דאַטאַ פּראַסעסינג העסקעם

פּאַרטיעס

די דאטן פּראַסעסינג העסקעם ("DPA" אדער "אפמאַך") ווערט געשלאָסן דורך און צווישן:

דאַטן קאָנטראָללער ("קאָנטראָללער" אדער "קונה")

דאַטן פּראַסעסער ("פּראַסעסער" אָדער "קסיגעני"):

קאָנטראָללער און פּראַסעסאָר ווערן ווייטער באַצייכנט יחידיש ווי אַ "פּאַרטיי" און צוזאַמען ווי די "פּאַרטייען".

די דאזיקע DPA איז א טייל פון די הויפט סערוויס אפמאך אדער תנאים פון סערוויס ("הויפּט אפמאך") צווישן די פארטייען וואס רעגולירן די צושטעל דורך Xygeni פון איר אפליקאציע זיכערהייט און software supply chain security סערוויסעס (די "סערוויסעס"). אין פאַל פון אַ קאָנפליקט צווישן דעם דאַטן שוץ אָפּמאַך און דעם הויפּט אָפּמאַך, וועט דעם דאַטן שוץ אָפּמאַך געווינען אין באַצוג צו דאַטן שוץ ענינים.

1. Definitions

פֿאַר די צוועקן פֿון דעם DPA:

• "GDPR" מיינט רעגולאציע (EU) 2016/679 פון דעם אייראפעישן פארלאמענט און פון דעם ראט פון 27סטן אפריל 2016 וועגן דעם שוץ פון נאטירלעכע פערזאנען אין באצוג צו דער פארארבעטונג פון פערזענלעכע דאטן.
• "לאָפדגדד" מיטל Ley Orgánica 3/2018, די 5 טעג, די פּראַטעקשאַן פון דאַטן פערזענליכען און די דיגיטאַל גאַראַנטיאַ.
• "פערזענלעכע דאטן", "פארארבעטונג", "קאנטראלער", "פארארבעטער", "אונטער-פארארבעטער", "דאטן סוביעקט", "אויפזיכט אויטאריטעט", "פערזענלעכע דאטן בריטש" זאָלן האָבן די באַדייטונגען וואָס זיי ווערן צוגעשריבן אין די GDPR.
• "קונה דאַטן" מיינט יעדע פערזענלעכע דאטן וואס ווערט אריינגעגעבן דורך אדער אין נאמען פון קאנטראלער צו די סערוויסעס, אדער פארארבעט דורך פראסעסאר אין נאמען פון קאנטראלער אין פארבינדונג מיט די סערוויסעס.
• "סוב-פּראַסעסער" מיינט יעדע דריטע פּאַרטיי וואָס איז באַשעפטיקט געוואָרן דורך דעם פּראַסעסאָר, מיט פריערדיקער דערלויבעניש פֿון קאָנטראָללער (ווי באַשריבן אין פּונקט 7), צו פּראַסעסירן קונה דאַטן אין נאָמען פֿון דעם קאָנטראָללער.
• "SCCs" מיטל די Standard קאנטראקטועלע קלאוזעס פארן איבערפירן פערזענליכע דאטן צו דריטע לענדער לויט GDPR, ווי באשטעטיגט דורך דער אייראפעישער קאמיסיע וואס אימפלעמענטירט דעcisגעזעץ (EU) 2021/914 פון 4טן יוני 2021.
• "באַדינונגען" מיטל די application security posture management, software supply chain security, וואַלנעראַביליטי דעטעקשאַן און פֿאַרבונדענע באַדינונגען צוגעשטעלט דורך Xygeni צו קאָנטראָללער אונטער די הויפּט העסקעם.
• "אנווענדלעך דאַטן שוץ געזעץ" מיינט די GDPR, LOPDGDD, און יעדע אנדערע אנwendבארע נאציאנאלע דאטן שוץ געזעצגעבונג ווי געענדערט פון צייט צו צייט.

2. ראָלעס פֿון די פּאַרטייען

די פּאַרטיעס באַשטעטיקן און שטימען אַז:

• דער קאָנטראָללער אַקטירט ווי דער דאַטן קאָנטראָללער אין באַצוג צו קונה דאַטן און איז פאַראַנטוואָרטלעך פֿאַר באַשטימען די צוועקן און מיטלען פון פּראַסעסינג קונה דאַטן וואָס זענען דערלאנגט צו די סערוויסעס.
• פּראַסעסער אַקטירט ווי דער דאַטן פּראַסעסער אין באַצוג צו קונה דאַטן און פּראַסעסירט אַזעלכע דאַטן בלויז אין נאָמען פון און לויט די דאָקומענטירטע אינסטרוקציעס פון קאָנטראָללער.
• יעדע פארטיי זאָל מקיים זיין אירע ריספּעקטיווע פֿאַרפליכטונגען אונטערן אָנווענדלעכן דאַטן שוץ געזעץ אין איר ראָלע ווי קאָנטראָללער אָדער פּראַסעסער.

וואו Xygeni פּראַסעסירט פּערזענלעכע דאַטן פֿאַר אירע אייגענע צוועקן (למשל, אַקאַונט פאַרוואַלטונג, ביללינג, סערוויס פֿאַרבעסערונג אַנאַליטיקס), אַקט עס ווי אַן אומאָפּהענגיקער קאָנטראָללער. אַזאַ פּראַסעסינג איז גאַווערנד דורך Xygeni'ס פּריוואַטקייט פּאָליטיק און איז אַרויס די פאַרנעם פון דעם DPA.

