Παράρτημα επεξεργασίας δεδομένων

1. Εισαγωγή

Αυτό το Προσάρτημα επεξεργασίας δεδομένων ("DPA") αποτελεί μέρος της συμφωνίας μεταξύ εσάς ("Πελάτης") και της Getia AS ("Εκτελών την επεξεργασία") για τη χρήση των υπηρεσιών Portifer.

2. Ορισμοί

Personal Data: Προσωπικά δεδομένα: Κάθε πληροφορία που αφορά ταυτοποιημένο ή ταυτοποιήσιμο φυσικό πρόσωπο
Processing: Επεξεργασία: Κάθε πράξη που εκτελείται σε προσωπικά δεδομένα
Controller: Υπεύθυνος επεξεργασίας: Η οντότητα που καθορίζει τους σκοπούς και τα μέσα της επεξεργασίας
Processor: Εκτελών την επεξεργασία: Η οντότητα που επεξεργάζεται προσωπικά δεδομένα για λογαριασμό του υπεύθυνου επεξεργασίας

3. Πεδίο εφαρμογής της επεξεργασίας

Ο Εκτελών την επεξεργασία οφείλει να:

Επεξεργάζεται προσωπικά δεδομένα μόνο βάσει τεκμηριωμένων οδηγιών από τον Πελάτη
Διασφαλίζει ότι τα πρόσωπα που επεξεργάζονται δεδομένα υπόκεινται σε υποχρεώσεις εμπιστευτικότητας
Εφαρμόζει κατάλληλα τεχνικά και οργανωτικά μέτρα ασφαλείας
Συνδράμει τον Πελάτη στην ανταπόκριση σε αιτήματα υποκειμένων των δεδομένων
Διαγράφει ή επιστρέφει όλα τα προσωπικά δεδομένα κατά τη λήξη των υπηρεσιών

4. Υποεκτελούντες

Ο Πελάτης εξουσιοδοτεί τον Εκτελούντα την επεξεργασία να απασχολεί υποεκτελούντες όπως αναφέρονται στη Λίστα υποεκτελούντων.

5. Μέτρα ασφαλείας

Κρυπτογράφηση κατά τη μεταφορά: η υπηρεσία παρέχεται αποκλειστικά μέσω HTTPS, με HTTP Strict Transport Security.
Κρυπτογράφηση αποθηκευμένων διαπιστευτηρίων: τα διαπιστευτήρια API των μεταφορέων, τα tokens CRM και τα κλειδιά της υπηρεσίας εκτύπωσης κρυπτογραφούνται σε επίπεδο εφαρμογής με AES-256-GCM. Τα λοιπά αποθηκευμένα δεδομένα προστατεύονται από τους ελέγχους ασφαλείας των υποεκτελούντων φιλοξενίας και αποθήκευσης.
Κατακερματισμός: τα κλειδιά API των πελατών αποθηκεύονται μόνο ως τιμές κατακερματισμού και οι κωδικοί πρόσβασης των χρηστών κατακερματίζονται με bcrypt.
Έλεγχος πρόσβασης: πρόσβαση βάσει ρόλων ανά οργανισμό πελάτη, προαιρετικός έλεγχος ταυτότητας δύο παραγόντων (TOTP), λήξη συνεδριών με κεντρική ανάκληση και περιορισμός ρυθμού αιτημάτων με προσωρινό κλείδωμα μετά από επανειλημμένες αποτυχημένες απόπειρες σύνδεσης.
Καταγραφή: οι διοικητικές ενέργειες που σχετίζονται με την ασφάλεια, οι συνδέσεις και η πρόσβαση του προσωπικού σε λογαριασμούς πελατών καταγράφονται σε αρχεία ελέγχου.
Ενοποιήσεις: τα εξερχόμενα webhooks υπογράφονται με HMAC-SHA256 και τα αιτήματα προς εσωτερικές διευθύνσεις δικτύου αποκλείονται.
Οι παραβιάσεις δεδομένων προσωπικού χαρακτήρα αντιμετωπίζονται και κοινοποιούνται όπως περιγράφεται στην ενότητα 6.

