Umowa o przetwarzaniu danych

Strony

Niniejsza Umowa o przetwarzaniu danych („Umowa o przetwarzaniu danych” lub „Umowa”) zostaje zawarta pomiędzy:

Administrator danych („Administrator” lub „Klient”)

Podmiot przetwarzający dane („Podmiot przetwarzający” lub „Xygeni”):

W dalszej części dokumentu Administrator i Podmiot Przetwarzający zwani są oddzielnie „Stroną”, a łącznie „Stronami”.

Niniejsza Umowa o świadczenie usług (DPA) stanowi część Umowy ramowej o świadczenie usług lub Warunków świadczenia usług („Umowa główna”) pomiędzy Stronami, regulującej świadczenie przez Xygeni usług bezpieczeństwa aplikacji i software supply chain security Usługi („Usługi”). W przypadku konfliktu między niniejszą Umową o Prywatności a Umową Główną, niniejsza Umowa o Prywatności ma pierwszeństwo w kwestiach ochrony danych.

1. Definicje

Do celów niniejszej umowy o ochronie danych:

• „PKB” oznacza Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych.
• „LOPDGDD” oznacza Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales.
• „Dane osobowe”, „Przetwarzanie”, „Administrator”, „Przetwarzający”, „Podprzetwarzający”, „Podmiot danych”, „Organ nadzoru”, „Naruszenie danych osobowych” będą miały znaczenie przypisane im w RODO.
• "Dane klienta" oznacza wszelkie Dane Osobowe przesłane przez Kontrolera lub w jego imieniu do Usług lub przetwarzane przez Podmiot Przetwarzający w imieniu Kontrolera w związku z Usługami.
• „Podprocesor” oznacza dowolną osobę trzecią zaangażowaną przez Podmiot Przetwarzający, za uprzednią zgodą Kontrolera (zgodnie z opisem w Klauzuli 7), w celu przetwarzania Danych Klienta w imieniu Kontrolera.
• „SCC” oznacza Standard Klauzule umowne dotyczące przekazywania danych osobowych do państw trzecich zgodnie z RODO, zatwierdzone przez Rozporządzenie wykonawcze Komisji EuropejskiejcisRozporządzenie (UE) 2021/914 z dnia 4 czerwca 2021 r.
• „Usługi” oznacza application security posture management, software supply chain security, wykrywanie luk w zabezpieczeniach i powiązane usługi świadczone przez Xygeni na rzecz Administratora na podstawie Umowy Głównej.
• „Obowiązujące prawo o ochronie danych” oznacza RODO, LOPDGDD i wszelkie inne obowiązujące krajowe przepisy o ochronie danych, z późniejszymi zmianami.

2. Role Stron

Strony potwierdzają i zgadzają się, że:

• Administrator pełni funkcję administratora danych w odniesieniu do Danych Klienta i jest odpowiedzialny za określanie celów i sposobów przetwarzania Danych Klienta przekazanych za pośrednictwem Usług.
• Podmiot przetwarzający działa w charakterze podmiotu przetwarzającego dane w odniesieniu do Danych Klienta i przetwarza takie dane wyłącznie w imieniu i na podstawie udokumentowanych instrukcji Kontrolera.
• Każda ze Stron zobowiązana jest do przestrzegania swoich odpowiednich obowiązków wynikających z Obowiązującego Prawa o Ochronie Danych w ramach pełnienia roli Administratora lub Podmiotu Przetwarzającego.

W przypadku, gdy Xygeni przetwarza dane osobowe do własnych celów (np. zarządzania kontem, rozliczeń, analiz w celu poprawy jakości usług), działa jako niezależny Administrator. Takie przetwarzanie podlega Polityce Prywatności Xygeni i nie jest objęte zakresem niniejszej Umowy o Ochronie Danych Osobowych.

3. Przedmiot, charakter i cel przetwarzania

Przedmiot, charakter, czas trwania i cel przetwarzania, a także rodzaje przetwarzanych Danych osobowych i kategorie Podmiotów danych określono w Załączniku 1 (Szczegóły przetwarzania) do niniejszej umowy o przetwarzaniu danych.