3. טעמע, נאַטור און ציל פון פאַראַרבעטונג

דער ענין, נאַטור, געדויער און צוועק פון דער פאַראַרבעטונג, ווי אויך די טיפּן פון פערזענלעכע דאַטן וואָס ווערן פאַראַרבעט און קאַטעגאָריעס פון דאַטן סוביעקטן, זענען אויסגעשטעלט אין סקעדזשול 1 (פאַראַרבעטונג דעטאַילס) צו דעם DPA.

פּראַסעסאָר זאָל פּראַסעסירן קונה דאַטן בלויז אין דעם מאָס וואָס איז נייטיק צו צושטעלן די סערוויסעס וואָס זענען באַשריבן אין דער הויפּט אָפּמאַך און אין לויט מיט די דאָקומענטירטע אינסטרוקציעס פון דעם קאָנטראָללער, סיידן עס איז פארלאנגט צו טאָן דאָס לויטן אָנווענדלעכן געזעץ. אין אַזאַ פאַל, זאָל דער פּראַסעסאָר אינפאָרמירן דעם קאָנטראָללער וועגן דעם לעגאַלן פאָדערונג איידער פּראַסעסינג, סיידן עס איז פאַרבאָטן דורך געזעץ אויף וויכטיקע סיבות פון עפנטלעכן אינטערעס.

4. קאָנטראָללער'ס אינסטרוקציעס

קאָנטראָללער גיט אינסטרוקציעס צום פּראַסעסאָר צו פּראַסעסירן קונה דאַטן ווי נייטיק צו: (אַ) צושטעלן די סערוויסעס אין לויט מיטן הויפּט אָפּמאַך; (ב) נאָכקומען די קאָנטראָללער'ס אינסטרוקציעס וואָס ווערן מיטגעטיילט שריפטלעך פון צייט צו צייט; און (ג) מקיים זיין די פּראַסעסאָר'ס פֿאַרפליכטונגען אונטער דעם דאַטן-פאַרוואַלטונגס-אָפּמאַך.

פּראַסעסאָר זאָל באַלד אינפאָרמירן דעם קאָנטראָללער אויב, לויט דעם פּראַסעסאָר'ס גלייכבארן מיינונג, אַן אינסטרוקציע פֿון דעם קאָנטראָללער פֿאַרלעצט די אָנווענדלעכע דאַטן שוץ געזעץ. אין אַזאַ פֿאַל, וועט דער פּראַסעסאָר זיין באַרעכטיקט צו אָפּשטעלן די פּראַסעסינג לויט אַזאַ אינסטרוקציע ביז דער קאָנטראָללער וועט קלאָר מאַכן אָדער מאָדיפֿיצירן די אינסטרוקציע.

דער קאָנטראָללער גאַראַנטירט און רעפּרעזענטירט אַז: (אַ) ער האָט אַ גילטיקע לעגאַלע באַזע אונטער GDPR אַרטיקל 6 (און, וווּ אָנווענדלעך, אַרטיקל 9) פֿאַר פּראַסעסינג די באַטייַטיק פּערזענלעכע דאַטן; (ב) ער האָט צוגעשטעלט אַלע פארלאנגטע נאָוטאַפאַקיישאַנז און באַקומען אַלע פארלאנגטע צושטימונגען; און (ג) די אַריבערפירן פון קונה דאַטן צו פּראַסעסער ווייאַלייץ נישט קיין אָנווענדלעך געזעצן.

5. פּראַסעסער פֿאַרפֿליכטונגען

5.1 באַאַרבעטונג באַגרענעצונגען

דער פּראַסעסאָר זאָל פּראַסעסירן קונה דאַטן בלויז לויט די דאָקומענטירטע אינסטרוקציעס פון דעם קאָנטראָללער, סיידן עס איז פארלאנגט דורך אָנווענדלעך אי.יו. אָדער מיטגליד שטאַט געזעץ. דער פּראַסעסאָר זאָל נישט פּראַסעסירן קונה דאַטן פֿאַר זיינע אייגענע צוועקן אָדער עס אַנטפּלעקן צו דריטע פּאַרטיעס אַחוץ ווי נייטיק צו צושטעלן די סערוויסעס אָדער ווי פארלאנגט דורך געזעץ.

5.2 קאַנפאַדענשיאַלאַטי

פּראַסעסאָר זאָל זיכער מאַכן אַז פּערזאָנען וואָס זענען בארעכטיגט צו פּראַסעסירן קונה דאַטן האָבן commitזיך צוגעבונדן צו קאנפידענציאליטעט אדער זענען אונטער א צוגעפאסטע געזעצלעכע פארפליכטונג פון קאנפידענציאליטעט. צוטריט צו קאסטומער דאטן וועט זיין באגרענעצט צו יענע ארבייטער, קאנטראקטארן און סוב-פראצעסארן וואס דארפן צוטריט פארן צוועק פון צושטעלן די סערוויסעס.

