მონაცემთა დამუშავების ხელშეკრულება

მხარეები

ეს მონაცემთა დამუშავების შეთანხმება („DPA“ ან „შეთანხმება“) დადებულია შემდეგს შორის:

მონაცემთა კონტროლიორი („კონტროლერი“ ან „მომხმარებელი“)

მონაცემთა დამმუშავებელი („დამმუშავებელი“ ან „Xygeni“):

კონტროლიორი და დამმუშავებელი შემდგომში ცალ-ცალკე მოიხსენიებიან, როგორც „მხარე“, ხოლო ერთობლივად - როგორც „მხარეები“.

ეს DPA წარმოადგენს მხარეებს შორის ძირითადი მომსახურების შეთანხმების ან მომსახურების პირობების („ძირითადი შეთანხმება“) ნაწილს, რომელიც არეგულირებს Xygeni-ს მიერ მისი აპლიკაციის უსაფრთხოების უზრუნველყოფას და software supply chain security სერვისები („სერვისები“). ამ მონაცემთა დაცვის ხელშეკრულებასა და ძირითად შეთანხმებას შორის კონფლიქტის შემთხვევაში, მონაცემთა დაცვის საკითხებთან დაკავშირებით უპირატესობა ენიჭება ამ მონაცემთა დაცვის ხელშეკრულებას.

1. განმარტებები

ამ DPA-ს მიზნებისთვის:

• „GDPR“ ნიშნავს ევროპარლამენტისა და საბჭოს 2016 წლის 27 აპრილის რეგულაციას (EU) 2016/679, რომელიც ეხება ფიზიკური პირების დაცვას პერსონალური მონაცემების დამუშავებასთან დაკავშირებით.
• „ლოპდგდდ“ ნიშნავს Ley Orgánica 3/2018, 5 წლის დიციემბრიდან, დათოს პერსონალის დაცვისა და ციფრული გარანტიების შესახებ.
• „პერსონალური მონაცემები“, „დამუშავება“, „კონტროლერი“, „დამმუშავებელი“, „ქვედამმუშავებელი“, „მონაცემთა სუბიექტი“, „საზედამხედველო ორგანო“, „პერსონალური მონაცემების დარღვევა“ მათ ექნებათ GDPR-ში მინიჭებული მნიშვნელობა.
• „მომხმარებლის მონაცემები“ ნიშნავს ნებისმიერ პერსონალურ მონაცემს, რომელიც წარდგენილია კონტროლიორის მიერ ან მისი სახელით სერვისებისთვის, ან დამუშავებულია დამმუშავებლის მიერ კონტროლიორის სახელით სერვისებთან დაკავშირებით.
• „ქვეპროცესორი“ ნიშნავს ნებისმიერ მესამე მხარეს, რომელსაც დამმუშავებელი იყენებს კონტროლიორის წინასწარი ნებართვით (როგორც აღწერილია მე-7 პუნქტში), რათა დაამუშაოს მომხმარებლის მონაცემები კონტროლიორის სახელით.
• „SCC“ ნიშნავს Standard GDPR-ის შესაბამისად პერსონალური მონაცემების მესამე ქვეყნებში გადაცემის სახელშეკრულებო პუნქტები, დამტკიცებული ევროკომისიის მიერcis2021 წლის 4 ივნისის (EU) 2021/914 რეგულაცია.
• "მომსახურება" ნიშნავს application security posture management, software supply chain security, დაუცველობის აღმოჩენა და მასთან დაკავშირებული სერვისები, რომლებსაც Xygeni კონტროლერს ძირითადი შეთანხმების ფარგლებში უზრუნველყოფს.
• „მოქმედი მონაცემთა დაცვის კანონი“ ნიშნავს GDPR-ს, LOPDGDD-ს და ნებისმიერ სხვა მოქმედ ეროვნულ მონაცემთა დაცვის კანონმდებლობას, რომელიც დროდადრო შესწორებულია.

2. მხარეთა როლები

მხარეები აღიარებენ და თანხმდებიან, რომ:

• კონტროლიორი მოქმედებს როგორც მონაცემთა კონტროლიორი მომხმარებლის მონაცემებთან დაკავშირებით და პასუხისმგებელია სერვისებისთვის წარდგენილი მომხმარებლის მონაცემების დამუშავების მიზნებისა და საშუალებების განსაზღვრაზე.
• დამმუშავებელი მოქმედებს როგორც მონაცემთა დამმუშავებელი მომხმარებლის მონაცემებთან დაკავშირებით და ამუშავებს ასეთ მონაცემებს მხოლოდ კონტროლიორის სახელით და დოკუმენტირებული ინსტრუქციების შესაბამისად.
• თითოეული მხარე, როგორც კონტროლიორი ან დამმუშავებელი, ვალდებულია დაიცვას მონაცემთა დაცვის შესახებ მოქმედი კანონმდებლობით გათვალისწინებული შესაბამისი ვალდებულებები.

