ڊيٽا پروسيسنگ جو معاهدو

سياسي پارٽين کي

هي ڊيٽا پروسيسنگ معاهدو ("DPA" يا "معاهدو") هيٺ ڏنل جي وچ ۾ داخل ٿيو آهي:

ڊيٽا ڪنٽرولر ("ڪنٽرولر" يا "ڪسٽمر")

ڊيٽا پروسيسر ("پروسيسر" يا "زائيگيني"):

ڪنٽرولر ۽ پروسيسر کي هتي انفرادي طور تي "پارٽي" ۽ مجموعي طور تي "پارٽيون" طور حوالو ڏنو ويندو.

هي ڊي پي اي ماسٽر سروس معاهدي يا سروس جي شرطن ("پرنسپل معاهدي") جو حصو بڻجي ٿو جيڪو زائيگيني پاران ان جي ايپليڪيشن سيڪيورٽي جي فراهمي کي سنڀاليندو آهي ۽ software supply chain security خدمتون ("خدمتون"). هن DPA ۽ پرنسپل معاهدي جي وچ ۾ تڪرار جي صورت ۾، هي DPA ڊيٽا تحفظ جي معاملن جي حوالي سان غالب هوندو.

1. Definitions

هن ڊي پي اي جي مقصدن لاءِ:

• "جي ڊي پي آر" مطلب ته يورپي پارليامينٽ ۽ ڪائونسل جو 27 اپريل 2016 جو ضابطو (EU) 2016/679، ذاتي ڊيٽا جي پروسيسنگ جي حوالي سان قدرتي ماڻهن جي تحفظ تي.
• "ايل او پي ڊي جي ڊي ڊي" مطلب Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales.
• "ذاتي ڊيٽا"، "پروسيسنگ"، "ڪنٽرولر"، "پروسيسر"، "ذيلي پروسيسر"، "ڊيٽا سبجيڪٽ"، "نگراني اختيار"، "ذاتي ڊيٽا جي ڀڃڪڙي" انهن جي معنيٰ GDPR ۾ بيان ڪيل هوندي.
• "ڪسٽمر ڊيٽا" مطلب ته ڪنٽرولر پاران يا ان جي طرفان خدمتن ڏانهن جمع ڪرايل ڪو به ذاتي ڊيٽا، يا خدمتن جي سلسلي ۾ ڪنٽرولر پاران پروسيس ڪيل.
• "ذيلي پروسيسر" مطلب ته پروسيسر پاران ڪنٽرولر جي طرفان ڪسٽمر ڊيٽا کي پروسيس ڪرڻ لاءِ ڪنٽرولر کان اڳواٽ اجازت سان (جيئن شق 7 ۾ بيان ڪيو ويو آهي) ڪو به ٽيون پارٽي مصروف آهي.
• "ايس سي سي" جو مطلب آهي Standard GDPR جي مطابق ٽئين ملڪن ڏانهن ذاتي ڊيٽا جي منتقلي لاءِ معاهدي جون شقون، جيئن يورپي ڪميشن پاران منظور ٿيل آهي لاڳو ڪندڙ ڊيcisآئن (EU) 2021/914 جو 4 جون 2021.
• "خدمتون" جو مطلب آهي application security posture management, software supply chain security، ڪمزوري جي ڳولا ۽ لاڳاپيل خدمتون جيڪي زائيگيني پاران ڪنٽرولر کي پرنسپل معاهدي تحت فراهم ڪيون ويون آهن.
• "لاڳو ڊيٽا تحفظ جو قانون" مطلب ته GDPR، LOPDGDD، ۽ ڪنهن ٻئي لاڳو قومي ڊيٽا تحفظ جي قانون سازي جيئن وقت بوقت ترميم ڪئي ويندي آهي.

2. ڌرين جا ڪردار

ڌريون تسليم ڪن ٿيون ۽ متفق آهن ته:

• ڪنٽرولر ڪسٽمر ڊيٽا جي حوالي سان ڊيٽا ڪنٽرولر طور ڪم ڪري ٿو ۽ خدمتن ڏانهن جمع ڪرايل ڪسٽمر ڊيٽا جي پروسيسنگ جي مقصدن ۽ ذريعن کي طئي ڪرڻ جو ذميوار آهي.
• پروسيسر ڪسٽمر ڊيٽا جي حوالي سان ڊيٽا پروسيسر طور ڪم ڪري ٿو ۽ اهڙي ڊيٽا کي صرف ڪنٽرولر جي طرفان ۽ دستاويزي هدايتن تي عمل ڪري ٿو.
• هر پارٽي ڪنٽرولر يا پروسيسر جي حيثيت سان پنهنجي ڪردار ۾ قابل اطلاق ڊيٽا تحفظ قانون جي تحت پنهنجي لاڳاپيل ذميدارين جي تعميل ڪندي.