5.3 זיכערהייט מיטלען

פּראַסעסער זאָל ימפּלעמענטירן און וישאַלטן פּאַסיק טעכנישע און אָרגאַניזאַציאָנעלע מיטלען צו באַשיצן קונה דאַטן קעגן אַנאָטערייזד אָדער ומלעגאַל פּראַסעסינג און קעגן אַקסאַדענטאַל אָנווער, צעשטערונג, שעדיקן, ענדערונג אָדער אַנטפּלעקונג, נעמענדיג אין חשבון:

• דער שטאַנד פֿון דער קונסט און די קאָסטן פֿון דורכפֿירונג;
• די נאַטור, פאַרנעם, קאָנטעקסט און צוועקן פון פאַראַרבעטונג;
• די ריזיקעס צו די רעכטן און פרייהייטן פון נאַטירלעכע פּערזאָנען, ספּעציעל פון אַקסאַדענטאַל אָדער ומלעגאַל צעשטערונג, אָנווער, ענדערונג, ניט-אָטעריזירט אַנטפּלעקונג פון, אָדער צוטריט צו, קונה דאַטן טראַנסמיטטעד, סטאָרד אָדער אַנדערש פּראַסעסט.

אזעלכע מיטלען זאָלן אַרייַננעמען, לפּחות, די וואָס זענען אויסגעשטעלט אין סקעדזשול 2 (טעכנישע און אָרגאַניזאַציאָנעלע זיכערהייט מיטלען) צו דעם DPA. פּראַסעסאָר'ס ISO 27001 סערטיפיקאַציע גיט באַווייַז פון אַ גרונט-אינפֿאָרמאַציע זיכערהייט פאַרוואַלטונג סיסטעם. פּראַסעסאָר זאָל האַלטן ISO 27001 סערטיפיקאַציע אָדער עקוויוואַלענט איבער די גאַנצע טערמין פון דעם DPA.

5.4 רעכטן פון דאַטן סוביעקטן

פּראַסעסער זאָל, נעמענדיג אין באַטראַכט די נאַטור פון דער פּראַסעסינג, אַרוישעלפן דעם קאָנטראָללער דורך צונעמען טעכנישע און אָרגאַניזאַציאָנעלע מיטלען, ווי ווייט מעגלעך, צו מקיים זיין דעם קאָנטראָללער'ס פליכט צו ענטפֿערן אויף בקשות פֿאַר אויספֿירונג.cisדי רעכטן פון דאַטן סוביעקטן אונטער די אָנווענדלעכע דאַטן שוץ געזעץ (אַרייַנגערעכנט די רעכט פון צוטריט, קערעקטיישאַן, ויסמעקן, באַגרענעצונג, פּאָרטאַביליטי און אָבדזשעקשאַן אונטער GDPR אַרטיקלען 15-22).

פּראַסעסאָר זאָל: (אַ) באַלד מעלדן דעם קאָנטראָללער אויב דער פּראַסעסאָר באַקומט אַ בקשה פֿון אַ דאַטן סוביעקט אין באַצוג צו קונה דאַטן; (ב) נישט ענטפֿערן אויף אַזעלכע בקשות אַחוץ אויף די דאָקומענטירטע אינסטרוקציעס פֿון קאָנטראָללער אָדער ווי פארלאנגט דורך אָנווענדלעך געזעץ; און (ג) צושטעלן דעם קאָנטראָללער מיט גלייַכגעוויכטיק הילף אין ענטפֿערן אויף אַזעלכע בקשות אין די אָנווענדלעך געזעצלעכע טערמינען (30 טעג אונטער GDPR אַרטיקל 12).

5.5 הילף מיט די פֿאַרפֿליכטונגען פֿונעם קאָנטראָללער

פּראַסעסאָר זאָל אַרוישעלפן דעם קאָנטראָללער אין זיכער מאַכן אַז די פֿאַרפֿליכטונגען אונטער GDPR אַרטיקלען 32-36 זענען אין אָרדענונג, נעמענדיג אין באַטראַכט די נאַטור פֿון פּראַסעסינג און די אינפֿאָרמאַציע וואָס איז פֿאַראַן פֿאַרן פּראַסעסאָר, אַרייַנגערעכנט אין באַצוג צו:

• זיכערהייט פון פאַראַרבעטונג (אַרט. 32);
• מעלדונג וועגן פערזענלעכע דאטן בריטשעס צו דער אויפזיכט אויטאריטעט און קאמוניקאציע צו דאטן סוביעקטן (ארטס. 33–34);
• דאַטן שוץ אימפּאַקט אַסעסמאַנץ און פריערדיקע קאָנסולטאַציע (אַרטס. 35-36).

5.6 אויסמעקן אדער צוריקגעבן דאטן

ביים אויפהערן אדער אויסגיין פון דער הויפט אפמאך, אדער אויף דער פארלאנג פון דעם קאנטראלירער, זאל דער פראצעסאר, לויט דער אויסוואל פון דעם קאנטראלירער, אויסמעקן אדער צוריקגעבן צום קאנטראלירער אלע קאסטומער דאטן אין זיין באזיץ, און זאל אויסמעקן עקזיסטירנדע קאפיעס, סיידן די אנwendבארע אי.יו. אדער מיטגליד שטאט געזעץ פארלאנגט אויפבעווארונג פון די פערזענליכע דאטן. דער פראצעסאר זאל באשטעטיגן די פארענדיגונג פון אויסמעקן שריפטליך אינערהאלב 30 טעג פון דעם באטרעפנדיקן אויסלעשער.