იმ შემთხვევაში, თუ Xygeni ამუშავებს პერსონალურ მონაცემებს საკუთარი მიზნებისთვის (მაგ., ანგარიშის მართვა, ანგარიშსწორება, მომსახურების გაუმჯობესების ანალიტიკა), ის მოქმედებს როგორც დამოუკიდებელი კონტროლიორი. ასეთი დამუშავება რეგულირდება Xygeni-ის კონფიდენციალურობის პოლიტიკით და სცილდება ამ DPA-ს ფარგლებს.

3. დამუშავების საგანი, ხასიათი და მიზანი

დამუშავების საგანი, ხასიათი, ხანგრძლივობა და მიზანი, ასევე დამუშავებული პერსონალური მონაცემების ტიპები და მონაცემთა სუბიექტების კატეგორიები, მოცემულია ამ DPA-ს დანართ 1-ში (დამუშავების დეტალები).

დამმუშავებელი მომხმარებლის მონაცემებს მხოლოდ იმ ფარგლებში დაამუშავებს, რაც აუცილებელია ძირითად ხელშეკრულებაში აღწერილი მომსახურების უზრუნველსაყოფად და კონტროლიორის დოკუმენტირებული ინსტრუქციების შესაბამისად, თუ ამას მოქმედი კანონმდებლობა არ მოითხოვს. ასეთ შემთხვევაში, დამმუშავებელი დამუშავებამდე აცნობებს კონტროლიორს ამ სამართლებრივი მოთხოვნის შესახებ, თუ ეს კანონით არ არის აკრძალული საზოგადოებრივი ინტერესების მნიშვნელოვანი მიზეზების გამო.

4. კონტროლერის ინსტრუქციები

კონტროლიორი ავალებს დამმუშავებელს, დაამუშაოს მომხმარებლის მონაცემები საჭიროებისამებრ: (ა) მომსახურების მიწოდება ძირითადი შეთანხმების შესაბამისად; (ბ) კონტროლიორის მიერ დროდადრო წერილობით გადაცემული ინსტრუქციების შესრულება; და (გ) ამ DPA-ს შესაბამისად დამმუშავებლის ვალდებულებების შესრულება.

დამმუშავებელი დაუყოვნებლივ აცნობებს კონტროლერს, თუ დამმუშავებლის გონივრული აზრით, კონტროლერის მითითება არღვევს მონაცემთა დაცვის მოქმედ კანონმდებლობას. ასეთ შემთხვევაში, დამმუშავებელს უფლება აქვს შეწყვიტოს დამუშავება ასეთი ინსტრუქციის შესაბამისად, სანამ კონტროლერი არ განმარტავს ან არ შეცვლის ინსტრუქციას.

კონტროლიორი იძლევა გარანტიას და აცხადებს, რომ: (ა) მას აქვს GDPR-ის მე-6 მუხლის (და, შესაბამის შემთხვევაში, მე-9 მუხლის) შესაბამისად მოქმედი სამართლებრივი საფუძველი შესაბამისი პერსონალური მონაცემების დასამუშავებლად; (ბ) მან მიაწოდა ყველა საჭირო შეტყობინება და მიიღო ყველა საჭირო თანხმობა; და (გ) მომხმარებლის მონაცემების დამმუშავებლისთვის გადაცემა არ არღვევს არცერთ მოქმედ კანონს.

5. დამმუშავებლის ვალდებულებები

5.1 დამუშავების შეზღუდვები

დამმუშავებელი მომხმარებლის მონაცემებს მხოლოდ კონტროლიორის დოკუმენტირებული ინსტრუქციების შესაბამისად დაამუშავებს, თუ ამას ევროკავშირის ან წევრი სახელმწიფოს მოქმედი კანონმდებლობა არ მოითხოვს. დამმუშავებელი მომხმარებლის მონაცემებს საკუთარი მიზნებისთვის არ დაამუშავებს ან მესამე მხარეებს არ გაუმჟღავნებს, გარდა იმ შემთხვევებისა, როდესაც ეს აუცილებელია მომსახურების გასაწევად ან კანონით გათვალისწინებული შემთხვევებისა.

5.2 კონფიდენციალურობა

დამმუშავებელი ვალდებულია უზრუნველყოს, რომ მომხმარებლის მონაცემების დამუშავების უფლებამოსილ პირებს ჰქონდეთ commitკონფიდენციალურობის დაცვაზე უარი თქვეს ან კონფიდენციალურობის დაცვის შესაბამისი საკანონმდებლო ვალდებულების ქვეშ იმყოფებიან. მომხმარებლის მონაცემებზე წვდომა შეზღუდულია იმ თანამშრომლებით, კონტრაქტორებითა და სუბპროცესორებით, რომლებსაც წვდომა სჭირდებათ მომსახურების გაწევის მიზნით.

