Utama rampung utawa kadaluwarsa, utawa miturut panyuwunan saka Controller, Prosesor kudu, miturut pilihan Controller, mbusak utawa mbalekake menyang Controller kabeh Data Pelanggan sing diduweni, lan kudu mbusak salinan sing wis ana, kajaba hukum EU utawa Negara Anggota sing ditrapake mbutuhake panyimpenan Data Pribadi. Prosesor kudu ngonfirmasi rampunging pambusakan kanthi tulisan sajrone 30 dina wiwit pemicu sing relevan.

Prosesor standard Jadwal panyimpenan data (sing wis ditemtokake ing Jadwal 1) bakal ditrapake kajaba Kontroler nggawe panjaluk pambusakan luwih awal.

5.7 Audit lan demonstrasi kepatuhan

Prosesor kudu nyedhiyakake kabeh informasi sing dibutuhake kanggo Controller kanggo nduduhake kepatuhan karo kewajiban sing wis ditemtokake ing DPA iki, lan kudu ngidini lan nyumbang kanggo audit, kalebu inspeksi, sing ditindakake dening Controller utawa auditor sing diwajibake dening Controller.

Prosesor bisa netepi kewajiban iki kanthi nyedhiyakake:

• salinan sertifikat ISO 27001 utawa laporan SOC 2 Tipe II sing lagi ditindakake (sawise dipikolehi);
• ngrampungake kuesioner keamanan Controller (sajrone 10 dina kerja sawise ditampa);
• audit ing lokasi sing cukup sawise menehi kabar tertulis 30 dina sadurunge, kanthi biaya Controller, ora luwih saka sapisan saben taun kalender (kajaba ana kecurigaan sing cukup babagan ketidakpatuhan).

6. Notifikasi Pelanggaran Data Pribadi

Prosesor kudu menehi kabar marang Kontroler tanpa wektu tundha, lan ing kahanan apa wae sajrone 48 jam sawise ngerti Pelanggaran Data Pribadi sing mengaruhi Data Pelanggan. Kabar kasebut kudu kalebu, sak adohe sing kasedhiya ing wektu kasebut:

• katrangan babagan sifat Pelanggaran Data Pribadi, kalebu kategori lan kira-kira jumlah Subjek Data sing bersangkutan lan kategori lan kira-kira jumlah cathetan Data Pribadi sing bersangkutan;
• jeneng lan rincian kontak petugas perlindungan data utawa titik kontak liyane sing bisa dipikolehi informasi luwih lengkap;
• katrangan babagan akibat sing bisa kedadeyan saka Pelanggaran Data Pribadi;
• katrangan babagan langkah-langkah sing ditindakake utawa diusulake kanggo ngatasi Pelanggaran Data Pribadi, kalebu, yen cocog, langkah-langkah kanggo nyuda efek samping sing bisa kedadeyan.

Yen ora bisa nyedhiyakake kabeh informasi ing ndhuwur bebarengan, informasi kasebut bisa diwenehake kanthi bertahap tanpa wektu tundha luwih lanjut. Prosesor kudu kerja sama karo Controller lan njupuk langkah-langkah sing cukup sing dibutuhake Controller kanggo mbantu investigasi, mitigasi, lan remediasi pelanggaran kasebut.

Para Pihak ngakoni manawa kewajiban miturut Pasal 33 GDPR kanggo menehi kabar marang panguwasa pengawas sing kompeten (Agencia Española de Protección de Datos — AEPD, utawa panguwasa liyane sing relevan) sajrone 72 jam sawise ngerti Pelanggaran Data Pribadi ana ing tangane Pengontrol minangka pengontrol data. Pemberitahuan saka Prosesor marang Pengontrol miturut Klausul iki dimaksudake kanggo ngaktifake Pengontrol kanggo netepi kewajiban peraturan iki. Pemberitahuan saka Prosesor ora bakal dadi pangakuan kesalahan utawa tanggung jawab.

7. Sub-prosesor

7.1 Otorisasi umum

Kontroler menehi wewenang umum marang Prosesor kanggo nglibatake Sub-prosesor kaya sing kadhaptar ing Jadwal 3 (Sub-prosesor sing Disetujoni) ing DPA iki. Prosesor kudu ngetrapake kewajiban perlindungan data saben Sub-prosesor sing padha karo sing wis ditemtokake ing DPA iki, utamane nyedhiyakake jaminan sing cukup kanggo ngetrapake langkah-langkah teknis lan organisasi sing cocog.