Podmiot przetwarzający będzie przetwarzał Dane Klienta wyłącznie w zakresie niezbędnym do świadczenia Usług opisanych w Umowie Głównej oraz zgodnie z udokumentowanymi instrukcjami Administratora, chyba że wymaga tego obowiązujące prawo. W takim przypadku Podmiot przetwarzający poinformuje Administratora o tym wymogu prawnym przed rozpoczęciem przetwarzania, chyba że jest to zabronione przez prawo z uwagi na ważny interes publiczny.

4. Instrukcje Kontrolera

Kontroler zleca Przetwarzającemu przetwarzanie Danych Klienta w zakresie niezbędnym do: (a) świadczenia Usług zgodnie z Umową główną; (b) przestrzegania instrukcji Kontrolera przekazywanych od czasu do czasu w formie pisemnej; oraz (c) wypełniania zobowiązań Przetwarzającego wynikających z niniejszej Umowy o przetwarzaniu danych.

Podmiot przetwarzający niezwłocznie poinformuje Administratora, jeżeli w jego uzasadnionej opinii polecenie Administratora narusza Obowiązujące Przepisy o Ochronie Danych. W takim przypadku Podmiot przetwarzający będzie uprawniony do zaprzestania przetwarzania zgodnie z takim poleceniem do czasu jego wyjaśnienia lub modyfikacji przez Administratora.

Administrator gwarantuje i oświadcza, że: (a) posiada ważną podstawę prawną na podstawie art. 6 RODO (oraz, w stosownych przypadkach, art. 9) do przetwarzania odpowiednich Danych Osobowych; (b) dostarczył wszystkie wymagane powiadomienia i uzyskał wszystkie wymagane zgody; oraz (c) przekazanie Danych Klienta Podmiotowi Przetwarzającemu nie narusza żadnych obowiązujących przepisów prawa.

5. Obowiązki podmiotu przetwarzającego

5.1 Ograniczenia przetwarzania

Podmiot przetwarzający będzie przetwarzał Dane Klienta wyłącznie na podstawie udokumentowanych instrukcji Administratora, chyba że będzie to wymagane przez obowiązujące prawo UE lub państwa członkowskiego. Podmiot przetwarzający nie będzie przetwarzał Danych Klienta dla własnych celów ani ujawniał ich osobom trzecim, chyba że będzie to konieczne do świadczenia Usług lub będzie wymagane przez prawo.

5.2 Poufność

Podmiot przetwarzający zapewni, że osoby upoważnione do przetwarzania Danych Klienta mają: commitzobowiązały się do zachowania poufności lub podlegają odpowiedniemu ustawowemu obowiązkowi zachowania poufności. Dostęp do Danych Klienta będzie ograniczony do tych pracowników, kontrahentów i podwykonawców, którzy potrzebują dostępu w celu świadczenia Usług.

5.3 Środki bezpieczeństwa

Podmiot przetwarzający jest zobowiązany wdrożyć i utrzymywać odpowiednie środki techniczne i organizacyjne w celu ochrony Danych Klienta przed nieautoryzowanym lub niezgodnym z prawem przetwarzaniem oraz przed przypadkową utratą, zniszczeniem, uszkodzeniem, zmianą lub ujawnieniem, biorąc pod uwagę:

• stan techniki i koszty wdrożenia;
• charakter, zakres, kontekst i cele przetwarzania;
• ryzyko naruszenia praw i wolności osób fizycznych, w szczególności wynikające z przypadkowego lub niezgodnego z prawem zniszczenia, utraty, modyfikacji, nieuprawnionego ujawnienia lub dostępu do Danych Klienta przesyłanych, przechowywanych lub w inny sposób przetwarzanych.

Środki te obejmują co najmniej środki określone w Załączniku 2 (Techniczne i organizacyjne środki bezpieczeństwa) do niniejszej Umowy o przetwarzaniu danych. Certyfikat ISO 27001 Podmiotu przetwarzającego dane stanowi dowód posiadania podstawowego systemu zarządzania bezpieczeństwem informacji. Podmiot przetwarzający dane jest zobowiązany do utrzymania certyfikatu ISO 27001 lub równoważnego przez cały okres obowiązywania niniejszej Umowy o przetwarzaniu danych.