5.3 უსაფრთხოების ზომები

დამმუშავებელი ვალდებულია განახორციელოს და შეინარჩუნოს შესაბამისი ტექნიკური და ორგანიზაციული ზომები მომხმარებლის მონაცემების დასაცავად არაავტორიზებული ან უკანონო დამუშავებისგან და შემთხვევითი დაკარგვის, განადგურების, დაზიანების, შეცვლის ან გამჟღავნებისგან, შემდეგი ფაქტორების გათვალისწინებით:

• არსებული მდგომარეობა და განხორციელების ხარჯები;
• დამუშავების ბუნება, ფარგლები, კონტექსტი და მიზნები;
• ფიზიკური პირების უფლებებისა და თავისუფლებებისთვის საფრთხეები, კერძოდ, გადაცემული, შენახული ან სხვაგვარად დამუშავებული მომხმარებლის მონაცემების შემთხვევითი ან უკანონო განადგურების, დაკარგვის, შეცვლის, არაავტორიზებული გამჟღავნების ან მათზე წვდომის შედეგად.

ასეთი ზომები, სულ მცირე, უნდა მოიცავდეს ამ DPA-ს მე-2 დანართში (ტექნიკური და ორგანიზაციული უსაფრთხოების ზომები) მითითებულ ზომებს. დამმუშავებლის ISO 27001 სერტიფიკატი წარმოადგენს ინფორმაციული უსაფრთხოების მართვის საბაზისო სისტემის დადასტურებას. დამმუშავებელმა უნდა შეინარჩუნოს ISO 27001 სერტიფიკატი ან მისი ეკვივალენტი ამ DPA-ს მთელი ვადის განმავლობაში.

5.4 მონაცემთა სუბიექტის უფლებები

დამმუშავებელი ვალდებულია, დამუშავების ხასიათის გათვალისწინებით, დაეხმაროს კონტროლიორს შესაბამისი ტექნიკური და ორგანიზაციული ზომებით, რამდენადაც ეს შესაძლებელია, რათა შეასრულოს კონტროლიორის ვალდებულება, უპასუხოს მოთხოვნებს.cisმონაცემთა სუბიექტების უფლებების დაცვა მონაცემთა დაცვის შესახებ მოქმედი კანონმდებლობის შესაბამისად (მათ შორის, GDPR-ის 15–22 მუხლების შესაბამისად, წვდომის, გასწორების, წაშლის, შეზღუდვის, პორტაბელურობისა და წინააღმდეგობის უფლებები).

დამმუშავებელი ვალდებულია: (ა) დაუყოვნებლივ აცნობოს კონტროლიორს, თუ დამმუშავებელი მიიღებს მოთხოვნას მონაცემთა სუბიექტისგან მომხმარებლის მონაცემებთან დაკავშირებით; (ბ) არ უპასუხოს ასეთ მოთხოვნებს კონტროლიორის დოკუმენტირებული ინსტრუქციების გარეშე ან მოქმედი კანონმდებლობით მოთხოვნილი შემთხვევების გარდა; და (გ) უზრუნველყოს კონტროლიორი გონივრული დახმარებით ასეთ მოთხოვნებზე პასუხის გასაცემად კანონით გათვალისწინებული ვადების ფარგლებში (30 დღე GDPR-ის მე-12 მუხლის შესაბამისად).

5.5 კონტროლიორის ვალდებულებების შესრულებაში დახმარება

დამმუშავებელი ვალდებულია დაეხმაროს კონტროლიორს GDPR-ის 32-36-ე მუხლებით გათვალისწინებული ვალდებულებების შესრულების უზრუნველყოფაში, დამუშავების ხასიათისა და დამმუშავებლისთვის ხელმისაწვდომი ინფორმაციის გათვალისწინებით, მათ შორის:

• დამუშავების უსაფრთხოება (მუხ. 32);
• პერსონალური მონაცემების დარღვევის შესახებ საზედამხედველო ორგანოსთვის შეტყობინება და მონაცემთა სუბიექტებისთვის შეტყობინება (მუხლები 33–34);
• მონაცემთა დაცვაზე ზემოქმედების შეფასებები და წინასწარი კონსულტაცია (მუხლები 35–36).

5.6 მონაცემების წაშლა ან დაბრუნება

ძირითადი შეთანხმების შეწყვეტის ან ვადის გასვლის შემდეგ, ან კონტროლიორის მოთხოვნის შემთხვევაში, დამმუშავებელი, კონტროლიორის არჩევანით, წაშლის ან დაუბრუნებს კონტროლიორს მის მფლობელობაში არსებული ყველა მომხმარებლის მონაცემი და წაშლის არსებულ ასლებს, თუ ევროკავშირის ან წევრი სახელმწიფოს შესაბამისი კანონმდებლობა არ მოითხოვს პერსონალური მონაცემების შენახვას. დამმუშავებელი წერილობით ადასტურებს წაშლის დასრულებას შესაბამისი ტრიგერიდან 30 დღის განმავლობაში.