7.2 Owah-owahan ing Sub-prosesor

Prosesor kudu menehi kabar marang Controller babagan owah-owahan sing dikarepake babagan tambahan utawa panggantos Sub-prosesor kanthi: (a) nganyari dhaptar Sub-prosesor sing diterbitake ing https://xygeni.io/legal/subprocessors kanthi tanggal "Diperbarui pungkasan" sing direvisi; lan (b) menehi kabar tertulis marang Controller paling ora sepuluh (10) dina sadurunge owah-owahan kasebut ditrapake. Controller bisa mbantah owah-owahan kasebut kanthi alesan perlindungan data sing cukup sajrone pitung (7) dina sawise kabar kasebut. Yen Controller mbantah lan Para Pihak ora bisa ngrampungake keberatan kasebut, Controller bisa mungkasi Perjanjian Utama kanthi kabar sing cukup tanpa paukuman.

Menawa Prosesor nyewa Sub-prosesor, Prosesor bakal tetep tanggung jawab penuh marang Kontroler kanggo nindakake kewajiban Sub-prosesor kasebut sajrone Sub-prosesor kasebut gagal netepi kewajiban perlindungan data.

7.3 Syarat flow-down sub-prosesor

Kanggo saben Sub-prosesor, Prosesor kudu:

• nindakake uji tuntas sing cocog sadurunge nggunakake Sub-prosesor;
• nggawe perjanjian pangolahan data tertulis sing ngetrapake kewajiban perlindungan data sing ora kurang protektif tinimbang sing ana ing DPA iki;
• mesthekake yen langkah-langkah keamanan Sub-prosesor paling ora padha karo sing dibutuhake miturut Klausul 5.3 lan Jadwal 2;
• kalebu kewajiban notifikasi pelanggaran sing mbutuhake Sub-prosesor kanggo menehi kabar marang Prosesor sajrone 24 jam sawise ngerti babagan Pelanggaran Data Pribadi, supaya Prosesor bisa netepi kewajiban notifikasi 48 jam marang Pengontrol.

8. Transfer internasional

Prosesor ora kena nransfer Data Pelanggan menyang negara ing njaba Wilayah Ekonomi Eropa (EEA) kajaba:

• Komisi Eropa wis ngetrapake kecukupancision kanggo negara kasebut miturut GDPR Pasal 45; utawa
• perlindungan sing cocog wis dileksanakake miturut GDPR Pasal 46, kalebu nanging ora winates ing Standard Klausul Kontraktual sing diadopsi dening Komisi Eropa sing Ngleksanakake Decision (EU) 2021/914 tanggal 4 Juni 2021 (“SCC”).

Yen SCC dibutuhake, Prosesor, miturut panyuwunan Controller, kudu nglakokake SCC sing ditrapake karo Controller lan/utawa karo Sub-prosesor sing relevan. Modul SCC sing ditrapake yaiku Modul Loro (Controller menyang Prosesor) kanggo transfer saka Controller menyang Prosesor, lan Modul Telu (Prosesor menyang Sub-prosesor) kanggo transfer sabanjure dening Prosesor menyang Sub-prosesor.

Panguwasa pengawas sing kompeten kanggo tujuan SCC yaiku Badan Perlindungan Data Spanyol (Agencia Española de Protección de Datos — AEPD), kajaba ana persetujuan liya kanthi tulisan.

Prosesor kudu njaga lan nyedhiyakake marang Controller, yen dijaluk, cathetan paling anyar babagan kabeh transfer internasional Data Pelanggan lan mekanisme transfer sing ditrapake kanggo saben wong.

9. Penilaian Dampak Perlindungan Data

Ing ngendi aktivitas pangolahan bisa nyebabake risiko dhuwur kanggo hak lan kebebasan wong lan Pengontrol dibutuhake kanggo nindakake Penilaian Dampak Perlindungan Data (DPIA) miturut GDPR Pasal 35, Prosesor kudu menehi Pengontrol pitulungan lan informasi sing cukup yen perlu kanggo ngaktifake Pengontrol kanggo nindakake DPIA. Prosesor kudu nanggapi panjaluk sing ana gandhengane karo DPIA saka Pengontrol sajrone 15 dina kerja.