6. Κοινοποίηση παραβίασης δεδομένων

Σε περίπτωση παραβίασης προσωπικών δεδομένων, ο Εκτελών την επεξεργασία οφείλει να ειδοποιήσει τον Πελάτη εντός 72 ωρών.

7. Επικοινωνία

Για ερωτήσεις σχετικά με την επεξεργασία δεδομένων, επικοινωνήστε μαζί μας στο [email protected]

Εταιρεία: Getia AS (Org. nr: 926 610 198)
Διεύθυνση: At Mesh, Møllergata 6, 0179 Oslo, Norway

1. Εισαγωγή

2. Ορισμοί

Personal Data: Προσωπικά δεδομένα: Κάθε πληροφορία που αφορά ταυτοποιημένο ή ταυτοποιήσιμο φυσικό πρόσωπο

Processing: Επεξεργασία: Κάθε πράξη που εκτελείται σε προσωπικά δεδομένα

Controller: Υπεύθυνος επεξεργασίας: Η οντότητα που καθορίζει τους σκοπούς και τα μέσα της επεξεργασίας

Processor: Εκτελών την επεξεργασία: Η οντότητα που επεξεργάζεται προσωπικά δεδομένα για λογαριασμό του υπεύθυνου επεξεργασίας

3. Πεδίο εφαρμογής της επεξεργασίας

Ο Εκτελών την επεξεργασία οφείλει να:

Επεξεργάζεται προσωπικά δεδομένα μόνο βάσει τεκμηριωμένων οδηγιών από τον Πελάτη

Διασφαλίζει ότι τα πρόσωπα που επεξεργάζονται δεδομένα υπόκεινται σε υποχρεώσεις εμπιστευτικότητας

Εφαρμόζει κατάλληλα τεχνικά και οργανωτικά μέτρα ασφαλείας

Συνδράμει τον Πελάτη στην ανταπόκριση σε αιτήματα υποκειμένων των δεδομένων

Διαγράφει ή επιστρέφει όλα τα προσωπικά δεδομένα κατά τη λήξη των υπηρεσιών

5. Μέτρα ασφαλείας

Κρυπτογράφηση κατά τη μεταφορά: η υπηρεσία παρέχεται αποκλειστικά μέσω HTTPS, με HTTP Strict Transport Security.

Κρυπτογράφηση αποθηκευμένων διαπιστευτηρίων: τα διαπιστευτήρια API των μεταφορέων, τα tokens CRM και τα κλειδιά της υπηρεσίας εκτύπωσης κρυπτογραφούνται σε επίπεδο εφαρμογής με AES-256-GCM. Τα λοιπά αποθηκευμένα δεδομένα προστατεύονται από τους ελέγχους ασφαλείας των υποεκτελούντων φιλοξενίας και αποθήκευσης.

Κατακερματισμός: τα κλειδιά API των πελατών αποθηκεύονται μόνο ως τιμές κατακερματισμού και οι κωδικοί πρόσβασης των χρηστών κατακερματίζονται με bcrypt.

Έλεγχος πρόσβασης: πρόσβαση βάσει ρόλων ανά οργανισμό πελάτη, προαιρετικός έλεγχος ταυτότητας δύο παραγόντων (TOTP), λήξη συνεδριών με κεντρική ανάκληση και περιορισμός ρυθμού αιτημάτων με προσωρινό κλείδωμα μετά από επανειλημμένες αποτυχημένες απόπειρες σύνδεσης.

Καταγραφή: οι διοικητικές ενέργειες που σχετίζονται με την ασφάλεια, οι συνδέσεις και η πρόσβαση του προσωπικού σε λογαριασμούς πελατών καταγράφονται σε αρχεία ελέγχου.

Ενοποιήσεις: τα εξερχόμενα webhooks υπογράφονται με HMAC-SHA256 και τα αιτήματα προς εσωτερικές διευθύνσεις δικτύου αποκλείονται.

Οι παραβιάσεις δεδομένων προσωπικού χαρακτήρα αντιμετωπίζονται και κοινοποιούνται όπως περιγράφεται στην ενότητα 6.