جتي زائيگيني ذاتي ڊيٽا کي پنهنجن مقصدن لاءِ پروسيس ڪري ٿو (مثال طور، اڪائونٽ مئنيجمينٽ، بلنگ، سروس بهتري جو تجزيو)، اهو هڪ آزاد ڪنٽرولر طور ڪم ڪري ٿو. اهڙي پروسيسنگ زائيگيني جي رازداري پاليسي جي تحت سنڀالي ويندي آهي ۽ هن ڊي پي اي جي دائري کان ٻاهر آهي.

3. موضوع، نوعيت ۽ پروسيسنگ جو مقصد

پروسيسنگ جو موضوع، نوعيت، مدت ۽ مقصد، انهي سان گڏ پروسيس ٿيل ذاتي ڊيٽا جا قسم ۽ ڊيٽا سبجيڪٽس جا زمرا، هن ڊي پي اي جي شيڊول 1 (پروسيسنگ تفصيل) ۾ بيان ڪيا ويا آهن.

پروسيسر صرف ڪسٽمر ڊيٽا کي پروسيس ڪندو صرف ان حد تائين جيستائين پرنسپل معاهدي ۾ بيان ڪيل خدمتون مهيا ڪرڻ لاءِ ضروري هجي ۽ ڪنٽرولر جي دستاويزي هدايتن جي مطابق، جيستائين لاڳو قانون طرفان ائين ڪرڻ جي ضرورت نه هجي. اهڙي صورت ۾، پروسيسر ڪنٽرولر کي پروسيسنگ کان اڳ ان قانوني گهرج جي خبر ڏيندو، جيستائين عوامي مفاد جي اهم بنيادن تي قانون طرفان منع نه ڪيو وڃي.

4. ڪنٽرولر جون هدايتون

ڪنٽرولر پروسيسر کي هدايت ڪري ٿو ته هو ڪسٽمر ڊيٽا کي ضرورت مطابق پروسيس ڪري: (الف) پرنسپل معاهدي جي مطابق خدمتون فراهم ڪري؛ (ب) ڪنٽرولر جي هدايتن تي عمل ڪري جيڪي وقت بوقت تحرير ۾ ٻڌايون وڃن؛ ۽ (ج) هن ڊي پي اي تحت پروسيسر جي ذميدارين کي پورو ڪري.

جيڪڏهن پروسيسر جي معقول راءِ ۾، ڪنٽرولر جي ڪا هدايت لاڳو ٿيل ڊيٽا تحفظ قانون جي خلاف ورزي ڪري ٿي ته پروسيسر کي فوري طور تي ڪنٽرولر کي اطلاع ڏيڻ گهرجي. اهڙي صورت ۾، پروسيسر کي اهڙي هدايت جي مطابق پروسيسنگ بند ڪرڻ جو حق هوندو جيستائين ڪنٽرولر هدايت کي واضح يا تبديل نه ڪري.

ڪنٽرولر ضمانت ڏئي ٿو ۽ نمائندگي ڪري ٿو ته: (الف) ان وٽ GDPR آرٽيڪل 6 (۽، جتي لاڳو ٿئي ٿو، آرٽيڪل 9) جي تحت لاڳاپيل ذاتي ڊيٽا جي پروسيسنگ لاءِ هڪ صحيح قانوني بنياد آهي؛ (ب) ان سڀ گهربل نوٽيس فراهم ڪيا آهن ۽ سڀ گهربل رضامندي حاصل ڪئي آهي؛ ۽ (ج) پروسيسر ڏانهن ڪسٽمر ڊيٽا جي منتقلي ڪنهن به لاڳو قانون جي خلاف ورزي نه ڪندي آهي.

5. پروسيسر جون ذميواريون

5.1 پروسيسنگ پابنديون

پروسيسر صرف ڪنٽرولر جي دستاويزي هدايتن تي ڪسٽمر ڊيٽا کي پروسيس ڪندو، جيستائين لاڳو EU يا ميمبر رياستي قانون طرفان ائين ڪرڻ جي ضرورت نه هجي. پروسيسر پنهنجي مقصدن لاءِ ڪسٽمر ڊيٽا کي پروسيس نه ڪندو يا ان کي ٽئين پارٽين کي ظاهر نه ڪندو سواءِ ان جي ته جيئن خدمتون مهيا ڪرڻ لاءِ ضروري هجي يا قانون جي مطابق گهربل هجي.

5.2 رازداري

پروسيسر کي يقيني بڻائڻ گهرجي ته ڪسٽمر ڊيٽا کي پروسيس ڪرڻ لاءِ مجاز ماڻهن وٽ آهي commitپاڻ کي رازداري ۾ رکيو ويو آهي يا رازداري جي مناسب قانوني ذميواري هيٺ آهن. ڪسٽمر ڊيٽا تائين رسائي انهن ملازمن، ٺيڪيدارن ۽ ذيلي پروسيسرز تائين محدود هوندي جن کي خدمتون مهيا ڪرڻ جي مقصد لاءِ رسائي جي ضرورت آهي.

