Мэдээлэл боловсруулах гэрээ

Талууд

Энэхүү Мэдээлэл Боловсруулах Гэрээ (“DPA” буюу “Гэрээ”)-ийг дараах талуудын хооронд байгуулсан болно:

Өгөгдөл хянагч (“Хянагч” эсвэл “Хэрэглэгч”)

Өгөгдөл боловсруулагч (“Процессор” эсвэл “Xygeni”):

Хянагч болон Процессорыг цаашид тус тусад нь “Тал”, хамтад нь “Талууд” гэж нэрлэнэ.

Энэхүү DPA нь Xygeni-ийн програмын аюулгүй байдал болон бусад хангамжийг зохицуулах Талуудын хоорондох Үйлчилгээний Мастер Гэрээ буюу Үйлчилгээний Нөхцөл ("Үндсэн Гэрээ")-ний нэг хэсэг болно. software supply chain security үйлчилгээ (цаашид “Үйлчилгээ” гэх)”. Энэхүү Мэдээллийн Хамгаалалтын Гэрээ болон Үндсэн Гэрээний хооронд зөрчил гарсан тохиолдолд өгөгдөл хамгаалах асуудлаар энэхүү Мэдээллийн Хамгаалалтын Гэрээг баримтална.

1. Тодорхойлолтууд

Энэхүү DPA-ийн зорилгоор:

• "GDPR" гэдэг нь хувийн мэдээллийг боловсруулахтай холбоотой хувь хүнийг хамгаалах тухай Европын Парламент болон Зөвлөлийн 2016 оны 4-р сарын 27-ны өдрийн (ЕХ) 2016/679 тоот журмыг хэлнэ.
• “ЛОПДГДД” гэсэн үг Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales болон garantía de los derechos digitales.
• “Хувийн мэдээлэл”, “Боловсруулалт”, “Хянагч”, “Боловсруулагч”, “Дэд боловсруулагч”, “Өгөгдлийн эзэн”, “Хяналтын байгууллага”, “Хувийн мэдээллийн зөрчил” GDPR-д заасан утгатай байна.
• "Хэрэглэгчийн мэдээлэл" гэдэг нь Үйлчилгээтэй холбогдуулан Хянагчийн өмнөөс Үйлчилгээнд илгээсэн эсвэл Хянагчийн өмнөөс Боловсруулагч боловсруулсан аливаа Хувийн Мэдээллийг хэлнэ.
• "Дэд процессор" гэдэг нь Хянагчийн өмнөөс Харилцагчийн өгөгдлийг боловсруулахын тулд Хянагчийн урьдчилан зөвшөөрөл авсан (7-р зүйлд дурдсанчлан) Боловсруулагчийн татан оролцуулсан аливаа гуравдагч этгээдийг хэлнэ.
• "ХХК" гэсэн утгатай Standard Европын Комиссоос баталсан GDPR-ийн дагуу хувийн мэдээллийг гуравдагч улс руу шилжүүлэх гэрээний заалтуудcisион (ЕХ) 2021 оны 6-р сарын 4-ний 2021/914 тоот.
• “Үйлчилгээ” гэсэн утгатай application security posture management, software supply chain security, Үндсэн гэрээний дагуу Xygeni-ийн Хянагчид үзүүлж буй эмзэг байдлыг илрүүлэх болон холбогдох үйлчилгээнүүд.
• "Хэрэгжиж буй мэдээлэл хамгаалах хууль" гэдэг нь GDPR, LOPDGDD болон үе үе нэмэлт өөрчлөлт оруулдаг бусад холбогдох үндэсний өгөгдөл хамгаалах хууль тогтоомжийг хэлнэ.

2. Талуудын үүрэг

Талууд дараахь зүйлийг хүлээн зөвшөөрч, санал нэг байна.

• Хянагч нь Хэрэглэгчийн мэдээллийн хувьд өгөгдөл хянагчийн үүрэг гүйцэтгэдэг бөгөөд Үйлчилгээнд илгээсэн Хэрэглэгчийн мэдээллийг боловсруулах зорилго, хэрэгслийг тодорхойлох үүрэгтэй.
• Боловсруулагч нь Харилцагчийн Мэдээллийн хувьд өгөгдөл боловсруулагчийн үүрэг гүйцэтгэдэг бөгөөд уг өгөгдлийг зөвхөн Хянагчийн өмнөөс болон түүний баримтжуулсан зааврын дагуу боловсруулдаг.
• Тал бүр Хянагч эсвэл Боловсруулагчийн үүрэг гүйцэтгэхдээ Холбогдох Мэдээллийн Хамгаалалтын Хуулийн дагуу тус тусын үүргээ биелүүлнэ.