პროცესორის standard მონაცემთა შენახვის გრაფიკი (მითითებულია დანართ 1-ში) გამოიყენება, თუ კონტროლიორი უფრო ადრე არ მოითხოვს წაშლას.

5.7 შესაბამისობის აუდიტი და დემონსტრირება

დამმუშავებელი ვალდებულია კონტროლიორს მიაწოდოს ყველა ის ინფორმაცია, რაც აუცილებელია ამ DPA-ში მითითებული ვალდებულებების შესრულების დასადასტურებლად და დაუშვას და წვლილი შეიტანოს აუდიტებში, მათ შორის ინსპექტირებაში, რომლებსაც ატარებს კონტროლიორი ან კონტროლიორის მიერ დავალებული აუდიტორი.

დამმუშავებელს შეუძლია შეასრულოს ეს ვალდებულება შემდეგი მიწოდებით:

• მისი მოქმედი ISO 27001 სერტიფიკატის ან SOC 2 ტიპი II ანგარიშის ასლი (მიღების შემდეგ);
• კონტროლიორის უსაფრთხოების კითხვარის შევსება (მიღებიდან 10 სამუშაო დღის განმავლობაში);
• გონივრული ადგილზე აუდიტის ჩატარება 30 დღით ადრე წერილობითი შეტყობინებით, კონტროლიორის ხარჯებით, კალენდარული წლის განმავლობაში არა უმეტეს ერთხელ (თუ არ არსებობს შეუსაბამობის საფუძვლიანი ეჭვი).

6. პერსონალური მონაცემების დარღვევის შესახებ შეტყობინება

დამმუშავებელი ვალდებულია დაუყოვნებლივ აცნობოს კონტროლერს და ნებისმიერ შემთხვევაში, მომხმარებლის მონაცემებზე ზემოქმედების შესახებ პერსონალური მონაცემების დარღვევის შესახებ ინფორმაციის მიღებიდან 48 საათის განმავლობაში. ასეთი შეტყობინება, იმ დროისთვის ხელმისაწვდომი ზომით, უნდა მოიცავდეს:

• პერსონალური მონაცემების დარღვევის ხასიათის აღწერა, მათ შორის შესაბამისი მონაცემთა სუბიექტების კატეგორიები და სავარაუდო რაოდენობა, ასევე შესაბამისი პერსონალური მონაცემების ჩანაწერების კატეგორიები და სავარაუდო რაოდენობა;
• მონაცემთა დაცვის ოფიცრის ან სხვა საკონტაქტო პირის სახელი და საკონტაქტო ინფორმაცია, საიდანაც შესაძლებელია დამატებითი ინფორმაციის მიღება;
• პერსონალური მონაცემების დარღვევის სავარაუდო შედეგების აღწერა;
• პერსონალური მონაცემების დარღვევის მოსაგვარებლად მიღებული ან განსახორციელებელი ზომების აღწერა, მათ შორის, საჭიროების შემთხვევაში, მისი შესაძლო უარყოფითი შედეგების შესამცირებლად ზომები.

იმ შემთხვევაში, თუ შეუძლებელია ყველა ზემოაღნიშნული ინფორმაციის ერთდროულად მიწოდება, ინფორმაცია შეიძლება მიეწოდოს ეტაპობრივად, გაუმართლებელი შემდგომი დაგვიანების გარეშე. დამმუშავებელი ვალდებულია ითანამშრომლოს კონტროლიორთან და მიიღოს ისეთი გონივრული ნაბიჯები, რომლებიც შეიძლება მოითხოვოს კონტროლიორმა დარღვევის გამოძიების, შემცირებისა და გამოსწორების საქმეში დასახმარებლად.

მხარეები აღიარებენ, რომ GDPR-ის 33-ე მუხლით გათვალისწინებული ვალდებულება, პერსონალური მონაცემების დარღვევის შესახებ შეტყობინებიდან 72 საათის განმავლობაში აცნობოს კომპეტენტურ საზედამხედველო ორგანოს (Agencia Española de Protección de Datas — AEPD ან სხვა შესაბამისი ორგანო) ეკისრება კონტროლიორს, როგორც მონაცემთა კონტროლიორს. ამ პუნქტის შესაბამისად, დამმუშავებლის მიერ კონტროლიორისთვის შეტყობინების მიზანია კონტროლიორისთვის ამ მარეგულირებელი ვალდებულების შესრულების უზრუნველყოფა. დამმუშავებლის მიერ შეტყობინება არ წარმოადგენს ბრალეულობის ან პასუხისმგებლობის აღიარებას.