פּראַסעסאָר'ס standard דאַטן אויפהאלטונג פּלאַן (געשטעלט אין פּלאַן 1) וועט אָנווענדלעך סיידן דער קאָנטראָללער מאַכט אַ פריערדיקע בקשה פֿאַר אויסמעקן.

5.7 אויספארשונג און דעמאנסטראציע פון ​​קאנפארמיטעט

דער פּראַסעסאָר זאָל צושטעלן דעם קאָנטראָללער אַלע אינפֿאָרמאַציע וואָס איז נייטיק צו ווייַזן אַז ער איז מסכים מיט די פֿאַרפליכטונגען וואָס זענען אויסגעשטעלט אין דעם DPA, און זאָל ערלויבן און ביישטייערן צו אויספֿאָרשונגען, אַרייַנגערעכנט דורכקוקן, וואָס ווערן דורכגעפֿירט דורך דעם קאָנטראָללער אָדער אַן אויספֿאָרשער וואָס איז באַפֿוילן דורך דעם קאָנטראָללער.

פּראַסעסאָר קען מקיים זיין די פליכט דורך צושטעלן:

• אַ קאָפּיע פֿון זײַן איצטיקן ISO 27001 סערטיפֿיקאַט אָדער SOC 2 טיפּ II באַריכט (אַמאָל באַקומען);
• אויספילן דעם קאנטראלער'ס זיכערהייטס-פראגן-בויגן (אינערהאלב 10 ביזנעס טעג נאך באקומען);
• גלייַכבארע אויפן-ארט אויספארשונגען מיט 30 טעג פריערדיגער שריפטלעכער נאטיץ, אויף די הוצאות פונעם קאנטראלער, נישט מער ווי איין מאל פער קאלענדאר יאר (סיידן עס איז דא א גלייַכבארע פארדאכט פון נישט-נאכקומען).

6. פערזענלעכע דאטן בריטש מעלדונג

פּראַסעסאָר זאָל מעלדן דעם קאָנטראָללער אָן אומנייטיקע פאַרהאַלטונג, און אין יעדן פאַל אינערהאלב 48 שעה נאָך ער ווערט באַוואוסטזיניק וועגן אַ פּערזענלעכע דאַטן בריטש וואָס אַפעקטירט קונה דאַטן. אַזאַ מעלדונג זאָל אַרייַננעמען, אין דער מאָס וואָס איז פאַראַן אין דער צייט:

• א באַשרייַבונג פון דער נאַטור פון די פערזענלעכע דאַטן בריטש, אַרייַנגערעכנט די קאַטעגאָריעס און אַפּראָקסימאַטיווע צאָל פון דאַטן סוביעקטן וואָס זענען באַטראָפן און די קאַטעגאָריעס און אַפּראָקסימאַטיווע צאָל פון פערזענלעכע דאַטן רעקאָרדס וואָס זענען באַטראָפן;
• דער נאָמען און קאָנטאַקט דעטאַלן פון דעם דאַטן שוץ אָפיציר אָדער אַנדער קאָנטאַקט פונקט פון וועמען מער אינפֿאָרמאַציע קען באַקומען ווערן;
• אַ באַשרייַבונג פון די מעגלעכע קאַנסאַקווענצן פון די פערזענלעכע דאַטן בריטש;
• א באַשרייַבונג פון די מיטלען וואָס זענען גענומען אָדער פארגעשלאגן צו ווערן גענומען צו אַדרעסירן דעם פערזענלעכע דאַטן בריטש, אַרייַנגערעכנט, וווּ עס איז נויטיק, מיטלען צו פֿאַרמינדערן אירע מעגלעכע נעגאַטיווע עפֿעקטן.

וואו עס איז נישט מעגלעך צו צושטעלן אלע אויבנדערמאנטע אינפארמאציע גלייכצייטיג, קען די אינפארמאציע ווערן צוגעשטעלט אין פאזעס אן אומנייטיקע ווייטערדיגע פארשפעטיגונג. דער פראצעסאר זאל קאאפערירן מיטן קאנטראלירער און נעמען אזעלכע גלייכבארע שריט ווי דער קאנטראלירער קען פארלאנגען צו העלפן אין דער אויספארשונג, פארמינדערונג און פאררעכטונג פון דעם בריטש.

די פארטייען אנערקענען אז די פליכט אונטער GDPR ארטיקל 33 צו מעלדן די קאמפעטענטע אויפזיכט אויטאריטעט (Agencia Española de Protección de Datos — AEPD, אדער אנדערע באטרעפנדע אויטאריטעט) אינערהאלב 72 שעה פון ווערן באוואוסטזיניק וועגן א פערזענליכע דאטן בריטש ליגט אויף דעם קאנטראלירער אלס דאטן קאנטראלירער. פראסעסאר'ס מעלדונג צום קאנטראלירער אונטער דעם פונקט איז געמיינט צו געבן דעם קאנטראלירער די מעגלעכקייט צו מקיים זיין די רעגולאטורישע פליכט. פראסעסאר'ס מעלדונג זאל נישט באשטיין פון אן אנערקענונג פון שולד אדער אחריות.