Xygeni нь хувийн мэдээллийг өөрийн зорилгоор (жишээ нь, дансны удирдлага, төлбөр тооцоо, үйлчилгээний сайжруулалтын аналитик) боловсруулдаг бол бие даасан Хянагчийн үүрэг гүйцэтгэдэг. Ийм боловсруулалтыг Xygeni-ийн Нууцлалын бодлогоор зохицуулдаг бөгөөд энэхүү Мэдээллийн Үйлчилгээний хүрээнээс гадуур юм.

3. Боловсруулалтын сэдэв, мөн чанар, зорилго

Боловсруулалтын сэдэв, шинж чанар, үргэлжлэх хугацаа, зорилго, түүнчлэн боловсруулсан Хувийн мэдээллийн төрөл болон Өгөгдлийн Субъектуудын ангиллыг энэхүү Мэдээллийн Хөтөлбөрийн 1-р хавсралтад (Боловсруулалтын дэлгэрэнгүй мэдээлэл) тусгасан болно.

Боловсруулагч нь холбогдох хуулиар шаардаагүй бол Үндсэн гэрээнд заасан Үйлчилгээг үзүүлэхэд шаардлагатай хэмжээгээр болон Хянагчийн баримтжуулсан зааврын дагуу Харилцагчийн өгөгдлийг боловсруулна. Ийм тохиолдолд Боловсруулагч нь олон нийтийн ашиг сонирхлын чухал үндэслэлээр хуулиар хориглоогүй бол боловсруулахаас өмнө уг хуулийн шаардлагыг Хянагчид мэдэгдэх ёстой.

4. Хянагчийн зааварчилгаа

Хянагч нь дараах зорилгоор шаардлагатай бол Үйлчлүүлэгчийн өгөгдлийг боловсруулахыг Боловсруулагчид зааварчилгаа өгдөг: (a) Үндсэн гэрээний дагуу Үйлчилгээ үзүүлэх; (b) Хянагчийн үе үе бичгээр мэдэгдсэн зааврыг дагаж мөрдөх; болон (c) Энэхүү Мэдээллийн Гэрээний дагуу Боловсруулагчийн үүргийг биелүүлэх.

Хэрэв Боловсруулагчийн үндэслэлтэй гэж үзвэл Хянагчийн заавар нь Холбогдох Мэдээллийн Хамгаалалтын Хуулийг зөрчсөн бол Боловсруулагч нь Хянагчид нэн даруй мэдэгдэх ёстой. Ийм тохиолдолд Хянагчийн зааврыг тодруулах эсвэл өөрчлөх хүртэл Боловсруулагч нь уг зааврын дагуу боловсруулалтыг зогсоох эрхтэй.

Хянагч нь дараах зүйлсийг баталгаажуулж, баталгаажуулна: (a) холбогдох Хувийн мэдээллийг боловсруулах GDPR-ийн 6-р зүйлийн (мөн шаардлагатай тохиолдолд 9-р зүйлийн) дагуу хүчин төгөлдөр хууль ёсны үндэслэлтэй; (b) шаардлагатай бүх мэдэгдлийг өгч, шаардлагатай бүх зөвшөөрлийг авсан; мөн (c) Харилцагчийн өгөгдлийг Боловсруулагч руу шилжүүлэх нь холбогдох хууль тогтоомжийг зөрчөөгүй.

5. Боловсруулагчийн үүрэг

5.1 Боловсруулалтын хязгаарлалтууд

Боловсруулагч нь Харилцагчийн өгөгдлийг зөвхөн Хянагчийн баримтжуулсан зааврын дагуу боловсруулна, хэрэв холбогдох Европын Холбоо эсвэл Гишүүн Улсын хуулиар шаардаагүй бол. Боловсруулагч нь Үйлчилгээ үзүүлэхэд шаардлагатай эсвэл хуулиар шаардсанаас бусад тохиолдолд Харилцагчийн өгөгдлийг өөрийн зорилгоор боловсруулахгүй эсвэл гуравдагч этгээдэд задруулахгүй.

5.2 Нууцлал

Боловсруулагч нь Харилцагчийн мэдээллийг боловсруулах эрх бүхий хүмүүстэй байх ёстой. commitөөрсдийгөө нууцлалтай байлгах үүрэг хүлээсэн эсвэл нууцлалын зохих хуулиар хүлээсэн үүрэгтэй. Үйлчлүүлэгчийн мэдээлэлд хандах эрх нь Үйлчилгээ үзүүлэх зорилгоор хандах шаардлагатай ажилчид, гэрээт гүйцэтгэгчид болон дэд боловсруулагчдаар хязгаарлагдана.