5.3 سيڪيورٽي اپاءَ

پروسيسر کي ڪسٽمر ڊيٽا کي غير مجاز يا غير قانوني پروسيسنگ ۽ حادثاتي نقصان، تباهي، نقصان، تبديلي يا ظاهر ڪرڻ کان بچائڻ لاءِ مناسب ٽيڪنيڪل ۽ تنظيمي قدم لاڳو ڪرڻ ۽ برقرار رکڻ گهرجي، انهن کي نظر ۾ رکندي:

• جديد ترين حالت ۽ عملدرآمد جي قيمت؛
• پروسيسنگ جي نوعيت، دائرو، تناظر ۽ مقصد؛
• قدرتي ماڻهن جي حقن ۽ آزادين لاءِ خطرا، خاص طور تي حادثاتي يا غير قانوني تباهي، نقصان، تبديلي، منتقل ڪيل، ذخيرو ٿيل يا ٻي صورت ۾ پروسيس ٿيل ڪسٽمر ڊيٽا جي غير مجاز ظاهر ڪرڻ، يا رسائي کان.

اهڙن قدمن ۾، گهٽ ۾ گهٽ، اهي شامل هوندا جيڪي هن DPA جي شيڊول 2 (ٽيڪنيڪل ۽ تنظيمي سيڪيورٽي ماپ) ۾ مقرر ڪيا ويا آهن. پروسيسر جي ISO 27001 سرٽيفڪيشن هڪ بنيادي معلومات سيڪيورٽي مئنيجمينٽ سسٽم جو ثبوت فراهم ڪري ٿي. پروسيسر هن DPA جي پوري مدت دوران ISO 27001 سرٽيفڪيشن يا ان جي برابر برقرار رکندو.

5.4 ڊيٽا سبجيڪٽ جا حق

پروسيسر، پروسيسنگ جي نوعيت کي نظر ۾ رکندي، ڪنٽرولر جي مدد ڪندو، ممڪن حد تائين، مناسب ٽيڪنيڪل ۽ تنظيمي قدمن سان، ته جيئن ڪنٽرولر جي ذميواري پوري ڪري سگهجي ته هو عمل جي درخواستن جو جواب ڏئي.cisقابل اطلاق ڊيٽا تحفظ قانون جي تحت ڊيٽا جي مضمونن جي حقن کي تسليم ڪرڻ (GDPR آرٽيڪل 15-22 جي تحت رسائي، اصلاح، ختم ڪرڻ، پابندي، پورٽيبلٽي ۽ اعتراض جا حق شامل آهن).

پروسيسر: (الف) ڪنٽرولر کي فوري طور تي مطلع ڪندو جيڪڏهن پروسيسر کي ڊيٽا سبجيڪٽ کان ڪسٽمر ڊيٽا جي حوالي سان ڪا درخواست ملي ٿي؛ (ب) ڪنٽرولر جي دستاويزي هدايتن کان سواءِ يا لاڳو قانون جي ضرورت مطابق اهڙين درخواستن جو جواب نه ڏيندو؛ ۽ (ج) لاڳو قانوني آخري تاريخن (GDPR آرٽيڪل 12 تحت 30 ڏينهن) اندر اهڙين درخواستن جو جواب ڏيڻ ۾ ڪنٽرولر کي مناسب مدد فراهم ڪندو.

5.5 ڪنٽرولر جي ذميدارين ۾ مدد

پروسيسر ڪنٽرولر کي GDPR آرٽيڪل 32-36 جي تحت ذميدارين جي تعميل کي يقيني بڻائڻ ۾ مدد ڪندو، پروسيسنگ جي نوعيت ۽ پروسيسر وٽ موجود معلومات کي نظر ۾ رکندي، جنهن ۾ شامل آهن:

• پروسيسنگ جي سيڪيورٽي (آرٽيڪل 32)؛
• نگران اختيار کي ذاتي ڊيٽا جي ڀڃڪڙين جي اطلاع ۽ ڊيٽا جي مضمونن سان رابطو (آرٽيڪل 33-34)؛
• ڊيٽا تحفظ جي اثر جي تشخيص ۽ اڳوڻي صلاح مشوري (آرٽيڪل 35-36).

5.6 ڊيٽا کي ختم ڪرڻ يا واپس ڪرڻ

پرنسپل معاهدي جي ختم ٿيڻ يا ختم ٿيڻ تي، يا ڪنٽرولر جي درخواست تي، پروسيسر، ڪنٽرولر جي پسند تي، ڪنٽرولر جي قبضي ۾ موجود سڀني ڪسٽمر ڊيٽا کي ختم ڪندو يا واپس ڪندو، ۽ موجوده ڪاپيون ختم ڪندو، جيستائين لاڳو ٿيندڙ EU يا ميمبر رياستي قانون ذاتي ڊيٽا جي اسٽوريج جي ضرورت نه رکي. پروسيسر لاڳاپيل ٽرگر جي 30 ڏينهن اندر تحريري طور تي حذف ڪرڻ جي مڪمل ٿيڻ جي تصديق ڪندو.

پروسيسر جو standard ڊيٽا برقرار رکڻ جو شيڊول (شيڊول 1 ۾ بيان ڪيل) لاڳو ٿيندو جيستائين ڪنٽرولر حذف ڪرڻ جي اڳئين درخواست نه ڪري.

