កិច្ចព្រមព្រៀងដំណើរការទិន្នន័យ

ភាគី

កិច្ចព្រមព្រៀងដំណើរការទិន្នន័យ (“DPA” ឬ “កិច្ចព្រមព្រៀង”) នេះត្រូវបានចុះដោយ និងរវាង៖

អ្នកត្រួតពិនិត្យទិន្នន័យ (“អ្នកត្រួតពិនិត្យ” ឬ “អតិថិជន”)

ឧបករណ៍ដំណើរការទិន្នន័យ (“ឧបករណ៍ដំណើរការ” ឬ “Xygeni”):

តទៅនេះ អ្នកគ្រប់គ្រង និងអ្នកដំណើរការ ត្រូវបានគេហៅថាជា "ភាគី" និងហៅជារួមថា "ភាគី"។

DPA នេះបង្កើតជាផ្នែកមួយនៃកិច្ចព្រមព្រៀងសេវាកម្មមេ ឬលក្ខខណ្ឌនៃសេវាកម្ម (“កិច្ចព្រមព្រៀងចម្បង”) រវាងភាគីដែលគ្រប់គ្រងការផ្តល់ដោយ Xygeni នៃសុវត្ថិភាពកម្មវិធីរបស់ខ្លួន និង software supply chain security សេវាកម្ម (ហៅកាត់ថា "សេវាកម្ម")។ ក្នុងករណីមានជម្លោះរវាង DPA នេះ និងកិច្ចព្រមព្រៀងចម្បង DPA នេះនឹងមានអាទិភាពទាក់ទងនឹងបញ្ហាការពារទិន្នន័យ។

1 ។ និយមន័យ

សម្រាប់គោលបំណងនៃ DPA នេះ៖

• "GDPR" មានន័យថា បទប្បញ្ញត្តិ (EU) 2016/679 របស់សភាអឺរ៉ុប និងក្រុមប្រឹក្សាអឺរ៉ុប ចុះថ្ងៃទី 27 ខែមេសា ឆ្នាំ 2016 ស្តីពីការការពារបុគ្គលធម្មជាតិទាក់ទងនឹងដំណើរការទិន្នន័យផ្ទាល់ខ្លួន។
• «ឡូភីឌីជីឌីឌី» មានន័យថា Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales។
• “ទិន្នន័យផ្ទាល់ខ្លួន”, “កំពុងដំណើរការ”, “អ្នកត្រួតពិនិត្យ”, “អ្នកដំណើរការ”, “អ្នកដំណើរការរង”, “ម្ចាស់ទិន្នន័យ”, “អាជ្ញាធរត្រួតពិនិត្យ”, “ការបំពានទិន្នន័យផ្ទាល់ខ្លួន” នឹងមានអត្ថន័យដែលបានកំណត់ចំពោះពួកវានៅក្នុង GDPR។
• "ទិន្នន័យអតិថិជន" មានន័យថា ទិន្នន័យផ្ទាល់ខ្លួនណាមួយដែលដាក់ជូនដោយ ឬក្នុងនាមអ្នកត្រួតពិនិត្យទៅកាន់សេវាកម្ម ឬត្រូវបានដំណើរការដោយអ្នកដំណើរការក្នុងនាមអ្នកត្រួតពិនិត្យទាក់ទងនឹងសេវាកម្ម។
• "ដំណើរការរង" មានន័យថា ភាគីទីបីណាមួយដែលពាក់ព័ន្ធដោយអ្នកដំណើរការ ដោយមានការអនុញ្ញាតជាមុនពីអ្នកត្រួតពិនិត្យ (ដូចដែលបានពិពណ៌នានៅក្នុងប្រការ 7) ដើម្បីដំណើរការទិន្នន័យអតិថិជនក្នុងនាមអ្នកត្រួតពិនិត្យ។
• «អេសស៊ីស៊ី» មានន័យថា Standard ឃ្លាកិច្ចសន្យាសម្រាប់ការផ្ទេរទិន្នន័យផ្ទាល់ខ្លួនទៅកាន់ប្រទេសទីបីស្របតាម GDPR ដូចដែលត្រូវបានអនុម័តដោយគណៈកម្មការអឺរ៉ុបដែលអនុវត្ត Decisអ៊ីយ៉ុង (EU) 2021/914 ចុះថ្ងៃទី 4 ខែមិថុនា ឆ្នាំ 2021។
• “ សេវាកម្ម” មានន័យថា application security posture management, software supply chain securityការរកឃើញភាពងាយរងគ្រោះ និងសេវាកម្មពាក់ព័ន្ធដែលផ្តល់ដោយ Xygeni ដល់អ្នកគ្រប់គ្រងក្រោមកិច្ចព្រមព្រៀងចម្បង។
• «ច្បាប់ការពារទិន្នន័យជាធរមាន» មានន័យថា GDPR, LOPDGDD និងច្បាប់ការពារទិន្នន័យជាតិផ្សេងទៀតដែលអាចអនុវត្តបាន ដែលត្រូវបានធ្វើវិសោធនកម្មជាប្រចាំ។

២. តួនាទីរបស់ភាគីនានា

ភាគីនានាទទួលស្គាល់ និងឯកភាពថា ៖

• អ្នកត្រួតពិនិត្យដើរតួជាអ្នកគ្រប់គ្រងទិន្នន័យទាក់ទងនឹងទិន្នន័យអតិថិជន ហើយទទួលខុសត្រូវក្នុងការកំណត់គោលបំណង និងមធ្យោបាយនៃការដំណើរការទិន្នន័យអតិថិជនដែលបានដាក់ជូនទៅសេវាកម្ម។
• អ្នកដំណើរការដើរតួជាអ្នកដំណើរការទិន្នន័យទាក់ទងនឹងទិន្នន័យអតិថិជន ហើយដំណើរការទិន្នន័យបែបនេះតែក្នុងនាម និងតាមការណែនាំដែលបានកត់ត្រារបស់អ្នកគ្រប់គ្រង។
• ភាគីនីមួយៗត្រូវគោរពតាមកាតព្វកិច្ចរៀងៗខ្លួនក្រោមច្បាប់ការពារទិន្នន័យជាធរមានក្នុងតួនាទីរបស់ខ្លួនជាអ្នកគ្រប់គ្រង ឬអ្នកដំណើរការ។

ក្នុងករណីដែល Xygeni ដំណើរការទិន្នន័យផ្ទាល់ខ្លួនសម្រាប់គោលបំណងផ្ទាល់ខ្លួន (ឧ. ការគ្រប់គ្រងគណនី ការគិតថ្លៃ ការវិភាគកែលម្អសេវាកម្ម) វាដើរតួជាអ្នកគ្រប់គ្រងឯករាជ្យ។ ដំណើរការបែបនេះត្រូវបានគ្រប់គ្រងដោយគោលការណ៍ឯកជនភាពរបស់ Xygeni ហើយវាស្ថិតនៅក្រៅវិសាលភាពនៃ DPA នេះ។