7. სუბპროცესორები

7.1 ზოგადი ავტორიზაცია

კონტროლიორი ანიჭებს დამმუშავებელს ზოგად უფლებამოსილებას, ჩართოს სუბ-პროცესორები, რომლებიც ჩამოთვლილია დანართ 3-ში (დამტკიცებული სუბ-პროცესორები) ამ მონაცემთა დაცვის შესახებ ხელშეკრულებაში. დამმუშავებელი თითოეულ სუბ-პროცესორს დააკისრებს მონაცემთა დაცვის ვალდებულებებს, რომლებიც ექვივალენტურია ამ მონაცემთა დაცვის ხელშეკრულებაში მითითებული ვალდებულებებისა, კერძოდ, უზრუნველყოფს საკმარის გარანტიებს შესაბამისი ტექნიკური და ორგანიზაციული ზომების განსახორციელებლად.

7.2 ცვლილებები ქვე-დამმუშავებლებისთვის

დამმუშავებელი ვალდებულია აცნობოს კონტროლიორს ქვე-დამმუშავებლების დამატებასთან ან ჩანაცვლებასთან დაკავშირებული ნებისმიერი დაგეგმილი ცვლილების შესახებ შემდეგი გზით: (ა) განახლებული ქვე-დამმუშავებელთა სია https://xygeni.io/legal/subprocessors-ზე განახლებული „ბოლო განახლების“ თარიღით; და (ბ) კონტროლერისთვის წერილობითი შეტყობინების მიწოდებით ცვლილების ძალაში შესვლამდე სულ მცირე ათი (10) დღით ადრე. კონტროლერს შეუძლია გააპროტესტოს ცვლილება მონაცემთა დაცვის გონივრული საფუძვლებით ასეთი შეტყობინებიდან შვიდი (7) დღის განმავლობაში. თუ კონტროლიორი წინააღმდეგია და მხარეები ვერ გადაჭრიან წინააღმდეგობას, კონტროლერს შეუძლია შეწყვიტოს ძირითადი შეთანხმება გონივრული შეტყობინების საფუძველზე ჯარიმის გარეშე.

თუ დამმუშავებელი დაიქირავებს სუბ-დამმუშავებელს, დამმუშავებელი სრულად იქნება პასუხისმგებელი კონტროლიორის წინაშე ამ სუბ-დამმუშავებლის ვალდებულებების შესრულებაზე იმ შემთხვევაში, თუ სუბ-დამმუშავებელი ვერ შეასრულებს მონაცემთა დაცვის ვალდებულებებს.

7.3 ქვეპროცესორის ნაკადის მოთხოვნები

თითოეული ქვე-დამმუშავებლისთვის, დამმუშავებელი ვალდებულია:

• ქვე-პროცესორის დაქირავებამდე ჩაატაროს შესაბამისი სათანადო შემოწმება;
• დადოს წერილობითი შეთანხმება მონაცემთა დამუშავების შესახებ, რომელიც აწესებს მონაცემთა დაცვის ვალდებულებებს, რომლებიც არანაკლებ დამცავ ვალდებულებებს წარმოადგენს, ვიდრე ეს მონაცემთა დაცვის ამ მონაცემთა მონაცემთა პაკეტშია მოცემული;
• უზრუნველყოს, რომ ქვე-დამმუშავებლის უსაფრთხოების ზომები სულ მცირე 5.3 პუნქტითა და მე-2 დანართით გათვალისწინებული მოთხოვნების ეკვივალენტური იყოს;
• მოიცავს დარღვევის შესახებ შეტყობინების ვალდებულებებს, რომლებიც ქვე-დამმუშავებელს ავალდებულებს, აცნობოს დამმუშავებელს პერსონალური მონაცემების დარღვევის შესახებ შეტყობინებიდან 24 საათის განმავლობაში, რათა დამმუშავებელმა შეასრულოს კონტროლიორისთვის 48-საათიანი შეტყობინების ვალდებულება.

8. საერთაშორისო ტრანსფერები

დამმუშავებელი არ გადასცემს მომხმარებლის მონაცემებს ევროპის ეკონომიკური ზონის (EEA) გარეთ მდებარე ქვეყანაში, თუ:

• ევროკომისიამ მიიღო ადეკვატურობის დეკლარაციაcisამ ქვეყნისთვის GDPR-ის 45-ე მუხლის შესაბამისად; ან
• GDPR-ის 46-ე მუხლის შესაბამისად, დანერგილია შესაბამისი დამცავი ზომები, მათ შორის, მაგრამ არა მხოლოდ Standard ევროკომისიის მიერ მიღებული სახელშეკრულებო პუნქტები, განმახორციელებელი დეcis2021 წლის 4 ივნისის (EU) 2021/914 („SCC“).

იმ შემთხვევაში, თუ საჭიროა SCC, დამმუშავებელი, კონტროლიორის მოთხოვნის შემთხვევაში, შეასრულებს შესაბამის SCC-ებს კონტროლერთან და/ან შესაბამის ქვეპროცესორთან. SCC-ების შესაბამისი მოდული იქნება მეორე მოდული (კონტროლერიდან პროცესორამდე) კონტროლერიდან პროცესორზე გადარიცხვებისთვის და მესამე მოდული (პროცესორიდან ქვეპროცესორამდე) პროცესორის მიერ ქვეპროცესორებზე შემდგომი გადარიცხვებისთვის.