7. סוב-פּראַסעסערז

7.1 אַלגעמיינע דערלויבעניש

דער קאָנטראָללער גיט דעם פּראַסעסאָר אַלגעמיינע דערלויבעניש צו באַשעפטיקן סוב-פּראַסעסאָרן ווי ליסטעד אין סקעדזשול 3 (באַשטעטיקטע סוב-פּראַסעסאָרן) צו דעם DPA. דער פּראַסעסאָר זאָל אויף יעדן סוב-פּראַסעסאָר אויסשטעלן דאַטן-שוץ פליכטן וואָס זענען גלייך צו די וואָס זענען אויסגעשטעלט אין דעם DPA, ספּעציעל צושטעלן גענוג גאַראַנטיעס צו ימפּלעמענטירן צונעמען טעכנישע און אָרגאַניזאַציאָנעלע מיטלען.

7.2 ענדערונגען צו סוב-פּראַסעסערז

פּראָסעסאָר זאָל מעלדן דעם קאָנטראָללער וועגן יעדע פּלאַנירטע ענדערונגען וועגן דעם צולייגן אָדער פאַרבייַטן סוב-פּראָסעסאָרן דורך: (אַ) דערהייַנטיקן די סוב-פּראָסעסאָר רשימה פאַרעפֿנטלעכט ביי https://xygeni.io/legal/subprocessors מיטן רעוויזירטן "לעצט דערהייַנטיקט" דאַטע; און (ב) צושטעלן אַ געשריבענע מעלדונג צום קאָנטראָללער לפּחות צען (10) טעג איידער די ענדערונג ווערט קראַפטיק. דער קאָנטראָללער קען אָבדזשעקטירן צו דער ענדערונג אויף גלייכבארע דאַטן שוץ גרינדן אין זיבן (7) טעג פון אַזאַ מעלדונג. אויב דער קאָנטראָללער אָבדזשעקטירט און די פּאַרטייען קענען נישט אויסגלייַכן די אָבדזשעקשאַן, קען דער קאָנטראָללער ענדיקן דעם הויפּט אָפּמאַך מיט אַ גלייכבארע מעלדונג אָן קיין שטראָף.

אויב דער פּראַסעסער באַשעפטיקט אַ סוב-פּראַסעסער, וועט דער פּראַסעסער בלייבן גאָר פאַראַנטוואָרטלעך צום קאָנטראָללער פֿאַר דער אויספירונג פון יענעם סוב-פּראַסעסער'ס פֿאַרפליכטונגען אין דער מאָס וואָס דער סוב-פּראַסעסער פֿאַרפֿעלט צו מקיים זיין זיינע דאַטן-שוץ פֿאַרפליכטונגען.

7.3 סוב-פראסעסאר פלאָו-דאַון רעקווייערמענץ

פֿאַר יעדן סוב-פּראַסעסער, זאָל דער פּראַסעסער:

• דורכפירן פאסיגע דיו דילידזשענס איידער מען באשעפטיקט דעם סוב-פראסעסאר;
• אונטערשרייבן א געשריבענע דאטן פראסעסאר אפמאך וואס לייגט אויף דאטן שוץ פארפליכטונגען נישט ווייניגער שוץ ווי די אין דעם דאטן שוץ אפמאך;
• זיכער מאַכן אַז די זיכערהייט מיטלען פונעם סוב-פּראַסעסאָר זענען לפּחות גלייך צו די וואָס זענען פארלאנגט אונטער פּונקט 5.3 און סקעדזשול 2;
• ארייננעמען פארפליכטונגען צו מעלדן דעם פראסעסאר וועגן בריטש, וואס פארלאנגען אז דער סוב-פראצעסאר זאל מעלדן דעם פראסעסאר אינערהאלב 24 שעה נאך וואס ער ווערט באוואוסטזיניק וועגן א פערזענליכע דאטן בריטש, כדי צו געבן דעם פראסעסאר די מעגלעכקייט צו מקיים זיין 48-שעה מעלדונג-פארפליכטונג צום קאנטראלער.

8. אינטערנאַציאָנאַלע טראַנספערס

פּראַסעסאָר זאָל נישט איבערגעבן קונה דאַטן צו אַ לאַנד אַרויס פון דער אייראפעישער עקאָנאָמישער געגנט (EEA) סיידן:

• די אייראפעאישע קאמיסיע האט אנגענומען אן אדעקוואטקייט דעcisאײַנשטימונג פֿאַר יענעם לאַנד אונטער GDPR אַרטיקל 45; אָדער
• פּאַסיקע זיכערהייטס מיטלען זענען אימפּלעמענטירט געוואָרן לויט GDPR אַרטיקל 46, אַרייַנגערעכנט אָבער נישט לימיטעד צו די Standard קאנטראקטועלע קלאוזעס אנגענומען דורך דער אייראפעישער קאמיסיע דורכפירנדיק דעcisגעזעץ (EU) 2021/914 פון 4טן יוני 2021 ("SCCs").

וואו SCCs זענען פארלאנגט, וועט דער פראסעסאר, אויף דער פארלאנג פון דעם קאנטראלער, אויספירן די צוגעפאסטע SCCs מיטן קאנטראלער און/אדער מיטן צוגעפאסטן סוב-פראצעסאר. דער צוגעפאסטער מאדול פון די SCCs וועט זיין מאדול צוויי (פון קאנטראלער צו פראסעסאר) פאר טראנספערס פון קאנטראלער צו פראסעסאר, און מאדול דריי (פראצעסאר צו סוב-פראצעסאר) פאר ווייטערדיגע טראנספערס דורך פראסעסאר צו סוב-פראצעסארס.