៣. ប្រធានបទ លក្ខណៈ និងគោលបំណងនៃដំណើរការ

ប្រធានបទ លក្ខណៈ រយៈពេល និងគោលបំណងនៃដំណើរការ ក៏ដូចជាប្រភេទទិន្នន័យផ្ទាល់ខ្លួនដែលត្រូវបានដំណើរការ និងប្រភេទនៃប្រធានបទទិន្នន័យ ត្រូវបានកំណត់នៅក្នុងតារាងទី 1 (ព័ត៌មានលម្អិតអំពីដំណើរការ) របស់ DPA នេះ។

អ្នកដំណើរការត្រូវដំណើរការទិន្នន័យអតិថិជនតែក្នុងកម្រិតចាំបាច់ដើម្បីផ្តល់សេវាកម្មដែលបានពិពណ៌នានៅក្នុងកិច្ចព្រមព្រៀងចម្បង និងស្របតាមការណែនាំដែលបានកត់ត្រារបស់អ្នកគ្រប់គ្រង លុះត្រាតែត្រូវបានតម្រូវឱ្យធ្វើដូច្នេះដោយច្បាប់ជាធរមាន។ ក្នុងករណីបែបនេះ អ្នកដំណើរការត្រូវជូនដំណឹងដល់អ្នកគ្រប់គ្រងអំពីតម្រូវការផ្លូវច្បាប់នោះមុនពេលដំណើរការ លុះត្រាតែត្រូវបានហាមឃាត់ដោយច្បាប់ដោយផ្អែកលើមូលដ្ឋានសំខាន់ៗនៃផលប្រយោជន៍សាធារណៈ។

៤. ការណែនាំរបស់អ្នកត្រួតពិនិត្យ

អ្នកត្រួតពិនិត្យណែនាំអ្នកដំណើរការឱ្យដំណើរការទិន្នន័យអតិថិជនតាមការចាំបាច់ដើម្បី៖ (ក) ផ្តល់សេវាកម្មស្របតាមកិច្ចព្រមព្រៀងចម្បង; (ខ) អនុវត្តតាមការណែនាំរបស់អ្នកត្រួតពិនិត្យដែលបានទំនាក់ទំនងជាលាយលក្ខណ៍អក្សរម្តងម្កាល; និង (គ) បំពេញកាតព្វកិច្ចរបស់អ្នកដំណើរការក្រោម DPA នេះ។

អ្នកដំណើរការត្រូវជូនដំណឹងដល់អ្នកគ្រប់គ្រងជាបន្ទាន់ ប្រសិនបើតាមគំនិតសមហេតុផលរបស់អ្នកដំណើរការ ការណែនាំពីអ្នកត្រួតពិនិត្យរំលោភលើច្បាប់ការពារទិន្នន័យជាធរមាន។ ក្នុងករណីបែបនេះ អ្នកដំណើរការមានសិទ្ធិបញ្ឈប់ដំណើរការស្របតាមការណែនាំបែបនេះ រហូតដល់អ្នកត្រួតពិនិត្យបានបញ្ជាក់ ឬកែប្រែការណែនាំ។

អ្នកត្រួតពិនិត្យធានា និងតំណាងថា៖ (ក) ខ្លួនមានមូលដ្ឋានស្របច្បាប់ត្រឹមត្រូវក្រោម GDPR មាត្រា 6 (និង មាត្រា 9 ដែលអាចអនុវត្តបាន) សម្រាប់ដំណើរការទិន្នន័យផ្ទាល់ខ្លួនពាក់ព័ន្ធ; (ខ) ខ្លួនបានផ្តល់ការជូនដំណឹងចាំបាច់ទាំងអស់ និងទទួលបានការយល់ព្រមចាំបាច់ទាំងអស់; និង (គ) ការផ្ទេរទិន្នន័យអតិថិជនទៅអ្នកដំណើរការមិនរំលោភលើច្បាប់ណាមួយដែលអាចអនុវត្តបានទេ។

៥. កាតព្វកិច្ចរបស់អ្នកដំណើរការ

៥.១ ការរឹតបន្តឹងដំណើរការ

អ្នកដំណើរការត្រូវដំណើរការទិន្នន័យអតិថិជនតែតាមការណែនាំដែលបានកត់ត្រារបស់អ្នកត្រួតពិនិត្យ លុះត្រាតែត្រូវបានទាមទារឱ្យធ្វើដូច្នេះដោយច្បាប់សហភាពអឺរ៉ុប ឬរដ្ឋជាសមាជិកដែលអាចអនុវត្តបាន។ អ្នកដំណើរការមិនត្រូវដំណើរការទិន្នន័យអតិថិជនសម្រាប់គោលបំណងផ្ទាល់ខ្លួន ឬបង្ហាញវាទៅភាគីទីបីទេ លើកលែងតែការចាំបាច់ដើម្បីផ្តល់សេវាកម្ម ឬតាមតម្រូវការរបស់ច្បាប់។

5.2 ការសម្ងាត់

អ្នកដំណើរការត្រូវធានាថា បុគ្គលដែលមានការអនុញ្ញាតឱ្យដំណើរការទិន្នន័យអតិថិជនមាន commitត្រូវបានបង្ខំឱ្យរក្សាការសម្ងាត់ ឬស្ថិតនៅក្រោមកាតព្វកិច្ចផ្លូវច្បាប់សមស្របនៃការសម្ងាត់។ ការចូលមើលទិន្នន័យអតិថិជននឹងត្រូវបានកំណត់ចំពោះតែបុគ្គលិក អ្នកម៉ៅការ និងអ្នកដំណើរការរងទាំងនោះដែលត្រូវការចូលប្រើប្រាស់សម្រាប់គោលបំណងផ្តល់សេវាកម្ម។

៥.៣ វិធានការសន្តិសុខ

អ្នកដំណើរការត្រូវអនុវត្ត និងថែរក្សាវិធានការបច្ចេកទេស និងអង្គការសមស្រប ដើម្បីការពារទិន្នន័យអតិថិជនប្រឆាំងនឹងដំណើរការដោយគ្មានការអនុញ្ញាត ឬខុសច្បាប់ និងប្រឆាំងនឹងការបាត់បង់ ការបំផ្លាញ ការខូចខាត ការផ្លាស់ប្តូរ ឬការបង្ហាញដោយចៃដន្យ ដោយគិតគូរពី៖