SCC-ების მიზნებისთვის კომპეტენტური საზედამხედველო ორგანოა ესპანეთის მონაცემთა დაცვის სააგენტო (Agencia Española de Protección de Datos — AEPD), თუ წერილობით სხვა რამ არ არის შეთანხმებული.

დამმუშავებელი ვალდებულია შეინახოს და მოთხოვნის შემთხვევაში, კონტროლიორისთვის ხელმისაწვდომი გახადოს მომხმარებლის მონაცემების ყველა საერთაშორისო გადაცემის მიმდინარე ჩანაწერი და თითოეული მათგანისთვის შესაბამისი გადაცემის მექანიზმი.

9. მონაცემთა დაცვაზე ზემოქმედების შეფასებები

იმ შემთხვევაში, თუ დამუშავების აქტივობა, სავარაუდოდ, ფიზიკური პირების უფლებებისა და თავისუფლებებისთვის მაღალ რისკს შექმნის და კონტროლიორი ვალდებულია ჩაატაროს მონაცემთა დაცვაზე ზემოქმედების შეფასება (DPIA) GDPR-ის 35-ე მუხლის შესაბამისად, დამმუშავებელი ვალდებულია უზრუნველყოს კონტროლიორი გონივრული დახმარებითა და ინფორმაციით, რაც აუცილებელია კონტროლიორის მიერ DPIA-ს ჩასატარებლად. დამმუშავებელი ვალდებულია უპასუხოს კონტროლიორის DPIA-სთან დაკავშირებულ გონივრულ მოთხოვნებს 15 სამუშაო დღის განმავლობაში.

10. დამუშავების საქმიანობის ჩანაწერები

დამმუშავებელი ვალდებულია, კონტროლიორის მოთხოვნით, შეინახოს კონტროლიორის სახელით განხორციელებული დამუშავების საქმიანობის ჩანაწერი GDPR-ის 30(2) მუხლის შესაბამისად, მათ შორის: დამმუშავებლისა და ნებისმიერი სუბ-დამმუშავებლის სახელი და საკონტაქტო ინფორმაცია; კონტროლიორის სახელით განხორციელებული დამუშავების კატეგორიები; პერსონალური მონაცემების გადაცემა მესამე ქვეყანაში; და ტექნიკური და ორგანიზაციული უსაფრთხოების ზომების ზოგადი აღწერა.

11. პასუხისმგებლობა

თითოეული მხარის პასუხისმგებლობა მეორის წინაშე ამ მონაცემთა დაცვის ხელშეკრულების შესაბამისად ან მასთან დაკავშირებით ექვემდებარება ძირითად შეთანხმებაში მითითებულ შეზღუდვებსა და გამონაკლისებს. იმ შემთხვევაში, თუ მონაცემთა სუბიექტს მიადგა ზიანი მონაცემთა დაცვის მოქმედი კანონმდებლობის დარღვევის შედეგად, თითოეული მხარე პასუხისმგებელია GDPR-ის 82-83 მუხლების შესაბამისად მისი დამუშავებით გამოწვეული ზიანისთვის. ამ პუნქტში არაფერი ზღუდავს არცერთი მხარის პასუხისმგებლობას მონაცემთა სუბიექტების წინაშე მოქმედი კანონმდებლობის შესაბამისად.

12. ვადა და შეწყვეტა

ეს მონაცემთა დაცვის ხელშეკრულება ძალაში შევა ძირითადი შეთანხმების (ან ამ მონაცემთა დაცვის ხელშეკრულების ხელმოწერის თარიღის, თუ ის უფრო გვიანდელია) და ძალაში დარჩება ძირითადი შეთანხმების მთელი ვადის განმავლობაში. ძირითადი შეთანხმების ნებისმიერი მიზეზით შეწყვეტა ავტომატურად შეწყვეტს ამ მონაცემთა დაცვის ხელშეკრულებას.

შეწყვეტის შემდეგ, დამმუშავებლის ვალდებულებები 5.6 პუნქტით (მონაცემთა წაშლა ან დაბრუნება) ძალაში რჩება და დამმუშავებელი ვალდებულია დაასრულოს მომხმარებლის მონაცემების წაშლა ან დაბრუნება შეწყვეტიდან 30 დღის განმავლობაში. კონფიდენციალურობასთან, პასუხისმგებლობასთან, მარეგულირებელ კანონმდებლობასთან და აუდიტთან დაკავშირებული პუნქტები ასევე ძალაში რჩება შეწყვეტის შემდეგ.

13. მმართველი სამართალი და იურისდიქცია

ეს მონაცემთა დაცვის ხელშეკრულება რეგულირდება და განიმარტება ესპანეთის კანონმდებლობის შესაბამისად. მხარეები ემორჩილებიან მადრიდის სასამართლოების არაექსკლუზიურ იურისდიქციას ამ მონაცემთა დაცვის ხელშეკრულებიდან ან მასთან დაკავშირებით წარმოშობილი ნებისმიერი დავის გადასაჭრელად. იმ შემთხვევაში, თუ ამ მონაცემთა დაცვის ხელშეკრულების რომელიმე დებულება ეწინააღმდეგება SCC-ს, უპირატესობა ენიჭება SCC-ს.