די קאָמפּעטענטע אויפֿזיכט־אויטאָריטעט פֿאַר די צוועקן פֿון די SCCs איז די שפּאַנישע דאַטן־שוץ־אַגענטור (Agencia Española de Protección de Datos — AEPD), סיידן אַנדערש מסכים געווען אין שריפֿט.

דער פּראַסעסער זאָל אויפֿהאַלטן און צושטעלן צום קאָנטראָללער, אויף בקשה, אַן אַקטועלן רעקאָרד פֿון אַלע אינטערנאַציאָנאַלע איבערפֿירונגען פֿון קונה דאַטן און דעם אָנווענדלעכן איבערפֿיר מעקאַניזם פֿאַר יעדן.

9. דאַטן שוץ פּראַל אַסעסמאַנץ

וואו אַ פאַראַרבעטונג טעטיקייט וועט מסתּמא רעזולטירן אין אַ הויך ריזיקירן צו די רעכט און פרייהייטן פון נאַטירלעכע פּערזאָנען און דער קאָנטראָללער איז פארלאנגט צו דורכפירן אַ דאַטן שוץ פּראַל אַסעסמאַנט (DPIA) אונטער GDPR אַרטיקל 35, זאָל דער פּראַסעסער צושטעלן דעם קאָנטראָללער מיט גלייַך הילף און אינפֿאָרמאַציע ווי נייטיק צו געבן דעם קאָנטראָללער די מעגלעכקייט צו דורכפירן די DPIA. דער פּראַסעסער זאָל ענטפֿערן אויף די קאָנטראָללער'ס גלייַך DPIA-פֿאַרבונדענע ריקוועסץ אין 15 געשעפט טעג.

10. רעקאָרדס פון פּראַסעסינג אַקטיוויטעטן

דער פּראַסעסאָר זאָל, אויף דער בקשה פֿון קאָנטראָללער, האַלטן אַ רעקאָרד פֿון פּראַסעסינג אַקטיוויטעטן וואָס ווערן דורכגעפֿירט אין נאָמען פֿון קאָנטראָללער לויט GDPR אַרטיקל 30(2), אַרייַנגערעכנט: דעם נאָמען און קאָנטאַקט דעטאַלן פֿון דעם פּראַסעסאָר און יעדע סוב-פּראַסעסאָר; די קאַטעגאָריעס פֿון פּראַסעסינג וואָס ווערן דורכגעפֿירט אין נאָמען פֿון קאָנטראָללער; איבערפֿירונגען פֿון פּערזענלעכע דאַטן צו אַ דריט לאַנד; און אַן אַלגעמיינע באַשרייַבונג פֿון די טעכנישע און אָרגאַניזאַציאָנעלע זיכערהייט מיטלען.

11. אַכרייַעס

יעדער פארטיי'ס פֿאַראַנטוואָרטלעכקייט צו דער אַנדערער אונטער אָדער אין פֿאַרבינדונג מיט דעם דאַטן שוץ אָפּמאַך (DPA) זאָל זיין אונטערטעניק צו די לימיטאַציעס און אויסשליסונגען וואָס זענען באַשטימט אין דער הויפּט אָפּמאַך. וואו אַ דאַטן סוביעקט האט געליטן שאָדן ווי אַ רעזולטאַט פון פאַראַרבעטונג וואָס ווייאַלייץ די אָנווענדלעך דאַטן שוץ געזעץ, זאָל יעדע פארטיי זיין פֿאַראַנטוואָרטלעך פֿאַר די שאָדן געפֿירט דורך איר פאַראַרבעטונג וואָס ווייאַלייץ די GDPR אין לויט מיט GDPR אַרטיקלען 82-83. גאָרנישט אין דעם פּונקט לימיטירט יעדער פארטיי'ס פֿאַראַנטוואָרטלעכקייט צו דאַטן סוביעקטן אונטער אָנווענדלעך געזעץ.

12. טערמין און טערמאַניישאַן

די דאזיקע DPA וועט אָנהייבן דעם טאָג פון דער הויפּט אָפּמאַך (אָדער דעם טאָג פון אויספירונג פון דער DPA אויב שפּעטער) און וועט בלייבן אין קראַפט פֿאַר דער גאַנצער געדויער פון דער הויפּט אָפּמאַך. א סוף צו דער הויפּט אָפּמאַך פֿאַר יעדער סיבה וועט אויטאָמאַטיש ענדיקן די DPA.

נאך דער אפשטעלונג, וועלן די פראסעסאר'ס פארפליכטונגען אונטער קלאָז 5.6 (אויסמעקן אדער צוריקגעבן דאטן) בלייבן אין קראפט און דער פראסעסאר וועט פארענדיגן די אויסמעקן אדער צוריקגעבן קונה דאטן אינערהאלב 30 טעג נאך דער אפשטעלונג. קלאָזן וועגן קאנפידענציאליטעט, אחריות, גילטיגנדיקע געזעצן און אוידיט וועלן אויך בלייבן אין קראפט נאך דער אפשטעלונג.