5.7 آڊٽ ۽ تعميل جو مظاهرو

پروسيسر ڪنٽرولر کي هن DPA ۾ مقرر ڪيل ذميدارين جي تعميل کي ظاهر ڪرڻ لاءِ ضروري سڀ معلومات دستياب ڪندو، ۽ ڪنٽرولر يا ڪنٽرولر پاران مقرر ڪيل آڊيٽر پاران ڪيل معائنن سميت آڊٽ جي اجازت ڏيندو ۽ ان ۾ حصو وٺندو.

پروسيسر هن ذميواري کي پورو ڪري سگهي ٿو:

• ان جي موجوده ISO 27001 سرٽيفڪيٽ يا SOC 2 ٽائپ II رپورٽ جي ڪاپي (هڪ ڀيرو حاصل ڪرڻ کان پوءِ)؛
• ڪنٽرولر جي سيڪيورٽي سوالنامي جي مڪمل ٿيڻ (وصول ٿيڻ جي 10 ڪاروباري ڏينهن اندر)؛
• ڪنٽرولر جي خرچ تي، 30 ڏينهن اڳ تحريري اطلاع تي، هر ڪئلينڊر سال ۾ هڪ ڀيرو کان وڌيڪ نه، مناسب آن سائيٽ آڊٽ (جيستائين عدم تعميل جو معقول شڪ نه هجي).

6. ذاتي ڊيٽا جي ڀڃڪڙي جي اطلاع

پروسيسر ڪنٽرولر کي بغير ڪنهن دير جي اطلاع ڏيندو، ۽ ڪنهن به صورت ۾ ذاتي ڊيٽا جي ڀڃڪڙي جي خبر پوڻ جي 48 ڪلاڪن اندر جيڪو ڪسٽمر ڊيٽا کي متاثر ڪري ٿو. اهڙي اطلاع ۾ شامل هوندو، ان وقت تائين دستياب حد تائين:

• ذاتي ڊيٽا جي ڀڃڪڙي جي نوعيت جي وضاحت، جنهن ۾ لاڳاپيل ڊيٽا مضمونن جا زمرا ۽ تقريبن تعداد ۽ لاڳاپيل ذاتي ڊيٽا رڪارڊ جا زمرا ۽ تقريبن تعداد شامل آهن؛
• ڊيٽا تحفظ آفيسر يا ٻئي رابطي واري نقطي جو نالو ۽ رابطي جي تفصيل جنهن کان وڌيڪ معلومات حاصل ڪري سگهجي ٿي؛
• ذاتي ڊيٽا جي ڀڃڪڙي جي ممڪن نتيجن جي وضاحت؛
• ذاتي ڊيٽا جي ڀڃڪڙي کي حل ڪرڻ لاءِ کنيل يا تجويز ڪيل قدمن جي وضاحت، جنهن ۾، جتي مناسب هجي، ان جي ممڪن ناڪاري اثرن کي گهٽائڻ لاءِ قدم شامل آهن.

جتي مٿي ڏنل سڀني معلومات کي هڪ ئي وقت مهيا ڪرڻ ممڪن نه هجي، اتي معلومات مرحلن ۾ بغير ڪنهن غير ضروري دير جي فراهم ڪري سگهجي ٿي. پروسيسر ڪنٽرولر سان تعاون ڪندو ۽ اهڙا معقول قدم کڻندو جيڪي ڪنٽرولر کي خلاف ورزي جي جاچ، گهٽتائي ۽ اصلاح ۾ مدد لاءِ گهربل هجن.

پارٽيون تسليم ڪن ٿيون ته GDPR آرٽيڪل 33 جي تحت ذاتي ڊيٽا جي ڀڃڪڙي جي خبر پوڻ جي 72 ڪلاڪن اندر قابل نگران اختيار (ايجنسيا اسپينيولا ڊي پروٽيشن ڊي ڊيٽاس - AEPD، يا ٻي لاڳاپيل اختيار) کي اطلاع ڏيڻ جي ذميواري ڊيٽا ڪنٽرولر جي حيثيت سان ڪنٽرولر تي آهي. هن شق جي تحت ڪنٽرولر کي پروسيسر جي اطلاع جو مقصد ڪنٽرولر کي هن ريگيوليٽري ذميواري کي پورو ڪرڻ جي قابل بڻائڻ آهي. پروسيسر جي اطلاع ۾ غلطي يا ذميواري جو اعتراف نه هوندو.

7. ذيلي پروسيسر

7.1 عام اختيار

ڪنٽرولر پروسيسر کي شيڊول 3 (منظور ٿيل سب پروسيسرز) ۾ درج ٿيل ذيلي پروسيسرز کي هن ڊي پي اي ۾ شامل ڪرڻ جي عام اجازت ڏئي ٿو. پروسيسر هر ذيلي پروسيسر تي ڊيٽا تحفظ جي ذميواريون لاڳو ڪندو جيڪي هن ڊي پي اي ۾ مقرر ڪيل آهن، خاص طور تي مناسب ٽيڪنيڪل ۽ تنظيمي قدمن کي لاڳو ڪرڻ لاءِ ڪافي ضمانتون فراهم ڪندي.