5.4 Prawa podmiotu danych

Podmiot przetwarzający, biorąc pod uwagę charakter przetwarzania, powinien w miarę możliwości pomagać Administratorowi w wywiązywaniu się z obowiązku odpowiadania na żądania dotyczące wykonywania czynności, poprzez odpowiednie środki techniczne i organizacyjne.cisprawa osób, których dane dotyczą, wynikające z obowiązującego prawa o ochronie danych (w tym prawo dostępu, sprostowania, usunięcia, ograniczenia, przenoszenia i sprzeciwu zgodnie z artykułami 15–22 RODO).

Podmiot przetwarzający jest zobowiązany: (a) niezwłocznie powiadomić Administratora, jeśli otrzyma żądanie od Podmiotu danych dotyczące Danych klienta; (b) nie odpowiadać na takie żądania, chyba że zgodnie z udokumentowanymi instrukcjami Administratora lub zgodnie z wymogami obowiązującego prawa; oraz (c) zapewnić Administratorowi uzasadnioną pomoc w odpowiadaniu na takie żądania w obowiązujących ustawowych terminach (30 dni na podstawie art. 12 RODO).

5.5 Pomoc w wypełnianiu obowiązków Kontrolera

Podmiot przetwarzający jest zobowiązany pomagać Administratorowi w zapewnieniu zgodności z obowiązkami wynikającymi z artykułów 32–36 RODO, biorąc pod uwagę charakter przetwarzania i informacje dostępne Podmiotowi przetwarzającemu, w tym w odniesieniu do:

• bezpieczeństwo przetwarzania (art. 32);
• zgłaszanie naruszeń ochrony danych osobowych organowi nadzorczemu i komunikowanie osobom, których dane dotyczą (art. 33–34);
• oceny skutków dla ochrony danych i uprzednie konsultacje (art. 35–36).

5.6 Usuwanie lub zwrot danych

Po rozwiązaniu lub wygaśnięciu Umowy Głównej lub na żądanie Administratora, Podmiot Przetwarzający, według własnego wyboru, usunie lub zwróci Administratorowi wszystkie Dane Klienta będące w jego posiadaniu, a także usunie ich istniejące kopie, chyba że obowiązujące prawo UE lub państwa członkowskiego wymaga przechowywania Danych Osobowych. Podmiot Przetwarzający potwierdzi usunięcie na piśmie w ciągu 30 dni od wystąpienia odpowiedniego zdarzenia.

Procesorów standard harmonogram przechowywania danych (określony w Załączniku 1) będzie miał zastosowanie, chyba że Administrator złoży wcześniej wniosek o usunięcie.

5.7 Audyt i demonstracja zgodności

Podmiot przetwarzający udostępni Kontrolerowi wszelkie informacje niezbędne do wykazania zgodności z obowiązkami określonymi w niniejszej Umowie o przetwarzaniu danych oraz umożliwi i przyczyni się do przeprowadzenia audytów, w tym inspekcji, przez Kontrolera lub audytora wyznaczonego przez Kontrolera.

Podmiot przetwarzający może spełnić ten obowiązek poprzez zapewnienie:

• kopię aktualnego certyfikatu ISO 27001 lub raportu SOC 2 typu II (po jego uzyskaniu);
• wypełnienie kwestionariusza bezpieczeństwa Kontrolera (w ciągu 10 dni roboczych od jego otrzymania);
• uzasadnione audyty na miejscu po uprzednim pisemnym powiadomieniu na 30 dni przed ich przeprowadzeniem, na koszt Kontrolera, nie częściej niż raz w roku kalendarzowym (chyba że istnieje uzasadnione podejrzenie braku zgodności).

6. Powiadomienie o naruszeniu danych osobowych

Podmiot przetwarzający jest zobowiązany powiadomić Administratora bez zbędnej zwłoki, a w każdym razie w ciągu 48 godzin od momentu powzięcia informacji o naruszeniu ochrony danych osobowych dotyczącym danych klienta. Powiadomienie powinno obejmować, w zakresie dostępnym w danym momencie, następujące informacje:

• opis charakteru naruszenia danych osobowych, w tym kategorii i przybliżonej liczby osób, których dane dotyczą, oraz kategorii i przybliżonej liczby rekordów danych osobowych, których dotyczy naruszenie;
• nazwa i dane kontaktowe inspektora ochrony danych lub innego punktu kontaktowego, od którego można uzyskać więcej informacji;
• opis prawdopodobnych konsekwencji naruszenia danych osobowych;
• opis podjętych lub proponowanych działań w celu zaradzenia naruszeniu ochrony danych osobowych, obejmujący, w stosownych przypadkach, działania mające na celu złagodzenie jego możliwych negatywnych skutków.

