Соглашение об обработке данных

Сторонам

Настоящее Соглашение об обработке данных («Соглашение об обработке данных» или «Соглашение») заключается между:

Контролер данных («Контролер» или «Заказчик»)

Обработчик данных («Обработчик» или «Xygeni»):

Контроллер и Обработчик данных далее именуются по отдельности «Сторона», а совместно — «Стороны».

Настоящее Соглашение об обработке данных является частью Генерального соглашения об оказании услуг или Условий предоставления услуг («Основное соглашение») между Сторонами, регулирующих предоставление компанией Xygeni услуг по обеспечению безопасности приложений. software supply chain security услуги («Услуги»). В случае противоречия между настоящим Соглашением об обработке данных и Основным соглашением, настоящее Соглашение об обработке данных имеет преимущественную силу в отношении вопросов защиты данных.

1. Определения

Для целей настоящего DPA:

• «ВВП» означает Регламент (ЕС) 2016/679 Европейского парламента и Совета от 27 апреля 2016 года о защите физических лиц в отношении обработки персональных данных.
• “LOPDGDD” означает Ley Organica 3/2018, 5 декабря, защиту личных данных и гарантию цифровых активов.
• «Персональные данные», «Обработка», «Контроллер», «Обработчик», «Субподрядчик», «Субъект данных», «Надзорный орган», «Нарушение защиты персональных данных» имеют значения, присвоенные им в GDPR.
• "Данные клиентов" Под «персональными данными» подразумеваются любые персональные данные, предоставленные Контроллером или от его имени в рамках Услуг, или обработанные Обработчиком от имени Контроллера в связи с Услугами.
• «Субпроцессор» означает любую третью сторону, привлеченную Обработчиком с предварительного разрешения Контроллера (как описано в пункте 7) для обработки Данных Клиента от имени Контроллера.
• «SCCs» означает Standard Договорные положения о передаче персональных данных в третьи страны в соответствии с GDPR, утвержденные Имплементационным кодексом Европейской комиссии.cisион (ЕС) 2021/914 от 4 июня 2021 г.
• "Сервисы" означает application security posture management, software supply chain securityОбнаружение уязвимостей и связанные с этим услуги предоставляются компанией Xygeni Контроллеру в соответствии с Основным соглашением.
• «Применимый закон о защите данных» Под этим подразумеваются GDPR, LOPDGDD и любое другое применимое национальное законодательство о защите данных с учетом изменений, вносимых время от времени.

2 Роли сторон

Стороны признают и соглашаются, что:

• Контроллер выступает в качестве оператора данных в отношении данных клиента и несет ответственность за определение целей и способов обработки данных клиента, предоставленных в рамках Сервисов.
• Обработчик выступает в качестве обработчика данных в отношении данных клиента и обрабатывает такие данные исключительно от имени и по документированным инструкциям контроллера.
• Каждая из Сторон обязана соблюдать свои соответствующие обязательства в соответствии с применимым законодательством о защите данных в своей роли Контролера или Обработчика данных.

В тех случаях, когда Xygeni обрабатывает персональные данные в собственных целях (например, для управления учетными записями, выставления счетов, анализа улучшения качества обслуживания), она выступает в качестве независимого контролера данных. Такая обработка регулируется Политикой конфиденциальности Xygeni и выходит за рамки настоящего Соглашения об обработке данных.

3. Предмет, характер и цель обработки.

Предмет, характер, продолжительность и цель обработки, а также типы обрабатываемых персональных данных и категории субъектов данных изложены в Приложении 1 (Подробная информация об обработке) к настоящему Соглашению об обработке данных.

Обработчик данных обязуется обрабатывать данные клиента только в той мере, в какой это необходимо для предоставления услуг, описанных в основном соглашении, и в соответствии с документально оформленными инструкциями контроллера, если иное не требуется в соответствии с применимым законодательством. В таком случае Обработчик данных обязан уведомить контроллера о таком юридическом требовании до начала обработки, если иное не запрещено законом по важным соображениям общественного интереса.

