Договор за обработка на податоци

Партии

Овој Договор за обработка на податоци („DPA“ или „Договор“) е склучен од и помеѓу:

Контролор на податоци („Контролор“ или „Клиент“)

Обработувач на податоци („Обработувач“ или „Xygeni“):

Контролорот и Обработувачот во понатамошниот текст се нарекуваат поединечно „Страна“, а заедно „Страни“.

Овој DPA е дел од Главниот договор за услуги или Условите за користење („Главен договор“) помеѓу страните што го регулираат обезбедувањето од страна на Xygeni за безбедноста на неговата апликација и software supply chain security услуги („Услуги“). Во случај на конфликт помеѓу овој DPA и Главниот договор, овој DPA ќе има предност во однос на прашањата за заштита на податоци.

1. Дефиниции

За целите на овој ДПА:

• „GDPR“ значи Регулатива (ЕУ) 2016/679 на Европскиот парламент и на Советот од 27 април 2016 година за заштита на физичките лица во однос на обработката на лични податоци.
• „ЛОПДГДД“ значи Ley Orgánica 3/2018, од 5 од дициембре, од Заштита на Датос Лични и гаранција на лос дерехос дигитални.
• „Лични податоци“, „Обработка“, „Контролор“, „Обработувач“, „Подобрувач“, „Субјект на податоци“, „Надзорен орган“, „Повреда на лични податоци“ ќе ги имаат значењата што им се припишани во GDPR.
• „Податоци за клиентите“ значи какви било Лични податоци доставени од или во име на Контролорот до Услугите или обработени од Обработувачот во име на Контролорот во врска со Услугите.
• „Под-процесор“ значи која било трета страна ангажирана од Обработувачот, со претходно овластување од Контролорот (како што е опишано во Член 7), за обработка на Податоците на Клиентот во име на Контролорот.
• „SCC“ значи на Standard Договорни клаузули за пренос на лични податоци во трети земји согласно GDPR, како што е одобрено од Европската комисија за спроведувањеcisјон (ЕУ) 2021/914 од 4 јуни 2021 година.
• „Услуги“ значи на application security posture management, software supply chain security, откривање на ранливости и поврзани услуги што ги обезбедува Xygeni до Контролорот според Главниот договор.
• „Важечки закон за заштита на податоци“ значи GDPR, LOPDGDD и кое било друго важечко национално законодавство за заштита на податоци, како што е изменето од време на време.

2. Улоги на страните

Страните признаваат и се согласуваат дека:

• Контролорот дејствува како контролор на податоци во однос на Податоците на клиентите и е одговорен за одредување на целите и средствата за обработка на Податоците на клиентите доставени до Услугите.
• Обработувачот дејствува како обработувач на податоци во однос на Податоците на клиентите и ги обработува таквите податоци исклучиво во име на и врз основа на документираните упатства на Контролорот.
• Секоја страна ќе ги почитува своите соодветни обврски согласно Важечкиот закон за заштита на податоци во својата улога како контролор или обработувач.

Кога Xygeni обработува лични податоци за свои цели (на пр., управување со сметки, фактурирање, аналитика за подобрување на услугите), тој дејствува како независен Контролор. Таквата обработка е регулирана со Политиката за приватност на Xygeni и е надвор од опсегот на овој DPA.

3. Предмет, природа и цел на обработката

Предметот, природата, времетраењето и целта на обработката, како и видовите на обработени Лични податоци и категориите на субјекти на податоци, се наведени во Прилог 1 (Детали за обработка) на овој DPA.

Обработувачот ќе ги обработува Податоците на клиентите само до степен потребен за обезбедување на Услугите опишани во Главниот договор и во согласност со документираните упатства на Контролорот, освен ако тоа не е потребно според важечкиот закон. Во таков случај, Обработувачот ќе го информира Контролорот за таа законска обврска пред обработката, освен ако не е забрането со закон од важни причини од јавен интерес.

