1. Въведение
Това Допълнение за обработка на данни („DPA“) е част от споразумението между вас („Клиент“) и Getia AS („Обработващ“) за използването на услугите на Portifer.
2. Определения
- Personal Data: Лични данни: Всяка информация, отнасяща се до идентифицирано или подлежащо на идентификация физическо лице
- Processing: Обработка: Всяка операция, извършвана върху лични данни
- Controller: Администратор: Субектът, който определя целите и средствата на обработката
- Processor: Обработващ: Субектът, който обработва лични данни от името на администратора
3. Обхват на обработката
Обработващият се задължава да:
- Обработва лични данни само по документирани инструкции от Клиента
- Гарантира, че лицата, обработващи данни, са обвързани със задължения за поверителност
- Прилага подходящи технически и организационни мерки за сигурност
- Съдейства на Клиента при отговор на заявки от субекти на данни
- Изтрие или върне всички лични данни при прекратяване на услугите
4. Подизпълнители
Клиентът упълномощава Обработващия да ангажира подизпълнители, посочени в Списък на подизпълнителите.
5. Мерки за сигурност
- Криптиране при пренос: услугата се предоставя само през HTTPS, с HTTP Strict Transport Security.
- Криптиране на съхранените идентификационни данни: идентификационните данни за API на превозвачите, CRM токените и ключовете за услугата за печат се криптират на ниво приложение с AES-256-GCM. Останалите съхранявани данни са защитени чрез мерките за сигурност на подизпълнителите за хостинг и съхранение.
- Хеширане: API ключовете на клиентите се съхраняват само като хешове, а паролите на потребителите се хешират с bcrypt.
- Контрол на достъпа: достъп въз основа на роли за всяка организация на клиента, незадължително двуфакторно удостоверяване (TOTP), изтичане на сесиите с централизирано анулиране и ограничаване на честотата на заявките с временно блокиране след многократни неуспешни опити за вход.
- Регистриране: значимите за сигурността административни действия, влизанията и достъпът на служители до акаунти на клиенти се записват в одитни журнали.
- Интеграции: изходящите webhook заявки се подписват с HMAC-SHA256, а заявките към вътрешни мрежови адреси се блокират.
- Нарушенията на сигурността на личните данни се обработват и за тях се уведомява съгласно раздел 6.
6. Уведомление за нарушение на сигурността на данните
В случай на нарушение на сигурността на личните данни, Обработващият уведомява Клиента в рамките на 72 часа.
7. Контакт
За въпроси относно обработката на данни, моля, свържете се с нас на [email protected]
Компания: Getia AS (Org. nr: 926 610 198)
Адрес: At Mesh, Møllergata 6, 0179 Oslo, Norway