1. Introduktion
Dette databehandlingstillæg ("DPA") udgør en del af aftalen mellem dig ("Kunde") og Getia AS ("Behandler") om brugen af Portifer-tjenester.
2. Definitioner
- Personal Data: Personlige data: Enhver information vedrørende en identificeret eller identificerbar fysisk person
- Processing: Behandling: Enhver handling udført på persondata
- Controller: Dataansvarlig: Den enhed, der bestemmer formålene og midlerne til behandlingen
- Processor: Databehandler: Den enhed, der behandler personoplysninger på vegne af den dataansvarlige
3. Behandlingsomfang
Behandleren skal:
- Behandler kun personoplysninger efter dokumenterede instruktioner fra Kunden
- Sikre, at personer, der behandler data, er underlagt tavshedspligt
- Implementer passende tekniske og organisatoriske sikkerhedsforanstaltninger
- Assistere kunden med at besvare anmodninger fra registrerede
- Slet eller returner alle personlige data ved ophør af tjenester
4. Underbehandlere
Kunden autoriserer Databehandleren til at engagere underdatabehandlere som anført i Underbehandlerliste.
5. Sikkerhedsforanstaltninger
- Kryptering under overførsel: tjenesten leveres udelukkende via HTTPS med HTTP Strict Transport Security.
- Kryptering af lagrede legitimationsoplysninger: API-legitimationsoplysninger til fragtfirmaer, CRM-tokens og nøgler til printtjenesten krypteres på applikationsniveau med AES-256-GCM. Øvrige lagrede data er beskyttet af sikkerhedskontrollerne hos de underbehandlere, der leverer hosting og lagring.
- Hashing: kunders API-nøgler lagres kun som hashværdier, og brugeres adgangskoder hashes med bcrypt.
- Adgangskontrol: rollebaseret adgang pr. kundeorganisation, valgfri tofaktorgodkendelse (TOTP), udløb af sessioner med central tilbagekaldelse samt hastighedsbegrænsning med midlertidig spærring efter gentagne mislykkede loginforsøg.
- Logning: sikkerhedsrelevante administrative handlinger, logins og medarbejderes adgang til kundekonti registreres i revisionslogs.
- Integrationer: udgående webhooks signeres med HMAC-SHA256, og anmodninger til interne netværksadresser blokeres.
- Brud på persondatasikkerheden håndteres og anmeldes som beskrevet i afsnit 6.
6. Underretning om databrud
I tilfælde af et brud på persondatasikkerheden skal Databehandleren underrette Kunden inden for 72 timer.
7. Kontakt
For spørgsmål om databehandling, kontakt os venligst på [email protected]
Selskab: Getia AS (Org. nr: 926 610 198)
Adresse: På Mesh, Møllergata 6, 0179 Oslo, Norge