10. Cathetan Kegiatan Pangolahan

Prosesor kudu njaga, miturut panyuwunan Controller, cathetan aktivitas pangolahan sing ditindakake atas jenenge Controller miturut GDPR Pasal 30(2), kalebu: jeneng lan rincian kontak Prosesor lan Sub-prosesor; kategori pangolahan sing ditindakake atas jenenge Controller; transfer Data Pribadi menyang negara katelu; lan katrangan umum babagan langkah-langkah keamanan teknis lan organisasi.

11. Tanggung jawab

Tanggung jawab saben Pihak marang pihak liyane miturut utawa gegayutan karo DPA iki bakal tundhuk karo watesan lan pengecualian sing ditemtokake ing Perjanjian Utama. Yen Subjek Data ngalami kerusakan minangka akibat saka pangolahan sing nglanggar Undang-Undang Perlindungan Data sing Ditrapake, saben Pihak bakal tanggung jawab kanggo kerusakan sing disebabake dening pangolahan sing nglanggar GDPR miturut Pasal 82–83 GDPR. Ora ana ing Klausul iki sing mbatesi tanggung jawab salah siji Pihak marang Subjek Data miturut hukum sing ditrapake.

12. Term lan Mungkasi

DPA iki bakal diwiwiti ing tanggal Perjanjian Utama (utawa tanggal pelaksanaan DPA iki yen mengko) lan bakal tetep berlaku sajrone Perjanjian Utama. Pengakhiran Perjanjian Utama kanggo alesan apa wae bakal kanthi otomatis mungkasi DPA iki.

Sawise pemutusan, kewajiban Prosesor miturut Klausul 5.6 (pambusakan utawa pengembalian data) bakal tetep berlaku lan Prosesor kudu ngrampungake penghapusan utawa pengembalian Data Pelanggan sajrone 30 dina sawise pemutusan. Klausul sing ana gandhengane karo kerahasiaan, tanggung jawab, hukum sing ngatur, lan audit uga bakal tetep berlaku sawise pemutusan.

13. Hukum lan Yurisdiksi

DPA iki bakal diatur lan ditafsirake miturut hukum Spanyol. Para Pihak tundhuk marang yurisdiksi non-eksklusif pengadilan Madrid kanggo ngrampungake sengketa apa wae sing muncul saka utawa ana gandhengane karo DPA iki. Sakabehe ana pranata DPA iki sing bertentangan karo SCC, SCC sing bakal menang.

14. Liyane

Kabeh Perjanjian: DPA iki, bebarengan karo Jadwal lan Persetujuan Utama, minangka persetujuan lengkap antarane Para Pihak babagan perkara iki lan ngganti kabeh persetujuan, pangerten, utawa perwakilan sadurunge sing ana gandhengane karo pangolahan data.

Amandemen: DPA iki mung bisa diowahi kanthi persetujuan tertulis sing ditandatangani dening wakil sing sah saka kaloro Pihak.

Severability: Manawa ana pranata ing DPA iki sing dianggep ora sah utawa ora bisa dileksanakake, pranata liyane bakal tetep berlaku lan efektif.

Prioritas: Manawa ana konflik antarane DPA iki lan Jadwal, badan DPA sing bakal menang kajaba Jadwal kasebut kanthi tegas nyebutake liya. Manawa ana konflik antarane DPA iki lan SCC (yen ditrapake), SCC sing bakal menang.

JADWAL 1 — Rincian Pamrosesan

1. Jejer

Subjek pangolahan kasebut yaiku panyediaan dening Xygeni babagan application security posture management, software supply chain security analisis, deteksi kerentanan, CI/CD pemantauan keamanan, lan layanan sing gegandhengan kaya sing diterangake ing Perjanjian Utama.

2. Sifat Pangolahan

Pangumpulan, organisasi, penataan, panyimpenan, analisis, pengambilan, panggunaan, pambocoran kanthi transmisi, penyelarasan utawa kombinasi, watesan, penghapusan utawa penghancuran Data Pelanggan.

3. Tujuan Pangolahan

Pangolahan Data Pelanggan ditindakake mung kanggo tujuan nyedhiyakake Layanan kanggo Pengontrol, kalebu: deteksi lan pelaporan kerentanan keamanan; analisis risiko rantai pasokan piranti lunak; CI/CD pipeline security pemantauan; deteksi anomali; lan dhukungan pelanggan.