Jeżeli nie jest możliwe jednoczesne przekazanie wszystkich powyższych informacji, informacje te mogą być przekazywane etapami, bez zbędnej zwłoki. Podmiot przetwarzający jest zobowiązany do współpracy z Administratorem i podjęcia wszelkich uzasadnionych kroków, jakie Administrator może uznać za niezbędne w celu pomocy w dochodzeniu, łagodzeniu i naprawie naruszenia.

Strony uznają, że obowiązek powiadomienia właściwego organu nadzorczego (Agencia Española de Protección de Datos – AEPD) w ciągu 72 godzin od momentu stwierdzenia naruszenia ochrony danych osobowych spoczywa na Administratorze jako administratorze danych. Powiadomienie Administratora przez Podmiot Przetwarzający na mocy niniejszej Klauzuli ma na celu umożliwienie Administratorowi wypełnienia tego obowiązku regulacyjnego. Powiadomienie Podmiotu Przetwarzającego nie stanowi przyznania się do winy ani odpowiedzialności.

7. Podprocesory

7.1 Ogólne upoważnienie

Administrator udziela Podmiotowi Przetwarzającemu ogólnego upoważnienia do angażowania Podmiotów Przetwarzających wymienionych w Załączniku 3 (Zatwierdzeni Podmioty Przetwarzające) do niniejszej Umowy o Ochronie Danych. Podmiot Przetwarzający nałoży na każdego Podmiot Przetwarzający obowiązki w zakresie ochrony danych równoważne z tymi określonymi w niniejszej Umowie o Ochronie Danych, w szczególności zapewniając wystarczające gwarancje wdrożenia odpowiednich środków technicznych i organizacyjnych.

7.2 Zmiany w podmiotach przetwarzających dane

Podmiot przetwarzający powiadomi Administratora o wszelkich planowanych zmianach dotyczących dodania lub zastąpienia Podmiotów przetwarzających poprzez: (a) aktualizację listy Podmiotów przetwarzających opublikowanej na stronie https://xygeni.io/legal/subprocessors, podając zmienioną datę „Ostatniej aktualizacji”; oraz (b) pisemne powiadomienie Administratora co najmniej dziesięć (10) dni przed wejściem zmiany w życie. Administrator może sprzeciwić się zmianie z uzasadnionych powodów związanych z ochroną danych w ciągu siedmiu (7) dni od daty takiego powiadomienia. Jeżeli Administrator wniesie sprzeciw, a Strony nie będą w stanie rozstrzygnąć sprzeciwu, Administrator może rozwiązać Umowę główną z zachowaniem rozsądnego okresu wypowiedzenia bez ponoszenia kar.

Jeżeli Podmiot przetwarzający zaangażuje Podmiot przetwarzający, ponosi on pełną odpowiedzialność wobec Administratora za realizację obowiązków Podmiotu przetwarzającego w zakresie, w jakim Podmiot przetwarzający nie wywiązuje się ze swoich obowiązków w zakresie ochrony danych.

7.3 Wymagania dotyczące przepływu podprocesorów

W przypadku każdego Podmiotu Przetwarzającego, Podmiot Przetwarzający zobowiązany jest do:

• przeprowadzić odpowiednią należytą staranność przed zaangażowaniem Podmiotu Przetwarzającego;
• zawrzeć pisemną umowę o przetwarzaniu danych, nakładającą na nią obowiązki ochrony danych nie mniej ochronne niż te zawarte w niniejszej Umowie o przetwarzaniu danych;
• zapewnić, że środki bezpieczeństwa Podmiotu przetwarzającego są co najmniej równoważne środkom wymaganym na mocy Klauzuli 5.3 i Załącznika 2;
• obejmują obowiązki powiadamiania o naruszeniach, wymagające od Podmiotu przetwarzającego powiadomienia Podmiotu przetwarzającego w ciągu 24 godzin od momentu dowiedzenia się o Naruszeniu Danych Osobowych, aby Podmiot przetwarzający mógł wywiązać się z 48-godzinnego obowiązku powiadomienia Kontrolera.