5.3 Аюулгүй байдлын арга хэмжээ

Боловсруулагч нь дараах зүйлсийг харгалзан Харилцагчийн мэдээллийг зөвшөөрөлгүй эсвэл хууль бус боловсруулалтаас, санамсаргүй алдагдал, устгал, гэмтэл, өөрчлөлт, задруулалтын эсрэг хамгаалах зохих техникийн болон зохион байгуулалтын арга хэмжээг хэрэгжүүлж, хадгалах ёстой:

• технологийн түвшин болон хэрэгжүүлэх өртөг;
• боловсруулалтын мөн чанар, цар хүрээ, нөхцөл байдал болон зорилго;
• хувь хүний ​​эрх, эрх чөлөөнд учирч болзошгүй эрсдэл, ялангуяа Хэрэглэгчийн өгөгдлийг санамсаргүйгээр болон хууль бусаар устгах, алдах, өөрчлөх, зөвшөөрөлгүй задруулах, эсвэл түүнд хандах зэргээс үүдэлтэй эрсдэл.

Ийм арга хэмжээнд хамгийн багадаа энэхүү Мэдээллийн аюулгүй байдлын гэрээний 2-р хавсралтад (Техникийн болон байгууллагын аюулгүй байдлын арга хэмжээ) заасан арга хэмжээнүүд багтана. Боловсруулагчийн ISO 27001 гэрчилгээ нь мэдээллийн аюулгүй байдлын удирдлагын үндсэн системийн нотолгоог өгдөг. Боловсруулагч нь энэхүү Мэдээллийн аюулгүй байдлын гэрээний хугацаанд ISO 27001 гэрчилгээ эсвэл түүнтэй дүйцэхүйц гэрчилгээг хадгалах ёстой.

5.4 Өгөгдлийн эзний эрх

Боловсруулагч нь боловсруулалтын мөн чанарыг харгалзан үзээд, Хянагчийн хүсэлтэд хариу өгөх үүргийг биелүүлэхэд нь боломжтой бол зохих техникийн болон зохион байгуулалтын арга хэмжээгээр Хянагчид туслах ёстой.cisХэрэгжиж буй Өгөгдөл Хамгаалах Хуулийн дагуу Өгөгдөл Субъектын эрхийг (GDPR-ийн 15-22 дугаар зүйлийн дагуу хандах, засах, устгах, хязгаарлах, зөөвөрлөх болон татгалзах эрхийг оруулаад) хамгаалах.

Боловсруулагч нь: (a) Хэрэв Боловсруулагч нь Өгөгдлийн Субъектоос Хэрэглэгчийн Мэдээлэлтэй холбоотой хүсэлт хүлээн авбал Хянагчид нэн даруй мэдэгдэх; (b) Хянагчийн баримтжуулсан заавраас бусад тохиолдолд эсвэл холбогдох хуулиар шаардсанаас бусад тохиолдолд ийм хүсэлтэд хариу өгөхгүй; мөн (c) Хянагчид холбогдох хууль ёсны хугацаанд (GDPR-ийн 12-р зүйлийн дагуу 30 хоног) ийм хүсэлтэд хариу өгөхөд зохих туслалцаа үзүүлэх үүрэгтэй.

5.5 Хянагчийн үүрэг хариуцлагыг биелүүлэхэд туслалцаа үзүүлэх

Боловсруулагч нь боловсруулалтын мөн чанар болон Боловсруулагчид байгаа мэдээлэл, түүний дотор дараахь зүйлстэй холбоотой мэдээллийг харгалзан GDPR-ийн 32-36 дугаар зүйлийн дагуух үүргийг биелүүлэхэд Хянагчид туслах ёстой:

• боловсруулалтын аюулгүй байдал (32-р зүйл);
• Хувийн мэдээллийн зөрчлийн талаар хяналтын байгууллагад мэдэгдэх, мэдээллийн субьектэд мэдэгдэх (33-34 дүгээр зүйл);
• өгөгдөл хамгааллын нөлөөллийн үнэлгээ болон урьдчилсан зөвлөлдөх (35–36-р зүйл).

5.6 Өгөгдлийг устгах эсвэл буцаах

Үндсэн гэрээг цуцлах эсвэл хугацаа нь дуусахад, эсвэл Хянагчийн хүсэлтээр Боловсруулагч нь Хянагчийн сонголтоор өөрийн мэдэлд байгаа бүх Харилцагчийн өгөгдлийг устгах эсвэл Хянагчид буцааж өгөх бөгөөд хэрэв холбогдох Европын Холбоо эсвэл Гишүүн Улсын хууль тогтоомжоор Хувийн мэдээллийг хадгалахыг шаардаагүй бол одоо байгаа хуулбарыг устгах ёстой. Боловсруулагч нь холбогдох өдөөгчөөс хойш 30 хоногийн дотор устгал дууссаныг бичгээр баталгаажуулна.