14. სხვადასხვა

სრული შეთანხმება: ეს მონაცემთა მონაცემთა ხელშეკრულება, მის დანართებთან და ძირითად შეთანხმებასთან ერთად, წარმოადგენს მხარეებს შორის სრულ შეთანხმებას წინამდებარე ხელშეკრულების საგანთან დაკავშირებით და ცვლის მონაცემთა დამუშავებასთან დაკავშირებულ ყველა წინა შეთანხმებას, შეთანხმებას ან განცხადებას.

ცვლილებები: ამ DPA-ს შეცვლა შესაძლებელია მხოლოდ ორივე მხარის უფლებამოსილი წარმომადგენლების მიერ ხელმოწერილი წერილობითი შეთანხმებით.

განცალკევება: თუ ამ DPA-ს რომელიმე დებულება ბათილად ან აღუსრულებლად ჩაითვლება, დარჩენილი დებულებები სრულად ძალაში დარჩება.

პრეცედენტი: ამ DPA-სა და დანართებს შორის კონფლიქტის შემთხვევაში, უპირატესობა ენიჭება DPA-ს ძირითად ნაწილს, თუ დანართში სხვა რამ არ არის ცალსახად მითითებული. ამ DPA-სა და SCC-ებს (ასეთის არსებობის შემთხვევაში) შორის კონფლიქტის შემთხვევაში, უპირატესობა ენიჭება SCC-ებს.

დანართი 1 — დამუშავების დეტალები

1. საგანი

დამუშავების საგანია Xygeni-ს მიერ application security posture management, software supply chain security ანალიზი, დაუცველობის გამოვლენა, CI/CD უსაფრთხოების მონიტორინგი და მასთან დაკავშირებული მომსახურება, როგორც ეს აღწერილია ძირითად ხელშეკრულებაში.

2. დამუშავების ხასიათი

მომხმარებლის მონაცემების შეგროვება, ორგანიზება, სტრუქტურირება, შენახვა, ანალიზი, მოძიება, გამოყენება, გამჟღავნება გადაცემის, გასწორების ან კომბინაციის გზით, შეზღუდვა, წაშლა ან განადგურება.

3. დამუშავების მიზანი

მომხმარებლის მონაცემების დამუშავება ხორციელდება მხოლოდ კონტროლიორისთვის მომსახურების მიწოდების მიზნით, მათ შორის: უსაფრთხოების დაუცველობის გამოვლენა და ანგარიშგება; პროგრამული უზრუნველყოფის მიწოდების ჯაჭვის რისკების ანალიზი; CI/CD pipeline security მონიტორინგი; ანომალიების აღმოჩენა; და მომხმარებელთა მხარდაჭერა.

4. დამუშავების ხანგრძლივობა

დამმუშავებელი მომხმარებლის მონაცემებს ძირითადი ხელშეკრულების მოქმედების ვადის განმავლობაში დაამუშავებს. შეწყვეტის შემთხვევაში, დამმუშავებელი მომხმარებლის მონაცემებს გამოწერის დასრულებიდან 3 თვის განმავლობაში შეინარჩუნებს წაშლამდე, თუ კონტროლიორი არ მოითხოვს მის უფრო ადრე წაშლას. საცდელი ანგარიშის მონაცემები საცდელი პერიოდის გასვლიდან 1 თვის განმავლობაში ინახება.

5. პერსონალური მონაცემების ტიპები

6. მონაცემთა სუბიექტების კატეგორიები

მონაცემთა სუბიექტები მოიცავს: თანამშრომლებს, კონტრაქტორებს და კონტროლერის სხვა უფლებამოსილ მომხმარებლებს, რომლებიც წვდებიან სერვისებზე; საცავების კონტრიბუტორებს (დეველოპერები, ბოტების ანგარიშები, შემქმნელები) და pipelineსამსახურების მიერ მონიტორინგის ქვეშ მყოფი; და კონტროლიორის წარმომადგენლები და საკონტაქტო პირები.

7. სპეციალური კატეგორიის მონაცემები

სერვისები არ არის შექმნილი GDPR-ის მე-9 მუხლში განსაზღვრული სპეციალური კატეგორიის პერსონალური მონაცემების დასამუშავებლად. კონტროლიორი იძლევა გარანტიას, რომ ის არ წარუდგენს სერვისებს სპეციალური კატეგორიის პერსონალურ მონაცემებს Xygeni-სთან წინასწარი წერილობითი შეთანხმებისა და შესაბამისი დამატებითი დაცვის ზომების განხორციელების გარეშე.