• ស្ថានភាពទំនើប និងថ្លៃដើមនៃការអនុវត្ត;
• លក្ខណៈ វិសាលភាព បរិបទ និងគោលបំណងនៃដំណើរការ;
• ហានិភ័យចំពោះសិទ្ធិ និងសេរីភាពរបស់បុគ្គលធម្មជាតិ ជាពិសេសពីការបំផ្លាញដោយចៃដន្យ ឬខុសច្បាប់ ការបាត់បង់ ការផ្លាស់ប្តូរ ការបង្ហាញដោយគ្មានការអនុញ្ញាត ឬការចូលប្រើទិន្នន័យអតិថិជនដែលបានបញ្ជូន រក្សាទុក ឬដំណើរការតាមវិធីផ្សេងទៀត។

វិធានការបែបនេះត្រូវរួមបញ្ចូលយ៉ាងហោចណាស់ វិធានការដែលមានចែងក្នុងតារាងទី 2 (វិធានការសន្តិសុខបច្ចេកទេស និងអង្គការ) ចំពោះ DPA នេះ។ វិញ្ញាបនបត្រ ISO 27001 របស់អ្នកដំណើរការទិន្នន័យផ្តល់នូវភស្តុតាងនៃប្រព័ន្ធគ្រប់គ្រងសន្តិសុខព័ត៌មានមូលដ្ឋាន។ អ្នកដំណើរការទិន្នន័យត្រូវរក្សាវិញ្ញាបនបត្រ ISO 27001 ឬវិញ្ញាបនបត្រសមមូលពេញមួយអាណត្តិនៃ DPA នេះ។

៥.៤ សិទ្ធិ​របស់​ម្ចាស់​ទិន្នន័យ

អ្នកដំណើរការត្រូវគិតគូរពីលក្ខណៈនៃដំណើរការ ជួយអ្នកគ្រប់គ្រងដោយវិធានការបច្ចេកទេស និងការរៀបចំសមស្រប ដរាបណាអាចធ្វើទៅបាន ដើម្បីបំពេញកាតព្វកិច្ចរបស់អ្នកគ្រប់គ្រងក្នុងការឆ្លើយតបទៅនឹងសំណើសុំការអនុវត្ត។cisសិទ្ធិរបស់ម្ចាស់ទិន្នន័យក្រោមច្បាប់ការពារទិន្នន័យជាធរមាន (រួមទាំងសិទ្ធិចូលប្រើ ការកែតម្រូវ ការលុប ការរឹតបន្តឹង ការផ្ទេរ និងការជំទាស់ក្រោមមាត្រា 15–22 នៃ GDPR)។

អ្នកដំណើរការត្រូវ៖ (ក) ជូនដំណឹងដល់អ្នកគ្រប់គ្រងជាបន្ទាន់ ប្រសិនបើអ្នកដំណើរការទទួលបានសំណើពីម្ចាស់ទិន្នន័យទាក់ទងនឹងទិន្នន័យអតិថិជន។ (ខ) មិនឆ្លើយតបទៅនឹងសំណើបែបនេះទេ លើកលែងតែមានការណែនាំដែលបានកត់ត្រារបស់អ្នកគ្រប់គ្រង ឬតាមតម្រូវការនៃច្បាប់ជាធរមាន។ និង (គ) ផ្តល់ជំនួយសមហេតុផលដល់អ្នកគ្រប់គ្រងក្នុងការឆ្លើយតបទៅនឹងសំណើបែបនេះក្នុងរយៈពេលកំណត់តាមច្បាប់ជាធរមាន (30 ថ្ងៃក្រោម GDPR មាត្រា 12)។

៥.៥ ជំនួយជាមួយនឹងកាតព្វកិច្ចរបស់អ្នកត្រួតពិនិត្យ

អ្នកដំណើរការត្រូវជួយអ្នកត្រួតពិនិត្យក្នុងការធានាការអនុលោមតាមកាតព្វកិច្ចក្រោមមាត្រា 32–36 នៃ GDPR ដោយគិតគូរពីលក្ខណៈនៃដំណើរការ និងព័ត៌មានដែលមានសម្រាប់អ្នកដំណើរការ រួមទាំងទាក់ទងនឹង៖

• សុវត្ថិភាពនៃដំណើរការ (មាត្រា 32);
• ការជូនដំណឹងអំពីការរំលោភទិន្នន័យផ្ទាល់ខ្លួនទៅកាន់អាជ្ញាធរត្រួតពិនិត្យ និងការទំនាក់ទំនងទៅកាន់ម្ចាស់ទិន្នន័យ (មាត្រា ៣៣-៣៤);
• ការវាយតម្លៃផលប៉ះពាល់នៃការការពារទិន្នន័យ និងការពិគ្រោះយោបល់ជាមុន (មាត្រា ៣៥-៣៦)។

៥.៦ ការលុប ឬការប្រគល់ទិន្នន័យវិញ

នៅពេលបញ្ចប់ ឬផុតកំណត់នៃកិច្ចព្រមព្រៀងចម្បង ឬតាមការស្នើសុំរបស់អ្នកគ្រប់គ្រង អ្នកដំណើរការត្រូវលុប ឬប្រគល់ទិន្នន័យអតិថិជនទាំងអស់ដែលខ្លួនកាន់កាប់ទៅអ្នកគ្រប់គ្រងតាមជម្រើសរបស់អ្នកគ្រប់គ្រង ហើយត្រូវលុបច្បាប់ចម្លងដែលមានស្រាប់ លុះត្រាតែច្បាប់សហភាពអឺរ៉ុប ឬរដ្ឋសមាជិកជាធរមានតម្រូវឱ្យរក្សាទុកទិន្នន័យផ្ទាល់ខ្លួន។ អ្នកដំណើរការត្រូវបញ្ជាក់ពីការបញ្ចប់ការលុបជាលាយលក្ខណ៍អក្សរក្នុងរយៈពេល 30 ថ្ងៃគិតចាប់ពីថ្ងៃចាប់ផ្តើម។

ឧបករណ៍ដំណើរការ standard កាលវិភាគរក្សាទុកទិន្នន័យ (ដែលមានចែងក្នុងកាលវិភាគទី 1) នឹងត្រូវអនុវត្ត លុះត្រាតែអ្នកត្រួតពិនិត្យធ្វើការស្នើសុំលុបមុន។

៥.៧ ការធ្វើសវនកម្ម និងការបង្ហាញពីការអនុលោមតាមច្បាប់

អ្នកដំណើរការត្រូវផ្តល់ជូនអ្នកត្រួតពិនិត្យនូវព័ត៌មានចាំបាច់ទាំងអស់ ដើម្បីបង្ហាញពីការអនុលោមតាមកាតព្វកិច្ចដែលមានចែងក្នុង DPA នេះ ហើយត្រូវអនុញ្ញាត និងចូលរួមចំណែកដល់ការធ្វើសវនកម្ម រួមទាំងការត្រួតពិនិត្យ ដែលធ្វើឡើងដោយអ្នកត្រួតពិនិត្យ ឬអ្នកសវនករដែលត្រូវបានកំណត់ដោយអ្នកត្រួតពិនិត្យ។