Процессорын standard Хянагч устгах хүсэлтийг өмнө нь гаргаагүй бол өгөгдөл хадгалах хуваарь (1-р хавсралтад заасан) хэрэгжинэ.

5.7 Тохирлын аудит ба нотолгоон

Боловсруулагч нь энэхүү Мэдээллийн Хөтөлбөрт заасан үүргийг биелүүлж байгааг нотлоход шаардлагатай бүх мэдээллийг Хянагчид өгөх бөгөөд Хянагчийн эсвэл Хянагчийн томилсон аудиторын хийсэн шалгалт зэрэг аудитыг зөвшөөрч, хувь нэмэр оруулах ёстой.

Боловсруулагч нь дараах зүйлсийг хангаснаар энэхүү үүргээ биелүүлж болно.

• одоогийн ISO 27001 гэрчилгээ эсвэл SOC 2 Type II тайлангийн хуулбар (авсны дараа);
• Хянагчийн аюулгүй байдлын асуулгыг бөглөх (хүлээн авснаас хойш 10 ажлын өдрийн дотор);
• Хянагчийн зардлаар 30 хоногийн өмнө бичгээр мэдэгдсэний үндсэн дээр газар дээр нь аудит хийх, хуанлийн жилд нэгээс илүүгүй удаа (зохицуулаагүй гэсэн үндэслэлтэй сэжиг байхгүй бол).

6. Хувийн мэдээлэл зөрчсөн тухай мэдэгдэл

Боловсруулагч нь Хувийн мэдээллийн алдагдал нь Хэрэглэгчийн мэдээлэлд нөлөөлж байгааг мэдсэнээс хойш 48 цагийн дотор, ямар ч тохиолдолд Хянагчдад мэдэгдэх ёстой. Ийм мэдэгдэлд тухайн үед боломжтой хэмжээнд дараахь зүйлс орно:

• Хувийн мэдээллийн зөрчлийн мөн чанарын тодорхойлолт, үүнд холбогдох Өгөгдлийн Субъектуудын ангилал, ойролцоо тоо, холбогдох Хувийн мэдээллийн бүртгэлийн ангилал, ойролцоо тоо зэрэг орно;
• мэдээлэл хамгаалах ажилтан эсвэл нэмэлт мэдээлэл авах боломжтой бусад холбоо барих хүний ​​нэр, холбоо барих мэдээлэл;
• Хувийн мэдээллийн зөрчлийн болзошгүй үр дагаврын тодорхойлолт;
• Хувийн мэдээллийн зөрчлийг шийдвэрлэхийн тулд авсан буюу авахаар төлөвлөж буй арга хэмжээний тодорхойлолт, үүнд шаардлагатай тохиолдолд түүний болзошгүй сөрөг нөлөөллийг бууруулах арга хэмжээ орно.

Дээрх бүх мэдээллийг нэгэн зэрэг өгөх боломжгүй тохиолдолд мэдээллийг цаашид хэт хойшлуулалгүйгээр үе шаттайгаар өгч болно. Боловсруулагч нь Хянагчтай хамтран ажиллаж, зөрчлийг мөрдөн шалгах, бууруулах, арилгахад туслахын тулд Хянагч шаардлагатай боломжийн алхмуудыг хийнэ.

Хувийн мэдээллийн зөрчлийн талаар мэдсэнээс хойш 72 цагийн дотор эрх бүхий хяналтын байгууллагад (Agencia Española de Protección de Datos — AEPD, эсвэл бусад холбогдох байгууллага) мэдэгдэх үүрэг нь GDPR-ийн 33 дугаар зүйлийн дагуу өгөгдөл хянагч болох Хянагч дээр байгааг Талууд хүлээн зөвшөөрч байна. Энэхүү заалтын дагуу боловсруулагчийн Хянагчдад мэдэгдэх нь Хянагчийг энэхүү зохицуулалтын үүргээ биелүүлэх боломжийг олгох зорилготой юм. Боловсруулагчийн мэдэгдэл нь алдаа эсвэл хариуцлагыг хүлээн зөвшөөрсөн гэж тооцогдохгүй.

7. Дэд боловсруулагчид

7.1 Ерөнхий зөвшөөрөл

Хянагч нь энэхүү ХБХ-ны 3-р хавсралтад (Батлагдсан дэд боловсруулагчид) жагсаасан дэд боловсруулагчдыг татан оролцуулах ерөнхий зөвшөөрлийг Процессорт олгоно. Процессор нь энэхүү ХБХ-нд заасантай дүйцэхүйц өгөгдөл хамгаалах үүрэг бүхий дэд боловсруулагч бүрт ногдуулах бөгөөд ялангуяа зохих техникийн болон зохион байгуулалтын арга хэмжээг хэрэгжүүлэх хангалттай баталгааг олгоно.

