1. Johdanto
Tämä tietojenkäsittelyliite ("DPA") on osa sinun ("Asiakas") ja Getia AS:n ("Käsittelijä") välistä sopimusta Portifer-palvelujen käytöstä.
2. Määritelmät
- Personal Data: Henkilötiedot: Kaikki tunnistettuun tai tunnistettavissa olevaan luonnolliseen henkilöön liittyvät tiedot
- Processing: Käsittely: Mikä tahansa henkilötiedoille suoritettu toimenpide
- Controller: Rekisterinpitäjä: Taho, joka määrittää käsittelyn tarkoitukset ja keinot
- Processor: Käsittelijä: Taho, joka käsittelee henkilötietoja rekisterinpitäjän puolesta
3. Käsittelyn laajuus
Käsittelijä:
- Käsittelee henkilötietoja vain Asiakkaan dokumentoitujen ohjeiden mukaisesti
- Varmistaa, että tietoja käsittelevät henkilöt ovat salassapitovelvollisuuden alaisia
- Toteuttaa asianmukaiset tekniset ja organisatoriset turvatoimet
- Auta asiakasta vastaamaan rekisteröidyn oikeuspyyntöihin
- Poista or return all personal data upon termination of services
4. Alikäsittelijät
Asiakas valtuuttaa Käsittelijän käyttämään alikäsittelijöitä, jotka on lueteltu kohdassa Alikäsittelijöiden luettelo.
5. Turvatoimenpiteet
- Salaus siirron aikana: palvelu tarjotaan ainoastaan HTTPS:n kautta, ja käytössä on HTTP Strict Transport Security.
- Tallennettujen tunnistetietojen salaus: kuljetusyhtiöiden API-tunnistetiedot, CRM-tunnukset ja tulostuspalvelun avaimet salataan sovellustasolla AES-256-GCM:llä. Muut tallennetut tiedot on suojattu isännöinti- ja tallennuspalveluja tarjoavien alikäsittelijöiden tietoturvakontrolleilla.
- Tiivisteet: asiakkaiden API-avaimet tallennetaan ainoastaan tiivisteinä, ja käyttäjien salasanat tiivistetään bcryptillä.
- Pääsynhallinta: roolipohjainen pääsy asiakasorganisaatiokohtaisesti, valinnainen kaksivaiheinen tunnistautuminen (TOTP), istuntojen vanheneminen ja keskitetty mitätöinti sekä pyyntömäärien rajoitus ja tilapäinen lukitus toistuvien epäonnistuneiden kirjautumisyritysten jälkeen.
- Lokitus: tietoturvan kannalta merkitykselliset hallinnolliset toimet, kirjautumiset ja henkilöstön pääsy asiakastileille kirjataan auditointilokeihin.
- Integraatiot: lähtevät webhookit allekirjoitetaan HMAC-SHA256:lla, ja pyynnöt sisäverkon osoitteisiin estetään.
- Henkilötietojen tietoturvaloukkaukset käsitellään ja niistä ilmoitetaan kohdassa 6 kuvatulla tavalla.
6. Tietomurtoilmoitus
Henkilötietojen tietoturvaloukkauksen sattuessa Käsittelijä ilmoittaa Asiakkaalle 72 tunnin kuluessa.
7. Yhteystiedot
Tietojenkäsittelyä koskevissa kysymyksissä ota meihin yhteyttä osoitteessa [email protected]
Yritys: Getia AS (Org. nr: 926 610 198)
Osoite: At Mesh, Møllergata 6, 0179 Oslo, Norja