អ្នកដំណើរការអាចបំពេញកាតព្វកិច្ចនេះដោយផ្តល់ជូន៖

• ច្បាប់ចម្លងនៃវិញ្ញាបនបត្រ ISO 27001 បច្ចុប្បន្ន ឬរបាយការណ៍ SOC 2 ប្រភេទ II (នៅពេលទទួលបាន)។
• ការបំពេញកម្រងសំណួរសុវត្ថិភាពរបស់អ្នកត្រួតពិនិត្យ (ក្នុងរយៈពេល 10 ថ្ងៃធ្វើការបន្ទាប់ពីទទួលបាន);
• ការធ្វើសវនកម្មនៅនឹងកន្លែងសមហេតុផល បន្ទាប់ពីមានការជូនដំណឹងជាលាយលក្ខណ៍អក្សរជាមុន 30 ថ្ងៃ ដោយចំណាយរបស់អ្នកគ្រប់គ្រង មិនលើសពីម្តងក្នុងមួយឆ្នាំប្រតិទិន (លុះត្រាតែមានការសង្ស័យសមហេតុផលអំពីការមិនអនុលោមតាម)។

៦. ការជូនដំណឹងអំពីការបំពានទិន្នន័យផ្ទាល់ខ្លួន

អ្នកដំណើរការត្រូវជូនដំណឹងដល់អ្នកគ្រប់គ្រងដោយគ្មានការពន្យារពេលដែលមិនចាំបាច់ និងក្នុងករណីណាក៏ដោយ ក្នុងរយៈពេល 48 ម៉ោងបន្ទាប់ពីបានដឹងអំពីការបំពានទិន្នន័យផ្ទាល់ខ្លួនដែលប៉ះពាល់ដល់ទិន្នន័យអតិថិជន។ ការជូនដំណឹងបែបនេះត្រូវរួមបញ្ចូល ក្នុងកម្រិតដែលមាននៅពេលនោះ៖

• ការពិពណ៌នាអំពីលក្ខណៈនៃការបំពានទិន្នន័យផ្ទាល់ខ្លួន រួមទាំងប្រភេទ និងចំនួនប្រហាក់ប្រហែលនៃប្រធានបទទិន្នន័យដែលពាក់ព័ន្ធ និងប្រភេទ និងចំនួនប្រហាក់ប្រហែលនៃកំណត់ត្រាទិន្នន័យផ្ទាល់ខ្លួនដែលពាក់ព័ន្ធ។
• ឈ្មោះ និងព័ត៌មានលម្អិតទំនាក់ទំនងរបស់មន្ត្រីការពារទិន្នន័យ ឬចំណុចទំនាក់ទំនងផ្សេងទៀតដែលអាចទទួលបានព័ត៌មានបន្ថែម។
• ការពិពណ៌នាអំពីផលវិបាកដែលអាចកើតមាននៃការបំពានទិន្នន័យផ្ទាល់ខ្លួន;
• ការពិពណ៌នាអំពីវិធានការដែលបានអនុវត្ត ឬស្នើឡើងដើម្បីដោះស្រាយការបំពានទិន្នន័យផ្ទាល់ខ្លួន រួមទាំងវិធានការដើម្បីកាត់បន្ថយផលប៉ះពាល់អវិជ្ជមានដែលអាចកើតមានរបស់វា ដែលសមស្រប។

ក្នុងករណីដែលមិនអាចផ្តល់ព័ត៌មានទាំងអស់ខាងលើក្នុងពេលដំណាលគ្នា ព័ត៌មានអាចត្រូវបានផ្តល់ជូនជាដំណាក់កាលដោយគ្មានការពន្យារពេលបន្ថែមទៀតដែលមិនចាំបាច់។ អ្នកដំណើរការត្រូវសហការជាមួយអ្នកត្រួតពិនិត្យ និងចាត់វិធានការសមហេតុផលដូចដែលអ្នកត្រួតពិនិត្យអាចត្រូវការ ដើម្បីជួយក្នុងការស៊ើបអង្កេត ការកាត់បន្ថយ និងការកែតម្រូវការរំលោភបំពាន។

ភាគីនានាទទួលស្គាល់ថា កាតព្វកិច្ចក្រោមមាត្រា 33 នៃ GDPR ដើម្បីជូនដំណឹងដល់អាជ្ញាធរត្រួតពិនិត្យមានសមត្ថកិច្ច (Agencia Española de Protección de Datos — AEPD ឬអាជ្ញាធរពាក់ព័ន្ធផ្សេងទៀត) ក្នុងរយៈពេល 72 ម៉ោងបន្ទាប់ពីដឹងអំពីការបំពានទិន្នន័យផ្ទាល់ខ្លួន គឺស្ថិតនៅលើអ្នកគ្រប់គ្រងជាអ្នកគ្រប់គ្រងទិន្នន័យ។ ការជូនដំណឹងរបស់អ្នកដំណើរការទិន្នន័យទៅកាន់អ្នកគ្រប់គ្រងក្រោមប្រការនេះគឺមានបំណងអនុញ្ញាតឱ្យអ្នកគ្រប់គ្រងបំពេញកាតព្វកិច្ចបទប្បញ្ញត្តិនេះ។ ការជូនដំណឹងរបស់អ្នកដំណើរការទិន្នន័យមិនត្រូវបង្កើតជាការទទួលស្គាល់កំហុស ឬការទទួលខុសត្រូវឡើយ។

៧. អ្នកដំណើរការរង

៧.១ ការអនុញ្ញាតទូទៅ

អ្នកត្រួតពិនិត្យផ្តល់ការអនុញ្ញាតទូទៅដល់អ្នកដំណើរការដើម្បីជួលអ្នកដំណើរការរងដូចដែលបានរាយក្នុងតារាងទី 3 (អ្នកដំណើរការរងដែលត្រូវបានអនុម័ត) ទៅ DPA នេះ។ អ្នកដំណើរការត្រូវដាក់កាតព្វកិច្ចការពារទិន្នន័យរបស់អ្នកដំណើរការរងនីមួយៗស្មើនឹងកាតព្វកិច្ចដែលមានចែងក្នុង DPA នេះ ជាពិសេសការផ្តល់ការធានាគ្រប់គ្រាន់ដើម្បីអនុវត្តវិធានការបច្ចេកទេស និងអង្គការសមស្រប។