7.2 Дэд боловсруулагчдад оруулах өөрчлөлтүүд

Процессор нь Дэд процессоруудыг нэмэх эсвэл солихтой холбоотой аливаа өөрчлөлтийн талаар Хянагчид мэдэгдэх ёстой: (a) https://xygeni.io/legal/subprocessors хаягаар нийтлэгдсэн Дэд процессоруудын жагсаалтыг шинэчилсэн "Сүүлд шинэчилсэн" огноогоор шинэчлэх; болон (b) өөрчлөлт хүчин төгөлдөр болохоос дор хаяж арав (10) хоногийн өмнө Хянагчид бичгээр мэдэгдэх. Хянагчид мэдэгдлээс хойш долоон (7) хоногийн дотор өгөгдөл хамгаалах үндэслэлээр өөрчлөлтийг эсэргүүцэж болно. Хэрэв Хянагчид эсэргүүцэл үзүүлж, Талууд эсэргүүцлийг шийдвэрлэж чадахгүй бол Хянагчид Үндсэн гэрээг зохих ёсны мэдэгдэлтэйгээр торгууль ногдуулалгүйгээр цуцалж болно.

Хэрэв Процессор нь Дэд процессорыг ажиллуулбал, Дэд процессор нь өгөгдөл хамгаалах үүргээ биелүүлээгүй тохиолдолд тухайн Дэд процессорын үүргийн гүйцэтгэлийн талаар Хянагчийн өмнө бүрэн хариуцлага хүлээнэ.

7.3 Дэд процессорын урсгалыг бууруулах шаардлага

Дэд процессор бүрийн хувьд Процессор нь дараахь зүйлийг хийх ёстой.

• Дэд боловсруулагчтай холбогдохоос өмнө зохих ёсоор нягтлан шалгах;
• энэхүү Мэдээллийн Хөтөлбөрт заасантай харьцуулахад хамгаалалтын үүргээс дутуугүй өгөгдөл хамгаалах үүргийг ногдуулсан бичгээр өгөгдөл боловсруулах гэрээ байгуулах;
• Дэд боловсруулагчийн аюулгүй байдлын арга хэмжээ нь 5.3-р зүйл болон 2-р хавсралтад заасантай тэнцүү байх ёстойг баталгаажуулах;
• Хувийн мэдээллийн зөрчлийн талаар мэдсэнээс хойш 24 цагийн дотор Дэд боловсруулагчаас Боловсруулагчид мэдэгдэхийг шаардсан зөрчлийн мэдэгдлийн үүргийг багтаасан бөгөөд ингэснээр Боловсруулагч Хянагчид өгөх 48 цагийн мэдэгдлийн үүргээ биелүүлэх боломжтой болно.

8. Олон улсын шилжүүлэг

Боловсруулагч нь дараах тохиолдолд Харилцагчийн мэдээллийг Европын Эдийн Засгийн Бүс (ЕЭББ)-аас гаднах улс руу дамжуулахгүй:

• Европын Комисс хангалттай байдлын хэм хэмжээг баталсанcisGDPR-ийн 45 дугаар зүйлийн дагуу тухайн улсын хувьд; эсвэл
• GDPR-ийн 46 дугаар зүйлийн дагуу зохих хамгаалалтыг хэрэгжүүлсэн бөгөөд үүнд дараахь зүйлс орно. Standard Европын Комиссоос баталсан гэрээний заалтууд Хэрэгжүүлэх Деcis2021 оны 6-р сарын 4-ний өдрийн ion (EU) 2021/914 (“SCCs”).

SCC шаардлагатай тохиолдолд Процессор нь Хянагчийн хүсэлтээр холбогдох SCC-г Хянагч болон/эсвэл холбогдох Дэд процессортой хамтран гүйцэтгэнэ. SCC-ийн холбогдох модуль нь Хянагчаас Процессор руу шилжүүлэхэд зориулсан Хоёрдугаар Модуль (Хянагчаас Процессор руу), Процессороос Дэд процессор руу цааш шилжүүлэхэд зориулсан Гуравдугаар Модуль (Процессороос Дэд процессор руу) байна.

Хэрэв бичгээр өөрөөр тохиролцоогүй бол ХЗХ-ны зорилгын эрх бүхий хяналтын байгууллага нь Испанийн Мэдээлэл Хамгаалах Агентлаг (Agencia Española de Protección de Datos — AEPD) юм.

Боловсруулагч нь Хэрэглэгчийн мэдээллийн бүх олон улсын шилжүүлгийн одоогийн бүртгэл болон тус бүрийн холбогдох шилжүүлгийн механизмыг хадгалж, хүсэлтийн дагуу Хянагчид хүртээмжтэй болгоно.