4. Инструкции контроллера

Контроллер поручает Обработчику обрабатывать данные клиента в той мере, в какой это необходимо для: (а) предоставления Услуг в соответствии с Основным соглашением; (б) выполнения инструкций Контроллера, периодически направляемых в письменной форме; и (в) выполнения обязательств Обработчика в соответствии с настоящим Соглашением об обработке данных.

Обработчик данных обязан незамедлительно уведомить Контроллера, если, по обоснованному мнению Обработчика, указание Контроллера нарушает применимое законодательство о защите данных. В таком случае Обработчик данных имеет право прекратить обработку данных в соответствии с таким указанием до тех пор, пока Контроллер не уточнит или не изменит это указание.

Контролер гарантирует и подтверждает, что: (а) он имеет законное основание в соответствии со статьей 6 GDPR (и, где применимо, статьей 9) для обработки соответствующих персональных данных; (б) он предоставил все необходимые уведомления и получил все необходимые согласия; и (в) передача данных клиента обработчику не нарушает никаких применимых законов.

5. Обязательства процессора

5.1 Ограничения на обработку

Обработчик данных обязуется обрабатывать данные клиента только в соответствии с документально оформленными инструкциями контроллера, за исключением случаев, когда это требуется применимым законодательством ЕС или государства-члена. Обработчик данных не должен обрабатывать данные клиента в собственных целях или раскрывать их третьим лицам, за исключением случаев, когда это необходимо для предоставления Услуг или когда это требуется по закону.

5.2 Конфиденциальность

Обработчик данных должен обеспечить, чтобы лица, уполномоченные обрабатывать данные клиента, имели commitОни обязаны соблюдать конфиденциальность или несут соответствующую установленную законом обязанность соблюдать конфиденциальность. Доступ к данным клиента ограничивается теми сотрудниками, подрядчиками и субподрядчиками, которым этот доступ необходим для предоставления услуг.

5.3 Меры безопасности

Обработчик данных обязан внедрить и поддерживать надлежащие технические и организационные меры для защиты данных клиента от несанкционированной или незаконной обработки, а также от случайной потери, уничтожения, повреждения, изменения или раскрытия, принимая во внимание следующие факторы:

• современное состояние дел и стоимость внедрения;
• характер, объем, контекст и цели обработки;
• Риски для прав и свобод физических лиц, в частности, связанные со случайным или незаконным уничтожением, потерей, изменением, несанкционированным раскрытием или доступом к данным клиента, передаваемым, хранящимся или иным образом обрабатываемым.

Такие меры должны включать, как минимум, те, которые указаны в Приложении 2 (Технические и организационные меры безопасности) к настоящему Соглашению об обработке данных. Сертификация Процессора по стандарту ISO 27001 подтверждает наличие базовой системы управления информационной безопасностью. Процессор обязан поддерживать сертификацию по стандарту ISO 27001 или эквивалентную сертификацию в течение всего срока действия настоящего Соглашения об обработке данных.

5.4 Права субъектов данных

Принимая во внимание характер обработки, Обработчик данных обязан оказывать Контроллеру соответствующие технические и организационные меры, насколько это возможно, для выполнения обязательства Контроллера отвечать на запросы об осуществлении обработки данных.cisправа субъектов данных в соответствии с применимым законодательством о защите данных (включая права доступа, исправления, удаления, ограничения, переносимости и возражения в соответствии со статьями 15–22 GDPR).

Обработчик данных обязан: (а) незамедлительно уведомлять Контроллера данных о получении запроса от Субъекта данных в отношении Данных Клиента; (б) не отвечать на такие запросы, за исключением случаев, когда это предусмотрено документально подтвержденными инструкциями Контроллера данных или требуется в соответствии с применимым законодательством; и (в) оказывать Контроллеру данных разумную помощь в ответе на такие запросы в установленные законом сроки (30 дней в соответствии со статьей 12 GDPR).