7.2 ذيلي پروسيسرز ۾ تبديليون

پروسيسر ڪنٽرولر کي ذيلي پروسيسرز جي اضافي يا متبادل بابت ڪنهن به ارادي تبديلين جي اطلاع ڏيندو: (a) https://xygeni.io/legal/subprocessors تي شايع ٿيل ذيلي پروسيسر لسٽ کي نظرثاني ٿيل "آخري اپڊيٽ ٿيل" تاريخ سان اپڊيٽ ڪرڻ؛ ۽ (b) تبديلي جي اثر هيٺ اچڻ کان گهٽ ۾ گهٽ ڏهه (10) ڏينهن اڳ ڪنٽرولر کي تحريري نوٽيس فراهم ڪرڻ. ڪنٽرولر اهڙي اطلاع جي ست (7) ڏينهن اندر مناسب ڊيٽا تحفظ جي بنيادن تي تبديلي تي اعتراض ڪري سگهي ٿو. جيڪڏهن ڪنٽرولر اعتراض ڪري ٿو ۽ پارٽيون اعتراض حل نه ٿيون ڪري سگهن، ته ڪنٽرولر جرماني کان سواءِ معقول نوٽيس تي پرنسپل معاهدي کي ختم ڪري سگهي ٿو.

جيڪڏهن پروسيسر هڪ ذيلي پروسيسر کي شامل ڪري ٿو، ته پروسيسر ان ذيلي پروسيسر جي ذميدارين جي ڪارڪردگي لاءِ ڪنٽرولر جو مڪمل طور تي ذميوار رهندو جيستائين ذيلي پروسيسر پنهنجي ڊيٽا تحفظ جي ذميدارين کي پورو ڪرڻ ۾ ناڪام ٿئي ٿو.

7.3 سب پروسيسر فلو-ڊائون گهرجون

هر ذيلي پروسيسر لاءِ، پروسيسر:

• سب پروسيسر کي استعمال ڪرڻ کان اڳ مناسب احتياط سان ڪم ڪريو؛
• هڪ تحريري ڊيٽا پروسيسنگ معاهدي ۾ داخل ٿيو جيڪو ڊيٽا جي حفاظت جي ذميدارين کي لاڳو ڪري ٿو جيڪي هن DPA ۾ ڏنل ذميدارين کان گهٽ حفاظتي نه آهن؛
• يقيني بڻايو وڃي ته ذيلي پروسيسر جا حفاظتي اپاءَ گهٽ ۾ گهٽ انهن جي برابر آهن جيڪي شق 5.3 ۽ شيڊول 2 جي تحت گهربل آهن؛
• جنهن ۾ خلاف ورزي جي اطلاع جي ذميداري شامل آهي جنهن ۾ ذيلي پروسيسر کي ذاتي ڊيٽا جي ڀڃڪڙي جي خبر پوڻ جي 24 ڪلاڪن اندر پروسيسر کي اطلاع ڏيڻ جي ضرورت آهي، ته جيئن پروسيسر ڪنٽرولر کي پنهنجي 48 ڪلاڪن جي اطلاع جي ذميواري پوري ڪري سگهي.

8. بين الاقوامي منتقلي

پروسيسر ڪسٽمر ڊيٽا کي يورپي اقتصادي علائقي (EEA) کان ٻاهر ڪنهن ملڪ ڏانهن منتقل نه ڪندو جيستائين:

• يورپي ڪميشن هڪ ڪافي ڊي اختيار ڪيو آهيcisGDPR آرٽيڪل 45 تحت ان ملڪ لاءِ آئن؛ يا
• GDPR آرٽيڪل 46 جي مطابق مناسب حفاظتي اپاءَ لاڳو ڪيا ويا آهن، جن ۾ شامل آهن پر ان تائين محدود نه آهن Standard يورپي ڪميشن پاران منظور ڪيل معاهدي جون شقون لاڳو ڪندڙ ڊيcisآئن (EU) 2021/914 آف ​​4 جون 2021 ("SCCs").

جتي ايس سي سي گهربل هجن، پروسيسر، ڪنٽرولر جي درخواست تي، ڪنٽرولر ۽/يا لاڳاپيل سب پروسيسر سان لاڳو ايس سي سي تي عمل ڪندو. ايس سي سي جو لاڳو ماڊيول ڪنٽرولر کان پروسيسر ڏانهن منتقلي لاءِ ماڊيول ٻه (ڪنٽرولر کان پروسيسر) ۽ پروسيسر کان سب پروسيسر ڏانهن اڳتي منتقلي لاءِ ماڊيول ٽيون (پروسيسر کان سب پروسيسر) هوندو.