9. Өгөгдөл хамгааллын нөлөөллийн үнэлгээ

Боловсруулалтын үйл ажиллагаа нь хувь хүний ​​эрх, эрх чөлөөнд өндөр эрсдэл учруулах магадлалтай бөгөөд Хянагч нь GDPR-ийн 35 дугаар зүйлийн дагуу Өгөгдөл Хамгаалалтын Нөлөөллийн Үнэлгээ (DPIA) хийх шаардлагатай тохиолдолд Боловсруулагч нь Хянагчийг DPIA-г хэрэгжүүлэхэд шаардлагатай тусламж, мэдээллээр хангах ёстой. Боловсруулагч нь Хянагчийн DPIA-тай холбоотой үндэслэлтэй хүсэлтэд 15 ажлын өдрийн дотор хариу өгөх ёстой.

10. Боловсруулалтын үйл ажиллагааны бүртгэл

Боловсруулагч нь Хянагчийн хүсэлтээр GDPR-ийн 30(2)-р зүйлийн дагуу Хянагчийн өмнөөс хийгдсэн боловсруулалтын үйл ажиллагааны бүртгэлийг хөтлөх бөгөөд үүнд: Боловсруулагч болон дэд боловсруулагчдын нэр, холбоо барих мэдээлэл; Хянагчийн өмнөөс хийгдсэн боловсруулалтын ангилал; Хувийн мэдээллийг гуравдагч улсад шилжүүлэх; техникийн болон зохион байгуулалтын аюулгүй байдлын арга хэмжээний ерөнхий тодорхойлолт орно.

11. Хариуцлага

Энэхүү Мэдээллийн Хамгаалалтын Гэрээний дагуу эсвэл түүнтэй холбоотойгоор Тал бүрийн нөгөө талын өмнө хүлээх хариуцлага нь Үндсэн Гэрээнд заасан хязгаарлалт болон хасалтад хамаарна. Мэдээллийн Субъект нь Мэдээллийн Хамгаалалтын Хууль зөрчсөн боловсруулалтын үр дүнд хохирол амссан тохиолдолд Тал бүр GDPR-ийн 82-83 дугаар зүйлийн дагуу GDPR-ийг зөрчсөн боловсруулалтын улмаас учирсан хохирлыг хариуцах үүрэгтэй. Энэ заалтад аль ч Тал нь холбогдох хуулийн дагуу Мэдээллийн Субъектын өмнө хүлээх хариуцлагыг хязгаарлаагүй болно.

12 дугаартай. Хугацаа ба дуусгавар байдал

Энэхүү Гэрээний Хөдөлгөөн нь Үндсэн Гэрээний өдрөөс (эсвэл дараа нь байгуулагдсан бол энэхүү Гэрээг байгуулсан өдрөөс) эхлэн хүчин төгөлдөр болох бөгөөд Үндсэн Гэрээний хугацаанд хүчин төгөлдөр хэвээр байна. Үндсэн Гэрээг ямар нэгэн шалтгаанаар цуцалснаар энэхүү Гэрээний Хөдөлгөөнийг автоматаар цуцална.

Гэрээг цуцалсны дараа 5.6-р заалтын дагуу (өгөгдөл устгах эсвэл буцаах) Боловсруулагчийн үүрэг хүчин төгөлдөр хэвээр байх бөгөөд Боловсруулагч нь гэрээг цуцалснаас хойш 30 хоногийн дотор Харилцагчийн өгөгдлийг устгах эсвэл буцаан өгөх үүрэгтэй. Нууцлал, хариуцлага, холбогдох хууль тогтоомж, аудиттай холбоотой заалтууд мөн гэрээг цуцалснаас хойш хүчин төгөлдөр хэвээр байна.

13. Удирдах эрх зүй ба харьяалал

Энэхүү Хөгжлийн бэрхшээлтэй иргэдийн гэрээг Испанийн хууль тогтоомжийн дагуу зохицуулж, тайлбарлана. Талууд энэхүү Хөгжлийн бэрхшээлтэй иргэдийн гэрээтэй холбоотой болон түүнээс үүдэлтэй аливаа маргааныг шийдвэрлэхдээ Мадридын шүүхийн онцгой бус харьяалалд захирагдана. Энэхүү Хөгжлийн бэрхшээлтэй иргэдийн гэрээний аль нэг заалт нь ХБХ-тэй зөрчилдөж байгаа тохиолдолд ХБХ-ууд давуу эрх эдэлнэ.

14. Бусад

Гэрээг бүхэлд нь: Энэхүү Мэдээллийн Хөтөлбөрийн Гэрээ нь Хавсралтууд болон Үндсэн Гэрээний хамтаар энэхүү хэлэлцээрийн сэдэвтэй холбоотой Талуудын хоорондын бүрэн хэлэлцээрийг бүрдүүлж, өгөгдөл боловсруулахтай холбоотой өмнөх бүх хэлэлцээр, ойлголцол эсвэл төлөөллийг хүчингүй болгоно.