5.5 Помощь в выполнении обязанностей Контролера

Обработчик данных обязан оказывать Контроллеру данных содействие в обеспечении соблюдения обязательств, предусмотренных статьями 32–36 GDPR, принимая во внимание характер обработки и информацию, доступную Обработчику данных, в том числе в отношении:

• безопасность обработки (ст. 32);
• уведомление надзорного органа о нарушениях защиты персональных данных и информирование субъектов данных (статьи 33–34);
• Оценка воздействия на защиту данных и предварительные консультации (статьи 35–36).

5.6 Удаление или возврат данных

После расторжения или истечения срока действия Основного соглашения, или по запросу Контролера, Обработчик данных по своему выбору обязан удалить или вернуть Контролеру все имеющиеся у него Данные Клиента, а также удалить существующие копии, если только применимое законодательство ЕС или государства-члена не требует хранения Персональных данных. Обработчик данных обязан подтвердить завершение удаления в письменной форме в течение 30 дней с момента наступления соответствующего события.

Процессор standard Применяется график хранения данных (изложенный в Приложении 1), если Контролер не запросит удаление данных ранее.

5.7 Аудит и демонстрация соответствия

Обработчик данных обязан предоставлять Контроллеру всю информацию, необходимую для подтверждения соблюдения обязательств, изложенных в настоящем Соглашении об обработке данных, а также обязан разрешать и содействовать проведению аудитов, включая проверки, осуществляемые Контроллером или аудитором, уполномоченным Контроллером.

Обработчик может выполнить это обязательство, предоставив:

• копия действующего сертификата ISO 27001 или отчета SOC 2 Type II (после его получения);
• Заполнение анкеты безопасности контролера (в течение 10 рабочих дней с момента получения);
• Проведение разумных выездных проверок по предварительному письменному уведомлению за 30 дней за счет контролера, не чаще одного раза в календарный год (если нет обоснованных подозрений в несоответствии требованиям).

6. Уведомление об утечке персональных данных

Обработчик данных обязан незамедлительно уведомить Контроллера данных, но в любом случае в течение 48 часов с момента обнаружения нарушения защиты персональных данных, затрагивающего данные Клиента. Такое уведомление должно включать, в той мере, в какой это возможно на тот момент:

• описание характера нарушения защиты персональных данных, включая категории и приблизительное количество затронутых субъектов данных, а также категории и приблизительное количество затронутых записей персональных данных;
• имя и контактные данные сотрудника по защите данных или другого контактного лица, у которого можно получить дополнительную информацию;
• описание вероятных последствий утечки персональных данных;
• описание мер, принятых или предлагаемых к принятию для устранения нарушения защиты персональных данных, включая, где это уместно, меры по смягчению его возможных негативных последствий.

В тех случаях, когда невозможно предоставить всю вышеуказанную информацию одновременно, она может предоставляться поэтапно без неоправданной дальнейшей задержки. Обработчик данных обязан сотрудничать с Контроллером и предпринимать такие разумные шаги, которые может потребоваться Контроллеру для содействия в расследовании, смягчении последствий и устранении нарушений.

Стороны признают, что обязанность в соответствии со статьей 33 GDPR уведомить компетентный надзорный орган (Испанское агентство по защите данных — AEPD или другой соответствующий орган) в течение 72 часов с момента обнаружения нарушения защиты персональных данных лежит на Контроллере как на контроллере данных. Уведомление, направленное Обработчиком Контроллеру в соответствии с настоящим пунктом, призвано позволить Контроллеру выполнить это нормативное обязательство. Уведомление Обработчика не является признанием вины или ответственности.

7. Субпроцессоры

7.1 Общее разрешение

Контролер предоставляет Обработчику общее разрешение на привлечение субподрядчиков, перечисленных в Приложении 3 (Утвержденные субподрядчики) к настоящему Соглашению об обработке данных. Обработчик обязуется возложить на каждого субподрядчика обязательства по защите данных, эквивалентные тем, которые изложены в настоящем Соглашении об обработке данных, в частности, предоставить достаточные гарантии для внедрения соответствующих технических и организационных мер.