8. Przelewy międzynarodowe

Podmiot przetwarzający nie będzie przekazywał Danych Klienta do kraju spoza Europejskiego Obszaru Gospodarczego (EOG), chyba że:

• Komisja Europejska przyjęła deklarację odpowiedniego poziomu ochronycisdla tego kraju zgodnie z artykułem 45 RODO; lub
• wdrożono odpowiednie zabezpieczenia zgodnie z artykułem 46 RODO, w tym, ale nie wyłącznie, Standard Klauzule umowne przyjęte przez Komisję Europejską w ramach wdrażaniacisRozporządzenie Parlamentu Europejskiego i Rady (UE) 2021/914 z dnia 4 czerwca 2021 r. („SCC”).

W przypadku konieczności stosowania Standardowych Klauzuli Ubezpieczeń (SCC), Podmiot Przetwarzający, na żądanie Administratora, zawrze stosowne Standardowe Klauzule Ubezpieczeń (SCC) z Administratorem i/lub odpowiednim Podmiotem Przetwarzającym. Obowiązującym modułem Standardowych Klauzuli Ubezpieczeń (SCC) jest Moduł Drugi (Od Administratora do Podmiotu Przetwarzającego) w przypadku transferów danych od Administratora do Podmiotu Przetwarzającego oraz Moduł Trzeci (Od Podmiotu Przetwarzającego do Podmiotu Przetwarzającego) w przypadku dalszych transferów danych przez Podmiot Przetwarzający do Podmiotów Przetwarzających.

Właściwym organem nadzorczym dla celów SCC jest Hiszpańska Agencja Ochrony Danych (Agencia Española de Protección de Datos — AEPD), chyba że strony uzgodniły inaczej na piśmie.

Podmiot przetwarzający zobowiązany jest do prowadzenia i udostępniania Kontrolerowi na żądanie aktualnego rejestru wszystkich międzynarodowych transferów Danych Klienta oraz obowiązującego dla każdego z nich mechanizmu transferu.

9. Oceny skutków dla ochrony danych

W przypadku gdy czynność przetwarzania może powodować wysokie ryzyko naruszenia praw i wolności osób fizycznych, a Administrator jest zobowiązany do przeprowadzenia Oceny Skutków dla Ochrony Danych (DPIA) zgodnie z art. 35 RODO, Podmiot Przetwarzający jest zobowiązany udzielić Administratorowi uzasadnionej pomocy i informacji niezbędnych do przeprowadzenia Oceny Skutków dla Ochrony Danych. Podmiot Przetwarzający jest zobowiązany do udzielenia odpowiedzi na uzasadnione żądania Administratora związane z Oceną Skutków dla Ochrony Danych w ciągu 15 dni roboczych.

10. Rejestry czynności przetwarzania

Na żądanie Administratora Podmiot przetwarzający prowadzi rejestr czynności przetwarzania wykonywanych w imieniu Administratora zgodnie z artykułem 30(2) RODO, obejmujący: nazwę i dane kontaktowe Podmiotu przetwarzającego i wszelkich Podmiotów przetwarzających; kategorie przetwarzania wykonywanego w imieniu Administratora; przekazywanie Danych osobowych do państwa trzeciego; oraz ogólny opis technicznych i organizacyjnych środków bezpieczeństwa.

11. Odpowiedzialność

Odpowiedzialność każdej ze Stron wobec drugiej Strony na mocy niniejszej Umowy o Ochronie Danych Osobowych lub w związku z nią podlega ograniczeniom i wyłączeniom określonym w Umowie Głównej. W przypadku gdy Podmiot Danych poniósł szkodę w wyniku przetwarzania naruszającego Obowiązujące Przepisy o Ochronie Danych, każda ze Stron ponosi odpowiedzialność za szkodę spowodowaną przetwarzaniem naruszającym RODO, zgodnie z artykułami 82–83 RODO. Żadne z postanowień niniejszej Klauzuli nie ogranicza odpowiedzialności żadnej ze Stron wobec Podmiotów Danych na mocy obowiązującego prawa.