Нэмэлт өөрчлөлтүүд: Энэхүү Хөгжлийн бэрхшээлтэй иргэдийн гэрээнд зөвхөн хоёр талын эрх бүхий төлөөлөгчдийн гарын үсэг зурсан бичгээр байгуулсан гэрээгээр нэмэлт, өөрчлөлт оруулж болно.

Салах чадвар: Хэрэв энэхүү Хөгжлийн бэрхшээлтэй иргэдийн гэрээний аль нэг заалт хүчингүй эсвэл хэрэгжих боломжгүй гэж үзвэл үлдсэн заалтууд бүрэн хүчин төгөлдөр хэвээр байна.

Давуу тал: Энэхүү ХБХ болон Хавсралтуудын хооронд зөрчил гарсан тохиолдолд Хавсралтад өөрөөр заагаагүй бол ХБХ-ны байгууллага давуу эрхтэй байна. Энэхүү ХБХ болон ХБХ-ны хооронд (хамааралтай тохиолдолд) зөрчил гарсан тохиолдолд ХБХ давуу эрхтэй байна.

ХАВСРАЛТ 1 — Боловсруулалтын дэлгэрэнгүй мэдээлэл

1. Сэдвийн сэдэв

Боловсруулалтын сэдэв нь Xygeni-ийн нийлүүлэлт юм application security posture management, software supply chain security шинжилгээ, эмзэг байдлыг илрүүлэх, CI/CD Үндсэн гэрээнд дурдсанчлан аюулгүй байдлын хяналт, холбогдох үйлчилгээ.

2. Боловсруулалтын мөн чанар

Харилцагчийн өгөгдлийг цуглуулах, зохион байгуулах, бүтэцжүүлэх, хадгалах, шинжлэх, татаж авах, ашиглах, дамжуулах, тохируулах эсвэл нэгтгэх, хязгаарлах, устгах эсвэл устгах замаар задруулах.

3. Боловсруулалтын зорилго

Харилцагчийн өгөгдлийг боловсруулах нь зөвхөн Хянагчдад үйлчилгээ үзүүлэх зорилгоор хийгддэг бөгөөд үүнд: аюулгүй байдлын эмзэг байдлыг илрүүлэх, мэдээлэх; програм хангамжийн хангамжийн сүлжээний эрсдэлийн шинжилгээ; CI/CD pipeline security хяналт; гажиг илрүүлэх; болон хэрэглэгчийн дэмжлэг.

4. Боловсруулалтын үргэлжлэх хугацаа

Боловсруулагч нь Үндсэн гэрээний хугацаанд Харилцагчийн өгөгдлийг боловсруулна. Гэрээг цуцалсны дараа, Хянагч эрт устгах хүсэлт гаргаагүй тохиолдолд Боловсруулагч нь захиалгын хугацаа дууссанаас хойш 3 сарын турш Харилцагчийн өгөгдлийг хадгалах бөгөөд устгахаас өмнө хадгалах ёстой. Туршилтын бүртгэлийн өгөгдлийг туршилтын хугацаа дууссанаас хойш 1 сарын турш хадгална.

5. Хувийн мэдээллийн төрлүүд

6. Өгөгдлийн субьектуудын ангилал

Өгөгдлийн субьектуудад: Үйлчилгээнд ханддаг Хянагчийн ажилчид, гэрээт гүйцэтгэгчид болон бусад эрх бүхий хэрэглэгчид; репозиторуудад хувь нэмэр оруулагчид (хөгжүүлэгчид, бот бүртгэлүүд, бүтээх агентууд) багтана. pipelineҮйлчилгээнүүд хянадаг; мөн Хянагчийн төлөөлөгчид болон холбоо барих хүмүүс.

7. Тусгай ангиллын өгөгдөл

Үйлчилгээ нь GDPR-ийн 9-р зүйлд тодорхойлсон тусгай ангиллын хувийн мэдээллийг боловсруулахад зориулагдаагүй болно. Хянагч нь Xygeni-тэй урьдчилан бичгээр тохиролцоогүйгээр болон зохих нэмэлт хамгаалалтын арга хэмжээг хэрэгжүүлэлгүйгээр тусгай ангиллын хувийн мэдээллийг Үйлчилгээнд илгээхгүй гэдгээ баталгаажуулдаг.