7.2 Изменения в работе субподрядчиков

Обработчик данных обязан уведомить Контроллера о любых планируемых изменениях, касающихся добавления или замены субподрядчиков, путем: (а) обновления списка субподрядчиков, опубликованного по адресу https://xygeni.io/legal/subprocessors, с указанием пересмотренной даты «Последнего обновления»; и (б) предоставления письменного уведомления Контроллеру данных не менее чем за десять (10) дней до вступления изменений в силу. Контроллер данных может возразить против изменений по разумным основаниям, связанным с защитой данных, в течение семи (7) дней с момента такого уведомления. Если Контроллер данных возражает, и Стороны не могут разрешить возражение, Контроллер данных может расторгнуть Основное соглашение, уведомив об этом в разумные сроки, без штрафных санкций.

Если Обработчик данных привлекает субподрядчика, Обработчик данных остается полностью ответственным перед Контроллером за выполнение обязательств этого субподрядчика в той мере, в какой субподрядчик не выполняет свои обязательства по защите данных.

7.3 Требования к передаче данных от субпроцессора к нисходящему процессу

Для каждого субпроцессора процессор должен:

• Перед привлечением субподрядчика необходимо провести надлежащую комплексную проверку;
• заключить письменное соглашение об обработке данных, устанавливающее обязательства по защите данных, обеспечивающие не меньшую степень защиты, чем те, которые предусмотрены в настоящем Соглашении об обработке данных;
• обеспечить, чтобы меры безопасности субподрядчика были как минимум эквивалентны мерам, требуемым в соответствии с пунктом 5.3 и Приложением 2;
• Включать обязательства по уведомлению о нарушении, требующие от субподрядчика уведомить обработчика в течение 24 часов с момента обнаружения нарушения защиты персональных данных, чтобы обработчик мог выполнить свое обязательство по уведомлению контроллера в течение 48 часов.

8. Международные переводы

Обработчик данных не должен передавать данные клиента в страну за пределами Европейской экономической зоны (ЕЭЗ), за исключением следующих случаев:

• Европейская комиссия приняла решение об адекватностиcisиона для этой страны в соответствии со статьей 45 GDPR; или
• В соответствии со статьей 46 GDPR были приняты соответствующие меры защиты, включая, помимо прочего, следующие: Standard Договорные положения, принятые Европейской комиссией, Имплементационные Декларацииcisион (ЕС) 2021/914 от 4 июня 2021 г. («УПК»).

В случаях, когда требуются стандартные договорные положения (SCC), по запросу Контроллера Процессор обязан заключить соответствующие SCC с Контроллером и/или с соответствующим Субпроцессором. Применимым модулем SCC является Модуль два (от Контроллера к Процессору) для передачи данных от Контроллера к Процессору и Модуль три (от Процессора к Субпроцессору) для дальнейшей передачи данных Процессором Субпроцессорам.

Компетентным надзорным органом в целях соблюдения стандартных договорных положений является Испанское агентство по защите данных (Agencia Española de Protección de Datos — AEPD), если иное не согласовано в письменной форме.

Обработчик данных обязан вести и предоставлять Контроллеру данных по запросу актуальную информацию обо всех международных передачах данных Клиента и применимом механизме передачи для каждой из них.

9. Оценка воздействия на защиту данных

В случаях, когда обработка данных может представлять высокий риск для прав и свобод физических лиц, и контролеру данных необходимо провести оценку воздействия на защиту данных (DPIA) в соответствии со статьей 35 GDPR, обработчик данных обязан предоставить контролеру данных разумную помощь и информацию, необходимые для проведения оценки DPIA. Обработчик данных обязан отвечать на разумные запросы контролера данных, касающиеся оценки DPIA, в течение 15 рабочих дней.

10. Записи о деятельности по обработке данных

По запросу Контролера Обработчик обязан вести учет операций по обработке, осуществляемых от имени Контролера в соответствии со статьей 30(2) GDPR, включая: наименование и контактные данные Обработчика и любых субподрядчиков; категории обработки, осуществляемой от имени Контролера; передачу персональных данных в третью страну; и общее описание технических и организационных мер безопасности.