12. Okres obowiązywania i rozwiązanie umowy

Niniejsza Umowa o Porozumieniu o Porozumieniu (DPA) wchodzi w życie z dniem zawarcia Umowy Głównej (lub z dniem jej zawarcia, jeśli jest to data późniejsza) i pozostaje w mocy przez cały okres obowiązywania Umowy Głównej. Rozwiązanie Umowy Głównej z jakiegokolwiek powodu powoduje automatyczne rozwiązanie niniejszej Umowy o Porozumieniu o Porozumieniu o Porozumieniu.

Po rozwiązaniu Umowy zobowiązania Podmiotu Przetwarzającego określone w Klauzuli 5.6 (usunięcie lub zwrot danych) pozostają w mocy, a Podmiot Przetwarzający jest zobowiązany do całkowitego usunięcia lub zwrotu Danych Klienta w ciągu 30 dni od rozwiązania Umowy. Klauzule dotyczące poufności, odpowiedzialności, prawa właściwego i audytu również pozostają w mocy po rozwiązaniu Umowy.

13. Prawo właściwe i jurysdykcja

Niniejsza Umowa o Porozumieniu o Porozumieniu podlega prawu hiszpańskiemu i zgodnie z nim będzie interpretowana. Strony poddają się niewyłącznej jurysdykcji sądów w Madrycie w celu rozstrzygania wszelkich sporów wynikających z niniejszej Umowy o Porozumieniu ...

14. Różny

Całość porozumienia: Niniejsza Umowa DPA wraz z Załącznikami i Umową Główną stanowi całość porozumienia między Stronami w odniesieniu do przedmiotu niniejszej Umowy i zastępuje wszystkie wcześniejsze umowy, porozumienia lub oświadczenia dotyczące przetwarzania danych.

Poprawki: Niniejsza Umowa o partnerstwie gospodarczym może zostać zmieniona wyłącznie w drodze pisemnego porozumienia podpisanego przez upoważnionych przedstawicieli obu Stron.

Podzielność: Jeżeli którekolwiek z postanowień niniejszej Umowy o partnerstwie gospodarczym okaże się nieważne lub niewykonalne, pozostałe postanowienia pozostaną w pełnej mocy i będą skuteczne.

Precedens: W przypadku konfliktu między niniejszym DPA a Załącznikami, pierwszeństwo ma treść DPA, chyba że Załącznik wyraźnie stanowi inaczej. W przypadku konfliktu między niniejszym DPA a Standardami Ubezpieczeń (w stosownych przypadkach), pierwszeństwo mają Standardy Ubezpieczeń.

ZAŁĄCZNIK 1 — Szczegóły przetwarzania

1. Temat

Przedmiotem przetwarzania jest świadczenie przez Xygeni usług application security posture management, software supply chain security analiza, wykrywanie podatności, CI/CD monitorowanie bezpieczeństwa i powiązane usługi opisane w Umowie Głównej.

2. Charakter przetwarzania

Gromadzenie, organizacja, strukturyzowanie, przechowywanie, analiza, wyszukiwanie, wykorzystywanie, ujawnianie poprzez transmisję, dopasowywanie lub łączenie, ograniczanie, usuwanie lub niszczenie Danych Klienta.

3. Cel przetwarzania

Przetwarzanie Danych Klienta odbywa się wyłącznie w celu świadczenia Usług Administratorowi, w tym: wykrywania i raportowania luk w zabezpieczeniach, analizy ryzyka łańcucha dostaw oprogramowania; CI/CD pipeline security monitorowanie, wykrywanie anomalii i obsługa klienta.

4. Czas trwania przetwarzania

Podmiot przetwarzający będzie przetwarzał Dane Klienta przez okres obowiązywania Umowy Głównej. Po rozwiązaniu Umowy Podmiot przetwarzający będzie przechowywał Dane Klienta przez 3 miesiące od daty zakończenia subskrypcji, przed ich usunięciem, chyba że Administrator zażąda wcześniejszego usunięcia. Dane konta próbnego są przechowywane przez 1 miesiąc po wygaśnięciu okresu próbnego.

5. Rodzaje danych osobowych

6. Kategorie osób, których dane dotyczą

Podmioty danych obejmują: pracowników, kontrahentów i innych upoważnionych użytkowników Kontrolera, którzy uzyskują dostęp do Usług; osoby wnoszące wkład (programiści, konta botów, agenci kompilacji) do repozytoriów i pipelinemonitorowanych przez Usługi; oraz przedstawicieli i osób kontaktowych Kontrolera.