4. Упатства на контролорот

Контролорот му наложува на Обработувачот да ги обработува Податоците на Клиентот по потреба за: (а) обезбедување на Услугите во согласност со Главниот договор; (б) усогласување со упатствата на Контролорот доставени во писмена форма од време на време; и (в) исполнување на обврските на Обработувачот според овој DPA.

Обработувачот веднаш ќе го информира Контролорот ако, според разумно мислење на Обработувачот, упатството од Контролорот го прекршува важечкиот Закон за заштита на податоци. Во таков случај, Обработувачот има право да престане со обработката согласно таквото упатство сè додека Контролорот не го разјасни или измени упатството.

Контролорот гарантира и изјавува дека: (а) има важечка законска основа согласно член 6 од GDPR (и, каде што е применливо, член 9) за обработка на релевантните Лични податоци; (б) ги доставил сите потребни известувања и ги добил сите потребни согласности; и (в) преносот на Податоците на клиентите до Обработувачот не ги прекршува важечките закони.

5. Обврски на обработувачот

5.1 Ограничувања за обработка

Обработувачот ќе ги обработува Податоците на клиентите само врз основа на документираните упатства на Контролорот, освен ако тоа не е пропишано со важечкото законодавство на ЕУ или на законите на земјите-членки. Обработувачот нема да ги обработува Податоците на клиентите за свои цели ниту да ги открива на трети страни, освен ако е потребно за обезбедување на Услугите или како што е пропишано со закон.

5.2 Доверливост

Обработувачот треба да обезбеди лицата овластени за обработка на Податоците на клиентите да имаат commitсе обврзале на доверливост или се под соодветна законска обврска за доверливост. Пристапот до Податоците на клиентите ќе биде ограничен на оние вработени, изведувачи и под-обработувачи на кои им е потребен пристап за целите на обезбедување на Услугите.

5.3 Безбедносни мерки

Обработувачот ќе имплементира и одржува соодветни технички и организациски мерки за заштита на Податоците на клиентите од неовластена или незаконска обработка и од случајна загуба, уништување, оштетување, менување или откривање, земајќи ги предвид:

• најсовремената технологија и трошоците за имплементација;
• природата, обемот, контекстот и целите на обработката;
• ризиците за правата и слободите на физичките лица, особено од случајно или незаконско уништување, губење, менување, неовластено откривање или пристап до Податоците за клиентите пренесени, складирани или на друг начин обработени.

Ваквите мерки треба да ги вклучуваат, најмалку, оние наведени во Прилог 2 (Технички и организациски безбедносни мерки) на овој DPA. Сертификацијата ISO 27001 на обработувачот обезбедува доказ за основен систем за управување со безбедноста на информациите. Обработувачот треба да го одржува сертификатот ISO 27001 или еквивалент во текот на целиот рок на овој DPA.

5.4 Права на субјектите на податоци

Обработувачот, земајќи ја предвид природата на обработката, ќе му помогне на Контролорот со соодветни технички и организациски мерки, доколку е можно, за да ја исполни обврската на Контролорот да одговори на барањата за извршување.cisПравата на субјектите на податоци согласно важечкиот закон за заштита на податоци (вклучувајќи ги правата на пристап, исправка, бришење, ограничување, преносливост и приговор согласно членовите 15–22 од GDPR).

Обработувачот треба: (а) веднаш да го извести Контролорот доколку Обработувачот добие барање од Субјект на податоци во врска со Податоците на клиентите; (б) да не одговара на таквите барања освен врз основа на документирани упатства од Контролорот или како што е пропишано со важечкиот закон; и (в) да му обезбеди на Контролорот разумна помош во одговарањето на таквите барања во рамките на важечките законски рокови (30 дена според член 12 од GDPR).