៧.២ ការផ្លាស់ប្តូរចំពោះអ្នកដំណើរការរង

អ្នកដំណើរការត្រូវជូនដំណឹងដល់អ្នកគ្រប់គ្រងអំពីការផ្លាស់ប្តូរណាមួយដែលមានបំណងទាក់ទងនឹងការបន្ថែម ឬការជំនួសអ្នកដំណើរការរងដោយ៖ (ក) ធ្វើបច្ចុប្បន្នភាពបញ្ជីអ្នកដំណើរការរងដែលបានបោះពុម្ពផ្សាយនៅ https://xygeni.io/legal/subprocessors ជាមួយនឹងកាលបរិច្ឆេទ "ធ្វើបច្ចុប្បន្នភាពចុងក្រោយ" ដែលបានកែសម្រួល។ និង (ខ) ផ្តល់ការជូនដំណឹងជាលាយលក្ខណ៍អក្សរទៅកាន់អ្នកគ្រប់គ្រងយ៉ាងហោចណាស់ដប់ (10) ថ្ងៃមុនពេលការផ្លាស់ប្តូរចូលជាធរមាន។ អ្នកគ្រប់គ្រងអាចជំទាស់នឹងការផ្លាស់ប្តូរដោយផ្អែកលើមូលដ្ឋានការពារទិន្នន័យសមហេតុផលក្នុងរយៈពេលប្រាំពីរ (7) ថ្ងៃបន្ទាប់ពីការជូនដំណឹងបែបនេះ។ ប្រសិនបើអ្នកគ្រប់គ្រងជំទាស់ ហើយភាគីនានាមិនអាចដោះស្រាយការជំទាស់បានទេ អ្នកគ្រប់គ្រងអាចបញ្ចប់កិច្ចព្រមព្រៀងចម្បងដោយការជូនដំណឹងសមហេតុផលដោយគ្មានការពិន័យ។

ប្រសិនបើអ្នកដំណើរការជួលអ្នកដំណើរការរង អ្នកដំណើរការនឹងនៅតែទទួលខុសត្រូវទាំងស្រុងចំពោះអ្នកត្រួតពិនិត្យចំពោះការអនុវត្តកាតព្វកិច្ចរបស់អ្នកដំណើរការរងនោះ រហូតដល់កម្រិតដែលអ្នកដំណើរការរងបរាជ័យក្នុងការបំពេញកាតព្វកិច្ចការពារទិន្នន័យរបស់ខ្លួន។

៧.៣ តម្រូវការ​លំហូរ​ចុះក្រោម​របស់​អ្នកដំណើរការ​រង

សម្រាប់អនុដំណើរការនីមួយៗ អ្នកដំណើរការត្រូវ៖

• ធ្វើការស៊ើបអង្កេតឲ្យបានហ្មត់ចត់មុនពេលជួលអ្នកដំណើរការរង។
• ចូលទៅក្នុងកិច្ចព្រមព្រៀងដំណើរការទិន្នន័យជាលាយលក្ខណ៍អក្សរ ដែលដាក់ចេញនូវកាតព្វកិច្ចការពារទិន្នន័យមិនតិចជាងកាតព្វកិច្ចដែលមាននៅក្នុង DPA នេះទេ។
• ធានាថាវិធានការសន្តិសុខរបស់អ្នកដំណើរការរងគឺយ៉ាងហោចណាស់ស្មើនឹងវិធានការដែលតម្រូវដោយប្រការ 5.3 និងតារាងទី 2;
• រួមបញ្ចូលកាតព្វកិច្ចជូនដំណឹងអំពីការរំលោភបំពានដែលតម្រូវឱ្យអ្នកដំណើរការរងជូនដំណឹងដល់អ្នកដំណើរការក្នុងរយៈពេល 24 ម៉ោងបន្ទាប់ពីបានដឹងអំពីការរំលោភទិន្នន័យផ្ទាល់ខ្លួន ដើម្បីឱ្យអ្នកដំណើរការអាចបំពេញកាតព្វកិច្ចជូនដំណឹងរយៈពេល 48 ម៉ោងរបស់ខ្លួនទៅកាន់អ្នកត្រួតពិនិត្យ។

8. ការផ្ទេរអន្តរជាតិ

អ្នកដំណើរការមិនត្រូវផ្ទេរទិន្នន័យអតិថិជនទៅកាន់ប្រទេសនៅខាងក្រៅតំបន់សេដ្ឋកិច្ចអឺរ៉ុប (EEA) ទេ លុះត្រាតែ៖

• គណៈកម្មការអឺរ៉ុបបានអនុម័តច្បាប់ស្តីពីភាពគ្រប់គ្រាន់cisសម្រាប់ប្រទេសនោះក្រោមមាត្រា ៤៥ នៃ GDPR; ឬ
• វិធានការការពារសមស្របត្រូវបានអនុវត្តស្របតាមមាត្រា 46 នៃ GDPR រួមទាំងប៉ុន្តែមិនកំណត់ចំពោះ Standard ឃ្លាកិច្ចសន្យាដែលបានអនុម័តដោយគណៈកម្មការអឺរ៉ុបសម្រាប់ការអនុវត្ត Decision (EU) 2021/914 ចុះថ្ងៃទី 4 ខែមិថុនា ឆ្នាំ 2021 (“SCCs”)។

ក្នុងករណីដែល SCC ត្រូវបានទាមទារ អ្នកដំណើរការត្រូវ តាមការស្នើសុំរបស់អ្នកគ្រប់គ្រង អនុវត្ត SCC ដែលអាចអនុវត្តបានជាមួយអ្នកគ្រប់គ្រង និង/ឬជាមួយអនុដំណើរការដែលពាក់ព័ន្ធ។ ម៉ូឌុលដែលអាចអនុវត្តបាននៃ SCC ត្រូវតែជាម៉ូឌុលទីពីរ (ឧបករណ៍បញ្ជាទៅឧបករណ៍ដំណើរការ) សម្រាប់ការផ្ទេរពីឧបករណ៍បញ្ជាទៅឧបករណ៍ដំណើរការ និងម៉ូឌុលទីបី (ឧបករណ៍ដំណើរការទៅឧបករណ៍ដំណើរការរង) សម្រាប់ការផ្ទេរបន្តដោយឧបករណ៍ដំណើរការទៅឧបករណ៍ដំណើរការរង។

អាជ្ញាធរត្រួតពិនិត្យមានសមត្ថកិច្ចសម្រាប់គោលបំណងរបស់ SCC គឺទីភ្នាក់ងារការពារទិន្នន័យអេស្ប៉ាញ (Agencia Española de Protección de Datos — AEPD) លុះត្រាតែមានការព្រមព្រៀងគ្នាជាលាយលក្ខណ៍អក្សរផ្សេងពីនេះ។

អ្នកដំណើរការត្រូវរក្សា និងផ្តល់ជូនអ្នកត្រួតពិនិត្យ តាមការស្នើសុំ នូវកំណត់ត្រាបច្ចុប្បន្ននៃការផ្ទេរទិន្នន័យអតិថិជនអន្តរជាតិទាំងអស់ និងយន្តការផ្ទេរដែលអាចអនុវត្តបានសម្រាប់ទិន្នន័យនីមួយៗ។

