1. Introducción
Este Anexo de procesamiento de datos ("DPA") forma parte del acuerdo entre usted ("Cliente") y Getia AS ("Procesador") para el uso de los servicios de Portifer.
2. Definiciones
- Personal Data: Dato Personal: Cualquier información relativa a una persona física identificada o identificable
- Processing: Tratamiento: Cualquier operación realizada sobre datos personales
- Controller: Responsable del tratamiento: La entidad que determina los fines y medios del tratamiento.
- Processor: Procesador: La entidad que procesa datos personales por cuenta del responsable del tratamiento.
3. Alcance del procesamiento
El Procesador deberá:
- Procesar datos personales únicamente siguiendo instrucciones documentadas del Cliente.
- Garantizar que las personas que procesan datos estén sujetas a obligaciones de confidencialidad.
- Implementar medidas de seguridad técnicas y organizativas apropiadas.
- Ayudar al Cliente a responder a las solicitudes de los interesados
- Eliminar o devolver todos los datos personales al finalizar los servicios.
4. Subprocesadores
El Cliente autoriza al Procesador a contratar subprocesadores como se enumeran en el Lista de subprocesadores.
5. Medidas de seguridad
- Cifrado en tránsito: el servicio se presta exclusivamente a través de HTTPS, con HTTP Strict Transport Security.
- Cifrado de las credenciales almacenadas: las credenciales de API de los transportistas, los tokens de CRM y las claves del servicio de impresión se cifran a nivel de aplicación con AES-256-GCM. Los demás datos almacenados están protegidos por los controles de seguridad de los subprocesadores de alojamiento y almacenamiento.
- Hash: las claves de API de los clientes se almacenan únicamente como hashes, y las contraseñas de los usuarios se someten a hash con bcrypt.
- Control de acceso: acceso basado en roles por organización cliente, autenticación de dos factores opcional (TOTP), caducidad de sesiones con revocación centralizada y limitación de frecuencia con bloqueo temporal tras repetidos intentos fallidos de inicio de sesión.
- Registro: las acciones administrativas relevantes para la seguridad, los inicios de sesión y el acceso del personal a las cuentas de clientes quedan registrados en registros de auditoría.
- Integraciones: los webhooks salientes se firman con HMAC-SHA256 y se bloquean las solicitudes a direcciones de red internas.
- Las violaciones de datos personales se gestionan y notifican según lo descrito en la sección 6.
6. Notificación de violación de datos
En caso de violación de datos personales, el Procesador notificará al Cliente dentro de las 72 horas.
7. Contacto
Si tiene preguntas sobre el procesamiento de datos, contáctenos en [email protected]
Compañía: Getia AS (Nº org.: 926 610 198)
DIRECCIÓN: En Mesh, Møllergata 6, 0179 Oslo, Noruega