4. Durasi Pamrosesan

Prosesor kudu ngolah Data Pelanggan sajrone Perjanjian Utama. Sawise rampung, Prosesor kudu nyimpen Data Pelanggan sajrone 3 sasi sawise tanggal pungkasan langganan sadurunge dibusak, kajaba Kontroler njaluk dibusak luwih awal. Data akun uji coba disimpen sajrone 1 sasi sawise kadaluwarsa uji coba.

5. Jinis-jinis Data Pribadi

6. Kategori Subjek Data

Subjek Data kalebu: karyawan, kontraktor, lan pangguna liyane sing sah saka Kontroler sing ngakses Layanan; kontributor (pangembang, akun bot, agen build) menyang repositori lan pipelinediawasi dening Layanan; lan wakil lan wong sing bisa dihubungi saka Kontroler.

7. Data Kategori Khusus

Layanan kasebut ora dirancang kanggo ngolah data pribadi kategori khusus kaya sing ditegesake ing GDPR Pasal 9. Kontroler njamin yen ora bakal ngirim data pribadi kategori khusus menyang Layanan tanpa persetujuan tertulis sadurunge karo Xygeni lan implementasi perlindungan tambahan sing cocog.

JADUAL 2 — Langkah-langkah Keamanan Teknis lan Organisasi

Xygeni ngetrapake langkah-langkah teknis lan organisasi ing ngisor iki kanggo nglindhungi Data Pelanggan, selaras karo sistem manajemen keamanan informasi sing disertifikasi ISO 27001 saka Xygeni:

akses Kontrol

• Kontrol akses berbasis peran (RBAC) diterapake ing kabeh sistem sing ngolah Data Pelanggan.
• Otentikasi multi-faktor (MFA) dibutuhake kanggo kabeh personel Xygeni sing ngakses sistem produksi.
• Prinsip hak istimewa paling sithik ditrapake kanggo kabeh akun panganggo; hak akses ditinjau saben telung sasi.
• Otentikasi berbasis kunci SSH kanggo akses server produksi; otentikasi sandhi dipateni.

Data enkripsi

• Data Pelanggan dienkripsi nalika dikirim nggunakake TLS 1.2 utawa sing luwih anyar.
• Data Pelanggan dienkripsi nalika disimpen nggunakake AES-256 utawa sing padha.
• Kunci enkripsi dikelola liwat AWS Key Management Service (KMS).

Keamanan Network

• Sistem produksi sing di-host ing AWS Virtual Private Cloud (VPC) kanthi segmentasi jaringan.
• Firewall Aplikasi Web (WAF) sing disebarake kanggo titik pungkasan sing madhep publik.
• Sistem deteksi lan pencegahan penyusupan wis ana.
• Pemindaian kerentanan lan uji penetrasi rutin lapisan infrastruktur lan aplikasi.

Keamanan Fisik

• Data Pelanggan disimpen ing pusat data AWS kanthi sertifikasi SOC 2 Tipe II lan ISO 27001.
• Akses fisik menyang fasilitas pusat data diwatesi mung kanggo personel AWS sing sah kanthi kontrol biometrik.

Kasedhiyan lan Ketahanan

• Serep otomatis saben dina kanggo kabeh Data Pelanggan, disimpen minimal 7 dina.
• Integritas serep diverifikasi kanthi periodik.
• Disastprosedur pemulihan sing didokumentasikake lan diuji saben taun.

Manajemen Insiden

• Rencana respon insiden keamanan dijaga lan diuji saben taun.
• Prastawa keamanan dipantau lan dicathet; tandha bebaya ditinjau dening fungsi operasi keamanan.
• Prosedur notifikasi Pelanggaran Data Pribadi wis diterapake kanggo netepi kewajiban notifikasi 48 jam marang Kontroler.

Personel

• Kabeh personel Xygeni sing duwe akses menyang Data Pelanggan kaiket karo kewajiban kerahasiaan.
• Pelatihan kesadaran keamanan dianakake kanggo kabeh personel saben taun.
• Pamriksaan latar mburi ditindakake kanggo personel sing duwe akses menyang sistem produksi, nganti tekan sing diidinake dening hukum sing ditrapake.

Manajemen Pihak Katelu

• Sub-prosesor ditaksir kepatuhan keamanane sadurunge digunakake.
• Perjanjian pangolahan data wis ana karo kabeh Sub-prosesor.

Certification

• Xygeni nduwèni sertifikasi ISO 27001 (sistem manajemen keamanan informasi).
• Xygeni lagi ngoyak sertifikasi SOC 2 Tipe II; sertifikat bakal diwenehake marang Controller sawise rampung.