5.5 Помош со обврските на Контролорот

Обработувачот треба да му помогне на Контролорот во обезбедувањето усогласеност со обврските согласно членовите 32-36 од GDPR, земајќи ја предвид природата на обработката и информациите достапни на Обработувачот, вклучително и во однос на:

• безбедност на обработката (член 32);
• известување за повреди на лични податоци до надзорниот орган и комуникација со субјектите на податоци (членови 33–34);
• проценки на влијанието врз заштитата на податоците и претходни консултации (членови 35–36).

5.6 Бришење или враќање на податоци

По раскинувањето или истекот на Главниот договор, или по барање на Контролорот, Обработувачот, по избор на Контролорот, ќе ги избрише или врати на Контролорот сите Податоци за клиентите што ги поседува и ќе ги избрише постојните копии, освен ако важечкото законодавство на ЕУ или на земјата-членка не бара чување на Личните податоци. Обработувачот ќе го потврди завршувањето на бришењето писмено во рок од 30 дена од соодветното активирање.

Процесорот standard Распоредот за задржување на податоци (наведен во Прилог 1) ќе се применува освен ако Контролорот не поднесе претходно барање за бришење.

5.7 Ревизија и демонстрација на усогласеност

Обработувачот треба да му ги стави на располагање на Контролорот сите информации потребни за да се докаже усогласеноста со обврските утврдени во овој DPA и треба да дозволи и да придонесе за ревизии, вклучително и инспекции, спроведени од Контролор или ревизор овластен од Контролорот.

Обработувачот може да ја исполни оваа обврска со обезбедување на:

• копија од неговиот тековен сертификат ISO 27001 или извештај од SOC 2 Тип II (откако ќе биде добиен);
• пополнување на прашалникот за безбедност на Контролорот (во рок од 10 работни дена од приемот);
• разумни ревизии на лице место по претходно писмено известување од 30 дена, на трошок на Контролорот, не повеќе од еднаш годишно (освен ако не постои основано сомневање за неусогласеност).

6. Известување за повреда на лични податоци

Обработувачот ќе го извести Контролорот без непотребно одложување, а во секој случај во рок од 48 часа откако ќе дознае за повреда на лични податоци што влијае на Податоците на клиентот. Таквото известување, доколку е достапно во тој момент, ќе вклучува:

• опис на природата на повредата на личните податоци, вклучувајќи ги категориите и приближниот број на засегнати субјекти на податоци и категориите и приближниот број на засегнати записи за Лични податоци;
• името и контакт информациите на службеникот за заштита на податоци или друга контактна точка од која можат да се добијат повеќе информации;
• опис на веројатните последици од повредата на личните податоци;
• опис на мерките преземени или предложени да се преземат за справување со повредата на лични податоци, вклучувајќи, каде што е соодветно, мерки за ублажување на неговите можни негативни ефекти.

Доколку не е можно да се обезбедат сите горенаведени информации истовремено, информациите може да се достават во фази без непотребно понатамошно одложување. Обработувачот ќе соработува со Контролорот и ќе преземе разумни чекори што Контролорот може да ги бара за да помогне во истрагата, ублажувањето и санацијата на прекршокот.

Страните потврдуваат дека обврската според член 33 од GDPR за известување на надлежниот надзорен орган (Agencia Española de Protección de Datos — AEPD или друг релевантен орган) во рок од 72 часа од дознавањето за повреда на лични податоци е на Контролорот како контролор на податоци. Известувањето од страна на обработувачот до Контролорот според оваа клаузула има за цел да му овозможи на Контролорот да ја исполни оваа регулаторна обврска. Известувањето од страна на обработувачот нема да претставува признание на вина или одговорност.

7. Под-обработувачи

7.1 Општо овластување

Контролорот му дава на Обработувачот општо овластување да ангажира под-обработувачи како што е наведено во Прилог 3 (Одобрени под-обработувачи) на овој DPA. Обработувачот ќе му наметне на секој под-обработувач обврски за заштита на податоци еквивалентни на оние утврдени во овој DPA, особено обезбедување доволно гаранции за спроведување на соодветни технички и организациски мерки.