៩. ការវាយតម្លៃផលប៉ះពាល់នៃការការពារទិន្នន័យ

ក្នុងករណីដែលសកម្មភាពដំណើរការទំនងជាបណ្តាលឱ្យមានហានិភ័យខ្ពស់ដល់សិទ្ធិ និងសេរីភាពរបស់បុគ្គលធម្មជាតិ ហើយអ្នកត្រួតពិនិត្យត្រូវបានតម្រូវឱ្យអនុវត្តការវាយតម្លៃផលប៉ះពាល់ការពារទិន្នន័យ (DPIA) ក្រោមមាត្រា 35 នៃ GDPR អ្នកដំណើរការត្រូវផ្តល់ជំនួយ និងព័ត៌មានសមហេតុផលដល់អ្នកត្រួតពិនិត្យតាមការចាំបាច់ដើម្បីឱ្យអ្នកត្រួតពិនិត្យអាចអនុវត្ត DPIA ។ អ្នកដំណើរការត្រូវឆ្លើយតបទៅនឹងសំណើទាក់ទងនឹង DPIA សមហេតុផលរបស់អ្នកត្រួតពិនិត្យក្នុងរយៈពេល 15 ថ្ងៃធ្វើការ។

១០. កំណត់ត្រានៃសកម្មភាពដំណើរការ

អ្នកដំណើរការត្រូវរក្សាទុក តាមការស្នើសុំរបស់អ្នកគ្រប់គ្រង នូវកំណត់ត្រានៃសកម្មភាពដំណើរការដែលបានអនុវត្តក្នុងនាមអ្នកគ្រប់គ្រង ស្របតាមមាត្រា 30(2 នៃ GDPR) រួមមាន៖ ឈ្មោះ និងព័ត៌មានទំនាក់ទំនងរបស់អ្នកដំណើរការ និងអ្នកដំណើរការរងណាមួយ; ប្រភេទនៃដំណើរការដែលអនុវត្តក្នុងនាមអ្នកគ្រប់គ្រង; ការផ្ទេរទិន្នន័យផ្ទាល់ខ្លួនទៅប្រទេសទីបី; និងការពិពណ៌នាទូទៅអំពីវិធានការសន្តិសុខបច្ចេកទេស និងអង្គការ។

11. ការទទួលខុសត្រូវ

ការទទួលខុសត្រូវរបស់ភាគីនីមួយៗចំពោះភាគីម្ខាងទៀតក្រោម ឬទាក់ទងនឹង DPA នេះ នឹងត្រូវស្ថិតនៅក្រោមដែនកំណត់ និងការដកចេញដែលមានចែងក្នុងកិច្ចព្រមព្រៀងចម្បង។ ក្នុងករណីដែលម្ចាស់ទិន្នន័យបានរងការខូចខាតជាលទ្ធផលនៃដំណើរការដែលរំលោភលើច្បាប់ការពារទិន្នន័យជាធរមាន ភាគីនីមួយៗត្រូវទទួលខុសត្រូវចំពោះការខូចខាតដែលបណ្តាលមកពីដំណើរការរបស់ខ្លួនដែលរំលោភលើ GDPR ស្របតាមមាត្រា 82–83 នៃ GDPR។ គ្មានអ្វីនៅក្នុងប្រការនេះកំណត់ការទទួលខុសត្រូវរបស់ភាគីណាមួយចំពោះម្ចាស់ទិន្នន័យក្រោមច្បាប់ជាធរមាននោះទេ។

12 ។ រយៈពេលនិងការបញ្ចប់។

កិច្ចព្រមព្រៀង​នេះ​នឹង​ចាប់ផ្តើម​នៅ​ថ្ងៃ​នៃ​កិច្ចព្រមព្រៀង​ចម្បង (ឬ​ថ្ងៃ​នៃ​ការ​អនុវត្ត​កិច្ចព្រមព្រៀង​នេះ ប្រសិនបើ​ក្រោយ​មក) ហើយ​នឹង​នៅ​តែ​មាន​សុពលភាព​សម្រាប់​រយៈពេល​នៃ​កិច្ចព្រមព្រៀង​ចម្បង។ ការ​បញ្ចប់​កិច្ចព្រមព្រៀង​ចម្បង​ដោយ​ហេតុផល​ណា​មួយ​នឹង​បញ្ចប់​កិច្ចព្រមព្រៀង​នេះ​ដោយ​ស្វ័យប្រវត្តិ។

បន្ទាប់ពីការបញ្ចប់កិច្ចសន្យា កាតព្វកិច្ចរបស់អ្នកដំណើរការក្រោមប្រការ 5.6 (ការលុប ឬការប្រគល់ទិន្នន័យ) នឹងនៅតែមានសុពលភាព ហើយអ្នកដំណើរការត្រូវបញ្ចប់ការលុប ឬការប្រគល់ទិន្នន័យអតិថិជនក្នុងរយៈពេល 30 ថ្ងៃបន្ទាប់ពីការបញ្ចប់កិច្ចសន្យា។ ប្រការទាក់ទងនឹងការសម្ងាត់ ការទទួលខុសត្រូវ ច្បាប់គ្រប់គ្រង និងសវនកម្មក៏នឹងនៅតែមានសុពលភាពបន្ទាប់ពីការបញ្ចប់កិច្ចសន្យាផងដែរ។

13. ការគ្រប់គ្រងច្បាប់និងយុត្តាធិការ

កិច្ចព្រមព្រៀង DPA នេះនឹងត្រូវគ្រប់គ្រង និងបកស្រាយស្របតាមច្បាប់នៃប្រទេសអេស្ប៉ាញ។ ភាគីនានាចុះចូលនឹងយុត្តាធិការមិនផ្តាច់មុខរបស់តុលាការនៃទីក្រុងម៉ាឌ្រីដ ដើម្បីដោះស្រាយជម្លោះណាមួយដែលកើតចេញពី ឬទាក់ទងនឹងកិច្ចព្រមព្រៀង DPA នេះ។ ក្នុងកម្រិតដែលបទប្បញ្ញត្តិណាមួយនៃកិច្ចព្រមព្រៀង DPA នេះមានជម្លោះជាមួយ SCCs កិច្ចព្រមព្រៀង SCCs នឹងមានជ័យជំនះ។