7. Dane kategorii specjalnej

Usługi nie są przeznaczone do przetwarzania danych osobowych szczególnej kategorii, zgodnie z definicją zawartą w artykule 9 RODO. Administrator gwarantuje, że nie przekaże Usługom danych osobowych szczególnej kategorii bez uprzedniej pisemnej zgody firmy Xygeni i wdrożenia odpowiednich dodatkowych zabezpieczeń.

ZAŁĄCZNIK 2 — Środki bezpieczeństwa techniczne i organizacyjne

Aby chronić Dane Klientów, Xygeni wdraża następujące środki techniczne i organizacyjne, zgodne z certyfikowanym systemem zarządzania bezpieczeństwem informacji Xygeni ISO 27001:

Kontrola Dostępu

• Kontrola dostępu oparta na rolach (RBAC) wprowadzona we wszystkich systemach przetwarzających Dane klientów.
• Uwierzytelnianie wieloskładnikowe (MFA) wymagane jest dla wszystkich pracowników Xygeni uzyskujących dostęp do systemów produkcyjnych.
• Zasada najmniejszych uprawnień stosowana do wszystkich kont użytkowników; prawa dostępu weryfikowane kwartalnie.
• Uwierzytelnianie na podstawie klucza SSH w celu uzyskania dostępu do serwera produkcyjnego, uwierzytelnianie za pomocą hasła jest wyłączone.

Szyfrowanie danych

• Dane klienta są szyfrowane w trakcie przesyłania przy użyciu protokołu TLS 1.2 lub nowszego.
• Dane klienta są szyfrowane w stanie spoczynku algorytmem AES-256 lub równoważnym.
• Klucze szyfrujące zarządzane za pomocą usługi AWS Key Management Service (KMS).

Bezpieczeństwo sieci

• Systemy produkcyjne hostowane w chmurze AWS Virtual Private Cloud (VPC) z segmentacją sieci.
• Zapora aplikacji internetowych (WAF) wdrożona dla punktów końcowych dostępnych publicznie.
• Wdrożono systemy wykrywania i zapobiegania włamaniom.
• Regularne skanowanie podatności i testy penetracyjne infrastruktury i warstw aplikacji.

Bezpieczeństwo fizyczne

• Dane klientów przechowywane są w centrach danych AWS posiadających certyfikaty SOC 2 typu II i ISO 27001.
• Dostęp fizyczny do obiektów centrów danych jest ograniczony do upoważnionego personelu AWS wyposażonego w kontrolę biometryczną.

Dostępność i odporność

• Codzienne automatyczne kopie zapasowe wszystkich Danych Klientów, przechowywane przez co najmniej 7 dni.
• Integralność kopii zapasowej jest sprawdzana okresowo.
• DisastProcedury odzyskiwania danych są dokumentowane i testowane corocznie.

Zarządzanie incydentami

• Plan reagowania na incydenty bezpieczeństwa jest aktualizowany i testowany corocznie.
• Monitorowanie i rejestrowanie zdarzeń związanych z bezpieczeństwem; alerty sprawdzane przez funkcję operacji bezpieczeństwa.
• Wdrożono procedury powiadamiania o naruszeniach danych osobowych, aby spełnić obowiązek powiadomienia Kontrolera w ciągu 48 godzin.

Personel

• Wszyscy pracownicy Xygeni mający dostęp do Danych Klienta są zobowiązani do zachowania poufności.
• Szkolenie całego personelu w zakresie świadomości bezpieczeństwa przeprowadzane corocznie.
• Weryfikacja przeszłości personelu mającego dostęp do systemów produkcyjnych, w zakresie dozwolonym przez obowiązujące prawo.

Zarządzanie przez stronę trzecią

• Przed rozpoczęciem współpracy podwykonawcy są oceniani pod kątem zgodności z wymogami bezpieczeństwa.
• Z wszystkimi podmiotami przetwarzającymi podpisano umowy o przetwarzaniu danych.

Certyfikacja

• Xygeni posiada certyfikat ISO 27001 (system zarządzania bezpieczeństwem informacji).
• Firma Xygeni jest w trakcie uzyskiwania certyfikatu SOC 2 typu II; certyfikat zostanie wydany kontrolerowi po ukończeniu szkolenia.