13. גאָווערנינג געזעץ און דזשוריסדיקשאַן

די דאזיגע DPA וועט ווערן רעגירט דורך און אויסגעטייטשט לויט די געזעצן פון שפאניע. די פארטייען אונטערווארפן זיך צו דער נישט-עקסקלוסיווער יוריסדיקציע פון ​​די געריכטן פון מאדריד פארן אויסגלייכן יעדן קריגעריי וואס שטאמט פון אדער איז פארבונדן מיט די דאזיגע DPA. אין דער מאס וואס יעדע באשטימונג פון די DPA איז אין קאנפליקט מיט די SCCs, וועלן די SCCs געווינען.

קסנומקס. פאַרשיידן

גאַנץ העסקעם: די דאזיגע דאַטן פאַראַרבעטונג אָפּמאַך, צוזאַמען מיט אירע סקעדזשולז און די הויפּט אָפּמאַך, קאָנסטיטוטירט די גאַנצע אָפּמאַך צווישן די פּאַרטייען אין באַצוג צו דעם ענין דערפון און פאַרבייט אַלע פריערדיקע אָפּמאַכן, פארשטענדענישן אָדער רעפּרעזענטאַציעס שייך צו דאַטן פאַראַרבעטונג.

ענדערונגען: די דאזיקע DPA קען נאָר געענדערט ווערן דורך אַ געשריבענע העסקעם אונטערגעשריבן דורך בארעכטיגטע פארשטייער פון ביידע פארטייען.

סעוועראַביליטי: אויב וועלכע פּונקט פון דעם DPA ווערט געהאלטן פאר אומגילטיק אדער נישט דורכפירבאר, וועלן די איבעריגע פּונקטן בלייבן אין פולער קראַפט און ווירקונג.

פאָרהאַנג: אין פאַל פון אַ קאָנפליקט צווישן דעם DPA און די סקעדזשולז, וועט דער גוף פון דעם DPA געווינען, סיידן דער סקעדזשול זאָגט אויסדריקליך אַנדערש. אין פאַל פון אַ קאָנפליקט צווישן דעם DPA און די SCCs (וואו אָנווענדלעך), וועלן די SCCs געווינען.

סקעדזשול 1 — פאַראַרבעטונג דעטאַילס

1. ענין ענין

דער ענין פון דער פאַראַרבעטונג איז די צושטעלן דורך Xygeni פון application security posture management, software supply chain security אנאליז, שוואכקייט דעטעקציע, CI/CD זיכערהייט מאָניטאָרינג, און פֿאַרבונדענע באַדינונגען ווי באַשריבן אין דער הויפּט אָפּמאַך.

2. נאַטור פון פאַראַרבעטונג

זאַמלען, אָרגאַניזאַציע, סטרוקטורירן, סטאָרידזש, אַנאַליז, צוריקקריגן, נוצן, אַנטפּלעקונג דורך טראַנסמיסיע, אַליינמאַנט אָדער קאָמבינאַציע, באַגרענעצונג, ויסמעקן אָדער צעשטערונג פון קונה דאַטן.

3. צוועק פון פאַראַרבעטונג

די פאַראַרבעטונג פון קונה דאַטן ווערט דורכגעפירט מיטן איינציקן צוועק פון צושטעלן די סערוויסעס צום קאָנטראָללער, אַרייַנגערעכנט: זיכערהייט וואַלנעראַביליטי דעטעקציע און באַריכטן; ווייכווארג סאַפּליי טשיין ריזיקאָ אַנאַליז; CI/CD pipeline security מאָניטאָרינג; אַנאָמאַליע דעטעקציע; און קונה שטיצע.

4. געדויער פון פאַראַרבעטונג

פּראָסעסאָר וועט פּראָצעסירן קונה דאַטן פֿאַר דער געדויער פֿון דער הויפּט־אָפּמאַך. בײַם ענדיקן דעם אָפּמאַך, וועט דער פּראָסעסאָר אויפֿהיטן קונה דאַטן פֿאַר 3 חדשים נאָך דעם סוף־דאַטע פֿון דער אַבאָנעמענט איידער אויסמעקן, סײַדן דער קאָנטראָללער בעט אַ פֿריִערע אויסמעקן. פּראָבע־אַקאַונט דאַטן ווערן אויפֿגעהיט פֿאַר 1 חודש נאָך דעם עקספּיראַציע פֿון דער פּראָבע.

5. טיפּן פון פערזענלעכע דאַטן

6. קאַטעגאָריעס פון דאַטן סוביעקטן

דאַטן סוביעקטן אַרייַננעמען: עמפּלוייז, קאָנטראַקטאָרס, און אנדערע בארעכטיגטע ניצערס פון קאָנטראָללער וואָס אַקסעס די סערוויסעס; ביישטייערער (דעוועלאָפּערס, באָט אַקאַונץ, בילד אַגענטן) צו ריפּאַזאַטאָריז און pipelineס מאָניטאָרירט דורך די סערוויסעס; און פארשטייערס און קאָנטאַקט פּערזאָנען פון קאָנטראָללער.

7. ספּעציעלע קאַטעגאָריע דאַטן

די סערוויסעס זענען נישט דיזיינד צו פארארבעטן ספעציעלע קאטעגאריע פערזענלעכע דאטן ווי דעפינירט אין GDPR ארטיקל 9. דער קאנטראלער גאראנטירט אז ער וועט נישט אריינשיקן ספעציעלע קאטעגאריע פערזענלעכע דאטן צו די סערוויסעס אן א פריערדיגע שריפטליכע אפמאך מיט Xygeni און אימפלעמענטאציע פון ​​צוגעפאסטע נאָך זיכערהייטס מיטלען.