14 ។ ផ្សេងៗ

កិច្ច​ព្រម​ព្រៀង​ទាំង​មូល: កិច្ចព្រមព្រៀង DPA នេះ រួមជាមួយនឹងកាលវិភាគ និងកិច្ចព្រមព្រៀងចម្បងរបស់ខ្លួន បង្កើតបានជាកិច្ចព្រមព្រៀងទាំងមូលរវាងភាគីនានាទាក់ទងនឹងប្រធានបទនៃកិច្ចព្រមព្រៀងនេះ ហើយជំនួសកិច្ចព្រមព្រៀង ការយោគយល់ ឬការតំណាងពីមុនទាំងអស់ដែលទាក់ទងនឹងដំណើរការទិន្នន័យ។

វិសោធនកម្ម៖ កិច្ចព្រមព្រៀង DPA នេះអាចត្រូវបានធ្វើវិសោធនកម្មបានលុះត្រាតែមានកិច្ចព្រមព្រៀងជាលាយលក្ខណ៍អក្សរដែលចុះហត្ថលេខាដោយតំណាងដែលមានការអនុញ្ញាតពីភាគីទាំងពីរ។

ភាពអាចបំបែកបាន៖ ប្រសិនបើបទប្បញ្ញត្តិណាមួយនៃ DPA នេះត្រូវបានរកឃើញថាមិនមានសុពលភាព ឬមិនអាចអនុវត្តបាន បទប្បញ្ញត្តិដែលនៅសល់នឹងនៅតែមានសុពលភាព និងមានប្រសិទ្ធភាពពេញលេញ។

អាទិភាព៖ ក្នុងករណីមានជម្លោះរវាង DPA នេះ និងកាលវិភាគ ស្ថាប័ន DPA នឹងមានអានុភាព លុះត្រាតែកាលវិភាគបានបញ្ជាក់យ៉ាងច្បាស់ផ្សេងពីនេះ។ ក្នុងករណីមានជម្លោះរវាង DPA នេះ និង SCC (កន្លែងដែលអាចអនុវត្តបាន) SCC នឹងមានអានុភាព។

កាលវិភាគទី 1 — ព័ត៌មានលម្អិតអំពីដំណើរការ

1. ប្រធានបទ

ប្រធានបទនៃដំណើរការនេះគឺជាការផ្តល់ដោយ Xygeni នៃ application security posture management, software supply chain security ការវិភាគ, ការរកឃើញភាពងាយរងគ្រោះ, CI/CD ការត្រួតពិនិត្យសន្តិសុខ និងសេវាកម្មពាក់ព័ន្ធដូចដែលបានពិពណ៌នានៅក្នុងកិច្ចព្រមព្រៀងចម្បង។

២. លក្ខណៈនៃដំណើរការ

ការប្រមូល ការរៀបចំ រចនាសម្ព័ន្ធ ការផ្ទុក ការវិភាគ ការទាញយកមកវិញ ការប្រើប្រាស់ ការបង្ហាញដោយការបញ្ជូន ការតម្រឹម ឬការរួមបញ្ចូលគ្នា ការរឹតត្បិត ការលុប ឬការបំផ្លាញទិន្នន័យអតិថិជន។

3. គោលបំណងនៃដំណើរការ

ការដំណើរការទិន្នន័យអតិថិជនត្រូវបានអនុវត្តសម្រាប់គោលបំណងតែមួយគត់នៃការផ្តល់សេវាកម្មដល់អ្នកគ្រប់គ្រង រួមមាន៖ ការរកឃើញ និងការរាយការណ៍អំពីភាពងាយរងគ្រោះផ្នែកសុវត្ថិភាព; ការវិភាគហានិភ័យខ្សែសង្វាក់ផ្គត់ផ្គង់កម្មវិធី; CI/CD pipeline security ការត្រួតពិនិត្យ; ការរកឃើញភាពមិនប្រក្រតី; និងការគាំទ្រអតិថិជន។

៤. រយៈពេលនៃដំណើរការ

អ្នកដំណើរការត្រូវដំណើរការទិន្នន័យអតិថិជនសម្រាប់រយៈពេលនៃកិច្ចព្រមព្រៀងចម្បង។ នៅពេលបញ្ចប់កិច្ចព្រមព្រៀង អ្នកដំណើរការត្រូវរក្សាទុកទិន្នន័យអតិថិជនរយៈពេល 3 ខែបន្ទាប់ពីកាលបរិច្ឆេទបញ្ចប់ការជាវមុនពេលលុប លុះត្រាតែអ្នកត្រួតពិនិត្យស្នើសុំលុបមុន។ ទិន្នន័យគណនីសាកល្បងត្រូវបានរក្សាទុករយៈពេល 1 ខែបន្ទាប់ពីការផុតកំណត់នៃការសាកល្បង។

៥. ប្រភេទទិន្នន័យផ្ទាល់ខ្លួន

៦. ប្រភេទ​នៃ​ប្រធានបទ​ទិន្នន័យ

ប្រធានបទទិន្នន័យរួមមាន៖ បុគ្គលិក អ្នកម៉ៅការ និងអ្នកប្រើប្រាស់ដែលមានការអនុញ្ញាតផ្សេងទៀតរបស់អ្នកគ្រប់គ្រងដែលចូលប្រើសេវាកម្ម; អ្នករួមចំណែក (អ្នកអភិវឌ្ឍន៍ គណនីបូត ភ្នាក់ងារបង្កើត) ទៅកាន់ឃ្លាំង និង pipelineត្រូវបានត្រួតពិនិត្យដោយសេវាកម្មនានា; និងតំណាង និងអ្នកទំនាក់ទំនងរបស់អ្នកត្រួតពិនិត្យ។

៧. ទិន្នន័យប្រភេទពិសេស

សេវាកម្មនេះមិនត្រូវបានរចនាឡើងដើម្បីដំណើរការទិន្នន័យផ្ទាល់ខ្លួនប្រភេទពិសេសដូចដែលបានកំណត់នៅក្នុងមាត្រា 9 នៃ GDPR ទេ។ អ្នកត្រួតពិនិត្យធានាថាខ្លួននឹងមិនដាក់ស្នើទិន្នន័យផ្ទាល់ខ្លួនប្រភេទពិសេសទៅសេវាកម្មដោយគ្មានកិច្ចព្រមព្រៀងជាលាយលក្ខណ៍អក្សរជាមុនជាមួយ Xygeni និងការអនុវត្តការការពារបន្ថែមសមស្របនោះទេ។

កាលវិភាគទី 2 — វិធានការសន្តិសុខបច្ចេកទេស និងអង្គការ

Xygeni អនុវត្តវិធានការបច្ចេកទេស និងអង្គការដូចខាងក្រោម ដើម្បីការពារទិន្នន័យអតិថិជន ដែលស្របតាមប្រព័ន្ធគ្រប់គ្រងសុវត្ថិភាពព័ត៌មានដែលមានវិញ្ញាបនបត្រ ISO 27001 របស់ Xygeni៖