7.2 Промени кај под-обработувачите

Обработувачот ќе го извести Контролорот за сите планирани промени во врска со додавањето или замената на под-обработувачите преку: (а) ажурирање на листата на под-обработувачи објавена на https://xygeni.io/legal/subprocessors со ревидираниот датум „Последно ажурирано“; и (б) доставување писмено известување до Контролорот најмалку десет (10) дена пред промената да стапи на сила. Контролорот може да поднесе приговор на промената од основани причини за заштита на податоците во рок од седум (7) дена од таквото известување. Доколку Контролорот поднесе приговор и Страните не можат да го решат приговорот, Контролорот може да го раскине Главниот договор со разумно известување без казна.

Доколку Обработувачот ангажира под-обработувач, Обработувачот останува целосно одговорен пред Контролорот за извршување на обврските на тој под-обработувач до степен до кој под-обработувачот не ги исполнува своите обврски за заштита на податоците.

7.3 Барања за проток на под-процесорот

За секој под-обработувач, Обработувачот треба:

• спроведе соодветна длабинска анализа пред да го ангажира под-обработувачот;
• склучува писмен договор за обработка на податоци со кој наметнува обврски за заштита на податоци кои не се помалку заштитни од оние во овој DPA;
• да се осигура дека безбедносните мерки на Подобрувачот се барем еквивалентни на оние што се бараат согласно точка 5.3 и Прилог 2;
• вклучуваат обврски за известување за прекршување со кои се бара од подобработувачот да го извести Обработувачот во рок од 24 часа од дознавањето за прекршување на личните податоци, за да може Обработувачот да ја исполни својата обврска за известување до Контролорот во рок од 48 часа.

8. Меѓународни трансфери

Обработувачот нема да ги пренесува Податоците на клиентите во земја надвор од Европската економска зона (ЕЕА), освен ако:

• Европската комисија усвои адекватност наcisјон за таа земја согласно член 45 од GDPR; или
• соодветни заштитни мерки се имплементирани во согласност со член 46 од GDPR, вклучувајќи, но не ограничувајќи се на Standard Договорни клаузули усвоени од Европската комисија за спроведувањеcisјон (ЕУ) 2021/914 од 4 јуни 2021 година („SCC“).

Доколку се потребни SCC, Обработувачот, на барање на Контролорот, ќе ги изврши применливите SCC со Контролорот и/или со соодветниот Подобрувач. Применливиот модул на SCC ќе биде Модул два (Од Контролор до Обработувач) за преноси од Контролор до Обработувач и Модул три (Обработувач до Подобрувач) за понатамошни преноси од Обработувач до Подобрувачи.

Надлежниот надзорен орган за целите на SCC е Шпанската агенција за заштита на податоци (Agencia Española de Protección de Datos — AEPD), освен ако не е поинаку договорено во писмена форма.

Обработувачот ќе води и ќе му стави на располагање на Контролорот, по барање, тековна евиденција за сите меѓународни трансфери на Податоци за клиентите и применливиот механизам за пренос за секој од нив.

9. Проценки на влијанието врз заштитата на податоците

Кога е веројатно дека активноста за обработка ќе резултира со висок ризик за правата и слободите на физичките лица и од Контролорот се бара да спроведе Проценка на влијанието врз заштитата на податоците (DPIA) согласно член 35 од GDPR, Обработувачот треба да му обезбеди на Контролорот разумна помош и информации потребни за да му овозможи на Контролорот да ја спроведе DPIA. Обработувачот треба да одговори на разумните барања на Контролорот поврзани со DPIA во рок од 15 работни дена.