11. Ответственность

Ответственность каждой Стороны перед другой Стороной в соответствии с настоящим Соглашением об обработке данных или в связи с ним подлежит ограничениям и исключениям, изложенным в Основном соглашении. В случае, если субъект данных понес ущерб в результате обработки, нарушающей применимое законодательство о защите данных, каждая Сторона несет ответственность за ущерб, причиненный ее обработкой, нарушающей GDPR, в соответствии со статьями 82–83 GDPR. Ничто в настоящем пункте не ограничивает ответственность любой из Сторон перед субъектами данных в соответствии с применимым законодательством.

12. Срок и прекращение действия

Настоящее соглашение об отсрочке платежа вступает в силу с даты заключения основного соглашения (или с даты подписания настоящего соглашения, если она наступает позднее) и остается в силе в течение всего срока действия основного соглашения. Расторжение основного соглашения по любой причине автоматически влечет за собой расторжение настоящего соглашения об отсрочке платежа.

После расторжения договора обязательства Обработчика данных в соответствии с пунктом 5.6 (удаление или возврат данных) остаются в силе, и Обработчик данных обязан завершить удаление или возврат данных Заказчика в течение 30 дней с момента расторжения договора. Пункты, касающиеся конфиденциальности, ответственности, применимого права и аудита, также остаются в силе после расторжения договора.

13. Регулирующее законодательство и юрисдикция

Настоящее Соглашение об оказании услуг регулируется и толкуется в соответствии с законодательством Испании. Стороны подчиняются неисключительной юрисдикции судов Мадрида для разрешения любых споров, возникающих из настоящего Соглашения об оказании услуг или в связи с ним. В той мере, в которой какое-либо положение настоящего Соглашения об оказании услуг противоречит Специальным договорным положениям, преимущественную силу имеют Специальная договорная юрисдикция.

14. Разное

Полное согласие: Настоящее Соглашение об обработке данных, вместе с приложениями к нему и основным соглашением, представляет собой полное соглашение между Сторонами в отношении предмета настоящего Соглашения и заменяет все предыдущие соглашения, договоренности или заявления, касающиеся обработки данных.

Поправки: Настоящее соглашение об отсрочке платежа может быть изменено только по письменному соглашению, подписанному уполномоченными представителями обеих сторон.

Делимость: Если какое-либо положение настоящего Соглашения об избежании двойного налогообложения будет признано недействительным или не имеющим юридической силы, остальные положения останутся в полной силе.

Приоритет: В случае противоречия между настоящим Соглашением об отсрочке платежа и Приложениями, преимущественную силу имеет текст настоящего Соглашения об отсрочке платежа, если в Приложении прямо не указано иное. В случае противоречия между настоящим Соглашением об отсрочке платежа и стандартными договорными положениями (где это применимо), преимущественную силу имеют стандартные договорные положения.

РАСПИСАНИЕ 1 — Подробная информация об обработке

1. Предмет

Предметом обработки является предоставление компанией Xygeni следующих услуг: application security posture management, software supply chain security анализ, обнаружение уязвимостей, CI/CD мониторинг безопасности и сопутствующие услуги, как описано в Основном соглашении.

2. Характер обработки

Сбор, организация, структурирование, хранение, анализ, извлечение, использование, раскрытие путем передачи, выравнивание или объединение, ограничение, удаление или уничтожение данных клиента.

3 Цель обработки

Обработка данных клиента осуществляется исключительно в целях предоставления услуг контроллеру, включая: выявление и сообщение об уязвимостях в системе безопасности; анализ рисков в цепочке поставок программного обеспечения; CI/CD pipeline security мониторинг; обнаружение аномалий; и поддержка клиентов.