ايس سي سي جي مقصدن لاءِ قابل نگران اختيار اسپيني ڊيٽا پروٽيڪشن ايجنسي (ايجنسيا ايسپانولا ڊي پروٽيڪسيئن ڊي ڊيٽوس - اي اي پي ڊي) آهي، جيستائين ٻي صورت ۾ لکت ۾ متفق نه ٿئي.

پروسيسر، درخواست تي، ڪنٽرولر کي ڪسٽمر ڊيٽا جي سڀني بين الاقوامي منتقلي ۽ هر هڪ لاءِ لاڳو منتقلي جي طريقيڪار جو موجوده رڪارڊ برقرار رکندو ۽ دستياب ڪندو.

9. ڊيٽا جي حفاظت جي اثر جي تشخيص

جتي پروسيسنگ سرگرمي قدرتي ماڻهن جي حقن ۽ آزادين لاءِ وڏي خطري جو سبب بڻجندي آهي ۽ ڪنٽرولر کي GDPR آرٽيڪل 35 تحت ڊيٽا پروٽيڪشن امپيڪٽ اسيسمينٽ (DPIA) ڪرڻ جي ضرورت آهي، پروسيسر ڪنٽرولر کي DPIA کي انجام ڏيڻ جي قابل بڻائڻ لاءِ ضروري طور تي مناسب مدد ۽ معلومات فراهم ڪندو. پروسيسر 15 ڪاروباري ڏينهن اندر ڪنٽرولر جي معقول DPIA سان لاڳاپيل درخواستن جو جواب ڏيندو.

10. پروسيسنگ سرگرمين جا رڪارڊ

پروسيسر، ڪنٽرولر جي درخواست تي، GDPR آرٽيڪل 30(2) جي مطابق ڪنٽرولر جي طرفان ڪيل پروسيسنگ سرگرمين جو رڪارڊ برقرار رکندو، جنهن ۾ شامل آهن: پروسيسر ۽ ڪنهن به ذيلي پروسيسر جو نالو ۽ رابطي جي تفصيل؛ ڪنٽرولر جي طرفان ڪيل پروسيسنگ جا درجا؛ ٽئين ملڪ ڏانهن ذاتي ڊيٽا جي منتقلي؛ ۽ ٽيڪنيڪل ۽ تنظيمي سيڪيورٽي قدمن جي عام وضاحت.

11. ذميواري

هن DPA جي تحت يا ان سان لاڳاپيل هر پارٽي جي ٻئي جي ذميواري پرنسپل معاهدي ۾ مقرر ڪيل حدن ۽ خارج ڪرڻ جي تابع هوندي. جتي هڪ ڊيٽا سبجيڪٽ کي پروسيسنگ جي نتيجي ۾ نقصان پهتو آهي جيڪو لاڳو ڊيٽا تحفظ قانون جي خلاف ورزي ڪري ٿو، هر پارٽي ان جي پروسيسنگ جي ڪري ٿيندڙ نقصان جي ذميوار هوندي جيڪا GDPR آرٽيڪل 82-83 جي مطابق GDPR جي خلاف ورزي ڪري ٿي. هن شق ۾ ڪجهه به لاڳو قانون جي تحت ڊيٽا سبجيڪٽ جي حوالي سان ڪنهن به پارٽي جي ذميواري کي محدود نٿو ڪري.

12. مدت ۽ ختم ٿيڻ

هي ڊي پي اي پرنسپل معاهدي جي تاريخ تي شروع ٿيندو (يا جيڪڏهن بعد ۾ هجي ته هن ڊي پي اي جي عملدرآمد جي تاريخ) ۽ پرنسپل معاهدي جي مدت تائين لاڳو رهندو. ڪنهن به سبب جي ڪري پرنسپل معاهدي جي خاتمي سان هي ڊي پي اي پاڻمرادو ختم ٿي ويندو.

ختم ٿيڻ کان پوءِ، پروسيسر جون ذميداريون شق 5.6 (ڊيٽا کي ختم ڪرڻ يا واپس ڪرڻ) جي تحت رهنديون ۽ پروسيسر ختم ٿيڻ جي 30 ڏينهن اندر ڪسٽمر ڊيٽا کي مڪمل طور تي ختم ڪرڻ يا واپس ڪرڻ کي يقيني بڻائيندو. رازداري، ذميواري، گورننگ قانون ۽ آڊٽ سان لاڳاپيل شقون پڻ ختم ٿيڻ کان بچي وينديون.

13. گورننگ قانون ۽ دائري اختيار

هي DPA اسپين جي قانونن جي مطابق سنڀاليو ويندو ۽ ان جي تشريح ڪئي ويندي. پارٽيون هن DPA مان پيدا ٿيندڙ يا ان سان لاڳاپيل ڪنهن به تڪرار جي حل لاءِ ميڊريڊ جي عدالتن جي غير خاص دائري اختيار ۾ جمع ڪرايون ٿيون. ان حد تائين جو هن DPA جو ڪو به بندوبست SCCs سان ٽڪراءُ ڪري ٿو، SCCs غالب رهندا.