סקעדזשול 2 — טעכנישע און ארגאניזאציאנעלע זיכערהייט מיטלען

Xygeni ימפּלעמענטירט די פאלגענדע טעכנישע און אָרגאַניזאַציאָנעלע מיטלען צו באַשיצן קונה דאַטן, אין לויט מיט Xygeni'ס ISO 27001 סערטיפיצירטע אינפֿאָרמאַציע זיכערהייט פאַרוואַלטונג סיסטעם:

אַקסעס קאָנטראָל

• ראָלע-באַזירט אַקסעס קאָנטראָל (RBAC) דורכגעפירט איבער אַלע סיסטעמען וואָס פּראָצעסירן קונה דאַטן.
• מולטי-פאַקטאָר אויטענטיפיקאַציע (MFA) פארלאנגט פֿאַר אַלע Xygeni פּערסאָנעל וואָס אַקסעסירן פּראָדוקציע סיסטעמען.
• פּרינציפּ פון מינדסטע פּריווילעגיע געווענדט צו אַלע באַניצער אַקאַונץ; צוטריט רעכטן איבערגעקוקט קוואַרטאַל.
• SSH שליסל-באזירטע אויטענטיפיקאציע פאר פראדוקציע סערווער צוטריט; פאסווארט אויטענטיפיקאציע דיאקטיוויזירט.

Data Encryption

• קונה דאַטן ענקריפּטעד אין טראַנסיט ניצנדיק TLS 1.2 אָדער העכער.
• קונה דאַטן ענקריפּטעד אין רו מיט AES-256 אָדער עקוויוואַלענט.
• ענקריפּשאַן שליסלען געראטן דורך AWS קי מאַנאַגעמענט סערוויס (KMS).

נעץ סעקוריטי

• פּראָדוקציע סיסטעמען כאָוסטיד אין AWS ווירטועל פּריוואַט וואָלקן (VPC) מיט נעץ סעגמענטאַציע.
• וועב אַפּליקאַציע פיירוואַל (WAF) איז דיפּלוייד פֿאַר עפֿנטלעכע ענדפּונקטן.
• איינדרינגונג דעטעקציע און פאַרהיטונג סיסטעמען אין פּלאַץ.
• רעגולערע וואַלנעראַביליטי סקאַנינג און פּענעטריישאַן טעסטינג פון ינפראַסטראַקטשער און אַפּלאַקיישאַן לייַערס.

גשמיות זיכערהייט

• קונה דאַטן כאָוסטיד אין AWS דאַטן צענטערס מיט SOC 2 טיפּ II און ISO 27001 סערטיפיקאַציעס.
• פיזישער צוטריט צו דאַטן צענטער פאַסילאַטיז באגרענעצט צו בארעכטיגטע AWS פּערסאַנעל מיט ביאָמעטרישע קאָנטראָלס.

צוטריטלעכקייט און ווידערשטאנדסקראפט

• טעגלעכע אויטאמאטישע באַקאַפּס פון אַלע קונה דאַטן, געהאלטן פֿאַר אַ מינימום פון 7 טעג.
• באַקאַפּ אָרנטלעכקייט וועראַפייד פּעריאָדיש.
• Disastער אָפּזוך פּראָצעדורן דאָקומענטירט און טעסטעד יערלעך.

ינסידענט מאַנאַגעמענט

• זיכערהייט אינצידענט רעאקציע פּלאַן ווערט געהאלטן און יערליך טעסטירט.
• זיכערהייט געשעענישן מאָניטאָרירט און רעקאָרדירט; וואָרענונגען איבערגעקוקט דורך זיכערהייט אָפּעראַציעס פונקציע.
• פערזענלעכע דאַטן בריטש אָנזאָג פּראָצעדורן אין פּלאַץ צו מקיים זיין די 48-שעה אָנזאָג פליכט צו קאָנטראָללער.

פּערסאַנעל

• אַלע Xygeni פּערסאָנעל מיט צוטריט צו קונה דאַטן זענען געבונדן דורך קאַנפאַדענשיאַליטי פאַרפליכטונגען.
• זיכערהייט וויסיקייַט טריינינג דורכגעפירט פֿאַר אַלע פּערסאָנאַל יערלעך.
• הינטערגרונט טשעקס זענען דורכגעפירט געוואָרן פֿאַר פּערסאָנעל מיט צוטריט צו פּראָדוקציע סיסטעמען, אין דער מאָס וואָס איז ערלויבט דורך דעם אָנווענדלעכן געזעץ.

דריט-פּאַרטיי פאַרוואַלטונג

• סוב-פראצעסארן ווערן אפגעשאצט אויף זיכערהייט קאמפלייענס פארן אנשטעלן זיך.
• דאַטן פּראַסעסינג אַגרימאַנץ אין פּלאַץ מיט אַלע סוב-פּראַסעסערז.

Certification

• קסיגעני האלט ISO 27001 סערטיפיקאציע (אינפארמאציע זיכערהייט פאַרוואַלטונג סיסטעם).
• קסיגעני זוכט נאָך SOC 2 טיפּ II סערטיפיקאַציע; דער סערטיפיקאַט וועט ווערן צוגעשטעלט צום קאָנטראָללער נאָך דעם ווי עס וועט ווערן פֿאַרענדיקט.