ХАВСРАЛТ 2 — Техникийн болон зохион байгуулалтын аюулгүй байдлын арга хэмжээ

Xygeni нь Xygeni-ийн ISO 27001 гэрчилгээтэй мэдээллийн аюулгүй байдлын удирдлагын системтэй нийцүүлэн Харилцагчийн мэдээллийг хамгаалахын тулд дараах техникийн болон зохион байгуулалтын арга хэмжээг хэрэгжүүлдэг:

Хандалтын хяналт нь

• Үйлчлүүлэгчийн өгөгдлийг боловсруулдаг бүх системд дүрд суурилсан хандалтын хяналт (RBAC)-ийг хэрэгжүүлдэг.
• Үйлдвэрлэлийн системд ханддаг бүх Xygeni ажилтнуудад олон хүчин зүйлийн баталгаажуулалт (MFA) шаардлагатай.
• Хамгийн бага эрхийн зарчим бүх хэрэглэгчийн бүртгэлд хамаарна; хандалтын эрхийг улирал тутам хянана.
• Үйлдвэрлэлийн серверт хандах SSH түлхүүр дээр суурилсан баталгаажуулалт; нууц үгийн баталгаажуулалтыг идэвхгүй болгосон.

Мэдээллийн шифрлэлт

• Хэрэглэгчийн өгөгдлийг TLS 1.2 буюу түүнээс дээш хувилбарыг ашиглан дамжуулах явцад шифрлэдэг.
• Хэрэглэгчийн өгөгдлийг AES-256 эсвэл түүнтэй дүйцэхүйц байдлаар шифрлэнэ.
• Шифрлэлтийн түлхүүрүүдийг AWS Түлхүүр Удирдлагын Үйлчилгээ (KMS)-ээр удирддаг.

Сүлжээний аюулгүй байдлын

• Сүлжээний сегментчилэлтэй AWS Virtual Private Cloud (VPC) дотор байршуулсан үйлдвэрлэлийн системүүд.
• Олон нийтэд нээлттэй төгсгөлийн цэгүүдэд зориулсан Вэб програмын галт хана (WAF)-ийг байрлуулсан.
• Халдлагыг илрүүлэх, урьдчилан сэргийлэх системүүд ажиллаж байна.
• Дэд бүтэц болон програмын давхаргын эмзэг байдлыг тогтмол сканнердах, нэвтрэх туршилт хийх.

Биеийн аюулгүй байдал

• SOC 2 Type II болон ISO 27001 гэрчилгээтэй AWS өгөгдлийн төвүүдэд байршуулсан хэрэглэгчийн мэдээлэл.
• Өгөгдлийн төвийн байгууламжид бодитоор хандах эрхийг биометрийн хяналттай эрх бүхий AWS ажилтнууд л хязгаарладаг.

Хүртээмж ба тэсвэр тэвчээр

• Бүх хэрэглэгчийн өгөгдлийн өдөр бүр автомат нөөцлөлтийг хамгийн багадаа 7 хоног хадгална.
• Нөөцлөлтийн бүрэн бүтэн байдлыг үе үе шалгаж байна.
• Disastнөхөн сэргээх журмыг жил бүр баримтжуулж, туршиж үздэг.

Ослын менежмент

• Аюулгүй байдлын ослын хариу арга хэмжээний төлөвлөгөөг жил бүр хөтөлж, туршиж үздэг.
• Аюулгүй байдлын үйл явдлуудыг хянаж, бүртгэдэг; сэрэмжлүүлгийг аюулгүй байдлын үйл ажиллагааны функц хянадаг.
• Хувийн мэдээллийн зөрчлийн талаарх мэдэгдлийн журмыг хянагчид 48 цагийн дотор мэдэгдэх үүргээ биелүүлэхийн тулд хэрэгжүүлсэн.

ажилтан

• Xygeni-ийн бүх ажилтнууд нууцлалын үүрэг хариуцлагатайгаар Харилцагчийн мэдээлэлд хандах эрхтэй.
• Бүх ажилтнуудад зориулсан аюулгүй байдлын мэдлэг олгох сургалтыг жил бүр зохион байгуулдаг.
• Холбогдох хуулиар зөвшөөрөгдсөн хүрээнд үйлдвэрлэлийн системд нэвтрэх эрхтэй ажилтнуудын талаарх суурь шалгалтыг хийсэн.

Гуравдагч талын удирдлага

• Дэд боловсруулагчдыг холболт хийхээс өмнө аюулгүй байдлын шаардлагыг хангасан эсэхийг үнэлсэн.
• Бүх дэд боловсруулагчидтай өгөгдөл боловсруулах гэрээ байгуулсан.

Гэрчилгээний

• Xygeni нь ISO 27001 (мэдээллийн аюулгүй байдлын удирдлагын систем) гэрчилгээтэй.
• Xygeni нь SOC 2 Type II гэрчилгээ авахаар суралцаж байгаа бөгөөд гэрчилгээг дууссаны дараа хянагчид олгоно.