14. متفرق

سڄو معاهدو: هي ڊي پي اي، ان جي شيڊول ۽ پرنسپل معاهدي سان گڏ، پارٽين جي وچ ۾ هتي جي موضوع جي حوالي سان مڪمل معاهدو ٺاهي ٿو ۽ ڊيٽا پروسيسنگ سان لاڳاپيل سڀني اڳوڻي معاهدن، سمجھوتن يا نمائندگي کي رد ڪري ٿو.

ترميمون: هي ڊي پي اي صرف ٻنهي ڌرين جي بااختيار نمائندن پاران دستخط ڪيل تحريري معاهدي ذريعي ترميم ڪري سگهجي ٿي.

سختي: جيڪڏهن هن ڊي پي اي جي ڪنهن به شق کي غلط يا ناقابل نفاذ قرار ڏنو وڃي ٿو، ته باقي شقون مڪمل طور تي لاڳو ۽ اثر ۾ رهنديون.

ترجيح: هن ڊي پي اي ۽ شيڊول جي وچ ۾ تڪرار جي صورت ۾، ڊي پي اي جو ادارو غالب رهندو جيستائين شيڊول واضح طور تي ٻي صورت ۾ بيان نه ڪري. هن ڊي پي اي ۽ ايس سي سي جي وچ ۾ تڪرار جي صورت ۾ (جتي لاڳو ٿئي)، ايس سي سي غالب رهندا.

شيڊول 1 — پروسيسنگ تفصيل

1. موضوع

پروسيسنگ جو موضوع زائيگيني پاران ڏنل آهي application security posture management, software supply chain security تجزيو، ڪمزوري جي ڳولا، CI/CD سيڪيورٽي نگراني، ۽ لاڳاپيل خدمتون جيئن پرنسپل معاهدي ۾ بيان ڪيو ويو آهي.

2. پروسيسنگ جي نوعيت

ڪسٽمر ڊيٽا جي گڏ ڪرڻ، تنظيم، جوڙجڪ، اسٽوريج، تجزيو، حاصل ڪرڻ، استعمال، منتقلي ذريعي ظاهر ڪرڻ، ترتيب يا ميلاپ، پابندي، ختم ڪرڻ يا تباهي.

3. پروسيسنگ جو مقصد

ڪسٽمر ڊيٽا جي پروسيسنگ صرف ڪنٽرولر کي خدمتون مهيا ڪرڻ جي مقصد لاءِ ڪئي ويندي آهي، جنهن ۾ شامل آهن: سيڪيورٽي ڪمزورين جي ڳولا ۽ رپورٽنگ؛ سافٽ ويئر سپلائي چين خطري جو تجزيو؛ CI/CD pipeline security نگراني؛ بي ضابطگي جي ڳولا؛ ۽ گراهڪ سپورٽ.

4. پروسيسنگ جو عرصو

پروسيسر پرنسپل معاهدي جي مدت تائين ڪسٽمر ڊيٽا کي پروسيس ڪندو. ختم ٿيڻ تي، پروسيسر سبسڪرپشن جي آخري تاريخ کان پوءِ 3 مهينن تائين ڪسٽمر ڊيٽا کي ختم ڪرڻ کان اڳ برقرار رکندو، جيستائين ڪنٽرولر اڳ ۾ حذف ڪرڻ جي درخواست نه ڪري. آزمائشي اڪائونٽ ڊيٽا آزمائشي ختم ٿيڻ کان پوءِ 1 مهيني تائين برقرار رکيو ويندو آهي.

5. ذاتي ڊيٽا جا قسم

6. ڊيٽا مضمونن جا زمرا

ڊيٽا جي موضوعن ۾ شامل آهن: ملازم، ٺيڪيدار، ۽ ڪنٽرولر جا ٻيا مجاز استعمال ڪندڙ جيڪي خدمتن تائين رسائي حاصل ڪن ٿا؛ رپوزٽريز ۾ حصو وٺندڙ (ڊولپرز، بوٽ اڪائونٽس، بلڊ ايجنٽ) ۽ pipelineسروسز پاران نگراني ڪيل؛ ۽ ڪنٽرولر جا نمائندا ۽ رابطي جا ماڻهو.

7. خاص ڪيٽيگري ڊيٽا

سروسز کي GDPR آرٽيڪل 9 ۾ بيان ڪيل خاص ڪيٽيگري جي ذاتي ڊيٽا کي پروسيس ڪرڻ لاءِ نه ٺاهيو ويو آهي. ڪنٽرولر وارنٽي ڏئي ٿو ته اهو Xygeni سان اڳواٽ تحريري معاهدي ۽ مناسب اضافي حفاظتي قدمن جي عمل درآمد کان سواءِ خدمتن کي خاص ڪيٽيگري جي ذاتي ڊيٽا جمع نه ڪرائيندو.