ការត្រួតពិនិត្យការចូលដំណើរការ

• ការគ្រប់គ្រងការចូលប្រើផ្អែកលើតួនាទី (RBAC) ដែលត្រូវបានអនុវត្តនៅទូទាំងប្រព័ន្ធទាំងអស់ដែលដំណើរការទិន្នន័យអតិថិជន។
• ការផ្ទៀងផ្ទាត់ពហុកត្តា (MFA) តម្រូវឲ្យមានសម្រាប់បុគ្គលិក Xygeni ទាំងអស់ដែលចូលប្រើប្រព័ន្ធផលិតកម្ម។
• គោលការណ៍នៃសិទ្ធិតិចតួចបំផុតត្រូវបានអនុវត្តចំពោះគណនីអ្នកប្រើប្រាស់ទាំងអស់។ សិទ្ធិចូលប្រើត្រូវបានពិនិត្យឡើងវិញជារៀងរាល់ត្រីមាស។
• ការផ្ទៀងផ្ទាត់ភាពត្រឹមត្រូវដោយផ្អែកលើសោ SSH សម្រាប់ការចូលប្រើម៉ាស៊ីនមេផលិតកម្ម; ការផ្ទៀងផ្ទាត់ពាក្យសម្ងាត់ត្រូវបានបិទ។

ការអ៊ិនគ្រីបទិន្នន័យ។

• ទិន្នន័យអតិថិជនត្រូវបានអ៊ិនគ្រីបក្នុងពេលដឹកជញ្ជូនដោយប្រើ TLS 1.2 ឬខ្ពស់ជាងនេះ។
• ទិន្នន័យអតិថិជនត្រូវបានអ៊ិនគ្រីបនៅពេលមិនមានសកម្មភាពដោយប្រើ AES-256 ឬសមមូល។
• សោអ៊ិនគ្រីបត្រូវបានគ្រប់គ្រងតាមរយៈ AWS Key Management Service (KMS)។

សន្តិសុខបណ្តាញ

• ប្រព័ន្ធផលិតកម្មដែលបង្ហោះនៅក្នុង AWS Virtual Private Cloud (VPC) ជាមួយនឹងការបែងចែកបណ្តាញ។
• ជញ្ជាំងភ្លើងកម្មវិធីបណ្ដាញ (WAF) ត្រូវបានដាក់ពង្រាយសម្រាប់ចំណុចបញ្ចប់ដែលប្រឈមមុខនឹងសាធារណជន។
• មានប្រព័ន្ធរកឃើញ និងការពារការឈ្លានពាន។
• ការស្កេនភាពងាយរងគ្រោះ និងការធ្វើតេស្តជ្រៀតចូលនៃហេដ្ឋារចនាសម្ព័ន្ធ និងស្រទាប់កម្មវិធីជាប្រចាំ។

សុវត្ថិភាពរូបវ័ន្ត

• ទិន្នន័យអតិថិជនដែលបង្ហោះនៅក្នុងមជ្ឈមណ្ឌលទិន្នន័យ AWS ជាមួយនឹងវិញ្ញាបនបត្រ SOC 2 ប្រភេទ II និង ISO 27001។
• ការចូលប្រើប្រាស់ជាក់ស្តែងទៅកាន់កន្លែងមជ្ឈមណ្ឌលទិន្នន័យត្រូវបានកំណត់ចំពោះតែបុគ្គលិក AWS ដែលមានការអនុញ្ញាតជាមួយនឹងការគ្រប់គ្រងជីវមាត្រប៉ុណ្ណោះ។

ភាពអាចរកបាន និងភាពធន់

• ការបម្រុងទុកដោយស្វ័យប្រវត្តិប្រចាំថ្ងៃនៃទិន្នន័យអតិថិជនទាំងអស់ ដែលរក្សាទុកយ៉ាងហោចណាស់ 7 ថ្ងៃ។
• ភាពសុចរិតនៃការបម្រុងទុកត្រូវបានផ្ទៀងផ្ទាត់ជាប្រចាំ។
• Disastនីតិវិធីស្តារឡើងវិញត្រូវបានកត់ត្រា និងសាកល្បងជារៀងរាល់ឆ្នាំ។

ការគ្រប់គ្រងឧប្បត្តិហេតុ

• ផែនការឆ្លើយតបឧប្បត្តិហេតុសន្តិសុខត្រូវបានថែរក្សា និងសាកល្បងជារៀងរាល់ឆ្នាំ។
• ព្រឹត្តិការណ៍សន្តិសុខត្រូវបានត្រួតពិនិត្យ និងកត់ត្រាទុក។ ការជូនដំណឹងត្រូវបានពិនិត្យដោយមុខងារប្រតិបត្តិការសន្តិសុខ។
• នីតិវិធីជូនដំណឹងអំពីការរំលោភទិន្នន័យផ្ទាល់ខ្លួនមានជាធរមាន ដើម្បីបំពេញកាតព្វកិច្ចជូនដំណឹងរយៈពេល 48 ម៉ោងដល់អ្នកត្រួតពិនិត្យ។

បុគ្គលិក

• បុគ្គលិក Xygeni ទាំងអស់ដែលមានសិទ្ធិចូលមើលទិន្នន័យអតិថិជន ត្រូវបានចងភ្ជាប់ដោយកាតព្វកិច្ចរក្សាការសម្ងាត់។
• ការបណ្តុះបណ្តាលការយល់ដឹងអំពីសន្តិសុខត្រូវបានធ្វើឡើងសម្រាប់បុគ្គលិកទាំងអស់ជារៀងរាល់ឆ្នាំ។
• ការត្រួតពិនិត្យប្រវត្តិត្រូវបានធ្វើឡើងសម្រាប់បុគ្គលិកដែលមានសិទ្ធិចូលប្រើប្រព័ន្ធផលិតកម្ម ក្នុងកម្រិតដែលច្បាប់ជាធរមានអនុញ្ញាត។

ការគ្រប់គ្រងភាគីទីបី

• អ្នកដំណើរការរងត្រូវបានវាយតម្លៃសម្រាប់ការអនុលោមតាមសុវត្ថិភាពមុនពេលចូលរួម។
• កិច្ចព្រមព្រៀងដំណើរការទិន្នន័យដែលមានជាមួយអនុដំណើរការទិន្នន័យទាំងអស់។

វិញ្ញាបនប័ត្រ

• Xygeni ទទួលបានវិញ្ញាបនបត្រ ISO 27001 (ប្រព័ន្ធគ្រប់គ្រងសុវត្ថិភាពព័ត៌មាន)។
• Xygeni កំពុងបន្តទទួលបានវិញ្ញាបនបត្រ SOC 2 ប្រភេទ II; វិញ្ញាបនបត្រនឹងត្រូវបានផ្តល់ជូនអ្នកត្រួតពិនិត្យនៅពេលបញ្ចប់។