დანართი 2 — ტექნიკური და ორგანიზაციული უსაფრთხოების ზომები

Xygeni ახორციელებს შემდეგ ტექნიკურ და ორგანიზაციულ ზომებს მომხმარებლის მონაცემების დასაცავად, Xygeni-ის ISO 27001 სერტიფიცირებული ინფორმაციული უსაფრთხოების მართვის სისტემის შესაბამისად:

წვდომის კონტროლის

• როლებზე დაფუძნებული წვდომის კონტროლი (RBAC) ამოქმედდა მომხმარებლის მონაცემების დამმუშავებელ ყველა სისტემაზე.
• მრავალფაქტორიანი ავთენტიფიკაცია (MFA) საჭიროა Xygeni-ის ყველა პერსონალისთვის, რომელიც წვდება წარმოების სისტემებს.
• მინიმალური პრივილეგიების პრინციპი გამოიყენება ყველა მომხმარებლის ანგარიშისთვის; წვდომის უფლებები გადაიხედება კვარტალურად.
• SSH გასაღებზე დაფუძნებული ავტორიზაცია საწარმოო სერვერზე წვდომისთვის; პაროლით ავტორიზაცია გამორთულია.

მონაცემთა შიფრაცია

• მომხმარებლის მონაცემები დაშიფრულია ტრანსპორტირებისას TLS 1.2 ან უფრო მაღალი ვერსიის გამოყენებით.
• მომხმარებლის მონაცემები დაშიფრულია უმოქმედო მდგომარეობაში AES-256-ის ან მისი ეკვივალენტის გამოყენებით.
• დაშიფვრის გასაღებები იმართება AWS Key Management Service (KMS)-ის მეშვეობით.

ქსელის უსაფრთხოება

• AWS Virtual Private Cloud-ში (VPC) განთავსებული საწარმოო სისტემები ქსელის სეგმენტაციით.
• ვებ აპლიკაციების Firewall (WAF) დანერგილია საჯაროდ ხელმისაწვდომი საბოლოო წერტილებისთვის.
• ადგილზეა შეჭრის აღმოჩენისა და პრევენციის სისტემები.
• ინფრასტრუქტურისა და აპლიკაციის ფენების რეგულარული დაუცველობის სკანირება და შეღწევადობის ტესტირება.

Ფიზიკური დაცვა

• მომხმარებლის მონაცემები განთავსებულია AWS მონაცემთა ცენტრებში, რომლებსაც აქვთ SOC 2 Type II და ISO 27001 სერტიფიკატები.
• მონაცემთა ცენტრის ობიექტებზე ფიზიკური წვდომა შეზღუდულია AWS-ის ავტორიზებული პერსონალისთვის, რომლებსაც აქვთ ბიომეტრიული კონტროლი.

ხელმისაწვდომობა და მდგრადობა

• მომხმარებლის ყველა მონაცემის ყოველდღიური ავტომატური სარეზერვო ასლები, რომლებიც ინახება მინიმუმ 7 დღის განმავლობაში.
• სარეზერვო ასლის მთლიანობა პერიოდულად შემოწმებულია.
• Disastაღდგენის პროცედურები ყოველწლიურად დოკუმენტირებული და ტესტირებულია.

ინციდენტების მენეჯმენტი

• უსაფრთხოების ინციდენტებზე რეაგირების გეგმა ყოველწლიურად ინახება და ტესტირდება.
• უსაფრთხოების მოვლენების მონიტორინგი და რეგისტრაცია; გაფრთხილებები განიხილება უსაფრთხოების ოპერაციების ფუნქციის მიერ.
• პერსონალური მონაცემების დარღვევის შესახებ შეტყობინების პროცედურების შემუშავება კონტროლიორისთვის 48-საათიანი შეტყობინების ვალდებულების შესასრულებლად.

პერსონალი

• Xygeni-ის ყველა თანამშრომელი, რომელსაც აქვს მომხმარებლის მონაცემებზე წვდომა, ვალდებულია დაიცვას კონფიდენციალურობის ვალდებულებები.
• უსაფრთხოების ცნობიერების ამაღლების ტრენინგი ყოველწლიურად ტარდება ყველა თანამშრომლისთვის.
• საწარმოო სისტემებზე წვდომის მქონე პერსონალის წარსულის შემოწმება, მოქმედი კანონმდებლობით დაშვებული ფარგლებში.

მესამე მხარის მენეჯმენტი

• ქვე-პროცესორები შეფასდნენ უსაფრთხოების შესაბამისობაზე ჩართულობამდე.
• მონაცემთა დამუშავების შესახებ შეთანხმებები ყველა სუბპროცესორთან.

სერტიფიკაციის

• Xygeni-ს აქვს ISO 27001 სერტიფიკატი (ინფორმაციული უსაფრთხოების მართვის სისტემა).
• Xygeni-ს სურს SOC 2 ტიპის II სერტიფიცირება; სერტიფიკატი კონტროლიორს გადაეცემა დასრულების შემდეგ.