شيڊول 2 — ٽيڪنيڪل ۽ تنظيمي سيڪيورٽي اپاءَ

زائيگيني ڪسٽمر ڊيٽا جي حفاظت لاءِ هيٺيان ٽيڪنيڪل ۽ تنظيمي قدم لاڳو ڪري ٿو، زائيگيني جي ISO 27001 تصديق ٿيل معلومات سيڪيورٽي مئنيجمينٽ سسٽم سان مطابقت رکي ٿو:

رسائي ڪنٽرول

• ڪسٽمر ڊيٽا پروسيسنگ ڪندڙ سڀني سسٽمن ۾ ڪردار تي ٻڌل رسائي ڪنٽرول (RBAC) لاڳو ڪيو ويو.
• پيداواري نظام تائين رسائي حاصل ڪندڙ سڀني زائيگيني اهلڪارن لاءِ ملٽي فيڪٽر تصديق (MFA) گهربل آهي.
• سڀني صارفن جي اڪائونٽن تي گهٽ ۾ گهٽ مراعات جو اصول لاڳو ڪيو ويو؛ رسائي جي حقن جو ٽه ماهي جائزو ورتو ويو.
• پيداوار سرور تائين رسائي لاءِ SSH ڪي-بنياد تي تصديق؛ پاسورڊ جي تصديق غير فعال ڪئي وئي.

ڊيٽا جي ڪٽڻ

• ڪسٽمر ڊيٽا ٽرانزٽ ۾ TLS 1.2 يا وڌيڪ استعمال ڪندي انڪرپٽ ٿيل.
• ڪسٽمر ڊيٽا AES-256 يا برابر استعمال ڪندي آرام سان انڪرپٽ ٿيل.
• AWS ڪي مئنيجمينٽ سروس (KMS) ذريعي منظم ڪيل انڪرپشن ڪيز.

نيٽورڪ سيڪيورٽي

• نيٽ ورڪ سيگمينٽيشن سان AWS ورچوئل پرائيويٽ ڪلائوڊ (VPC) اندر ميزباني ڪيل پيداوار سسٽم.
• ويب ايپليڪيشن فائر وال (WAF) کي عوام جي سامهون ايندڙ پوائنٽس لاءِ استعمال ڪيو ويو آهي.
• مداخلت جي ڳولا ۽ روڪٿام جا نظام موجود آهن.
• انفراسٽرڪچر ۽ ايپليڪيشن پرتن جي باقاعده ڪمزوري اسڪيننگ ۽ دخول جي جاچ.

جسماني حفاظت

• SOC 2 ٽائپ II ۽ ISO 27001 سرٽيفڪيشن سان AWS ڊيٽا سينٽرن ۾ ميزباني ڪيل ڪسٽمر ڊيٽا.
• ڊيٽا سينٽر جي سهولتن تائين جسماني رسائي بايوميٽرڪ ڪنٽرول سان مجاز AWS اهلڪارن تائين محدود آهي.

دستيابي ۽ لچڪ

• سڀني ڪسٽمر ڊيٽا جو روزانو خودڪار بيڪ اپ، گهٽ ۾ گهٽ 7 ڏينهن لاءِ برقرار رکيو ويندو.
• بيڪ اپ جي سالميت جي وقت بوقت تصديق ڪئي ويندي آهي.
• Disastبحالي جي طريقيڪار کي هر سال دستاويز ۽ جانچيو ويندو آهي.

واقعن جو انتظام

• سيڪيورٽي واقعن جي جوابي منصوبي کي هر سال برقرار رکيو ۽ جانچيو ويندو آهي.
• سيڪيورٽي واقعن جي نگراني ۽ لاگنگ؛ سيڪيورٽي آپريشن فنڪشن پاران جائزو ورتل الرٽس.
• ڪنٽرولر کي 48 ڪلاڪن جي نوٽيفڪيشن جي ذميواري کي پورو ڪرڻ لاءِ ذاتي ڊيٽا جي ڀڃڪڙي جي اطلاع جا طريقا موجود آهن.

اهلڪار

• زائيگيني جا سڀئي عملدار جيڪي ڪسٽمر ڊيٽا تائين رسائي رکن ٿا ۽ رازداري جي ذميوارين سان پابند آهن.
• سڀني اهلڪارن لاءِ هر سال سيڪيورٽي آگاهي تربيت ڏني ويندي آهي.
• لاڳو قانون جي اجازت جي حد تائين، پيداواري نظام تائين رسائي رکندڙ اهلڪارن جي پس منظر جي چڪاس ڪئي وئي.

ٽئين پارٽي جو انتظام

• مصروفيت کان اڳ سيڪيورٽي تعميل لاءِ ذيلي پروسيسرز جو جائزو ورتو ويو.
• سڀني سب پروسيسرز سان ڊيٽا پروسيسنگ جا معاهدا.

سرٽيفڪيٽ

• زائيگيني وٽ ISO 27001 سرٽيفڪيشن (انفارميشن سيڪيورٽي مئنيجمينٽ سسٽم) آهي.
• زائيگيني ايس او سي 2 ٽائپ II سرٽيفڪيشن جي پيروي ڪري رهيو آهي؛ مڪمل ٿيڻ تي ڪنٽرولر کي سرٽيفڪيٽ فراهم ڪيو ويندو.