4. Продолжительность обработки

Обработчик данных обязуется обрабатывать данные клиента в течение всего срока действия основного соглашения. После расторжения соглашения обработчик данных обязуется хранить данные клиента в течение 3 месяцев после даты окончания подписки, после чего они будут удалены, если только контроллер данных не запросит более раннее удаление. Данные пробной учетной записи хранятся в течение 1 месяца после истечения срока действия пробного периода.

5. Типы персональных данных

6. Категории субъектов данных

К субъектам данных относятся: сотрудники, подрядчики и другие уполномоченные пользователи Контроллера, получающие доступ к Услугам; участники (разработчики, боты, агенты сборки) репозиториев и pipelineотслеживаемые Службами; а также представители и контактные лица Контролера.

7. Данные особой категории

Данные Услуги не предназначены для обработки персональных данных особых категорий, как это определено в статье 9 GDPR. Контролер гарантирует, что не будет передавать персональные данные особых категорий в рамках Услуг без предварительного письменного соглашения с Xygeni и внедрения соответствующих дополнительных мер защиты.

ПРИЛОЖЕНИЕ 2 — Технические и организационные меры безопасности

Компания Xygeni внедряет следующие технические и организационные меры для защиты данных клиентов в соответствии с сертифицированной по стандарту ISO 27001 системой управления информационной безопасностью Xygeni:

Контроль доступа

• Во всех системах, обрабатывающих данные клиентов, внедрена система управления доступом на основе ролей (RBAC).
• Для доступа к производственным системам всего персонала Xygeni требуется многофакторная аутентификация (МФА).
• Принцип минимальных привилегий применяется ко всем учетным записям пользователей; права доступа пересматриваются ежеквартально.
• Аутентификация по SSH-ключу для доступа к производственному серверу; аутентификация по паролю отключена.

Шифрование данных

• Данные клиентов шифруются при передаче с использованием протокола TLS 1.2 или выше.
• Данные клиентов шифруются в состоянии покоя с использованием AES-256 или аналогичного алгоритма.
• Управление ключами шифрования осуществляется через службу управления ключами AWS (KMS).

Сетевая безопасность

• Производственные системы размещены в виртуальной частной сети AWS (VPC) с сегментацией сети.
• Для обеспечения безопасности общедоступных конечных точек развернут межсетевой экран веб-приложений (WAF).
• Внедрены системы обнаружения и предотвращения вторжений.
• Регулярное сканирование уязвимостей и тестирование на проникновение на уровне инфраструктуры и приложений.

Физическая охрана

• Данные клиентов размещены в центрах обработки данных AWS, имеющих сертификаты SOC 2 Type II и ISO 27001.
• Физический доступ к объектам центра обработки данных ограничен для уполномоченного персонала AWS, использующего биометрический контроль.

Доступность и отказоустойчивость

• Ежедневное автоматическое резервное копирование всех данных клиентов, хранящееся не менее 7 дней.
• Целостность резервных копий периодически проверяется.
• DisastПроцедуры восстановления после травм документируются и ежегодно проверяются.

Управление инцидентами

• План реагирования на инциденты в сфере безопасности обновляется и ежегодно проверяется.
• События безопасности отслеживаются и регистрируются; оповещения анализируются службой оперативного реагирования на инциденты безопасности.
• Внедрены процедуры уведомления о нарушении защиты персональных данных, обеспечивающие соблюдение 48-часового срока уведомления контроллера.

Персонал

• Все сотрудники Xygeni, имеющие доступ к данным клиентов, связаны обязательствами по соблюдению конфиденциальности.
• Ежегодно для всего персонала проводится обучение по вопросам информационной безопасности.
• Проводится проверка биографических данных персонала, имеющего доступ к производственным системам, в той мере, в какой это разрешено действующим законодательством.

Стороннее управление

• Перед началом работы субподрядчики проходят оценку на соответствие требованиям безопасности.
• Со всеми субподрядчиками заключены соглашения об обработке данных.

Сертификаты

• Компания Xygeni имеет сертификат ISO 27001 (система управления информационной безопасностью).
• Компания Xygeni проходит сертификацию SOC 2 Type II; сертификат будет предоставлен контролеру по завершении сертификации.