10. Евиденција за активностите за обработка

Обработувачот води, на барање на Контролорот, евиденција за активностите за обработка извршени во име на Контролорот во согласност со член 30(2) од GDPR, вклучувајќи: име и контакт податоци на Обработувачот и сите Подобрувачи; категориите на обработка извршена во име на Контролорот; преноси на Лични податоци во трета земја; и општ опис на техничките и организациските безбедносни мерки.

11. Одговорност

Одговорноста на секоја страна кон другата според или во врска со овој DPA ќе биде предмет на ограничувањата и исклучоците утврдени во Главниот договор. Кога субјектот на податоци претрпел штета како резултат на обработка што го прекршува важечкиот закон за заштита на податоци, секоја страна ќе биде одговорна за штетата предизвикана од нејзината обработка што го прекршува GDPR во согласност со членовите 82–83 од GDPR. Ништо во оваа клаузула не ја ограничува одговорноста на која било страна кон субјектите на податоци според важечкиот закон.

12. Рок и престанок

Овој ДПА ќе започне да важи на датумот на Главниот договор (или датумот на потпишување на овој ДПА доколку е подоцна) и ќе остане во сила за време на траењето на Главниот договор. Раскинувањето на Главниот договор од која било причина автоматски ќе го прекине овој ДПА.

По престанокот, обврските на Обработувачот согласно Член 5.6 (бришење или враќање на податоци) ќе останат во сила и Обработувачот ќе го заврши бришењето или враќањето на Податоците за клиентите во рок од 30 дена од престанокот. Клаузулите што се однесуваат на доверливост, одговорност, важечко право и ревизија, исто така, ќе останат во сила по престанокот.

13. Владејачко право и надлежност

Овој ДПА ќе биде регулиран и толкуван во согласност со законите на Шпанија. Страните се потчинуваат на неисклучивата надлежност на судовите во Мадрид за решавање на каков било спор што произлегува од или е во врска со овој ДПА. До степен до кој која било одредба од овој ДПА е во спротивност со SCC, SCC ќе имаат предност.

14. Разно

Целиот договор: Овој ДПА, заедно со неговите Прилози и Главниот договор, го претставува целиот договор меѓу Страните во однос на предметот на овој Договор и ги заменува сите претходни договори, разбирања или изјави поврзани со обработката на податоци.

Амандмани: Овој ДПА може да се измени само со писмен договор потпишан од овластени претставници на двете страни.

Раздвојливост: Доколку некоја одредба од овој ДПА се смета за неважечка или неприменлива, преостанатите одредби ќе останат во полна сила и ефект.

Прецедент: Во случај на конфликт помеѓу овој DPA и Прилозите, ќе има предност телото на DPA освен ако Прилогот експлицитно не наведува поинаку. Во случај на конфликт помеѓу овој DPA и SCC (каде што е применливо), ќе имаат предност SCC.

СПОРЕД 1 — Детали за обработка

1. Предмет

Предмет на обработката е обезбедувањето од страна на Xygeni на application security posture management, software supply chain security анализа, откривање на ранливости, CI/CD безбедносен мониторинг и поврзани услуги како што е опишано во Главниот договор.

2. Природа на обработката

Собирање, организација, структурирање, складирање, анализа, пребарување, употреба, откривање преку пренос, усогласување или комбинација, ограничување, бришење или уништување на Податоците на клиентите.

3. Цел на обработката

Обработката на Податоците на клиентите се врши единствено со цел да се обезбедат Услугите на Контролорот, вклучувајќи: откривање и известување за безбедносни ранливости; анализа на ризик во синџирот на снабдување со софтвер; CI/CD pipeline security мониторинг; откривање на аномалии; и поддршка на клиентите.

4. Времетраење на обработката

Обработувачот ќе ги обработува Податоците на Клиентот за време на траењето на Главниот договор. По раскинувањето, Обработувачот ќе ги чува Податоците на Клиентот 3 месеци по датумот на завршување на претплатата пред бришењето, освен ако Контролорот не побара претходно бришење. Податоците за пробната сметка се чуваат 1 месец по истекот на пробниот период.

5. Видови лични податоци

6. Категории на субјекти на податоци

Субјектите на податоци вклучуваат: вработени, изведувачи и други овластени корисници на Контролорот кои пристапуваат до Услугите; придонесувачи (програмери, сметки на ботови, агенти за градење) во складиштата и pipelineследени од Услугите; и претставници и контакт лица на Контролорот.

7. Податоци од посебна категорија

Услугите не се дизајнирани да обработуваат лични податоци од посебна категорија како што е дефинирано во член 9 од GDPR. Контролорот гарантира дека нема да доставува лични податоци од посебна категорија до Услугите без претходна писмена согласност со Xygeni и имплементација на соодветни дополнителни заштитни мерки.

ПРИЛОГ 2 — Технички и организациски безбедносни мерки

Xygeni ги спроведува следните технички и организациски мерки за заштита на податоците на клиентите, во согласност со системот за управување со безбедноста на информациите на Xygeni, сертифициран според ISO 27001:

Контрола на пристап

• Контрола на пристап базирана на улоги (RBAC) се спроведува на сите системи што обработуваат податоци за клиентите.
• Потребна е повеќефакторска автентикација (MFA) за целиот персонал на Xygeni кој пристапува до производствените системи.
• Принципот на најмали привилегии се применува на сите кориснички сметки; правата за пристап се разгледуваат квартално.
• Автентикација базирана на SSH клуч за пристап до продукцискиот сервер; оневозможена е автентикација со лозинка.

Енкрипција на податоци

• Податоците на клиентите се шифрирани при транспорт со TLS 1.2 или понова верзија.
• Податоците на клиентите се шифрирани во мирување со AES-256 или еквивалент.
• Клучевите за шифрирање се управуваат преку AWS Key Management Service (KMS).

мрежа за безбедност

• Производствени системи хостирани во AWS Virtual Private Cloud (VPC) со мрежна сегментација.
• Заштитен ѕид за веб апликации (WAF) распореден за крајни точки насочени кон јавноста.
• Воспоставени се системи за откривање и спречување на упади.
• Редовно скенирање на ранливости и тестирање на пенетрација на инфраструктурните и апликациските слоеви.

Физичко обезбедување

• Податоци за клиенти сместени во центри за податоци на AWS со сертификати SOC 2 Тип II и ISO 27001.
• Физичкиот пристап до објектите на центарот за податоци е ограничен на овластен персонал на AWS со биометриски контроли.

Достапност и отпорност

• Дневни автоматски резервни копии на сите податоци на клиентите, чувани минимум 7 дена.
• Интегритетот на резервната копија се проверува периодично.
• Disastпроцедурите за обновување се документираат и тестираат годишно.

Управување со инциденти

• Планот за одговор на безбедносни инциденти се одржува и тестира годишно.
• Безбедносните настани се следат и евидентираат; предупредувањата се прегледуваат од функцијата за безбедносни операции.
• Воспоставени се процедури за известување за повреда на лични податоци за да се исполни обврската за известување до Контролорот во рок од 48 часа.

вработените

• Целиот персонал на Xygeni со пристап до податоците за клиентите е обврзан со обврски за доверливост.
• Обука за безбедносна свест што се спроведува годишно за целиот персонал.
• Проверки на биографијата спроведени за персонал со пристап до производствени системи, до степен дозволен со важечкиот закон.

Управување од трета страна

• Подобрувачите се оценуваат за усогласеност со безбедноста пред ангажманот.
• Договори за обработка на податоци се во сила со сите под-обработувачи.

сертификација

• Xygeni поседува сертификат ISO 27001 (систем за управување со безбедноста на информациите).
• Xygeni се стреми кон сертификација SOC 2 Тип II; сертификатот ќе му биде доставен на контролорот по завршувањето.